計算機網(wǎng)絡安全概述(2)-全文預覽
【正文】 1）美國可信計算機系統(tǒng)評價標準 – （ 2）其他國家信息安全評價標準 – （ 3）國際通用信息安全評價標準 – （ 4）國家信息安全評價標準 云南大學軟件學院 本章知識點小結 (續(xù) ) ? – 《 中華人民共和國計算機信息系統(tǒng)安全保護條例 》 是實施國家信息安全保護制度的法律文件，從計算機信息系統(tǒng)建設和應用、信息安全等級保護、國際聯(lián)網(wǎng)備案、媒體進出境申報、建立健全安全管理、計算機犯罪案件報告、計算機病毒與有害數(shù)據(jù)防治、安全專用產(chǎn)品銷售許可證 9個方面規(guī)定了信息安全保護制度。 云南大學軟件學院 安全專用產(chǎn)品銷售許可證制度 ? 《 安全保護條例 》 第十六條規(guī)定：國家對計算機信息系統(tǒng)安全專用產(chǎn)品的銷售實行許可證制度，具體辦法由公安部會同有關部門制定。 云南大學軟件學院 安全管理與計算機犯罪報告制度 (續(xù) ) ? 打擊計算機犯罪的關鍵是獲取真實、可靠、完整和符合法律規(guī)定的電子證據(jù)，由于計算機犯罪具有無時間與地點限制、高技術手段、犯罪主體與對象復雜、跨地區(qū)和跨國界作案、匿名登錄或冒名頂替等特點，使電子證據(jù)本身和取證過程不同于傳統(tǒng)物證和取證方法，給網(wǎng)絡安全和司法調查提出了新的挑戰(zhàn)。 第十二條規(guī)定：運輸、攜帶、郵寄計算機信息媒體進出境的，應當如實向海關申報。 ? 信息保密等級是劃分信息系統(tǒng)安全等級的關鍵要素，《 中華人民共和國保守國家秘密法 》 明確指出：國家秘密是關系國家的安全和利益，依照法定程序確定，在一定時間內只限一定范圍的人員知悉的事項。 云南大學軟件學院 信息系統(tǒng)建設和應用制度 ? 安全保護制度第八條規(guī)定：計算機信息系統(tǒng)的建設和應用，應當遵守法律、行政法規(guī)和國家其他有關規(guī)定。 ? CC標準采用類（ class）、族（ family）、組件（ ponent） 層次結構化方式定義 TOE的安全功能。 ? 2. 歐共體信息技術安全評價標準 – 歐洲共同體成員國德國、法國、英國、荷蘭聯(lián)合制定的 《 信息技術安全評價標準 》 ITSEC在吸收 TCSEC、英國標準和德國綠皮書經(jīng)驗的基礎上，首次提出了信息保密性、完整性和有效性安全目標概念。但國內多數(shù)傳播媒介將黑客作為貶義詞使用，泛指利用網(wǎng)絡安全漏洞蓄意破壞信息資源保密性、完整性和有效性的惡意攻擊者。 云南大學軟件學院 網(wǎng)絡威脅來源 (續(xù) ) 網(wǎng)絡安全威脅 自然因素 人為因素 硬件故障；軟件故障；電源故障；電磁干擾 電磁輻射 意外損壞 蓄意攻擊 刪除文件；格式化硬盤 自然災害 網(wǎng)絡攻擊；計算機病毒；濫用特權 特洛伊木馬；網(wǎng)絡竊聽；郵件截獲 帶電拔插；系統(tǒng)斷電 破壞保密性 破壞完整性和有效性 破壞保密性、完整性和有效性 圖 網(wǎng)絡安全威脅分類及破壞目標 云南大學軟件學院 網(wǎng)絡威脅來源 (續(xù) ) ? 