精华内容
下载资源
问答
  • 属于信息安全中改不了
    万次阅读
    2020-04-01 14:41:48

    在IT 安全领域流传的一个笑话是: 计算机的最佳保护方法之一是断开它与网络的连接并密闭在没有门窗的房间内。这是玩笑,但是, 这个笑话包含很多道理。
    体现了网络安全的防护原则与优先顺序:进不来、拿不走、看不懂、改不了、跑不掉。

    • 进不来,是最优先的防御方法。网络和密闭的房间,保证了一般人进不到这个计算机。防火墙,准入控制等就是在这一层面的,是系统的大门所在。

    • 拿不走,是进入了计算机但是读不到核心数据,比如权限控制,隔离。

    • 看不懂,如果入侵者读取到了数据,那么尽量让他看不懂,比如使用加密技术、数字信封等。

    • 改不了,如果数据被泄露了,那么尽量让入侵者不能篡改数据内容,比如使用完整性检查,哈希、数字签名认证等技术。

    • 跑不掉,如果入侵者最终还是实现了入侵攻击,那么一定要留存证据,日志文件、原始磁盘等。最终可以溯源找到入侵IP,进而追责。

    更多相关内容
  • 中国信息安全认证中心是经中央编制委员会批准成立,由国务院信息化工作办公室、国家认证认可监督管理委员会等八部委授权,依据国家有关强制性产品认证、信息安全管理的法律法规,负责实施信息安全认证的专门机构。...

    一、信息安全产品认证

    1. 什么是中国国家信息安全产品认证证书

    中国信息安全认证中心是经中央编制委员会批准成立,由国务院信息化工作办公室、国家认证认可监督管理委员会等八部委授权,依据国家有关强制性产品认证、信息安全管理的法律法规,负责实施信息安全认证的专门机构。 中国信息安全认证中心为国家质检总局直属事业单位。中心简称为信息认证中心。 英文全称:China Information Security Certification Center;英文缩写:ISCCC。

    2. 背景

    目前市场上通行的信息安全产品认证有三种:

    《网络关键设备和网络安全专用产品安全认证》

    《中国国家信息安全产品认证证书》

    《IT产品信息安全认证证书》

    其中,在产品功能和性能满足条件的情况下,《网络关键设备和网络安全专用产品安全认证》《中国国家信息安全产品认证证书》两张证书可以同一产品同时认证同时发证。

    3. 中国国家信息安全产品认证证书作用

    根据《中华人民共和国产品质量法》、《中华人民共和国标准化法》、《中华人民共和国进出口商品检验法》、《中华人民共和国认证认可条例》、《强制性产品认证管理规定》和《关于建立国家信息安全产品认证认可体系的通知》,决定对部分信息安全产品实施强制性认证,发布了《第一批信息安全产品强制性认证目录》

    目录包含8大类别13种产品
    https://www.isccc.gov.cn/zxyw/cprz/gjxxaqcprz/zyxcprztzgg/09/314483.shtml
    https://www.docin.com/p-1594182334.html

    凡列入强制性认证目录内的信息安全产品,未获得《中国国家信息安全产品认证证书》,不得出厂、销售、进口或在其他经营活动中使用。

    4. 国家信息安全产品认证流程

    国家信息安全产品认证流程
    https://www.renrendoc.com/paper/100880104.html

    国家信息安全产品认证流程:

    1、认证申请

    准备申请材料、申请书等

    2、递交申请书

    向中国信息安全认证中心提交认证申请书(包括申请书所要求的其他资料)纸质版1式2份,电子版1份。含有密码技术的产品应向国家密码管理局指定检测实验室提交密码技术检测申请。拟用于涉密信息系统的产品,按照国家有关保密规定和标准执行,不适用本申请指南。

    3、申请资料审查

    中国信息安全认证中心在收到申请资料后对其进行审查,如果资料不符合要求,申请方应按要求修改或补充;如果资料符合要求,进行单元划分。单元划分完成后,中国信息安全认证中心向申请方发出送样通知。

    4、发出送样通知单

    中国信息安全认证中心向客户发出送样通知单

    5、申请方向实验室送样

    *实验室选择

    申请方从指定实验室名单中,根据指定实验室的业务范围,自主选取检测实验室。指定实验室及业务范围参见中国国家认证认可监督管理委员会公告(2009年第25号)。

    *送样原则和数量

    详见各个产品的认证实施规则。

    *型式试验

    检测实验室完成检测后,将型式试验报告提交至中国信息安全认证中心。

    国家信息安全产品认证

    6、申请方缴费

    申请方收到缴费通知后,向中国信息安全认证中心缴纳认证费用(不包括实验室检测费用)。

    7、初始工厂检查

    工厂检查依据各个产品的认证实施规则进行,工厂检查包括信息安全保证能力、质量保证能力和产品一致性检查。(时间2-4天)综合评价、认证决定中国信息安全认证中心依据相关标准和规范对申请资料、型式试验报告和工厂检查报告等进行综合评价,作出认证决定。

    8、颁发证书

    证书制作完毕后,申请方可以自行到中国信息安全认证中心领取或委托中国信息安全认证中心邮寄。同时,证书信息将在中国信息安全认证中心网站予以公告。证书的有效性证书有效期为5年,证书有效期内,证书的有效性依据发证机构的定期监督获得维持。

    9、证后监督

    从获证后第12个月起进行第一次获证后监督,此后每12个月进行一次获证后监督。 必要情况下,认证机构可采取事先不通知的方式对生产厂实施监督。必要时可增加监督频次,详见各个产品的认证实施规则。

    二、CCRC信息安全服务资质(认证)

    官网: https://www.isccc.gov.cn/

    1. 背景和基本概念

    随着我国信息化和信息安全保障工作的不断深入推进,以应急处理、风险评估、灾难恢复、系统测评、安全运维、安全审计、安全培训和安全咨询等为主要内容的信息安全服务在信息安全保障中的作用日益突出。加强和规范信息安全服务资质管理已成为信息安全管理的重要基础性工作。

    信息系统安全服务资质(CCRC)侧重在于信息安全服务领域。

    2. CCRC信息安全服务资质

    CCRC(原名ISCCC)信息安全服务资质认证是中国网络安全审查技术与认证中心依据国家法律法规、国家标准、行业标准和技术规范,按照认证基本规范及认证规则,对提供信息安全服务机构的信息安全服务资质包括法律地位、资源状况、管理水平、 技术能力等方面的要求进行评价。

    该资质共8个单项,每个单项分为一、二、三级(最低)。其中一级最高,三级最低。共分8个不同的方向,分别是:安全集成、安全运维、应急处理、风险评估、灾难备份与恢复、安全软件开发、网络安全审计、工业控制系统安全

    信息安全服务资质认证证书前名叫ISCCC,现在改名为CCRC。信息系统安全服务资质(CCRC),目前只有中国网络安全审查技术与认证中心一家机构才能审批的资质证书

    CCRC其实就是信息安全服务资质,也就是以前的名称是ISCCC。这三个其实就是一个东西,也就是都是信息安全服务资质认证证书的意思。

    CCRC信息安全服务资质单项

    官网:https://www.isccc.gov.cn/zxyw/fwzzrz/index.shtml

    1、信息安全风险评估
      2、 信息安全应急处理
      3、信息系统安全集成
      4、信息系统灾难备份与恢复
      5、软件安全开发
      6、信息系统安全运维
      7、网络安全审计
      8、工业控制系统安全
    在这里插入图片描述
    各分项都有三个级别,三级最低,一级最高。其中如果是做三级单个分项,其申报基础要求为:

