信息安全及其重要性[互聯(lián)網(wǎng)+]

1、信息安全及其重要性信息安全主要包括以下五方面的內(nèi)容，即需保證信息的保密性、真實(shí)性、完整性、未授權(quán)拷貝和所寄生系統(tǒng)的安全性。信息安全本身包括的范圍很大，其中包括如何防范商業(yè)企業(yè)機(jī)密泄露、防范青少年對不良信息的瀏覽、個(gè)人信息的泄露等。網(wǎng)絡(luò)環(huán)境下的信息安全體系是保證信息安全的關(guān)鍵，包括計(jì)算機(jī)安全操作系統(tǒng)、各種安全協(xié)議、安全機(jī)制(數(shù)字簽名、消息認(rèn)證、數(shù)據(jù)加密等)，直至安全系統(tǒng)，如UniNAC、DLP等，只要存在安全漏洞便可以威脅全局安全。信息安全是指信息系統(tǒng)(包括硬件、軟件、數(shù)據(jù)、人、物理環(huán)境及其基礎(chǔ)設(shè)施)受到保護(hù)，不受偶然的或者惡意的原因而遭到破壞、更改、泄露，系統(tǒng)連續(xù)可靠正常地運(yùn)行，信息服務(wù)不中斷

2、，最終實(shí)現(xiàn)業(yè)務(wù)連續(xù)性。信息安全學(xué)科可分為狹義安全與廣義安全兩個(gè)層次，狹義的安全是建立在以密碼論為基礎(chǔ)的計(jì)算機(jī)安全領(lǐng)域，早期中國信息安全專業(yè)通常以此為基準(zhǔn)，輔以計(jì)算機(jī)技術(shù)、通信網(wǎng)絡(luò)技術(shù)與編程等方面的內(nèi)容;廣義的信息安全是一門綜合性學(xué)科，從傳統(tǒng)的計(jì)算機(jī)安全到信息安全，不但是名稱的變更也是對安全發(fā)展的延伸，安全不在是單純的技術(shù)問題，而是將管理、技術(shù)、法律等問題相結(jié)合的產(chǎn)物。信息安全產(chǎn)品2012年信息安全產(chǎn)業(yè)將步入高速發(fā)展階段，而整個(gè)互聯(lián)網(wǎng)用戶對安全產(chǎn)品的要求也轉(zhuǎn)入主動(dòng)性安全防御。隨著用戶安全防范意識正在增強(qiáng)，主動(dòng)性安全產(chǎn)品將更受關(guān)注，主動(dòng)的安全防御將成為未來安全應(yīng)用的主流。終端方案終端安全解決方案是

3、以終端安全保護(hù)系統(tǒng)全方位綜合保障終端安全，并以數(shù)據(jù)安全保護(hù)系統(tǒng)重點(diǎn)保護(hù)終端敏感數(shù)據(jù)的安全。終端安全保護(hù)系統(tǒng)以主動(dòng)防御理念為基礎(chǔ)，采用自主知識產(chǎn)權(quán)的基于標(biāo)識的認(rèn)證技術(shù)，以智能控制和安全執(zhí)行雙重體系結(jié)構(gòu)為基礎(chǔ)，將全面安全策略與操作系統(tǒng)有機(jī)結(jié)合，通過對代碼、端口、網(wǎng)絡(luò)連接、移動(dòng)存儲(chǔ)設(shè)備接入、數(shù)據(jù)文件加密、行為審計(jì)分級控制，實(shí)現(xiàn)操作系統(tǒng)加固及信息系統(tǒng)的自主、可控、可管理，保障終端系統(tǒng)及數(shù)據(jù)的安全。安全軟件數(shù)據(jù)安全保護(hù)系統(tǒng)能夠?qū)崿F(xiàn)數(shù)據(jù)文檔的透明加解密保護(hù)，可指定類型文件加密、指定程序創(chuàng)建文件加密，杜絕文檔泄密。實(shí)現(xiàn)數(shù)據(jù)文檔的強(qiáng)制訪問控制和統(tǒng)一管理控制、敏感文件及加密密鑰的冗余存儲(chǔ)備份，包括文件權(quán)限管理、

