信息安全技術(shù) INFORMATION SECURITY TECHNOLOGY

信息安全技術(shù)

InformationSecurityTechnology1著名黑客事件1983年，KevinPoulsen還是學(xué)生，利用ARPANET的漏洞，成功入侵ARPANET，能夠暫時控制美國地區(qū)的ARPANET。1990’早期，KevinMitnick，世界范圍內(nèi)的舉重若輕的黑客。世界上最強大的科技和電信公司：Nokia，F(xiàn)ujitsu，Motorola等的電腦系統(tǒng)都被其侵入。1995年被FBI逮捕，2000年獲得假釋。2著名黑客事件1995年，俄羅斯VladimirLevin通過互聯(lián)網(wǎng)侵入美國花旗銀行并盜走1000萬$。他是歷史上第一個通過入侵銀行電腦系統(tǒng)來獲利的黑客，1995年在英國被國際刑警逮捕。1996年，美國TimothyLloyd將一個6行代碼的惡意軟件放在了雇主—Omega工程公司(美國航天局和美國海軍最大的供應(yīng)商)的網(wǎng)絡(luò)上。該惡意軟件刪除了該公司所有負(fù)責(zé)生產(chǎn)的軟件，損失慘重。3著名黑客事件Melissa病毒是世界上首個具有全球破壞力的病毒。1999年，30歲的DavidSmith編寫了此病毒。Melissa病毒使世界上300多家公司的電腦系統(tǒng)崩潰，病毒造成的損失接近4億美圓。DavidSmith被判處5年徒刑。2000年，15歲的MafiaBoy(化名)在2000年2月6日~14日，成功侵入eBay,Amazon和Yahoo等大型網(wǎng)絡(luò)服務(wù)器。MafiaBoy

2000年被捕。4信息安全恐怖事件蠕蟲王：互聯(lián)網(wǎng)的“911”2003年1月25日，互聯(lián)網(wǎng)遭到全球性的病毒攻擊病毒名：wind32.SQLExp.Worm病毒體及其短小，具有極強的傳播力利用MicrosoftSQLServer的漏洞進行傳播，導(dǎo)致全球范圍內(nèi)互聯(lián)網(wǎng)癱瘓中國80%網(wǎng)民由此不能上網(wǎng)；美國、泰國、日本、韓國、馬來西亞、菲律賓和印度等國的互聯(lián)網(wǎng)也受到嚴(yán)重感染26日“蠕蟲王”才得到控制是繼紅色代碼、尼姆達和求職信病毒后又一起極速傳播的案例全球經(jīng)濟損失12億$。5信息安全恐怖事件沖擊波病毒肆虐全球:2003年8月11日，沖擊波(WORM_MSBlast.A)的新型蠕蟲病毒開始在國內(nèi)互聯(lián)網(wǎng)和部分專用信息網(wǎng)絡(luò)上傳播病毒傳播速度快，涉及范圍廣，對計算機正常使用和網(wǎng)絡(luò)運行造成嚴(yán)重影響病毒運行時會掃描網(wǎng)絡(luò)，尋找操作系統(tǒng)為Win2000/XP的計算機，通過RPC漏洞進行感染，并且操作135，4444和69端口，危害系統(tǒng)受到感染的的計算機中，Word,Excel,PowerPoint等文件無法正常運行，彈出找不到鏈接文件的對話框，“粘貼”等功能無法正常使用，計算機出現(xiàn)反復(fù)重啟現(xiàn)象6相關(guān)安全事件2006年6月13日，微軟公布的安全報告顯示：2005年1月~3月，60%以上的windowsPC機都感染了惡意代碼2006年7月外電報道：28歲得科隆成功利用互聯(lián)網(wǎng)提供得免費軟件侵入了美國聯(lián)邦調(diào)查局(FBI)的機密電腦系統(tǒng)，成功獲取了3.8萬名雇員的密碼，其中包括聯(lián)邦調(diào)查局局長羅伯特.米勒的密碼。FBI被迫關(guān)閉網(wǎng)絡(luò)。