【正文】 正原因在于利益的驅(qū)使和內(nèi)部管理的缺失。因此，信息安全不是一個純粹的技術(shù)問題，加強預(yù)防、監(jiān)測和管理非常 重要。 OSI安全體系結(jié)構(gòu)是在分析對開放系統(tǒng)的威脅和其脆弱性的基礎(chǔ)上提出來的。糾錯編碼和差錯控制是對付信道干擾的有效方法。為了適應(yīng)電子商務(wù)和移動計算機的發(fā)展需求， 1999年又進行了修訂和更新。這個標準被用于評價和構(gòu)建完善的信息安全框架，實現(xiàn)了信息安 ISO17799被 ISO于 2023年 12月接納為國際標準，涉及內(nèi)容包括業(yè)務(wù)連續(xù)性規(guī)劃、系統(tǒng)開發(fā)和維護、物理和環(huán)境安全、遵守法規(guī)、人事安全、安全組織、計算機和網(wǎng)絡(luò)管理、資產(chǎn) 第 1章 信息安全概述 TCP/IP TCP/IP是互聯(lián)網(wǎng)的參考模型，在其應(yīng)用領(lǐng)域中有著強大的生命力。假設(shè)在兩個主機或路由器之間構(gòu)建一條專用的通信鏈路，采用加密技術(shù)確保傳輸?shù)臄?shù)據(jù)不被竊聽而泄密，可在通信鏈路的兩端安裝鏈路加密機來實現(xiàn)，這種加密與物理層相關(guān)，對傳輸?shù)碾姎夥柋忍亓?第 1章 信息安全概述 2. 網(wǎng)絡(luò)層的功能是負責數(shù)據(jù)包的路由選擇，保證數(shù)據(jù)包能順利到達指定的目的地。 IPSec是“ IP Security”的縮寫，指 IP層安全協(xié)議，這是 Inter工程任務(wù)組(Inter Engineering Task Force， IETF)公開的一個開放式協(xié)議框架，是在 IP層為 IP業(yè)務(wù)提供安全保證的安全協(xié)議標準。傳輸層安全協(xié)議確保數(shù)據(jù)安全傳輸，常見的安全協(xié)議有安全套接層(Security Socket Layer， SSL) 協(xié)議和傳輸層安全 (Transport Layer Securitty， TLS) 協(xié)議。后來，該協(xié)議被 IETF采納，并進行了標準化，稱為 TLS 第 1章 信息安全概述 4. 應(yīng)用層的功能是負責直接為應(yīng)用進程提供服務(wù)，實現(xiàn)不同系統(tǒng)的應(yīng)用進程之間的相互通信，完成特定的業(yè)務(wù)處理和服務(wù)。 第 1章 信息安全概述 例如，一個電子郵件系統(tǒng)可能需要對所發(fā)出的信件的個別段落實施數(shù)字簽名，較低層的協(xié)議提供的安全功能不可能具體到信件的段落結(jié)構(gòu)。 SHTTP是 Web上使用的超文本傳輸協(xié)議的安全增強版本，提供了文本級的安全機制，每個文本都可以設(shè)置成保密 /數(shù)字簽 第 1章 信息安全概述 ，提出網(wǎng)絡(luò)安全體系的結(jié)構(gòu)。 法律管理是根據(jù)相關(guān)的國家法律、法規(guī)對信息系統(tǒng)主體及其與外界關(guān)聯(lián)行為的規(guī)范和約束 。 人事機構(gòu)是根據(jù)管理機構(gòu)設(shè)定的崗位，對在職、待職和離職的雇員進行素質(zhì)教育、業(yè)績考核和安全監(jiān)管的機構(gòu)。 OSI安全技術(shù)是指 OSI 安全管理、安全服務(wù)與安全機制。 第 1章 信息安全概述 圖 144 物理安全的結(jié)構(gòu) 第 1章 信息安全概述 2. 網(wǎng)絡(luò)安全主要由系統(tǒng)安全、網(wǎng)絡(luò)運行安全和子網(wǎng) (局域網(wǎng) )安全三部分組成，其結(jié)構(gòu)如圖 145 3. 信息安全主要涉及信息傳輸安全、信息存儲安全以及對網(wǎng)絡(luò)傳輸信息內(nèi)容的審計 3個方面，其結(jié)構(gòu)如圖 146所示。 第 1章 信息安全概述 (1) 信息安全威脅從總體上可以分為人為因素的威脅和非人為因素的威脅。