信息安全保障體系課件

復(fù)習(xí)與回顧信息安全基本概念和范疇信息及信息系統(tǒng)面臨的安全威脅安全事件的分類2022/10/142第2章信息安全保障體系學(xué)習(xí)目標信息安全涉及范疇、安全屬性需求以及信息安全保障體系結(jié)構(gòu)動態(tài)和可適應(yīng)的信息安全防御模型風(fēng)險評估、等級保護、安全測評的內(nèi)容與方法

本章介紹信息安全保障體系的建立，信息系統(tǒng)主動防御模型，以及信息安全風(fēng)險評估、等級保護的相關(guān)標準規(guī)范和內(nèi)容。

主要包括：2022/10/144目錄2.1信息安全保障體系2.2信息安全防御模型2.3風(fēng)險評估與等級保護2022/10/145如何構(gòu)架全面的信息安全保障？ISAssurance?范疇屬性體系結(jié)構(gòu)2.1信息安全保障體系2022/10/1462.1.1信息安全范疇信息自身文本、圖形、圖像、音頻、視頻、動畫等。信息載體信息環(huán)境信息載體信息環(huán)境2022/10/1472.1.1信息安全范疇信息自身信息載體信息環(huán)境物理平臺計算芯片：CPU、控制芯片、專用處理芯片等。存儲介質(zhì)：內(nèi)存、磁盤、光盤、U盤、磁帶等。通信介質(zhì)：雙絞線、同軸電纜、光纖、無線電波、微波、紅外線等。系統(tǒng)設(shè)備：計算機：包括個人計算機、服務(wù)器、小型機、智能終端等各類計算機；打印機、掃描儀、數(shù)字攝像機、智能手機等硬件設(shè)備。2022/10/1482.1.1信息安全范疇信息自身信息載體信息環(huán)境軟件平臺系統(tǒng)平臺：操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)等系統(tǒng)軟件。通信平臺：通信協(xié)議及其軟件。網(wǎng)絡(luò)平臺：網(wǎng)絡(luò)協(xié)議及其軟件。應(yīng)用平臺：各種應(yīng)用軟件。2022/10/1492.1.1信息安全范疇信息自身信息載體信息環(huán)境硬環(huán)境機房、電力、照明、溫控、濕控、防盜、防火、防震、防水、防雷、防電磁輻射、抗電磁干擾等設(shè)施。軟環(huán)境國家法律、行政法規(guī)、部門規(guī)章、政治經(jīng)濟、社會文化、思想意識、教育培訓(xùn)、人員素質(zhì)、組織機構(gòu)、監(jiān)督管理、安全認證等方面。2022/10/14102.1.2信息安全屬性如何刻畫信息及信息系統(tǒng)的安全性？ISAttributes?2022/10/14112.1.2信息安全屬性保密性（也稱機密性，Confidentiality）

保證信息與信息系統(tǒng)不被非授權(quán)者所獲取或利用。保密性包含數(shù)據(jù)的保密性和訪問控制等方面內(nèi)容。完整性（Integrity）

保證信息與信息系統(tǒng)正確和完備，不被冒充、偽造或篡改，包括數(shù)據(jù)的完整性、系統(tǒng)的完整性等方面。2022/10/14122.1.2信息安全屬性鑒別性（也稱可認證性，Authentication）

保證信息與信息系統(tǒng)真實，包括實體身份的真實性、數(shù)據(jù)的真實性、系統(tǒng)的真實性等方面。不可否認性（不可抵賴性，Non-Repudiation）

建立有效的責(zé)任機制，防止用戶否認其行為，這一點在電子商務(wù)中極為重要?？捎眯裕ˋvailability）

保證信息與信息系統(tǒng)可被授權(quán)者在需要的時候能夠訪問和使用。2022/10/14132.1.2信息安全屬性可靠性（Reliability）

保證信息系統(tǒng)為合法用戶提供穩(wěn)定、正確的信息服務(wù)?？勺肪啃裕ˋccountability）

保證從一個實體的行為能夠唯一地追溯到該實體，它支持不可否認、故障隔離、事后恢復(fù)、攻擊阻斷等應(yīng)用，具有威懾作用，支持法律事務(wù)，其結(jié)果可以保證一個實體對其行為負責(zé)。2022/10/14142.1.2信息安全屬性可控性（Controlability）

