信息安全体系结构概论

《信息安全体系结构概论》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、教材及参考书教材《信息系统安全》戴宗坤罗万伯等编著，电子工业出版社，2002年11月。参考书《信息安全概论》洪帆崔国华付小青编著，华中科技大学出版社，2005年9月。《计算机安全学导论》[美]MattBishop著王立斌黄征等译，电子工业出版社，2005年11月。课程主要内容概论信息系统安全体系开放系统互连安全服务框架安全机制Internet安全体系结构安全评估第1章概论什么是信息安全？信息安全的发展过程信息系统安全信息系统风险和安全需求1.1什么是信息安全？信息化的迅速发展正在对国家和社会的各方面产生巨大影响，随着国家信息化的不断推进与当前电子政务的

2、大力建设，信息已经成为最能代表综合国力的战略资源。能否有效地保护信息资源，保护信息化进程健康、有序、可持续发展，直接关乎国家安危，关乎民族兴亡，是国家、民族的头等大事。没有信息安全，就没有真正意义上的政治安全，就没有稳固的经济安全和军事安全，更没有完整意义上的国家安全。信息安全是信息技术发展过程之中提出的课题，在信息化的大背景下被推上了历史舞台。信息安全不是最终目的，它只是服务于信息化的一种手段，其针对的是信息化这种战略资源的安全，其主旨在于为信息化保驾护航。1.1.1信息的安全属性信息安全的概念与信息的本质属性有着必然的联系，它是信息的本质属性所体现

3、的安全意义。机密性（Confidentiality）完整性（Integrality）可用性（Availability）可控性（Controllability）不可否认性（Non-repudiation）机密性（Confidentiality）在传统信息环境中，普通人通过邮政系统发信件时，为了个人隐私要装上信封。可是到了信息化时代，信息在网上传播时，如果没有这个“信封”，那么所有的信息都是“明信片”，不再有秘密可言，这便是信息安全中的机密性需求。机密性是指信息不被泄露给非授权的用户、实体或进程，或被其利用的特性。机密性不但包括信息内容的保密，还包括信息状

4、态的保密。完整性（Integrality）完整性是指信息未经授权不能进行更改的特性。即信息在存储或传输过程中保持不被偶然或蓄意地删除、修改、伪造、乱序、重放、插入等破坏和丢失的特性。完整性与机密性不同，机密性要求信息不被泄露给未授权的人，而完整性则要求信息不致受到各种原因的破坏。可用性（Availability）可用性是信息可被授权实体访问并按需求使用的特性。在授权用户或实体需要信息服务时，信息服务应该可以使用，或者是信息系统部分受损或需要降级使用时，仍能为授权用户提供有效服务。可用性一般用系统正常使用时间和整个工作时间之比来度量。可控性（Contro

5、llability）可控性是指能够控制使用信息资源的人或实体的使用方式。对于信息系统中的敏感信息资源，如果任何人都能访问、篡改、窃取以及恶意散播的话，那么安全系统显然失去了效用。对访问信息资源的人或实体的使用方式进行有效的控制，是信息安全的必然要求。从国家的层面看，信息安全中的可控性不但涉及到了信息的可控，还与安全产品、安全市场、安全厂商、安全研发人员的可控性密切相关。不可否认性（Non-repudiation）不可否认性，也称抗抵赖性。它是传统社会的不可否认需求在信息社会中的延伸。人类社会中的各种商务行为均建立在信任的基础之上。没有信任，也就不存在人

6、与人之间的交互，更不可能有社会的存在。传统的公章、印戳、签名等手段便是实现不可否认性的主要机制。1.1.2信息安全的定义信息安全：保护信息和信息系统不被未经授权的访问、使用、泄露、中断、修改和破坏，为信息和信息系统提供机密性、完整性、可用性、可控性和不可否认性。信息安全（欧共体定义）：在既定的密级条件下，网络与信息系统抵御意外事件或恶意行为的能力。这些事件和行为将危及所存储或传输的数据以及经由这些网络和系统所提供的服务的可用性、真实性、完整性和秘密性。美国军方自20世纪90年代末便将“信息安全”的概念发展成“信息保障”，突出了信息安全保障系统的多种安全

7、能力及其对机构业务职能的支撑作用。就本质而言，信息安全所针对的均是“信息”这种资源的“安全”，对信息安全的理解应从信息化背景出发，最终落实在信息的安全属性上。1.2信息安全的发展过程通信保密阶段（COMSEC）计算机安全（COMPUSEC）和信息安全阶段（INFOSEC）信息保障阶段（IA）1.2.1通信保密阶段（COMSEC）开始于20世纪40年代，标志是1949年Shannon发表的《保密系统的信息理论》，该理论将密码学的研究纳入了科学的轨道。所面临的主要安全威胁：搭线窃听和密码学分析。主要的防护措施：数据加密。人们主要关心通信安全，主要关心对象是

8、军方和政府。需要解决的问题：在远程通信中拒绝非授权用户的信息访问以及确保通信的真实性，包括加密