信息安全講座課件

1、信息安全講座2022/7/24信息安全講座什么是信息安全1為什么需要信息安全2典型信息安全案例分析3安全基本原則4株洲君安安全科技Contents信息安全講座信息安全范圍國家政府軍事機(jī)密安全商業(yè)企業(yè)機(jī)密泄露個(gè)人信息泄露株洲君安安全科技信息安全講座信息安全是指信息網(wǎng)絡(luò)的硬件、軟件及其系統(tǒng)中的數(shù)據(jù)受到保護(hù)，不受偶然的或者惡意的原因而遭到破壞、更改、泄露，系統(tǒng)連續(xù)可靠正常地運(yùn)行，信息服務(wù)不中斷。信息安全是一門涉及計(jì)算機(jī)科學(xué)、網(wǎng)絡(luò)技術(shù)、通信技術(shù)、密碼技術(shù)、信息安全技術(shù)、應(yīng)用數(shù)學(xué)、數(shù)論、信息論等多種學(xué)科的綜合性學(xué)科。 什么是信息安全株洲君安安全科技信息安全講座信息安全的重要性信息作為一種資源，它的普遍性

2、、共享性、增值性、可處理性和多效用性，使其對(duì)于人類具有特別重要的意義。信息安全的實(shí)質(zhì)就是要保護(hù)信息系統(tǒng)或信息網(wǎng)絡(luò)中的信息資源免受各種類型的威脅、干擾和破壞，即保證信息的安全性。根據(jù)國際標(biāo)準(zhǔn)化組織的定義，信息安全性的含義主要是指信息的完整性、可用性、保密性和可靠性。信息安全是任何國家、政府、部門、行業(yè)都必須十分重視的問題，是一個(gè)不容忽視的國家安全戰(zhàn)略。但是，對(duì)于不同的部門和行業(yè)來說，其對(duì)信息安全的要求和重點(diǎn)卻是有區(qū)別的 株洲君安安全科技信息安全講座信息安全的實(shí)現(xiàn)目標(biāo)真實(shí)性：對(duì)信息的來源進(jìn)行判斷，能對(duì)偽造來源的信息予以鑒別。保密性：保證機(jī)密信息不被竊聽，或竊聽者不能了解信息的真實(shí)含義。完整性：保證

3、數(shù)據(jù)的一致性，防止數(shù)據(jù)被非法用戶篡改?？捎眯裕罕ＷC合法用戶對(duì)信息和資源的使用不會(huì)被不正當(dāng)?shù)鼐芙^。不可抵賴性：建立有效的責(zé)任機(jī)制，防止用戶否認(rèn)其行為，這一點(diǎn)在電子商務(wù)中是極其重要的?？煽刂菩裕簩?duì)信息的傳播及內(nèi)容具有控制能力。可審查性：對(duì)出現(xiàn)的網(wǎng)絡(luò)安全問題提供調(diào)查的依據(jù)和手段 株洲君安安全科技信息安全講座Contents什么是信息安全1為什么需要信息安全2典型信息安全案例分析3安全基本原則4株洲君安安全科技信息安全講座各種威脅方的分布百分比株洲君安安全科技信息安全講座各種威脅方的分布百分比 獨(dú)立黑客：黑客攻擊越來越頻繁，直接影響企業(yè)正常的業(yè)務(wù)運(yùn)作！ 內(nèi)部員工：1、信息安全意識(shí)薄弱的員工誤用、濫用等

4、；2、越權(quán)訪問，如：系統(tǒng)管理員，應(yīng)用管理員越權(quán)訪問數(shù)據(jù)；3、政治言論發(fā)表、非法站點(diǎn)的訪問等；4、內(nèi)部不穩(wěn)定、情緒不滿的員工。如：員工離職帶走企業(yè)秘密，尤其是企業(yè)內(nèi)部高層流動(dòng)、集體流動(dòng)等！ 競爭對(duì)手：法制環(huán)境不健全，行業(yè)不正當(dāng)競爭（如：竊取機(jī)密，破壞企業(yè)的業(yè)務(wù)服務(wù)）！ 國外政府或機(jī)構(gòu)：法制環(huán)境不健全，行業(yè)不正當(dāng)競爭（如：竊取機(jī)密，破壞企業(yè)的業(yè)務(wù)服務(wù)）！株洲君安安全科技信息安全講座企業(yè)面臨的主要信息安全問題人員問題：信息安全意識(shí)薄弱的員工誤操作、誤設(shè)置造成系統(tǒng)宕機(jī)、數(shù)據(jù)丟失，信息泄漏等問題特權(quán)人員越權(quán)訪問，如：系統(tǒng)管理員，應(yīng)用管理員越權(quán)訪問、傳播敏感數(shù)據(jù)內(nèi)部員工和即將離職員工竊取企業(yè)秘密，尤其是骨

