【正文】 全體系結(jié)構(gòu)中應(yīng)根據(jù)加密所在的層次及加密對象的不同，而 第 1章 信息安全概述 (2) 數(shù)字簽名機制 : 是確保數(shù)據(jù)真實性的基本方法，利用數(shù)字簽名技術(shù)可進行用戶的身份認(rèn)證和消息認(rèn)證，它具有解 (3) 訪問控制機制 : 從計算機系統(tǒng)的處理能力方面對信息提供保護。 第 1章 信息安全概述 參考文檔由兩部分組成 : 第一部分是一個基于建議的實現(xiàn)指南，建議實施機構(gòu)“最好做什么” 。 為了確保路由表不被篡改，還可實施完整性機制。該協(xié)議位于 TCP協(xié)議和應(yīng)用層協(xié)議之間，通過面向連接的安全機制，為網(wǎng)絡(luò)應(yīng)用客戶 /服務(wù)器之間的安全通信提供了可認(rèn)證性、保密性和完整性的服務(wù)。如 IETF規(guī)定了私用強化郵件 PEM來為基于 SMTP的電子郵件系統(tǒng)提供安全服務(wù) 。 第 1章 信息安全概述 組織機構(gòu)體系是信息系統(tǒng)安全的組織保障系統(tǒng)，由機構(gòu)、 機構(gòu)的設(shè)置是維護信息系統(tǒng)管理的組織保證，通常分為決策層、管理層和執(zhí)行層三個層次 。保證計算機信息系統(tǒng)各種設(shè)備的物理安全是整個系統(tǒng)安全的前提。非人為因素的威脅包括自然災(zāi)害、系統(tǒng)故障和 (2) 信息安全不僅涉及技術(shù)問題，而且還涉及法律、政策和管理問題。 防御傳輸消息被篡改的安全措施是 。它包括系統(tǒng)連續(xù)、可靠、正常地運行， 不中斷，系統(tǒng)中的信息不因偶然的或惡意的原因而遭到 、 和 習(xí) 題 第 1章 信息安全概述 3. 導(dǎo)致網(wǎng)絡(luò)不安全的根本原因是 、 和 4. OSI安全體系結(jié)構(gòu)中，五大類安全服務(wù)是指 、 、 、 和 。 第 1章 信息安全概述 (1) 信息安全威脅從總體上可以分為人為因素的威脅和非人為因素的威脅。 OSI安全技術(shù)是指 OSI 安全管理、安全服務(wù)與安全機制。 法律管理是根據(jù)相關(guān)的國家法律、法規(guī)對信息系統(tǒng)主體及其與外界關(guān)聯(lián)行為的規(guī)范和約束 。 第 1章 信息安全概述 例如，一個電子郵件系統(tǒng)可能需要對所發(fā)出的信件的個別段落實施數(shù)字簽名，較低層的協(xié)議提供的安全功能不可能具體到信件的段落結(jié)構(gòu)。傳輸層安全協(xié)議確保數(shù)據(jù)安全傳輸，常見的安全協(xié)議有安全套接層(Security Socket Layer， SSL) 協(xié)議和傳輸層安全 (Transport Layer Securitty， TLS) 協(xié)議。假設(shè)在兩個主機或路由器之間構(gòu)建一條專用的通信鏈路，采用加密技術(shù)確保傳輸?shù)臄?shù)據(jù)不被竊聽而泄密，可在通信鏈路的兩端安裝鏈路加密機來實現(xiàn)，這種加密與物理層相關(guān)，對傳輸?shù)碾姎夥柋忍亓?第 1章 信息安全概述 2. 網(wǎng)絡(luò)層的功能是負責(zé)數(shù)據(jù)包的路由選擇，保證數(shù)據(jù)包能順利到達指定的目的地。為了適應(yīng)電子商務(wù)和移動計算機的發(fā)展需求， 1999年又進行了修訂和更新。 OSI安全體系結(jié)構(gòu)是在分析對開放系統(tǒng)的威脅和其脆弱性的基礎(chǔ)上提出來的。 狹義的計算機犯罪僅指行為人違反國家規(guī)定，故意侵入國家事務(wù)、國防建設(shè)、尖端科學(xué)技術(shù)等計算機信息系統(tǒng)，或者利用各種技術(shù)手段對計算機信息系統(tǒng)的功能及有關(guān)數(shù)據(jù)、應(yīng)用程序等進行破壞，制作、傳播計算機病毒，影響計算機 第 1章 信息安全概述 現(xiàn)在計算機犯罪呈現(xiàn)高智商、高學(xué)歷、隱蔽性強和取證難度大等特點，這使得計算機犯罪刑偵取證技術(shù)已發(fā)展成為 2. 