电子政务信息安全保障讲解.pptVIP

第4讲 电子政务信息安全保障 信息学院-苑田田（10#621） 太强了！CNN遭中国黑客攻击 2007年江西40家网站遭黑客攻击 七成为政府网站 中美五一黑客大战 国内网站遭攻击的分布 数据存储及备份问题 信息失泄密控制的问题 美国中央情报局成立专门部门，通过监控国际互联网，获取了伊朗研发核武器的大量图片，其中甚至包括核工厂内部的清晰图片，使得掌握了第一手资料及证据”。 关于计算机病毒 几类典型的计算机病毒 与病毒相关的几个概念 陷门(trap door)：程序中的秘密入口点，知道陷门的人可以通过这样的入口点绕过正常的安全检查机制 逻辑炸弹(logic bomb)：内嵌在合法程序中的条件代码 特洛伊木马(Trojan horses)：木马程序可以被用于进行直接或者间接地达到未授权访问资源的目的 蠕虫(worms)：通过网络进行传播 细菌(bacteria)：不停地复制自身 现在的计算机病毒已经综合了这些概念，所有现在的防病毒软件也往往综合了相应的对策。病毒与黑客技术的结合也使得防病毒的任务更加艰巨。 关于“特洛伊木马” 莫里斯蠕虫（Morris Worm） 时间 1988年 肇事者 -Robert T. Morris , 美国康奈尔大学学生，其父是美国国家安全局安全专家 机理 -利用sendmail, finger 等服务的漏洞，消耗CPU资源，拒绝服务 影响 -Internet上大约6000台计算机感染，占当时Internet 联网主机总数的10%，造成9600万美元的损失 CERT/CC的诞生 -DARPA成立CERT（Computer Emergency Response Team），以应付类似“蠕虫（Morris Worm）”事件 红色代码 病毒攻击成为严重的安全威胁 4.1 信息安全及安全保障概述 4.1 信息安全及安全保障概述 真实性 可靠性 完整性 保密性 可用性 不可窜改性 4.1 信息安全及安全保障概述 4.2 电子政务信息安全风险评估体系 4.2 电子政务信息安全风险评估体系 4.2 电子政务信息安全风险评估体系 4.2 电子政务信息安全风险评估体系 4.2 电子政务信息安全风险评估体系 （1）确定风险评估的范围 （2）确定风险评估的目标 （3）建立适当的组织结构 （4）建立系统性的风险评估方法 （5）获得最高管理者对风险评估策划的批准。 4.2 电子政务信息安全风险评估体系 4.2 电子政务信息安全风险评估体系 4.2 电子政务信息安全风险评估体系 4.2 电子政务信息安全风险评估体系 4.2 电子政务信息安全风险评估体系 4.2 电子政务信息安全风险评估体系 4.2 电子政务信息安全风险评估体系 4.2 电子政务信息安全风险评估体系 4.2 电子政务信息安全风险评估体系 （1）风险评估过程计划 （2）风险评估程序 （3）信息资产识别清单 （4）重要信息资产清单 （5）威胁参考表 （6）脆弱性参考表 （7）风险评估记录 （8）风险处理计划 （9）风险评估报告 4.3 电子政务信息安全技术 4.3 电子政务信息安全技术 明文、密文？ 加解密系统的主要组成部分？ 4.3 电子政务信息安全技术 4.3 电子政务信息安全技术 定义：由软件和硬件设备组合而成、在内部网和外部网之间、专用网与公共网之间的界面上构造的保护屏障技术 组成：服务访问规则、验证工具、包过滤、应用网关 作用：通过硬件与软件的结合，使内部网和外部网之间建立起一个安全网关，防止机密信息的非法或违规操作，从根本上阻止机密信息泄漏事件的发生 分类：数据包过滤型、应用级网关型、代理服务器型 弊端：不能阻止来自内部的攻击，不能防止绕过它的连接，不能防止病毒的入侵 4.3 电子政务信息安全技术 4.3 电子政务信息安全技术 分类 主机防病毒技术 网关防病毒技术 4.3 电子政务信息安全技术 功能 监视、分析用户及系统活动 对系统缺陷的审计 识别攻击行为并触发警报 对异常网络行为的分析 评估重要数据或文件的完整性 识别用户违反安全策略的行为 4.3 电子政务信息安全技术 数字签名 身份认证技术 4.4 信息安全运行管理体系 人员审查 人员培训 人员考核 人员调离 人员管理原则 岗位人选 签订保密合同 4.4 信息安全运行管理体系 涉密介质管理 （1）根据其中信息的最高密级决定介质的密级 （2）按照同密级纸质文件进行管理 （3）维修由专人负责 （4）发现遗失立即报告 （5）销毁须报领导审批同意，由两人以上监督销毁 软件系统的管理 （1）保护软件系统的完整 （2）保证软件的存储安全 （3）保障软件的通信安全 （4）保障软件的使用安全 4.4 信息安全运行管理体系 密钥管理 （1）由专门的密钥管理部门或授权人负责密钥的生成 （2）密钥分发过程采用安全的信道 （3