信息安全三級(jí)知識(shí)點(diǎn)-資料下載頁(yè)
2025-06-24 17:21本頁(yè)面
【正文】 代碼的靜態(tài)安全檢測(cè)：基于程序結(jié)構(gòu)的安全檢測(cè)技術(shù)，基于程序語(yǔ)義的安全檢測(cè)技術(shù)15：軟件動(dòng)態(tài)安全檢測(cè)技術(shù)：模糊測(cè)試，智能模糊測(cè)試，動(dòng)態(tài)污點(diǎn)分析16：基于軟件技術(shù)的軟件安全保護(hù)技術(shù)：（1） 注冊(cè)信息驗(yàn)證技術(shù)（2） 軟件防篡改技術(shù)：通過(guò)完整性檢驗(yàn)來(lái)檢測(cè)軟件是否被攻擊者篡改，有兩種方式判斷。第一種：判斷內(nèi)存中的代碼段是否能通過(guò)完整性檢驗(yàn)。第二種：判斷硬盤中的文件是否被篡改（3） 代碼混淆技術(shù)：技術(shù)手段有詞法轉(zhuǎn)換，控制流轉(zhuǎn)換，數(shù)據(jù)轉(zhuǎn)換（4） 軟件水印技術(shù)：可分為代碼水印和數(shù)據(jù)水印，代碼水印是將水印信息隱藏在程序的代碼和指令部分。數(shù)據(jù)水印是將水印信息隱藏在程序的頭文件，字符串和調(diào)試信息數(shù)據(jù)中。（5） 軟件加殼技術(shù)：第一類壓縮保護(hù)殼，第二類加密保護(hù)殼17：?jiǎn)我还δ艿牟《荆海?）文件感染型病毒（2）宏病毒（3）引導(dǎo)型病毒（4）郵件型病毒18：蠕蟲一般由兩個(gè)部分組成：一個(gè)主程序和一個(gè)引導(dǎo)程序19：加密狗一種廣泛應(yīng)用在硬件介質(zhì)的軟件安全保護(hù)技術(shù)20：針對(duì)Web系統(tǒng)的主要安全威脅包括：注入，跨站腳本，造破壞的身份認(rèn)證和會(huì)話管理，不安全的直接對(duì)象引用，偽造跨站請(qǐng)求。第六章：信息安全管理 1：信息安全管理體系（ISMS）構(gòu)架實(shí)施的有效性有兩方面的含義：一是控制活動(dòng)應(yīng)嚴(yán)格要求實(shí)施，二是活動(dòng)的結(jié)果要達(dá)到預(yù)期的目標(biāo)要求。2：信息安全管理體系審核時(shí)為了獲得審核證據(jù)。對(duì)體系進(jìn)行客觀的評(píng)價(jià)，以確定滿足審核準(zhǔn)則的程度所進(jìn)行的系統(tǒng)的，獨(dú)立的并形成文件的檢查。3：組織機(jī)構(gòu)實(shí)施信息安全管理體系認(rèn)證時(shí)根據(jù)國(guó)際上的信息安全管理標(biāo)準(zhǔn)——BS7799標(biāo)準(zhǔn)4：識(shí)別和控制機(jī)構(gòu)面臨的風(fēng)險(xiǎn)的過(guò)程成為風(fēng)險(xiǎn)管理，這個(gè)過(guò)程有兩個(gè)主要任務(wù)：實(shí)現(xiàn)識(shí)別和風(fēng)險(xiǎn)控制5：信息安全風(fēng)險(xiǎn)評(píng)估原值：自主，適應(yīng)度量，已定義過(guò)程，連續(xù)過(guò)程的基礎(chǔ)6：風(fēng)險(xiǎn)評(píng)估過(guò)程：（1）信息資產(chǎn)評(píng)估（2）風(fēng)險(xiǎn)的確定（3）識(shí)別可能的控制（4）記錄風(fēng)險(xiǎn)評(píng)估的結(jié)果7：風(fēng)險(xiǎn)控制策略（1）采取安全措施，消除或減小漏洞的不可控制的殘留風(fēng)險(xiǎn)（2）將風(fēng)險(xiǎn)轉(zhuǎn)移到其他區(qū)域，或轉(zhuǎn)移到外部（3）減小漏洞產(chǎn)生的影響（4）了解產(chǎn)生的后果，并接受沒(méi)有控制或緩解的風(fēng)險(xiǎn)8：訪問(wèn)控制可以分為下列三類：預(yù)防性的訪問(wèn)控制，探查性訪問(wèn)控制，糾正性訪問(wèn)控制，9：訪問(wèn)控制依賴四個(gè)原則：身份標(biāo)識(shí)，驗(yàn)證，授權(quán)和責(zé)任衡量 10：信息安全事件管理與應(yīng)急響應(yīng)4個(gè)不同的計(jì)劃：業(yè)務(wù)持續(xù)性計(jì)劃BCP，災(zāi)難恢復(fù)計(jì)劃DRP，事故響應(yīng)計(jì)劃IRP，應(yīng)急計(jì)劃CP。