第02章 网络安全概述.pdfVIP

网络安全 北京邮电大学 郑康锋 zhengkfbupt@163.com 本次课程学习目标 学习完本次课程，您应该能够了解： 资产保护 网络安全需求及保障模型 网络安全防范 网络安全评估 网络安全标准 网络安全威胁及防范 资产保护 网络安全需求及保障模型 网络安全防范 网络安全评估 网络安全标准 资产保护 资产的类型：任何有效的风险分析始于需要保护的资产和资源的 鉴别，资产的类型一般可分成以下4类。  物理资源：物理资源是具有物理形态的资产。包括工作站、服 务器、终端、网络设备、外围设备等，基本上，凡是具有物理 形态的计算资源都是物理资源。  知识资源：和物理资源相比，知识资源更难鉴别，因为它只以 电子的形式存在。知识资源可以是 任何信息的形式，并直在组 织的事务处理中起一定的作用。它包括软件、财务信息、数据 库记录以及计划图表等。例如，公司通过电子邮件交换、信息 ，这些电子报文的存储应看成知识资产。 资产保护 资产的类型 （续）  时间资源：时间也是一个重要的资源，甚至是一个组织最 有价值的资源。当评估时间损失对一 个组织的影响时，应 考虑、由于时间损失引起的全部后果。  信誉资源：在2000年2月，大部分网络公司诸如Yahoo 、 Amazon 、eBay和Buy. com等在受到拒 绝服务攻击以后， 他们的股票价狂跌。虽然这是暂时的，但足以说明消费者 和股票持有者对他们的可信度确实存在影响，且可测量。 又如，2000年10月围绕Microsoft系统的问题公开暴露，公 众不仅对公司，也对其产品的可信度产生了一定的影响。 资产保护 潜在的攻击源：  攻击的来源：潜在的网络攻击可来自任何能访问网络的源 ，这些源之间有很大差异，它依赖于一个组织的规模以及 提供的网络访问的类型。包括内部系统、来自办公室的访 问、通过广域网联到经营伙伴的访问、通过 Internet的访问 ，以及通过modem池的访问等。  谁会进行攻击？潜在的攻击来自多方面，包括组织内部的 员工、临时员工和顾问、竞争者、和组织中具有不同观点 和目的的人、反对这个组织或其员工的人。根据这个组织 的情况，还可能有各种不同的攻击源。 资产保护 资产的有效保护  资产一旦受到威胁和破坏，就会带来两类损失：  一类是即时的损失，如由于系统被破坏，员工无法使用， 因而降低了劳动生产率；又如，ISP的在线服务中断带来经 济上的损失；  另一类是长期的恢复所需花费，也就是从攻击或失效到恢 复正常需要的花费，例如，受到拒绝服务攻击，在一定期 间内资源无法访问带来的损失；又如，为了修复受破坏的 关键文件所需的花费等。 资产保护 安全强度、安全代价和侵入可能性的关系 资产保护 安全强度、安全代价和侵入可能性的关系 网络安全威胁及防范 资产保护 网络安全需求及保障模型 网络安全防范 网络安全评估 网络安全标准 信息的安全需求 保密性：对信息资源开放范围的控制。 （数据加密、访问控制、防计算机电磁泄漏等安全措施） 完整性：保证计算机系统中的信息处于 “保持完整或一种未受