CHD1信息与网络安全简介.pptxVIP

信息与网络安全简介 (An Overview of Information and Network Security) 信息与网络安全概论(第三版) 本章內容 1.1 信息安全的威胁 1.2 信息安全的基本要求 1.3 信息安全的范围 1.4 信息系统的安全分析 1.5 安全的信息系统架构 1.6 法律观点 2 信息与网络安全概论(第三版) 1.1 信息安全的威胁 信息安全的目的—在于保护所有信息系统资源 • 防止未经授权者得到有价值的信息。 • 防止未经授权者偷窃或复制软件。 • 避免计算机资源(例如打印机、内存等)被盗用。 • 避免计算机设备受到灾害的侵袭。 3 信息与网络安全概论(第三版) 信息安全的威胁 • 天然或人为 - 天然的威胁原因：天然灾害 - 人为的威胁原因：管理人員的疏忽 • 蓄意或无意 - 蓄意的威胁原因：企图破坏系统安全 - 无疑的威胁原因：系统管理不良 • 主动或被动 - 被动的威胁原因：不会更改计算机系统资料 - 主动的威胁对象：计算机系统上资料会被篡 改 • 实体或逻辑 - 实体的威胁对象：实际存在的硬件设备 - 逻辑的威胁对象：计算机系统上的资料 4 信息与网络安全概论(第三版) 1.2 信息安全的基本需求 机密性 可用性 不可否认性 信息安全 基本需求 审核 验证性 访问控制 完整性 5 信息与网络安全概论(第三版) 保密性或机密性 • 确保信息的机密，防止机密信息泄露給未经授 权的用户。机密性数据內容不能被而仅能被授 权者所访问 。未经授权者所窃取， • 存取包括读出、浏览及列印。另外「数据是否 存在于系统」也是一项很重要信息。 • 可通过资料加密程序来达到数据的保密性或机 密性。 6 信息与网络安全概论(第三版) 完整性 • 数据内容仅能被合法授权者所更改，不能被未 经授权者所篡改或伪造。 • 数据完整性必须确保数据传输时不会遭受篡 改，以保证数据传输內容的完整性。 • “数字签名”可用来确保数据在传输过程中不会 被黑客篡改及伪造，从而保证数据的完整性 。 7 信息与网络安全概论(第三版) 验证性 验证性包括身份验证(Entity Authentication)及数据或消息 来源验证(Data or Message Authentication)。 • 信息来源的验证 – 是要能确认数据信息的传输来源，以避免有恶意的 传送者假冒原始传送者传送不安全的信息内容。 。 – 一般均利用数字签名或数据加密等方式来解决信息 的来源验证问题 。 • 身份验证 – 对于用户身份的识别而言，系统必须快速且正确地 验证身份。 。 – 为了预防暴力攻击者的恶意侵犯，对于用户身份验 证的时效性比信息验证要严谨。 。 8 信息与网络安全概论(第三版) 可用性 • 确保信息系统运行过程的正确性，以防止恶意行 为导致信息系统毁坏(Destroy)或延迟(Prolong) 。 9 信息与网络安全概论(第三版) 不可否认性 • 在信息安全需求中，对于传送方或接收方，都不能否 认曾进行数据传输、接收和交易等行为，即传送方不 得否认曾传送过某份数据，而接收方也无法否认未曾 接收到某信息数据。 • 数字签名及公开密钥基础设施(Public Key Infrastructure，PKI)对用户身份及信息来源做身份验证 (User Authentication)及数据来源验证(Message Authentication)，并可再与用户在系统上的活动进行连 接，从而实现权责分明及不可否认性。 10 信息与网络安全概论(第三版) 访问控制 • 信息系统内每位用户依其服务等级而有不同的 使用权限。服务等级越高者其权限越大，相反 的，服务等级越小者其权限越小 。 • 访问控制主要是根据系统的授权策略，对用户 做授权验证，以确认其是否为合法授权者，防 止未经授权者访问计算机系统及网络资源。 11 信息与网络安全概论(第三版) 审核 • 信息系统不可能达到绝对安全，也就是百分之 百的安全。 • 因此，必须通过审核记录(Audit Log)来追踪非 法用户，一旦发生入侵攻击事件，就可以尽快 找到发生事件的原因，以作为恢复系统 (Recovery)并预防此类入侵的手法，从而防止 系统再一次被入侵。 12 信息与网络安全概论(第三版) 1.3 信息安全的范围 • 信息安全的领域相当广泛，所有可确保信息系统正常 运行并确保机密数据的保密性及完整性的机制都涵盖 在内。 13 信息与网络安全概论(第三版) 信息管理系统架构 数据库管 理系统 计算机操 作系统 管理信息 系统 国际网络 网际网络 14 信息与网络安全概论(第三版) 组织中完整的安全系统元件 • 用户 – 系统的用户可能是组织中的员工或顾客。 • 操作介面 – 对于不同等级的用户，必须提供