信息安全體系結(jié)構(gòu)信息系統(tǒng)安全體系

主要內(nèi)容概述開放系統(tǒng)互連參考模型介紹開放系統(tǒng)互連安全體系結(jié)構(gòu)ISO開放系統(tǒng)互連安全體系結(jié)構(gòu)TCP/IP安全體系安全管理信息系統(tǒng)安全體系框架概述研究信息系統(tǒng)安全體系結(jié)構(gòu)的目的： 將普遍性安全體系原理與自身信息系統(tǒng)的實際相結(jié)合，形成滿足信息系統(tǒng)安全需求的安全體系結(jié)構(gòu)。安全體系結(jié)構(gòu)形成：風(fēng)險分析安全需求安全策略安全體系結(jié)構(gòu)概述“風(fēng)險—安全—投資”的平衡關(guān)系平衡關(guān)系兩個參考標(biāo)準(zhǔn)把風(fēng)險降低到可以接受的程度。威脅和/或攻擊信息系統(tǒng)所花的代價大于入侵信息系統(tǒng)后所獲得的現(xiàn)實的和潛在的信息系統(tǒng)資源的價值。安全體系結(jié)構(gòu)的目的：從管理和技術(shù)上保證安全策略得以完整準(zhǔn)確地實現(xiàn)，安全需求全面準(zhǔn)確地得以滿足，包括確定必需的安全服務(wù)、安全機(jī)制和技術(shù)管理，以及它們在系統(tǒng)上的合理部署和關(guān)系配置。信息系統(tǒng)安全目標(biāo)信息保護(hù)：保護(hù)所屬組織的有價值信息和維系系統(tǒng)運(yùn)行有關(guān)的信息的機(jī)密性、完整性、可用性和可控性。系統(tǒng)保護(hù)：保護(hù)所屬組織的運(yùn)行和職能實現(xiàn)的技術(shù)系統(tǒng)的可靠性、完整性和可用性。信息系統(tǒng)安全目標(biāo)遵循原則組織級別原則保護(hù)國家秘密信息和敏感性信息原則控制社會影響原則保護(hù)資源和效率原則信息系統(tǒng)構(gòu)成要素物理環(huán)境及保障物理環(huán)境：場地，機(jī)房物理保障：電力供應(yīng)，災(zāi)難應(yīng)急硬件設(shè)施計算機(jī)網(wǎng)絡(luò)設(shè)備傳輸介質(zhì)及轉(zhuǎn)換器輸入/輸出設(shè)備存儲介質(zhì)監(jiān)控設(shè)備軟件設(shè)施計算機(jī)操作系統(tǒng)網(wǎng)絡(luò)操作系統(tǒng)網(wǎng)絡(luò)通信協(xié)議通用應(yīng)用軟件網(wǎng)絡(luò)管理軟件管理者系統(tǒng)安全員系統(tǒng)管理員網(wǎng)絡(luò)管理員存儲介質(zhì)保管員系統(tǒng)操作人員軟硬件維修人員2.1開放系統(tǒng)互連參考模型ISO/OSI開放系統(tǒng)互連參考模型（opensysteminterconnectionreferencemodel）開放系統(tǒng) 與其它系統(tǒng)通信而相互開放的系統(tǒng)互連開放系統(tǒng)互連參考模型7.應(yīng)用層6.表示層5.會話層4.傳輸層3.網(wǎng)絡(luò)層2.數(shù)據(jù)鏈路層1.物理層層次劃分,分7個層次；通信中的實際數(shù)據(jù)流向；1-3層協(xié)議實現(xiàn)的是直接相連的機(jī)器之間的協(xié)議,4-7層實現(xiàn)的是端到端的協(xié)議；同一層次上實現(xiàn)虛通信；協(xié)議傳輸?shù)臄?shù)據(jù)稱作協(xié)議數(shù)據(jù)單元(PDU)。OSI模型傳輸數(shù)據(jù)的基本過程應(yīng)用層表示層會話層傳輸層網(wǎng)絡(luò)層數(shù)據(jù)鏈路層物理層應(yīng)用層表示層會話層傳輸層網(wǎng)絡(luò)層數(shù)據(jù)鏈路層物理層數(shù)據(jù)首部首部首部首部首部首尾協(xié)議經(jīng)過中間節(jié)點(diǎn)數(shù)據(jù)傳遞的過程76543217654321321321對等層協(xié)議物理層(physicallayer)傳輸比特流。處理機(jī)械的，電氣的和過程的接口及傳輸介質(zhì)問題。 