人為因素包括黑客攻擊、計算機犯罪和信息安 小 第 1章 信息安全概述 (4) 保密性、完整性、可用性、可控性和不可否認性是從用戶的角度提出的最基本的信息服務(wù)需求，也稱為信息安 (5) ISO基于 OSI參考互連模型提出了抽象的網(wǎng)絡(luò)安全體系結(jié)構(gòu)，定義了五大類安全服務(wù) (認證 (鑒別 )服務(wù)、訪問控制服務(wù)、數(shù)據(jù)保密性服務(wù)、數(shù)據(jù)完整性服務(wù)和抗否認性服務(wù) )、 八大種安全機制 (加密機制、數(shù)字簽名機制、訪問控制機制、數(shù)據(jù)完整性機制、認證機制、業(yè)務(wù)流填充機制、路由控制機制和公證機制 ) 第 1章 信息安全概述 (6) 信息安全既涉及高深的理論知識，又涉及工程應(yīng)用實踐。它包括系統(tǒng)連續(xù)、可靠、正常地運行， 不中斷，系統(tǒng)中的信息不因偶然的或惡意的原因而遭到 、 和 習(xí) 題 第 1章 信息安全概述 3. 導(dǎo)致網(wǎng)絡(luò)不安全的根本原因是 、 和 4. OSI安全體系結(jié)構(gòu)中，五大類安全服務(wù)是指 、 、 、 和 。 防御信息被抵賴的安全措施是 。 防御傳輸消息被篡改的安全措施是 。技術(shù)體系可劃分為物理安全、網(wǎng)絡(luò)安全、信息安全、應(yīng)用安全和管理安全五個層次，全面揭 第 1章 信息安全概述 1. 信息安全受到的威脅有人為因素的威脅和非人為因素威脅，非人為因素的威脅包括 、 、 。非人為因素的威脅包括自然災(zāi)害、系統(tǒng)故障和 (2) 信息安全不僅涉及技術(shù)問題，而且還涉及法律、政策和管理問題。 5. 安全管理包括安全技術(shù) (如安全策略等 )和設(shè)備的管理、安全管理制度、部門與人員的組織規(guī)則等。保證計算機信息系統(tǒng)各種設(shè)備的物理安全是整個系統(tǒng)安全的前提。技術(shù)機制又由運行環(huán)境及系統(tǒng)安全技術(shù)和 OSI安全技術(shù)組成。 第 1章 信息安全概述 組織機構(gòu)體系是信息系統(tǒng)安全的組織保障系統(tǒng)，由機構(gòu)、 機構(gòu)的設(shè)置是維護信息系統(tǒng)管理的組織保證，通常分為決策層、管理層和執(zhí)行層三個層次 。網(wǎng)絡(luò)信息系統(tǒng)安全問題的解決既借助于技術(shù)手段， 管理是網(wǎng)絡(luò)信息系統(tǒng)安全的靈魂，“三分技術(shù)，七分管理”說的就是這個道理。如 IETF規(guī)定了私用強化郵件 PEM來為基于 SMTP的電子郵件系統(tǒng)提供安全服務(wù) 。網(wǎng)絡(luò)層的安全協(xié)議為網(wǎng)絡(luò)傳輸和連接建立安全的通信管道，傳輸層的安全協(xié)議保障傳輸?shù)臄?shù)據(jù)可靠、安全地到達目的地，但無法根據(jù)所傳輸?shù)牟煌瑑?nèi)容的安全需求予以區(qū)別對待。該協(xié)議位于 TCP協(xié)議和應(yīng)用層協(xié)議之間，通過面向連接的安全機制，為網(wǎng)絡(luò)應(yīng)用客戶 /服務(wù)器之間的安全通信提供了可認證性、保密性和完整性的服務(wù)。它提供了兩種服務(wù) : 一種是可靠的、面向連接的服務(wù) (由 TCP協(xié)議完成 )。 為了確保路由表不被篡改，還可實施完整性機制。各層協(xié)議及其安全協(xié)議如圖142 第 1章 信息安全概述 圖 142 TCP/IP網(wǎng)絡(luò)安全體系框架 第 1章 信息安全概述 1. 網(wǎng)絡(luò)接口層大致對應(yīng) OSI的數(shù)據(jù)鏈路層和物理層，它負責接收 IP數(shù)據(jù)包，并通過網(wǎng)絡(luò)傳輸介質(zhì)發(fā)送數(shù)據(jù)包。 第 1章 信息安全概述 參考文檔由兩部分組成 : 第一部分是一個基于建議的實現(xiàn)指南，建議實施機構(gòu)“最好做什么” 。 第 1章 信息安全概述 (6) 業(yè)務(wù)流填充機制 : 攻擊者通過分析網(wǎng)絡(luò)中某一路徑上的信息流量和流向來判斷某些事件的發(fā)生，為了對付這種攻擊，一些關(guān)鍵站點間在無正常信息傳送時，持續(xù)傳送一些隨 機數(shù)據(jù)，使攻擊者不知道哪些數(shù)據(jù)是有用的，哪