5、干員工流動(dòng)、集體流動(dòng)等技術(shù)問題：病毒和黑客攻擊越來越多、爆發(fā)越來越頻繁，直接影響企業(yè)正常的業(yè)務(wù)運(yùn)作法律方面網(wǎng)絡(luò)濫用：員工發(fā)表政治言論、訪問非法網(wǎng)站法制不健全，行業(yè)不正當(dāng)競爭（如：竊取機(jī)密，破壞企業(yè)的業(yè)務(wù)服務(wù)）株洲君安安全科技信息安全講座信息安全面臨的威脅類型 網(wǎng)絡(luò)內(nèi)部、外部泄密拒絕服務(wù)攻擊邏輯炸彈特洛伊木馬黑客攻擊計(jì)算機(jī)病毒信息丟失、篡改、銷毀后門、隱蔽通道蠕蟲株洲君安安全科技信息安全講座對(duì)信息安全問題產(chǎn)生過程的認(rèn)識(shí)環(huán)境威脅方資產(chǎn)系統(tǒng)漏洞管理漏洞物理漏洞威脅（破壞或?yàn)E用）利用工具通過株洲君安安全科技信息安全講座為數(shù)據(jù)處理系統(tǒng)建立和采用的技術(shù)和管理的安全保護(hù)，保護(hù)計(jì)算機(jī)硬件、軟件和數(shù)據(jù)不因偶然和

6、惡意的原因遭到破壞、更改和泄露。- 保家衛(wèi)國株洲君安安全科技信息安全講座舉個(gè)例子：包里有10塊錢，下班坐公交打瞌睡，可能小偷偷了而晚上沒飯吃。用風(fēng)險(xiǎn)評(píng)估的概念來描述這個(gè)案例：資產(chǎn) = 10塊錢威脅 = 小偷弱點(diǎn) = 打瞌睡暴露 = 晚上沒飯吃株洲君安安全科技信息安全講座 巡游五角大樓，登錄克里姆林宮，進(jìn)出全球所有計(jì)算機(jī)系統(tǒng)，摧垮全球金融秩序和重建新的世界格局，誰也阻擋不了我們的進(jìn)攻，我們才是世界的主宰。 凱文米特尼克 株洲君安安全科技信息安全講座Contents什么是信息安全1為什么需要信息安全2典型信息安全案例分析3安全基本原則4株洲君安安全科技信息安全講座攻擊的目的純粹為了個(gè)人娛樂我能想到

7、最浪漫的事,就是入侵你的電腦 -黑客語錄為了利益間諜，商業(yè)間諜，國防，犯罪株洲君安安全科技信息安全講座信息安全事件回放（一）全國最大的網(wǎng)上盜竊通訊資費(fèi)案某合作方工程師，負(fù)責(zé)某電信運(yùn)營商的設(shè)備安裝。獲得充值中心數(shù)據(jù)庫最高系統(tǒng)權(quán)限從2005年2月開始，復(fù)制出了14000個(gè)充值密碼。獲利380萬。2005年7月16日才接到用戶投訴說購買的充值卡無法充值，這才發(fā)現(xiàn)密碼被人盜竊并報(bào)警。無法充值的原因是他最后盜取的那批密碼忘記了修改有效日期 反思：目前是否有類似事件等待進(jìn)一步發(fā)現(xiàn)對(duì)第三方的有效安全管理規(guī)范缺失株洲君安安全科技信息安全講座信息安全事件回放（二）北京ADSL斷網(wǎng)事件2006年7月12日14:3