7國內(nèi)安全事件2006年6月27日，上海市黃埔區(qū)人民法院對一起網(wǎng)絡(luò)黑客案做出一審判決，兩名大學(xué)生“黑客”被判刑。2006年年底，“熊貓燒香”病毒的泛濫在中國造成了巨大的損失。8AttackerPKPolice9信息安全知識體系信息安全是一門交叉學(xué)科，廣義上，信息安全涉及多方面的理論和應(yīng)用知識，除了數(shù)學(xué)、通信、計算機等自然科學(xué)外，還涉及法律、心理學(xué)等社會科學(xué)。狹義上，也就是通常說的信息安全，只是從自然科學(xué)的角度介紹信息安全的研究內(nèi)容。信息安全各部分研究內(nèi)容及相互關(guān)系如左圖所示10第一章信息與網(wǎng)絡(luò)安全概述網(wǎng)絡(luò)安全背景網(wǎng)絡(luò)的安全網(wǎng)絡(luò)與安全網(wǎng)絡(luò)安全功能信息安全保障體系網(wǎng)絡(luò)安全技術(shù)11一、網(wǎng)絡(luò)安全背景1、互聯(lián)網(wǎng)現(xiàn)狀2、網(wǎng)絡(luò)安全現(xiàn)狀3、網(wǎng)絡(luò)安全概念121、互聯(lián)網(wǎng)現(xiàn)狀（1）電子郵件/WWW/FTP/TELNET等電子政務(wù)/網(wǎng)絡(luò)化辦公平臺/網(wǎng)絡(luò)教育電子商務(wù)/網(wǎng)絡(luò)游戲/新聞組/網(wǎng)絡(luò)電話等131、互聯(lián)網(wǎng)現(xiàn)狀（2）內(nèi)聯(lián)網(wǎng)與外聯(lián)網(wǎng)客戶機與服務(wù)器網(wǎng)絡(luò)結(jié)構(gòu)方式星型/環(huán)形/總線型接入方式DDN/ISDN/ADSL/FDDI/光纖藍(lán)牙/GSM/GPRS/3G/802.11142、網(wǎng)絡(luò)安全現(xiàn)狀信息安全事件DoS,DDoS蠕蟲掃描探測監(jiān)聽木馬計算機病毒……153、網(wǎng)絡(luò)安全概念信息安全、網(wǎng)絡(luò)安全信息網(wǎng)絡(luò)安全網(wǎng)絡(luò)信息安全……16二、信息與網(wǎng)絡(luò)的安全1、信息與網(wǎng)絡(luò)安全威脅2、信息與網(wǎng)絡(luò)安全威脅的根源171、網(wǎng)絡(luò)安全威脅（1）通信安全：計算機網(wǎng)主要依賴于TCP/IP協(xié)議進行通信，而TCP/IP協(xié)議設(shè)計是建立在可信的專用網(wǎng)絡(luò)之上，對通信安全問題考慮很少。網(wǎng)絡(luò)通信過程中存在眾多的安全威脅。

竊聽：攻擊者通過監(jiān)視網(wǎng)絡(luò)數(shù)據(jù)獲得敏感信息；重傳：攻擊者實現(xiàn)獲得部分或全部信息，以后將此信息發(fā)給接收者；偽造：攻擊者將偽造的信息發(fā)送給接收者，以騙取信任或敏感信息；篡改：攻擊著對合法用戶之間的通信進行攔截和修改，然后再發(fā)送給接收者；阻斷服務(wù)：攻擊者直接截斷合法用戶之間的通信。181、網(wǎng)絡(luò)安全威脅（2）數(shù)據(jù)安全：數(shù)據(jù)的存儲、傳輸和共享是網(wǎng)絡(luò)運行的根本目的和優(yōu)勢。數(shù)據(jù)的安全對網(wǎng)絡(luò)和計算機用戶的意義尤為深刻。數(shù)據(jù)機密性：數(shù)據(jù)一旦泄漏，能否保證信息不被泄露是數(shù)據(jù)安全的主要方面，也是在信息共享前首先就需要考慮的問題；數(shù)據(jù)完整性、可用性：用戶存儲或得到的數(shù)據(jù)是否具有信息完整性，是否可用；數(shù)據(jù)有益性：有害數(shù)據(jù)的出現(xiàn)是在網(wǎng)絡(luò)充分普及的今天才逐漸引起人們注意的安全威脅。