3.1 應(yīng)用安全概述

第1節(jié)應(yīng)用安全概述第3章目錄應(yīng)用安全基本概念應(yīng)用安全主要風(fēng)險(xiǎn)010201應(yīng)用安全基本概念什么是應(yīng)用安全應(yīng)用安全是指通過(guò)安全操作或策略，消除不同實(shí)體在應(yīng)用期間存在的安全隱患，保障各種設(shè)備、程序、文件、介質(zhì)等在使用過(guò)程和結(jié)果的安全性。應(yīng)用安全概念我是某公司經(jīng)理，個(gè)人覺(jué)得應(yīng)用安全應(yīng)該包括個(gè)人電腦的應(yīng)用安全等。我是一名技術(shù)人員，特別注重文件安全和移動(dòng)介質(zhì)安全。所以，應(yīng)用安全應(yīng)該包括這兩項(xiàng)。我是一名老師，經(jīng)常在網(wǎng)頁(yè)上查找資料，上網(wǎng)安全對(duì)我來(lái)說(shuō)特別重要。這個(gè)應(yīng)該也是屬于應(yīng)用安全。案例導(dǎo)入2020年4月20日，陳先生撥打110報(bào)警稱，其收到一條短信，內(nèi)容是某快遞公司舉辦活動(dòng)，只需要在支付寶上消費(fèi)12次就能領(lǐng)取一個(gè)小冰箱。吳先生點(diǎn)擊短信上的鏈接下載了一個(gè)軟件，并添加了客服的微信；隨后客服將吳先生拉入微信群，并在群內(nèi)引導(dǎo)吳先生通過(guò)下載的軟件完成刷單領(lǐng)取獎(jiǎng)勵(lì)。吳先生多次在該軟件進(jìn)行刷單操作，總共被騙取400000元錢(qián)。案例12022年4月，某高校一名學(xué)生去打印店打印畢業(yè)論文，在返回途中U盤(pán)不慎丟失。一開(kāi)始并不在意，覺(jué)得自己電腦里面還存有畢業(yè)論文終稿。可是過(guò)了不久，他的畢業(yè)論文就被公開(kāi)發(fā)布在網(wǎng)上了。原因是他U盤(pán)里面的論文資料沒(méi)有加密，撿到U盤(pán)的不法分子直接就能打開(kāi)這名同學(xué)的畢業(yè)論文，然后上傳到網(wǎng)絡(luò)上。案例2應(yīng)用安全重要性應(yīng)用安全重要性互聯(lián)網(wǎng)應(yīng)用已經(jīng)深入到我們生產(chǎn)與生活各個(gè)領(lǐng)域當(dāng)中，但也暴露出一個(gè)問(wèn)題：如何保障互聯(lián)網(wǎng)應(yīng)用的安全性？安全意識(shí)密碼保護(hù)安全管理應(yīng)用安全重要性意義02應(yīng)用安全能夠保障數(shù)據(jù)在應(yīng)用時(shí)的三大基本安全屬性（保密性、完整性、可用性）。03應(yīng)用安全能夠提升使用者的安全意識(shí)，規(guī)范使用者日常操作行為，消除操作不當(dāng)帶來(lái)的隱患。01應(yīng)用安全是一切活動(dòng)的基礎(chǔ)，是一切活動(dòng)的前提，是不可超越的先決條件。02應(yīng)用安全主要風(fēng)險(xiǎn)什么是應(yīng)用安全風(fēng)險(xiǎn)應(yīng)用安全風(fēng)險(xiǎn)，是指實(shí)體在應(yīng)用過(guò)程中，發(fā)生安全事件，導(dǎo)致應(yīng)用過(guò)程、結(jié)果與預(yù)期發(fā)生偏離，出現(xiàn)負(fù)面影響或損失的可能性。應(yīng)用安全風(fēng)險(xiǎn)概念在工作中，我經(jīng)常用電腦發(fā)送文件給客戶，但是最近有客戶反饋說(shuō)我發(fā)送的文件出現(xiàn)亂碼和奇怪的圖片，為什么出現(xiàn)這種問(wèn)題？在生活中，我經(jīng)常在網(wǎng)上購(gòu)物。