信息系统安全技术--安全风险分析.ppt

信息系统安全技术 --网络安全风险分析 何长龙 高级工程师 目 录 风险综述 安全风险管理 安全风险分析模型 安全风险控制点详细分析 风险综述 在系统工程过程中，风险是对达到属于技术性能，成本和进度方面的目的和目标的不确定性的一种量度。 风险等级用事件和事件结果的概率来分类。对获取程序，系统在产品和过程方面进行风险评价。 风险源包括技术的（可行性，可操作性，生产性，测试性和系统的有效性）；成本（预算，目标），计划表（即技术资料的可用性，技术成就，里程碑）；和规划（即资源、合同）。 中国因特网的发展（2001.06） 出口带宽（3257M） 上网主机数（1002万） WWW主机数 （242739） 用户数（2650万） cn域名数（128362） Cert有关安全事件的统计 年份 事件报道数目 1988 6 1989 132 1990 252 1991 406 1992 773 1993 1334 1994 2340 1995 2412 1996 2573 1997 2134 1998 3734 1999 9895 2000 21756 总数 47711 计算机安全事件 98.4 - mime headers 98.9/10 - Javascript, Java 98.12 - Jan 99 - Trojans 99.1 - sscan 99.2/3 - Slow/Stealth Scans 99.4 - Melissa Macro Virus 99.8 - DNS 99.12 - Y2K trojans 2000.2 - Distributed Denial of Service 计算机安全事件 2000.5 - LoveBug, NewLove, Resume 2000.8/9 - rpc.statd exploits 2000.12 - Y2K 2001.1 - Ramen, BIND vuls, Kournikova 2001.5 - sadmind/IIS worm 2001.7 - Code Red worm 2001.8- Code RedII 2001.9- NIMDA 四月份对中国网站的攻击(443次) 五月1-7日对美国网站的攻击(1041次) 五月1-7日对中国网站的攻击(147次) (1) 系统太脆弱，太容易受攻击； (2) 被攻击时很难及时发现和制止； (3) 有组织有计划的入侵无论在数量上还是在质量 上都呈现快速增长趋势； (4) 在规模和复杂程度上不断扩展网络而很少考虑 其安全状况的变化情况； (5) 因信息系统安全导致的巨大损失并没有得到充 分重视，而有组织的犯罪、情报和恐怖组织却 深谙这种破坏的威力。 信息系统安全领域存在的挑战 互联网存在的六大问题 无主管的自由王国 （有害信息、非法联络、违规行为） 不设防的网络空间 （国家安全、企业利益、个人隐私） 法律约束脆弱 （黑客犯罪、知识侵权、避税） 跨国协调困难 （过境信息控制、跨国黑客打击、关税） 民族化和国际化的冲突 （文化传统、价值观、语言文字） 网络资源紧缺（IP地址、域名、带宽） 文化安全 信息安全 系统安全 物理安全 网络信息安全涉及哪些因素? 因特网的安全涉及哪些因素 系统安全 信息安全 文化安全 物理安全 又称实体安全 又称运行安全 又称数据安全 又称内容安全 关于物理安全 作用点：对计算机网络与计算机系统的物理装备的威胁，主要表现在自然灾害、电磁辐射与恶劣工作环境方面。 外显行为：通信干扰，危害信息注入，信号辐射，信号替换，恶劣操作环境。 防范措施：抗干扰系统，防辐射系统，隐身系统，加固系统，数据备份。 关于系统安全 作用点：对计算机网络与计算机系统可用性与可控性进行攻击。 外显行为：网络被阻塞，黑客行为，非法使用资源等，计算机病毒，使得依赖于信息系统的管理或控制体系陷于瘫痪。 防范措施：防止入侵，检测入侵，攻击反应，系统恢复。 关于信息安全 作用点：对所处理的信息机密性与完整性的威胁，主要表现在加密方面。 外显行为：窃取信息，篡改信息，冒充信息，信息抵赖。 防范措施：加密，完整性技术， 认证，数字签名。 作用点：有害信息的传播对我国的政治制度及传统文化的威胁，主要表现在舆论宣传方面。 外显行为：淫秽暴力信息泛滥、敌对的意识形态信息涌入、英语文化的“泛洪现象”对民族文化的冲击，互联网被利用作为串联工具，传播迅速，影响范围广。 防范措施：设置因特网关，监测、控管。 关于文化