【正文】 ? 可靠性（ reliability）是所有信息系統(tǒng)正常運行的基本前提，通常指信息系統(tǒng)能夠在規(guī)定的條件與時間內完成規(guī)定功能的特性。 云南大學軟件學院 1. 保密性 ? 保密性（ confidentiality） 是指信息系統(tǒng)防止信息非法泄露的特性，信息只限于授權用戶使用，保密性主要通過信息加密、身份認證、訪問控制、安全通信協(xié)議等技術實現(xiàn)， 信息加密 是防止信息非法泄露的最基本手段。 云南大學軟件學院 3. 有效性 ? 有效性（ Availability） 是指信息資源容許授權用戶按需訪問的特性，有效性是信息系統(tǒng)面向用戶服務的安全特性。事實上，安全只具有相對意義，絕對的安全只是一個理念，任何安全模型都不可能將所有可能的安全隱患都考慮周全。 ? 入侵檢測 是網絡安全的第二道防線，目的是采用主動出擊方式實時檢測合法用戶濫用特權、第一道防線遺漏的攻擊、未知攻擊和各種威脅網絡安全的異常行為，通過安全監(jiān)控中心掌握整個網絡的運行狀態(tài)，采用與安全防御措施聯(lián)動方式盡可能降低威脅網絡安全的風險。 云南大學軟件學院 1. 安全策略總則 ? （ 1）均衡性原則 – 網絡安全策略需要在安全需求、易用性、效能和安全成本之間保持相對平衡，科學制定均衡的網絡安全策略是提高投資回報和充分發(fā)揮網絡效能的關鍵。 云南大學軟件學院 2. 安全策略內容 – （ 1）網絡硬件物理安全 – （ 2）網絡連接安全 – （ 3）操作系統(tǒng)安全 – （ 4）網絡服務安全 – （ 5）數(shù)據(jù)安全 – （ 6）安全管理責任 – （ 7）網絡用戶安全責任 云南大學軟件學院 網絡安全漏洞與威脅 軟件漏洞 ? 軟件漏洞（ flaw） 是指在設計與編制軟件時沒有考慮對非正常輸入進行處理或錯誤代碼而造成的安全隱患，軟件漏洞也稱為 軟件脆弱性（ vulnerability）或軟件隱錯（ bug）。截止到目前， Inter上廣泛使用的 TCP/IP協(xié)議族幾乎所有協(xié)議都發(fā)現(xiàn)存在安全隱患。 ? 許多安全管理漏洞只要提高安全管理意識完全可以避免，如常見的系統(tǒng)缺省配置、脆弱性口令和信任關系轉移等。 云南大學軟件學院 網絡威脅來源 ? 網絡安全威脅是指事件對信息資源的可靠性、保密性、完整性、有效性、可控性和拒絕否認性可能產生的危害，網絡安全威脅根據(jù)威脅產生的因素可以分為 自然 和 人為 兩大類。 云南大學軟件學院 網絡威脅來源 (續(xù) ) ? 主動攻擊 主要來自 網絡黑客（ hacker） 、敵對勢力、網絡金融犯罪分子和商業(yè)競爭對手，早期黑客一詞并無貶義，指獨立思考、智力超群、精力充沛、熱衷于探索軟件奧秘和顯示個人才干的計算機迷。 – 1. 無安全保護 D類 – 2. 自主安全保護 C類 – 3. 強制安全保護 B類 – 4. 驗證安全保護 A類 云南大學軟件學院 美國可信計算機系統(tǒng)評價標準 (續(xù) ) 安全功能 無保護 D級 自主保護 C1級 圖 TCSEC標準各安全等級關系 安全功能保障 控制保護 C2級 標記保護 B1級 結構保護 B2級 區(qū)域保護 B3級 驗證保護 A級 云南大學軟件學院 美國可信計算機系統(tǒng)評價標準 (續(xù) ) 云南大學軟件學院 美國可信計算機系統(tǒng)評價標準 (續(xù) ) 云南大學軟件學院 其他國家信息安全評價標準 ? 1. 德國計算機安全評價標準 – 德國信息安全部頒布的 《 計算機安全評價標準 》 綠皮書在TCSEC的基礎上增加了系統(tǒng)有效性和數(shù)據(jù)完整性要求，共定義了 10個安全功能類別和 8個實現(xiàn)安全功能的質量保障等級，安全功能類別用 F1~F10表示，安全質量保障等級用 Q0~Q7表示。評價的信息系統(tǒng)或技術產品及其相關文檔在 CC中稱為評價目標 TOE（ target of evaluation）。為了保護計算機信息系統(tǒng)的安全，促進計算機的應用和發(fā)展，保障社會主義現(xiàn)代化建設的順利進行， 1994年 2月 18日，中華人民共和國國務院發(fā)布了第 147號令 《 中華人民共和國計算機信息系統(tǒng)安全保護條例 》 （以下簡稱 《 安全保護條例 》 ），為計算機信息系統(tǒng)提供了安全保護制度。 云南大學軟件學院 信息安全等級保護制度 ? 安全等級保護的關鍵是確定不同安全等級的邊界 ，只有對不同安全等級的信息系統(tǒng)采用相應等級的安全保護措施，才能保障國家安全、維護社會穩(wěn)定和促進信息化建設健康發(fā)展。 云南大學軟件學院 國際聯(lián)網備案與媒體進出境制度 ? 國際聯(lián)網備案與媒體進出境制度是保障國家安全與利益的重要手段之一， 《 安全保護條例 》 第十一條規(guī)定：進行國際聯(lián)網的計算機信息系統(tǒng)，由計算機信息系統(tǒng)的使用單位報省級以上人民政府公安機關備案。 ? 我國 1997年全面修訂 《 中華人民共和國刑法 》 時，分別加進了第二百八十五條非法侵入計算機信息系統(tǒng)罪、第二百八十六條破壞計算機信息系統(tǒng)罪和第二百八十七條利用計算機實施的各類犯罪條款。 ? 中華人民共和國公安部第 51號令 《 計算機病毒防治管理辦法 》 對計算機病毒概念、計算機病毒主管部門、傳播計算機病毒行為、計算機病毒疫情和違規(guī)責任等事項進行了詳細說明。這些法律法規(guī)是實施國家信息安全保護制度的指導文件；是保護國家信息安全的堅強后盾；是打擊計算機犯罪的有力武器；是公安機關和相關部門行使監(jiān)督職權的執(zhí)法依據(jù)；也是科學、規(guī)范管理信息安全的重要保證。 云南大學軟件學院 作業(yè) ? 1. 什么是 PPDR網絡安全模型？ ? 2. TCSEC標準是什么？為什么要制定這樣的標準？ Linux,windows 2022 xp 屬于什么級別？