【5A版】网络安全基础PPT.pptVIP

* 数据 * 网络安全更需要完善的整体防卫架构 * * * * * * * * * * * * * * * * * * * * * * * * * * 目前所有对信息安全的概念探讨都一定会提到安全的3个基本属性： * 国际标准化组织（ISO）对计算机系统安全的定义 暴露是因威胁因素而遭受损失的一个案例 应用正确的对策可以消除脆弱性和漏洞，减少风险 * * 脆弱性是一种软件、硬件或是过程缺陷 威胁是对信息或系统任何潜在的威胁 风险是威胁因素利用脆弱性进行攻击的可能性 暴露是因为威胁因素而遭受损失的一个案例 * 目前所有对信息安全的概念探讨都一定会提到安全的3个基本属性： * 所有的安全计划都包括三个主要的原则,这些原则被称为CIA安全三原则 * 所有的安全产品和安全理念无非都是围绕这3个基本概念深入延伸而展开，而且这些概念彼此环环相扣，且生生不息的互为因果。 * * * * * * * * * * * * 虽然病毒和黑客攻击占据了头版头条的位置,安全管理仍然是公司计算机和信息安全的核心内容 * * * * * 日常工作中安全威胁举例 没有及时更新安全补丁 没有安装杀毒软件或者没有及时升级病毒库代码 打开可疑的邮件和可疑的网站 用户名密码过于简单薄弱 把机密数据（如财务数据）带回家办公 任意将自己笔记本电脑带入公司使用 随便把自己的用户名密码告诉他人 ……. 总结回顾 我们面临的安全威胁及脆弱点有哪些? 思考: 如何解决这些威胁? 第3章 安全管理 “安全”与“性能”的对比 性能 容易量化 可以评价为：低、较低、较高、高 …… 看得见 安全 很难量化 只有两个结果“出事”和“不出事” 容易被忽视 原先关注信息安全本身，关注出了事故，以后不要出事故… 信息安全关注的是对信息系统的保障，对于信息数据的保护 业务 业务 还是业务 应该运用管理的、物理的和技术的控制手段来实施信息安全体系建设。 安全策略是安全防护体系的基础 举个例子： 我国有完善的法律法规,公民需要遵守国家相关的法律、法规来保证社会秩序的安定和平。 国家 = 公司 法律法规 = 安全策略 人是安全防护体系中最薄弱的环节 加强员工安全教育、提高网络安全意识 保家卫国,人人有责 风险管理:识别、评估风险，并将这风险减少到一个可以接受的程度，并实行正确的机制以保持这种程度的风险的过程。 安全没有百分之百 No 100% Security 每个系统都有其脆弱性，承担一定程度的风险。 安全威胁带来的损失代价 安全措施本身的费用 风险 RISK RISK RISK RISK 风险 基本的风险 采取措施后剩余的风险 资产 威胁 漏洞 资产 威胁 漏洞 风险管理：---就是为了把企业的风险降到可接受的程度 第4章 防护技术 安全技术是安全防护体系的基本保证 安全防护的目的是保护公司财产 防火墙 防病毒 入侵检测 内容检测 VPN 虚拟专用网 漏洞评估 如果将我们内部网络比作城堡 防火墙就是城堡的护城桥（河）——只允许己方的队伍通过。 防病毒产品就是城堡中的将士——想方设法把发现的敌人消灭。 入侵监测系统就是城堡中的嘹望哨——监视有无敌方或其他误入城堡的人出现。 VPN就是城褒外到城堡内的一个安全地道——有时城堡周围遍布敌军而内外需要联络。 漏洞评估就是巡锣——检测城堡是否坚固以及是否存在潜在隐患。 安全防护体系需要采用多层、堡垒式防护策略 单一的安全保护往往效果不理想 需要从多个层面解决安全问题（物理、通信、网络、系统、应用、人员、组织和管理） 分层的安全防护成倍地增加了黑客攻击的成本和难度 从而卓有成效地降低被攻击的危险，达到安全防护的目标。 总结回顾 安全防护的目的? 怎样实施信息安全建设？ 第5章 攻击技术 这不是黑客 这才是黑客-1 这才是黑客-2 据CNCERT/CC（国家计算机网络应急技术处理协调中心）统计， 2017年4月，境内感染网络病毒的终端数为近144万个；境内被篡改网站数量为6,312个，其中被篡改政府网站数量为194个； 境内被植入后门的网站数量为3,940个，其中政府网站有200个；针对境内网站的仿冒页面数量为1,810个。 常在网上飞，哪能不被黑 攻击的目的 纯粹为了个人娱乐 我能想到最浪漫的事,就是入侵你的电脑 -----黑客语录 为了利益 间谍，商业间谍，国防，犯罪 攻击的原理 利用系统漏洞 利用逻辑漏洞 社交工程学 马其诺防线 高级攻击技术:道高一尺，魔高一丈 身份认证 防火墙 入侵检测 日志分析 暴力破解，session欺骗技术 嗅探技术(Sniff