信息安全筆記

信息安全：保密性（confidentiality）：信息不提供或泄露給未授權(quán)的用戶，實體或個人。完整性（integrity）:保證和確保在整個生命周期中，維護和保證數(shù)據(jù)的準確性和完整性，數(shù)據(jù)不能被修改，在未授權(quán)的時候?？捎眯裕╝vailability）:信息被需要的時候，必須是可用的，以上三個屬性均可以分為五個等級，分別是：很高VH）、高（H）、中等（M）、低（L）、可忽略（N），安全屬性的不同級別通常也以為著信息資產(chǎn)所要求的安全控制、保護功能需求不同。不可否認（Non-repudiation）—方的交易不能否認已經(jīng)收到的交易，在真實性和完整性的基礎上。風險管理：1?是一個不斷進行的過程，必須被無限期的重復2?管理風險的控制必須在生產(chǎn)力之間平衡定量分析是對社會現(xiàn)象的數(shù)量特征、數(shù)量關(guān)系與數(shù)量變化的分析。這是微譜分析（成分分析）實驗中結(jié)論的常見情況，其定義在于能基本確定被測物的組分，定性分析的主要任務是確定物質(zhì)（化合物）的組成，只有確定物質(zhì)的組成后，才能選擇適當?shù)姆治龇椒ㄟM行定量分析，指從質(zhì)的方面來分析事物，把握事物的本質(zhì)。邏輯控制（也稱為技術(shù)控制）：用軟件或者數(shù)據(jù)來監(jiān)視和控制訪問信息和計算系統(tǒng)。（密碼、網(wǎng)絡、主機為基礎的防火墻、網(wǎng)絡入侵檢測系統(tǒng)）最小特權(quán)原則（principleofleastprivilege）在完成某個任務時，要求個人、程序或系統(tǒng)程序不授予更多的訪問權(quán)限。即"在完成某種操作時所賦予網(wǎng)絡中每個主體（用戶或進程）必不可少的特權(quán)"。物理控制：監(jiān)控和控制工作場所和計算機設備的環(huán)境。（門、滅火系統(tǒng)、路障、圍欄）職責分離（separationofduties）確保通過個人不能完成關(guān)鍵任務，角色和職權(quán)必須分開?？v深防御（Defenseindepth）:信息安全必須保護信息貫穿整個生命周期，即從最初的創(chuàng)造信息到最終的處理。這些安全措施的分層和重疊被稱為縱深防御，使用縱深防御戰(zhàn)略時，一個措施不到位，有其他防御措施繼續(xù)保護。例如：行政控制，邏輯控制、物理控制可以形成一個縱深防御戰(zhàn)略：以數(shù)據(jù)為中心，外面一層依次是應用程序安全、基于主機的安全和網(wǎng)絡安全。每一層都提供了良好的防御縱深戰(zhàn)略。信息安全的分類：不是所有信息都是平等的，都要求相同的保護程度，所以需要安全分類。其步驟如下：>確定一個高級的管理人員作為特殊信息的所有者>制定一個分類政策（描述不同分類標簽并且列出安全控制）影響分類的因素：信息的價值、信息是否過時、法律和其它監(jiān)管要求所選擇和使用的信息安全分類標簽將取決于該組織的本質(zhì)，例如：商業(yè)領(lǐng)域：標簽如：公共、敏感、私人、機密交通等協(xié)議：包括白色、綠色、琥珀和紅色訪問控制(Accesscontrol)訪問受保護的信息必須限制在授權(quán)訪問信息的人。訪問控制機制的復雜性應該是在與信息保護價值相同的情況中。敏感或更有價值的信息，應該有更強大的保護機制。訪問控制一般分為三個步驟：識別、驗證和授權(quán)識別：識別是斷言某人是什么驗證：身份驗證是驗證身份的行為。例如以下三種類型的信息可以用于身份認證：你知道的東西：一個密碼、母親娘家的姓你有什么：駕駛執(zhí)照或者磁性刷卡A你是什么：掌紋、指紋、聲音、視網(wǎng)膜強身份認證要求提供多個類型的身份認證信息(雙因素身份認證)授權(quán)：在一個人、程序或計算機成功被識別、驗證之后，必須確定它們被允許訪問的信息資源以及允許執(zhí)行哪些操作(運行、查看、創(chuàng)建、刪除、更改)非自由裁量(non-discretionary)將所有訪問控制集中在管理下，信息和其它資源的獲取通?；趥€人在組織中的功能或個人必須執(zhí)行的任務自由裁量：使信息資源的創(chuàng)建者或所有者能夠控制這些資源的訪問。