漫谈资讯安全.pdf

《漫谈资讯安全.pdf》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、附錄D漫談資訊安全計算機概論編輯小組1內容∑D.1電腦系統的弱點∑D.7網路安全防護∑D.2電腦安全的威脅∑D.8災難復原計劃∑D.3安全的電腦系統∑D.9個人電腦安全防護∑D.4電腦機房安全防護∑D.10使用電腦的道德規範∑D.5硬體安全防護∑D.11密碼學∑D.6軟體安全防護pD-2D.1電腦系統的弱點(Vulnerability)∑硬體的弱點電腦系統中可看見的部分被人或自然所破壞∑軟體的弱點惡意盜拷、刪除或竄改∑資料的弱點蓄意或非蓄意的破壞∑人的弱點惡意入侵∑週邊耗材的弱點未銷毀就丟棄pD-3D.2電腦安全的威脅∑電腦安全的目的是

2、保障電腦系統的4機密性（Secrecy）：電腦資源只能讓被授權的(Authorized)使用者存取4完整性（Integrity）：電腦資源只能讓被授權的使用者修改4效用性（Availability）：電腦資源只為被授權的使用者所使用，不能被中斷pD-4電腦安全的威脅(續)∑對電腦安全構成威脅的有下列各項：4天然災害4電腦當機4電腦犯罪4操作完整性4資訊存取4阻斷服務(denialofservice)4資料曝光pD-5D.3安全的電腦系統美國國防部「可信任電腦系統評估準則」的電腦安全等級：∑D級：這一級電腦的硬體沒有保護，作業系統容易侵入

3、，沒有使用者認證程序和存取控制權的設定，是不可信任的系統。∑C級：此級系統提供能由使用者設定的任意存取控制（DiscretionaryAccessControl）。可細分成C1和C2二級。pD-6安全的電腦系統(續)∑B級：此級系統除了具有C級的規格外，還提供由系統管理者設定的委任存取控制（MandatoryAccessControl）。可細分成B1、B2、B3三級。4B1級提供標籤式安全保護(LabeledSecurityProtection)；4B2級提供結構式保護(StructuredProtection)4B3級提供安全範圍層級

4、(SecurityDomainLevel)∑A級：此級系統從上至下的元件都必須有嚴謹的設計、控制及數學模式之驗證的過程，是可信度最高的電腦系統。∑上述電腦安全等級由低到高依序是D、C1、C2、B1、B2、B3、ApD-7安全的電腦系統(續)∑加拿大也有EAL-1到EAL-7七級的電腦安全標準∑其它國家如德國英國、法國、荷蘭等也有自己的電腦安全標準。pD-8建立安全的電腦系統∑建立安全政策∑使用確保安全的措施：4存取使用控制4認證（Authentication）4保護程式與資料4加密（Encryption）4雇用安全的員工。∑擬定災害復原

5、計畫pD-9D.4電腦機房安全防護∑防災處理4水災防護4火災防護4地震防護4備份媒體防護∑環境與設備4機房環境4設備pD-10電腦機房安全防護(續)∑門禁管理4以需要進入（need-to-enter）為原則管制進出機房人員。4裝設閉路監視系統以記錄進出人員。4記錄訪客到訪日期、時間與目的。4門禁可以智慧卡、指紋辨識、聲音辨識、掌紋辨識、視網膜辨識等做身分確認。pD-11D.5硬體安全防護∑硬體控制四個層次4預防（Prevention）：限制被授權使用者只能以被授權的指令或功能來存取資訊。4偵測（Detection）：提早發現入侵系統或越

6、權使用系統的現象4限制（Limitation）：控制被入侵時損害的程度。4復原（Recovery）：依據災難復原計畫迅速地進行資訊重建工作。pD-12硬體安全防護(續)∑確認使用者的方法4使用者帳號：使用者以特定的使用者帳號登入電腦。4使用者認證：以密碼做使用者認證。密碼應避免有規則性或由自己相關的資料組成，如生日、姓名、結婚紀念日、電話號碼等。另外位數不宜太少，不要用太簡單的組合（如1234）。4授權程序：使用者必須經核准後才能獲得帳號及存取系統資源。4檔案保護：對檔案標記其類型及存取等級，控制存取權限。4系統保護：關閉不用的終端機或

7、電腦的電源，機房上鎖，將電腦螢幕遠離走道及窗戶，限制登入失敗的次數，讓終端機在一段時間不用後自動關機。pD-13D.6軟體安全防護∑軟體安全是保護電腦系統內的程式與資料∑軟體發生錯誤的最主要原因是資料輸入錯誤，其次是程式錯誤，然後是硬體錯誤∑資料的正確性可在輸入資料時以限制和驗證條件來檢查：4字元檢查：比較輸入字元與期待的字元是否相符，如數字或字母；4範圍檢查：檢查輸入資料是否超過上下界的限制4關聯檢查：比較輸入資料與主檔上的對應資料；4合理性檢查：比較輸入資料與期待的資料；4交易限制：比較輸入資料與交易額度限制。pD-14軟體安全防護

8、(續)∑保護軟體安全須落實安全政策的實施，並教導使用者安全政策與程序∑電腦系統的組態管理是將所有組態紀錄下來，並對系統的每一個經過核准的組態改變都詳實紀錄下來，有助於軟體的保護與系統安全∑亦能選擇安全軟體來