【文章內(nèi)容簡(jiǎn)介】 法律、行政法規(guī)另有規(guī)定的，依照其規(guī)定。 ? 第三十八條 關(guān)鍵信息基礎(chǔ)設(shè)施的運(yùn)營(yíng)者應(yīng)當(dāng)自行或者委托網(wǎng)絡(luò)安全服務(wù)機(jī)構(gòu)對(duì)其網(wǎng)絡(luò)的安全性和可能存在的風(fēng)險(xiǎn)每年至少進(jìn)行一次檢測(cè)評(píng)估，并將檢測(cè)評(píng)估情況和改進(jìn)措施報(bào)送相關(guān)負(fù)責(zé)關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)工作的部門 。 從“勒索”病毒說(shuō)起 美國(guó)公民信息安全 說(shuō)說(shuō)支付安全 有趣的社會(huì)工程問題 “爬庫(kù)”與數(shù)據(jù)泄露 了解一些信息安全法律 走出 IT的信息安全 ? 15000份的醫(yī)療日志培圾桶中在被發(fā)現(xiàn) ? 30000個(gè)用戶密碼在 Inter上公布 ? 推廣的照片提前出現(xiàn)在新聞書刊上 ? 銀行支付數(shù)百萬(wàn)元給勒索者 ? 25位開發(fā)部的同事跳槽至競(jìng)爭(zhēng)者公司 ? 盜竊：每失竊或損壞價(jià)值一英鎊的信息技術(shù)設(shè)備，將造成十英鎊商業(yè)損失。英國(guó)工業(yè)在 1996年由電腦失竊而造成的損失超過 460億英鎊。 ? INTERNET：美國(guó)五角大樓每日可偵測(cè)到 80至 100個(gè)駭客入侵。 ? 電腦入侵：電腦駭客入侵每年以 45%的速率在增長(zhǎng)。 ? 電子郵件： 10%信息無(wú)意義， 9%包含機(jī)密信息， 2%笑話及 2%帶病毒。 ? 病毒：起過 10000個(gè)病毒經(jīng)常性的影響我的電腦及每月有 150200新的病毒產(chǎn)生 。 從“勒索”病毒說(shuō)起 美國(guó)公民信息安全 說(shuō)說(shuō)支付安全 有趣的社會(huì)工程問題 “爬庫(kù)”與數(shù)據(jù)泄露 了解一些信息安全法律 走出 IT的信息安全 ? 第一百二十條之三以制作、散發(fā)宣揚(yáng)恐怖主義、極端主義的圖書、音頻視頻資料或者其他物品，或者通過講授、發(fā)布信息等方式宣揚(yáng)恐怖主義、極端主義的，或者煽動(dòng)實(shí)施恐怖活動(dòng)的，處五年以下有期徒刑、拘役、管制或者剝奪政治權(quán)利，并處罰金；情節(jié)嚴(yán)重的，處五年以上有期徒刑，并處罰金或者沒收財(cái)產(chǎn) 。 ? “ 違反國(guó)家有關(guān)規(guī)定，向他人出售或者提供公民個(gè)人信息，情節(jié)嚴(yán)重的，處三年以下有期徒刑或者拘役，并處或者單處罰金；情節(jié)特別嚴(yán)重的，處三年以上七年以下有期徒刑，并處罰金 。 ? “ 違反國(guó)家有關(guān)規(guī)定，將在履行職責(zé)或者提供服務(wù)過程中獲得的公民個(gè)人信息，出售或者提供給他人的，依照前款的規(guī)定從重處罰 。 ? “ 竊取或者以其他方法非法獲取公民個(gè)人信息的，依照第一款的規(guī)定處罰 。 ? “ 單位犯前三款罪的，對(duì)單位判處罰金，并對(duì)其直接負(fù)責(zé)的主管人員和其他直接責(zé)任人員，依照各該款的規(guī)定處罰?！? 從“勒索”病毒說(shuō)起 美國(guó)公民信息安全 說(shuō)說(shuō)支付安全 有趣的社會(huì)工程問題 “爬庫(kù)”與數(shù)據(jù)泄露 了解一些信息安全法律 走出 IT的信息安全 ? 