NCNE培训.ppt

1、第一章,国家信息化工程师认证考试管理中心,信息安全概述,2,4570万信用卡信息泄漏 450亿美元责任成本 数据持续丢失了18个月,对于您管理的网络，您有多少信心它是干净和有抵抗力的？,非常有信心 有信心 还可以吧 不是很有信心 我知道我的网络是不安全的,问题#1,案例,一家在加拿大的公司对自己的网络安全有100%的信心， 在一次专业测评中只抽取了400个终端进行测评，结果有以下发现,13 个恶意软件 1,247 次恶意URL访问 53 次恶意软件下载 584 封恶意邮件,请选出在您管理的网络中，您认为最让您担忧的问题,恶意软件越来越复杂和难以对付 移动人员为企业带来不可预知的安全隐患 对新技

2、术的引进同时带来新的漏洞 (USB, P2P 等) 分支机构/合作伙伴的连接带来的安全问题 对内部的隐患不得而知，无从下手 谈谈您自己的想法,问题 #2,安全:一个经验定义,通常感觉：“网络安全就是避免危险” 科学的安全定义 防止未授权的用户访问信息 防止未授权而试图破坏与修改信息 安全就是一个系统保护信息和系统资源相应的机密性和完整性的能力,有趣而经典的结论,公理1 （摩非定理）所有的程序都有缺陷。 定理1 （大程序定律） 大程序的缺陷甚至比它包含的内容还多。 推理1 - 1 一个安全相关程序有安全性缺陷。 定理2 只要不运行这个程序，那么这个程序是否有缺陷，也无关紧要。 推理2 - 1 只

3、要不运行这个程序，即使这个程序有安全性漏洞，也无关紧要。 定理3 对外暴露的计算机，应尽可能少地运行程序，且运行的程序也应尽可能小。 推理3 - 1 防火墙基本法则大多数主机不满足我们的要求：因为它们运行太多太大的程序。因此，唯一的解决办法是将真正希望运行的程序隔离在网络边界的另一边。,网络安全问题的复杂程度,复杂程度,未知的安全间隙,网络的普及使学习网络进攻变得容易,全球超过26万个黑客站点提供系统漏洞和攻击知识 越来越多的容易使用的攻击软件的出现,我们眼中的网络安全,DMZE-Mail File TransferHTTP,Intranet,企业网络,生产部,工程部,市场部,人事部,路由,I

4、nternet,中继,网络安全隐患无处不在，常见 漏洞目前有1000余种,网络安全风险,安全需求和实际操作脱离 内部的安全隐患 动态的网络环境 有限的防御策略 安全策略和实际执行之间的巨大差异,100%安全的神话,攻击与破坏的动机,国外政府,竞争对手,黑客,不满的雇员,安全即寻求平衡,连通即意味着危险 实现安全不能以牺牲性能、开销为代价,经典格言： “网络的美妙之处在于你可以和任何人连接，网络的可怕之处在于任何人都可以连接你！”,信息安全策略,安全策略的定义和内容系统分类资源优先级划分风险因数活动定义策略的应用,安全策略的定义,安全策略SP(security policy)是决策的集合 安全策

5、略对不同的组织、不同的时期、不同的环境来说是有区别的 安全策略是指在一个特定的环境里，为保证提供一定级别的安全保护所必须遵守的规则,安全策略的构成,资源优先级划分,三个不同级别 级别一：日常工作 级别二：较重要，停止时间最多不能超过48小时 级别三：最重要，系统停止运行不能超过几个小时,可接受与不可接受的活动,注意两者的区别 注意两者在不同环境、不同组织、不同时间、不同地点是不同的 注意和边界访问控制（例如Cisco ACL）之间的联系和区别,策略应用,策略管理教育标准,加密,信息安全的核心是密码技术 数字签名、身份鉴别等都是由密码学派生出来的新技术和应用 加密是使一些数据只能是被某些特定的接

6、受者可以正确识别和读取的过程 三种典型的加密方法 对称加密 非对称加密 Hash加密,回顾：信息安全的需求,保密性(Confidentiality) 完整性(Integrity) 系统完整性 数据完整性 可用性(Availability) 真实性 (authenticity) 认证 消息认证 身份认证：验证真实身份和所声称身份相符的过程,访问控制,访问控制是指每个系统都要确保只有它们想允许的个体才能够访问 访问控制分为强制访问控制（MAC）和自主访问控制（DAC）两大类,访问控制技术和策略,入网访问控制 用户名的识别与验证 用户口令的识别与验证 用户账号的缺省限制检查 权限控制 系统管理员权限

7、、读权限、写权限、创建权限、删除权限、修改权限、文件查找权限、访问控制权限 目录级安全控制 属性安全控制 服务器安全控制,ACL和ECL,ACL是标识个人用户或组的数据库 最常见的访问控制列表（ACL）是应用在路由接口的指令列表 执行控制列表（ECL）经常用于特殊的应用程序 ECL允许操作系统限制一些特定程序的活动 实际的安全系统中通常采取多层次的安全机制,安全审计的定义,审计是记录用户使用计算机网络系统进行所有活动的过程 安全审计包括以下三个层次 网络层层次的安全审计 系统的安全审计 对信息内容的安全审计,审计分类,主动式审计意味着主动地响应非法入侵，对可疑流量做出反应,被动审计中，计算机简

8、单地记录一些活动，并不做什么具体的处理活动,审计范围包括操作系统和各种应用程序，以及整个网络,应用程序审计子系统的重点是针对应用程序的某些操作作为审计对象进行监视和实时记录,风险评估实例：系统结构,Web Server,Client,Client,Client,Client,SQL Server,分销店网络,下属连锁店网络,风险源,针对通讯的威胁：数据窃听和篡改 病毒和木马的威胁：针对客户端 来自内部员工的威胁：内部攻击 来自竞争对手、商业间谍等的威胁 安全管理体系漏洞产生的风险,解决方案,Web Server,Client,Client,Client,Client,SQL Server,分销店网络,下属连锁店网络,防火墙,VPN设备,入侵检测系统,防病毒系统,Internet,