4、用戶管理、共享管理、外發(fā)管理、備份管理、審計(jì)管理等。對政府及企業(yè)的各種敏感數(shù)據(jù)文檔，包括設(shè)計(jì)文檔、設(shè)計(jì)圖紙、源代碼、營銷方案、財(cái)務(wù)報(bào)表及其他各種涉及企業(yè)商業(yè)秘密的文檔，都能實(shí)現(xiàn)穩(wěn)妥有效的保護(hù)。信息安全影響因素信息安全與技術(shù)的關(guān)系可以追溯到遠(yuǎn)古。埃及人在石碑上鐫刻了令人費(fèi)解的象形文字;斯巴達(dá)人使用一種稱為密碼棒的工具傳達(dá)軍事計(jì)劃，羅馬時(shí)代的凱撒大帝是加密函的古代將領(lǐng)之一，凱撒密碼據(jù)傳是古羅馬凱撒大帝用來保護(hù)重要軍情的加密系統(tǒng)。它 是一種替代密碼，通過將字母按順序推后 3 位起到加密作用，如將字母 A 換作字母 D， 將字母 B 換作字母 E。英國計(jì)算機(jī)科學(xué)之父阿蘭圖靈在英國布萊切利莊園幫助破解了

5、 德國海軍的 Enigma 密電碼，改變了二次世界大戰(zhàn)的進(jìn)程。美國 NIST 將信息安全控制分 為 3 類。(1)技術(shù)，包括產(chǎn)品和過程(例如防火墻、防病毒軟件、侵入檢測、加密技術(shù))。(2)操作，主要包括加強(qiáng)機(jī)制和方法、糾正運(yùn)行缺陷、各種威脅造成的運(yùn)行缺陷、物 理進(jìn)入控制、備份能力、免予環(huán)境威脅的保護(hù)。(3)管理，包括使用政策、員工培訓(xùn)、業(yè)務(wù)規(guī)劃、基于信息安全的非技術(shù)領(lǐng)域。 信息系統(tǒng)安全涉及政策法規(guī)、教育、管理標(biāo)準(zhǔn)、技術(shù)等方面，任何單一層次的安全措 施都不能提供全方位的安全，安全問題應(yīng)從系統(tǒng)工程的角度來考慮。圖 8-1 給出了 NSTISSC 安全模型。安全威脅(1) 信息泄露:信息被泄露或透露

6、給某個(gè)非授權(quán)的實(shí)體。(2) 破壞信息的完整性:數(shù)據(jù)被非授權(quán)地進(jìn)行增刪、修改或破壞而受到損失。(3) 拒絕服務(wù):對信息或其他資源的合法訪問被無條件地阻止。(4) 非法使用(非授權(quán)訪問):某一資源被某個(gè)非授權(quán)的人，或以非授權(quán)的方式使用。(5) 竊聽:用各種可能的合法或非法的手段竊取系統(tǒng)中的信息資源和敏感信息。例如對通信線路中傳輸?shù)男盘柎罹€監(jiān)聽，或者利用通信設(shè)備在工作過程中產(chǎn)生的電磁泄露截取有用信息等。(6) 業(yè)務(wù)流分析:通過對系統(tǒng)進(jìn)行長期監(jiān)聽，利用統(tǒng)計(jì)分析方法對諸如通信頻度、通信的信息流向、通信總量的變化等參數(shù)進(jìn)行研究，從中發(fā)現(xiàn)有價(jià)值的信息和規(guī)律。(7) 假冒:通過欺騙通信系統(tǒng)(或用戶)達(dá)到非法用

7、戶冒充成為合法用戶，或者特權(quán)小的用戶冒充成為特權(quán)大的用戶的目的。黑客大多是采用假冒攻擊。(8) 旁路控制:攻擊者利用系統(tǒng)的安全缺陷或安全性上的脆弱之處獲得非授權(quán)的權(quán)利或特權(quán)。例如，攻擊者通過各種攻擊手段發(fā)現(xiàn)原本應(yīng)保密，但是卻又暴露出來的一些系統(tǒng)特性，利用這些特性，攻擊者可以繞過防線守衛(wèi)者侵入系統(tǒng)的內(nèi)部。(9) 授權(quán)侵犯:被授權(quán)以某一目的使用某一系統(tǒng)或資源的某個(gè)人，卻將此權(quán)限用于其他非授權(quán)的目的，也稱作內(nèi)部攻擊。(10)特洛伊木馬:軟件中含有一個(gè)覺察不出的有害的程序段，當(dāng)它被執(zhí)行時(shí)，會(huì)破壞用戶的安全。這種應(yīng)用程序稱為特洛伊木馬(Trojan Horse)。(11)陷阱門:在某個(gè)系統(tǒng)或某個(gè)部件中設(shè)