最近在某家商店買(mǎi)東西時(shí)，商家叫我加他微信轉(zhuǎn)賬會(huì)更便宜一點(diǎn)，我到底該不該相信他？信息安全意識(shí)薄弱是最根本的原因。比如，將口令寫(xiě)在便簽上，貼在電腦監(jiān)視器旁；密碼設(shè)置不符合安全要求；電腦在不鎖屏情況下離開(kāi)；輕易點(diǎn)擊來(lái)自陌生人的郵件等。計(jì)算機(jī)不同的用途對(duì)用戶的計(jì)算機(jī)水平有不同的要求，使用規(guī)范也不同。使用者要嚴(yán)格按照程序與規(guī)定，使用相關(guān)的網(wǎng)站軟件，保證數(shù)據(jù)信息的有效存儲(chǔ)。但在實(shí)際操作中，使用不當(dāng)或違規(guī)操作會(huì)造成信息的丟失、發(fā)布前的泄露、失真等情況時(shí)有發(fā)生，導(dǎo)致出現(xiàn)應(yīng)用安全風(fēng)險(xiǎn)。信息安全風(fēng)險(xiǎn)管理越松散，應(yīng)用安全風(fēng)險(xiǎn)發(fā)生概率越大。風(fēng)險(xiǎn)雖然不能消除殆盡，但是健全的安全風(fēng)險(xiǎn)管理體系能夠降低應(yīng)用安全風(fēng)險(xiǎn)發(fā)生的可能性。一套合理的風(fēng)險(xiǎn)管理體系，可以在最大程度上提升相關(guān)實(shí)體在應(yīng)用過(guò)程中的安全性。黑客攻擊，非法入侵都會(huì)導(dǎo)致應(yīng)用安全風(fēng)險(xiǎn)的發(fā)生。不法分子利用數(shù)據(jù)信息傳輸機(jī)制的漏洞，非法改變?cè)械膫鬏敊C(jī)制，在信息傳輸路徑中對(duì)相關(guān)數(shù)據(jù)進(jìn)行竊聽(tīng)或劫持，達(dá)到竊取數(shù)據(jù)信息的目的。信息安全意識(shí)薄弱風(fēng)險(xiǎn)管理不當(dāng)應(yīng)用安全風(fēng)險(xiǎn)是如何產(chǎn)生的違規(guī)操作非法入侵常見(jiàn)的應(yīng)用安全風(fēng)險(xiǎn)個(gè)人電腦應(yīng)用安全風(fēng)險(xiǎn)上網(wǎng)應(yīng)用安全風(fēng)險(xiǎn)文件安全風(fēng)險(xiǎn)……社交軟件與網(wǎng)絡(luò)輿情風(fēng)險(xiǎn)移動(dòng)介質(zhì)安全風(fēng)險(xiǎn)移動(dòng)終端應(yīng)用安全風(fēng)險(xiǎn)通過(guò)了解常見(jiàn)的安全風(fēng)險(xiǎn)，提高安全意識(shí)，在實(shí)際應(yīng)用過(guò)程中，能讓我們保持一份警惕。常見(jiàn)風(fēng)險(xiǎn)……應(yīng)用安全風(fēng)險(xiǎn)產(chǎn)生的危害安全風(fēng)險(xiǎn)與應(yīng)用實(shí)體是一對(duì)共同體，安全風(fēng)險(xiǎn)越大，那么應(yīng)用實(shí)體潛在的損害性也就越大。雖然風(fēng)險(xiǎn)只是潛在發(fā)生而非事實(shí)的損害，但是我們需要知道的是，風(fēng)險(xiǎn)是不能百分之百消除的，風(fēng)險(xiǎn)一旦發(fā)生，可能會(huì)給我們帶來(lái)不同程度的損失。危害敏感數(shù)據(jù)泄露風(fēng)險(xiǎn)增大信息泄露：保護(hù)的信息被泄露或透露給某個(gè)非授權(quán)的實(shí)體破壞信息的完整性：數(shù)據(jù)被非授權(quán)地進(jìn)行增刪、修改或破壞而受到損失非法使用(非授權(quán)訪問(wèn))：某一資源被某個(gè)非授權(quán)的人以非授權(quán)的方式使用......