刑法第二百八十六條后增加一條，作為第二百八十六條之一：“網(wǎng)絡(luò)服務(wù)提供者不履行法律、行政法規(guī)規(guī)定的信息網(wǎng)絡(luò)安全管理義務(wù)，經(jīng)監(jiān)管部門責(zé)令采取改正措施而拒不改正，有下列情形之一的，處三年以下有期徒刑、拘役或者管制，并處或者單處罰金 ： ? “ （一）致使違法信息大量傳播的 ； ? “ （二）致使用戶信息泄露，造成嚴(yán)重后果的 ； ? “ （三）致使刑事案件證據(jù)滅失，情節(jié)嚴(yán)重的 ； ? “ （四）有其他嚴(yán)重情節(jié)的 。 ? “ 單位犯前款罪的，對(duì)單位判處罰金，并對(duì)其直接負(fù)責(zé)的主管人員和其他直接責(zé)任人員，依照前款的規(guī)定處罰 。 ? “ 有前兩款行為，同時(shí)構(gòu)成其他犯罪的，依照處罰較重的規(guī)定定罪處罰?！? 從“勒索”病毒說(shuō)起 美國(guó)公民信息安全 說(shuō)說(shuō)支付安全 有趣的社會(huì)工程問題 “爬庫(kù)”與數(shù)據(jù)泄露 了解一些信息安全法律 走出 IT的信息安全 ? 第二百八十七條之一 利用信息網(wǎng)絡(luò)實(shí)施下列行為之一，情節(jié)嚴(yán)重的，處三年以下有期徒刑或者拘役，并處或者單處罰金 ： ? “ （一）設(shè)立用于實(shí)施詐騙、傳授犯罪方法、制作或者銷售違禁物品、管制物品等違法犯罪活動(dòng)的網(wǎng)站、通訊群組的 ； ? （ 二）發(fā)布有關(guān)制作或者銷售毒品、槍支、淫穢物品等違禁物品、管制物品或者其他違法犯罪信息的 ； ? “ （三）為實(shí)施詐騙等違法犯罪活動(dòng)發(fā)布信息的 。 ? “ 單位犯前款罪的，對(duì)單位判處罰金，并對(duì)其直接負(fù)責(zé)的主管人員和其他直接責(zé)任人員，依照第一款的規(guī)定處罰 。 ? “ 有前兩款行為，同時(shí)構(gòu)成其他犯罪的，依照處罰較重的規(guī)定定罪處罰。 從“勒索”病毒說(shuō)起 美國(guó)公民信息安全 說(shuō)說(shuō)支付安全 有趣的社會(huì)工程問題 “爬庫(kù)”與數(shù)據(jù)泄露 了解一些信息安全法律 走出 IT的信息安全 ? 第二百八十七條之一 利用信息網(wǎng)絡(luò)實(shí)施下列行為之一，情節(jié)嚴(yán)重的，處三年以下有期徒刑或者拘役，并處或者單處罰金 ： ? “ （一）設(shè)立用于實(shí)施詐騙、傳授犯罪方法、制作或者銷售違禁物品、管制物品等違法犯罪活動(dòng)的網(wǎng)站、通訊群組的 ； ? （ 二）發(fā)布有關(guān)制作或者銷售毒品、槍支、淫穢物品等違禁物品、管制物品或者其他違法犯罪信息的 ； ? “ （三）為實(shí)施詐騙等違法犯罪活動(dòng)發(fā)布信息的 。 ? “ 單位犯前款罪的，對(duì)單位判處罰金，并對(duì)其直接負(fù)責(zé)的主管人員和其他直接責(zé)任人員，依照第一款的規(guī)定處罰 。 ? “ 有前兩款行為，同時(shí)構(gòu)成其他犯罪的，依照處罰較重的規(guī)定定罪處罰。 從“勒索”病毒說(shuō)起 美國(guó)公民信息安全 說(shuō)說(shuō)支付安全 有趣的社會(huì)工程問題 “爬庫(kù)”與數(shù)據(jù)泄露 了解一些信息安全法律 走出 IT的信息安全 ? 