信息安全基礎(chǔ)64092711-文庫吧
2025-02-08 02:19 本頁面
【正文】 ：以超長字符串使算法失效并非天方夜潭。? 編輯口令：內(nèi)部漏洞為其提供了便利條件。? 敞開大門：今天太常見了，許許多多不設(shè)口令的帳戶為其提供了快速通道。24編程? 病毒： CIH已使人們充分認識到其危害性。? 代碼炸彈：國外有大量的程序員將代碼炸彈寫入機器的案例發(fā)生，國內(nèi)已經(jīng)出現(xiàn) 。? 特洛伊木馬：? 更新和下載： BO25系統(tǒng)漏洞? 乘虛而入：微軟已承認其屏幕保護程序的漏洞，就是很好的案例。? 不安全服務(wù)：誰能保證操作系統(tǒng)提供的服務(wù)沒有繞過安全系統(tǒng)，否則不會有著名的“蠕蟲 ”發(fā)生。? 配置和初始化：在你更改配置時，同時對安全配置做了相應(yīng)的調(diào)整嗎？? CPU與防火墻中的后門26導(dǎo)致 12小時以上停機的主要原因27制度建設(shè)是安全建設(shè)的重要開始? 完整的公司安全政策? 明確的操作守則? 完善并及時更新的技術(shù)文檔? 切實可行的災(zāi)難恢復(fù)計劃? 人員的道德標(biāo)準(zhǔn)28完整的公司安全政策（ 1）? 要保護那些信息資源? 允許 PC機上存放那些軟件? 當(dāng)發(fā)現(xiàn)未批準(zhǔn)的程序和數(shù)據(jù)時應(yīng)該怎么辦? 內(nèi)部處罰準(zhǔn)則? 誰可影響安全政策? 誰開發(fā)準(zhǔn)則? 誰審批準(zhǔn)則? 誰確切地擁有什么權(quán)限和特權(quán)29完整的公司安全政策（ 2）? 誰來授予權(quán)限和特權(quán)? 報告安全違法或犯罪活動的獎勵和規(guī)程? 造成安全問題的具體管理人和當(dāng)事人的責(zé)任? 誰執(zhí)行這些準(zhǔn)則以及他們?nèi)绾螆?zhí)行? …...30明確的操作準(zhǔn)則（ 1）? 機房管理準(zhǔn)則? 電源管理準(zhǔn)則? 設(shè)備安裝 /維修 /定期檢查準(zhǔn)則? 軟件安裝準(zhǔn)則? 業(yè)務(wù)處理流程準(zhǔn)則? 業(yè)務(wù)日志記錄準(zhǔn)則? 數(shù)據(jù)備份準(zhǔn)則? 軟件開發(fā)準(zhǔn)則31明確的操作準(zhǔn)則（ 2）? 可移動介質(zhì)訪問準(zhǔn)則? 病毒檢查準(zhǔn)則? 空閑機器守則? 廢品處理守則? 口令守則? …...32什么樣的準(zhǔn)則是好的準(zhǔn)則? 好的準(zhǔn)則是切實可行的? 好的準(zhǔn)則要經(jīng)常檢查? 好的準(zhǔn)則是經(jīng)過了測試? 好的準(zhǔn)則不廣為人知：任何規(guī)范都存在漏洞，所以要盡量保密。33完善并及時更新的技術(shù)文擋? 技術(shù)文檔是及時解決問題的主要依據(jù)? 技術(shù)文檔不隨著系統(tǒng)的變化及時更新，則只能帶來更大的風(fēng)險因素34切實可行的災(zāi)難恢復(fù)計劃（ 1）制定切實可行的災(zāi)難恢復(fù)計劃是為最壞情況做準(zhǔn)備? 謀求高層管理人員的支持? 向?qū)＜覍で髱椭? 周密的風(fēng)險分析和風(fēng)險評估– 通過分析找出公司核心業(yè)務(wù)的 IT資源– 根據(jù)公司的環(huán)境和地理位置來確定面臨的典型自然災(zāi)害35切實可行的災(zāi)難恢復(fù)計劃 （ 2）? 管理支持– 制定詳細而靈活的計劃，明確所有人的職責(zé)– 選擇一個恢復(fù)方案（冗余系統(tǒng)、備用站點、移動設(shè)備或迅速獲得新系統(tǒng)）– 恢復(fù)計劃要涵蓋所有 IT資源，包括通訊設(shè)備和局域網(wǎng)）– 選擇可以迅速提供服務(wù)的設(shè)備供應(yīng)商– 注意記錄供應(yīng)商的信息36切實可行的災(zāi)難恢復(fù)計劃 （ 3）? 