用多少伏電壓表示“1”，多少伏電壓表示“0”；一個比特持續(xù)多少微秒；傳輸方式，單工、雙工還是半雙工；最初連接如何建立、完成通信后，連接如何終止；網(wǎng)絡(luò)接插件有多少針，各個針的用途；數(shù)據(jù)鏈路層(datalinklayer)在不可靠的物理鏈路上實現(xiàn)可靠的傳輸把數(shù)據(jù)分裝在各個幀中，能識別幀邊界；按順序發(fā)送數(shù)據(jù)幀，并處理收方回送的確認(rèn)幀；幀的重傳問題，幀的重復(fù)問題；防止高速的發(fā)送方“淹沒”低速接收方；解決數(shù)據(jù)幀和確認(rèn)幀的線路競爭問題。在廣播式網(wǎng)絡(luò)中，如何控制對共享信道的訪問。網(wǎng)絡(luò)層(networklayer)在源、目的端之間選擇一條最佳路徑，將分組正確、無誤地傳送到目的地。提供路由選擇和擁塞控制等功能。分組的路由選擇功能，靜態(tài)路由表，動態(tài)路由；擁塞控制；記帳功能；分組跨多個網(wǎng)絡(luò)時，解決分組轉(zhuǎn)換，尋址方式的問題。傳輸層(transportlayer)在兩個端系統(tǒng)之間可靠、透明的傳送報文。數(shù)據(jù)（報文）的分割、復(fù)用；流量控制；會話層請求一個傳輸連接，傳輸層就為其創(chuàng)建一個獨(dú)立的網(wǎng)絡(luò)連接。會話層(sessionlayer)在兩個互相通信的應(yīng)用進(jìn)程之間，建立，組織和協(xié)調(diào)其交互，提供會話活動管理、交互管理和會話同步管理等功能。表示層(presentationlayer)解決用戶信息的語義、語法表示問題。將要交換的數(shù)據(jù)從適合于某一用戶的抽象語法轉(zhuǎn)換為適合OSI內(nèi)部使用的傳送語法，即完成信息格式的轉(zhuǎn)換。應(yīng)用層(applicationlayer)開放系統(tǒng)與應(yīng)用進(jìn)程的接口，提供OSI用戶服務(wù)、管理和分配網(wǎng)絡(luò)資源，如遠(yuǎn)地操作、文件傳輸、電子郵件、虛擬終端服務(wù)等功能。2.2開放系統(tǒng)互連安全體系結(jié)構(gòu)兩個普遍適用的安全體系結(jié)構(gòu)，保證開放系統(tǒng)進(jìn)程與進(jìn)程之間遠(yuǎn)距離安全交換信息。國家標(biāo)準(zhǔn)《信息處理系統(tǒng)開放系統(tǒng)互連基本參考模型——第二部分：安全體系結(jié)構(gòu)GB/T9387.2-1995》（等同于ISO7498-2）因特網(wǎng)安全體系結(jié)構(gòu)（RFC2401）安全體系結(jié)構(gòu)主要內(nèi)容安全服務(wù)與有關(guān)安全機(jī)制的描述；確定提供安全服務(wù)的位置；保證安全服務(wù)準(zhǔn)確地配置，且在信息系統(tǒng)安全的生命期中一直維持，安全功能務(wù)必達(dá)到一定強(qiáng)度的要求。2.2.1ISO開放系統(tǒng)互連安全體系結(jié)構(gòu)給出基于OSI參考模型的七層協(xié)議之上的信息安全體系結(jié)構(gòu)，對具體網(wǎng)絡(luò)環(huán)境的信息安全體系結(jié)構(gòu)具有重要指導(dǎo)意義。核心內(nèi)容五類安全服務(wù)八類安全機(jī)制OSI安全管理鏈路層網(wǎng)絡(luò)層傳輸層會話層表示層應(yīng)用層加密數(shù)字簽名訪問控制數(shù)據(jù)完整性簽別交換業(yè)務(wù)流填充路由控制公證簽別服務(wù)訪問控制數(shù)據(jù)完整性數(shù)據(jù)機(jī)密性抗抵賴OSI參考模碗型安全機(jī)制安全服務(wù)ISO臉7498果-2三維圖安全服爸務(wù)與安民全機(jī)制傳的關(guān)系一種安廚全服務(wù)壇可以通絕過某種吩安全機(jī)精制單獨(dú)駐提供，征也可以察通過多旋種安全粉機(jī)制聯(lián)盯合提供鄉(xiāng)豐；一種安匆全機(jī)制秩可以提叼供一種與或多種完安全服旺務(wù)。實際上，閑最適合配宮置安全服足務(wù)的是物剖理層、網(wǎng)借絡(luò)層、傳沈輸層及應(yīng)纏用層，其燃他層都不陜宜配置安雄全服務(wù)。一、安全頃服務(wù)鑒別訪問控惡制數(shù)據(jù)機(jī)片密性數(shù)據(jù)完她整性抗抵賴（一）切鑒別A與B通信，A是發(fā)起方對等實懼體鑒別A鑒別B的身份互的真實我性在連接建街立或在數(shù)同據(jù)傳送階古段使用A使用這驅(qū)種服務(wù)映可以確脆信:一個實劇體此時沒餐有試圖冒梢充別的實隙體,或沒有弟試圖將鑼先前的因連接作隨非授權(quán)暫地重演午。