    1、社保人数10人以上;
    2、近三年完成的信息安全项目1个以上;
    3、持证信息安全保障人员2名以上。

    因此,CCRC信息安全服务资质安全集成服务资质三级申报的时候,企业也是需要满足以上三个基础要求。

    审核标准

    信息系统安全服务资质(CCRC)对项目的管理及资料的存档更加严谨,人员有严格的要求,对于申请不同类别和级别的相关安全保障人员数量、毕业学历、毕业时间都有明确的要求。

    3. 信息安全服务资质评审发证机构介绍

    CCRC 中国网络安全审查技术与认证中心(原中国信息安全认证中心-ISCCC)是依据国家《网络安全法》和国家有关强制性产品认证、网络安全管理法规,负责实施网络安全审查和认证的专门机构。

    中国网络安全审查技术与认证中心为国家市场监督管理总局直属事业单位,系第三方公正机构和法人实体。其职能为:承担网络安全审查技术与方法研究;开展网络安全认证评价及相关标准技术和方法研究;承担网络安全审查人员和网络安全认证人员技术培训工作;在批准的工作范围内按照认证基本规范和认证规则开展认证工作;受理认证委托、实施评价、做出认证决定,颁发认证证书;负责认证后的跟踪检查和相应认证标志使用的监督;受理有关的认证投诉、申诉工作;依法暂停、注销和撤销认证证书;对认证及认证有关的检测、检查、评价人员进行认证标准、程序及相关要求的培训;对提供信息安全服务的机构、人员进行资质注册和培训;根据国家法律、法规及授权参加相关国际组织开展信息安全领域的国际合作;依据法律、法规及授权从事相关认证工作。在业务上接受中共中央网络安全和信息化委员会办公室指导。

    4. CCRC信息安全服务资质证书样本

    在这里插入图片描述

    5. CCRC信息安全服务资质认证有什么好处?

    通过信息系统安全服务分类分级的资质认证,可以对信息安全服务提供商的基本资格、管理能力、技术能力和服务过程能力等方面进行权威、客观、公正的评价,证明其服务能力,满足社会对服务的选择需求。

    证书持有单位可在有效期内从事有关的信息安全服务工作,并接受中国网络安全审查技术与认证中心(以下简称为CNITSEC)的监督;

    可用于政府、金融等行业招标投标项目,提高竞争力;提高公司市场占有率,提升企业形象。
    这个证书的发证机构有中国信息安全测评中心或中国网络安全审查技术与认证中心。由此可见,其证书的含金量是不低的。且企业如果有这个证书,在参加招投标中是可以获得加分的,对企业自身实力的提升也很有帮助。

    CCRC信息安全服务资质认证的好处:
    1、企业申请并完成信息安全服务资质有助于信息安全服务商完善自身管理体系,提高服务质量和水平。
    2、企业申请并完成信息安全服务资质有助于提高需方对信息安全服务商的信任度。
    3、企业获得CCRC信息安全服务资质认证证书有助于提高中标率。
    4、企业获得CCRC信息安全服务资质认证证书可用于荣誉展示。

    6. CCRC信息安全服务资质二级、三级各项基本要求

    资质级别分为一级、二级、三级共三个级别,其中一级最高,三级最低。

    CCRC信息安全服务资质三级需要的条件

    信息安全服务资质三级需要的条件

    1. 申请人必须是中国境内注册的法人单位,成立时间1年以上。
    2. 公司的注册资本在50万元以上,且没有任何不良的信用记录,办公面积有100平米以上。
    3. 公司近两年的信息安全服务业务完成验收项目总额100万元以上。
    4. 近一年未出现亏损,营业收入达到300万元以上,固定资产净值有10万以上,并有中华人民共和国境内依法设立的会计师事务所出具的财务审计报告。
    5. 通过ISO9001认证,建立有项目管理、客户服务管理、人力资源管理制度。
    6. 技术负责人具备电子信息类硕士以上学位或电子信息类中级以上职称、且从事信息安全服务业务技术工作不少于1年;财务负责人至少有会计技术初级资格。
    7. 信息安全服务的工作人员不少于10名,取得“信息系统业务安全服务工程师”培训证书的人数不少于5名。

    CCRC认证三级(一个分项)基本要求:

    1、社保人数10人以上

    2、近三年完成的信息安全项目1个以上

    3、持证信息安全保障人员2名以上

    CCRC认证二级(一个分项)基本要求

    1、社保人数30人以上

    2、近三年完成的信息安全项目6个以上

    3、持证信息安全保障人员6名以上

    以上就是企业做CCRC认证三级、二级分别所需的基本要求

    CCRC信息安全服务资质一级要求

    都知道CCRC信息安全服务资质一级是最高级别,所以一级也是不能像三级和二级一样直接申请的,如要直接申请一级,首先要进行申请,申请通过之后才能正常申报。所以要申报一级,企业必须要有一定扎实的实力才可以。

    申请方可根据条件直接申请,或获得二级一年以上可提出相同类别的一级申请,且服务管理程 序文件需建立、发布并运行一年以上。

    人员素质与要求
    1、组织负责人拥有4年以上信息技术领域管理经历
    2、技术负责人具备信息安全服务(与申报类别一致)管理能力,经评价合格(与申报类别一致)。
    3、项目负责人、项目工程师具备信息安全服务(与申报类别一致)技术能力,经评价合格(与申报类别一致)。

    业绩要求
    1、从事信息安全服务(与申报类别一致)5年以上。
    2、近3年内签订并完成至少10个信息安全服务(与申报类别一致)项目。

    7. CCRC信息安全服务资质认证流程图及申报资料清单

    参考URL: https://blog.csdn.net/qiye51/article/details/115860285
    在这里插入图片描述
    CCRC信息安全服务资质认证证书需要提交的材料清单:

    1.服务资质认证申请书;

    2.独立法人资格证明材料;

    3.从事信息安全服务的相关资质证明;

    4.工作保密制度及相应组织监管体系的证明材料;

    5.与信息安全风险评估服务人员签订的保密协议复印件;

    6.人员构成与素质证明材料;

    7.公司组织结构证明材料;

    8.具备固定办公场所的证明材料;

    9.项目管理制度文档;

    10.信息安全服务质量管理文件;

    11.项目案例及业绩证明材料;

    12.信息安全服务能力证明材料等。

    CCRC认证有效期

    CCRC认证有效期为5年。在有效期内,通过每年对获证后的产品进行监督确保认证证书的有效性。

    获得CRCC证书后维护需做

    1)每年均需监督审核,提前2个月提交监督审核通知单回执及自评价表。
    2)原则上证后第1年监督审核为现场审核
    3)在认证风险可控的情况下,原则上证后第2年为非现场审核,第3年为现场审核,以此类推。
    4)若存在影响认证有效性的情况,增加现场审核的频度与部分项的审核力度

    造成撤销的情况

    1)逾期3个月未按规定接受监督审核的
    2)证书暂停期间,未在规定时间内完成整改并通过验证;
    3)违规使用认证证书,造成不良影响;
    4)获证组织出现严重责任事故、被投诉且经核实,影响其继续有效提供服务;
    5)获证组织因自身原因不再维持证书,可提出撤销认证证书的申请
    6)其他需要撤销证书的情况。

    三、参考

    360借条通过CCRC权威认证,再获国家级认可
    参考URL: https://blog.csdn.net/FL63Zv9Zou86950w/article/details/122469635
    http://www.isocsr.com/ccrc/ruanjiankaifazizhi
    信息安全产品认证介绍
    https://zhuanlan.zhihu.com/p/405689624

    展开全文
  • 信息安全期末复习整理

    万次阅读 多人点赞 2019-10-18 19:45:02
    信息安全期末复习整理。适用于韦老师2019《信息安全期末考试》。

    声明:本文为个人整理内容,适用于2019年韦老师信息安全期末测试


    【注】答案个人整理,不保证100%正确。

    题型与分值

    题型分值
    判断题15题 x 1’
    单选题15题 x 1’
    不定项选择10题 x 2’
    填空题20题 x 1’
    问答题3题 x 10’

    7、8、10三章不考,期末成绩必须50分以上哦!