數(shù)據(jù)是否帶有病毒、木馬，數(shù)據(jù)是否適合用戶去使用（比如不良信息對青少年等），數(shù)據(jù)是否是純粹的垃圾等都是數(shù)據(jù)有益性的具體表現(xiàn)。191、網(wǎng)絡(luò)安全威脅（3）系統(tǒng)安全：計算機系統(tǒng)的正常工作是網(wǎng)絡(luò)正常運行的基本保證。相比于上述兩類安全威脅，系統(tǒng)的安全威脅則顯得更為復(fù)雜，因為系統(tǒng)的安全威脅中就包含通信的安全和數(shù)據(jù)的安全。

系統(tǒng)的健壯性：計算機與網(wǎng)絡(luò)系統(tǒng)是否能夠經(jīng)得起各種有意或無意的攻擊，遭受攻擊之后系統(tǒng)是否能夠迅速恢復(fù)是系統(tǒng)安全的首要標(biāo)志；系統(tǒng)的可用性：系統(tǒng)的各種功能性能否正常運行、可使用；系統(tǒng)的可控性：可控性是指系統(tǒng)是否便于操作、更新、升級等維護工作，維護工作是否會帶來意外安全隱患。

201、網(wǎng)絡(luò)安全威脅（4）管理安全：據(jù)不完全統(tǒng)計，有80%的計算機犯罪與內(nèi)部人員有關(guān)。來自管理漏洞的安全威脅不但具有隱蔽性強的特點，而且是技術(shù)永遠(yuǎn)無法徹底解決的網(wǎng)絡(luò)安全威脅。網(wǎng)絡(luò)管理上的漏洞是一類最為實際和最可怕的網(wǎng)絡(luò)安全威脅。

212、網(wǎng)絡(luò)安全威脅的根源三個基本根源網(wǎng)絡(luò)的開放性計算機系統(tǒng)的天生缺陷網(wǎng)絡(luò)系統(tǒng)實現(xiàn)過程中人的局限性222、網(wǎng)絡(luò)安全威脅的根源（1）系統(tǒng)威脅根源表現(xiàn)：網(wǎng)絡(luò)協(xié)議的固有弱點網(wǎng)絡(luò)操作系統(tǒng)的漏洞：操作系統(tǒng)代碼規(guī)模龐大、人的因素和需求的個性化應(yīng)用系統(tǒng)設(shè)計的漏洞：與操作系統(tǒng)情況類似、硬件技術(shù)的落后網(wǎng)絡(luò)系統(tǒng)設(shè)計的缺陷：合理的網(wǎng)絡(luò)設(shè)計在節(jié)約資源的情況下，還可以提供較好的安全性，不合理的網(wǎng)絡(luò)設(shè)計則成為網(wǎng)絡(luò)的安全威脅。惡意攻擊：包括來自合法用戶的攻擊網(wǎng)絡(luò)物理設(shè)備：網(wǎng)絡(luò)物理設(shè)備自身的電磁泄露所引起的漏洞所引起的隱患也是網(wǎng)絡(luò)安全威脅的重要方面。232、網(wǎng)絡(luò)安全威脅的根源（2）現(xiàn)有的、傳統(tǒng)的計算機系統(tǒng)不可信存儲不可信I/O不可信計算機從系統(tǒng)啟動開始，沒有可信的“根”可信計算技術(shù)的出現(xiàn)與發(fā)展242、網(wǎng)絡(luò)安全威脅的根源（3）管理及人的威脅根源表現(xiàn)：內(nèi)部人員：比如信息系統(tǒng)的管理者、使用者和決策者；準(zhǔn)內(nèi)部人員：包括信息系統(tǒng)的開發(fā)者、維護者等；特殊身份人員：比如，審計人員、稽查人員、記者等；外部黑客或小組：競爭對手：網(wǎng)絡(luò)恐怖組織：軍事組織或國家組織：25三、網(wǎng)絡(luò)與安全1、網(wǎng)絡(luò)與安全2、安全攻防261、網(wǎng)絡(luò)與安全“網(wǎng)絡(luò)與安全”是從網(wǎng)絡(luò)系統(tǒng)與安全技術(shù)的關(guān)系的角度來理解網(wǎng)絡(luò)安全概念。從這點出發(fā)，網(wǎng)絡(luò)安全至少包括以下兩層內(nèi)涵。

