4、应用安全基础知识【荐】.pdf

应用安全基础知识 南京华盾电力信息安全测评有限公司 提 纲 基 应 一、基本要求关键指标的理解 础 用 知 安 识 全 二、Web应用及安全 电力行业信息安全等级保护测评中心第四实验室 一、基本要求关键指标的理解 一、基本要求关键指标的理解 电力行业信息安全等级保护测评中心第四实验室 电力行业信息安全基线要求 基线要求 ① 《电力二次系统安全防护规定》 （电监会5号令） 【废止】 《电力监控系统安全防护规定》 （发改委第14号令） 【2014年9 月 日】 ② 《电力行业信息系统安全等级保护基本要求》 生产控制类要求 管理信息类要求 要求间的关系 《电力行业信息系统安全等级保护基本要求》 = 《信息安全技术 信息系统安全等级保护基本要求》(GBT 22239- 2008） + 《电力二次系统安全防护规定》 （原电监会5号令） 电力行业信息安全等级保护测评中心第四实验室 基本要求中关键指标的理解 可信路径 trusted path 用户与TSF （评价对象安全功能）间的一种通信手段，通过该手段 它们能以必要的可信度进行通信。 SSL双向认证 用户 Client Server 电力行业信息安全等级保护测评中心第四实验室 基本要求中关键指标的理解 敏感标记 sensitivity label 表示主体/客体安全级别和安全范畴的一组信息 在可信计算基中把敏感标记作为强制访问控制决策的依据。 主体 符合 访 问 客体 操 作 电力行业信息安全等级保护测评中心第四实验室 基本要求中关键指标的理解 安全域 security domain 将一个系统中具有某种相似性的子系统“聚集”在一起。 •分类：资产价值相似性安全域、业务应用相似性安全域 安全需求相似性安全域、安全威胁相似性安全域 •划分：根据业务、安全级别划分，可进一步划分为子域 域内可进一步划分子网 •实现：通常用防火墙等实现 •作用： 抗渗透的有效防护方式，实现允许和拒绝的通信流量，服务 、协议、端口开禁等通信安全，访问控制。 电力行业信息安全等级保护测评中心第四实验室 基本要求中关键指标的理解 边界安全 • 边界 网络与网络、区域与区域、安全域与安全域等间的分界线。 • 边界安全 网络隔离、攻击防范、网络优化（服务质量Qos、流量管理）、用户 管理（身份认证、访问资源限制、网络访问行为等管理）等。 • 防护实现 路由器、防火墙、安全网关、VPN、隔离装置、IDS/IPS、防毒墙、 审计、Anti-DDOS等。 • 数据流 低安全域和高安全域之间的数据流交互按照 “就高”原则进行安全 防护。 电力行业信息安全等级保护测评中心第四实验室 基本要求中关键指标的理解 安全域边界安全 电力行业信息安全等级保护测评中心第四实验室 基本要求中关键指