數(shù)據(jù)原壘發(fā)鑒別B鑒別A來源的身悟份的真實細(xì)性。對數(shù)據(jù)飛單元的謠來源提嚴(yán)供確認(rèn)賽。這種牙服務(wù)對界數(shù)據(jù)單嫩元的重遣復(fù)或篡宰改不提憐供保護(hù)巧。N+1NAN+1NB（二）訪陪問控制提供保努護(hù)以對鉛付開放牲系統(tǒng)互遵連（OSI）可訪盼問資源鍵的非授僵權(quán)使用戚。OSI資源非OSI資源對資源怎實現(xiàn)各壁種不同炒類型的孕訪問使用通彼信資源讀、寫椒或刪除綱信息資高源處理資源露的執(zhí)行應(yīng)用于使對一種觀資源的避所有訪毯問……（三）數(shù)頃據(jù)機(jī)密性對數(shù)據(jù)提頂供保護(hù)使貌之不被非定授權(quán)地泄拉露N+1NAN+1NB連接機(jī)球密性——為一次（N）連接近上的全港部（N）用戶數(shù)緣瑞據(jù)保證其遠(yuǎn)機(jī)密性。無連接機(jī)題密性——為單個傲無連接問的（N）SDU中的全跌部（N）用戶膏數(shù)據(jù)保母證其機(jī)頌密性。選擇字段腎機(jī)密性——為被選擇靜的字段保赴證其機(jī)密膝性通信業(yè)務(wù)陳流機(jī)密性——使得通掩過觀察塌通信業(yè)笑務(wù)流而奔不可能啟推斷出廈其中的及機(jī)密頌信息。（四）數(shù)扣據(jù)完整性這種服戀務(wù)對付種主動威判脅。帶恢復(fù)擦的連接況完整性——為(N)連接上德的所有(N)用戶數(shù)耀據(jù)保證讓其完整討性,并檢測逐整個SDU序列中銜的數(shù)據(jù)殊遭到的喉任何篡計改、插奇入、刪迫除或重拖演(同時試圖氣補(bǔ)救恢復(fù))。不帶恢復(fù)付的連接完溜整性——與上款的姜服務(wù)相同,只是不作徑補(bǔ)救恢復(fù)選擇字段蕉的連接完忍整性——為在一次昆連接上傳皺送的(N)-惹SDU的(N)用戶數(shù)據(jù)虜中的選擇烈字段保證馬其完整性,所取形芬式是確跡定這些貌被選字棵段是否鍛遭到了牧篡改、燒插入、何刪除或擦重演。無連接完粒整性——當(dāng)由(N)層提供慈時,對發(fā)出興請求的前那個(N+挑1)實體提供季完整性保金證。這察種服務(wù)為浮單個的無用連接SDU保證其個完整性,所取形糾式可以顧是確定豎一個接駝受到真的SDU是否遭受綠了篡改。句另外,在一定程嗓度上也能肝提供對重洪演的檢測崖。選擇字段院無連接完攜整性——這種服務(wù)壇為單個無望連接的SDU中的被選才字段保證焦其完整性,所取形式藍(lán)為確定被棍選字段是襖否遭受了區(qū)篡改。數(shù)據(jù)完處整性在一次連睛接上,連接開孫始時使日用對等斃實體鑒寫別服務(wù),并在連汗接的存泡活期使搜用數(shù)據(jù)足完整性辱服務(wù)就涌能聯(lián)合掉起來為暖在此連貸接上傳弊送的所初有數(shù)據(jù)竄單元的認(rèn)來源提膽供確證,為這些數(shù)挑據(jù)單元的熔完整性提屈供確證,而且,例如使蝦用順序梅號,還能另外臘為數(shù)據(jù)單叛元的重復(fù)膛提供檢測汁。（五）論抗抵賴有數(shù)據(jù)捉原發(fā)證載明的抗室抵賴為數(shù)據(jù)謹(jǐn)?shù)慕邮整愓咛峁┍贁?shù)據(jù)來塘源的證穿據(jù)。發(fā)送者不姥能抵賴未昏發(fā)送過這柄些數(shù)據(jù)或京內(nèi)容。有交付候證明的瘡抗抵賴為數(shù)據(jù)的枝發(fā)送者提喪供數(shù)據(jù)交么付證據(jù)。接收者不左能抵賴未嫌收到過這硬些數(shù)據(jù)或栗內(nèi)容。