構(gòu)建信息安全保障體系的思考(更新版)
【正文】 公共服務(wù)網(wǎng) 局域計(jì)算環(huán)境 （安全域 n） Inter、 TSP、 PSTN、VPN 網(wǎng)絡(luò)通信基礎(chǔ)設(shè)施 （光纖、無(wú)線、衛(wèi)星） 信息安全基礎(chǔ)設(shè)施 (PKI、 PMI、 KMI、 CERT、DRI) 網(wǎng)絡(luò)安全邊界 36 縱深型防御技術(shù)關(guān)注點(diǎn) ? 信息安全域的劃分 ? 信息安全域的邊界的安全控制 邏輯隔離 /物理隔離 /VPN/網(wǎng)絡(luò)監(jiān)控 ? 信息安全機(jī)制的縱深多級(jí)布署 多級(jí)配置 /適度安全 /設(shè)施聯(lián)動(dòng) ? 租用公共干線（ TSP） 的安全保障 有線 /無(wú)線 /衛(wèi)星 37 邊界邏輯隔離 ? VLAN ? NAT ? 防火墻 ? 安全網(wǎng)關(guān) ? VPN 38 網(wǎng)絡(luò)物理隔離技術(shù) ? 物理級(jí)（電磁輻射） 屏蔽、干擾 ? 終端級(jí)（雙網(wǎng)機(jī)） 雙盤(pán)型、雙區(qū)型 ? 傳輸信道級(jí) 非加密信道、加密信道 ?網(wǎng)絡(luò)級(jí)（網(wǎng)閘） 信息交換型： SMTP、 FIP 信息共享型： Web/Browser 系統(tǒng)互操作型： B/A/D 39 公共干線安全保障技術(shù) ? 網(wǎng)絡(luò)阻塞攻擊 /洪流攻擊 /服務(wù)竊取 /破壞網(wǎng)管 ? 保護(hù)用戶通信流 /控制通信流 /網(wǎng)管通信流 ? 透明性 /可用性 /保密性 /完整性 ? NAT/IPsec/SNMPv3/Tunnel/Iamp。A/VPN/WEP 40 ? 安全需求分析： 威脅，弱點(diǎn)，風(fēng)險(xiǎn)，對(duì)策 ? 安全功能定義 ? 安全要素設(shè)計(jì)： 物理、網(wǎng)絡(luò)、系統(tǒng)、應(yīng)用、管理 ? 全程安全控制 ? 風(fēng)險(xiǎn)全程管理 ? 安全有效評(píng)估 ? 強(qiáng)壯性策略 （ ISSE， IATF， CC， TESEC） 信息系統(tǒng)安全工程和服務(wù) 41 比較和對(duì)比 可用攻擊 研究敵方 行為理論 開(kāi)創(chuàng)任務(wù) 影響理論 比較和對(duì)比 各種行為 行動(dòng)決策 對(duì)策識(shí)別 與特征描述 任務(wù)關(guān)鍵性 參數(shù)權(quán)衡 脆弱性與攻 擊的識(shí)別與 特征描述 威脅的識(shí)別 與特征描述 任務(wù)影響的 識(shí)別與描述 基礎(chǔ)研究與事件分離 系統(tǒng)改進(jìn) 風(fēng)險(xiǎn)分析 風(fēng) 險(xiǎn) 管 理 流 程 42 信息安全有效評(píng)估流程 提供 采取 降低 影響 完成 保護(hù) 安全保證技術(shù)提供者 系統(tǒng)評(píng)估者 安全保證 信心 風(fēng)險(xiǎn) 對(duì)策 資產(chǎn) 使命 資產(chǎn)擁有者 價(jià)值 給出證據(jù) 生成保證 具有 43 ? 威脅級(jí)別 （ Tn） ? 資產(chǎn)價(jià)值等級(jí) （ Vn） ? 安全機(jī)制強(qiáng)度等級(jí) （ SMLn) ? 安全技術(shù)保障強(qiáng)壯性級(jí)別 （ IATRn） IATRn = f（ Vn 、 Tn 、 SMLn 、 EALn） 信息安全保障強(qiáng)壯性策略 44 企業(yè)（部門(mén)）信息安全保障系統(tǒng)建設(shè) ?企業(yè) （ 部門(mén) ） 信息安全的關(guān)注點(diǎn) ?信息系統(tǒng)使命和系統(tǒng)價(jià)值保護(hù) ?核心競(jìng)爭(zhēng)力與競(jìng)爭(zhēng)情報(bào)的保護(hù) ?管理 、 生產(chǎn) 、 交易 、 客戶和供應(yīng)信息鏈的安全保護(hù) ?國(guó)家信息安全保障體系框架指導(dǎo)下進(jìn)行 ?遵循國(guó)家相關(guān)的標(biāo)準(zhǔn) 、 法規(guī)和政策 ?充分享用國(guó)家提供的信息安全基礎(chǔ)設(shè)施的支撐能力 ?自主和可控的利用信息安全產(chǎn)業(yè)提供的產(chǎn)品和服務(wù) ?在信息系統(tǒng)的生命周期中進(jìn)行信息安全全面規(guī)劃 使命確立 、 結(jié)構(gòu)設(shè)計(jì) 、 威脅分析 、 脆弱性分析 、 風(fēng)險(xiǎn)分析 、 安全需求挖掘 、 安全體系設(shè)計(jì) 、 采購(gòu)與實(shí)施 、 運(yùn)行操作 、 維護(hù)更新 。 ?在信息網(wǎng)絡(luò) 5個(gè)層次上進(jìn)行信息安全服務(wù)和機(jī)制全局設(shè)計(jì)部署 物理層 、 系統(tǒng)層 、 網(wǎng)絡(luò)層 、 應(yīng)用 （ 數(shù)據(jù) ） 層 、 管理層 ?重視信息安全保障體系建設(shè)中的動(dòng)態(tài)防護(hù)和縱深防御的策略
試題試卷相關(guān)推薦
鄂ICP備17016276號(hào)-1