管理師(第24章信息安全系統(tǒng)和安全體系)-全文預(yù)覽
【正文】 Private Network)，是一條穿過混亂的公用網(wǎng)絡(luò)的安全、穩(wěn)定的隧道。但是，由于輸出的密文是提取原數(shù)據(jù)經(jīng)過處理的定長值，所以它已經(jīng)不能還原為原數(shù)據(jù)，即消息摘要算法是不可逆的，理論上無法通過反向運(yùn)算取得原數(shù)據(jù)內(nèi)容，因此它通常只能被用來做數(shù)據(jù)完整性驗(yàn)證。 離散對(duì)數(shù)求解是非常困難的。 橢圓曲線的數(shù)量乘是這樣定義的：設(shè) E為域 K上的橢圓曲線， G為 E上的一點(diǎn)，這個(gè)點(diǎn)被一個(gè)正整數(shù) k相乘的乘法定義為 k個(gè) G相加，因而有 kG = G + G + … + G (共有 k個(gè) G) 若存在橢圓曲線上的另一點(diǎn) N ≠ G，滿足方程 kG = N。 RSA算法的安全性基于數(shù)論中大素?cái)?shù)分解的困難性，所以， RSA需采用足夠大的整數(shù)。 RSA系統(tǒng)是公鑰系統(tǒng)的最具有典型意義的方法，大多數(shù)使用公鑰密碼進(jìn)行加密和數(shù)字簽名的產(chǎn)品和標(biāo)準(zhǔn)使用的都是 RSA算法。 （ 2） RSA算法 當(dāng)前最著名、應(yīng)用最廣泛的公鑰系統(tǒng) RSA是在 1978年，由美國麻省理工學(xué)院 (MIT)的 Rivest、 Shamir和 Adleman在題為 《 獲得數(shù)字簽名和公開鑰密碼系統(tǒng)的方法 》 的論文中提出的。DH算法的安全性基于有限域上計(jì)算離散對(duì)數(shù)的困難性。 保 留私 鑰明 文用 戶 A1 、 生 成 密 鑰 對(duì)用 戶 B公鑰發(fā)布M I C R O S O F T C O R P O R A T I O N密 文5 、 密 文 傳 輸獲取公鑰明 文用A的公鑰加密公 共 基 礎(chǔ) 設(shè) 施M I C R O S O F T C O R P O R A T I O N密 文6 、 用 私 鑰 解 密主要的公鑰算法有： RSA、 DSA、 DH和 ECC。這種方法用兩個(gè)密鑰對(duì)明文進(jìn)行三次加密，假設(shè)兩個(gè)密鑰是 K1和 K2，其算法的步驟如下： 1. 用密鑰 K1進(jìn)行 DES加密。 但是，當(dāng)今的計(jì)算機(jī)速度越來越快了，制造一臺(tái)這樣特殊的機(jī)器的花費(fèi)已經(jīng)降到了十萬美元左右，所以用它來保護(hù)十億美元的銀行間線纜時(shí)，就會(huì)仔細(xì)考慮了。加密算法要達(dá)到的目的（通常稱為 DES 密碼算法要求）主要為以下四點(diǎn)： 提供高質(zhì)量的數(shù)據(jù)保護(hù)，防止數(shù)據(jù)未經(jīng)授權(quán)的泄露和未被察覺的修改； 具有相當(dāng)高的復(fù)雜性，使得破譯的開銷超過可能獲得的利益，同時(shí)又要便于理解和掌握； DES密碼體制的安全性應(yīng)該不依賴于算法的保密，其安全性僅以加密密鑰的保密為基礎(chǔ)； 實(shí)現(xiàn)經(jīng)濟(jì)，運(yùn)行有效，并且適用于多種完全不同的應(yīng)用。 影響可以看做是威脅與脆弱性的特殊組合： 風(fēng)險(xiǎn)識(shí)別與風(fēng)險(xiǎn)評(píng)估方法 風(fēng)險(xiǎn)評(píng)估方法： 定量評(píng)估法： 將某一項(xiàng)具體的風(fēng)險(xiǎn)劃分成了一些等級(jí) 將不同的安全事件用與其相關(guān)的安全資產(chǎn)價(jià)值及其發(fā)生的概率來進(jìn)行比較和 等級(jí)排序 關(guān)注意外事故造成的影響，并由此決定哪些系統(tǒng)應(yīng)該給予較高的優(yōu)先級(jí)。 ● 信息安全從社會(huì)層面來看，反映在 (17)這三個(gè)方面。 （ 16） A．硬件和系統(tǒng)軟件通用 B． PKI/CA安全保障系統(tǒng)必須帶密碼 C．業(yè)務(wù)應(yīng)用系統(tǒng)在實(shí)施過程中有重大變化 D．主要的硬件和系統(tǒng)軟件需要 PKI/CA認(rèn)證 ERP為 Enterprise Resource Planning的縮寫，中文的名稱是 企業(yè)資源規(guī)劃。