目前，信息安全事件有快速蔓延之勢，大部分事件背后的真正原因在于利益的驅(qū)使和內(nèi)部管理的缺失。 也有可能盜用銀行帳號進行非法轉(zhuǎn)帳等。在這一時期，黑客們也發(fā)明了一些侵入計算機系統(tǒng)的基本技巧，如破解口令 (Passwordcracking)、開天窗 (TraPdoor)等。 hack的一個引申的意思是指“干了一件非常漂亮的事”。在網(wǎng)絡(luò)的節(jié)點上可以進行遠程進程的創(chuàng)建與激活，而且被創(chuàng)建的進程還具 有繼續(xù)創(chuàng)建進程的權(quán)力，這種遠程訪問功能使得各種攻擊無需到現(xiàn)場就能得手。系統(tǒng)漏洞又稱為陷阱，它通常是由操作系統(tǒng)開發(fā)者設(shè)置的，這樣他們就能在用戶失去了對系統(tǒng)的所有訪問權(quán)時仍能進入系統(tǒng)，這就像汽車上的安全門一樣，平時不用，在發(fā)生災(zāi)難或正常門被封的情況下，人們可以使用安全門逃生。 Inter蠕蟲就是依靠在網(wǎng)絡(luò)上大量復(fù)制并且傳播，占用大量 CPU處理時間，導(dǎo)致系統(tǒng)越來越慢，直到網(wǎng)絡(luò)發(fā)生崩潰，用戶的正常數(shù)據(jù)請求不能得到處理，這就是一個典型的“拒絕服務(wù)”攻擊。這些信息不僅包括國家機密，也包括企業(yè)和社會團體的商業(yè)機密和工作機密，還包括個人信息。下面先介紹信息安全在不同層面的含義，然后從 第 1章 信息安全概述 1. 從用戶 (個人或企業(yè) )的角度來講，他們希望 : (1) 在網(wǎng)絡(luò)上傳輸?shù)膫€人信息 (如銀行帳號和上網(wǎng)登錄口令等 )不被他人發(fā)現(xiàn)，這就是用戶對網(wǎng)絡(luò)上傳輸?shù)男畔⒕哂斜Ｃ苄缘囊?。 人們不禁要問，什么樣的計算機系統(tǒng)才算是安全的系統(tǒng)？ 1. 無危為安，無損為全。 第 1章 信息安全概述 明確了各機構(gòu)的職責(zé)后，還需要建立切實可行的規(guī)章制度，如對從業(yè)人員的管理，需要解決任期有限、職責(zé)隔離和最小權(quán)限的問題。在不同文化相互交流的過程中，一些國家為了達到經(jīng)濟和政治上的目的，不斷推行“文化殖 民”政策，形成了日益嚴(yán)重的“文化帝國主義”傾向。電子政務(wù)中的政府信息安全是國家安全的重要內(nèi)容，是保障國家信息安 全所不可或缺的組成部分。有意識的威脅又分為內(nèi)部攻擊和外部攻擊。無疑，信息安全的現(xiàn)狀十分令人 信息安全現(xiàn)狀 第 1章 信息安全概述 現(xiàn)在談?wù)摰男畔踩?，實際上是指面向網(wǎng)絡(luò)的信息安全。自然災(zāi)害還包括環(huán)境的干擾，如溫度過高或過低、電壓異常波動、電磁輻射干擾等，這些情況都可能造成系統(tǒng)運行的異常或破壞系統(tǒng)。然而，我國計算機犯罪的增長速度遠遠超過了傳統(tǒng)意義犯罪的增長速度，計算機犯罪從 1997年的 20多起，發(fā)展到 1998年的 142起，再到1999年的 908起。不難設(shè)想，若計算機網(wǎng)絡(luò)領(lǐng)域沒有法制建設(shè)，那么網(wǎng)絡(luò)的規(guī)劃與建設(shè)必然是 混亂的，網(wǎng)絡(luò)將沒有規(guī)范、協(xié)調(diào)的運營管理，數(shù)據(jù)將得不到有效的保護，電子資金的劃轉(zhuǎn)將產(chǎn)生法律上的糾紛，黑客將受不到任何懲罰。 第 1章 信息安全概述 6. 目前，出現(xiàn)的許多信息安全問題，從某種程度上講，可以說是由技術(shù)上的原因造成的，因此，對付攻擊也最好采用技術(shù)手段。一旦打破這種平衡，安全就不存在了。 第 1章 信息安全概述 (4) 信息發(fā)送者對發(fā)送過的信息或完成的某種操作是承 從網(wǎng)絡(luò)運行和管理者的角度來講，他們希望本地信息網(wǎng)正常運行，正常提供服務(wù)，不受網(wǎng)外攻擊，未出現(xiàn)計算機病毒、非法存取、拒絕服務(wù)、網(wǎng)絡(luò)資源非法占用和非法控制等 第 1章 信息安全概述 從安全保密部門的角度來講，他們希望對非法的、有害