您好,欢迎访问三七文档
当前位置:首页 > 商业/管理/HR > 经营企划 > CISP-2015新版
信息安全保障培训机构名称讲师姓名版本:3.0发布日期:2014-12-1生效日期:2015-1-1课程内容信息安全保障基础知识体知识域信息安全保障背景信息安全保障概念与模型知识子域信息安全内涵与外延信息安全问题根源信息安全保障信息技术与信息安全发展阶段信息安全保障相关模型信息系统安全保障概念与模型信息系统安全保障信息系统安全保障模型知识域:信息安全保障背景知识子域:信息安全内涵和外延理解信息安全基本概念,理解信息安全基本属性:保密性、完整性和可用性理解信息安全的特征与范畴知识子域:信息安全问题根源理解信息安全问题产生的内因是信息系统自身存在脆弱性理解信息安全问题产生的外因是信息系统面临着众多威胁3信息与信息安全信息:数据/信息流信息安全保密性完整性可用性信息的以上三个基本安全属性习惯上简称为CIA(Confidentiality-Integrity-Availability)。4信息安全特征信息安全是系统的安全信息安全是动态的安全信息安全是无边界的安全信息安全是非传统的安全信息安全的范畴信息技术问题——技术系统的安全问题组织管理问题——人+技术系统+组织内部环境社会问题——法制、舆论国家安全问题——信息战、虚拟空间信息安全的特征与范畴5信息安全问题产生根源6因为有病毒吗?•因为有黑客吗?•因为有漏洞吗?这些都是原因,但没有说到根源内因:信息系统自身存在脆弱性过程复杂结构复杂应用复杂外因:威胁与破坏人为和环境信息安全问题产生根源7系统理论:在程序与数据上存在“不确定性”设计:从设计的角度看,在设计时考虑的优先级中安全性相对于易用性、代码大小、执行程度等因素被放在次要的位置实现:由于人性的弱点和程序设计方法学的不完善,软件总是存在BUG。使用、运行:人为的无意失误、人为的恶意攻击如:无意的文件删除、修改主动攻击:利用病毒、入侵工具实施的操作被动攻击:监听、截包维护技术体系中安全设计和实现的不完整。技术管理或组织管理的不完善,给威胁提供了机会。内在复杂-过程8•工作站中存在信息数据•员工•移动介质•网络中其他系统•网络中其他资源•访问Internet•访问其他局域网•到Internet的其他路由•电话和调制解调器•开放的网络端口•远程用户•厂商和合同方的访问访问外部资源•公共信息服务•运行维护环境内在复杂-结构9内在复杂-使用10外因—人为的威胁11国家安全威胁信息战士减小国家决策空间、战略优势,制造混乱,进行目标破坏情报机构搜集政治、军事,经济信息共同威胁恐怖分子破坏公共秩序,制造混乱,发动政变商业间谍掠夺竞争优势,恐吓犯罪团伙施行报复,实现经济目的,破坏制度局部威胁社会型黑客攫取金钱,恐吓,挑战,获取声望娱乐型黑客以吓人为乐,喜欢挑战外因—自然威胁12知识域:信息安全保障背景知识子域:信息技术与信息安全发展阶段了解通信、计算机、网络和网络化社会等阶段信息技术的发展概况了解信息技术和网络对经济发展、社会稳定及国家安全等方面的影响了解通信安全、计算机安全、信息系统安全和信息安全保障等阶段信息安全的发展概况,了解各个阶段信息安全面临的主要威胁和防护措施13网络化社会网络计算机通信(电报\电话)信息安全发展阶段14COMSEC通信安全COMPUSEC计算机安全INFOSEC信息系统安全IA信息安全保障CS/IA网络空间安全/信息安全保障解决传输数据安全斯巴达人的智慧:公元前500年,斯巴达人把一条羊皮螺旋形地缠在一个圆柱形棒上写数据现代人的智慧:20世纪,40年代-70年代通过密码技术解决通信保密,内容篡改15通信安全COMSEC:CommunicationSecurity20世纪,40年代-70年代核心思想:•通过密码技术解决通信保密,保证数据的保密性和完整性•主要关注传输过程中的数据保护安全威胁:搭线窃听、密码学分析安全措施:加密16计算机安全COMPUSEC:ComputerSecurity20世纪,70-90年代核心思想:•预防、检测和减小计算机系统(包括软件和硬件)用户(授权和未授权用户)执行的未授权活动所造成的后果。