8、5左右，北京地區(qū)互聯(lián)網(wǎng)大面積斷網(wǎng)。事故原因：路由器軟件設(shè)置發(fā)生故障，直接導(dǎo)致了這次大面積斷網(wǎng)現(xiàn)象。事故分析：操作設(shè)備的過程中操作失誤或軟件不完善屬于“天災(zāi)”，但問題出現(xiàn)后不及時(shí)恢復(fù)和彌補(bǔ)，這就涉及人為的因素了，實(shí)際上這也是可以控制的。 需制定實(shí)施的業(yè)務(wù)連續(xù)性管理體系株洲君安安全科技信息安全講座信息安全事件回放（三）希臘總理手機(jī)被竊聽，沃達(dá)豐總裁遭傳喚早在2004年雅典奧運(yùn)會(huì)之前，希臘高官們的手機(jī)便已開始被第三方竊聽 ，2006年3月份才被發(fā)現(xiàn)。事故原因：沃達(dá)豐（希臘）公司的中央服務(wù)系統(tǒng)被安裝了間諜軟件 制定嚴(yán)格的核心操作系統(tǒng)訪問控制流程株洲君安安全科技信息安全講座信息安全事件（四）兩名電信公司

9、員工利用職務(wù)上的便利篡改客戶資料，侵吞ADSL寬帶用戶服務(wù)費(fèi)76.7萬余元事故原因：內(nèi)部安全管理缺失缺乏有效的內(nèi)控措施和定期審計(jì)株洲君安安全科技信息安全講座其他信息安全事件（五）網(wǎng)絡(luò)廣告：移動(dòng)大客戶資料，低價(jià)出售！有意者聯(lián)系 QQ：305410928 網(wǎng)絡(luò)廣告：移動(dòng)金卡銀卡大客戶資料7萬客戶投訴移動(dòng)內(nèi)部人員泄漏客戶資料某運(yùn)營商員工利用工作便利散布反動(dòng)政治言論關(guān)鍵信息的保密性機(jī)制株洲君安安全科技信息安全講座安全威脅舉例 - Phishing安全威脅釣魚欺騙事件頻頻發(fā)生，給電子商務(wù)和網(wǎng)上銀行蒙上陰影株洲君安安全科技信息安全講座這是一波電腦病毒蔓延的狂潮。在兩個(gè)多月的時(shí)間里，數(shù)百萬電腦用戶被卷將進(jìn)去

10、，那只憨態(tài)可掬、頷首敬香的“熊貓”除而不盡。反病毒工程師們將它命名為“尼姆亞”。它還有一個(gè)更通俗的名字“熊貓燒香”。 安全威脅舉例 -熊貓燒香 株洲君安安全科技信息安全講座高級(jí)攻擊技術(shù):道高一尺，魔高一丈身份認(rèn)證防火墻入侵檢測日志分析株洲君安安全科技信息安全講座攻擊技術(shù)演示環(huán)境說明攻擊方法發(fā)現(xiàn)弱點(diǎn)-漏洞攻擊-清除痕跡-留下后門株洲君安安全科技信息安全講座日常工作中安全威脅舉例 沒有及時(shí)更新安全補(bǔ)丁沒有安裝殺毒軟件或者沒有及時(shí)升級(jí)病毒庫代碼打開可疑的郵件和可疑的網(wǎng)站用戶名密碼過于簡單薄弱把機(jī)密數(shù)據(jù)（如財(cái)務(wù)數(shù)據(jù)）帶回家辦公任意將自己筆記本電腦帶入公司使用隨便把自己的用戶名密碼告訴他人.株洲君安安全

11、科技信息安全講座安全策略是安全防護(hù)體系的基礎(chǔ)舉個(gè)例子：我國有完善的法律法規(guī),公民需要遵守國家相關(guān)的法律、法規(guī)來保證社會(huì)秩序的安定和平。 國家 = 公司 法律法規(guī) = 安全策略 人是安全防護(hù)體系中最薄弱的環(huán)節(jié) 加強(qiáng)員工安全教育、提高網(wǎng)絡(luò)安全意識(shí) 保家衛(wèi)國,人人有責(zé)株洲君安安全科技信息安全講座風(fēng)險(xiǎn)管理:識(shí)別、評(píng)估風(fēng)險(xiǎn)，并將這風(fēng)險(xiǎn)減少到一個(gè)可以接受的程度，并實(shí)行正確的機(jī)制以保持這種程度的風(fēng)險(xiǎn)的過程。安全沒有百分之百 No 100% Security 每個(gè)系統(tǒng)都有其脆弱性，承擔(dān)一定程度的風(fēng)險(xiǎn)。安全威脅帶來的損失代價(jià) 安全措施本身的費(fèi)用 株洲君安安全科技信息安全講座風(fēng)險(xiǎn)RISKRISKRISKRISK風(fēng)

