信息安全的體系結(jié)構(gòu)-文庫吧資料
2025-02-22 14:00本頁面
【正文】 構(gòu) CC評(píng)估 /測(cè)試實(shí)驗(yàn)室 ISO導(dǎo)則 25要求 IT產(chǎn)品 評(píng)估結(jié)果 技術(shù) 監(jiān)督 實(shí)驗(yàn)室 認(rèn)證報(bào)告 產(chǎn)品 實(shí)驗(yàn)室認(rèn)可機(jī)構(gòu) 評(píng)估發(fā)起者 技術(shù)支持 方案需求 3 中國信息安全測(cè)評(píng)認(rèn)證中心 ●國家技術(shù)監(jiān)督局 1999年 2號(hào)公告發(fā)布，開展以下四種認(rèn)證業(yè)務(wù)： 1）產(chǎn)品信號(hào)認(rèn)證：認(rèn)證的基礎(chǔ)形式。 2 國家信息安全 測(cè)評(píng)認(rèn)證體系 ●組織結(jié)構(gòu)：專門的測(cè)評(píng)認(rèn)證機(jī)構(gòu)（國家安全或情報(bào)部門控制），管理多個(gè) CC評(píng)估 /測(cè)試實(shí)驗(yàn)室。 ISO著手國際標(biāo)準(zhǔn) ●由于全球 IT市場(chǎng)發(fā)展，國際標(biāo)準(zhǔn)可以減少各國開支，推動(dòng)全球信息化發(fā)展。美國 NSA和 NIST、 加拿大 CSE和英國 CESG隨后加入。 通用準(zhǔn)則的內(nèi)容分三部分 ●簡介和一般模型 ●安全功能要求 ●安全保證要求 我國也將采用這一標(biāo)準(zhǔn)對(duì)產(chǎn)品、系統(tǒng)和系統(tǒng)方案進(jìn)行測(cè)試、評(píng)估和認(rèn)可。 1991歐洲 ITSEC 1985美國 TCSEC 1990加拿大CTCPEC 1996國際 通用準(zhǔn)則 CC 1999國際標(biāo)準(zhǔn)ISO15408 1991美國聯(lián)邦 準(zhǔn)則 FC ?目前，我國共制定了 50多個(gè)與信息安全有關(guān)的標(biāo)準(zhǔn)，例如： ? (1)GB 49432023 《信息技術(shù)設(shè)備的安全》。 通用準(zhǔn)則 CC ●評(píng)估信息技術(shù)產(chǎn)品和系統(tǒng)安全特性的基礎(chǔ)準(zhǔn)則。 ISO著手國際標(biāo)準(zhǔn) ●由于全球 IT市場(chǎng)發(fā)展，國際標(biāo)準(zhǔn)可以減少各國開支，推動(dòng)全球信息化發(fā)展。 TCSEC ●安全級(jí)別由高到低分為 A、 B、 C、 D四類，每類之下又分為 A B B BC C D七級(jí)。 1 信息安全度量基準(zhǔn) ●美國是信息安全測(cè)評(píng)認(rèn)證的發(fā)源地。其中 列表述 . 相關(guān)的國際標(biāo)準(zhǔn)化組織 ?電氣和電子工程師學(xué)會(huì) IEEE(Institute of Electrical and Electronic Engineers)，近年來關(guān) 注公開密鑰密碼標(biāo)準(zhǔn)化工作，如P1363； 相關(guān)的國際標(biāo)準(zhǔn)化組織 ?Inter體系結(jié)構(gòu)委員會(huì) IAB(Inter Architecture Board)，在報(bào)文加密和鑒別，證書的密鑰管理，算法模塊和識(shí)別，密鑰證書和相關(guān)服務(wù)方面提出不少建議，如 RFC1421 RFC1424，其中包括 MD DES、 RC PGP等密碼用法建議 相關(guān)的國際標(biāo)準(zhǔn)化組織 ?美國國家標(biāo)準(zhǔn)局 NBS(National Bureau of Standards) 相關(guān)的國際標(biāo)準(zhǔn)化組織 ?美國國家技術(shù)研究所 NIST(National Institute of Standard and Technology)，NBS和 NIST 隸屬于美國商業(yè)部。 3）安全事件記錄，反饋。規(guī)定了 127種安全控制指南，對(duì)計(jì)算機(jī)網(wǎng)絡(luò)與信息安全的控制措施做了詳盡的描述。 ●管理：內(nèi)部管理制度，安全意識(shí)，黑客入侵，內(nèi)部人員誤操作引起的后果。而且，這樣的定義為安全問題的解決給出了明確的方向：提高系統(tǒng)的防護(hù)時(shí)間 Pt，降低檢測(cè)時(shí)間 Dt和響應(yīng)時(shí)間 Rt。針對(duì)于需要保護(hù)的安全目標(biāo)，如果 Et越小系統(tǒng)就越安全。