第四十三條 個(gè)人發(fā)現(xiàn)網(wǎng)絡(luò)運(yùn)營(yíng)者違反法律、行政法規(guī)的規(guī)定或者雙方的約定收集、使用其個(gè)人信息的，有權(quán)要求網(wǎng)絡(luò)運(yùn)營(yíng)者刪除其個(gè)人信息；發(fā)現(xiàn)網(wǎng)絡(luò)運(yùn)營(yíng)者收集、存儲(chǔ)的其個(gè)人信息有錯(cuò)誤的，有權(quán)要求網(wǎng)絡(luò)運(yùn)營(yíng)者予以更正。網(wǎng)絡(luò)運(yùn)營(yíng)者應(yīng)當(dāng)采取措施予以刪除或者更正。 ? 第四十四條 任何個(gè)人和組織不得竊取或者以其他非法方式獲取個(gè)人信息，不得非法出售或者非法向他人提供個(gè)人信息。 ? 第四十五條 依法負(fù)有網(wǎng)絡(luò)安全監(jiān)督管理職責(zé)的部門及其工作人員，必須對(duì)在履行職責(zé)中知悉的個(gè)人信息、隱私和商業(yè)秘密嚴(yán)格保密，不得泄露、出售或者非法向他人提供。 ? 第四十六條 任何個(gè)人和組織應(yīng)當(dāng)對(duì)其使用網(wǎng)絡(luò)的行為負(fù)責(zé)，不得設(shè)立用于實(shí)施詐騙，傳授犯罪方法，制作或者銷售違禁物品、管制物品等違法犯罪活動(dòng)的網(wǎng)站、通訊群組，不得利用網(wǎng)絡(luò)發(fā)布涉及實(shí)施詐騙，制作或者銷售違禁物品、管制物品以及其他違法犯罪活動(dòng)的信息。 從“勒索”病毒說(shuō)起 美國(guó)公民信息安全 說(shuō)說(shuō)支付安全 有趣的社會(huì)工程問題 “爬庫(kù)”與數(shù)據(jù)泄露 了解一些信息安全法律 走出 IT的信息安全 ? 第四十七條 網(wǎng)絡(luò)運(yùn)營(yíng)者應(yīng)當(dāng)加強(qiáng)對(duì)其用戶發(fā)布的信息的管理，發(fā)現(xiàn)法律、行政法規(guī)禁止發(fā)布或者傳輸?shù)男畔⒌?，?yīng)當(dāng)立即停止傳輸該信息，采取消除等處置措施，防止信息擴(kuò)散，保存有關(guān)記錄，并向有關(guān)主管部門報(bào)告。 ? 第四十八條 任何個(gè)人和組織發(fā)送的電子信息、提供的應(yīng)用軟件，不得設(shè)置惡意程序，不得含有法律、行政法規(guī)禁止發(fā)布或者傳輸?shù)男畔ⅰ? ? 電子信息發(fā)送服務(wù)提供者和應(yīng)用軟件下載服務(wù)提供者，應(yīng)當(dāng)履行安全管理義務(wù)，知道其用戶有前款規(guī)定行為的，應(yīng)當(dāng)停止提供服務(wù)，采取消除等處置措施，保存有關(guān)記錄，并向有關(guān)主管部門報(bào)告。 從“勒索”病毒說(shuō)起 美國(guó)公民信息安全 說(shuō)說(shuō)支付安全 有趣的社會(huì)工程問題 “爬庫(kù)”與數(shù)據(jù)泄露 了解一些信息安全法律 走出 IT的信息安全 云安全 物聯(lián)網(wǎng) 安全 大數(shù)據(jù) 安全 情報(bào)分析 態(tài)勢(shì)感知 Hypervisor脆弱性不可避免 ? 從上層虛擬機(jī)攻擊 Hypervisor ? (虛擬機(jī)逃逸 ) ? 從云計(jì)算管理網(wǎng)絡(luò)攻擊 Hypervisor ? 傳統(tǒng)脆弱性利用攻擊 ? 緩沖區(qū)溢出 ? 拒絕服務(wù) 安全威脅 虛擬化平臺(tái) 云計(jì)算網(wǎng)絡(luò)攻擊 虛擬機(jī)逃逸 云安全 物聯(lián)網(wǎng) 安全 大數(shù)據(jù) 安全 情報(bào)分析 態(tài)勢(shì)感知 虛擬機(jī)向下逃逸，是指在已控制一個(gè)虛擬機(jī)的前提下，通過利用各種安全漏洞攻擊Hypervisor。 ? 典型案例：藍(lán)色藥丸、 CloudBurst ? 