信息安全及风险评估-将常青

《信息安全及风险评估-将常青》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、信息安全保障体系信息安全保障体系江常青江常青中国信息安全产品测评认证中心中国信息安全产品测评认证中心主要内容主要内容n信息安全历程n信息安全体系n信息安全保障体系n安全视角cnitsec从历史看信息安全从历史看信息安全n通信保密（ComSEC)n计算机安全(CompSEC)nIT安全(ITSEC)n信息安全保障（IA)cnitsec信息安全问题之一信息安全问题之一通信保密问题通信保密问题n40年代－70年代•重点是通过密码技术解决通信保密问题，保证数据的保密性与完整性•主要安全威胁是搭线窃听、密码学分析•主要

2、保护措施是加密•重要标志–1949年Shannon发表的《保密系统的通信理论》–1977年美国国家标准局公布的数据加密标准（DES）–1976年由Diffie与Hellman在“NewDirectionsinCryptography”一文中提出了公钥密码体制cnitsec信息安全问题之二信息安全问题之二：：计算机系统安全问题计算机系统安全问题n70－80年代•重点是确保计算机系统中硬件、软件及正在处理、存储、传输信息的机密性、完整性和可控性•主要安全威胁扩展到非法访问、恶意代码、脆弱口令等•主要保护措施是安全

3、操作系统设计技术（TCB）•主要标志是1985年美国国防部公布的可信计算机系统评估准则（TCSEC）将操作系统的安全级别分为四类七个级别（D、C1、C2、B1、B2、B3、A1），后补充红皮书TNI（1987）和TDI（1991），构成彩虹（rainbow）系列cnitsec信息安全问题之三信息安全问题之三：：网络时代的信息安全问题网络时代的信息安全问题n90年代以来•重点需要保护信息，确保信息在存储、处理、传输过程中及信息系统不被破坏，确保合法用户的服务和限制非授权用户的服务，以及必要的防御攻击的措施。强调

4、信息的保密性、完整性、可控性、可用性•主要安全威胁发展到网络入侵、病毒破坏、信息对抗的攻击等•主要保护措施包括防火墙、防病毒软件、漏洞扫描、入侵检测、PKI、VPN、安全管理等•主要标志是提出了新的安全评估准则CC（ISO15408、GB/T18336）cnitsec信息安全问题之四信息安全问题之四------信息安全保障（ＩＡ）运行技术备份与灾难恢复边界安全网络安全基础设施安全评估人人员安全安全培训安全意识安全管理物理安全证书系统授权系统计算环境安全监控检测cnitsec安全体系架构安全体系架构安全体系安全

5、体系（（一一））n标准•GB/T9387.2–《信息处理系统开放系统互连基本参考模型第2部分:安全体系结构》–等同于ISO7498-2n概述•目的：是让异构型计算机系统的互连能达到应用进程之间的有效通信。•任务:–a.提供安全服务与有关机制的一般描述–b.确定在参考模型内部可以提供这些服务与机制的位置cnitsec三维结构图三维结构图ApplicationlayerencipermentDigitalsignatureRepresentationlayerDataintegrityDataExchangeSe

6、ssionlayerAccesscontrolTrafficPaddingTransportlayerRoutecontrolnotarizationNetworklayerLinklayerPhysicallayerauthenticationAccesscontrolTrustedfunctionalityDataintegritySecurityLabelDataconfidentialityDetectionNon-repudiationSecurityAuditTrailSecurityRestor

7、ationcnitsecOSIOSI服务和安全机制间关系服务和安全机制间关系服务机制加密数字访问控数据完鉴别交通信业务路由公证签字制整性换填充控制对等实体鉴别数据原发鉴别访问控制服务连接机密性无连接机密性选择字段机密性通信业务流机密性带恢复的连接完整性不带恢复的连接完整性选择字段连接完整性无连接完整性选择字段无连接完整性抗抵赖，带数据原发证据抗抵赖，带交付证据cnitsec安全服务同安全服务同ISOISO协议层关系协议层关系安全服务协议层1234567对等实体鉴别数据原发鉴别访问控制服务连接机密性无连接机密性

8、选择字段机密性通信业务流机密性带恢复的连接完整性不带恢复的连接完整性选择字段连接完整性无连接完整性选择字段无连接完整性抗抵赖，带数据原发证据抗抵赖，带交付证据cnitsec安全体系安全体系（（二二））----CCCCnGB18336idtISO15408cnitsec通用准则通用准则((CC)CC)n国际标准化组织统一现有多种准则的努力；n1993年开始，1996年出V1.0,1998年出V2.0；