    问答题

    1、简单替换密码加解密(教材57页4、5、6、7)

    • 恺撒密码:f(a)=(a+k) mod n 简单移位替换

    • 仿射密码:f(a)=(k*a+b) mod n

      仿射密码解密算法:f(a)=k-1*(a-b) mod n;k-1 是k的乘法逆元
      关于 k-1 如何求:其实就是 k*k-1 mod n=1

    举个例子:
    加密算法:f(a)=3*a+5 mod 263的逆元就是求:3*y mod 26 = 1
    3*9 mod 26 = 1,即y = 9解密算法:f(a)=9(a-5) mod 26
    
    ⭐要注意负数的取模的情况:
    比如-25 mod 26 = 1
    可以理解为 -25+26*1 mod 26 = 1
    关于这点,C/Java语言中是直接取模的,即-25 mod 26= -25,在Python中-25 mod 26 = 1
    
    再看下面的例子:
    加密算法:f(a)=5*a+7 mod 265的逆元就是求:5*y mod 26 = 1
    -5*5 mod 26 = 1,即y = -5解密算法:f(a)=-5(a-7) mod 26
    

    2、DES算法的原理(教材17-24)

    1)原理:DES是分组加密算法,它以64位(二进制)为一组对称数据加密,64位明文输入,64位密文输出。密钥长度为56位,但密钥通常表示为64位,并分为8组,每组第8位作为奇偶校验位,以确保密钥的正确性,这样对用户来说每组密钥仍是56位。利用密钥,通过传统的换位、替换和异或等变换,实现二进制明文的加密与解密。

    2)算法概要:

    • 对输入的明文从右向左按顺序每64位分为一组(不足64位在高位补0),并按分组进行加密或解密
    • 进行初始置换
    • 将置换后的明文分成左、右两组,每组32位
    • 进行16轮相同的变换,包括密钥变换
    • 将变换后的左右两部分合并在一起
    • 逆初始变换,输出64位密文

    3)加密过程

    • 初始置换
    • 明文分组
    • 密钥置换
    • 密钥分组、移位、合并
    • 产生子密钥
    • 扩展置换
    • 子密钥和扩展置换后的数据异或运算
    • S盒代替(核心部分
    • P盒置换
    • P盒输出与原64位数据疑惑运算
    • Ri-1 → Li
    • 重复4~11
    • 逆初始置换

    3、RSA算法的全过程(教材40-41)

    1)选择密钥

    • 选择两个不同的素数 p、q
    • 计算公开模数 r=pxq
    • 计算欧拉函数φ(r)=(p-1)(q-1)
    • 选择一个和φ(r)互质的量k,即保证 gcd(φ(r), k)=1 时,选择 k。可以令 sp=kpk=k
    • 根据 sk*pk ≡ 1 mod φ(r),已知 skpk,用乘逆算法求 pksk

    2)加密
    3)解密
    4)平方-乘算法

    RSA算法流程图

    4、基于公开密钥的数字签名方案(教材61)

    公开密钥体制可以用来设计数字签名方案。设用户Alice要发送一个经过数字签名的明文M给用户Bob,数字签名的一般过程如下:

    (1) Alice用信息摘要函数Hash从 M 抽取信息摘要 M'
    (2) Alice用自己的私人密钥对 M' 加密得到签名文本 S,即Alice在 M 上签了名。
    (3) Alice用Bob的公开密钥对 S 加密得到 S'
    (4) Alice将 S'M 发送给Bob。
    (5) Bob收到 S'M 后,用自己的私人密钥对 S'解密,还原出 S
    (6)Bob用Alice的公开密钥对 S 解密,还原出信息摘要 M'
    (7) Bob用相同的信息摘要函数从 M 抽取信息摘要 M"
    (8) Bob比较 M'M",当 M'M" 相同时,可以断定Alice在 M 上签名。

    由于Bob使用Alice 的公开密钥才能解密 M',可以肯定Alice 使用自己的私人密钥对 M 进行了加密所以Bob确信收到的M是Alice 发送的,并且 M 是发送给Bob的。

    为了提高数字签名的安全性和效率,通常先对明文信息 MHash 变换,然后再对变换后的信息进行签名这样就把签名过程从对明文信息 M 转移到一个很短的 Hash 值上。

    5、单向散列函数(Hash函数)的特点(教材62-63)

    h=h(M)

    • Hash函数能从任意长度的 M 中产生固定长度的散列值 h
    • 已知 M 时,利用 h(M) 很容易计算出 h
    • 已知 M 时,要通过同一个 h(M) 计算出不同的h是很困难的
    • 已知 h 时,要想从中计算出 M 是很困难的
    • 已知 M 时,要找出另一个信息 M' 使 h(M)=h(M') 是很困难的

    6、简述信息的完整性、可用性、保密性(教材4)

    • 完整性:只有经过授权的人才能对信息进行修改,并且能够判断出信息是否已被修改,从而保持信息的完整性。
    • 可用性:在用户授权的情况下,无论什么时候,只要用户需要,信息必须是可用的和可访问的,信息系统不能拒绝服务
    • 保密性:信息必须按照拥有者的要求保持一定的保密性。只有得到拥有者许可,其他人才能获得该信息。

    7、简述数字水印的主要特性(教材52)

    • 稳定性(鲁棒性):水印信息能够抵抗应用过程中的各种破坏,嵌入水印的数字信息经过某种变动之后仍能提取出水印信息。
    • 水印容量水印容量和稳定性是相互矛盾的。水印容量增加会降低稳定性,也对不可见性有影响。
    • 安全性:加入水印和检测水印的方法对没有授权的第三方应该是绝对保密的,而且不易破解。
    • 自恢复性:原始的数据经过较大的破坏或变换之后,仍能恢复出隐藏的水印。
    • 不可见性:这是数字水印最基本的特点,数字信息加入水印之后不会改变其感知效果,即看不到数字水印的存在。

    8、论述公开密钥算法的典型特点

    • 在公开密钥算法中,有一对密钥(pk, sk),其中pk (public key) 是公开的,即公开密钥,简称公钥。另一个密钥sk(private key) 是保密的,这个保密密钥称为私人密钥,简称私钥

    • 在公开密钥算法中,进行加密和解密时,使用不同的加密密钥解密密钥。而且加密密钥或解密密钥不能相互推导出来,或者很难推导出来。

    • 在公开密钥算法中,公开密钥和私人密钥必须配对使用。也就是说如果使用公开密钥加密时,就必须使用相应的私人密钥解密;如果使用私人密钥加密时,也必须使用相应的公开密钥解密。

    • 一般来说,公开密钥算法都是建立在严格的数学基础上,公开密钥和私人密钥的产生也是通过数学方法来产生的。公开密钥算法的安全性是依赖于某个数学问题很难解决的基础上

    9、论述对称加密体制

    对称加密算法,有时又叫传统密码算法,它的典型特点是:

    • 采用的解密算法就是加密算法的逆运算,或者解密算法与加密算法完全相同;
    • 加密密钥和解密密钥相同,或者加密密钥能够从解密密钥中推算出来,反过来也成立。

    对称算法要求发送者和接收者在安全通信之前商定一个密钥。它的安全性依赖于密钥的保密性。

    • 具有代表性的对称加密算法:DES、三重DES、AES、IDEA、PBE

    10、论述公开密钥体制

    • 公开密钥密码体制就是使用不同的加密密钥与解密密钥,是一种 由已知加密密钥推导出解密密钥在计算上是不可行的 密码体制。也称为非对称式加密

    11、简述什么是数字证书?X.509数字证书包含哪些内容?(教材73-74)