“網(wǎng)絡(luò)的安全”與“安全的網(wǎng)絡(luò)”，前者是先有“網(wǎng)絡(luò)”，后來考慮“安全問題”，這樣網(wǎng)絡(luò)系統(tǒng)，當(dāng)然是“后加的”安全網(wǎng)絡(luò)系統(tǒng)；后者則是指建立盡可能安全的網(wǎng)絡(luò)系統(tǒng)，在網(wǎng)絡(luò)和項目設(shè)計之初就充分考慮安全問題。這是對“網(wǎng)絡(luò)與安全”的一層理解。272、安全攻防（1）另外一層理解是“安全的攻與防”，網(wǎng)絡(luò)安全技術(shù)的總是一個攻與防的過程中發(fā)展的。絕對安全的網(wǎng)絡(luò)系統(tǒng)不存在，絕對有效的安全技術(shù)也是不存在的，網(wǎng)絡(luò)系統(tǒng)的安全總是相對于當(dāng)前的攻擊技術(shù)而說的，安全技術(shù)的有效性也總是在力圖確保目前網(wǎng)絡(luò)系統(tǒng)能夠有效運行，而對于未知的攻擊行為，則是任何網(wǎng)絡(luò)安全技術(shù)都不能解決的。282、安全攻防（2）從網(wǎng)絡(luò)安全技術(shù)的方式來分析，我們認(rèn)為網(wǎng)絡(luò)安全包括主動安全和被動安全兩類。主動安全是網(wǎng)絡(luò)安全的一種策略，它以保護已知、有限、有效網(wǎng)絡(luò)資源為第一目的，以拒絕一切未知對象和行為為根本手段。主動安全可以定量、明確和有效的保護確定性網(wǎng)絡(luò)資源。被動安全則正好與此相反，被動安全技術(shù)采取的策略是通過相信一切未知的對象和行為，否定已知有害行為來保護目標(biāo)對象，被動安全技術(shù)可以高效率的保護網(wǎng)絡(luò)資源。29四、網(wǎng)絡(luò)安全功能1、威脅、服務(wù)和技術(shù)2、網(wǎng)絡(luò)安全服務(wù)301、威脅、服務(wù)和技術(shù)網(wǎng)絡(luò)安全機制與網(wǎng)絡(luò)安全威脅相對應(yīng)，因為有不同類型的網(wǎng)絡(luò)安全威脅，才有各種各樣的網(wǎng)絡(luò)安全功能的需求。為保護網(wǎng)絡(luò)穩(wěn)定可靠地運行，網(wǎng)絡(luò)資源不被非法用戶使用和破壞，網(wǎng)絡(luò)系統(tǒng)需要各種各樣的安全功能。312、網(wǎng)絡(luò)安全服務(wù)（1）

—安全屬性從技術(shù)角度上講，信息與網(wǎng)絡(luò)安全的主要屬性表現(xiàn)在信息與網(wǎng)絡(luò)系統(tǒng)的機密性、完整性、可用性、可控性、不可抵賴性等方面。32保密性Confidentiality保密性是指保證信息不能被非授權(quán)訪問，即使非授權(quán)用戶得到信息也無法知曉信息內(nèi)容，因而不能使用。通常通過訪問控制阻止非授權(quán)用戶獲得機密信息，通過加密變換阻止非授權(quán)用戶獲知信息內(nèi)容。2、網(wǎng)絡(luò)安全服務(wù)（1）

—安全屬性（1）33完整性Integrity完整性是指維護信息的一致性，即信息在生成、傳輸、存儲和使用過程中不應(yīng)發(fā)生人為或非人為的非授權(quán)篡改。一般通過訪問控制阻止篡改行為，同時通過消息摘要算法來檢驗信息是否被篡改。信息的完整性包括兩個方面：（1）數(shù)據(jù)完整性：數(shù)據(jù)沒有被未授權(quán)篡改或者損壞；（2）系統(tǒng)完整性：系統(tǒng)未被非法操縱，按既定的目標(biāo)運行。2、網(wǎng)絡(luò)安全服務(wù)（1）