指對信息和信息系統(tǒng)實施有效的安全監(jiān)控管理，防止非法利用信息和信息系統(tǒng)保障（Assurance）

為在具體實現(xiàn)和實施過程中，保密性、完整性、可用性和可追究性等得到足夠滿足提供信心基礎(chǔ)，這種信心基礎(chǔ)主要通過認證和認可來實現(xiàn)。2022/10/14152.1.3信息安全保障體系結(jié)構(gòu)如何構(gòu)建全面的信息安全保障體系？ISAssurance?2022/10/14162.1.3信息安全保障體系結(jié)構(gòu)信息安全保障包括人、政策（包括法律、法規(guī)、制度、管理）和技術(shù)三大要素主要內(nèi)涵是實現(xiàn)上述保密性、鑒別性、完整性、可用性等各種安全屬性保證信息和信息系統(tǒng)的安全性目的。2022/10/14172.1.3信息安全保障體系結(jié)構(gòu)技術(shù)體系機制加密、數(shù)字簽名、訪問控制、數(shù)據(jù)完整性、鑒別交換、通信業(yè)務(wù)填充、路由選擇控制、公證、可信功能度、安全標記、事件檢測、安全審計跟蹤、安全恢復(fù)、電磁輻射控制、抗電磁干擾等。服務(wù)鑒別/身份認證、訪問控制、數(shù)據(jù)機密性、數(shù)據(jù)完整性、抗抵賴、可靠性、可用性、安全審計等。管理技術(shù)管理策略、系統(tǒng)安全管理、安全機制管理、安全服務(wù)管理、安全審計管理、安全恢復(fù)管理等。標準上述安全技術(shù)的實現(xiàn)依據(jù)、交互接口和評估準則。2022/10/14182.1.3信息安全保障體系結(jié)構(gòu)組織體系機構(gòu)決策層：明確總體目標、決定重大事宜。管理層：根據(jù)決策層的決定全面規(guī)劃、制定策略、設(shè)置崗位、協(xié)調(diào)各方、處理事件等。執(zhí)行層：按照管理層的要求和規(guī)定執(zhí)行某一個或某幾個特定安全事務(wù)。崗位負責(zé)某一個或某幾個特定安全事務(wù)的職位。人事負責(zé)崗位上人員管理的部門。2022/10/14192.1.3信息安全保障體系結(jié)構(gòu)管理體系法律根據(jù)國家法律和行政法規(guī)，強制性約束相關(guān)主體的行為。制度依據(jù)部門的實際安全需求，具體化法律法規(guī)，制定規(guī)章制度，規(guī)范相關(guān)主體的行為。培訓(xùn)培訓(xùn)相關(guān)主體的法律法規(guī)、規(guī)章制度、崗位職責(zé)、操作規(guī)范、專業(yè)技術(shù)等知識，提高其安全意識、安全技能、業(yè)務(wù)素質(zhì)等。2022/10/14202.1.3信息安全保障體系結(jié)構(gòu)GB/T9387.2-1995(ISO7498-2)信息系統(tǒng)--開放系統(tǒng)互連基本參考模型第2部分：安全體系結(jié)構(gòu)安全服務(wù)安全審計服務(wù)可用性服務(wù)可靠性服務(wù)抗否認性服務(wù)數(shù)據(jù)完整性服務(wù)數(shù)據(jù)保密性服務(wù)訪問控制服務(wù)認證（鑒別）服務(wù)2022/10/14212.1.3信息安全保障體系結(jié)構(gòu)GB/T9387.2-1995(ISO7498-2)信息系統(tǒng)--開放系統(tǒng)互連基本參考模型第2部分：安全體系結(jié)構(gòu)安全機制公正機制路由選擇控制機制業(yè)務(wù)流填充機制鑒別交換機制數(shù)據(jù)完整性機制訪問控制機制數(shù)字簽名機制加密機制2022/10/1422目錄2.1信息安全保障體系2.2信息安全防御模型2.3風(fēng)險評估與等級保護2022/10/14232.2信息安全防御模型如何有效實現(xiàn)信息安全防御？ISDefenses?2022/10/14242.2信息安全防御模型主動信息安全防御模型EvaluationPolicyProtectionRestorationDetectionReaction2022/10/14252.2信息安全防御模型1.風(fēng)險評估(Evaluation)

