信息安全概述信息加密技术认证技术第四.pptVIP

**安全服务市场预测安全服务业务到2005年的年平均增长率为25.5%Source:IDC,Sept2001第一章概述1.1信息与信息系统**代码攻击的失程度Source:ComputerEconomics,January2002Unit:billion$第一章概述1.1信息与信息系统**恶意代码攻击的年度损失Unit:billion$第一章概述1.1信息与信息系统**对安全问题的重视程度增强Source:ComputerEconomics,January2002第一章概述1.1信息与信息系统**发现安全事故的公司比例25%40%27%38%79%91%85%94%0%20%40%60%80%100%20002001系统侵透DOS攻击雇员行为不正病毒第一章概述1.1信息与信息系统**第一章概述1.2信息安全概述1.2.1信息安全的内涵与属性信息安全是指信息在产生、传输、处理和存储过程中不被泄露或破坏，确保信息的可用性、保密性、完整性和不可否认性，并保证信息系统的可靠性和可控性。信息安全包含三层含义:系统安全，即实体安全和系统运行安全。系统中的信息安全，即通过对用户权限的控制、数据加密等确保信息不被非授权者获取和篡改。管理安全，即用综合手段对信息资源和系统安全运行进行有效管理。**第一章概述1.2信息安全概述1.2.2信息安全研究内容实体硬件安全软件系统安全密码技术网络安全防护数据信息安全认证技术病毒防治技术防火墙与隔离技术入侵检测技术**第一章概述1.2信息安全概述1.2.3信息安全技术发展过程20世纪50年代，实体安全防护和硬、软件防护。20世纪70年代，网络安全防护,访问控制机制、数据加密传输、防止非法访问的措施。20世纪70年代中期。公开密钥密码体制、DES加密算法出现。20世纪80年代以来，以抑制计算机信息泄漏20世纪90年代，分布式和面向对象数据库系统的安全，安全信息系统的设计方法、多域安全和保护模型**第一章概述1.3信息系统安全防御策略1.3.1信息系统防御策略的基本原则信息系统安全体系属于典型的防御体系，在构建防御体系过程中应坚持下列原则1.最小特权原则2.纵深防御3.建立控制点4.监测和消除薄弱连接5.失效保护原则6.普遍参与7.防御多样化8.简单化原则**第一章概述1.3信息系统安全防御策略1.3.1信息系统防御策略的基本原则1.最小特权原则其实质是任何实体（用户、管理员、进程、应用和系统等）仅有该主体需要完成其被指定任务的所必须的权力，此外没有更多的特权。最小特权可以尽量避免将信息系统资源暴露在侵袭之下。在信息系统安全设计中，对于每个用户并不需要使用所有的网上服务；不是所有用户需要去修改（甚至去读）系统中的每一个文件；每一个用户并不需要都知道系统的根口令；每个系统管理员也没有必要都知道系统的根口令等，这些可以说是最小特权的例子。**第一章概述1.3信息系统安全防御策略1.3.1信息系统防御策略的基本原则2.纵深防御安全体系不要只依靠单一安全机制和多种安全服务的堆砌，应该建立互相支撑的多种安全机制，建立具有协议层次和纵向结构层次（信息流方向）的完备体系。通过多层机制互相支撑来获取整个信息系统的安全。**第一章概述1.3信息系统安全防御策略1.3.1信息系统防御策略的基本原则3.建立控制点在网络系统对外连接的通道上建立控制点，可以使系统管理人员对网络进行监控连接，对攻击者进行监视和控制。在网络信息安全系统中，位于站点与Internet之间的防火墙就是一个控制点的典型例子。任何一个从公共网络侵袭站点的操作都必须通过这个对侵袭起防御作用的控制点，系统管理人员应当在网络运行中监视这些侵袭并在发现它们时进行基于策略的处理。**第一章概述1.3信息系统安全防御策略1.3.1信息系统防御策略的基本原则4.监测和消除薄弱连接系统安全的强度取决于系统连接最薄弱环节（脆弱性）的安全态势，强的坚固程度取决于它最薄（脆）弱点的坚固特性。精明的攻击者总要找出系统的弱点，并集中力量对其进行攻击。系统管理人员应意识到网络系统防御中的弱点，以便采取措施进行加固或消除它们的