—安全屬性（2）34可用性Availability可用性是指保障信息資源隨時可提供服務(wù)的能力特性，即授權(quán)用戶根據(jù)需要可以隨時訪問所需信息。可用性是信息資源服務(wù)功能和性能可靠性的度量，涉及到物理、網(wǎng)絡(luò)、系統(tǒng)、數(shù)據(jù)、應(yīng)用和用戶等多方面的因素，是對信息網(wǎng)絡(luò)總體可靠性的要求。2、網(wǎng)絡(luò)安全服務(wù)（1）

—安全屬性（3）35除了這三方面的要求，信息還要求真實性，即個體身份的認(rèn)證，適用于用戶、進程、系統(tǒng)等；要求可說明性，即確保個體的活動可被跟蹤；要求可靠性，即行為和結(jié)果的可靠性、一致性。362、網(wǎng)絡(luò)安全服務(wù)（2）對等實體認(rèn)證服務(wù)：網(wǎng)絡(luò)通信必須保證雙方或多方間身份，特別對等實體身份的相互確認(rèn)，這是網(wǎng)絡(luò)間有效通信的前提；數(shù)據(jù)源點認(rèn)證服務(wù)：高安全級別的網(wǎng)絡(luò)通信需要對數(shù)據(jù)源點進行認(rèn)證，以阻止各種可能的惡意攻擊行為。這里，數(shù)據(jù)源點主要指主機標(biāo)識，而上面的對等實體主要指用戶應(yīng)用實體；數(shù)據(jù)保密服務(wù)：信息不泄露給非授權(quán)的用戶、實體或過程，或供其利用的特性；372、網(wǎng)絡(luò)安全服務(wù)（3）數(shù)據(jù)完整性服務(wù)：數(shù)據(jù)未經(jīng)授權(quán)不能進行改變的特性。即信息在存儲或傳輸過程中不被修改、不被破壞和丟失的特性；訪問控制服務(wù)：通信雙方應(yīng)該能夠?qū)νㄐ?、通信的?nèi)容具有不同強度的控制能力，這是有效和高效通信的保障；可用性：可被授權(quán)實體訪問并按需求使用的特性。例如網(wǎng)絡(luò)環(huán)境下拒絕服務(wù)、破壞網(wǎng)絡(luò)和有關(guān)系統(tǒng)的正常運行等都是對可用性的攻擊。38五、信息安全保障體系1、信息安全保障體系組成2、信息安全管理3、美國信息系統(tǒng)保護計劃4、信息安全相關(guān)法規(guī)391、信息安全保障體系組成（1）法律與政策體系標(biāo)準(zhǔn)與規(guī)范體系人才培養(yǎng)體系產(chǎn)業(yè)支撐體系技術(shù)保障體系組織管理體系401、信息安全保障體系組成（2）人管理技術(shù)預(yù)警W反擊C恢復(fù)P保護P檢測D反應(yīng)R411、信息安全保障體系組成（3）-PDRR保護（Protect）:采用可能采取的手段保障信息的保密性、完整性、可用性、可控性和不可否認(rèn)性。檢測（Detect）:利用高級術(shù)提供的工具檢查系統(tǒng)存在的可能提供黑客攻擊、白領(lǐng)犯罪、病毒泛濫脆弱性。反應(yīng)（React）:對危及安全的事件、行為、過程及時作出響應(yīng)處理，杜絕危害的進一步蔓延擴大，力求系統(tǒng)尚能提供正常服務(wù)。恢復(fù)（Restore）:一旦系統(tǒng)遭到破壞，盡快恢復(fù)系統(tǒng)功能，盡早提供正常的服務(wù)。