網(wǎng)絡安全威脅來自網(wǎng)絡邊界內部或外部，蓄意攻擊還可以分為內部攻擊和外部攻擊，由于內部人員位于信任范圍內，熟悉敏感數(shù)據(jù)的存放位置、存取方法、網(wǎng)絡拓撲結構、安全漏洞及防御措施，而且多數(shù)機構的安全保護措施都是 “ 防外不防內 ” ，因此， 決大多數(shù)蓄意攻擊來自內部而不是外部 。系統(tǒng)缺省配置主要考慮的是用戶友好性，但方便使用的同時也就意味著更多的安全隱患。 ? 截止到 2022年 9月 1日，專門從事安全漏洞名稱標準化的公共漏洞披露機構 CVE（ mon vulnerability and exposures）已發(fā)布了 7616個不同的安全漏洞，新的安全漏洞仍在不斷披露。 軟件漏洞產(chǎn)生的主要原因是軟件設計人員不可能將所有輸入都考慮周全，因此，軟件漏洞是任何軟件存在的客觀事實。 ? （ 2）時效性原則 – 由于影響網(wǎng)絡安全的因素隨時間有所變化，導致網(wǎng)絡安全問題具有顯著的時效性。 云南大學軟件學院 網(wǎng)絡安全策略 ? 網(wǎng)絡安全策略是保障機構網(wǎng)絡安全的指導文件，一般而言，網(wǎng)絡安全策略包括 總體安全策略 和 具體安全管理實施細則 。因此，理想的網(wǎng)絡安全模型永遠不會存在。信息系統(tǒng)只有持續(xù)有效，授權用戶才能隨時、隨地根據(jù)自己的需要訪問信息系統(tǒng)提供的服務。 云南大學軟件學院 2. 完整性 ? 完整性（ integrity） 是指信息未經(jīng)授權不能改變的特性，完整性與保密性強調的側重點不同。 ? 可控性（ controllability）是指信息系統(tǒng)對信息內容和傳輸具有控制能力的特性。 云南大學軟件學院 2. 網(wǎng)絡安全側重點 ? 對 公共安全部門 而言，應當熟悉國家和行業(yè)部門頒布的常用網(wǎng)絡安全監(jiān)察法律法規(guī)、網(wǎng)絡安全取證、網(wǎng)絡安全審計、知識產(chǎn)權保護、社會文化安全等技術，一旦發(fā)現(xiàn)竊取或破環(huán)商業(yè)機密信息、軟件盜版、電子出版物侵權、色情與暴力信息傳播等各種網(wǎng)絡違法犯罪行為，能夠取得可信的、完整的、準確的、符合國家法律法規(guī)的訴訟證據(jù)。 ? 工程人員 從實際應用角度對成熟的網(wǎng)絡安全解決方案和新型網(wǎng)絡安全產(chǎn)品更感興趣。因此，網(wǎng)絡安全已成為世界各國當今共同關注的焦點。同時在全球范圍內，針對重要信息資源和網(wǎng)絡基礎設施的入侵行為和企圖入侵行為的數(shù)量仍在持續(xù)不斷增加，網(wǎng)絡攻擊與入侵行為對國家安全、經(jīng)濟和社會生活造成了極大的威脅。 云南大學軟件學院 1. 網(wǎng)絡安全保護范圍 密碼安全 計算機系統(tǒng)安全 網(wǎng)絡安全 信息安全 圖 網(wǎng)絡安全保護范圍 云南大學軟件學院 2. 網(wǎng)絡安全側重點 ? 研究人員 更關注從理論上采用數(shù)學方法精確描述安全屬性。 ? 國家安全保密部門 來說，必須了解網(wǎng)絡信息泄露、竊聽和過濾的各種技術手段，避免涉及國家政治、軍事、經(jīng)濟等重要機密信息的無意或有意泄露；抑制和過濾威脅國家安全的反動與邪教等意識形態(tài)信息傳播。
試題試卷相關推薦
鄂ICP備17016276號-1