對信息系統(tǒng)進行全面的風(fēng)險評估，這需要對信息系統(tǒng)應(yīng)用需求、網(wǎng)絡(luò)基礎(chǔ)設(shè)施、外部內(nèi)部環(huán)境、安全威脅、人員、政策法規(guī)、安全技術(shù)等具有全面的了解，并善于應(yīng)用各種方法、手段、工具對系統(tǒng)風(fēng)險進行人工和自動分析，給出全面細致的風(fēng)險評估。2022/10/14262.2信息安全防御模型2.制定策略(Policy)安全策略是安全模型的核心，防護、檢測、響應(yīng)和恢復(fù)各個階段都是依據(jù)安全策略實施的，安全策略為安全管理提供管理方向和支持手段。策略體系的建立包括安全策略的制訂、評估、執(zhí)行等。2022/10/14272.2信息安全防御模型3.實施保護(Protection)采用一切可能的方法、技術(shù)和手段防止信息及信息系統(tǒng)遭受安全威脅，減少和降低遭受入侵和攻擊的可能，實現(xiàn)保密性、完整性、可用性、可控性和不可否認性等安全屬性。提高邊界防御能力信息處理環(huán)節(jié)的保護信息傳輸保護2022/10/14282.2信息安全防御模型4.監(jiān)測(Detection)在系統(tǒng)實施保護之后根據(jù)安全策略對信息系統(tǒng)實施監(jiān)控和檢測。監(jiān)控是對系統(tǒng)運行狀態(tài)進行監(jiān)視和控制，發(fā)現(xiàn)異常，并可能作出動態(tài)調(diào)整。檢測是對已部署的系統(tǒng)及其安全防護進行檢查測量，是動態(tài)響應(yīng)和加強防護的依據(jù)，是強制落實安全策略的手段。2022/10/14292.2信息安全防御模型5.響應(yīng)(Reaction)

已知一個攻擊（入侵）事件發(fā)生之后所進行的處理。把系統(tǒng)調(diào)整到安全狀態(tài)；對于危及安全的事件、行為、過程，及時做出處理，杜絕危害進一步擴大，力求系統(tǒng)保持提供正常的服務(wù)。2022/10/14302.2信息安全防御模型6.恢復(fù)(Restoration)恢復(fù)可以分為系統(tǒng)恢復(fù)和信息恢復(fù)。系統(tǒng)恢復(fù)是指修補安全事件所利用的系統(tǒng)缺陷，如系統(tǒng)升級、軟件升級和打補丁等方法去除系統(tǒng)漏洞或后門。信息恢復(fù)是指恢復(fù)丟失的數(shù)據(jù)。2022/10/1431目錄2.1信息安全保障體系2.2信息安全防御模型2.3風(fēng)險評估與等級保護2022/10/14322.3風(fēng)險評估與等級保護建設(shè)信息系統(tǒng)時，