AB與網(wǎng)絡(luò)訂各層相母關(guān)的ISO/報OSI安全服務(wù)安全服務(wù)協(xié)議層1234567對等實體鑒別數(shù)據(jù)原發(fā)鑒別訪問控制服務(wù)連接機(jī)密性無連接機(jī)密性選擇字段機(jī)密性通信業(yè)務(wù)流機(jī)密性帶恢復(fù)的連接完整性不帶恢復(fù)的連接完整性選擇字段連接完整性無連接完整性選擇字段無連接完整性抗抵賴,帶數(shù)據(jù)原發(fā)證據(jù)抗抵賴,帶交付證據(jù)---Y---Y---------YY---------YYYYY--Y-Y-Y--YYYYY---YY-Y-------------------YY-Y-------YYYYYYYYYYYYYY二、ISO開放系婚統(tǒng)互連演安全體天系的安毫全機(jī)制加密數(shù)字簽房誠名訪問控構(gòu)制數(shù)據(jù)完整紋性鑒別交換通信業(yè)務(wù)霉填充路由選擇排控制公證（一）加飯密加密既慎能為數(shù)畏據(jù)提供保機(jī)密性,也能為蝦通信業(yè)村務(wù)流信洞息提供著機(jī)密性,并且還繼成為一良些別的州安全機(jī)窩制中的爪一部分稈或起補(bǔ)遠(yuǎn)充作用密。加密算法:可逆;不可逆桿?？赡嬗懠用芩隳ㄓ袃稍甏箢?對稱加密;非對稱加尿密。不可逆悄加密算嫌法可以傭使用密涌鑰,也可以短不使用鐮。除了某馳些不可匠逆加密茫算法的鋼情況外,加密機(jī)鳥制的存鄭在便意三味著要槐使用密丘鑰管理冠機(jī)制。（二）數(shù)另字簽名機(jī)插制兩個過程堤：對數(shù)據(jù)貫單元簽名;驗證簽井過名的稈數(shù)據(jù)單揪元。第辛一過程伴使用簽頁名者所引私有的稼信息。敗第二個運(yùn)過程所襯用的規(guī)糾程與信墊息是公皇之于眾久的,但不能夠后從它們推鋤斷出該簽本名者的私捆有信息。簽名過充程涉及頁到使用贏簽名者級的私有幸信息作粉為私鑰,或?qū)?shù)摩據(jù)單元稼進(jìn)行加礎(chǔ)密,或產(chǎn)生出暖該數(shù)據(jù)單鄉(xiāng)豐元的一個蜜密碼校驗銅值。驗證過想程涉及悼到使用刃公開的補(bǔ)規(guī)程與咱信息來會決定該犬簽名是租不是用申簽名者鬼的私有決信息產(chǎn)零生的。簽名機(jī)謠制的本湊質(zhì)特征矛：該簽好名只有汁使用簽厲名者的疑私有信幕息才能福產(chǎn)生出的來。當(dāng)該簽名簡得到驗證垂后,它能在遍事后的宋任何時鬧候向第造三方(例如法官撞或仲裁人)證明：化只有那膏私有信促息的唯讓一擁有非者才能療產(chǎn)生這洋個簽名啦。（三）潛訪問控惡制機(jī)制決定和實俗施一個實個體的訪問忽權(quán),可以使盲用：已鑒別的趨身份有關(guān)該葬實體的痛信息(例如它桑與一個但已知的位實體集物的從屬憑關(guān)系)使用該實拜體的權(quán)力煌。訪問控秒制功能蝕：拒絕對實體試哈圖使用饅非授權(quán)儀的資源,或者以不頑正當(dāng)方式淘使用授權(quán)幟資源?？苫槟墚a(chǎn)生一葛個報警信濱號或記錄沸進(jìn)行安全服審計跟蹤毫。訪問控制顧機(jī)制可應(yīng)去用于通信盾聯(lián)系中的姐一端點(diǎn),或應(yīng)用于斃任一中間語點(diǎn)。涉園及原發(fā)點(diǎn)橡或任一中益間點(diǎn)的訪藥問控制是兼用來決定雞發(fā)送者是蛋否被授權(quán)禮與指定的欺接收者進(jìn)矩行通信,或是否啦被授權(quán)沃使用所鎖要求的站通信資建源。（四）數(shù)陶據(jù)完整性虎機(jī)制數(shù)據(jù)完家整性有粱兩個方獄面:單個數(shù)梅據(jù)單元雙或字段爽的完整泰性以及左數(shù)據(jù)單撒元流或書字段流死的完整執(zhí)性。決定單檔個數(shù)據(jù)吊單元的掃完整性鳥涉及兩存?zhèn)€過程頂：一個騎在發(fā)送棉實體上,一個在蛇接收實造體上。埋發(fā)送實曲體給數(shù)窯據(jù)單元著附加上蘇一個量,這個量為希該數(shù)據(jù)的通函數(shù)，例仿如校驗碼卵。接收實猶體產(chǎn)生一芬個相應(yīng)的萬量,并把它與曾接收到的濾那個量進(jìn)嬌行比較以訓(xùn)決定該數(shù)于據(jù)是否在嫂轉(zhuǎn)送中被溫篡改過。行單靠這種浪機(jī)制不能娘防止單個遣數(shù)據(jù)單元?dú)w的重演。對于連缸接方式陜數(shù)據(jù)傳育送,保護(hù)數(shù)據(jù)的單元序列逐的完整性(即防止亂液序、數(shù)超據(jù)的丟失咐、重演、商插入和篡殺改)還需要某歡種明顯的寬排序形式,例如順序土號、時赤間標(biāo)記或盟密碼鏈。對于無連個接數(shù)據(jù)傳津送,時間標(biāo)獵記可以冬用來在裹一定程哨度上提娘供保護(hù),防止個農(nóng)別數(shù)據(jù)單煌元的重演招。（五）吸鑒別交背換機(jī)制可用于鑒草別交換的膠一些技術(shù)使用鑒別急信息,例如口家令密碼技爆術(shù)使用該門實體的蒜特征或焦占有物榴。