第一講網(wǎng)絡(luò)與信息安全(一)-網(wǎng)絡(luò)與信息安全第一講-閱讀頁
2025-01-30 16:31本頁面
【正文】 傳統(tǒng)評估標準的演變 ? 美國 DoD ? DoD85 TESEC ? TCSEC網(wǎng)絡(luò)解釋（ TNI 1987） ? TCSEC數(shù)據(jù)庫管理系統(tǒng)解釋（ TDI 1991） ? 彩虹系列 Rainbow series ? 歐洲 – ITSEC ? 美國、加拿大、歐洲等共同發(fā)起 Common Criteria(CC) TCSEC ? 準則中，從用戶登錄、授權(quán)管理、訪問控制、審計跟蹤、隱通道分析、可信通道建立、安全檢測、生命周期保障、文本寫作、用戶指南均提出了規(guī)范性要求 ? 可信計算基 (TCB Trusted Computing Base) ? 計算機系統(tǒng)中的負責執(zhí)行一個安全策略的包括硬件、軟件、固件組合的保護技巧的全體。一個 TCB的能力是正確的依靠系統(tǒng)管理人員的輸入有關(guān)安全策略的參數(shù)，正確獨立地執(zhí)行安全策略。假設(shè)有一定的物理保障，該標準適合政府和軍隊，不適和企業(yè)。 ? NCSC的 TNI是把 TCSEC的思想用到網(wǎng)絡(luò)上，缺少成功實踐的支持。不允許長時間進行計算機安全建設(shè)，計算機安全建設(shè)要跟隨計算機發(fā)展的規(guī)律。他們的工作成為歐共體信息安全計劃的基礎(chǔ)，并對國際信息安全的研究、實施帶來深刻的影響。 通用評價準則（ CC） ? 美國為了保持他們在制定準則方面的優(yōu)勢，不甘心 TCSEC的影響被 ITSEC取代，他們采取聯(lián)合其他國家共同提出新的評估準則的辦法體現(xiàn)他們的領(lǐng)導作用。它的全稱是 Common Criteria for IT security Evaluation 。 通用評價準則（ CC） ? 它的基礎(chǔ)是歐州的 ITSEC， 美國的包括 TCSEC 在內(nèi)的新的聯(lián)邦評價標準，加拿大的 CTCPEC， 以及 國際標準化組織 ISO :SC27 WG3 的安全評價標準 ? 1995年頒布 ， 1996年 1月出版了 1．0版。 ? 19981115 成為 ISO/IEC 15408信息技術(shù) 安全技術(shù) IT安全評價準則 CC標準評價的三個方面 ? CC標準評價的三個方面 ? 保密性 （ confidentiality） ? 完整性 （ integrity） ? 可用性 （ availability） ? CC標準中未包含的內(nèi)容： ? 行政管理安全的評價準則 ? 電磁泄露 ? 行政管理方法學和合法授權(quán)的結(jié)構(gòu) ? 產(chǎn)品和系統(tǒng)評價結(jié)果的使用授權(quán) ? 密碼算法質(zhì)量的評價 CC標準的讀者對象 ? 用戶：通過風險和策略的分析，比較評價的不同產(chǎn)品和系統(tǒng)，選擇適合自己使用的產(chǎn)品和系統(tǒng)。 ? 評價者：正式審查評價目標時為評價者提供一個評價準則，用于評價評價目標（ TOE） 和安全要求的一致性 ? 其它：對于對 IT安全有興趣和有責任的人起到一個導向和參考材料的作用，機構(gòu)中的系統(tǒng)監(jiān)管和安全官員確定安全策略和要求 CC評價準則的結(jié)構(gòu) ? 第一部分：介紹和總體模型 ? 對 CC評價準則的介紹。 ? 第二部分：安全功能要求 ? 用標準化的方法對評價目標（ TOE） 建立一個明確的安全要求的部件功能集合。對保護方案（ PP） 和安全目標（ ST） 進行定義，并且對安全評價目標（TOE） 提出安全評價保證級別（ EAL） Evaluation Assurance Levels (EALs) EAL EAL1 EAL2 EAL3 EAL4 EAL5 EAL6 Name 功能化測試 結(jié)構(gòu)化測試 方法學測試和檢查 方法學設(shè)計測試和檢查 半形式化設(shè)計和檢查 半形式化校驗，設(shè)計和測試 形式化校驗設(shè)計和測試 TCSEC C1 C2 B1 B2 B3 A1 EAL7 我國的標準化工作 ? 我國是國際標準化組織的成員國，我國的信息安全標準化工作在各方面的努力下，正在積極開展之中。 ? ?? ? 但是，應(yīng)該承認，標準的制定需要較為廣泛的應(yīng)用經(jīng)驗和較為深入的研究背景。 學習體會 ? 信息安全內(nèi)容廣闊 ? 密碼學 ? 網(wǎng)絡(luò)安全 ? 系統(tǒng)安全 ? 安全的信息系統(tǒng) ? 涉及到許多其它領(lǐng)域的知識 ? 實踐性強 ? 學習方法 ? 閱讀一些系統(tǒng)性較強的教材 ? 找到經(jīng)典的論文 ? 案例研究 本課程的目的 ? 提高安全意識 ? 掌握網(wǎng)絡(luò)攻防技術(shù)的原理、方法和工具 ? 信息系統(tǒng)的安全解決方案 ? 掌握 Inter的安全性 課程基礎(chǔ)知識 ? 密碼學 ? 計算機網(wǎng)絡(luò) (TCP/IP) ? 操作系統(tǒng) (UNIX和 Windows) ? 程序設(shè)計 課程內(nèi)容 ? 信息安全技術(shù)簡介以及基礎(chǔ)知識 ? 信息系統(tǒng)的基本問題和解決手段 ? 基本的認證手段、訪問控制技術(shù) ? PKI ? SSL/TLS ? MIME/SET等 ? 網(wǎng)絡(luò)安全技術(shù) ? Firewall ? IDS ? 各種攻擊和防御技術(shù) 課程內(nèi)容 (續(xù) ) ? 系統(tǒng)安全 ? 防病毒 ? 構(gòu)造安全的 Web應(yīng)用 ? 數(shù)字版權(quán)保護 ? 信息安全研究新方向 ? 存活性研究 ? AAA框架 ? IPv6中的安全性 考核辦法 ? 作業(yè) 50% ? 2次 ? 考試 50% 參考書籍 ?William Stallings, Cryptography and work security: principles and practice, Second Edition ?Hacking Exposed (2nd or 3rd Edition) ?其他準備知識的書籍 ? TCP/IP ? OS ? Windows NT/2023 結(jié)束
教學課件相關(guān)推薦
鄂ICP備17016276號-1