422、信息安全管理（1）-層次宏觀管理（政府）方針政策法規(guī)標(biāo)準(zhǔn)微觀管理（機構(gòu)）規(guī)章制度策略措施432、信息安全管理（2）-對象管人管密碼管密鑰管口令管配置管產(chǎn)品測評管產(chǎn)品采購管系統(tǒng)安全管項目建設(shè)443、美國信息系統(tǒng)保護計劃（1）-v1.0三個目標(biāo):準(zhǔn)備和防范、檢測和響應(yīng)、建立牢固的根基準(zhǔn)備和防范步驟1：確認(rèn)關(guān)鍵基礎(chǔ)設(shè)施資產(chǎn)以及相互依賴性，發(fā)現(xiàn)其脆弱性檢測與響應(yīng)步驟2：檢測攻擊和非法入侵步驟3：開發(fā)穩(wěn)健的情報和執(zhí)法功能，保持法律的一致步驟4：以實時的方式共享攻擊警告和信息步驟5：建立響應(yīng)、重建和回復(fù)能力453、美國信息系統(tǒng)保護計劃（2）-v1.0建立牢固的根基步驟6：為支持程序1－5，加強研究和開發(fā)步驟7：培訓(xùn)和雇用足夠數(shù)量的安全專家步驟8：進行拓展，使公知曉提高計算機安全的必要性步驟9：通過立法和撥款，支持程序1－8步驟10：在計劃的每一步驟和部分中，要完全保護公民的自由權(quán)、隱私權(quán)以及私有數(shù)據(jù)463、美國信息系統(tǒng)保護計劃（3）-IATF美國國家安全局制定的信息保障技術(shù)框架（IATF）1998年開始，已發(fā)布V3.0三保衛(wèi)、一支撐保衛(wèi)網(wǎng)絡(luò)基礎(chǔ)設(shè)施保衛(wèi)邊界和外部連接保衛(wèi)局域計算環(huán)境支撐基礎(chǔ)設(shè)施無線安全www安全FirewallsVPNsPeripheralSharingSwitchRemoteAccessMultipleDomainSolutionsMobileCodeOperatingSystemsBiometricsSingleLevelWebTokensMobileCodeSecureMessagingKMI/PKIPKIProtectionClass4PKIDirectoryDetectandRespondIDS474、信息安全相關(guān)法規(guī)（1）美國：涉及方面：信息自由法、個人隱私法、反腐敗行徑法、偽造訪問設(shè)備和計算機欺騙濫用法、電子通信隱私法、計算機欺騙濫用法、計算機安全法、正當(dāng)通信法（一度確立，后又推翻）和電訊法加密：本土可以使用強密碼（密鑰托管、密鑰恢復(fù)、TTP、視為武器而禁止出口、可以出口密鑰長度不超過40位的產(chǎn)品、后來表示可以放寬到128位認(rèn)證：出口限制相對加密寬松、2000年通過了數(shù)字簽名法。484、信息安全相關(guān)法規(guī)（2）美國：1998年5月22日總統(tǒng)令(PDD-63)：《保護美國關(guān)鍵基礎(chǔ)設(shè)施》1998年美國國家安全局（NSA）制定了《信息保障技術(shù)框架》（IATF）,提出了“深度防御策略”，確定了包括網(wǎng)絡(luò)與基礎(chǔ)設(shè)施防御、區(qū)域邊界防御、計算環(huán)境防御和支撐性基礎(chǔ)設(shè)施的深度防御目標(biāo)2000年1月，發(fā)布《保衛(wèi)美國計算機空間—保護信息系統(tǒng)的國家計劃》。分析了美國關(guān)鍵基礎(chǔ)設(shè)施所面臨的威脅，確定了計劃的目標(biāo)和范圍，制定出聯(lián)邦政府關(guān)鍵基礎(chǔ)設(shè)施保護計劃（民用機構(gòu)和國防部），以及私營部門、洲和地方政府的關(guān)鍵基礎(chǔ)設(shè)施保障框架。494、信息安全相關(guān)法規(guī)（3）英國1996年以前，英國主要依據(jù)《黃色出版物法》、《青少年保護法》、《錄像制品法》、《禁止濫用電腦法》和《刑事司法與公共秩序修正條例》懲處利用電腦和互聯(lián)網(wǎng)絡(luò)進行犯罪的行為。1996年9月23日，英國政府頒布了第一個網(wǎng)絡(luò)監(jiān)管行業(yè)性法規(guī)《三R安全規(guī)則》?！