第8章-信息系统安全.(改).pptVIP

8.4.2 防火墙、入侵探测系统与杀毒软件 防火墙是由软件和硬件设备组合而成，控制进出网络的通信。防火墙一般设置在组织专用的内部网络和外部网络(如互联网)之间，也可用于内部网络，把某个部分与其他部分分隔开来。防火墙如同看门人，在允许访问之前，检查每个用户的凭证。防火墙可识别名称、IP地址、应用程序和进入网络通信的其他特征。它根据网络管理员事先设定的访问规则，检查相应信息。防火墙阻止未经授权的通信进出网络。 入侵探测系统 入侵探测系统(intrusion detection systems)对公司网络最脆弱的点或“热点”实施不间断的实时监控，及时发现和阻止入侵者。如果系统发现可疑或异常事件，就会生成警报。病毒扫描软件检查是否有与已知攻击类型相似的攻击，如错误口令，也检查重要文件是否已被删除或修改，并发送破坏警告或系统管理错误。监控软件检查正在运行的进程，即时发现安全攻击。入侵检测工具也可在收到未经授权的通信时，自行关闭网络中非常敏感的部分。 常见的杀毒软件和反间谍软件 统一威胁管理系统 安全软件生产商为帮助企业降低成本，提高企业可管理性，把多种安全工具整合到一起，包括防火墙、虚拟专用网络、入侵探测系统、Web内容过滤和反垃圾邮件软件。整合的安全管理产品被称为统一威胁管理(unified threat management, UTM)系统。 8.4.3 保障无线网络的安全 尽管WEP有缺陷，但如果Wi-Fi用户激活WEP，它能提供一定程度的安全保障。阻止黑客最简单的方法是给SSID选择一个安全的名字，并隐藏路由器名字以免广播。企业可以在访问内部网络的数据时，同时使用Wi-Fi和虚拟专用网络(VPN)连接，进一步保证Wi-Fi的安全。 8.4.4 加密和公共密钥基础架构 许多企业在存储、传输或通过互联网发送数字信息时，将数字信息加密以保护其安全。加密(encryption)即将文本或数据转换成密码文本的过程，除发送方和接收方，其他人无法阅读。数据可通过数字代码进行加密，即密钥，密钥把普通数据转换为密文。信息必须由接收方解密。 加密有两种方法： 对称密钥加密和公共密钥加密。对称密钥加密要求发送方和接收方在安全会话之前，商定一个密钥，在会话中双方使用同一密钥。这种密钥的位长越长，安全性越高。 所有对称加密方案的问题在于发送方和接收方须共享同一密钥，入侵者可能在密钥传输途中拦截和解密该密钥。公共密钥加密(public key encryption)更加安全，它采用两个密钥： 一个是公钥，一个是私钥，这两个密钥之间在数学上有关联，因此由一个密钥加密的信息只能用另一个解密。交流双方在发送和接收信息之前，首先要分别创建公开和私密的密钥对。公钥保存在公开目录下，私钥则须用户秘密保存。信息的发送方用公钥加密信息。接收方收到信息后，使用他的私钥解密。 数字证书(digital certificates)是用来确认用户身份的数据文件和用于保护网上交易的电子文档。数字证书系统委托可信赖的第三方，即证书授权中心（CA），验证用户身份。美国及世界其他地方有许多CA，如美国的VeriSign、IdenTrust和澳大利亚的KeyPost. 数字证书可以用于确认个人身份或电子资产，通过提供安全、加密的网上交流以保护在线交易的安全。 美国的VeriSign：世界著名CA 经过VERISIGN认证的网站，可放心访问 8.4.5 保证系统的可用性 企业的盈利和运作日渐依赖数字网络，它们需要采取更多方式保证系统和应用程序正常运行。例如，航空公司和金融服务公司需要联机处理交易，它们多年来一直使用容错计算机系统，以确保百分之百的可用性。联机交易处理(online transaction processing)中，网上交易可立即由计算机处理，数据库内容随之改变，生成报表并实时响应信息需求。 容错计算机系统(fault-tolerant computer systems)包含备用的硬件、软件和电力供应系统，确保系统可提供不间断的服务。容错计算机使用特殊的软件程序或内置的自我检查电路，检测硬件故障并可自动切换到备份设备。即使这些计算机的部件被移除或修复，整个计算机系统也不会停止工作。 研究人员正在探索计算机系统在事故发生后恢复更快的方法，这种方法被称为面向恢复的计算(recovery-oriented computing)。这项工作包括设计迅速恢复的系统，开发功能和工具，帮助运营商迅速找出多组件系统故障的原因且排除故障。 8.4.6 保证软件质量 企业除实行有效的安全和控制措施外，还可以通过软件量度和严格的软件测试来提高系统质量和可靠性。软件量度是以量化形式客观评估系统。信息系统部门和终端用户可利用量度共同测试系统性能，并找出共有问题。 案例：