對等實董體鑒別究。如果嫂在鑒別妻實體時,這一機(jī)算制得到話否定的編結(jié)果,就會導(dǎo)葵致連接壩的拒絕外或終止,也可能甲使在安持全審計化跟蹤中蕉增加一漂個記錄,或給安臉全管理匠中心一骨個報告泉。當(dāng)采用回密碼技肯術(shù)時,這些技術(shù)掛可以與“念握手”協(xié)旅議結(jié)合起訓(xùn)來以防止糞重演(即確保存械活期)。鑒別交換序技術(shù)的選牛用取決于熟使用它們聽的環(huán)境。沃在許多場淺合,它們將必睜須與下列嗓各項結(jié)合腫使用:時間標(biāo)記泊與同步時揀鐘;兩方握色手和三蹦方握手(分別對應(yīng)尚于單方鑒飛別和相互航鑒別);由數(shù)字絹簽名和范公證機(jī)攻制實現(xiàn)盾的抗抵誤賴服務(wù)家。（六）通降信業(yè)務(wù)填格充機(jī)制通信業(yè)纖務(wù)填充蜂機(jī)制能換用來提蹤蝶供各種邪不同級寶別的保鳳護(hù),抵抗通信握業(yè)務(wù)分析施。這種機(jī)需制只有衫在通信聞業(yè)務(wù)填嚷充受到臥機(jī)密服塊務(wù)保護(hù)零時才是抖有效的上。（七）路涌由選擇控屯制機(jī)制路由能派動態(tài)地事或預(yù)定員地選取,以便只胃使用物慘理上安艙全的子策網(wǎng)絡(luò)、妖中繼站派或鏈路到。在檢測到著持續(xù)的操落作攻擊時,端系統(tǒng)科可希望嶄指示網(wǎng)裝絡(luò)服務(wù)疊的提供類者經(jīng)不嫩同的路柳由建立蘿連接。帶有某些皆安全標(biāo)記級的數(shù)據(jù)可挎能被安全洋策略禁止炎通過某些祥子網(wǎng)絡(luò)、塵中繼或鏈寸路。連接戒的發(fā)起者(或無連刷接數(shù)據(jù)掃單元的晌發(fā)送者)可以指定完路由選擇液說明,由它請求蓬回避某些活特定的子殲網(wǎng)絡(luò)、鏈?zhǔn)悸坊蛑欣^荷。（八）公經(jīng)證機(jī)制兩個或礙多個實駝體之間芽通信的該數(shù)據(jù)的寶性質(zhì),如它的繡完整性球、原發(fā)鵝、時間喉和目的啞地等能灰夠借助址公證機(jī)肅制而得霉到確保嗎。這種保證你是由第三允方公證人蒼提供的。劑公證人為惕通信實體針?biāo)湃?并掌握獲必要信愿息以一村種可證掏實方式撒提供所尊需的保偉證。每個通信語事例可使唐用數(shù)字簽描名、加密品和完整性羊機(jī)制以適敬應(yīng)公證人貢提供的那昏種服務(wù)。絨當(dāng)這種公蒜證機(jī)制被義用到時,數(shù)據(jù)便在容參與通信社的實體之緩間經(jīng)由受津保護(hù)的滿通信實例赴和公證方氏進(jìn)行通信福。OSI安全服果務(wù)與安毫全機(jī)制盲之間的罵關(guān)系

服務(wù)機(jī)制加密數(shù)字簽名訪問控制數(shù)據(jù)完整性鑒別交換業(yè)務(wù)流填充路由控制公證對等實體鑒別數(shù)據(jù)原發(fā)鑒別訪問控制服務(wù)連接機(jī)密性無連接機(jī)密性選擇字段機(jī)密性通信業(yè)務(wù)流機(jī)密性帶恢復(fù)的連接完整性不帶恢復(fù)的連接完整性選擇字段連接完整性無連接完整性選擇字段無連接完整性抗抵賴,帶數(shù)據(jù)原發(fā)證據(jù)抗抵賴,帶交付證據(jù)

YY-YYYYYYYYY--YY--------YYYY--Y------------------YYYYYYYY-------------------Y----------YY-Y-------------------YY服務(wù)、機(jī)概制與層的對關(guān)系安全分?jǐn)D層原則實現(xiàn)一種軋服務(wù)的不論同方法越頁少越好;在多個真層上提義供安全筑服務(wù)來淋建立安邀全系統(tǒng)么是可取畏的;為安全所遺需的附加酒功能度不幸應(yīng)該不必侍要地重復(fù)OSI的現(xiàn)有功拴能;避免破握壞層的質(zhì)獨(dú)立性;可信功能騙度的總量雕應(yīng)盡量少;只要一個掘?qū)嶓w依賴謹(jǐn)于由位于剝較低層的爹實體提供豆的安全機(jī)樓制,那么任何張中間層閘應(yīng)該按不吹違反安全專的方式構(gòu)炭作;只要可懇能,應(yīng)以不排姑除作為自擦容納模塊喚起作用的龜方法來定質(zhì)義一個層擾的附加金安全功能;本標(biāo)準(zhǔn)靈被認(rèn)定膀應(yīng)用于邁由包含臣所有七識層的端符系統(tǒng)組遵成的開柜放系統(tǒng),以及中趣繼系葡統(tǒng)。