信息安全三級知識點-資料下載頁
2025-06-24 17:21本頁面
【正文】 代碼的靜態(tài)安全檢測：基于程序結(jié)構(gòu)的安全檢測技術(shù)，基于程序語義的安全檢測技術(shù)15：軟件動態(tài)安全檢測技術(shù)：模糊測試，智能模糊測試，動態(tài)污點分析16：基于軟件技術(shù)的軟件安全保護技術(shù)：（1） 注冊信息驗證技術(shù)（2） 軟件防篡改技術(shù)：通過完整性檢驗來檢測軟件是否被攻擊者篡改，有兩種方式判斷。第一種：判斷內(nèi)存中的代碼段是否能通過完整性檢驗。第二種：判斷硬盤中的文件是否被篡改（3） 代碼混淆技術(shù)：技術(shù)手段有詞法轉(zhuǎn)換，控制流轉(zhuǎn)換，數(shù)據(jù)轉(zhuǎn)換（4） 軟件水印技術(shù)：可分為代碼水印和數(shù)據(jù)水印，代碼水印是將水印信息隱藏在程序的代碼和指令部分。數(shù)據(jù)水印是將水印信息隱藏在程序的頭文件，字符串和調(diào)試信息數(shù)據(jù)中。（5） 軟件加殼技術(shù)：第一類壓縮保護殼，第二類加密保護殼17：單一功能的病毒：（1）文件感染型病毒（2）宏病毒（3）引導(dǎo)型病毒（4）郵件型病毒18：蠕蟲一般由兩個部分組成：一個主程序和一個引導(dǎo)程序19：加密狗一種廣泛應(yīng)用在硬件介質(zhì)的軟件安全保護技術(shù)20：針對Web系統(tǒng)的主要安全威脅包括：注入，跨站腳本，造破壞的身份認證和會話管理，不安全的直接對象引用，偽造跨站請求。第六章：信息安全管理 1：信息安全管理體系（ISMS）構(gòu)架實施的有效性有兩方面的含義：一是控制活動應(yīng)嚴(yán)格要求實施，二是活動的結(jié)果要達到預(yù)期的目標(biāo)要求。2：信息安全管理體系審核時為了獲得審核證據(jù)。對體系進行客觀的評價，以確定滿足審核準(zhǔn)則的程度所進行的系統(tǒng)的，獨立的并形成文件的檢查。3：組織機構(gòu)實施信息安全管理體系認證時根據(jù)國際上的信息安全管理標(biāo)準(zhǔn)——BS7799標(biāo)準(zhǔn)4：識別和控制機構(gòu)面臨的風(fēng)險的過程成為風(fēng)險管理，這個過程有兩個主要任務(wù)：實現(xiàn)識別和風(fēng)險控制5：信息安全風(fēng)險評估原值：自主，適應(yīng)度量，已定義過程，連續(xù)過程的基礎(chǔ)6：風(fēng)險評估過程：（1）信息資產(chǎn)評估（2）風(fēng)險的確定（3）識別可能的控制（4）記錄風(fēng)險評估的結(jié)果7：風(fēng)險控制策略（1）采取安全措施，消除或減小漏洞的不可控制的殘留風(fēng)險（2）將風(fēng)險轉(zhuǎn)移到其他區(qū)域，或轉(zhuǎn)移到外部（3）減小漏洞產(chǎn)生的影響（4）了解產(chǎn)生的后果，并接受沒有控制或緩解的風(fēng)險8：訪問控制可以分為下列三類：預(yù)防性的訪問控制，探查性訪問控制，糾正性訪問控制，9：訪問控制依賴四個原則：身份標(biāo)識，驗證，授權(quán)和責(zé)任衡量 10：信息安全事件管理與應(yīng)急響應(yīng)4個不同的計劃：業(yè)務(wù)持續(xù)性計劃BCP，災(zāi)難恢復(fù)計劃DRP，事故響應(yīng)計劃IRP，應(yīng)急計劃CP。11：持續(xù)性戰(zhàn)略計劃有三種互不相同的選項：熱站點，暖站點，冷站點，以及三種共享功能：時間共享，服務(wù)臺和共有協(xié)議。第七章：信息安全標(biāo)準(zhǔn)與法規(guī)1：可信的計算機系統(tǒng)安全評估標(biāo)準(zhǔn)（TCSEC），信息技術(shù)安全評估標(biāo)準(zhǔn)（ITSEC）由（法國，英國，荷蘭，德國）發(fā)布的，信息技術(shù)安全評價的通用標(biāo)準(zhǔn)（CC）由六個國家聯(lián)合發(fā)布的（美國，加拿大，英國，法國，德國，荷蘭）2：BS 7799分為兩個部分，第一部分：信息安全管理實務(wù)準(zhǔn)則。第二部分：信息安全管理系統(tǒng)的規(guī)范3：GB 178951999《計算機信息系統(tǒng)安全保護等級劃分準(zhǔn)則》，將信息系統(tǒng)劃分5個等級：自主保護級，信息審計保護級，安全標(biāo)記保護級，結(jié)構(gòu)化保護級和訪問驗證保護級。