信息系統(tǒng)項(xiàng)目管理師 信息系統(tǒng)安全 第 24章 信息安全系統(tǒng)和安全體系 ? 信息安全系統(tǒng)三維空間 ● 需要時(shí)，授權(quán)實(shí)體可以 訪問和使用的特性 指的是信息安全的（ 15）。 信息安全系統(tǒng)架構(gòu)體系 三種不同的系統(tǒng)架構(gòu)： MIS+S、 SMIS S2MIS 業(yè)務(wù)應(yīng)用系統(tǒng)基本不變 硬件和系統(tǒng)軟件通用 安全設(shè)備基本不帶密碼 不使用 PKI/CA技術(shù) 應(yīng)用系統(tǒng) SMIS 硬件和系統(tǒng)軟件通用 PKI/CA安全保障系統(tǒng)必須帶密碼 業(yè)務(wù)應(yīng)用系統(tǒng)必須根本改變 主要的通用硬件、軟件也要通過 PKI/CA論證 應(yīng)用系統(tǒng) S2MIS—— Super SecurityMIS 硬件和系統(tǒng)軟件都是專用系統(tǒng) PKI/CA安全基礎(chǔ)設(shè)施必須帶密碼 業(yè)務(wù)應(yīng)用系統(tǒng)必須根本改變 主要硬件和軟件需要 PKI/CA論證 ●（ 16）不是超安全的信息安全保障系統(tǒng)（ S2MIS）的特點(diǎn)或要求。 信息安全系統(tǒng)支持背景 信息安全保障系統(tǒng)的核心就是保證信息、數(shù)據(jù)的安全 信息安全保障系統(tǒng)定義 信息安全保障系統(tǒng)是一個(gè)在網(wǎng)絡(luò)上，集成各種硬件、軟件和 密碼設(shè)備，以保障其他業(yè)務(wù)應(yīng)用信息系統(tǒng)正常運(yùn)行的專用的 信息應(yīng)用系統(tǒng)，以及與之相關(guān)的崗位、人員、策略、制度和 規(guī)程的總和。三方面含義： 對(duì)信息或資產(chǎn)產(chǎn)生影響 威脅的發(fā)生會(huì)對(duì)資產(chǎn)產(chǎn)生影響 威脅具有發(fā)生的可能性（概率） 分類： 按性質(zhì)劃分：靜態(tài)、動(dòng)態(tài) 按結(jié)果劃分：純粹風(fēng)險(xiǎn)、投機(jī)風(fēng)險(xiǎn) 按風(fēng)險(xiǎn)源劃分：自事件風(fēng)險(xiǎn)、人為事件風(fēng)險(xiǎn)、軟件風(fēng)險(xiǎn)、軟件過程風(fēng)險(xiǎn)、項(xiàng)目管理風(fēng)險(xiǎn)、應(yīng)用風(fēng)險(xiǎn)、用戶使用風(fēng)險(xiǎn) 安全威脅的對(duì)象 資產(chǎn)評(píng)估鑒定的目的是區(qū)別對(duì)待，分等級(jí)保護(hù) 資產(chǎn)評(píng)估鑒定分級(jí)： 可忽略級(jí)別 較低級(jí) 中等級(jí) 較高級(jí) 非常高 資產(chǎn)之間的相關(guān)性在進(jìn)行資產(chǎn)評(píng)估時(shí)必須加以考慮 資產(chǎn)評(píng)估的結(jié)果是列出所有被評(píng)估的資產(chǎn)清單，包括資產(chǎn)在保密性、可用性、完整性方面的價(jià)值極其重要性 信息系統(tǒng)安全薄弱環(huán)節(jié)鑒定評(píng)估 威脅、脆弱性、影響 這三者之間存在的對(duì)應(yīng)關(guān)系，威脅是系統(tǒng)外部對(duì)系統(tǒng)產(chǎn)生的作用，而導(dǎo)致系統(tǒng)功能 及目標(biāo)受阻的所有現(xiàn)象，而脆弱性是系統(tǒng)內(nèi)部的薄弱點(diǎn)，威脅可以利用系統(tǒng)的脆弱 性發(fā)揮作用，系統(tǒng)風(fēng)險(xiǎn)可以看做是威脅利用了脆弱性而引起的。 風(fēng)險(xiǎn)度的概念： 適度安全的觀點(diǎn) 木桶效應(yīng)觀點(diǎn) 等級(jí)保護(hù) 設(shè)計(jì)原則 系統(tǒng)安全方案 與安全方案有關(guān)的系統(tǒng)組成要素 制定安全方案要點(diǎn)： 系統(tǒng)安全策略主要內(nèi)容 主要內(nèi)容： 第 27章 信息安全技術(shù)基礎(chǔ) 密碼技術(shù) 密碼技術(shù)是信息安全的根本，是建立 “ 安全空間 ”“ 論證 ” 、權(quán)限、完整、加密和 不可否認(rèn) “ 5大要素不可或缺的基石
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1