税务系统网络与信息安全技术培训班安全标准.ppt

税务系统网络与信息平安

技术培训班

平安标准

2004年6月;要点;一、信息平安及标准化介绍;21世纪，国家经济与社会文化开展的主要战略目标与技术产业动力，国家实现现代化的根本途径

内容：

领域信息化

党政机关

国防军事

银行

证券

新闻

文化

社会根底设施〔电力、航空、交通等〕

区域信息化〔北京、上海、深圳等〕

社区信息化

企业信息化

家庭信息化;性质：信息技术以网络化的方式应用于社会生活各方面时，对国家、社会、个人平安利益的侵害与保护

关键点：

平安利益：国家、社会、个人的生存和开展的利益

信息技术：

侵害——信息、信息系统〔网络化〕以及信息和信息系统关联的主体〔国家、社会、个人〕的特定平安利益

保护——信息、信息系统〔网络化〕以及信息和信息系统关联的主体〔国家、社会、个人〕的特定平安利益

核心问题：

信息技术：特性和过程结果可侵害或保护国家、社会、个人的平安利益;党的十五届五中全会和第九届人大第六次会议决定建立国家信息平安保障体系

性质：国家以国家意志和国家行为的方式，在信息技术方面所形成的用于保护其平安利益的资源和能力，这种资源和能力表达为特定形态和过程的技术结构、社会结构和人才结构

内容

技术资源

管理资源

人力资源;2.标准化根底;国家标准：对需要在全国范围内统一的技术要求(含标准样品的制作〕。GB/TXXXX.X-200XGBXXXX-200X

行业标准：没有国家标准，需要在全国某个行业范围内统一的技术要求。GA,SJ

地方标准：没有国家标准、行业标准而又需要在省、自治区、直辖市范围内统一的工业产品的平安、卫生要求。DBXX/TXXX-200XDBXX/XXX-200X

企业标准：对企业范围内需要统一的技术要求、管理要求和工作要求。QXXX-XXX-200X;标准化定义;标准化对象;标准化原理;采标;3.国际信息平安标准化组织;信息平安标准化组织－ISO;信息平安标准化组织－IEC/ITU;信息平安标准化组织－IETF;信息平安标准化组织－美国;信息平安标准化组织－欧洲;信息平安标准化组织－英、加、日、韩;4.我国标准工作归口单位;信息平安标委会工作组设置;信息平安标准体系与协调工作组(WG1);PKI/PMI工作组(WG4);信息平安评估工作组(WG5);信息平安管理〔含工程与开发〕工作组(WG7);5.标准体系;信息平安标准体系;5.1根底类标准;5.2技术机制类标准;5.3应用类标准;5.4管理类平安标准;小结〔重点记忆〕;二、信息平安根底标准;根底标准目录;1.基于OSI七层协议的平安体系结构;五种平安效劳;与网络各层相关的OSI平安效劳;OSI平安效劳和平安机制之间的关系;OSI参考模型与TCP/IP的对应关系;2.信息保障〔INFO-Assurance〕技术框架;2.1信息平安保障的概念;信息保障的几个主要方面;人

;信

息

保

障

关

注

的

领

域;2.2技术上的攻击与对策;国家;攻击

;攻击类型图例;2.3纵深防御战略的内涵：;2.3.1保卫网络和根底设施

;

主干网面临三类威胁：

可用带宽的损耗；

网络管理通信的破坏；

网络根底设施的失控。

对主干网的攻击手段可能有：

主动攻击、

被动攻击、

内部人员攻击、

和软硬件装配分发攻击。;2.3.2保卫边界/外部连接

;边界保护框架图例;对流入、流出边界的数据流进行有效的控制和监督。

有效地控制措施包括防火墙、门卫系统、VPN、标识和鉴别/访问控制等。

有效的监督措施包括基于网络的如今检测系统〔IDS〕、脆弱性扫描器、局域网上的病毒检测器等。

这些机制可以单独使用，也可以结合使用，从而对边界内的各类系统提供保护。

虽然边界的主要作用是防止外来攻击，但它也可以来对付某些恶意的内部人员，这些内部人员有可能利用边界环境来发起攻击，和通过开放后门/隐蔽通道来为外部攻击提供方便;2.3.3保卫计算环境;?应用环境是由经验丰富的系统管理员依据平安原理进行维护并正常运行的UNIX或WindowsNT操作系统。

许多应用程序具有商业性质，而且其所用的编码语言会影响系统平安。

本节指出了C、C++、一些脚本语言〔如CGI、PERL、JavaScript和MicrosoftMacro〕、JAVA和ActiveX对系统平安可能造成的影响。

应用环境假定程序开发代码中没有漏洞。;???;2.3.4支撑性根底设施;KMI/PKI涉及网络环境的各个环节。密钥管理/公钥根底设施是密码效劳的根底。

本地的KMI/PKI提供本地授权，

广域网范围的KMI/PKI提供证书、目录，以及密钥产生与发布功能。

PKI提供不同级别的信息保护。其主要特色之一是提供普遍意义的互操作。;检测与响应根底设施中的组