网络安全和防火墙第1部分安全的概念.安全标准和安全组织.pptVIP

等级保护基本原理 依据信息系统的使命与目标和系统重要程度，将系统划分为不同的安全等级，并综合平衡考虑系统安全要求、系统所面临安全风险和实施安全措施的成本，通过调整和定制，形成不同等级的安全措施进行保护 实行等级保护的目的 满足不同行业、信息化发展阶段、不同层次的安全要求 有利于突出重点 有利于控制安全的成本 信息安全保护等级的划分和标准 第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。 信息安全保护等级的划分和标准 第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。 信息安全保护等级的划分和标准 第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。 信息安全保护等级的划分和标准 第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。 信息安全保护等级的划分和标准 第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。 等级化设计方法 终端用户资源 许多损害是来自于公司内部，用户操作失误或是缺乏安全意识往往会带来严重的安全问题。 网络资源 作为公司主要的通信媒介，网络联系着公司的各方面，若黑客侵入了网络，则黑客也可能随意地访问到各种资源，甚至进行各种极具危害的操作。 服务器资源 用于存储重要资料或是负责安全管理的服务器是最吸引黑客攻击的，而服务器遭受攻击造成的损失往往也是最大的。 信息存储资源 发现信息并获得信息可以认为是黑客行为的最终目的，黑客通过各种手段侵入网络，也是为了通过网络来得到他们所要的信息。 各种资源易受的攻击 重要资源 潜在的威胁 终端用户资源 病毒，木马，Java小程序可以对本地系统 造成危险 网络资源 IP欺骗，系统探测，及获得相关信息 服务器资源 非授权侵入，截取服务，木马。服务器资 源经常成为最主要的目标 数据库和信息资源 得到商业机密，交易行为，消费者的数据 等等 潜在的威胁 信息泄密 信息被篡改 传输非法信息流 网络资源的错误使用 非法使用网络资源 计算机病毒 网络中存在的不安全因素 自然灾害：水灾、火灾、地震等 人为灾害：战争、纵火、盗窃设备等 系统物理故障：硬件故障、软件故障、网络故障等 人为的无意失误：程序设计错误、误操作、无意中损坏和无意中泄密等 人为的恶意攻击：主动攻击、被动攻击 存在百分之百的安全吗 开 销 风 险 性 能 尽管不可能实现绝对安全，但是仍可以达到某种水平，使得几乎所有最熟练的和最坚定的黑客也不能登录到系统。一个有效的安全策略能够使不安全因素最小化。 安全就是在动态环境中寻求平衡的过程 在安全实施的过程中，安全人员所要做的工作就是在易用性和安全性之间寻求平衡，赋予用户能完成所有工作的最小权限，以使安全最大化。 网络安全的目标 身份真实性：能对通讯实体身份的真实性进行鉴别。 信息机密性：保证机密信息不会泄露给非授权的人或实体。 信息完整性：保证数据的一致性，防止数据被非授权用户或 实体建立、修改和破坏。 服务可用性：保证合法用户对信息和资源的使用不会被不正 当地拒绝。 不可否认性：建立有效的责任机制，防止实体否认其行为。 系统可控性：能够控制使用资源的人或实体的使用方式。 系统易用性：在满足安全要求的条件下，系统应当操作简 单、维护方便。 可审查性： 对出现的网络安全问题提供调查的依据和手 段。 第二单元 安全标准及组织概况 学习目标 了解安全标准的意义 ISO 17799/ISO 27001的主要内容 了解公共准则 熟悉主要的网络安全组织 国际标准化组织 国际标准化组织，简称ISO，是一个全球性的非政府组织，是国际标准化领域中一个十分重要的组织。其任务是促进全球范围内的标准化及其有关活动。 ISO 定义的安全服务 认证： 提供身份验证的过程。 访问控制： 访问控制确定用户能做些什么。 数据保密性： 保护数据不被未授权的暴露。 数据完整性： 通过检查或维护信息的一致性来 防止主动的威胁。 不可否定性： 是防止参与交易的全部或部分的 抵赖。不可否定性可以防止来自 源端的欺骗。 安全机制 安全机制是一种技术，一些软件或实施一个或多个安全服务的过程 。 特殊安全机制 加密 数字签名机制 访问控制 数据完整性 身份验证 流量填充 普