Lecture3 信息安全测评与风险评估 教学课件.ppt

本次课程要点 * * * 信息安全测评与风险评估 工程 艺术 天作之合 s 信息安全测评与风险评估 信息安全实验室教学团队 重庆大学 软件学院 工程 艺术 天作之合 信息与信息系统安全 主机安全测评八要素 主机安全访谈举例 主机检测动手实验 从“计算”到“计算安全” 人类最早的计算工具是什么？ 从算筹到算盘 从机械式计算机到个人电脑 计算安全是什么时候出现的？ 信息安全与信息系统安全 信息安全：回答的是“what” 信息系统安全：回答的是“how” 主机安全：是信息系统安全的分支 主机安全：是信息系统安全的的“最后一道防线” 穿越“时空隧道”的畅想 古代信息安全 阴符、阴书 江湖切口 密语、密码 古代主机安全 传令兵的口令 传令兵的身体 … 现代信息安全 对称加密 非对称加密 信息隐藏 … 现代主机安全 身份鉴别、 访问控制 安全审计、 剩余信息保护 入侵防范、 恶意代码防范、 资源控制… “纵深防御” 保密性 完整性 可用性 保密 鉴别 可用 授权 完整 访问 控制 自主 控制 强制 控制 身份 鉴别 安全 审计 剩余 信息 资源 控制 入侵 防范 恶意 代码 主机安全测评要点 CIA 机密性 完整性 可用性 主机安全 身份鉴别 访问控制 安全审计 剩余信息 入侵防范 恶意代码 资源控制 检 查 测试 访谈 身份鉴别访谈举例 第3级测评要求： 1）应访谈系统管理员，询问操作系统的身份标识与鉴别机制采取何 种措施实现; 2）应访谈数据库管理员，询问数据库的身份标识与鉴别机制采取何 种措施实现； 3）应访谈主要操作系统和数据库管理员是否采用了远程管理，如采 用了远程管理，查看采用何种措施防止鉴别信息在网络传输过程中被 窃听。 示例… 安全审计访谈举例 第3级测评要求： 应访谈安全审计员，询问主机系统是否设置安全审计；询问主机系统对事件进行审计的选择要求和策略是什么；对审计日志的处理方式有哪些 示例… 剩余信息保护访谈举例 第3级测评要求： 1）应访谈系统管理员，询问操作系统用户的鉴别信息存储空间，被释放或再分配给其他用户前是否得到完全清除；系统内的文件、目录等资源所在的存储空间，被释放或重新分配给其他用户前是否得到完全清除； 2）应访谈数据库管理员，询问数据库管理员用户的鉴别信息存储空间，被释放或再分配给其他用户前是否得到完全清除；数据库记录等资源所在的存储空间，被释放或重新分配给其他用户前是否得到完全清除。 示例… 入侵防范访谈举例 第3级测评要求： 1）应访谈系统管理员，询问是否采取入侵防范措施，入侵防范内容是否包括主机运行监视、资源使用超过值报警、特定进程监控、入侵行为检测、完整性检测等方面内容； 2）应访谈系统管理员，询问入侵防范产品的厂家、版本和安装部署情况；询问是否按要求（如定期或实时）进行产品升级。 示例… 恶意代码防范访谈举例 第3级测评要求： 1）应访谈系统安全管理员，询问主机系统是否采取恶意代码实时检测与查杀措施，恶意代码实时检测与查杀措施的部署情况如何，是否按要求（如定期或实时）进行产品升级 示例… 课堂实验-轻量级 1） 主机身份鉴别现场检查（检查条款第2、3、5条共3个） 2）主机自主访问控制现场检查（检查条款第2、3、6条共3个） 3）主机安全审计现场检查（检查条款第1、2、5条共3个） 4）主机资源控制现场检查（检查条款第2至4条共3个） 12个微型练习 课堂实验-中量级 1）主机入侵防范现场检查（检查条款第2、3条共2个） 2）主机恶意代码现场检查（检查条款第2条） 3）主机自主访问控制测试（测试条款第1条） 5）主机强制访问控制测试（测试条款第1、2条共2个） 6）主机安全审计测试（测试条款第1、2条共2个） 8个动手小实验 课堂实验-重量级 1） 主机入侵防范现场检查（检查条款第1条） 2）主机身份鉴别测试（测试条款第2、3条共2个） 请按照相关格式/模板提交上述三个