各層上拼的服務(wù)右定義可吼能需要毒修改以武便滿足膊安全服變務(wù)的請音求,不論所要宅求的安全志服務(wù)是由球該層提供品或下面提戲供。2.2.錢2TC答P/IP安全體系在第5章中講2.2粘.3安全管理OSI安全管牲理包括酬：OSI有關(guān)的贏安全管抓理和OSI管理的安段全。OSI安全管下理涉及紗到OSI安全服乏務(wù)的管疊理與安全機(jī)戲制的管霸理。這樣英的管理澡要求給堪這些服肉務(wù)與機(jī)駐制分配委管理信孔息,并收集與忙這些服務(wù)腦和機(jī)制的街操作有關(guān)殲的信息。安全管理巴信息庫(SMI塌B)是一個托概念上潛的集存佳地,存儲開偵放系統(tǒng)粗所需的形與安全落有關(guān)的路全部信燃息。安全管理管理協(xié)葉議,特別是毫安全管題理協(xié)議,以及傳陜送這些瞧管理信鐵息的通丘信信道致潛在著忙抗攻擊屬的脆弱糖性。安全管理企可以要求漿在不同系脆統(tǒng)的行政跨管理機(jī)構(gòu)團(tuán)之間交換熟與安全有鴿關(guān)的信息,以便使SMI拌B得以建磨立或擴(kuò)拒充。應(yīng)用協(xié)遷議將為脾在OSI通信信道龜上交換與付安全有關(guān)倍的信息作擴(kuò)出規(guī)定。OSI安全管理篇的分類有三類OSI安全管理鏟活動系統(tǒng)安全墨管理安全服務(wù)仇管理安全機(jī)育制管理系統(tǒng)安停全管理系統(tǒng)安全在管理涉及不總的OSI環(huán)境安辛全方面川的管理杰?？傮w安全膚策略的管案理,包括一得致性的愚修改與絞維護(hù);與別的OSI管理功能寬的相互作拌用;與安全服蓬務(wù)管理和弊安全機(jī)制難管理的交震互作用;事件處理刪管理;安全審搏計管理;安全恢復(fù)苦管理。安全服春務(wù)管理安全服陰務(wù)管理拘涉及特貿(mào)定安全港服務(wù)的裁管理為該種罪服務(wù)決叼定與指仇派目標(biāo)當(dāng)安全保用護(hù);指定與催維護(hù)選娃擇規(guī)則(存在可咽選情況帖時),用以選取殼為提供所刑需的安全何服務(wù)而覺使用的特庭定的安全抓機(jī)制;對那些需淘要事先取洽得管理同日意的可用樂安全機(jī)制罰進(jìn)行協(xié)商(本地的察與遠(yuǎn)程殊的);通過適當(dāng)例的安全機(jī)船制管理功逃能調(diào)用特屆定的安全館機(jī)制,例如,用來提供肝行政管剪理強(qiáng)加的償安全服務(wù);與別的安炕全服務(wù)管為理功能和濃安全機(jī)制陡管理功能差的交互作過用。安全機(jī)制產(chǎn)管理安全機(jī)識制管理局涉及的估是特定線安全機(jī)泡制的管季理密鑰管理加密管呀理數(shù)字簽弱名管理訪問控制肥管理數(shù)據(jù)完行整性管酸理鑒別管理通信業(yè)務(wù)稼填充管理路由選擇命控制管理公證管理密鑰管理密鑰管理袍可以包括:間歇性曲地產(chǎn)生扭與所要盆求的安哨全級別謊相稱的協(xié)合適密層鑰;根據(jù)訪問變控制的要蟻求,對于每汽個密鑰千決定哪萍個實體邁應(yīng)該接煎受密鑰肺的拷貝;用可靠辦稍法使這些郵密鑰對實腰開放系統(tǒng)披中的實體宵實例是可在用的,或?qū)⑦@叨些密鑰單分配給身它們。某些密鑒鑰管理暑功能將橫在OSI環(huán)境之根外執(zhí)行叫。這包批括用可糠靠手段礦對密鑰退進(jìn)行物勢理的分傷配。用于一次駁聯(lián)系中的拜工作密鑰指的交換是辜一種正常故的層協(xié)議斤功能。工誼作密鑰的輪選取也可塊以通過訪放問密鑰分綠配中心來伐完成,或經(jīng)管怎理協(xié)議餅作事先禾的分配娘。加密管晌理加密管理拆可以包括:與密鑰管壺理的交互殿作用;建立密碼健參數(shù);密碼同步艇。密碼機(jī)膨制的存在信意味著使貧用密碼管翠理,和采用共并同的方式膨調(diào)用密碼部算法。由加密提階供的保護(hù)箭的辨別水浙準(zhǔn)決定于OSI環(huán)境中哪飲些實體獨(dú)稈立地使用天密鑰。為獲得覽對加密捷算法的臭共同調(diào)棄用可使位用密碼禁算法寄按存器,或在實體毅間進(jìn)行事鞏前的協(xié)商秧。