12、險(xiǎn)基本的風(fēng)險(xiǎn)采取措施后剩余的風(fēng)險(xiǎn)資產(chǎn)威脅漏洞資產(chǎn)威脅漏洞風(fēng)險(xiǎn)管理：-就是為了把企業(yè)的風(fēng)險(xiǎn)降到可接受的程度株洲君安安全科技信息安全講座安全防護(hù)體系需要采用多層、堡壘式防護(hù)策略單一的安全保護(hù)往往效果不理想需要從多個(gè)層面解決安全問題（物理、通信、網(wǎng)絡(luò)、系統(tǒng)、應(yīng)用、人員、組織和管理）分層的安全防護(hù)成倍地增加了黑客攻擊的成本和難度從而卓有成效地降低被攻擊的危險(xiǎn)，達(dá)到安全防護(hù)的目標(biāo)。株洲君安安全科技信息安全講座備份資料。記住你的系統(tǒng)永遠(yuǎn)不會(huì)是無懈可擊的，災(zāi)難性的數(shù)據(jù)損失會(huì)發(fā)生在你身上只需一條蟲子或一只木馬就已足夠。選擇很難猜的密碼。不要沒有腦子地填上幾個(gè)與你有關(guān)的數(shù)字，在任何情況下，都要及時(shí)修改默認(rèn)密碼。

13、安裝防毒軟件，并讓它每天更新升級(jí)。及時(shí)更新操作系統(tǒng)，時(shí)刻留意軟件制造商發(fā)布的各種補(bǔ)丁，并及時(shí)安裝應(yīng)用。在IE或其它瀏覽器中會(huì)出現(xiàn)一些黑客魚餌，對(duì)此要保持清醒，拒絕點(diǎn)擊，同時(shí)將電子郵件客戶端的自動(dòng)腳本功能關(guān)閉。在發(fā)送敏感郵件時(shí)使用加密軟件，也可用加密軟件保護(hù)你的硬盤上的數(shù)據(jù)。株洲君安安全科技信息安全講座安裝一個(gè)或幾個(gè)反間諜程序，并且要經(jīng)常運(yùn)行檢查。使用個(gè)人防火墻并正確設(shè)置它，阻止其它計(jì)算機(jī)、網(wǎng)絡(luò)和網(wǎng)址與你的計(jì)算機(jī)建立連接，指定哪些程序可以自動(dòng)連接到網(wǎng)絡(luò)。關(guān)閉所有你不使用的系統(tǒng)服務(wù)，特別是那些可以讓別人遠(yuǎn)程控制你的計(jì)算機(jī)的服務(wù)，如RemoteDesktop、RealVNC和NetBIOS等。保證無

14、線連接的安全。在家里，可以使用無線保護(hù)接入WPA和至少20個(gè)字符的密碼。正確設(shè)置你的筆記本電腦，不要加入任何網(wǎng)絡(luò)，除非它使用WPA。要想在一個(gè)充滿敵意的因特網(wǎng)世界里保護(hù)自己，的確是一件不容易的事。你要時(shí)刻想著，在地球另一端的某個(gè)角落里，一個(gè)或一些毫無道德的人正在刺探你的系統(tǒng)漏洞，并利用它們竊取你最敏感的秘密。希望你不會(huì)成為這些網(wǎng)絡(luò)入侵者的下一個(gè)犧牲品。株洲君安安全科技信息安全講座Contents什么是信息安全1為什么需要信息安全2典型信息安全案例分析3安全基本原則4株洲君安安全科技信息安全講座可用性 確保授權(quán)用戶在需要時(shí)可以訪問信息并使用相關(guān)信息資產(chǎn) 完整性 保護(hù)信息和信息的處理方法準(zhǔn)確而完整

