信息安全體系結構資料講解

信息安全體系結構寧夏大學網(wǎng)絡管理中心(zhōngxīn)高玉琢email:gaoyz@cellphone一頁，共26頁。寧夏政法(zhèngfǎ)網(wǎng)區(qū)、市級網(wǎng)絡拓撲結構光交換機存儲(cúnchǔ)服務器公共數(shù)據(jù)區(qū)吳忠市政法(zhèngfǎ)網(wǎng)石觜山市政法網(wǎng)自治區(qū)主干網(wǎng)防火墻固原市政法網(wǎng)中衛(wèi)市政法網(wǎng)區(qū)司法廳業(yè)務網(wǎng)防火墻防火墻檢查院業(yè)務網(wǎng)法院業(yè)務網(wǎng)防火墻防火墻光交換機存儲服務器中衛(wèi)災備中心防火墻市級政法接入單位市級政法接入單位區(qū)公安廳保密專網(wǎng)數(shù)據(jù)安全交換平臺區(qū)公安廳業(yè)務網(wǎng)司法廳保密專網(wǎng)數(shù)據(jù)安全交換平臺檢查院保密專網(wǎng)數(shù)據(jù)安全交換平臺法院保密專網(wǎng)數(shù)據(jù)安全交換平臺第二頁，共26頁。基本(jīběn)內(nèi)容了解了信息面臨的風險和網(wǎng)絡攻擊的方法以后，本章在ISO安全體系結構的指導下，針對信息安全保護層次結構的目標，提出(tíchū)信息安全技術體系結構和相應的防護技術，最后根據(jù)目前我國信息系統(tǒng)安全的要求，介紹等級保護的概念。第三頁，共26頁。掌握信息安全風險狀態(tài)和分布情況的變化規(guī)律，提出安全需求，建立起具有自適應能力的信息安全模型(móxíng)，從而駕馭風險，使信息安全風險被控制在可接受的最小限度內(nèi)，并漸近于零風險。風險(fēngxiǎn)和安全策略安全與實現(xiàn)的方便性是矛盾的對立。必須犧牲方便性求得安全，我們必須在這兩者之間找出平衡點，在可接受(jiēshòu)的安全狀況下，盡力方便用戶的使用。根據(jù)OSI安全體系結構ISO7498-2，提出安全服務(即安全功能)和安全機制，在此基礎上提出信息安全體系框架，結合ISC2提出的信息安全5重屏障，劃定信息安全技術類型，形成相應的信息安全產(chǎn)品。第四頁，共26頁。信息安全的保護(bǎohù)機制信息安全(ānquán)的最終任務是保護信息資源被合法用戶安全(ānquán)使用，并禁止非法用戶、入侵者、攻擊者和黑客非法偷盜、使用信息資源。信息安全的保護機制包括電磁輻射、環(huán)境安全、計算機技術、網(wǎng)絡技術等技術因素，還包括信息安全管理（含系統(tǒng)安全管理、安全服務(fúwù)管理和安全機制管理）、法律和心理因素等機制。國際信息系統(tǒng)安全認證組織（InternationalInformationSystemsSecurityCertificationConsortium，簡稱ISC2）將信息安全劃分為5重屏障共10大領域并給出了它們涵蓋的知識結構第五頁，共26頁。信息安全的保護(bǎohù)機制第六頁，共26頁。開放系統(tǒng)互連安全(ānquán)體系結構第七頁，共26頁。安全服務就是加強數(shù)據(jù)處理系統(tǒng)和信息傳輸?shù)陌踩缘囊活惙?，其目的在?zàiyú)利用一種或多種安全機制阻止安全攻擊。安全(ānquán)機制是指用來保護系統(tǒng)免受偵聽、阻止安全(ānquán)攻擊及恢復系統(tǒng)的機制。開放系統(tǒng)互連安全(ānquán)體系結構第八頁，共26頁。1、安全(ānquán)服務開放系統(tǒng)互連安全(ānquán)體系結構1）鑒別服務(fúwù)2）訪問控制3）數(shù)據(jù)保密性4）數(shù)據(jù)完整性5）抗抵賴第九頁，共26頁。訪問控制策略有如下三種類型。1）基于身份的策略2）基于規(guī)則的策略3）基于角色的策略目的就是保證信息的可用性，即可被授權實體訪問并按需求使用，保證合法用戶對信息和資源的使用不會被不正當?shù)鼐芙^，同進(tónɡjìn)不能被無權使用的人使用或修改、破壞。開放系統(tǒng)互連安全(ānquán)體系結構第十頁，共26頁。2、安全(ānquán)機制開放系統(tǒng)互連安全(ānquán)體系結構1）加密2）數(shù)字簽名機制3）訪問控制機制4）數(shù)據(jù)完整性機制5）鑒別交換機制6）通信業(yè)務填充機制7）路由選擇(xuǎnzé)控制機制8）公證機制第十一頁，共26頁。