主要考核指標(biāo)有身份認證，自主訪問控制，數(shù)據(jù)完整性，審計。4：GB/T 18336《信息技術(shù)安全性評估準(zhǔn)則》的優(yōu)缺點優(yōu)點：（1） 提倡安全工程的思想，通過信息安全產(chǎn)品的評價，確保產(chǎn)品的安全性（2） 通過參數(shù)化，解決了安全特性的不同產(chǎn)品與系統(tǒng)之間存在的差異（3） 不再強調(diào)功能的級別，而是強調(diào)保證的級別，注重非技術(shù)性因素的評價（4） 從兩個側(cè)面，即安全功能和安全保證方面，描述產(chǎn)品的安全模型，并覆蓋了物理，網(wǎng)絡(luò)，安全特性的三維安全框架結(jié)構(gòu)的絕大部分內(nèi)容（5） 將公認的安全需求制定成響應(yīng)的標(biāo)準(zhǔn)文檔（6） 安全功能，安全保證及安全評價之間相互獨立，安全功能需求定義了所期望的安全行為，安全保證需求是有效實施安全措施的基礎(chǔ)，而安全評價則是測定安全功能需求與保證需求的可信程度缺點：（1） 只是指定了一個框架，定義了標(biāo)準(zhǔn)的主體，可操作性不強，具體步驟還需要大量文檔進行補充。（2） CC標(biāo)準(zhǔn)比價復(fù)雜，概念眾多，標(biāo)準(zhǔn)文本晦澀難懂，在一定程度上制約了該標(biāo)準(zhǔn)的推廣和普及（3） 更適合于產(chǎn)品在市場推廣之前的認證，產(chǎn)品經(jīng)過安全性評價和可用性鑒定之后投入實際使用，所以適合于指導(dǎo)開發(fā)過程，而對已經(jīng)使用的信息系統(tǒng)不太適用（4） 評估結(jié)果最終是一個客觀參考性的結(jié)果，是一個通過或未通過的聲明，對企業(yè)的實際指導(dǎo)意義不是很強，國際上基于CC標(biāo)準(zhǔn)評價的認證機構(gòu)很少，且評估過程復(fù)雜，評估成本高，缺少靈活性與實用性5：保障信息網(wǎng)絡(luò)安全的法治對策的分析（1） 必須堅持加快信息法治建設(shè)，依法保障信息網(wǎng)絡(luò)安全 （2） 必須堅持依法遏制信息安全納入維護國家安全之中（3） 必須堅持依法耳墜恐怖與分裂勢力向信息化領(lǐng)域的蔓延（4） 必須不斷提高依法應(yīng)對信息化條件下反分裂斗爭的法治能力（5） 必須堅持從保障信息安全的國際法治建設(shè)方面謀劃國際合作.6：CC評估7個等級EAL1，EAL2. EAL3, EAL4，EAL5，EAL6, ，分別是配置管理，分發(fā)和操作，開發(fā)過程，指導(dǎo)文獻，生命期的技術(shù)支持，測試和脆弱性評估。7：CNITSEC中國國家信息安全測評中心的簡稱ISO 13335標(biāo)準(zhǔn)首次提出關(guān)于IT安全的機密性，完整性，可用性，審計性，認證性，可靠性6個方面的含義。并提出了以風(fēng)險為核心的安全模型。8：國際標(biāo)準(zhǔn)化主要組織有國際標(biāo)準(zhǔn)化組織（ISO）,國際電工委員會（IEC），國際電信聯(lián)盟（ITU），Internet工程任務(wù)組（IETF）等。9：信息安全管理基本技術(shù)從物理安全，網(wǎng)絡(luò)安全，主機安全，應(yīng)用安全和數(shù)據(jù)安全五個層面提出 信息安全管理基本管理要求從安全管理制度，安全管理機構(gòu)，人員安全管理，系統(tǒng)建設(shè)管理和系統(tǒng)運維管理五個層面提出。 基本技術(shù)要求和基本管理要求是確保信息系統(tǒng)安全不可分割的兩個部分。 10：信息系統(tǒng)的安全保護等級由兩個等級要素決定：等級保護對象受到破壞時所侵害的客體和對客體造成的危害程度11：信息系統(tǒng)安全保護等級劃分準(zhǔn)則的四個要素：業(yè)務(wù)信息類型，業(yè)務(wù)信息受到破壞影響的客體，系統(tǒng)服務(wù)類型和系統(tǒng)服務(wù)受到破壞影響的客體12：國家秘密的保密期限除另有規(guī)定外，絕密級不超過三十年，機密級不超過二十年，秘密級不超過十年。13：國家對商用密碼產(chǎn)品的科研，生產(chǎn)，銷售和使用實行?？毓芾?。
公司管理相關(guān)推薦
鄂ICP備17016276號-1