15、 機(jī)密性 確保只有經(jīng)過授權(quán)的人才能訪問信息 安全的基本原則株洲君安安全科技信息安全講座通過生活的事例來說明安全- 就是保護(hù)屬于自己的錢不被除自己以外的任何人拿走1首先你的錢你不希望別人知道，因?yàn)槟鞘悄愕?保密性； 其次你不希望突然有一天發(fā)現(xiàn)自己的錢少了，原來有多少錢現(xiàn)在還是多少錢 完整性； 你肯定希望自己隨時(shí)都能隨心所欲的用這筆錢 可用性； 株洲君安安全科技信息安全講座中移動(dòng)網(wǎng)絡(luò)與信息安全體系建立緊迫性李躍總的講話安全問題已時(shí)不我待。我所講的安全問題還不是黑客和防病毒，只講我們自身的工作安全。 從全球及我們自身看，網(wǎng)絡(luò)安全的形式非常嚴(yán)峻進(jìn)入網(wǎng)管中心或者通過網(wǎng)管中心進(jìn)入各生產(chǎn)網(wǎng)元，一定要實(shí)行有效

16、的多次密碼認(rèn)證的管理，嚴(yán)格管理每一次進(jìn)入。 對(duì)內(nèi)部人員的登陸要有嚴(yán)格的管理規(guī)定，后臺(tái)操作要留有痕跡。不能光管外人不管自己。（重在管理，其次是手段） 對(duì)外來人員的進(jìn)入，我們一定要限人、限時(shí)、限范圍，明確進(jìn)入的時(shí)間、進(jìn)入的目的。誰放廠家的人進(jìn)去誰就要負(fù)責(zé)檢查，并做好記錄，要承擔(dān)起核心設(shè)備網(wǎng)元的管理權(quán)，出了問題要承擔(dān)責(zé)任。 株洲君安安全科技信息安全講座信息安全是信息服務(wù)提供商的核心保證一個(gè)不安全的網(wǎng)絡(luò)，將不可能提供高質(zhì)量的信息服務(wù)信息服務(wù)必須讓客戶可信任解決信息安全問題的關(guān)鍵建立一個(gè)完善的信息安全管理體系株洲君安安全科技信息安全講座中移動(dòng)網(wǎng)絡(luò)與信息安全的目標(biāo)為中國移動(dòng)的網(wǎng)絡(luò)與信息安全管理工作建立科學(xué)

17、的體系，確保安全控制措施落實(shí)到位，為各項(xiàng)業(yè)務(wù)的安全運(yùn)行提供保障。目前公司網(wǎng)絡(luò)與信息安全工作的重點(diǎn)集中在可用性、保密性和可審查性?？捎眯酝暾员Ｃ苄苑赖仲囆钥蓪彶樾员ＷC公司業(yè)務(wù)運(yùn)作的連續(xù)性，即使在遭受意外的情況下也可迅速恢復(fù)關(guān)鍵信息資產(chǎn)的使用都必須經(jīng)過授權(quán)，只有得到相應(yīng)授權(quán)的人員才可使用網(wǎng)絡(luò)和保密信息任何對(duì)公司業(yè)務(wù)運(yùn)作的威脅和破壞行為都得到記錄，并能跟蹤和追查株洲君安安全科技信息安全講座中移動(dòng)信息安全建設(shè)原則與總體策略安全管理流程、制度和安全控制措施的設(shè)計(jì)應(yīng)基于風(fēng)險(xiǎn)分析，而不應(yīng)基于信任管理權(quán)限制衡和監(jiān)督原則：安全管理人員和網(wǎng)絡(luò)管理人員、主機(jī)管理人員相互制約作為國家基礎(chǔ)設(shè)施提供商，其網(wǎng)絡(luò)與信息安全工作目前必須圍繞公司業(yè)務(wù)目標(biāo)開展；網(wǎng)絡(luò)與信息安全管理工作應(yīng)以風(fēng)險(xiǎn)管理為基礎(chǔ)，在安全、效率和成本之間均衡考慮；全面防范，突出重點(diǎn)高層牽頭領(lǐng)導(dǎo)負(fù)責(zé)全員參與專人管理株