信息系統(tǒng)安全管理

信息系統(tǒng)安全管理第一頁，共三十七頁，2022年，8月28日主要內(nèi)容11.1信息系統(tǒng)安全概述11.2信息安全技術(shù)簡介11.3計算機病毒及其防范11.4安全威脅與防護措施11.5計算機信息系統(tǒng)行為規(guī)范與安全法規(guī)第二頁，共三十七頁，2022年，8月28日基本要求1.了解信息系統(tǒng)安全的基本概念2．了解計算機犯罪、黑客等形式和特點3．掌握計算機病毒的基本概念和基本防范措施第三頁，共三十七頁，2022年，8月28日安全這個概念具有相對性，不同的用戶有不同的理解和要求。如：有些單位的數(shù)據(jù)很有保密價值，他們就把網(wǎng)絡(luò)安全定義為其數(shù)據(jù)不被外界訪問；有些單位需要向外界提供信息，但禁止外界修改這些信息，他們就把網(wǎng)絡(luò)安全定義為數(shù)據(jù)不能被外界修改；有些單位注重通信的隱秘性，他們就把網(wǎng)絡(luò)安全定義為信息不可被他人截獲或閱讀；還有些單位對安全的要求更復(fù)雜，他們把數(shù)據(jù)劃分為不同的級別，其中有些數(shù)據(jù)對外界保密，有些數(shù)據(jù)只能被外界訪問而不能被修改等等?？陀^上不存在威脅，主觀上不存在恐懼第四頁，共三十七頁，2022年，8月28日信息安全概述定義:是指為了防范意外或人為地破壞信息系統(tǒng)的運行，或非法使用信息資源，而對信息系統(tǒng)采取的安全保護措施。兩類危險：硬件:

災(zāi)害，人為破壞，操作失誤，硬件故障，電磁干擾，丟失被盜軟件:

軟件數(shù)據(jù)或資料泄漏，被竊取，黑客病毒攻擊等第五頁，共三十七頁，2022年，8月28日網(wǎng)絡(luò)安全級別美國國家計算機安全協(xié)會簡稱NCSA計算機與網(wǎng)絡(luò)系統(tǒng)的安全級別（安全的可靠性）通常分為4類8級：D、C1、C2、B1、B2、B3、A1、超A1。其中D級最低（安全保護功能很弱），超A1級為最高安全等級。用戶可根據(jù)不同的安全需求來確定系統(tǒng)的安全等級。第六頁，共三十七頁，2022年，8月28日信息系統(tǒng)安全保護措施分類及其相互關(guān)系信息系統(tǒng)的安全保護措施可分為技術(shù)性和非技術(shù)性兩大類：(1)技術(shù)性安全措施——是指通過采取與系統(tǒng)直接相關(guān)的技術(shù)手段防止安全事故的發(fā)生。(2)非技術(shù)性安全措施——指利用行政管理、法制保證和其他物理措施等防止安全事故的發(fā)生，它不受信息系統(tǒng)的控制，是施加于信息系統(tǒng)之上的。第七頁，共三十七頁，2022年，8月28日11.2信息安全技術(shù)簡介11.2.1信息安全技術(shù)概述

11.2.2加密技術(shù)11.2.3私鑰與公鑰11.2.4認證技術(shù)

11.2.5防火墻技術(shù)第八頁，共三十七頁，2022年，8月28日11.2.1信息安全技術(shù)概述

信息安全技術(shù)是一門綜合學(xué)科，涉及信息論、計算機科學(xué)和密碼學(xué)多方面的知識，研究計算機系統(tǒng)和通信網(wǎng)絡(luò)內(nèi)信息的保護方法，以實現(xiàn)系統(tǒng)內(nèi)信息的安全、保密、真實、完整。信息安全技術(shù)具體包含以下幾方面含義:機密性、完整性、可用性、真實性DoS（DenialofService）拒絕服務(wù)第九頁，共三十七頁，2022年，8月28日加密技術(shù)1、數(shù)據(jù)加密解密算法2、密碼算法第十頁，共三十七頁，2022年，8月28日數(shù)據(jù)加密——Why?篡改:重放:竊聽:“我們下午5點老地方見!”“嘿嘿嘿…”“我們下午5點老地方見!”“我們下午三點老地方見!”“我們今天下午三點鐘見面!”一天以后:“我們今天下午三點鐘見面!”BobAliceTrudy第十一頁，共三十七頁，2022年，8月28日為了在網(wǎng)絡(luò)通信被竊聽的情況下保證數(shù)據(jù)的安全性，必須對傳輸?shù)臄?shù)據(jù)加密。加密的基本思想：改變數(shù)據(jù)排列方式，以掩蓋其信息含義，使得只有合法的接收方才能讀懂。任何其他人即使截取了信息也無法解開。11.2.2加密技術(shù)第十二頁，共三十七頁，2022年，8月28日采用數(shù)據(jù)加密技術(shù)以后…數(shù)據(jù)加密將信息(明文)轉(zhuǎn)換成一種加密的模式(密文),如果沒有通信雙方共享的秘密知識(密鑰),則無法理解密文通過對不知道密鑰的人隱藏信息達到保密的目的“我們下午5點老地方見!”“???…”“我們下午5點老地方見!”fojfejk;ladfjj093i2j3kj0gjklacnma./第十三頁，共三十七頁，2022年，8月28日11.2.2加密技術(shù)1．數(shù)據(jù)加密解密算法