•主要关注于数据处理和存储时的数据保护。安全威胁:非法访问、恶意代码、脆弱口令等安全措施:通过操作系统的访问控制技术来防止非授权用户的访问17信息系统安全INFOSEC:InformationSecurity20世纪,90年代后核心思想:•综合通信安全和计算机安全安全•重点在于保护比“数据”更精炼的“信息”,确保信息在存储、处理和传输过程中免受偶然或恶意的非法泄密、转移或破坏。安全威胁:网络入侵、病毒破坏、信息对抗等安全措施:防火墙、防病毒、漏洞扫描、入侵检测、PKI、VPN等18网络化社会新世纪信息技术应用于人类社会的方方面面军事经济文化……现在人们意识到:技术很重要,但技术不是一切;信息系统很重要,只有服务于组织业务使命才有意义19信息安全保障IA:InformationAssurance今天,将来……核心思想:•信息安全从技术扩展到管理,从静态扩展到动态•通过技术、管理和工程等措施的综合融合,形成对信息、信息系统乃至业务使命的保障。安全威胁:黑客、恐怖分子、信息战、自然灾难、电力中断等安全措施:技术安全保障体系、安全管理体系、人员意识/培训/教育、认证和认可20CS/IA:CyberSecurity/InformationAssurance2009年,在美国带动下,世界各国信息安全政策、技术和实践等发生重大变革……共识:网络安全问题上升到国家安全的重要程度核心思想:从传统防御的信息保障(IA),发展到“威慑”为主的防御、攻击和情报三位一体的信息保障/网络安全(IA/CS)的网空安全•网络防御-Defense(运维)•网络攻击-Offense(威慑)•网络利用-Exploitation(情报)21信息安全保障发展历史第一次定义:在1996年美国国防部DoD指令5-3600.1(DoDD5-3600.1)中,美国信息安全界第一次给出了信息安全保障的标准化定义现在:信息安全保障的概念已逐渐被全世界信息安全领域所接受。中国:中办发27号文《国家信息化领导小组关于加强信息安全保障工作的意见》,是信息安全保障工作的纲领性文件信息安全保障发展历史从通信安全(COMSEC)-〉计算机安全(COMPUSEC)-〉信息系统安全(INFOSEC)-〉信息安全保障(IA)-〉网络空间安全/信息安全保障(CS/IA)。22网络空间安全/信息安全保障2008年1月,布什政府发布了国家网络安全综合倡议(CNCI),号称网络安全“曼哈顿项目”,提出威慑概念,其中包括爱因斯坦计划、情报对抗、供应链安全、超越未来(“Leap-Ahead”)技术战略2009年5月29日发布了《网络空间政策评估:确保信息和通讯系统的可靠性和韧性》报告2009年6月25日,英国推出了首份“网络安全战略”,并将其作为同时推出的新版《国家安全战略》的核心内容2009年6月,美国成立网络战司令部12月22日,奥巴马任命网络安全专家担任“网络沙皇”2011年5月,美国发布《网络空间国际战略》,明确了针对网络攻击的指导原则…23信息安全保障是一种立体保障24知识域:信息安全保障概念与模型知识子域:信息安全保障理解信息安全保障的概念理解信息安全保障与信息安全、信息系统安全的区别25信息安全保障定义26防止信息泄露、修改和破坏检测入侵行为,计划和部署针对入侵行为的防御措施采用安全措施和容错机制在遭受攻击的情况下保证机密性、私密性、完整性、抗抵赖性、真实性、可用性和可靠性修复信息和信息系统所遭受的破坏与信息安全、信息系统安全的区别信息安全保障的概念更加广泛。信息安全的重点是保护和防御,而安全保障的重点是保护、检测和响应综合信息安全不太关注检测和响应,但是信息安全保障非常关注这两点攻击后的修复不在传统信息安全概念的范围之内,但是它是信息安全保障的重要组成部分。