數(shù)字簽逗名管理數(shù)字簽船名管理幅可以包裳括:與密鑰管武理的交互畢作用;建立密碼低參數(shù)與密某碼算法;在通信實鋸體與可能旱有的第三泳方之間使寒用協(xié)議。訪問控將制管理訪問控制雷管理可涉稱及到安全漢屬性(包括口令)的分配,或?qū)υL問列控制表或統(tǒng)權(quán)力表進(jìn)請行修改。蹦也可能涉帆及到在通傻信實體與論其他提供止訪問控制狠服務(wù)的實吹體之間使回用協(xié)議。數(shù)據(jù)完懷整性管椅理數(shù)據(jù)完辨整性管牲理可以奔包括:與密鑰管述理的交互厭作用建立密仇碼參數(shù)坦與密碼望算法在通信漿的實體妥間使用齡協(xié)議注:當(dāng)對數(shù)據(jù)木完整性使副用密碼技輔術(shù)時,數(shù)據(jù)完擠整性管脊理便與犁加密管狂理極為勝類似。鑒別管理鑒別管理創(chuàng)可以包括協(xié)把說明信蒙息,口令或密彎鑰(使用密鋒鑰管理)分配給稈要求執(zhí)心行鑒別慎的實體分。它也浮可以包友括在通滲信的實蹲體與其約他提供升鑒別服兩務(wù)的實剃體之間尸使用協(xié)仗議。通信業(yè)務(wù)踐填充管理通信業(yè)蛛務(wù)填充術(shù)管理可弱包括維尤護(hù)那些哥用作通待信業(yè)務(wù)助填充的婦規(guī)則。盛例如,這可以包沒括:預(yù)定的薯數(shù)據(jù)率;指定隨機(jī)石數(shù)據(jù)率;指定報文氣特性,例如長度;可能按日廉時間或日吃歷來改變緞這些規(guī)定交。路由選架擇控制家管理路由選擇殃控制管理流涉及確定呈那些按特歉定準(zhǔn)則被取認(rèn)為是安解全可靠或乎可信任的印鏈路或子免網(wǎng)絡(luò)。公證管馳理公證管侍理可以轉(zhuǎn)包括:分配有啞關(guān)公證看的信息;在公證效方與通韻信的實退體之間財使用協(xié)蔑議;與公證方餡的交互作鋤用。OSI管理的愛安全所有OSI管理功蠟?zāi)艿陌睬嗳约癘SI管理信息劃的通信安鎮(zhèn)全是OSI安全的重瞧要部分。釀這一類安禁全管理將鄰借助對上馳面所列的OSI安全服務(wù)捕與機(jī)制作膊適當(dāng)?shù)倪x壘取以確保OSI管理協(xié)幟議與信伐息獲得墓足夠的仔保護(hù)。煎例如,在管理信巖息庫的管各理實體之構(gòu)間的通信蠟一般將要少求某種形淘式的保護(hù)作。2.3信息系粘統(tǒng)安全調(diào)體系框存架管理體系制度法律培訓(xùn)組織體系機(jī)構(gòu)人事崗位技術(shù)體系技術(shù)管理技術(shù)機(jī)制安全策略與服務(wù)密鑰管理審計OSI安全技術(shù)運(yùn)行環(huán)境及系統(tǒng)安全技術(shù)狀態(tài)檢測入侵監(jiān)控OSI安全管理安全機(jī)制安全服務(wù)物理安全系統(tǒng)安全信息系統(tǒng)安全體系框架2.3字.1技術(shù)體系技術(shù)體讓系是全吼面提供幅信息系疲統(tǒng)安全形保護(hù)的敘技術(shù)保遼障系統(tǒng)強(qiáng)。OSI安全體拾系通過聚技術(shù)管需理將技蜻術(shù)機(jī)制適提供的均安全服診務(wù)，分崖別或同廳時在OSI協(xié)議層庭的一層支或多層眉上，為右數(shù)據(jù)、啞信息內(nèi)皺容、通雙信連接陽提供機(jī)賺密性、檢完整性尚和可用胡性保護(hù)籌，為通海信實體根、通信趣連接、茅通信進(jìn)酸程提供樓身份鑒泉別、訪蟲問控制醉、審計踢和抗抵昆賴保護(hù)真，這些性安全服罩務(wù)分別福作用在夢通信平稱臺、網(wǎng)里絡(luò)平臺漁和應(yīng)用充平臺上話。保障和運(yùn)角行的安全流體系是與OSI安全體畜系不同掀的技術(shù)翁保障體饅系。物理安全居技術(shù)系統(tǒng)安鉛全技術(shù)安全技術(shù)餅體系三維靜圖加密數(shù)字簽名訪問控制完整性鑒別交流業(yè)務(wù)流填充公證電磁輻射控制抗電磁干擾鑒別訪問控制數(shù)據(jù)完整性數(shù)據(jù)保密性抗抵賴審計可可靠用性性安全管理物理鼠層鏈路圍層網(wǎng)絡(luò)歷層傳輸涂層應(yīng)用挺層安全管理物理環(huán)境系統(tǒng)平右臺通信平園臺網(wǎng)絡(luò)平臺應(yīng)用平臺理管愚全安安全服務(wù)（安全機(jī)糊制）系統(tǒng)構(gòu)供成單元協(xié)議層次2.3柳.2組織機(jī)構(gòu)歪體系組織機(jī)構(gòu)執(zhí)體系是信病息系統(tǒng)安降全的組織湯保障系統(tǒng)掌。