第十章 信息安全【荐】.docVIP

第十章 信息安全 §10-1 信息安全概述（P282） 1、信息安全涉及的技术：计算机科学、网络技术、通信技术、密码技术、信息安全技术、应用数学、数论、信息论等。 2、信息安全是涉及技术、管理、法律的综合学科。 3、信息安全的技术特征：系统的可靠性、可用性、保密性、完整性、确认性、可控性等。P250-1， ⑴．可靠性是指网络信息系统能够在规定条件下和规定时间内完成规定功能的特性。P251-1-1， ⑵．保密性是指网络信息不被泄露给非授权有用户、实体或过程，或不能被其使用的特性。P251-1-2， ⑶．完整性是指网络信息未经授权不能加以改变的特性。P251-2-1， 信息安全的综合性又表现在，它是一门以人生为主，涉及技术、管理和法律的综合学科，同时还与个人道德、意识等方面紧密相关。 一、信息安全意识（P282） ㈠、建立对信息安全的正确认识（P282） 信息安全关系到企业、政府的业务能否持续、稳定地运行，关系到个人、国家安全的保证。所以信息安全是我国信息化战略中一个十分重要的方面。 ㈡、掌握信息安全的基本要素和惯例（P282） 1、信息安全的四大要素：技术、制度、流程、人。P243-1-1， 2、信息安全公式 信息安全=先进技术+防患意识+完美流程+严格制度+优秀执行团队+法律保障 ㈢、清楚可能面临的威胁和风险（P283） 信息安全面临的威胁：自然威胁、人为威胁。P244-1-4， 自然威胁：自然灾害、恶劣环境、电磁辐射、电磁干扰、网络设备自然老化等。往往是不可抗的。P250-2，P251-2-2， 人为威胁：偶然事故、恶意攻击。偶然事故虽然没有明显的恶意企图和目的，但它仍会使信息受到严重破坏。恶意攻击是有目的的破坏。 1、人为攻击：指通过攻击系统的弱点，以达到破坏、欺骗、窃取数据等目的，使得网络信息的保密性、完整性、可靠性、可控性、可用性等受到伤害，造成经济上和政治上不可估量的损失。 人为攻击分为偶然事故和恶意攻击两种。偶然事故虽然没有明显的恶意企图和目的，但它仍会使信息受到严重破坏。恶意攻击是有目的的破坏。P251-1-3， 恶意攻击又分为被动攻击和主动攻击两种。被动攻击指在不干扰网络系统正常工作的情况下，进行侦收、截获、窃取、破译和业务流量分析及电磁泄露等。主动攻击指以各种方式有选择地破坏信息，如修改、删除、伪造、添加、重放、乱序、冒充、制造病毒等。P243-1-2，P244-1-5， 被动攻击难以检测，应以预防为主。主动攻击后果明显，应以检测为主。 2、安全缺陷：如果网络信息系统本身没有任何安全缺陷，那么人为攻击者即使本事再大，也不会对网络信息安全构成威胁。但现在所有的网络信息系统都不可避免地存在着一些安全缺陷，有些安全缺陷可以通过努力加以避免或者改进，而有些安全缺陷是各种折中付出的代价。 3、软件漏洞：由于软件程序的复杂性和编程的多样性，在网络信息系统的软件中很容易有意或无意地留下一些不易被发现的安全漏洞。软件漏洞同样会影响网络信息的安全。以下介绍有代表性的软件安全漏洞。 ⑴．陷门：陷门是在程序开发时插入的一小段程序，目的可能是测试这个模块，或是为了连接将来的更改和升级程序，也可能是为了将来发生故障后，为程序员提供方便。通常应在程序开发后期去掉这些陷门，但是由于各种原因，陷门可能被保留，一旦被利用将会带来严重的后果。P243-2-1， ⑵．数据库的安全漏洞：某些数据库将原始数据以明文形式存储，这是不够安全的。实际上，入侵者可能从计算机系统的内存中导出所需的信息，或者采用某种方式进入系统，从系统的后备存储器上窃取数据或篡改数据，因此，必要时应该对存储数据进行加密保护。 ⑶．TCP/IP协议的安全漏洞：TCP/IP协议在设计初期并没有考虑安全问题。现在，用户和网络管理员没有足够的精力专注于网络安全控制，操作系统和应用程序越来越复杂，开发人员不可能测试出所有的安全漏洞，因而连接到网络的计算机系统受到外界的恶意攻击和窃取的风险越来越大。 另外，还可能存在操作系统的安全漏洞、网络软件与网络服务、口令设置等方面的漏洞。 4、结构隐患：结构隐患一般指网络拓扑结构的隐患和网络硬件的安全缺陷。网络的拓扑结构本身有可能给网络的安全带来问题。作为网络信息系统的躯体，网络硬件的安全隐患也是网络结构隐患的重要方面。 基于各国的不同国情，信息系统存在的其他安全问题也不尽相同。对于我国而言，由于我国还是一个发展中国家，网络信息安全系统除了具有上述普遍存在的安全缺陷之外，还存在因软、硬件核心技术掌握在别人手中而造成的技术被动等方面的安全隐患。 ㈣、养成良好的安全习惯（P284） 良好的安全习惯和安全意识，有利于避免或降低不必要的损失。 1、良好的密码设置习惯 2、网络和个人计算机安全 3、电子邮件安全 4、打印机和其他媒介安全 5、物理安全 二、