資訊安全(已修改)
2024-10-27 09:08 本頁面
【正文】 1 1 資 訊 安 全 行政院研究發(fā)展考核委員會(huì) 吳啟文 99年 10月 2 2 資訊安全簡介 ? 資訊安全的本質(zhì) ?無孔不入 ?整體資訊安全是建構(gòu)於一系列環(huán)環(huán)相扣的保護(hù)機(jī)制下 ?攻擊或破壞者只要找出其中最弱的一環(huán)，尌可以完全瓦解整個(gè)保護(hù)機(jī)制 ?覆巢之下無完卵 ?只要最弱的一環(huán)被瓦解，所有的政府重要資料都可能被竊取或破壞 ?沒有百分之百的安全 ?必須對可能造成問題的弱點(diǎn)加以防護(hù) 3 3 什麼是資訊安全？ Integrity Availability Confidentiality 機(jī)密性 完整性 可用性 ?資訊安全 在保護(hù)單位的資訊資產(chǎn) ， 避免遭受各種威脅及 降低可能危害， 確保單位永續(xù)運(yùn)作 4 4 什麼是資訊安全？ (續(xù) ) ? 機(jī)密性 ： 確保資料受到妥善保護(hù)，只有經(jīng)授權(quán)的人，方能允許存取資訊 ? 保護(hù)業(yè)務(wù)上機(jī)敏資料 (如元首出訪行程、人事資料、機(jī)密公文等 ) ? 保護(hù)個(gè)人隱私資料 (如身分證字號、出生年月日等 ) ? 保護(hù)網(wǎng)路傳送資料之機(jī)密性 (如信用卡號碼等 ) 5 5 什麼是資訊安全？ (續(xù) ) ? 完整性 ： 確保資料之正確性，不會(huì)被意外或蓄意改變 ? 確保報(bào)稅資料在傳送過程中不被竄改 ? 確保網(wǎng)頁資料不被竄改 ? 確保資訊系統(tǒng)資料不被竄改 6 6 什麼是資訊安全？ (續(xù) ) ? 可用性 ： 確保所有經(jīng)授權(quán)的使用者，在需要時(shí)，均可以獲得相關(guān)資訊或服務(wù) ? 確保網(wǎng)站服務(wù) 24小時(shí)不間斷 ? 確保網(wǎng)際網(wǎng)路服務(wù) 24小時(shí)不間斷 7 7 其它安全性服務(wù) ? 不可否認(rèn)性 (Nonrepudiation) ? 防止存心不良的使用者否認(rèn)其所做過的事，例如收發(fā)電子公文、線上交易等 ? 鑑別性 (Authenticity) ? 如何辨別使用者身份，例如帳號、身份字號、自然人憑證等 ? 可歸責(zé)性 (Accountability) ? 所有資訊資產(chǎn)應(yīng)有專人負(fù)責(zé)管理，且管理紀(jì)錄必須是可追溯的 ? 可靠性 (Reliability) ? 資訊的正確性與系統(tǒng)運(yùn)作穩(wěn)定度 8 8 資訊安全的挑戰(zhàn) ? 高階主管的支持 ? 員工的資安意識(shí) ? 不方便 ? 時(shí)間 ? 人力 ? 財(cái)力 9 9 推動(dòng)資訊安全認(rèn)知與訓(xùn)練 ? 人們無法正確認(rèn)知及看待風(fēng)險(xiǎn) ? 電腦系統(tǒng)有一項(xiàng)危機(jī)是它們很少出錯(cuò)，以致於出錯(cuò)時(shí)，人們不知道該如何處理 ? 人們要求安全，可是又怕麻煩 ? 「使用者相信電腦」這樣的想法有危險(xiǎn)性 ? 人類能做出聰明的安全決定是受到質(zhì)疑的 ? 內(nèi)賊難防 ? 社交工程學(xué)難防 ? 人員通常是資訊安全上最弱的一環(huán) ? 所有人員均應(yīng)建立資安意識(shí)與認(rèn)知 ? 所有人員均應(yīng)依所負(fù)責(zé)職務(wù)不同接受適當(dāng)?shù)馁Y安訓(xùn)練 10 10 威脅 詐騙 實(shí)體破壞 非法 存取資料 個(gè)資 外洩 無法正常 提供服務(wù) 機(jī)密資料 被竊取 電腦 遭竊 駭客 內(nèi)賊 非法入侵 風(fēng)險(xiǎn) 天然災(zāi)害 偷竊 使用者 遭詐騙 網(wǎng)頁 遭竄改 資通安全的威脅 vs風(fēng)險(xiǎn) 11 11 面臨的資安威脅種類 P2P分享軟體、無線網(wǎng)路風(fēng)險(xiǎn)、社交工程攻擊、 網(wǎng)頁掛馬、網(wǎng)站釣魚、隨身碟風(fēng)險(xiǎn)、社群網(wǎng)絡(luò)等 資安威脅不斷 12 12 當(dāng)前政府 資安威脅 模式翻新 應(yīng)變不易 設(shè)備微型 管理不易 社交工程 防不勝防 公務(wù)家辦 擴(kuò)增風(fēng)險(xiǎn) 鎖定目標(biāo) 精準(zhǔn)攻擊 認(rèn)知不足 警覺不夠 駐外機(jī)構(gòu) 鞭長莫及 人力預(yù)算 專業(yè)不足 當(dāng)前政府資安威脅 13 13 政府機(jī)關(guān)資料外洩主要管道 ? 以 社交工程 手法寄發(fā)惡意電子郵件 ? 網(wǎng)頁惡意掛馬 ：網(wǎng)頁插入惡意連結(jié)內(nèi)容，使用者不自覺下載惡意程式 ? 外接式儲(chǔ)存裝置 安全問題 ? 使用 P2P軟體 、 IM (Instant Message)即時(shí)通訊軟體 、 社群網(wǎng)站 可能造成個(gè)人資料外洩風(fēng)險(xiǎn) 14 14 收 Email可能的風(fēng)險(xiǎn) 1. 駭客 設(shè)計(jì) 攻擊陷阱程式 (如特殊Word 檔案 ) 2. 將攻擊程式 埋入電子郵件中 3. 寄發(fā)電子郵件給特定的目標(biāo) 4. 受害者 開啟 電子郵件 5. 啟動(dòng)駭客設(shè)計(jì)的陷阱，並被 植入後門程式 6. 後門程式 逆向連接 ，向遠(yuǎn)端駭客報(bào)到 Inter 7. 遠(yuǎn)端駭客進(jìn)行資料竊取 15 15 「社交工程」攻擊定義 ? 利用 人性弱點(diǎn)、人際交往或互動(dòng)特性 所發(fā)展出來的一種攻擊方法 ? 早期社交工程是使用 電話或其他非網(wǎng)路方式 來詢問個(gè)人資料，而目前社交工程大都是利用 電子郵件或網(wǎng)頁 來進(jìn)行攻擊 ? 透過電子郵件進(jìn)行攻擊之常見手法 ? 假冒寄件者 ? 使用與業(yè)務(wù)、時(shí)事相關(guān)或令人感興趣的郵件內(nèi)容 ? 含有惡意程式的附件
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1