機(jī)構(gòu)決策層管理層執(zhí)行層崗位人事2.3.驕3管理體偉系管理是信醫(yī)息系統(tǒng)安仔全的靈魂法律管蘿理：根衰據(jù)相關(guān)悼的國家腦法律、束法規(guī)，講對信息拾系統(tǒng)主且體及其垮與外界湖關(guān)聯(lián)行律為的規(guī)告范和約傅束。與獻(xiàn)安全有善關(guān)的法購律、法內(nèi)規(guī)是信登息系統(tǒng)猾安全的著最高行已為準(zhǔn)則采。制度管狠理：根刻據(jù)系統(tǒng)風(fēng)必要的昆國家、界團(tuán)體的扒安全需納求制定右的一系晴列內(nèi)部烏規(guī)章制報度。制糠度管理申是法律品管理的澡形式化失、具體脹化，是碧法律、缸法規(guī)與青管理對弓象的接遭口。培訓(xùn)管給理：確糊保信息碑系統(tǒng)安膊全的前摔提。2.4本章小蜻結(jié)開放系含統(tǒng)互連硬參考模佛型是國稠際標(biāo)準(zhǔn)溫化組織ISO定義的開橋放系統(tǒng)體相系結(jié)構(gòu)，到是一種將誤異構(gòu)系統(tǒng)踢互連的七窗層分層結(jié)描構(gòu)，提供刑了控制互爺連系統(tǒng)交奔互的標(biāo)準(zhǔn)舒框架。開放系統(tǒng)滿互連安全跪體系結(jié)構(gòu)遲（ISO管749蹦8-2）是基于OSI參考模型中的七層協(xié)都議之上的瓣信息安全挖體系結(jié)構(gòu)辜。定義了5類安全狂服務(wù)、8種安全縫機(jī)制，蔽確定了法安全服劣務(wù)與安敲全機(jī)制祖的關(guān)系蜘以及在OSI七層模型結(jié)中安全服吧務(wù)的配置悅。5類安全服根務(wù)是鑒別胃、訪問控勁制、數(shù)據(jù)慰機(jī)密性、萬數(shù)據(jù)完整講性以及抗莫否認(rèn)。8種安全機(jī)凡制是加密撞、數(shù)字簽番名、訪問助控制、數(shù)替據(jù)完整性孔、鑒別交害換、通信部業(yè)務(wù)填充蘆、路由選激擇控制以事及公證。OSI安全體睜系的安駁全管理鎮(zhèn)涉及與OSI有關(guān)的安淡全管理以走及OSI管理的安渠全兩個方仰面。9、靜夜四打無鄰，荒杰居舊業(yè)貧剛。。4月-2槐34月-2絡(luò)3Fri陪day盈,A艷pri耳l2五8,蛾202頂310、雨中單黃葉樹裁，燈下這白頭人疤。。05:1膜6:4905:1虜6:4905:1筒64/28澆/202朱35:撤16:4燭9AM11、以我虛獨(dú)沈久貢，愧君舊相見頻孫。。4月-2魔305:抱16:敬4905:爸16Apr捉-2328-A真pr-2竟312、故人腦江海別李，幾度鈴隔山川場。。05:1姻6:4905:1盲6:4905:裳16Frid愧ay,持Apri菜l28查,20眼2313、乍見廳翻疑夢晨，相悲全各問年碧。。4月-斧234月-耀2305:車16:肯4905:庫16:慎49Apri散l28潤,20損2314、他鄉(xiāng)責(zé)生白發(fā)腔，舊國循見青山橫。。28味四月竹202駕35:1退6:4饒9上島午05:1櫻6:494月-穩(wěn)2315、比不了單得就不比魯，得不到壺的就不要俯。。。四月2醫(yī)35:16梳上午4月-猶2305:1狐6Apri摧l28榨,20袍2316、行動膜出成果轉(zhuǎn)，工作頑出財富鎖。。202蝦3/4椒/28豈5:棒16:識4905:蜻16:拿4928A墓pril野202櫻317、做前，僚能夠環(huán)視松四周；做剃時，你只張能或者最避好沿著以裳腳為起點(diǎn)替的射線向怖前。。5:16盆:49鴉上午5:16握上午05:1煙6:494月-說239、沒有規(guī)失敗，仁只有暫獵時停止宣成功！首。4月-諷234月-淡23Fri士day海,A越pri莖l2置8,普202蔥310、很多程事情努圍力了未文必有結(jié)囑果，但眠是不努膝力卻什側(cè)么改變混也沒有羞。。05:1御6:4905:1渠6:4905:1訪64/28毀/202同35:魄16:4郵9AM11、成功就欺是日復(fù)一倍日那一點(diǎn)床點(diǎn)小小努感力的積累覽。。4月-2肅305:幟16:鎖4905:覆16Apr-仍2328-A滿pr-2診312、世間成子事，不求梯其絕對圓輸滿，留一貞