明文加密算法密文信源密文解密算法明文信宿第十四頁，共三十七頁，2022年，8月28日11.2.3私鑰與公鑰1、對稱密鑰加密：一個密鑰2、公鑰加密：兩個密鑰3、常用公鑰算法（1）RSA——數(shù)字簽名、密鑰交換（2）DSA——數(shù)字簽名（3）Diffie-Hellman——密鑰交換第十五頁，共三十七頁，2022年，8月28日(1)對稱密鑰加密第十六頁，共三十七頁，2022年，8月28日凱撒(Cacser)密碼對26個英文字母進行移位代換，如：移位k=3。明文:abcdefghIjklm密文:defghIjklmnop明文:nopqrstuvwxyz密文:qrstuvwxyzabc第十七頁，共三十七頁，2022年，8月28日“Letusmeetatfivepmatoldplace”Key:k=3“ohwxvphhwdwilyhspdwrogsodfh”Key:k=3“Letusmeetatfivepmatoldplace”第十八頁，共三十七頁，2022年，8月28日(2)公鑰加密(非對稱加密)第十九頁，共三十七頁，2022年，8月28日“我們下午5點老地方見!”“我們下午5點老地方見!”fojfejk;ladfjj093i2j3kj0gjklacnma./“好的，5點老地方見!”“好的，5點老地方見!”fojfejk;ladfjj093i2j3kj0gjklacnma./“???…”第二十頁，共三十七頁，2022年，8月28日首先,找出三個數(shù),p,q,r,

其中p,q是兩個相異的質(zhì)數(shù),r是與(p-1)(q-1)互質(zhì)的數(shù)......

p,q,r這三個數(shù)便是privatekey

接著,找出m,使得rm==1mod(p-1)(q-1).....

這個m一定存在,因為r與(p-1)(q-1)互質(zhì),用輾轉(zhuǎn)相除法就可以得到了.....

再來,計算n=pq.......

m,n這兩個數(shù)便是publickey

編碼過程是,若資料為a,將其看成是一個大整數(shù),假設(shè)a<n....

如果a>=n的話,就將a表成s進位(s<=n,通常取s=2^t),

則每一位數(shù)均小於n,然後分段編碼......

接下來,計算b==a^mmodn,(0<=b<n),

b就是編碼後的資料......

解碼的過程是,計算c==b^rmodpq(0<=c<pq),

於是乎,解碼完畢......等會會證明c和a其實是相等的:)

如果第三者進行竊聽時,他會得到幾個數(shù):m,n(=pq),b......

他如果要解碼的話,必須想辦法得到r......

所以,他必須先對n作質(zhì)因數(shù)分解.........

要防止他分解,最有效的方法是找兩個非常的大質(zhì)數(shù)p,q,

使第三者作因數(shù)分解時發(fā)生困難.........RSA算法第二十一頁，共三十七頁，2022年，8月28日11.2.4認證技術(shù)信息認證的目的為：（1）確認信息發(fā)送者的身份；（2）驗證信息的完整性，即確認信息在傳送或存儲過程中未被篡改過。

常用的安全認證技術(shù)主要有:

數(shù)字摘要、數(shù)字信封、數(shù)字簽名、數(shù)字時間戳、數(shù)字證書等。公鑰基礎(chǔ)設(shè)施PKI的核心是CA(Certificateauthority）證書簽證機關(guān)，CA對公鑰進行統(tǒng)一管理并將公鑰以公鑰證書的形式對外分發(fā)。第二十二頁，共三十七頁，2022年，8月28日完整的數(shù)字簽名過程將公鑰加密和散列算法結(jié)合用以數(shù)字簽名第二十三頁，共三十七頁，2022年，8月28日數(shù)據(jù)加密和數(shù)字簽名的區(qū)別第二十四頁，共三十七頁，2022年，8月28日11.2.5防火墻技術(shù)所謂“防火墻”，是指一種將內(nèi)部網(wǎng)和公眾訪問網(wǎng)（如Internet）分開的方法，它實際上是一種隔離技術(shù)。第二十五頁，共三十七頁，2022年，8月28日防火墻的作用

