智慧城市-信息安全

智慧城市中的信息安全智慧城市建设中的信息安全问题1.重大安全事件2.窃取信息方法3.信息泄露危害4.智慧城市信息安全隐患重大安全事件——国外2013.5：阿根廷的巴拉圭大使馆，200个墨西哥、177个巴基斯坦网站被伊斯兰GhostTeam攻击。2013.3：韩国主要银行、媒体，以及个人计算机遭遇大规模攻击，造成企业内部计算机全面瘫痪，无法进行作业。2000.2：黑手党男孩利用分布式拒绝服务(DDos)攻击了雅虎，并随后攻击了CNN、eBay、戴尔和亚马逊等公司服务器。1999.8：乔纳森入侵美国国防威胁降低局的军用电脑，获取了数千份机密信息、注册信息，控制了国际空间站上软件。重大安全事件——国内2012.6：黑客组织SwaggerSecurity宣布其攻破了中国电信和华纳兄弟的网络，并在网上发布了相关文档和登录证书。2011.11：CSDN等众多知名网站数据库泄露，大量用户真实账号密码外泄。2010.12：两名网络工程师破解了4张市政一卡通内芯片的系统密码，之后恶意充值2600余元，并多次刷卡消费。2009.5：DNSPod遭遇10G流量恶意攻击，导致10万个域名无法访问，其中包括暴风影音等重大网站。窃取信息方法——主动攻击密码破解：黑客利用一些自动执行的程序猜测用户命和密码；甚至从合法的传输过程中嗅探到密码计算信息，进而使用先进算法分析出密钥。劫持攻击：在双方进行会话时被第三方(黑客)入侵，黑客黑掉其中一方，并冒充他继续与另一方进行会话。非法服务：任何未经同意便运行在操作系统上的进程或服务，如木马、病毒、蠕虫等。拒绝式攻击：利用各种程序(包括病毒和包发生器)使系统崩溃或消耗带宽。窃取信息方法——内部泄露明文存储：服务器将用户信息进行明文存储，一旦遭到黑客入侵，用户资料暴露无遗。访问机制：访问机制不完整或十分脆弱，非法用户可以合法访问、篡改、冒充、伪造敏感性信息。系统漏洞：应用软件或操作系统软件在逻辑设计上的缺陷或错误，被不法者利用。管理疏忽：对信息安全风险视而不见；没有进行风险安全评估、没有做到预防措施。窃取信息方法——社会工程学非技术手段：在安全领域，社会工程就是黑客们利用人与人之间的交往，取得被害人的信任，然后进行非法工作。社会工程是一种非技术手段的黑客行为，利用了网络安全体系中最没有办法控制、没有办法打补丁的一个因素——人。重要性：电视剧《密战》、《幽灵》等黑客谍战片中，都以与做社会工程学的黑客作战为结束，可见社工是所有黑客技术中最为重要的环节和方法。信息泄露危害——个人公共•黑客尝试技术进入他人系统有些黑客纯粹出于好奇心和自我表现欲而闯入他人的计算机系统，他们只是窥探一下秘密或隐私，并不窃取任何信息或破坏系统，危害性虽然很大，但侵犯了个人隐私权益。•恶意/报复窃取信息黑客利用木马、病毒等主动攻击手段，窃取个人文件、日志、邮件、图片等信息，并将这些公之于众或进行恶意攻击，对受害人造成严重伤害、在社会上形成恶劣影响。•伪造身份实施非法活动由于众多企业、政府信息安全防范缺失，为黑客冒充伪造企业/政府职工创造了条件。这些黑客窃取大量内部资源，并以内部职工身份进行一系列的非法活动。信息泄露危害——政府企业•商业信息泄露1.窃取用户名、密码，冒充他人身份登录内部网络并行使职权；2.以恶意软件或病毒等感染企业计算机及网络；3.引入间谍软件、键盘记录器及其它软件，窃取有用信息。•政府级信息泄露1.政府信息保密性高；2.信息被窃取，将对社会造成严重的潜在影响；3.信息被销毁，将会为政府决策事件耽误时间、浪费资源；4.信息被篡改，将会造成政府决策失败等严重性危害。智慧城市信息安全隐患——终端面向公众：智慧城市不仅是智能化，更有人智慧的参与，很多产品/项目都有公众参与、政府工作人员管理、各个部门职员维护。