應(yīng)用安全的防護(hù)策略應(yīng)用安全防護(hù)策略關(guān)鍵一環(huán)——應(yīng)用安全風(fēng)險(xiǎn)處理。選擇和實(shí)施合適的安全措施，對(duì)安全風(fēng)險(xiǎn)進(jìn)行處理，將應(yīng)用安全風(fēng)險(xiǎn)始終控制在可接受范圍之內(nèi)。概述應(yīng)用安全風(fēng)險(xiǎn)處理方式降低風(fēng)險(xiǎn)規(guī)避風(fēng)險(xiǎn)轉(zhuǎn)移風(fēng)險(xiǎn)接受風(fēng)險(xiǎn)應(yīng)用安全的防護(hù)策略降低風(fēng)險(xiǎn)01減少威脅源03減少脆弱性04應(yīng)用安全防護(hù)05降低負(fù)面影響降低威脅能力02應(yīng)用安全的防護(hù)策略規(guī)避風(fēng)險(xiǎn)通過(guò)不使用某些應(yīng)用來(lái)避免風(fēng)險(xiǎn)。比如：在沒(méi)有足夠安全保障的信息系統(tǒng)中，不處理特別敏感的信息，從而防止敏感信息的泄漏對(duì)于只處理內(nèi)部業(yè)務(wù)的信息系統(tǒng)，不使用互聯(lián)網(wǎng)，從而避免外部的有害入侵和不良攻擊適用場(chǎng)景風(fēng)險(xiǎn)一旦發(fā)生，造成的損失無(wú)法接受降低風(fēng)險(xiǎn)需要成本過(guò)高應(yīng)用安全的防護(hù)策略轉(zhuǎn)移風(fēng)險(xiǎn)將某些應(yīng)用帶來(lái)的安全風(fēng)險(xiǎn)進(jìn)行轉(zhuǎn)移，避免損失。存在某些風(fēng)險(xiǎn)的應(yīng)用轉(zhuǎn)移到其他平臺(tái)運(yùn)行保留在本地平臺(tái)運(yùn)行，但出現(xiàn)安全事件帶來(lái)的損失風(fēng)險(xiǎn)由第三方承擔(dān)實(shí)現(xiàn)條件通常只有當(dāng)風(fēng)險(xiǎn)不能被降低或避免、且被第三方（被轉(zhuǎn)嫁方）接受時(shí)才被采用。適用場(chǎng)景一般用于低概率安全事件、但一旦風(fēng)險(xiǎn)發(fā)生時(shí)，會(huì)對(duì)組織產(chǎn)生重大影響。應(yīng)用安全的防護(hù)策略接受風(fēng)險(xiǎn)接受風(fēng)險(xiǎn)是選擇對(duì)風(fēng)險(xiǎn)不采取進(jìn)一步的處理措施，接受風(fēng)險(xiǎn)可能帶來(lái)的結(jié)果。結(jié)果為：風(fēng)險(xiǎn)在可控范圍之內(nèi)能接受風(fēng)險(xiǎn)帶來(lái)的損失 適用場(chǎng)景用于在采取了降低風(fēng)險(xiǎn)和規(guī)避風(fēng)險(xiǎn)措施后，出于實(shí)際和成本方面的原因，只要組織進(jìn)行運(yùn)營(yíng)，就必然存在并必須接受的風(fēng)險(xiǎn)。接受風(fēng)險(xiǎn)把控接受風(fēng)險(xiǎn)不意味著不聞不問(wèn)，需要對(duì)風(fēng)險(xiǎn)態(tài)勢(shì)變化進(jìn)行持續(xù)的監(jiān)控，一旦發(fā)展為無(wú)法接受的風(fēng)險(xiǎn)就要進(jìn)一步采取措施。介紹應(yīng)用安全基本概念，從應(yīng)用安全定義和重要性兩個(gè)方面展開(kāi)；介紹應(yīng)用安全主要風(fēng)險(xiǎn)。包括應(yīng)用安全風(fēng)險(xiǎn)定義，應(yīng)用安全風(fēng)險(xiǎn)產(chǎn)生原因、常見(jiàn)的應(yīng)用安