比如，對(duì) Web Server被破壞的頁面進(jìn)行恢復(fù)。 Dt代表從入侵者破壞了安全目標(biāo)系統(tǒng)開始，系統(tǒng)能夠檢測(cè)到破壞行為所花費(fèi)的時(shí)間。 ? 公式 2： Et = Dt + Rt，如果 Pt = 0。Rt代表從發(fā)現(xiàn)入侵行為開始，系統(tǒng)能夠做出足夠的響應(yīng)，將系統(tǒng)調(diào)整到正常狀態(tài)的時(shí)間。 ? Pt代表系統(tǒng)為了保護(hù)安全目標(biāo)設(shè)置各種保護(hù)后的防護(hù)時(shí)間。當(dāng)然攻擊成功花費(fèi)的時(shí)間就是安全體系提供的防護(hù)時(shí)間 Pt；在入侵發(fā)生的同時(shí)，檢測(cè)系統(tǒng)也在發(fā)揮作用，檢測(cè)到入侵行為也要花費(fèi)時(shí)間 ― 檢測(cè)時(shí)間 Dt；在檢測(cè)到入侵后，系統(tǒng)會(huì)做出應(yīng)有的響應(yīng)動(dòng)作，這也要花費(fèi)時(shí)間 ― 響應(yīng)時(shí)間 Rt。因此可以用時(shí)間來衡量一個(gè)體系的安全性和安全能力。防護(hù)、檢測(cè)和響應(yīng)組成了一個(gè)完整的、動(dòng)態(tài)的安全循環(huán)，在安全策略的指導(dǎo)下保證信息系統(tǒng)的安全。 P2DR模型包括四個(gè)主要部分： Policy(安全策略 )、 Protection(防護(hù) )、 Detection(檢測(cè) )和 Response(響應(yīng) )。 安全服務(wù)與安全機(jī)制關(guān)系 ●一種安全服務(wù)可以通過某種安全機(jī)制單獨(dú)提供，也可以通過多種安全機(jī)制聯(lián)合提供，而且一種安全機(jī)制還可以用于提供一種或多種安全服務(wù)。 ●安全策略：攜帶某些安全標(biāo)簽的數(shù)據(jù)可能被禁止通行。 ●對(duì)等實(shí)體鑒別： 業(yè)務(wù)填充機(jī)制 ●制造假的通信實(shí)例，產(chǎn)生欺騙性的數(shù)據(jù)單元或防止業(yè)務(wù)分析。（防擾亂、丟失、重演） 鑒別交換機(jī)制 ●通過信息交換以確保實(shí)體身份的一種機(jī)制。 數(shù)據(jù)完整性機(jī)制 ●兩個(gè)方面：單個(gè)數(shù)據(jù)單元或字段完整性（附加校驗(yàn)碼）；數(shù)據(jù)單元串或字段串的完整性。 路由。 口令機(jī)制。（可逆與不可逆） 數(shù)字簽名機(jī)制 ●對(duì)數(shù)據(jù)單元簽名 ●驗(yàn)證簽過名的數(shù)據(jù)單元 ●簽名只有利用簽名者的私有信息才能產(chǎn)生出來，這樣在簽名得到驗(yàn)證之后，就可在任何時(shí)候向第三方證明：只有秘密信息的惟一擁有者才能夠產(chǎn)生那個(gè)簽名。 加密 ●保密性：向數(shù)據(jù)或業(yè)務(wù)流信息提供保密性。（防止發(fā)信者欺詐） ●帶遞交證明的不可否認(rèn)：向數(shù)據(jù)發(fā)送者提供遞交的證明。 （數(shù)據(jù)庫的訪問控制） 數(shù)據(jù)保密性 ●連接保密性： 請(qǐng)求中的數(shù)據(jù)不適合加密。 鑒別 ●單向或雙向?qū)嶓w鑒別：防治假冒（在連接或數(shù)據(jù)傳輸期間的某些時(shí)刻使用） ●數(shù)據(jù)源鑒別：但不提供防治數(shù)據(jù)單元復(fù)制或竄改的保護(hù)。 ?其中 5種安全服務(wù)為：鑒別服務(wù)、訪問控制、數(shù)據(jù)完整性、數(shù)據(jù)保密性、抗抵賴性； ?8類安全機(jī)制：加密、數(shù)字簽名、訪問控制、數(shù)據(jù)完整性、數(shù)據(jù)交換、業(yè)務(wù)流填充、路由控制、公證； 安全服務(wù) ●安全服務(wù)是由參與通信的開放系統(tǒng)的某一層所提供的服務(wù)，確保該系統(tǒng)或數(shù)據(jù)傳輸具有足夠的安全性。我國將其作為 GB/T93872標(biāo)準(zhǔn)，并予以執(zhí)行。 ●可靠性（ reliability）： 對(duì)信息系統(tǒng)本身而言。 ●信息安全，首先應(yīng)該是一個(gè)國家宏觀的社會(huì)信息化狀態(tài)是否處于自主控制之下，是否穩(wěn)定，其次才是信息技術(shù)安全
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1