网络与信息安全.pdf

《网络与信息安全.pdf》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、网络与信息安全基本概念两种主要观点信息安全分层结构，面向应用信息安全框架：内容安全、数据安全、运行安全、实体安全信息安全三角结构、面向属性信息安全框架：机密性、完整性、可用性（三要素）物理安全：机密性（保证系统不以电磁等方式向外泄露信息）、可用性（保证系统至少能提供基本的服务）运行安全：可控性（保证系统的机密性，使得系统任何时候不被非授权人所恶意利用）、可用性（保障网络的正常运行，确保系统时刻能为授权人提供基本服务）数据安全：真实性（保证数据的发送源头不被伪造）、机密性（保证数据在传输、存储过程中不被获取并解析）、完整性（保证数据在传输、存储等过程中不被非法修改）、抗否认性（保证系统

2、的可用性，使得发布者无法否认所发布的信息内容）内容安全：真实性（来源伪造：路由欺骗、域名欺骗）、机密性（内容解析：对传递信息进行捕获并解析）、完整性（进行修改：删除局部内容或附加特定内容）、可用性（阻断传输：阻断信息传输系统，使得被传播的内容不能送达目的地）完整性是真实性的子集，是表示内容因未被修改而是真实的。保证信息是真实可信的，其发布者不被冒充，来源不被伪造，内容不被篡改。主要防范技术是校验与认证技术。可控性是机密性的子集，是表示为保护机密性而进行的访问控制。保证信息与信息系统不被非授权者所获取和实用。主要防范技术是密码技术。抗否认性是可用性的子集，是为了保证系统确实能够遵守规则不被

3、恶意使用所反映的可用性的属性。保证信息与信息系统可被授权人员正常使用。主要防护措施是确保信息与信息系统处于一个可信的环境之下。网络信息安全的对象网络安全：资源、实体、载体信息安全：存储、传输、应用网络安全的目标：保障各种网络资源稳定、可靠地运行，受控、合法地使用网络安全仅仅包括网络自身安全以及网络服务安全。网络和信息安全主要强调除网络自身安全以及服务提供安全外，还包括网络上的信息机密性、完整性、可用性以及相关内容安全的有害信息控制。威胁来源分类环境因素：断电、静电、灰尘、潮湿、温度、鼠蚁虫害、电磁干扰、洪灾、火灾、地震、意外事故等环境危害或自然灾害，以及软件、硬件、数据、通信线路等方面的

4、故障。人为因素：恶意人员；非恶意人员：不遵循制度或流程而导致故障或信息损害；内部人员由于缺乏培训、专业技术不足、不具备岗位技能要求而导致的信息系统故障或被攻击。威胁分类软、硬件故障物理环境故障无作为或操作故障管理不到位：应执行而没有执行相应操作恶意代码：执行恶意任务的程序代码：病毒、蠕虫、木马、陷门、间谍软件、窃听软件越权或滥用：越权访问或滥用权限，做出破坏信息系统的行为，滥用权限泄露秘密信息网络攻击：网络探测和信息收集、非授权访问、滥用权限非正常修改系统配置或数据、滥用权限泄露秘密信息物理攻击：通过物理接触造成软件、硬件、数据的损害泄露篡改抵赖脆弱性物理脆弱性网

5、络脆弱性：ARP、IP、DNS欺骗、TCP劫持等；DDOS，DOS系统脆弱性：操作系统、数据库、开发平台；DDOS，DOS应用脆弱性：缓冲区溢出、提权、木马、水坑攻击管理脆弱性策略与措施策略：是为了实现某一个目标，首先预先根据可能出现的问题制定的若干对应的方案，并且，在实现目标的过程中，根据形势的发展和变化来制定出新的方案，或者根据形势的发展和变化来选择相应的方案，最终实现目标。措施：措施具有目的行动，是针对某一现象作出的相应的对策。措施包括了实现策略过程中所采取的管理与技术手段、方法等。措施应与策略不矛盾。策略指做什么和不做什么措施指怎么做安全策略安全策略是指在某个安全区域内（一

6、个安全区域，通常是指属于某个组织的一系列处理和通信资源），用于所有与安全相关活动的一套规则。这些规则是由此安全区域中所设立的一个安全权力机构建立的，并由安全控制机构来描述、实施或实现的。网络管理员或者CIO根据组织机构的风险及安全目标制定的行动策略即为安全策略。根据确定的保护对象，策略将定义一组管理或使用的方法，使策略的执行者在面对受保护的对象时，策略明确规定了什么能做，什么不能做。信息安全策略是一组规则，它们定义了一个组织要实现的安全目标和实现这些安全目标的途径。信息安全策略是原则性的和不涉及具体细节，对于整个组织提供全局性指导，为具体的安全措施和规定提供一个全局性框架。安全策略提供一

7、系列规则，管理和控制系统如何配置，组织的员工应如何在正常的环境下行动，而当发生环境不正常时，应如何反应。执行两个主要任务：1、确定安全的实施2、使员工的行动一致安全策略一般包含3个方面目的：应明确说明为什么要制定该策略和程序，及其对组织的好处范围：一个安全策略和安全程序应有一个范围。如一个安全策略适用于所有计算机；一个信息策略适用于所有的员工责任：规定谁负责该文本的实施安全策略的类型信息策略：信息策略定义一个组织