税务系统网络与信息安全技术培训班.pptVIP

税务系统网络与信息安全 技术培训班 2004年6月 ;要 点;一、信息安全及标准化介绍;21世纪，国家经济与社会文化发展的主要战略目标与技术产业动力，国家实现现代化的基本途径 内容： 领域信息化 党政机关 国防军事 银行 证券 新闻 文化 社会基础设施（电力、航空、交通等） 区域信息化（北京、上海、深圳等） 社区信息化 企业信息化 家庭信息化;性质：信息技术以网络化的方式应用于社会生活各方面时，对国家、社会、个人安全利益的侵害与保护 关键点： 安全利益：国家、社会、个人的生存和发展的利益 信息技术： 侵害——信息、信息系统（网络化）以及信息和信息系统关联的主体（国家、社会、个人）的特定安全利益 保护——信息、信息系统（网络化）以及信息和信息系统关联的主体（国家、社会、个人）的特定安全利益 核心问题： 信息技术：特性和过程结果可侵害或保护国家、社会、个人的安全利益;党的十五届五中全会和第九届人大第六次会议决定建立国家信息安全保障体系 性质：国家以国家意志和国家行为的方式，在信息技术方面所形成的用于保护其安全利益的资源和能力，这种资源和能力体现为特定形态和过程的技术结构、社会结构和人才结构 内容 技术资源 管理资源 人力资源;2.标准化基础;国家标准：对需要在全国范围内统一的技术要求(含标准样品的制作）。GB/T XXXX.X-200X GB XXXX-200X 行业标准：没有国家标准，需要在全国某个行业范围内统一的技术要求。GA ,SJ 地方标准：没有国家标准 、行业标准而又需要在省、自治区、直辖市范围内统一的工业产品的安全、卫生要求。 DBXX/T XXX-200X DBXX/XXX-200X 企业标准：对企业范围内需要统一的技术要求、管理要求和工作要求。QXXX-XXX-200X;标准化定义;标准化对象;标准化原理;采标;3.国际信息安全标准化组织;信息安全标准化组织－ ISO;信息安全标准化组织－IEC/ITU;信息安全标准化组织－IETF;信息安全标准化组织－美国;信息安全标准化组织－欧洲;信息安全标准化组织－英、加、日、韩;4.我国标准工作归口单位;信息安全标委会工作组设置 ;信息安全标准体系与协调工作组(WG1);PKI/PMI工作组(WG4);信息安全评估工作组(WG5);信息安全管理（含工程与开发）工作组(WG7);5.标准体系;信息安全标准体系;5.1 基础类标准;5.2 技术机制类标准;5.3 应用类标准;5.4 管理类安全标准;小结（重点记忆）;二、信息安全基础标准;基础标准目录;1.基于OSI七层协议的安全体系结构;五种安全服务;与网络各层相关的OSI安全服务;OSI安全服务和安全机制之间的关系;OSI参考模型与TCP/IP的对应关系;2.信息保障（INFO-Assurance）技术框架;2.1 信息安全保障的概念;信息保障的几个主要方面;人 ;信 息 保 障 关 注 的 领 域;2.2 技术上的攻击与对策 ;;;攻击类型图例;2.3 纵深防御战略的内涵：;2.3.1 保卫网络和基础设施; 主干网面临三类威胁： 可用带宽的损耗； 网络管理通信的破坏； 网络基础设施的失控。 对主干网的攻击手段可能有： 主动攻击、 被动攻击、 内部人员攻击、 和软硬件装配分发攻击。 ;2.3.2 保卫边界/外部连接;边界保护框架图例;对流入、流出边界的数据流进行有效的控制和监督。 有效地控制措施包括防火墙、门卫系统、VPN、标识和鉴别/访问控制等。 有效的监督措施包括基于网络的如今检测系统（IDS）、脆弱性扫描器、局域网上的病毒检测器等。 这些机制可以单独使用，也可以结合使用，从而对边界内的各类系统提供保护。 虽然边界的主要作用是防止外来攻击，但它也可以来对付某些恶意的内部人员，这些内部人员有可能利用边界环境来发起攻击，和通过开放后门/隐蔽通道来为外部攻击提供方便;2.3.3 保卫计算环境; ? 应用环境是由经验丰富的系统管理员依据安全原理进行维护并正常运行的UNIX或Windows NT操作系统。 许多应用程序具有商业性质，而且其所用的编码语言会影响系统安全。 本节指出了C、C++ 、一些脚本语言（如CGI、PERL、 JavaScript和Microsoft Macro）、JAVA和ActiveX对系统安全可能造成的影响。 应用环境假定程序开发代码中没有漏洞。 ;???;2.3.4 支撑性基础设施;KMI/PKI涉及网络环境的各个环节。密钥管理/公钥基础设施是密码服务的基础。 本地的KMI/PKI提供本地授权， 广域网范围的KMI/PKI提供证书、目录，以及密钥产生与发布功能。 PKI提供不同级别的信息保护。其主要特色之一是提供普遍意义的互操作。 ;检测与响应基础设施中的组成部分提供攻击预