(1)防火墻是網(wǎng)絡(luò)安全的屏障：

(2)對網(wǎng)絡(luò)存取和訪問進行監(jiān)控審計：

(3)防止內(nèi)部信息的外泄：

第二十六頁，共三十七頁，2022年，8月28日11.3安全威脅與防護措施11.3.1計算機犯罪11.3.2黑客手段及其防范11.3.3計算機病毒及其防范第二十七頁，共三十七頁，2022年，8月28日11.3.1計算機犯罪廣義的計算機犯罪是指行為人故意直接對計算機實施侵入或破壞，或者利用計算機實施有關(guān)金融詐騙、盜竊、貪污、挪用公款、竊取國家秘密或其它犯罪行為的總稱；狹義的計算機犯罪僅指行為人違反國家規(guī)定，故意侵入國家事務(wù)、國防建設(shè)、尖端科學(xué)技術(shù)等計算機信息系統(tǒng)，或者利用各種技術(shù)手段對計算機信息系統(tǒng)的功能及有關(guān)數(shù)據(jù)、應(yīng)用程序等進行破壞、制作、傳播計算機病毒，影響計算機系統(tǒng)正常運行且造成嚴重后果的行為。

第二十八頁，共三十七頁，2022年，8月28日計算機犯罪防范計算機犯罪防范：防范計算機犯罪，主要依靠法律的威懾力和安全管理及安全技術(shù)，以及各種規(guī)章的約束力

就某個系統(tǒng)而言，應(yīng)注重以下幾個部分的安全控制：數(shù)據(jù)輸入控制通信控制數(shù)據(jù)處理控制數(shù)據(jù)存儲控制輸出控制計算機犯罪防范還可以表現(xiàn)在私人權(quán)利保護、軟件版權(quán)保護、計算機資產(chǎn)保護等方面。防范計算機犯罪，還要講計算機職業(yè)道德。第二十九頁，共三十七頁，2022年，8月28日黑客（hacker）駭客（Cracker）是指那些未經(jīng)授權(quán)而侵入他人計算機系統(tǒng)者。通過網(wǎng)絡(luò)進行破壞利用計算機病毒造成的系統(tǒng)破壞以至癱瘓非法轉(zhuǎn)移、拷貝重要數(shù)據(jù)，甚至非法修改程序11.3.2黑客手段及其防范第三十頁，共三十七頁，2022年，8月28日11.3.2黑客手段及其防范1．黑客主要手段(1)獲取口令

(2)電子郵件攻擊

(3)特洛伊木馬攻擊

(4)誘入法

(5)尋找系統(tǒng)漏洞

第三十一頁，共三十七頁，2022年，8月28日11.3.3計算機病毒及其防范中華人民共和國計算機信息系統(tǒng)安全保護條例對計算機病毒的定義是：“編制或者在計算機程序中插入的破壞計算機功能或者毀壞數(shù)據(jù)、影響計算機使用、并能自我復(fù)制的一組計算機指令或者程序代碼”。

1、計算機病毒的分類源碼型病毒文件型病毒引導(dǎo)型病毒混合型病毒第三十二頁，共三十七頁，2022年，8月28日2、計算機病毒的特性傳染性寄生性破壞性潛伏性隱蔽性第三十三頁，共三十七頁，2022年，8月28日3、計算機病毒的防治防止計算機病毒的侵害不要冒險使用來歷不明的程序、郵件和其他文件；使用安全的操作系統(tǒng)、網(wǎng)絡(luò)瀏覽器和郵件軟件；使用防殺病毒軟件；把自己的重要數(shù)據(jù)文件作備份存儲。

有意制造病毒、傳染病毒、破壞系統(tǒng)是違法行為！第三十四頁，共三十七頁，2022年，8月28日11.5計算機信息系統(tǒng)安全法規(guī)和和行為規(guī)范信息系統(tǒng)安全既是十分重要和復(fù)雜的技術(shù)問題，也是社會經(jīng)濟問題。信息系統(tǒng)的有效運行必須有一套完整的保護機制，其中包括信息系統(tǒng)的自身保護機制等問題要放在首要位置來考慮。我國政府非常重視這項工作，除了已頒布的法規(guī)外，還出臺了具體的實施細則：如操作系統(tǒng)安全評估標誰、網(wǎng)絡(luò)安全管理規(guī)范、數(shù)據(jù)庫系統(tǒng)安全評估標準、計算機病毒以及有害數(shù)據(jù)防治管理制度等。

第三十五頁，共三十七頁，2022年，8月28日公安部《關(guān)于對與國際聯(lián)網(wǎng)的計算機信息