叭齊”分別代表分級認(rèn)定、舉報告發(fā)、承擔(dān)責(zé)任。法規(guī)旨在從網(wǎng)絡(luò)上消除兒童色情內(nèi)容和其他有害信息，對提供網(wǎng)絡(luò)服務(wù)的機構(gòu)、終端用戶和編發(fā)信息的網(wǎng)絡(luò)新聞組，尤其對網(wǎng)絡(luò)提供者作了明確的職責(zé)分工。504、信息安全相關(guān)法規(guī)（4）俄羅斯于1995年頒布了《聯(lián)邦信息、信息化和信息保護法》。法規(guī)強調(diào)了國家在建立信息資源和信息化中的責(zé)任是“旨在為完成俄聯(lián)邦社會和經(jīng)濟發(fā)展的戰(zhàn)略、戰(zhàn)役任務(wù)，提供高效率、高質(zhì)量的信息保障創(chuàng)造條件”。法規(guī)中明確界定了信息資源開放和保密的范疇，提出了保護信息的法律責(zé)任。514、信息安全相關(guān)法規(guī)（5）新加坡新加坡廣播管理局（SBA）1996年7月11日宣布對互聯(lián)網(wǎng)絡(luò)實行管制，宣布實施分類許可證制度。該制度1996年7月15日生效。它是一種自動取得許可證的制度，目的是鼓勵正當(dāng)使用互聯(lián)網(wǎng)絡(luò)，促進其在新加坡的健康發(fā)展。它依據(jù)計算機空間的最基本標(biāo)準(zhǔn)謀求保護網(wǎng)絡(luò)用戶，尤其是年輕人，免受非法和不健康的信息傳播之害。為減少許可證持有者的經(jīng)營與管理負(fù)擔(dān)，制度規(guī)定凡遵循分類許可證規(guī)定的服務(wù)均被認(rèn)為自動取得了執(zhí)照524、信息安全相關(guān)法規(guī)（6）我國：基本精神適用于數(shù)字空間的國家大法中華人民共和國憲法中華人民共和國商標(biāo)法（1982年8月23日）中華人民共和國專利法（1984年3月12日）中華人民共和國保守國家秘密法（1988年9月５日）中華人民共和國反不正當(dāng)競爭法（1993年9月2日）534、信息安全相關(guān)法規(guī)（7）我國初步修訂增加了條款的國家法律中華人民共和國刑法為了加強對計算機犯罪的打擊力度，在1997年對刑罰進行重新修訂時，加進了以下計算機犯罪的條款：第二百八十五條違反國家規(guī)定，侵入國家事務(wù)、國防建設(shè)、尖端科學(xué)技術(shù)領(lǐng)域的計算機信息系統(tǒng)的，處三年以下有期徒刑或者拘役。第二百八十六條違反國家規(guī)定，對計算機信息系統(tǒng)功能進行刪除、修改、增加、干擾，造成計算機信息系統(tǒng)不能正常運行，后果嚴(yán)重的，處五年以下有期徒刑或者拘役,后果特別嚴(yán)重的，處五年以上有期徒刑。違反國家規(guī)定，對計算機信息系統(tǒng)中存儲、處理或者傳輸?shù)臄?shù)據(jù)和應(yīng)用程序進行刪除、修改、增加的操作，后果嚴(yán)重的，依照前款的規(guī)定處罰。故意制作、傳播計算機病毒等破壞性程序，影響計算機系統(tǒng)正常運行，后果嚴(yán)重的，依照第一款的規(guī)定處罰。第二百八十七條利用計算機實施金融詐騙、盜竊、貪污、挪用公款、竊取國家秘密或者其他犯罪的，依照本法有關(guān)規(guī)定定罪處罰。