如何確定和規(guī)劃安全保護？Protection?2022/10/14332.3風(fēng)險評估與等級保護2.3.1等級保護2.3.2風(fēng)險評估2.3.3系統(tǒng)安全測評2.3.4信息系統(tǒng)安全建設(shè)實施2.3.5信息安全原則2022/10/14342.3.1等級保護類別級別名稱主要特征AA1驗證設(shè)計形式化的最高級描述和驗證，形式化的隱藏通道分析，形式化的代碼對應(yīng)證明BB3安全區(qū)域存取監(jiān)控，高抗?jié)B透能力B2結(jié)構(gòu)化保護形式化模型/隱通道約束、面向安全的體系結(jié)構(gòu)，較好的抗?jié)B透能力B1標識的安全保護強制存取控制、安全標識CC2受控制的存取控制單獨用戶的可查性、廣泛的審計跟蹤C1自主安全保護自主存取控制DD低級保護系統(tǒng)只為文件和用戶提供安全保護。最普通的形式是本地操作系統(tǒng)，或者是一個完全沒有保護的網(wǎng)絡(luò)。美國國防部可信計算機系統(tǒng)安全評價準則TCSEC2022/10/14352.3.1等級保護GB17859-1999《計算機信息系統(tǒng)安全保護等級劃分準則》第一級：用戶自主保護級（相當于C1級）第二級：系統(tǒng)審計保護級（相當于C2級）第三級：安全標記保護級（相當于B1級）第四級：結(jié)構(gòu)化保護級（相當于B2級）第五級：訪問驗證保護級（相當于B3－A1級）2.3.1等級保護國家公安部制定的信息安全相關(guān)標準GA/T387-2002《計算機信息系統(tǒng)安全等級保護網(wǎng)絡(luò)技術(shù)要求》GA/T388-2002《計算機信息系統(tǒng)安全等級保護操作系統(tǒng)技術(shù)要求》GA/T389-2002《計算機信息系統(tǒng)安全等級保護數(shù)據(jù)庫管理系統(tǒng)技術(shù)要求》GA/T390-2002《計算機信息系統(tǒng)安全等級保護通用技術(shù)要求》GA/T391-2002《計算機信息系統(tǒng)安全等級保護管理要求》2.3.1等級保護國家四局辦[2004]66號《關(guān)于信息安全等級保護工作的實施意見的通知》等級安全功能保障/有效性國家管理程度對象管理技術(shù)一級基本用戶自主保護基本保障自主中小企業(yè)二級必要系統(tǒng)審計保護計劃跟蹤指導(dǎo)一般信息系統(tǒng)三級體系化安全標記保護良好定義監(jiān)督基礎(chǔ)信息網(wǎng)絡(luò)、政府、大型企業(yè)四級結(jié)構(gòu)化保護持續(xù)改進強制國家機關(guān)重要部門信息系統(tǒng)五級驗證保護嚴格監(jiān)控?？貒液诵牟块T專用系統(tǒng)2.3.2風(fēng)險評估風(fēng)險評估是安全建設(shè)的出發(fā)點，遵循成本/效益平衡原則，通過對用戶關(guān)心的重要資產(chǎn)（如信息、硬件、軟件、文檔、代碼、服務(wù)、設(shè)備、企業(yè)形象等）的分級，對安全威脅（如人為威脅、自然威脅等）發(fā)生的可能性及嚴重性分析，對系統(tǒng)物理環(huán)境、硬件設(shè)備、網(wǎng)絡(luò)平臺、基礎(chǔ)系統(tǒng)平臺、業(yè)務(wù)應(yīng)用系統(tǒng)、安全管理、運行措施等方面的安全脆弱性（或稱薄弱環(huán)節(jié)）分析，以及已有安全控制措施的確認，借助定量、定性分析的方法，推斷出用戶關(guān)心的重要資產(chǎn)當前的安全風(fēng)險，并根據(jù)風(fēng)險的嚴重級別制定風(fēng)險處理計劃，確定下一步的安全需求方向。2022/10/1439風(fēng)險評估要素關(guān)系圖2022/10/1440風(fēng)險分析原理圖2022/10/1441風(fēng)險評估實施流程圖2022/10/14422.3.3系統(tǒng)安全測評系統(tǒng)安全測評是指由具備檢驗技術(shù)能力和政府授權(quán)資格的權(quán)威機構(gòu)（如中國信息安全測評中心），依據(jù)國家標準、行業(yè)標準、地方標準或相關(guān)技術(shù)規(guī)范，按照嚴格程序?qū)π畔⑾到y(tǒng)的安全保障能力進行的科學(xué)公正的綜合測試評估活動，以幫助系