    • 数字证书:是由权威机构 CA 发行的一种权威性的电子文档,是网络环境中的一种身份证,用于证明某一用户身份以及其公开密钥的合法性
    • 一个标准的 X.509 数字证书包含:证书版本号、序列号、签名算法标识符、认证机构、有效期、主体、主体公开密钥信息、CA 的数字签名、可选项等

    12、论述网络攻击的一般步骤(PPT)

    • 第一步:隐藏攻击源

      利用别人的计算机 (肉机) 隐藏他们真实的 IP 地址,伪造 IP 地址,假冒用户账号等。

    • 第二步:信息搜集

      攻击者通过各种途径搜索目标信息,进行综合整理分析后,拟定攻击方案,为入侵作好充分的准备。踩点、扫描、嗅探等手段。

    • 第三步:掌握系统控制权
      攻击者们利用系统漏洞进入进入目标主机系统获得控制权。通常是系统口令猜测、种植木马、会话劫持等。

    • 第四步:实施攻击

      不同攻击者目的不同,主要是破坏机密性、完整性和可用性等。通常是下载、修改或删除敏感信息、瘫痪服务、攻击其他被信任的主机或网络等。

    • 第五步:安装后门

      成功的入侵通常消耗攻击者的大量时间和精力,所以在退出系统前安装后门,以保持对已入侵主机的长期控制

    • 第六步:隐藏攻击痕迹
      攻击者的活动通常会在被攻击主机上留下记录,为防止被发现,攻击者往往在入侵完毕之后清除登录日志等痕迹。

    13、论述计算机病毒程序的一般构成(教材96)

    1)安装模块:用户不会主动运行病毒程序,病毒必须通过自身实现自启动安装大计算机中。

    2)传染模块

    • 传染控制部分:病毒一般有一个控制条件,一旦满足条件就开始感染。
    • 传染判断部分:每个病毒都有一个标记,在传染时判断这个标记,如果磁盘文件已经被感染了就不再传染,否则继续传染。
    • 传染操作部分:满足条件是进行的传染操作。

    3)破坏模块:计算机病毒的最终目的是进行破坏,其破坏的基本手段就是删除文件或数据。

    • 激发控制:病毒满足条件时发作。
    • 破坏操作:不同病毒破坏操作不同,典型的方法就是疯狂复制、删除文件等。

    14、论述杀毒软件的一般构成(教材101)

    • 用户界面模块:直接面向用户,提供杀毒软件的基本设置;展示病毒信息;响应用户的命令
    • 病毒数据库:储存对病毒特征码源文件进行加密和压缩之后得到的特征码目标文件。
    • 病毒扫描引擎:包括文件解析模块、病毒扫描模块、特征码加载模块
    • 文件实时监控模块:扫描进入系统的文件是否有病毒并作出相应处理
    • 进程实时监控模块:监控系统中所有的任务和进程,并能通过进程ID定位到系统的宿主文件上,有异常发生时立即终止该进程并通知用户。

    15、在软件系统中,要安全的保护用户的密码,应该采取哪些措施(认证.ppt)

    在这里插入图片描述

    16、设计软件保护的一般性建议(教材289-290)

    • (1)软件发行之前一定要对可执行程序进行 加壳,使得破解者无法直接修改程序。
    • (2)要在自己编写的软件中 嵌入反跟踪代码,以增加软件的安全性。
    • (3)增加对软件自身的完整性检查这包括对磁盘文件和内存映像的检查,以防止有人未经允许修改程序,以达到破解的目的。
    • (4)不要采用一目了然的名字来命名 与软件保护相关的函数和文件。所有与软件保护相关的字符串都不能以明文形式直接存放在可执行文件中,这些字符串最好是动态生成的。
    • (5)当检测到软件破解企图之后,不要立即给用户提示信息,可以在系统的某个地方做一个记号,过一段时间后使软件停止工作,或者让程序处理一些垃圾数据等。
    • (6)不要依赖于众所周知的函数来获取系统时间,可以通过读取关键的系统文件的修改时间来得到系统时间。
    • (7)给软件保护加入 一定的随机性。如除了启动时检查注册码之外,还可以在软件运行的某个时刻随机地检查注册码。随机值还可以很好地防止模拟工具,如软件狗模拟程序。
    • (8)如果试用版与正式版是分开的两个版本,试用版的软件没有某项功能,则不要仅仅使相关的菜单变灰,而应彻底删除相关的代码,使得编译后的程序中根本没有相关的功能代码。
    • (9)如果软件中包含驱动程序,则最好将保护判断加在驱动程序中。因为驱动程序在访问系统资源时受到的限制比普通应用程序少得多,这也给了软件设计者提供发挥的余地。
    • (10)将注册码、安装时间记录在多个不同的地方。检查注册信息和时间的代码越分散越好,同时插入大量无用的运算以误导破解者,并在检查出错误的注册信息之后加入延时。
    • (11)采用一机一码,即注册码与机器特征相关 (如将注册码与硬盘序列号相关),这样一台机器上的注册码就无法在另外一台机器上使用,可以防止注册码传播
    • (12)如果自己设计检查注册信息的算法,则算法不能过于简单,最好采用成熟的密码学算法
    • (13)可以采用在线注册的方法。用户将注册请求发送到特定服务器上,由服务器通知用户注册是否成功。如果是合法的用户,再将关键程序代码或密钥发送给用户。
    • (14)如果采用注册文件的保护方式,则注册文件的尺寸不能太小,可将其结构设计得比较复杂,在程序中不同的地方对注册文件的不同部分进行复杂的运算和检查。

    17、什么是区块链技术?它有哪些特点?

    • 本质:它是一种特殊的分布式数据库

      区块链是一种按照时间顺序将数据区块以顺序相连的方式组合成的一种链式数据结构, 并以密码学方式保证的不可篡改和不可伪造的分布式账本

    • 特点:

      • 去中心化交易
      • 信息不可篡改,一旦写入无法改变
      • 完全匿名

    18、什么是社会工程学攻击?常见的攻击手段有哪些?

    • 社会工程学攻击:在计算机科学中,社会工程学指的是通过与他人的合法地交流,来使其心理受到影响,做出某些动作或者是透露一些机密信息的方式。这通常被认为是一种欺诈他人以收集信息、行骗和入侵计算机系统的行为。
    • 常见手段:环境渗透、引诱、伪装、说服、恐吓、恭维、反向社会工程学攻击

    判断、选择、填空题

    1、计算机信息安全技术

    1)计算机信息安全技术研究的内容

    • 计算机外部安全
    • 计算机信息在存储介质上的安全,有时也称 计算机内部安全
    • 计算机信息在传输过程中的安全,或称为 计算机网络安全

    2)信息安全需求

    3)影响计算机安全的因素

    • 自然环境
    • 人为失误
    • 人为恶意破坏
    • 软件设计等的不完善

    2、密码

    1)代替密码
    代替密码,又称替换密码,就是按照一定的要求,将明文中的每个字符换成另外的字符,明文中的字符位置保持不变,但其本身改变了。

    2)对称加密算法的特点

    • 采用的解密算法就是加密算法的逆运算,或者加密算法与解密算法完全相同
    • 加密密钥和解密密钥相同,或者加密密钥能够从解密密钥中推算出来,反之也成立(即相互推导)。
      PS:对称加密算法速度快是唯一的优点

    3)公开密钥算法的特点(教材37)