信息安全體系(tǐxì)框架信息系統(tǒng)安全的總需求是物理安全、網(wǎng)絡安全、信息內(nèi)容安全、應用系統(tǒng)安全的總和，安全的最終目標是確保(quèbǎo)信息的機密性、完整性、可用性、可控性和抗抵賴性，以及信息系統(tǒng)主體(包括用戶、團體、社會和國家)對信息資源的控制。完整的信息系統(tǒng)安全體系框架由技術體系、組織機構(jīgòu)體系和管理體系共同構建。第十二頁，共26頁。信息安全體系(tǐxì)框架第十三頁，共26頁。信息安全體系(tǐxì)框架技術(jìshù)體系1）物理安全技術。信息系統(tǒng)的建筑物、機房條件及硬件設備條件滿足信息系統(tǒng)的機械防護安全；通過對電力供應設備以及信息系統(tǒng)組件的抗電磁干擾和電磁泄露性能的選擇性措施達到相應的安全目的。物理安全技術運用于物理保障環(huán)境(含系統(tǒng)組件的物理環(huán)境)。2）系統(tǒng)安全技術。通過對信息系統(tǒng)與安全相關組件的操作系統(tǒng)的安全性選擇措施或自主控制，使信息系統(tǒng)安全組件的軟件工作平臺達到相應的安全等級，一方面避免操作平臺自身的脆弱性和漏洞引發(fā)(yǐnfā)的風險，另一方面阻塞任何形式的非授權行為對信息系統(tǒng)安全組件的入侵或接管系統(tǒng)管理權。第十四頁，共26頁。信息安全體系(tǐxì)框架組織機構(jīgòu)體系組織機構體系是信息系統(tǒng)安全(ānquán)的組織保障系統(tǒng)，由機構、崗位和人事三個模塊構成一個體系。機構的設置分為三個層次：決策層、管理層和執(zhí)行層崗位是信息系統(tǒng)安全管理機關根據(jù)系統(tǒng)安全需要設定的負責某一個或某幾個安全事務的職位人事機構是根據(jù)管理機構設定的崗位，對崗位上在職、待職和離職的雇員進行素質(zhì)教育、業(yè)績考核和安全監(jiān)管的機構。第十五頁，共26頁。信息安全體系(tǐxì)框架管理體系

管理是信息系統(tǒng)安全的靈魂。信息系統(tǒng)安全的管理體系由法律管理、制度管理和培訓(péixùn)管理三個部分組成。三分(sānfēn)技術，七分管理1）法律管理是根據(jù)相關的國家法律、法規(guī)對信息系統(tǒng)主體及其與外界關聯(lián)行為的規(guī)范和約束。2）制度管理是信息系統(tǒng)內(nèi)部依據(jù)系統(tǒng)必要的國家、團體的安全需求制定的一系列內(nèi)部規(guī)章制度。3）培訓管理是確保信息系統(tǒng)安全的前提。第十六頁，共26頁。信息安全技術(jìshù)安全防范技術體系劃分為物理層安全、系統(tǒng)層安全、網(wǎng)絡層安全、應用層安全和管理層安全等五個層次。1）物理安全技術（物理層安全）。該層次的安全包括通信線路的安全、物理設備的安全、機房的安全等。物理層的安全主要體現(xiàn)在通信線路的可靠性（線路備份、網(wǎng)管軟件、傳輸介質(zhì)），軟硬件設備安全性（替換設備、拆卸設備、增加設備），設備的備份，防災害能力，防干擾能力，設備的運行環(huán)境（溫度、濕度、煙塵），不間斷電源保障，等等。2）系統(tǒng)安全技術（操作系統(tǒng)的安全性）。該層次的安全問題來自網(wǎng)絡內(nèi)使用的操作系統(tǒng)的安全，如WindowsNT、Windows2000等。主要表現(xiàn)在三個方面：一是操作系統(tǒng)本身的缺陷帶來的不安全因素，主要包括身份認證(rènzhèng)、訪問控制、系統(tǒng)漏洞等；二是對操作系統(tǒng)的安全配置問題；三是病毒對操作系統(tǒng)的威脅。第十七頁，共26頁。3）網(wǎng)絡安全技術（網(wǎng)絡層安全）。主要體現(xiàn)在網(wǎng)絡方面的安全性，包括網(wǎng)絡層身份認證、網(wǎng)絡資源的訪問控制、數(shù)據(jù)傳輸?shù)谋Ｃ芘c完整性、遠程接入的安全、域名系統(tǒng)的安全、路由系統(tǒng)的安全、入侵檢測的手段、網(wǎng)絡設施防病毒等。4）應用(yìngyòng)安全技術（應用(yìngyòng)層安全）。主要由提供服務所采用的應用(yìngyòng)軟件和數(shù)據(jù)的安全性產(chǎn)生，包括Web服務、電子郵件系統(tǒng)、DNS等。此外，還包括病毒對系統(tǒng)的威脅。5）管理安全性（管理層安全）。