信息安全保障VPPT课件.pptx
《信息安全保障VPPT课件.pptx》由会员分享,可在线阅读,更多相关《信息安全保障VPPT课件.pptx(93页珍藏版)》请在咨信网上搜索。
1、信息安全保障信息安全保障讲师姓名 机构名称版本:4.0课程内容程内容2信息安全保障信息安全保障知知识域域知知识子域子域信息安全概念信息安全概念信息安全保障工作信息安全保障工作安全保障框架安全保障框架信息安全工程信息安全工程信息安全保障新信息安全保障新领域域知知识子域:信息安全保障基子域:信息安全保障基础v信息安全定义及理解理解信息安全定义及信息安全问题狭义、广义两层概念及区别;理解信息安全问题的根内因和外因;理解信息安全是系统的安全、动态的安全、无边界的安全、非传统的安全等相关概念;v信息安全属性理解信息安全属性的概念及CIA三元组(保密性、完整性、可用性)的概念;了解真实性、不可否认性、可问
2、责、可控性等其他不可缺少的信息安全属性概念;3对信息安全的定信息安全的定义vISO对信息安全的定义“为数据处理系统建立和采取技术、管理的安全保护,保护计算机硬件、软件、数据不因偶然的或恶意的原因而受到破坏、更改、泄露”v其他相关定义美国法典中的定义欧盟的定义4信息安全信息安全问题v狭义的信息安全问题是建立在以IT技术为主的安全范畴v广义的信息安全问题是一个跨学科领域的安全问题安全的根本目的是保证组织业务可持续性运行信息安全应该建立在整个生命周期中所关联的人、事、物的基础上,综合考虑人、技术、管理和过程控制,使得信息安全不是一个局部而是一个整体安全要考虑成本因素信息系统不仅仅是业务的支撑,而是业
3、务的命脉5信息安全信息安全问题的根源及特征的根源及特征v信息安全问题的根源内因:息系统复杂性导致漏洞的存在不可避免外因:环境因素、人为因素v信息安全的特征系统的安全动态的安全无边界的安全非传统的安全6信息信息安全安全属性属性v基本属性保密性完整性可用性v其他属性真实性可问责性不可否认性可靠性7知知识子域:信息安全概念子域:信息安全概念v信息安全视角了解国家视角对信息安全关注点(网络战、关键基础设施保护、法律建设与标准化)相关概念;了解企业视角对信息安全关注点(业务连续性管理、资产保护、合规性)相关概念;了解个人视角对信息安全关注点(隐私保护、个人资产保护、社会工程学)相关概念;8信息安全信息安
4、全视角角9国家视角网络战国家关键基础设施保护法律建设与标准化商业视角业务连续性管理可遵循的资产保护合规性个人视角隐私保护社会工程学个人电子资产安全国家国家视角角v网络战“一个民族国家为了造成损害或破坏而渗透另一个国家的计算机或网络的行动”网络战其作为国家整体军事战略的一个组成部分已经成为趋势10国家国家视角角v国家关键基础设施保护2016年11月通过的网络安全法第三章第二节第三十一条定义了我国关键基础设施,“公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域,以及其他一旦遭到破坏、丧失功能或者数据泄露,可能严重危害国家安全、国计民生、公共利益的基础设施”为关键基础设
5、施。11国家国家视角角v法律建设与标准化由于互联网的开放、自由和共有的脆弱性,使国家安全、社会公共利益以及个人权利在网络活动中面临着来自各方面的威胁,国家需要在技术允许的范围内保持适当的安全要求。所谓适度安全是指安全保护的立法的范围要和应用的重要性相一致,不要花费过多的成本,限制信息系统的可用性。信息安全风险具有“不可逆”的特点,需要信息安全法律采取以预防为主的法律原则。但是由于信息安全威胁的全局性特点,其法律原则更应当采取积极主动的预防原则。12商商业视角角vBCM也叫业务连续性管理(Business continuity manager)一项应对组织业务发生重大中断时产生综合管理流程它使企
6、业认识到潜在的危机和相关影响,制订响应、业务和连续性的恢复计划总体目标是为了提高企业的风险防范能力,以有效地响应非计划的业务破坏并降低不良影响。13商商业视角角v可遵循的资产保护我们要保护什么?我们有什么?我们用他来做什么?我们需要保护他们吗?在安全事件降临时,我们优先保护什么?我们所保护的资产是组织的核心资产吗?在一个合理的成本情况下,我们需要放弃什么?14商商业视角角v合规性合规性两个层面的问题:法律法规的合规,如:知识产权侵犯,符合落地国法律的网络监控行为和数据出口行为;标准的合规性,如:第三方支付卡业务所需要的PCI-DSS;政府、国企所需要的信息安全等级保护等等标准规范文件。监管合规