保證計劃可被正確執(zhí)行– 一年至少按計劃演習(xí)一次? 要保證一個具有一定實力的技術(shù)支持隊伍，及時更換陳舊設(shè)備? 確定恢復(fù)工作的優(yōu)先級別? 在明確自己不具備相應(yīng)技術(shù)實力的狀況下，可考慮外包計劃。37計算機安全中不容忽視的道德問題? 安全系統(tǒng)的道德責(zé)任：公司和個人都有道德義務(wù)來保護信息。? 黑客是還否具有道德標(biāo)準(zhǔn)? 美國計算機聯(lián)合會（ ACM)制定的倫理建議指出：– 一名 ACM會員應(yīng)該使用他的專業(yè)技巧促進人類幸福。– 一名 ACM會員在進行他的工作時，應(yīng)考慮公眾的健康、保密和總福利。– 一名 ACM會員，無論何時處理涉及私人的數(shù)據(jù)，都應(yīng)該始終考慮個人隱私原則。包括：最大程度減小收集的數(shù)據(jù)；限制對數(shù)據(jù)的授權(quán)訪問；提供適當(dāng)?shù)臄?shù)據(jù)保密；保證對數(shù)據(jù)的適當(dāng)使用。? 建議證券行業(yè)內(nèi)建立類似執(zhí)業(yè)規(guī)范，增強每名從業(yè)工作人員的責(zé)任心。38風(fēng)險分析與安全計劃? 風(fēng)險分析? 安全計劃? 成本因素39進行風(fēng)險分析? 明確資源：硬件、軟件、數(shù)據(jù)、人、文本文件、消耗品? 確定資源的弱點：發(fā)揮想象力，以便預(yù)測這些資源可能發(fā)生那些損失以及來源何在。? 預(yù)測發(fā)生的可能性：確定每個暴露可被利用的頻繁程度。（采用 Delphi方法）? 計算未列入的年開銷（年度損失期望值）? 考察新的控制（前面討論的技術(shù)措施）? 計算節(jié)余 （ = 控制代價 因使用控制而導(dǎo)致年度損失期望值的減少）40建立安全計劃? 安全計劃確定并系統(tǒng)規(guī)定用于一計算機系統(tǒng)的安全行動，它詳細描述當(dāng)前的狀態(tài)，也要描述改變的計劃，包含六個問題：? 描述目標(biāo)和策略策略：關(guān)于安全的目標(biāo)、責(zé)任所在及為此所承擔(dān)的義務(wù)。? 描述當(dāng)前安全狀態(tài)? 風(fēng)險分析和有關(guān)控制的建議? 列出負責(zé)實現(xiàn)安全機制各方面人員與責(zé)任? 實現(xiàn)的時間表? 對安全需要不斷重審的計劃 41成本因素? 費用與風(fēng)險– 你負擔(dān)的起嗎？– 該措施能改善現(xiàn)有情況嗎？– 它會導(dǎo)致什么其他的問題 ?– 該措施物有所值嗎 ?? Pareto原理： 80/20準(zhǔn)則? 數(shù)據(jù)庫的例外：全部或沒有42建立安全系統(tǒng)的技術(shù)措施在系統(tǒng)開始建立時必須樹立安全概念? 網(wǎng)絡(luò)設(shè)計階段的安全計劃書? 軟件設(shè)計階段的安全計劃書? 應(yīng)建議系統(tǒng)集成商、軟件開發(fā)商提供相應(yīng)的安全計劃書43信息安全 = 風(fēng)險管理 風(fēng)險接受風(fēng)險接受 , 風(fēng)險轉(zhuǎn)移風(fēng)險轉(zhuǎn)移 , 風(fēng)險避免風(fēng)險避免安全性安全性風(fēng)險性風(fēng)險性安全水平安全水平 高高高高低低安全風(fēng)險安全風(fēng)險 支出平衡點支出平衡點風(fēng)險管
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1