    • 有一对密钥(PK, SK),PK(公开密钥)是公开的,可以在密钥簿上查找。SK(保密密钥/私人密钥)是对外保密的
    • 加密和解密时使用不同的加密密钥和解密密钥,而且加密密钥或解密密钥不能相互推导,或很难推导出来
    • 公开密钥和私人密钥必须配对使用。即公钥加密要用私钥解密,私钥加密要哦那个公钥解密。
    • 公开密钥算法是建立在严格的数学基础上的,公钥和私钥也是通过数学方法产生的。公开密钥算法的安全性时间里在某个数学问题很难解决的基础上。

    4)DES算法的核心原理:(见简答题2)

    5)AES算法的基本原理

    6)RSA算法的核心原理

    3、加密算法

    1)Hash函数的特点(见问答题5)

    2)MD5的特点

    • 压缩性:无论数据长度是多少,计算出来的MD5值长度相同

    • 容易计算性:由原数据容易计算出MD5值

    • 抗修改性:即便修改一个字节,计算出来的MD5值也会巨大差异

    • 抗碰撞性:知道数据和MD5值,很小概率找到相同MD5值相同的原数据

    3)SHA的特点

    • 安全性:SHA比MD5的摘要信息还要长。
    • 速度:实现SHA-1的速度比MD5慢20%左右。
    • 简单性:算法简单,易于实现。

    4、防火墙

    1)防火墙的分类、结构、特点

    • 防火墙提供的基本服务:
      • 有选择地限制外网用户对内网的访问,保护内网的特定资源
      • 有选择地限制内部网用户对外网的访问
    • 防火墙三大要素:安全、配置、速度
    • 分类
      • 按软硬件形式分为硬件防火墙和软件防火墙
      • 按防火墙部署位置分为边界防火墙、个人防火墙、分布式防火墙
    • 防火墙的主要功能:
      • 阻止易受攻击的服务
      • 控制访问网点
      • 集中安全性管理
      • 对网络存取和访问进行监控审计
      • 检测扫描计算机的企图
      • 防范特洛伊木马
      • 防病毒功能
      • 支持VPN技术
      • 提供网络地址翻译功能
    • 防火墙的缺陷:
      • 不能防范内部攻击
      • 不能防范不通过防火墙的连接入侵
      • 不能自动防御所有新的威胁
    • 防火墙的体系结构
      • 筛选路由结构
      • 双宿主主机结构
      • 屏蔽主机网关结构
      • 屏蔽子网结构
    • 防火墙技术:
      • 包过滤技术
      • 代理服务技术
      • 电路层网关技术
      • 状态检测技术

    2)包过滤防火墙

    3)应用代理防火墙

    4)网络防火墙

    5)分布式防火墙

    5、计算机病毒

    1)计算机病毒的基本概念、特征

    • 概念:计算机病毒是指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据,影响计算机正常使用,并且能够自我复制的一组计算机指令或程序代码。
    • 特征:破坏性、隐蔽性、传染性;潜伏性、可触发性、不可预见性

    2)宏病毒:宏病毒是一种寄存与Office文档或模板的宏中的计算机病毒,是利用宏语言编写的。一旦打开带有宏病毒的文档,宏病毒就会被激活,转移到计算机中,并驻留在Normal模板上,所有自动保存的文档都会被感染上这种宏病毒。

    3)特洛伊木马:实际上是一种典型的黑客程序,是一种基于远程控制的黑客工具。典型的黑客程序一般不对计算机系统进行直接的破坏,而是通过网络任意控制其他计算机,窃取国家、部门或个人的信息,占用计算机其他资源等。

    4)主动型木马:主动型木马服务器安装在被控制的主机上,黑客使用的时客户端程序,服务器程序能够实现自启动、隐蔽和打开网络通信端口的功能。黑客可以通过网络扫描工具寻找网络中一打开的木马指定端口,连接并实现对被攻击主机的控制。

    6、网络攻击

    1)网络易受攻击的原理

    • 主要是由于网络软件不完善和网络协议本身存在安全漏洞。人们使用最多最著名的TCP/IP网络协议就存在大量的安全漏洞。

    2)IP协议的安全隐患

    TCP/IP协议的几个安全漏洞:

    • 由于TCP/IP协议的数据流采用明文传输,因此信息很容易被在线窃听、篡改和伪造。特别是在使用FTP和 Telnet命令时,如果用户的账号、口令是明文传输的,攻击者就可以使用Sniffer、 Snoop、网络分析仪等软件截取用户账号和口令。
    • TCP/IP协议用IP地址作为网络节点的唯一标识,但是节点的IP地址又是不固定的,因此攻击者可以直接修改节点的IP地址,冒充某个可信节点的IP地址进行攻击,实现源地址欺骗(Source Address Spoofing)或iP欺骗(IP Spoofing)。因此,IP地址不能作为一种可信的认证方法。
    • TCP/IP协议只能根据IP地址进行鉴别,而不能对节点上的用户进行有效的身份认证,因此服务器无法鉴别登录用户的身份有效性。目前主要依靠服务器提供的用户控制机制,如用户名、口令等进行身份认证。

    3)TCP/UDP/IP包头信息

    4)缓冲区溢出攻击

    缓冲区溢出原理:
    缓冲区(Buffer)是内存中存放计算机正在处理的数据的地方。攻击者向某个应用程序发送超出其缓冲区最大容量的数据,溢出的数据就会破坏堆栈中的数据,导致应用程序或整个系统出现崩溃等故障;在某些情况下,攻击者还可以在溢出数据中加上精心设计的机器代码,这些代码溢出到缓冲区以外时会被执行,就能达到破坏计算机系统的目的,这就是所谓的缓冲区溢出(Buffer Overflow)攻击

    5)拒绝服务攻击
    拒绝服务攻击( Denial of Service,DoS)是一种既简单又有效的进攻方式,它的目的就是拒绝
    为用户提供服务,破坏系统的正常运行,最终使用户的部分网络连接和网络系统失效,甚至导致
    系统完全瘫痪。从网络攻击的各种方法和所产生的破坏情况来看,DoS攻击简单易学,实用性
    和可操作性强,又有大量免费工具可以使用,给互联网安全带来了重大威胁。

    7、认证技术

    认证技术

    数字水印的特点

    生物特征识别技术

    8、反编译

    1)反编译工具

    2)静态分析工具

    • 静态分析:就是从反编译出来的程序中分析程序流程,以便了解软件中各模块所完成的功能、各模块之间的关系,了解软件的编程思路,从而更方便地根据自己的需要完善、修改程序的功能。
    • 常用工具:Language 2000、File Scanner、File Info、PEiD等用来分析文件类型;W32Dasm、IDA Pro

    3)动态分析工具

    • 动态分析:通过调试程序、设置断点、控制被调试程序的执行过程来发现问题。动态分析可以发现软件各模块执行的中间结果、各模块之间的关系、不同分支与转移需要的条件和加密过程等。
    • 常用工具:WinDbg、OllyDbg

    4)加壳脱壳工具

    • 加壳的目的和作用:保护程序和压缩程序
    • 加壳工具:ASPack、UPX、PECompact、ASProtect、tElock、幻影(DBPE)等
    • 脱壳工具:通用的有ProDump、GUW32和UN-PACK;
      针对ASPack的脱壳工具UnAspack、CASPR、AspackDie;
      针对UPX的脱壳工具有UPX和FS。

    拓展链接

    信息安全复习题1-百度文库-QZ
    信息安全复习题2-百度文库-XZ
    信息安全复习题3-淘豆网-PD

    展开全文
  • 网络信息安全之安全风险管理

    千次阅读 2022-04-19 14:23:37
    而对于目前的组织机构而言,由于组织的业务运营越来越依赖于信息资产,信息安全相关风险在组织整体风险所占的比例也越来越高。信息安全风险管理的目的就是将风险控制到可接受的程度,保护信息及其相关资产,最终...