8、置的機(jī)關(guān)，使得在特定的數(shù)據(jù)輸入時(shí)，允許違反安全策略。(12)抵賴:這是一種來自用戶的攻擊，比如:否認(rèn)自己曾經(jīng)發(fā)布過的某條消息、偽造一份對方來信等。(13)重放:出于非法目的，將所截獲的某次合法的通信數(shù)據(jù)進(jìn)行拷貝，而重新發(fā)送。(14)計(jì)算機(jī)病毒:一種在計(jì)算機(jī)系統(tǒng)運(yùn)行過程中能夠?qū)崿F(xiàn)傳染和侵害功能的程序。(15)人員不慎:一個(gè)授權(quán)的人為了某種利益，或由于粗心，將信息泄露給一個(gè)非授權(quán)的人。(16)媒體廢棄:信息被從廢棄的磁碟或打印過的存儲(chǔ)介質(zhì)中獲得。(17)物理侵入:侵入者繞過物理控制而獲得對系統(tǒng)的訪問。(18)竊取:重要的安全物品，如令牌或身份卡被盜。(19)業(yè)務(wù)欺騙:某一偽系統(tǒng)或系統(tǒng)部件欺騙合法的

9、用戶或系統(tǒng)自愿地放棄敏感信息等等。2014年信息安全大事件1月，中國互聯(lián)網(wǎng)出現(xiàn)大面積DNS解析故障2月，維護(hù)網(wǎng)絡(luò)安全首次被列入政府工作報(bào)告3月，攜程安全門敲響網(wǎng)絡(luò)消費(fèi)安全警鐘4月，微軟停止XP支持，影響兩億國內(nèi)用戶5月，山寨網(wǎng)銀及山寨微信大量竊取網(wǎng)銀信息6月，免費(fèi)Wi-Fi存陷阱，竊取用戶手機(jī)敏感信息7月，蘋果承認(rèn)iPhone存在安全漏洞8月，XX神器安卓系統(tǒng)手機(jī)病毒在全國蔓延9月，2014年中國互聯(lián)網(wǎng)安全大會(huì)(ICS)召開10月，2014中國網(wǎng)絡(luò)安全大會(huì)(NSC2014)召開11月，首屆國家網(wǎng)絡(luò)安全宣傳周活動(dòng)舉辦12月，86萬條簡歷數(shù)據(jù)因某招聘網(wǎng)站漏洞而被泄露信息安全的重要性信息作為一種資源

10、，它的普遍性、共享性、增值性、可處理性和多效用性，使其對于人類具有特別重要的意義。信息安全的實(shí)質(zhì)就是要保護(hù)信息系統(tǒng)或信息網(wǎng)絡(luò)中的信息資源免受各種類型的威脅、干擾和破壞，即保證信息的安全性。根據(jù)國際標(biāo)準(zhǔn)化組織的定義，信息安全性的含義主要是指信息的完整性、可用性、保密性和可靠性。信息安全是任何國家、政府、部門、行業(yè)都必須十分重視的問題，是一個(gè)不容忽視的國家安全戰(zhàn)略。但是，對于不同的部門和行業(yè)來說，其對信息安全的要求和重點(diǎn)卻是有區(qū)別的。中國的改革開放帶來了各方面信息量的急劇增加，并要求大容量、高效率地傳輸這些信息。為了適應(yīng)這一形勢，通信技術(shù)發(fā)生了前所未有的爆炸性發(fā)展。除有線通信外，短波、超短波、微波

11、、衛(wèi)星等無線電通信也正在越來越廣泛地應(yīng)用。與此同時(shí)，國外敵對勢力為了竊取中國的政治、軍事、經(jīng)濟(jì)、科學(xué)技術(shù)等方面的秘密信息，運(yùn)用偵察臺、偵察船、偵察機(jī)、衛(wèi)星等手段，形成固定與移動(dòng)、遠(yuǎn)距離與近距離、空中與地面相結(jié)合的立體偵察網(wǎng)，截取中國通信傳輸中的信息。從文獻(xiàn)中了解一個(gè)社會(huì)的內(nèi)幕，早已是司空見慣的事情。在20世紀(jì)后50年中，從社會(huì)所屬計(jì)算機(jī)中了解一個(gè)社會(huì)的內(nèi)幕，正變得越來越容易。不管是機(jī)構(gòu)還是個(gè)人，正把日益繁多的事情托付給計(jì)算機(jī)來完成，敏感信息正經(jīng)過脆弱的通信線路在計(jì)算機(jī)系統(tǒng)之間傳送，專用信息在計(jì)算機(jī)內(nèi)存儲(chǔ)或在計(jì)算機(jī)之間傳送，電子銀行業(yè)務(wù)使財(cái)務(wù)賬目可通過通信線路查閱，執(zhí)法部門從計(jì)算機(jī)中了解罪犯的前科，醫(yī)生們用計(jì)算機(jī)管理病歷，最重要的問題是不能在對非法(非授權(quán))獲取(訪問)不加防范的條件下傳輸信息。傳輸信息的方式很多，有局域計(jì)算機(jī)網(wǎng)、互聯(lián)