強制訪問控制方法：根據(jù)信息資源的安全分類授予或拒接訪問權(quán)限目前常用的訪問控制機制：基于角色的訪問控制、簡單的文獻權(quán)限、組政策對象、防火墻和路由器密碼：是用于信息安全，用于防止信息在運輸或者在儲存的時候未授權(quán)或者意外泄露。加密：信息安全使用加密來改變可用信息使其進入一種非授權(quán)用戶的形式；改進的認證方法：消息摘要、數(shù)字簽名、不可否認和加密網(wǎng)絡通信SSH：WPA/WPA2WEP有線的通信如suchasITUTG.hn)加密秘鑰的長度和強度也是重要的考慮因素，一個秘鑰太短或者太弱都會導致加密變?nèi)鮌ublickeyinfrastructure(PKI)安全管理(securitygovernance)事件響應計劃(Incidentresponseplans)變更管理：(是一種管理風險的工具)變更管理是對信息處理環(huán)境和控制的一種形式化的過程。(包括對臺式電腦、網(wǎng)絡、服務器、網(wǎng)絡和軟件的更改)。變更管理的目標是減少對信息處理環(huán)境的變化所帶來的風險，并提高處理環(huán)境的穩(wěn)定性和可靠性。任何對信息環(huán)境的處理過程都會引入一個風險因素不是每一個改變都需要被管理(創(chuàng)建一個新的用戶或者部署一個新的桌面)變更管理通常由一個關(guān)鍵業(yè)務領(lǐng)域，代表改變審查委會監(jiān)督安全、網(wǎng)絡、桌面、應用開發(fā)。要求（request）:任何人都能要求改變，變更請求的人可能不是進行分析或?qū)嵤┳兏娜?，（變更審查確保請求的變更是否與組織業(yè)務模型和實踐兼容和實施變更所需要的資源）批準（approve）管理者管理業(yè)務、開支資源的分配，因此，管理層必須批準變更請求和為每一個變更分配優(yōu)先級。計劃（planned）:計劃的改變涉及到范圍和變化，分析改變的復雜性。測試（tested）:每一種改變必須在一個安全的測試環(huán)境中進行測試方案（scheduled）:變更審查委員會的職責是協(xié)助安排的變更交流（communication）：一旦改變被確定，就必須要交流。實施（implemented）:在指定的日期好時間，變更必須執(zhí)行。記錄（document）:所有的改變必須記錄在案。（初始請求、批準、優(yōu)先級、執(zhí)行、測試和退計劃、是否實施成功或者推遲）變更后的審查（Postchangereview）:變更審查委員會應該舉辦一個變更后的執(zhí)行審查，變更管理程序，簡單易用，可以大大降低變更時產(chǎn)生的總體風險，使信息處理環(huán)境業(yè)務的聯(lián)系性：業(yè)務聯(lián)系性是通過一種組織繼續(xù)來操作關(guān)鍵的業(yè)務單元的機制。為企業(yè)創(chuàng)造有效的計劃，需要集中在以下幾個關(guān)鍵的問題：有災難性的打擊：>我首先要恢復的業(yè)務是什么多久確定恢復關(guān)鍵業(yè)務節(jié)點的目標恢復業(yè)務我需要做什么（機械、記錄、食物、水、人）從哪里恢復我的業(yè)務一旦我從災難中恢復，并在降低生產(chǎn)了的工作現(xiàn)在，我知道了如何恢復我的業(yè)務BCP業(yè)務繼續(xù)計劃DRP災難恢復計劃災難恢復計劃（Disasterrecoveryplanning）信息保證：首先對信息提供的保密性、完整性、可用性（CIA）不可避免，并且確保關(guān)鍵信息出現(xiàn)的時候不會丟失：但是不涉及（自然災害、計算機/服務器故障、物理盜竊或任何區(qū)域數(shù)據(jù)可能丟失的案列），提供信息保證的一種常用方法是在所提到的問題中有一個非現(xiàn)場備份數(shù)據(jù)的備份。威脅：幾種常見的威脅：softwareattacks、（病毒，蠕蟲，網(wǎng)絡釣魚攻擊）theftofinformationproperty矢口識產(chǎn)權(quán)盜竊、（theftofsoftware）identitytheft身份盜竊、（為了獲取他個人的信息或者一種通過身份盜用獲取有用的信息）