    在信息时代,信息已经成为第一战略资源,信息对组织使命的完成、组织目标的实现起着至关重要的作用,因此信息资产的安全是关系到该组织能否完成其使命的重大因素。资产与风险是对矛盾共同体,资产价值越高,面临的风险就越大。而对于目前的组织机构而言,由于组织的业务运营越来越依赖于信息资产,信息安全相关风险在组织整体风险中所占的比例也越来越高。信息安全风险管理的目的就是将风险控制到可接受的程度,保护信息及其相关资产,最终保障组织能够完成其使命,实现其目标。

    一、什么是安全风险

    风险定义为事态的概率及其结果的组合。风险的目标可能有很多不同的方面,如财务目标、健康和人身安全目标、信息安全目标和环境目标等;目标也可能有不同的级别,如战略目标、组织目标、项目目标、产品目标和过程目标等。风险经常通过引用潜在事态和后果或这些的组合来描述。影响,是对一个预期的偏离,正面的或负面的偏离。
    风险是客观存在的,与不确定性紧密相连,但又不能完全等同。风险带来的影响,通常都是负面的(正面的影响通常不被称为风险)。风险强调的是损害的潜在可能性,而不是事实上的损害。风险不能消除殆尽,包括人为因素带来的风险,也一样不能消除殆尽。衡量风险的两个基本要素就是事件的概率和影响。
    威胁利用脆弱性作用于资产产生影响,威胁增加了组织资产的风险,脆弱点能够暴露资产,脆弱性本身不会构成对资产的损害,但是脆弱性被威胁利用就会增加组织资产的风险。
    安全风险与资产、脆弱性、威胁之间的关系

    二、如何评估安全风险

    根据《信息安全技术信息安全风险评估规范》(GB/T 20984-2007),对评估对象进行安全风险评估分析,风险分析中涉及评估对象的影响范围、威胁、脆弱性三个基本要素。
    风险评估
    以下参考互联网新技术新业务安全风险评估可以分为确定影响范围->确定威胁->确定脆弱性->计算分险值->形成评估结论,通过定量和定性相结合的方式进行安全风险评估。

    1、确定影响范围

    影响范围是指评估对象涉及的传播影响,按评估对象支持的用户数计。
    对于运营于互联网上的应用系统,参考下表进行赋值。

    范围赋值
    10万以内1
    10万-100万以内2
    100万-1000万以内3
    1000万-5000万以内4
    5000万及以上5

    2、确定威胁

    威胁是指可能对评估对象造成损害的外部原因。威胁利用评估对象自身的脆弱性,采用一定的途径和方式,对评估对象造成损害或损失,从而形成风险。如:下表为互联网新技术新业务安全评估涉及的威胁及发生可能性赋值。

    威胁分类威胁名称赋值威胁描述
    假冒假冒4通过欺骗通信系统(或用户)达到非法用户冒充成为合法用户,或特权小的用户冒充成为特权大的用户的目的。黑客大多是采用假冒攻击。
    假冒诱骗欺诈1通过伪造、篡改、劫持短信、彩信、邮件、通讯录、通话记录、收藏夹、桌面等方式,诱骗用户,而达到不正当目的。
    假冒恶意扣费5在用户不知情或非授权的情况下,通过隐蔽执行、欺骗用户点击等手段,订购各类收费业务或使用移动终端支付,造成用户经济损失。
    篡改篡改3通过作伪的手段对应用程序的数据、进程、交互内容、发布内容进行修改。
    拒绝服务系统破坏4通过感染、劫持、篡改、删除、终止进程等手段导致移动终端或其它非恶意软件部分或全部功能、用户文件等无法正常使用,干扰、破坏、阻断移动通信网络、网络服务或其它合法业务正常运行。
    拒绝服务拒绝服务5对信息或其他资源的合法访问被无条件地阻止。
    拒绝服务资源消耗4在用户不知情或非授权的情况下,通过自动拨打电话、发送短信、彩信、邮件、频繁连接网络等方式,造成用户资费损失。
    暴力破解暴力破解2一种针对于用户账号和密码的破译方法,即将密码进行逐个推算直到找出真正的密码为止。
    抵赖抵赖4合法用户对自己操作行为否认的可能性。
    越权(提升权限)非授权访问3某一资源被某个非授权的人,或以非授权的方式使用。
    越权(提升权限)隐私窃取4在用户不知情或非授权的情况下,获取涉及用户个人信息。
    越权(提升权限)窃听3用各种可能的合法或非法的手段窃取系统中的信息资源和敏感信息。例如对通信线路中传输的信号搭线监听,或者利用通信设备在工作过程中产生的电磁泄露截取有用信息等。
    越权(提升权限)业务流分析3通过对系统进行长期监听,利用统计分析方法对诸如通信频度、通信的信息流向、通信总量的变化等参数进行研究,从中发现有价值的信息和规律。
    越权(提升权限)远程控制4在用户不知情或非授权的情况下,能够接受远程控制端指令并进行相关操作。
    越权(提升权限)破坏信息的完整性/可用性4数据被非授权地进行增删、修改或破坏而受到损失/数据遗失。
    越权(提升权限)授权侵犯(内部攻击)3被授权以某一目的使用某一系统或资源的某个人,将此权限用于其他非授权的目的。
    非法传播恶意传播5自动通过复制、感染、投递、下载等方式将自身、自身的衍生物或其它恶意代码进行扩散的行为。
    非法传播信息泄露5信息被泄露或透露给某个非授权的实体。
    非法传播三涉5传播的内容与应用包含了非法的信息,如涉黄、涉非、涉政,含病毒等。
    非法传播非法应用2传播内容与应用的方式让用户无法接受,如垃圾短信的发送、骚扰电话等。
    溯源失效溯源失效4无法准确追溯到传播违法有害信息或进行恶意攻击的责任主体。
    管理失控管理失控4用户、业务规模已超过企业最大安全监管能力范围;或企业安全保障能力无法满足针对业务实现方式或功能属性带来安全风险的管理。

    为了便于对不同威胁发生的可能性概率数据进行类比、度量,依据经验或专家意见进行赋值,常用准则参照如下表。采用相对等级的方式进行度量,等级值为1-5,1为最低,5为最高。
    表:威胁赋值准则

    等级标识定义
    5VH(很高)威胁发生的可能性很高,在大多数情况下几乎不可避免或者可以证实发生过的频率较高。
    4H(高)威胁发生的可能性较高,在大多数情况下很有可能会发生或者可以证实曾发生过。
    3M(中)威胁发生的可能性中等,在某种情况下可能会发生但未被证实发生过。
    2L(低)威胁发生的可能性较小,一般不太可能发生,也没有被证实发生过。
    1VL(很低)威胁几乎不可能发生,仅可能在非常罕见和例外的情况下发生。

    3、确定脆弱性

    脆弱性是指评估对象存在一个或多个脆弱的管理、技术、业务方面的漏洞,这些漏洞可能会被威胁所利用。脆弱性依据经验或专家意见进行赋值,常用准则参照如下表。采用相对等级的方式进行度量,等级值为1-3,1为最低,3为最高。
    表:脆弱性赋值准则

    类别描述对应等级
    技术保障技术方面是否存在低等级缺陷,从技术角度是否易被利用。3
    攻击利用对于攻击者来说,该漏洞目前是否能被直接或者间接利用,或者利用的难度。3
    管理控制运营管理环节是否有相关的薄弱环节,被利用难易程度。3
    防范控制是否有规定,是否严格审核、是否有记录校验等。2
    等级标识定义
    3H(高)如果被威胁利用,将造成完全损害。
    2M(中)如果被威胁利用,将造成一般损害。
    1L(低)如果被威胁利用,造成的损害可以忽略。