安全管理包括安全技術和設備的管理、安全管理制度、部門與人員的組織規(guī)則等。管理的制度化極大程度地影響著整個網(wǎng)絡的安全，嚴格的安全管理制度、明確的部門安全職責劃分、合理的人員角色配置都可以在很大程度上降低其他層次的安全漏洞。信息安全技術(jìshù)第十八頁，共26頁。2006年主要的信息安全技術應用(yìngyòng)統(tǒng)計安全技術名稱普及率（%）防火墻98反病毒軟件97反間諜軟件79基于服務的訪問控制技術70入侵檢測系統(tǒng)69數(shù)據(jù)傳輸加密63數(shù)據(jù)加密存儲48帳戶與登錄口令控制46入侵防御系統(tǒng)43應用層防火墻39文件加密技術42卡片認證與一次性密碼技術38公鑰基礎設施系統(tǒng)36生物特征技術20第十九頁，共26頁。信息安全的產(chǎn)品(chǎnpǐn)類型第二十頁，共26頁。信息安全等級保護與分級(fēnjí)認證產(chǎn)品認證

人員(rényuán)認證系統(tǒng)(xìtǒng)認證第二十一頁，共26頁。信息安全等級保護(bǎohù)與分級認證IT安全(ānquán)評估通用準則1985年，美國國防部頒布了可信計算機的安全評估準則(zhǔnzé)（TCSEC）；1995年統(tǒng)一成CC；1999年，CC準則(zhǔnzé)成為國際標準（ISO/IEC15408）CC評估準則將信息系統(tǒng)的安全性定義為7個評估保證級別（EAL1～EAL7），即EAL1：功能測試；EAL2：結構測試；EAL3：系統(tǒng)地測試和檢查；EAL4：系統(tǒng)地設計；EAL5：半形式化設計和測試；EAL6：半形式化驗證的設計和測試；EAL7：形式化驗證的設計和測試。第二十二頁，共26頁。信息安全等級保護與分級(fēnjí)認證我國的安全等級劃分(huàfēn)準則五個安全等級：第一級—用戶自主保護(bǎohù)級第二級—系統(tǒng)審計保護(bǎohù)級第三級—安全標記保護(bǎohù)級第四級—結構化保護(bǎohù)級第五級—訪問驗證保護(bǎohù)級從第一級到第五級安全等級逐級增高，高級別安全要求是低級別要求的超集。第二十三頁，共26頁。信息安全等級保護與分級(fēnjí)認證分級(fēnjí)保護的認證（1）信息安全產(chǎn)品認證信息安全產(chǎn)品認證主要分為型號認證和分級認證兩種。其中分級認證又分成7個級別。目前開展的是1～5級的認證，其中對電信智能卡的認證已達到5級，其他安全產(chǎn)品目前最高達到3級。（2）信息系統(tǒng)安全認證信息系統(tǒng)安全認證的技術標準分為5個級別，目前開展兩個級別的系統(tǒng)認證工作。信息系統(tǒng)安全認證在實施過程中，主要分為方案評審、系統(tǒng)測評、系統(tǒng)認證等三個方面。方案評審是為確定特定信息系統(tǒng)是否達到標準的安全性設計要求(yāoqiú)；系統(tǒng)測評是對運行中的信息系統(tǒng)的安全功能的技術測試、對信息系統(tǒng)安全技術和管理體系的調(diào)查取證和對特定系統(tǒng)運行情況是否達到標準的安全要求(yāoqiú)的評估；進行的系統(tǒng)認證是對運行系統(tǒng)的組織管理體系的審核。第二十四頁，共26頁。信息安全等級保護(bǎohù)與分級認證（3）信息安全服務資質(zhì)認證信息安全服務資質(zhì)認證主要是對信息安全系統(tǒng)服務提供商的資格狀況、技術實力和實施安全工程過程質(zhì)量保證能力等進行具體衡量和評價。服務資質(zhì)認證的技術標準最高為五級。（4）注冊信息安全專業(yè)人員資質(zhì)認證（簡稱CISP）注冊信息安全專業(yè)人員資質(zhì)認證是對國家信息安全測評認證機構、信息安全咨詢服務機構、社會各組織、團體、企業(yè)有關信息系統(tǒng)（網(wǎng)絡）建設、運行和應用管理(guǎnlǐ)的技術部門（含標準化部門）必備的對信息系統(tǒng)的安全提供技術保障的專業(yè)崗位人員——“注冊信息安全專業(yè)人員”的一種認證，是我國信息安全界的一種權威性的人員認證，主要包括CISO（管理(guǎnlǐ)者）、CISE（工程師）、CISA（審核員）等。

第二十五頁，共26頁。安全需求是制定和實施相應的安全策略的依據(jù)。信息安全的成功標志是風險的最小化、收斂性和可控性，而不是零風險。信息安全的保護機制包括電磁輻射、環(huán)境