544、信息安全相關(guān)法規(guī)（8）我國計算機軟件保護條例（1991年6月4日）中華人民共和國計算機信息系統(tǒng)安全保護條例（1994年2月18日）商用密碼管理條例（1999年lO月7日）互聯(lián)網(wǎng)信息服務(wù)管理辦法（2000年9月20日）中華人民共和國電信條例（2000年9月25日）全國人大常委會關(guān)于網(wǎng)絡(luò)安全和信息安全的決定（2000年12月29日）554、信息安全相關(guān)法規(guī)（9）我國許多規(guī)范需要完善并升級為國家法律部門條例存在矛盾和權(quán)威性不足許多信息化社會應(yīng)用需要法律支持電子商務(wù)電子支付數(shù)字簽名信息化環(huán)境的執(zhí)法需要高技術(shù)的支撐56六、網(wǎng)絡(luò)安全技術(shù)1、網(wǎng)絡(luò)安全技術(shù)體系2、攻擊威脅趨勢3、技術(shù)發(fā)展情況571、網(wǎng)絡(luò)安全技術(shù)體系582、攻擊威脅趨勢（1）攻擊的不對稱性：互聯(lián)網(wǎng)上的安全是相互依賴的。每個互聯(lián)網(wǎng)系統(tǒng)遭受攻擊的可能性取決于連接到全球互聯(lián)網(wǎng)上其他系統(tǒng)的安全狀態(tài)。由于攻擊技術(shù)的進步，一個攻擊者可以比較容易地利用分布式系統(tǒng)，對一個受害者發(fā)動破壞性的攻擊。分布式攻擊等技術(shù)的廣泛應(yīng)用，特別自動化，使得威脅的不對稱性將繼續(xù)增加。攻擊行為的智能化：隨著技術(shù)的進步，越來越多的攻擊技術(shù)已被封裝成一些免費的工具，網(wǎng)絡(luò)攻擊的自動化程度和攻擊速度越來越高。當(dāng)然，攻擊技術(shù)自身的提高也會導(dǎo)致攻擊行為的智能化。這樣，通過特征碼檢測和防范攻擊行為的方法幾乎走到了盡頭。592、攻擊威脅趨勢（2）對安全設(shè)備的滲透性強：安全設(shè)備本身是用來提高網(wǎng)絡(luò)系統(tǒng)的安全性能，而安全設(shè)備的設(shè)計從理論上來說仍具有網(wǎng)絡(luò)系統(tǒng)設(shè)計自身類似的方面，比如包含軟件部分，硬件設(shè)備可能存在物理缺陷，以及安全設(shè)備管理本身存在隱患等。能夠滲透安全設(shè)備的攻擊也成為網(wǎng)絡(luò)攻擊的一種趨勢。病毒與網(wǎng)絡(luò)攻擊融合：互聯(lián)網(wǎng)普及程度還不足的時候，病毒行為和網(wǎng)絡(luò)攻擊行為的界限是很清晰的，而現(xiàn)在網(wǎng)絡(luò)正成為病毒傳播的主要途徑，病毒技術(shù)和一般的網(wǎng)絡(luò)攻擊技術(shù)相結(jié)合可以得到更高的攻擊效果。病毒和網(wǎng)絡(luò)攻擊之間越來越難明確分清，對于相關(guān)攻擊程序通稱為“害蟲”是一種很有意思的說法。602、攻擊威脅趨勢（3）對基礎(chǔ)設(shè)施將形成越來越大的威脅：基礎(chǔ)設(shè)施攻擊是大面積影響互聯(lián)網(wǎng)關(guān)鍵組成部分的攻擊。由于用戶越來越多地依賴互聯(lián)網(wǎng)完成日常業(yè)務(wù)，基礎(chǔ)設(shè)施攻擊引起人們越來越大的擔(dān)心?；A(chǔ)設(shè)施面臨分布式拒絕服務(wù)攻擊、蠕蟲病毒、對互聯(lián)網(wǎng)域名系統(tǒng)(DNS)的攻擊和對路由器攻擊或利用路由器的攻擊。

攻擊行為政治化：隨著電子政務(wù)的建設(shè)和其它高安全需求的部門的網(wǎng)絡(luò)系統(tǒng)普及，網(wǎng)絡(luò)攻擊行為在很多時候以不僅僅是簡單的惡意行為。有針對性的危害國家安全部門正成為網(wǎng)絡(luò)攻擊的新特點。613、安全技術(shù)發(fā)展（1）網(wǎng)絡(luò)發(fā)展趨勢

網(wǎng)絡(luò)將進一步深入到社會的每一個角落，比現(xiàn)在更加普及，最終形成一個虛擬的社會，這是網(wǎng)絡(luò)發(fā)展的必然趨勢。具體描述應(yīng)該是：人