    4、计算风险值

    风险计算公式:

    风险值=影响范围 * 威胁可能性 * 脆弱严重性

    风险评估彩虹图

    根据风险计算公式得出风险值后可以对应其风险等级,如风险值在55-75分,表示风险极高

    5、评估结论

    评估报告以风险计算得分形式呈现,即:不仅呈现脆弱性问题,并且对于不符合评估标准的项,根据面临威胁赋值和脆弱性赋值,结合评估对象的影响范围计算出风险得分,依据得分给出风险等级(极高、高、中、低、极低)。 任一评估要点匹配对应的企业安全保障能力的脆弱性测算值>0时,须及时记录并反馈至本级信息安全部门进行报备。任一评估要点的风险值的对应等级为中及其以上程度时,必须纳入整改事项严格贯彻执行,并密切跟踪把握风险变化、持续健全更新与之匹配对应的信息安全管理措施和技术保障手段,根据业务上线后的经营发展情况适时开展安全评估,以确保将信息安全风险控制在中级以下范围内。评估管理部门应组织评估专家审查小组,对“评估结论”进行审核,通过后出具评审结论。

    三、为什么要管理安全风险

    风险管理的目的是确保不确定性不会使企业的业务目标发生变化。风险管理是风险的识别、评估和优化,然后协调和经济地应用资源,以最小化监测和控制不良事件的可能性及影响,最大限度地实现业务。

    风险管理可使信息系统的主管者和运营者在安全措施的成本与资产价值之间寻求平衡,并最终通过对支持其使命的信息系统及数据进行保护而提高其实现使命的能力。

    一个单位的领导必须确保本单位具备完成其使命所需的能力。信息安全措施是有成本的,因此对信息安全的成本必须像其他管理决策一样进行全面检查。一套合理的风险管理方法,可以帮助信息系统的主管者和运营者最大程度地提高其信息安全保障能力,以有效实现其使命。

    四、如何管理安全风险

    信息安全风险管理包括背景建立、风险评估、风险处理、批准监督、监控审查和沟通咨询6个方面的内容。背景建立、风险评估、风险处理和批准监督是信息安全风险管理的4个基本步骤,监控审查和沟通咨询则贯穿于这4个基本步骤中,如下图所示。

    1、背景建立

    背景建立是信息安全风险管理的第一个步骤,是为了明确信息安全风险管理的范围和对象,以及对象的特性和安全要求,对信息安全风险管理项目进行规划和准备,保障后续的风险管理活动顺利进行。背景是建立在业务需求的基础上,通过有效的风险评估和国家、地区、行业相关法律法规及标准的约束下获得背景依据。
    背景建立的过程包括风险管理准备、信息系统调查、信息系统分析和信息安全分析4个阶段。在信息安全风险管理过程中,对象确立过程是一次信息安全风险管理主循环的起始,为风险评估提供输人。

    2、风险评估

    风险评估确定信息资产的价值、识别适用的威胁和(存在或可能存在的)脆弱点、识别现有控制措施及其对已识别风险的影响,确定潜在后果,对风险进行最终的优先级排序,并按照风险范畴中设定的风险评价准则进行排名。
    风险评估的目的是通过风险评估的结果,来获得信息安全需求,信息安全风险管理要依靠风险评估的结果来确定随后的风险处理和批准监督活动。风险评估使得组织能够准确定位风险管理的策略、实践和工具,能够将安全活动的重点放在重要的问题上,能够选择有合理成本效益的和适用的安全对策。基于风险评估的风险管理方法被实践证明是有效的和实用的,已被广泛应用于各个领域。
    风险评估的过程包括风险评估准备、风险要素识别、风险分析和风险结果判定4个阶段。在信息安全风险管理过程中,风险评估活动接受背景建立阶段的输出,形成本阶段的最终输出《风险评估报告》,此文档为风险处理活动提供输人。

    3、风险处理

    风险处理是依据风险评估的结果,选择和实施合适的安全措施。风险处理的目的是为了将风险始终控制在可接受的范围内。风险处理的方式主要有降低、规避、转移和接受4种方式。

    • 降低方式:组织首先应该选择降低风险,通常通过对面临风险的资产采取保护措施来降低风险。保护措施可以从构成风险的5个方面(即威胁源、威胁行为、脆弱性、资产和影响)来降低风险。比如,采用法律的手段制裁计算机犯罪(包括窃取机密信息,攻击关键的信息系统基础设施,传播病毒、不健康信息和垃圾邮件等),发挥法律的威慑作用,从而有效遏制威胁源的动机;采取身份认证措施,从而抵制身份假冒这种威胁行为的能力;及时给系统打补丁(特别是针对安全漏洞的补丁),关闭无用的网络服务端口,从而减少系统的脆弱性,降低被利用的可能性;采用各种防护措施,建立资产的安全域,从而保证资产不受侵犯,其价值得到保持;采取容灾备份、应急响应和业务连续计划等措施,从而减少安全事件造成的影响程度。
    • 规避方式:当风险不能被降低时,通过不使用面临风险的资产来避免风险。比如,在没有足够安全保障的信息系统中,不处理特别敏感的信息,从而防止敏感信息的泄漏。再如,对于只处理内部业务的信息系统,不使用互联网,从而避免外部的有害人侵和不良攻击。
    • 转移方式:只有在风险既不能被降低,又不能被规避时,通过将面临风险的资产或其价值转移到更安全的地方来避免或降低风险。比如,在本机构不具备足够的安全保障的技术能力时,将信息系统的技术体系( 即信息载体部分)外包给满足安全保障要求的第三方机构,从而避免技术风险。再如,通过给昂贵的设备上保险,将设备损失的风险转移给保险公司,从而降低资产价值的损失。
    • 接受方式:是选择对风险不采取进一步的处理措施,接受风险可能带来的结果。接受风险的前提是确定了风险的等级,评估了风险发生的可能性以及带来的潜在破坏,分析了使用每种处理措施的可行性,并进行了较全面的成本效益分析,认定某些功能、服务、信息或资产不需要进一 步保护。

    风险处理的过程包括现存风险判断、处理目标确立、处理措施选择和处理措施实施4个阶段。

    4、批准监督

    批准监督包括批准和持续监督两部分。
    批准,是指机构的决策层依据风险评估和风险处理的结果是否满足信息系统的安全要求,做出是否认可风险管理活动的决定。批准应由机构内部或更高层的主管机构的决策层来执行。
    持续监督,是指检查机构及其信息系统以及信息安全相关的环境有无变化,监督变化因素是否有可能引入新的安全隐患并影响到信息系统的安全保障级别。监督通常由机构内部管理层和执行层完成,必要时也可以委托支持层的外部专业机构提供支持,这主要取决于信息系统的性质和机构自身的专业能力。
    对风险评估和风险处理的结果的批准和持续监督,不能仅依据相关标准进行僵化的对比,而是需要紧紧围绕信息系统所承载的业务,通过对业务的重要性和业务遭受损失后所带来的影响来开展相关工作。批准通过的依据( 原则)有两个:一是信息系统的残余风险是可接受的;二是安全措施能够满足信息系统当前业务的安全需求。

    参考资料:
    《CISP培训教材》
    《信息安全工程师教程(第2版)》
    《信息安全技术信息安全风险评估规范》


    博客地址:http://xiejava.ishareread.com/

    展开全文
  • 近年来,随着互联网应用的普及和大数据产业的发展,确实给生活带来很多便利,与此同时,个人信息安全也面临着严重威胁,个人信息被非法收集、泄露与滥用等。 2020年3月6日,国家市场监督管理总局、国家标准化管理...
  • 国家信息安全等级考试NISP一级题库(1)第1至100题 1.下列关于用户口令说法错误的是( )。 A.口令能设置为空 B.口令长度越长,安全性越高 C.复杂口令安全性足够高,需要定期修改 D.口令认证是最常见的认证机制 ...
  • 浅谈物联网信息安全