11：持續(xù)性戰(zhàn)略計(jì)劃有三種互不相同的選項(xiàng)：熱站點(diǎn)，暖站點(diǎn)，冷站點(diǎn)，以及三種共享功能：時(shí)間共享，服務(wù)臺(tái)和共有協(xié)議。第七章：信息安全標(biāo)準(zhǔn)與法規(guī)1：可信的計(jì)算機(jī)系統(tǒng)安全評(píng)估標(biāo)準(zhǔn)（TCSEC），信息技術(shù)安全評(píng)估標(biāo)準(zhǔn)（ITSEC）由（法國(guó)，英國(guó)，荷蘭，德國(guó)）發(fā)布的，信息技術(shù)安全評(píng)價(jià)的通用標(biāo)準(zhǔn)（CC）由六個(gè)國(guó)家聯(lián)合發(fā)布的（美國(guó)，加拿大，英國(guó)，法國(guó)，德國(guó)，荷蘭）2：BS 7799分為兩個(gè)部分，第一部分：信息安全管理實(shí)務(wù)準(zhǔn)則。第二部分：信息安全管理系統(tǒng)的規(guī)范3：GB 178951999《計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則》，將信息系統(tǒng)劃分5個(gè)等級(jí)：自主保護(hù)級(jí)，信息審計(jì)保護(hù)級(jí)，安全標(biāo)記保護(hù)級(jí)，結(jié)構(gòu)化保護(hù)級(jí)和訪問(wèn)驗(yàn)證保護(hù)級(jí)。主要考核指標(biāo)有身份認(rèn)證，自主訪問(wèn)控制，數(shù)據(jù)完整性，審計(jì)。4：GB/T 18336《信息技術(shù)安全性評(píng)估準(zhǔn)則》的優(yōu)缺點(diǎn)優(yōu)點(diǎn)：（1） 提倡安全工程的思想，通過(guò)信息安全產(chǎn)品的評(píng)價(jià)，確保產(chǎn)品的安全性（2） 通過(guò)參數(shù)化，解決了安全特性的不同產(chǎn)品與系統(tǒng)之間存在的差異（3） 不再?gòu)?qiáng)調(diào)功能的級(jí)別，而是強(qiáng)調(diào)保證的級(jí)別，注重非技術(shù)性因素的評(píng)價(jià)（4） 從兩個(gè)側(cè)面，即安全功能和安全保證方面，描述產(chǎn)品的安全模型，并覆蓋了物理，網(wǎng)絡(luò)，安全特性的三維安全框架結(jié)構(gòu)的絕大部分內(nèi)容（5） 將公認(rèn)的安全需求制定成響應(yīng)的標(biāo)準(zhǔn)文檔（6） 安全功能，安全保證及安全評(píng)價(jià)之間相互獨(dú)立，安全功能需求定義了所期望的安全行為，安全保證需求是有效實(shí)施安全措施的基礎(chǔ)，而安全評(píng)價(jià)則是測(cè)定安全功能需求與保證需求的可信程度缺點(diǎn)：（1） 只是指定了一個(gè)框架，定義了標(biāo)準(zhǔn)的主體，可操作性不強(qiáng)，具體步驟還需要大量文檔進(jìn)行補(bǔ)充。