Information Security Course and Laboratories ISCAL 资讯安全课程 .PPTVIP

* 資訊安全概論與實務 第二篇 安全架構 * 資訊安全概論與實務 第二篇 安全架構 * 資訊安全概論與實務 第二篇 安全架構 * 資訊安全概論與實務 第二篇 安全架構 Information Security Course and Laboratories (ISCAL) * 資訊安全概論與實務 第二篇 安全架構 * 資訊安全概論與實務 第二篇 安全架構 * 資訊安全概論與實務 第二篇 安全架構 * 資訊安全概論與實務 第二篇 安全架構 第五章 分類 行政管理控制 技術控制 實體控制 預防性 使用者註冊 登入密碼、智慧卡 圍牆、門禁卡 偵測性 主管面談與面談報告 自動稽核記錄、入侵偵測系統 (IDS) 紅外線感應器、閉路監視器 (CCTV) 修正性 違規員工的解雇 備援電力、雙網路 滅火器 指導性 資訊安全政策白皮書 網站使用說明 緊急疏散路線標示 嚇阻性 降職、記過 自動產生並公布違規使用報告 警衛亭、「內有惡犬」告示牌 復原性 災難復原計畫 (DRP) 磁帶備份、異地備援 重整、重建 補充性 加強督導、職務輪調政策 鍵盤輸入監控 (僅限於犯罪調查) 層級防禦 (由外牆考慮到機房) 身分：讓使用者擁有一個唯一、可電子讀取的名稱，電腦系統以此識別使用者身分。常見的身分為使用者名稱 (username)；提款卡也是一種可識別的電子身分。 身分認證：確認使用該電子身分者為使用者本人。使用者名稱與通關密碼結合是一種身分認證方法；提款卡與 PIN 結合也是一例。 授權：系統通過身分認證後，授予使用者的讀、寫、執行、刪除等權限。 責任歸屬：能讓已經授權的使用者對自己在系統上的行為負責。要做到責任歸屬，系統要有自動的稽核記錄設計。 實體侵入式攻擊 (physical invasive attacks) 精密儀器可將晶片電路清晰放大，並以探針搭接在要讀取的金屬接點上，這個作法稱為 micro-probing，可直接讀取記憶體內資料，或用以瞭解加密引擎的設計方法。 旁道攻擊 (side-channel attacks) 攻擊者在智慧卡正常運作時，輸入特定數值讓晶片計算 (尤其是加解密)，再統計該計算所使用的時間或計算過程中所消耗的電力。如果統計樣本夠大，就有機會推算出晶片內可能的金鑰密碼。較有名的旁道攻擊法為 timing attack 與 power attack 等。 操弄攻擊 (manipulative attacks) 攻擊者刻意在智慧卡運算環境中加入變數，使軟硬體發生非預期的亂象。若這些亂象不是智慧卡設計者所考慮到的，攻擊者就有可能取得機密資料。 生物特徵是 something you are, 也是三種認證要素中最難被偽造者。它可以同時兼具「身分」與「認證」的功能。 生物特徵有靜態與動態兩種： 靜態者包括指紋、視網膜等身體特徵。 動態者包括聲音、簽字律動等行為特徵。 採用生物特徵辨識系統時應注意以下事項： 測量應該準確，下一頁將介紹 CER 概念，用以量測準確度。 一些生物特徵辨識系統可能遭到使用者抗拒，例如視網膜掃描等。 有的生物特徵辨識過程需要較長時間，以致未必實用。目前還是指紋辨識的技術較為成熟。 當儀器的靈敏度被訂越高，越多對的東西會被誤判為錯(誤殺)，稱為第一類錯誤。 當儀器的靈敏度被訂越低，越多錯的東西會被誤判為對(誤放)，稱為第二類錯誤。 最佳的儀器靈敏度應該在兩條曲線的交點，這個點的錯誤率稱做交點錯誤率 (crossover error rate, CER) 。 錯誤率 儀器靈敏度 第一類錯誤 (誤殺) 第二類錯誤 (誤放) 交點錯誤率 (CER) 有些人每天都需要使用不同的系統與應用軟體，以致被太多的使用者名稱與通關密碼所困擾。較簡單的方法是建置單點登錄系統 (single sign-on, SSO)，讓使用者只要登入身分認證伺服器一次，就能使用所有經授權的系統、網路與應用。 1. 使用者在客戶端鍵入使用者名稱與通關密碼 4. 認證成功後，身分認證伺服器允許使用者使用應用伺服器。 認證伺服器 應用伺服器 應用伺服器 2. 使用者名稱與密碼傳送給認證伺服器 3. 認證伺服器認證使用者身分 本章前面所述皆為對「系統」存取的控制，亦即經由各種身分認證的流程，確保只有符合權限的人方能進入系統。 對「資料」存取的控制方法包括： 強制存取控制 (mandatory access control, MAC) 任易存取控制 (discretionary access control, DAC) 存取控制目錄 (access control list, ACL) 規則基準存取控制 (rule-based access control) 角色基準存取控制 (role-based access control) * 資訊安全概論與實