    千次阅读 2019-04-19 15:34:27
    近段时间我们刚刚开始了物联网信息安全的学习,算是稍微对这方面有了一点点认识。下面简单分享一下。 信息安全,意为保护信息及信息系统免受未经授权的进入、使用、披露、破坏、修改、检视、记录及销毁,需保证信息...
  • 第一章:网络信息安全概述 1.1网络发展现状与重要认识 1.1.1网络信息安全相关概念 **网络安全**是指通过采取必要措施,防范对网络的攻击、侵入、干扰、破坏和非法使用以及意外事故,使网络处于稳定可靠运行...
  • 信息安全五大特性

    万次阅读 2021-02-27 18:47:11
    网络信息安全五大特性:①完整性、②保密性、③可用性、④可否认性、⑤可控性,综合起来说就是保障电子信息的有效性。 1.完整性:指信息在传输、交换、存储和处理过程保持非修改、非破坏和非丢失的特性,即保持...
  • NCRE计算机等级考试三级 | 信息安全笔记

    万次阅读 多人点赞 2021-11-22 15:56:10
    description: 考NCRE三级信息安全时的一些笔记 | 完整 abbrlink: 758c date: 2021-03-19 00:00:00 第一章 信息安全保障概述 信息安全保障背景 信息:事物运行的状态和状态变化的方式 信息技术发展各个阶段: ...
  • 真题内容为考生回忆 如有完整真题或者更全的大佬,请在下面留言。...2、和ssh一样的安全管理协议 3、上述是否遭受攻击 4、该日志是在Linux下的路径名称 5、rw 用数字表示 6、》是什么意思 7、重启ssh 命令 8、s
  • 21年参加,给大家分享一些经验,并且为想要报考,还知道具体情况的同学,提供建议
  • 常见信息安全威胁与经典案例

    万次阅读 多人点赞 2020-04-15 18:35:05
    文章目录震网病毒威胁发展历程安全威胁分类网络安全威胁应用安全威胁数据传输与终端安全威胁 震网病毒 威胁发展历程 安全威胁分类 网络安全威胁 应用安全威胁 数据传输与终端安全威胁 ...
  • 信息安全的基本要素

    千次阅读 2020-06-07 21:34:15
    信息安全的基本要素:保密性、完整性、可用性、可控性、可否认性。 (1) 保密性:       信息被透露给非授权用户、实体或过程。保密性是建立在可靠性和可用性基础之上,常用保密...
  • 网络信息安全基本属性

    千次阅读 2022-03-17 19:18:23
    常见的网络信息安全基本属性主要有机密性、完整性、可用性、可抵赖性和可控性等,其中**机密性(Confidentiality)、完整性(Integrity)、可用性(Availability)被称为网络信息系统核心的CIA安全属性**,此外...
  • 信息安全是IT系统的“稳定器”,虽然信息安全投入能直接为带来收益,但是保证信息安全是企业业务得以顺利开展的重要基础。 信息安全产品分类 数据来源:智研咨询整理 随着信息技术的迅速发展,特别是云计算、...
  • 一般是致使网络信息系统安全策略相冲突的缺陷,称为安全隐患。影响:机密性受损、完整性破坏、可用性降低、抗抵赖性缺失、可控性下降、真实性保等。 漏洞分类:可分为普通漏洞和零日漏洞。 普通漏洞:相关漏洞...
  • 个人信息安全管理条例解释

    万次阅读 2019-11-06 19:45:56
    给人们生活带来便利的同时,也出现了对个人信息的 非法收集、滥用、泄露 等问题,个人信息安全面临严重威胁。 为了保护公民个人隐私数据被肆意收集、滥用、泄漏甚至非法售卖,各国政府纷纷出台相关法律政策文件,...
  • 信息安全基础知识理论总结 信息安全概述 密码学 数字签名 信息隐藏 计算机病毒、木马、蠕虫 计算机网络 网络安全(防火墙,入侵检测系统,入侵防御系统,拒绝服务攻击/分布式拒绝服务攻击) 网络安全协议理论与技术...
  • 工业和信息化部关于印发《工业控制系统信息安全防护指南》的通知 1 工信部解读 工业控制系统信息安全(以下简称“工控安全”)是国家网络和信息安全的重要组成部分,是推动中国制造2025、制造业与互联网融合发展...
  • 信息系统安全复习提纲

    万次阅读 2022-01-03 12:48:36
    信息系统安全复习 2021.12月整理 标注了部分2021年12月考察到的知识点 目录信息系统安全复习一、基本概念第一讲 信息系统概论1.什么是信息系统2.信息系统的例子,包括云计算、雾计算、边缘计算等3.信息系统的架构、...
  • 大学专科,大学本科,网络安全课程,信息安全技术课程,期末考试复习题。
  • 第十五届全国大学生信息安全竞赛知识问答(CISCN)

    千次阅读 多人点赞 2022-05-29 14:42:06
    单项选择题 1、国家秘密的保密期限,除另有规定外,绝密级超过()年 A、10年 B、50年 C、30年 D、20年 2、安卓逆向,反编译JAVA通常使用以下哪个软件...D、《信息安全等级保护管理办法》 4、IaaS技术是基于虚拟化
  • 网络信息安全的重要性

    万次阅读 2018-08-15 11:39:01
    一、信息安全技术概论 1.网络安全的重要作用 在互联网普及的初期,人们更关注单纯的连接性,以受任何限制地建立互联网为最终目的。正如事情都具有两面性,互联网的便捷性给人们带来了负面问题,计算机病毒的...
  • 最近有很多网友问,我买的新电脑进入PE系统找到硬盘,分区工具也没找到硬盘怎么办?随着2017后的台式机和笔记本新机型,默认新机型硬盘模式都是RAID,由于有的PE缺少raid硬盘驱动或Intel SGX驱动,所有解决方法...
  • 2021年8月31日,汽车信息安全领域首个国际标准ISO/SAE 21434“Road vehicles—Cybersecurity engineering(道路车辆 信息安全工程)”正式发布。 ISO21434标准定义了车辆网络安全的完整框架和产品网络安全生命周期...
  • 近年,随着信息技术的快速发展和互联网应用的普及,越来越多的组织大量收集、使用个人信息,给人们生活带来便利的同时,也出现了对个人信息的非法收集、滥用、泄露等问题,个人信息安全面临严重威胁。本标准针对个人...
  • ISO27001信息安全管理体系

    万次阅读 2018-11-05 18:59:00
    初入甲方,刚开始接触的应该就是ISO27001信息安全管理体系,你拿到的应该就是一整套安全管理类的文档。在甲方,稍微有点规模的公司很注重制度和流程,岗位职责分工明细,那么这些安全管理制度,就是你所能掌控的...
  • 信息安全习题(含答案)

    万次阅读 多人点赞 2018-07-06 16:21:37
    信息安全技术教程习题及答案第一章 概述一、判断题1. 信息网络的物理安全要从环境安全和设备安全两个角度来考虑。√2. 计算机场地可以选择在公共区域人流量比较大的地方。×3. 计算机场地可以选择在化工厂生产车间...
  • 工业控制系统信息安全(以下简称“工控安全”)是国家网络和信息安全的重要组成部分,是推动中国制造2025、制造业与互联网融合发展的基础保障。2016年10月,工业和信息化部印发《工业控制系统信息安全防护指南》...

空空如也

空空如也

1 2 3 4 5 ... 20
收藏数 1,214,362
精华内容 485,744
热门标签
关键字:

属于信息安全中改不了