“人”本身就是最复杂、不可估量的安全隐患。密码破解劫持攻击管理疏忽社会工程学终端接入：智慧城市中应用了大量的终端设备和传感器，移动智能终端将成为人们面对的智慧城市信息化的首要工具。因此终端容易成为黑客的广泛目标和最脆弱的攻击点。劫持攻击非法服务访问机制系统漏洞智慧城市信息安全隐患——融合信息集中：智慧城市中采用了大量的云技术，包含大型的计算中心、存储中心、用户中心。一旦云平台数据丢失或系统崩溃，该平台服务的千万个用户将受到不可估量的损失。非法服务拒绝式攻击明文存储系统漏洞资源融合：智慧城市整合了大量政府、金融机构、医院、运营商、企业等多方面资源。一旦资源汇接面出安全漏洞，将对整个智慧城市体系结构造成巨大的影响和损失。非法服务访问机制系统漏洞管理疏忽智慧城市建设中的信息安全要求1.安全建设范围2.等级保护措施3.实现信息安全基本要素4.智慧城市信息安全建设安全建设范围政府安全程度范围广，有绝密信息到公开信息；安全等级要求细，严格设置访问控制、个人权限；有防止主动入侵和窃取的机制和设备。金融机构安全要求非常高，几乎所有资料全部保密，需要实现数据的保密性、完整性和不可否认性。企业自主管理信息安全，做好重要文件资料的保密性，做好基础安全防范，加强职工信息安全意识。公益项目信息几乎全部公开，注意与公众接口方面的安全防范，以免被非法分子入侵，进行大规模的控制和破坏，对社会造成消极影响。等级保护措施——国家标准根据公安部颁布的《计算机信息系统安全保护等级划分准则》，智慧城市建设中信息安全等级保护措施将分为以下五个等级：用户自主保护级自主访问控制、身份鉴别、数据完整性系统审计保护级自主访问控制、身份鉴别、客体重用、审计、数据完整性安全标记保护级自主访问控制、强制访问控制、标记、身份鉴别、客体重用、审计、数据完整性结构化保护级自主访问控制、强制访问控制、标记、身份鉴别、客体重用、审计、数据完整性、隐蔽信道分析、可信路径访问验证保护级自主访问控制、强制访问控制、标记、身份鉴别、客体重用、审计、数据完整性、隐蔽信道分析、可信路径、可信恢复等级保护措施——解决策略边界安全防火墙、网络安全隔离卡与线路选择器、安全隔离与信息交换产品通信安全安全路由器身份鉴别与访问控制智能卡COS数据安全数据备份与恢复产品基础平台安全操作系统、安全数据库系统内容安全反垃圾邮件产品评估审计与监控入侵检测系统、网络脆弱性扫描产品、安全审计产品应用安全网站恢复产品实现信息安全基本要素保密性非法人员从截获数据几乎无法恢复原有信息加密（对称/非对称加密）完整性保证数据在生命周期的精确和一致数据摘要有效性保证数据在任何需要的时候，系统都可以及时提供细化、量化审计管理可靠性保证数据是正确的、数据来源是可靠人员的数字签名不可否认性一方不能否认自己没有发过某信息，或接受过某信息身份认证、双重签名实用性用户保证数据的实用的，包含信息量用户加强数据有效意识智慧城市信息安全建设面向公众安全建设增强民众安全意识加强管理部门责任制定访问控制策略完善法律法规制度终端接入安全建设开发软件安全防护更新操作安全审计控制终端身份鉴别做好数据恢复备份智慧城市信息安全建设信息集中安全建设保证数据安全存储定期修补系统漏洞加强企业平台管理做好安全风险评估资源融合安全建设严格执行等级保护政府引导企业关注重要数据重点管理加强法律法规建设智慧城市建设中的信息安全智慧城市建设中的信息安全关系到城市安全、社会安全、政府安全等重要方面，一旦某方面出问题，后果将是不可估量的！信息安全建设的具体方案、细节应该在智慧城市的每个建设项目都有体现，在规划的交界面上更需要重点划分安全界限，防止给非法人员/间谍留下可趁之机！信息安全建设还有很长的路要走，希望每个民众都能增强信息安全的意识，各级政府都能高度重视信息安全的严峻程度！谢谢大家！