逃逸后果 ? 安裝 Hypervisor級(jí)后門 ? 拒絕服務(wù)攻擊 ? 數(shù)據(jù)竊取 ? 控制其它虛擬機(jī) 云安全 物聯(lián)網(wǎng) 安全 大數(shù)據(jù) 安全 情報(bào)分析 態(tài)勢(shì)感知 虛擬交換機(jī) 虛擬化服務(wù)器 虛擬機(jī) 3 虛擬機(jī) 1 虛擬機(jī) 2 物理交換機(jī) 物理網(wǎng)卡 虛擬交換機(jī) 虛擬網(wǎng)卡 虛擬端口 級(jí)聯(lián)端口 虛擬網(wǎng)絡(luò)與物理網(wǎng)絡(luò) 云安全 物聯(lián)網(wǎng) 安全 大數(shù)據(jù) 安全 情報(bào)分析 態(tài)勢(shì)感知 虛擬機(jī) 安全威脅 創(chuàng)建安全 威脅 存儲(chǔ)安全 威脅 虛擬機(jī) 虛擬機(jī) 虛擬機(jī) 運(yùn)行安全威脅 注銷安全 威脅 遷移安全 威脅 通信安全 威脅 ? 在多租戶云計(jì)算環(huán)境中，各租戶之間的物理網(wǎng)絡(luò)邊界變得模糊，可能只存在邏輯上的網(wǎng)絡(luò)邊界。 ? 如果配置不妥，可能導(dǎo)致數(shù)據(jù)泄密。 ? 如何確保和驗(yàn)證各租戶邏輯網(wǎng)絡(luò)之間的安全隔離 云安全 物聯(lián)網(wǎng) 安全 大數(shù)據(jù) 安全 情報(bào)分析 態(tài)勢(shì)感知 ?云計(jì)算平臺(tái)集中部署在數(shù)據(jù)中心，用戶遠(yuǎn)程接入到云計(jì)算平臺(tái)的過程可能存在安全威脅。 ? 云計(jì)算接入的身份認(rèn)證 ? 云計(jì)算接入的訪問控制 ? 云計(jì)算接入的傳輸安全 云安全 物聯(lián)網(wǎng) 安全 大數(shù)據(jù) 安全 情報(bào)分析 態(tài)勢(shì)感知 ? 物聯(lián)網(wǎng)：通過部署具有一定感知、計(jì)算、執(zhí)行和通信等能力的各種 設(shè)備，獲得物理世界的信息或?qū)ξ锢硎澜绲奈矬w進(jìn)行控制，通過網(wǎng)絡(luò)實(shí) 現(xiàn)信息的傳輸協(xié)同和處理從而實(shí)現(xiàn)人與物通信物與物通信的網(wǎng)絡(luò) NGN/IPv6 NGN/IPv6 接入與 現(xiàn)信息的傳輸、協(xié)同和處理，從而實(shí)現(xiàn)人與物通信、物與物通信的網(wǎng)絡(luò) 。 云安全 物聯(lián)網(wǎng) 安全 大數(shù)據(jù) 安全 情報(bào)分析 態(tài)勢(shì)感知 以標(biāo)識(shí)為特征 1998年 MIT的 Kevin Ashton：把RFID技術(shù)與傳感器技術(shù)應(yīng)用于日常物品中形成一個(gè)“物聯(lián)網(wǎng)” 以互聯(lián)網(wǎng)為特征 2023年 ITU報(bào)告：物聯(lián)網(wǎng)是通過RFID和智能計(jì)算等技術(shù)實(shí)現(xiàn)全世界設(shè)備互連的網(wǎng)絡(luò)。 以智能服務(wù)為特征 2023年 IBM：把傳感器設(shè)備安裝到電網(wǎng)、鐵路、橋梁、隧道、供水系統(tǒng)、大壩、油氣管道、供水系統(tǒng)、大壩、油氣管道等各種物體中，并且普遍連接形成網(wǎng)絡(luò)，即“物聯(lián)網(wǎng)” 云安全 物聯(lián)網(wǎng) 安全 大數(shù)據(jù) 安全 情報(bào)分析 態(tài)勢(shì)感知 ? 應(yīng)用層主要完成服務(wù)發(fā)現(xiàn)和服務(wù)呈現(xiàn)的工作。 ? 