信息安全的目的是为了防止攻击的发生,而信息安全保障的目的是为了保证信息系统始终能保证维持特定水平的可用性、完整性、真实性、机密性和抗抵赖性。27知识域:信息安全保障概念与模型知识子域:信息安全保障相关模型理解P2DR模型的基本原理:策略、防护、检测及响应,以及P2DR公式所表达的安全目标理解P2DR数学公式所表达的安全目标理解IATF的深度防御思想,及其将信息系统在技术层面的防御划分为本地计算环境、区域边界、网络基础设施和支撑性基础设施四个方面,理解每一方面的安全需求及基本实现方法28什么是信息安全模型通过建模的思想来解决网络安全管理问题,有效抵御外部攻击,保障网络安全安全模型用于精确和形式地描述信息系统的安全特征,解释系统安全相关行为。为什么需要安全模型能准确地描述安全的重要方面与系统行为的关系。能提高对成功实现关键安全需求的理解层次。从中开发出一套安全性评估准则,和关键的描述变量安全模型的概念29思想:承认漏洞,正视威胁,适度防护,加强检测,落实反应,建立威慑出发点:任何防护措施都是基于时间的,是可以被攻破的核心与本质:给出攻防时间表固定防守、测试攻击时间;固定攻击手法,测试防守时间缺点:难于适应网络安全环境的快速变化基于时间的PDR模型30系统审计、分析–入侵检测–定时响应(警告、拒绝服务)系统的第一道防线防止远程攻击文件、数据安全应用服务层安全系统服务层安全系统内核安全物理安全系统的第二道防线防止内部权限提升系统备份安全措施文件、数据安全应用服务层安全系统服务层安全系统内核安全物理安全漏洞分析检测漏洞修补protectionReactionDetection攻击者基于PDR的安全架构31PDR模型强调落实反应P2DR模型则更强调控制和对抗,即强调系统安全的动态性以安全检测、漏洞监测和自适应填充“安全间隙”为循环来提高网络安全特别考虑人为的管理因素P2DR模型-分布式动态主动模型32P2DR:Policy策略模型的核心,所有的防护、检测、响应都是依据安全策略实施的。策略体系的建立包括安全策略的制定、评估与执行等。策略包括:•访问控制策略•加密通信策略•身份认证策略•备份恢复策略•……P2DR的基本原理33P2DR:Protection防护通过传统的静态安全技术和方法提高网络的防护能力,主要包括:•访问控制技术–ACL–Firewall•信息加密技术•身份认证技术–一次性口令–X.509•……P2DR的理解34P2DR:Detection检测利用检测工具,监视、分析、审计网络活动,了解判断网络系统的安全状态。使安全防护从被动防护演进到主动防御,是整个模型动态性的体现。主要方法包括:•实时监控•检测•报警P2DR的理解35P2DR:Response反应在检测到安全漏洞和安全事件时,通过及时的响应措施将网络系统的安全性调整到风险最低的状态。评估系统受到的危害与损失,恢复系统功能和数据,启动备份系统等。主要方法包括:•关闭服务•跟踪•反击•消除影响P2DR的理解36P2DR模型中的数学法则假设S系统的防护、检测和反应的时间关系如下:•Pt=防护时间(有效防御攻击的时间),•Dt=检测时间(发起攻击到检测到的时间),•Rt=反应时间(检测到攻击到处理完成时间),•Et=暴露时间,则该系统防护、检测和反应的时间关系如下:如果Pt>Dt+Rt,那么S是安全的;如果Pt<Dt+Rt,那么Et=(Dt+Rt)-Pt。37P2DR模型的安全目标依据P2DR模型构筑的网络安全体系在统一安全策略的控制下在综合运用防护工具基础上利用检测工具检测评估网络系统的安全状态通过及时的响应措施将网络系统调整到风险最低的安全状态38再看P2DR安全管理的持续性、安全策略的动态性:以实时监视网络活动、发现威胁和弱点来调整和填补网络漏洞。可测即可控通过经常
本文标题:CISP-2015新版
链接地址:https://www.777doc.com/doc-1876819 .html