（2） CC標(biāo)準(zhǔn)比價(jià)復(fù)雜，概念眾多，標(biāo)準(zhǔn)文本晦澀難懂，在一定程度上制約了該標(biāo)準(zhǔn)的推廣和普及（3） 更適合于產(chǎn)品在市場(chǎng)推廣之前的認(rèn)證，產(chǎn)品經(jīng)過(guò)安全性評(píng)價(jià)和可用性鑒定之后投入實(shí)際使用，所以適合于指導(dǎo)開發(fā)過(guò)程，而對(duì)已經(jīng)使用的信息系統(tǒng)不太適用（4） 評(píng)估結(jié)果最終是一個(gè)客觀參考性的結(jié)果，是一個(gè)通過(guò)或未通過(guò)的聲明，對(duì)企業(yè)的實(shí)際指導(dǎo)意義不是很強(qiáng)，國(guó)際上基于CC標(biāo)準(zhǔn)評(píng)價(jià)的認(rèn)證機(jī)構(gòu)很少，且評(píng)估過(guò)程復(fù)雜，評(píng)估成本高，缺少靈活性與實(shí)用性5：保障信息網(wǎng)絡(luò)安全的法治對(duì)策的分析（1） 必須堅(jiān)持加快信息法治建設(shè)，依法保障信息網(wǎng)絡(luò)安全 （2） 必須堅(jiān)持依法遏制信息安全納入維護(hù)國(guó)家安全之中（3） 必須堅(jiān)持依法耳墜恐怖與分裂勢(shì)力向信息化領(lǐng)域的蔓延（4） 必須不斷提高依法應(yīng)對(duì)信息化條件下反分裂斗爭(zhēng)的法治能力（5） 必須堅(jiān)持從保障信息安全的國(guó)際法治建設(shè)方面謀劃國(guó)際合作.6：CC評(píng)估7個(gè)等級(jí)EAL1，EAL2. EAL3, EAL4，EAL5，EAL6, ，分別是配置管理，分發(fā)和操作，開發(fā)過(guò)程，指導(dǎo)文獻(xiàn)，生命期的技術(shù)支持，測(cè)試和脆弱性評(píng)估。7：CNITSEC中國(guó)國(guó)家信息安全測(cè)評(píng)中心的簡(jiǎn)稱ISO 13335標(biāo)準(zhǔn)首次提出關(guān)于IT安全的機(jī)密性，完整性，可用性，審計(jì)性，認(rèn)證性，可靠性6個(gè)方面的含義。并提出了以風(fēng)險(xiǎn)為核心的安全模型。8：國(guó)際標(biāo)準(zhǔn)化主要組織有國(guó)際標(biāo)準(zhǔn)化組織（ISO）,國(guó)際電工委員會(huì)（IEC），國(guó)際電信聯(lián)盟（ITU），Internet工程任務(wù)組（IETF）等。9：信息安全管理基本技術(shù)從物理安全，網(wǎng)絡(luò)安全，主機(jī)安全，應(yīng)用安全和數(shù)據(jù)安全五個(gè)層面提出 信息安全管理基本管理要求從安全管理制度，安全管理機(jī)構(gòu)，人員安全管理，系統(tǒng)建設(shè)管理和系統(tǒng)運(yùn)維管理五個(gè)層面提出。 基本技術(shù)要求和基本管理要求是確保信息系統(tǒng)安全不可分割的兩個(gè)部分。 10：信息系統(tǒng)的安全保護(hù)等級(jí)由兩個(gè)等級(jí)要素決定：等級(jí)保護(hù)對(duì)象受到破壞時(shí)所侵害的客體和對(duì)客體造成的危害程度11：信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則的四個(gè)要素：業(yè)務(wù)信息類型，業(yè)務(wù)信息受到破壞影響的客體，系統(tǒng)服務(wù)類型和系統(tǒng)服務(wù)受到破壞影響的客體12：國(guó)家秘密的保密期限除另有規(guī)定外，絕密級(jí)不超過(guò)三十年，機(jī)密級(jí)不超過(guò)二十年，秘密級(jí)不超過(guò)十年。13：國(guó)家對(duì)商用密碼產(chǎn)品的科研，生產(chǎn)，銷售和使用實(shí)行專控管理。
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1