支撐層又稱中間件 , 或者業(yè)務(wù)層 ? 對(duì)下需要對(duì)網(wǎng)絡(luò)資源進(jìn)行認(rèn)知 , 進(jìn)而達(dá)到自適應(yīng)傳輸?shù)哪康?。 ? 本層的完成信息的表達(dá)與處理 , 最終達(dá)到語(yǔ)義互操作和信息共享的目的 。 ? 對(duì)上提供統(tǒng)一的接口與虛擬化支撐 , 虛擬化包括計(jì)算虛擬化和存儲(chǔ)虛擬化等內(nèi)容 , 較為典型的技術(shù)是云計(jì)算； ? 網(wǎng)絡(luò)層為原有的互聯(lián)網(wǎng)、電信網(wǎng)或者電視網(wǎng) , 主要完成信息的遠(yuǎn)距離傳輸?shù)裙δ埽? ? 接入層主要完成各類設(shè)備的網(wǎng)絡(luò)接入 , 該層重點(diǎn)強(qiáng)調(diào)各類接入方式 , 比如 3G/4G、 Mesh網(wǎng)絡(luò)、 WiFi、有線或者衛(wèi)星等方式； ? 感知層主要完成信息的收集與簡(jiǎn)單處理 , 部分學(xué)者將該層稱為感知延伸層 , 該層由傳統(tǒng)的 WSN、 RFID和執(zhí)行器組成； 云安全 物聯(lián)網(wǎng) 安全 大數(shù)據(jù) 安全 情報(bào)分析 態(tài)勢(shì)感知 中間件層 云計(jì)算 應(yīng)用集 成 解析服 務(wù) Web服務(wù) 信息處理安全 信息利用 應(yīng)用 /中間件層 移動(dòng)通信網(wǎng) 網(wǎng)絡(luò)與信息系 統(tǒng)安全 信息傳播 應(yīng)用 /中間件層 RFID標(biāo)簽 感知終端 信息采集安全 物理安全 節(jié)點(diǎn)安全 感知層 計(jì)算機(jī)網(wǎng)絡(luò) 無(wú)線網(wǎng)絡(luò) RFID閱讀器 RFID節(jié)點(diǎn) RFID網(wǎng)關(guān) ? 物聯(lián)網(wǎng)感知層的任務(wù)是實(shí)現(xiàn)智能感知外界信息功能，包括信息采集、捕獲和物體識(shí)別，該層的典型設(shè)備包括 RFID裝置、各類傳感器 (如紅外、超聲、溫度、濕度、速度等 )、圖像捕 捉 裝 置 ( 攝 像 頭 )、全球定位系統(tǒng) (GPS)、激光掃描儀等，其涉及的關(guān)鍵技術(shù)包括傳感器 、 RFID、自組織網(wǎng)絡(luò)、短距離無(wú)線通信、低功耗路由等。 ? (1)傳感技術(shù)及其聯(lián)網(wǎng)安全作為物聯(lián)網(wǎng)的基礎(chǔ)單元，傳感器在物聯(lián)網(wǎng)信息采集層面能否如愿以償完成它的使命，成為物聯(lián)網(wǎng)感知任務(wù)成敗的關(guān)鍵。 ? (2)RFID 相關(guān)安全 問題 云安全 物聯(lián)網(wǎng) 安全 大數(shù)據(jù) 安全 情報(bào)分析 態(tài)勢(shì)感知 層次 受到的攻擊 物理層 物理破壞、信道阻塞 鏈路層 制造碰撞攻擊、反饋偽造攻擊、耗盡攻擊鏈路層阻塞 網(wǎng)絡(luò)層 路由攻擊、蟲洞攻擊、女巫攻擊、陷洞攻擊、 Hello泛洪攻擊 應(yīng)用層 去同步、拒絕服務(wù)流 ? 物聯(lián)網(wǎng)網(wǎng)絡(luò)層主要實(shí)現(xiàn)信息的轉(zhuǎn)發(fā)和傳送，它將感知層獲取的信息傳送到遠(yuǎn)端，為數(shù)據(jù)在遠(yuǎn)端進(jìn)行智能處理和分析決策提供強(qiáng)有力的支持。 ? 來(lái)自物聯(lián)網(wǎng)本身的架構(gòu)、接入方式和各種設(shè)備的安全問題 ? 接入層的異構(gòu)性使得如何為終