7、性描述了组织在努力确保他们意识到并采取措施遵守相关法律,政策和法规的过程中希望实现的目标。15个人个人视角角v从个人角度而言,这不仅仅是一个技术问题,还是一个社会问题、法律问题以及道德问题。v隐私保护由于隐私问题在我国法律中没有明确定义,因此隐私侵犯在互联网中比比皆是,常见的问题如:恶意发布他人身份信息、医疗健康信息、注册信息被泄露后被用作电信诈骗等等。v社会工程学社会工程学的实质是一种通过对受害者心理弱点、本能反应、好奇心、信任、贪婪等心理陷阱进行诸如欺骗、伤害等危害手段取得自身利益的手法。16个人个人视角角v个人电子资产安全当互联网不断在发展过程中,越来越多的互联网技术与个人生活息息相关。
8、人们在不同的业务交互中紧密关联互联网,如:互联网社交、互联网支付、互联网政务平台以及智能家居等。v常见问题哪些信息资产被恶意利用后会形成人身的损害?哪些信息资产被恶意利用后会形成财务的损失?哪些信息资产被恶意利用后会形成法律责任?17知知识子域:信息安全概念子域:信息安全概念v信息安全发展阶段了解信息技术发展的变革及信息安全发展阶段;理解通信安全、计算机安全、网络安全、安全保障、网络空间安全等各个阶段的核心安全需求、主要技术措施及阶段的标志等概念;v信息安全国家战略了解国家网络空间面临的机遇与挑战,国家网络空间安全战略提出的目标、原则及任务等;18网网络空空间安全安全网网络安全安全计算机安全算
9、机安全通信安全通信安全信息安全信息安全发展展阶段段19v20世纪,40年代-70年代v主要关注传输过程中的数据保护v安全威胁:搭线窃听、密码学分析v核心思想:通过密码技术解决通信保密,保证数据的保密性和完整性v安全措施:加密通信安通信安全全20影响现代通信安全因素越来越多,针对移动通信的伪基站、对通信链路的破坏、干扰等因素计算机安全算机安全v20世纪,70-90年代v主要关注于数据处理和存储时的数据保护v安全威胁:非法访问、恶意代码、脆弱口令等v核心思想:v预防、检测和减小计算机系统(包括软件和硬件)用户(授权和未授权用户)执行的未授权活动所造成的后果。v安全措施:通过操作系统的访问控制技术来
10、防止非授权用户的访问21网网络安全安全v20世纪,90年代后v主要关注信息系统整体安全v安全威胁:网络入侵、病毒破坏、信息对抗等v核心思想:重点在于保护比“数据”更精炼的“信息”v 安全措施:防火墙、防病毒、漏洞扫描、入侵检测、PKI、VPN等22把信息系统安全从技术扩展到管理,从静态扩展到动态,通过技术、管理、工程等措施的综合融合至信息化中,形成对信息、信息系统乃至业务使命的保障网网络空空间安全安全v互联网已经将传统的虚拟世界与物理世界相互连接,形成网络空间v新技术领域融合带来新的安全风险工业控制系统“云大移物智”v核心思想:强调“威慑”概念23将防御、威慑和利用结合成三位一体的网络空间安全
11、保障威威胁情情报与与态势感知感知v情报是我们所处世界中的知识和预判,是政策制定者决策和行动的先导v威胁情报在信息安全中的重要性网络威胁轮廓的改变使得组织机构需要应对的威胁类型不断增多技术的发展及改变使得组织机构无法提供用于威胁情报分析的资源、能力和知识技能组织机构必须响应数量巨大的安全漏洞和攻击行为,因此如何有效的找到需要优先应对问题成为关键组织机构必须应对信息技术快速发展使得技术范围和环境不断扩展这一问题24威威胁情情报分析案例分析案例25态势感知感知v概念起源于20 世纪80 年代的美国空军:分析空战环境信息,快速判断当前及未来形势并做出正确反应v建立在威胁情报的基础上v利用大数据和高性能
12、计算为支撑,综合如IDS、IPS、防火墙、防病毒等提供的数据,对相关的形式化及非形式化数据(已知的攻击行为、可能的攻击行为、进行中的攻击行为、漏洞等)进行分析,并形成对未来网络威胁状态进行预判以便调整安全策略,实现“御敌于国门之外”的策略26国家网国家网络空空间安全安全战略略v国家互联网信息办公室2016年12月发布七大机遇六项挑战五个总体目标四项原则九项战略任务27知知识子域:子域:安全保障框架安全保障框架v基于时间的PDR与PPDR模型理解基于时间的PDR模型的核心思想及出发点;理解PPDR模型与PDR模型的本质区别;了解基于时间的判断系统安全性的方式;28基于基于时间的的PDRPDR与与
13、PPDRPPDR模型模型vPDR(Protection-Detection-Response,PDR)模型v思想:承认漏洞,正视威胁,采取适度防护、加强检测工作、落实响应、建立对威胁的防护来保障系统的安全。v出发点:任何安全防护措施都是基于时间的,超过该时间段,这种防护措施是可能被攻破的。v信息系统的攻防时间表。攻击时间防守时间29基于基于时间的的PDRPDR与与PPDRPPDR模型模型30系系统审计、分析、分析 入侵入侵检测 定定时响响应(警告、拒(警告、拒绝服服务)系系统的第的第一道一道防防线防止防止远程程攻攻击文件、数据安全文件、数据安全应用服用服务层安全安全系系统服服务层安全安全系系统
14、内核安全内核安全物理安全物理安全系系统的第的第二道二道防防线防止防止内部内部权限限提升提升系系统备份份安安全全措措施施文件、数据安全文件、数据安全应用服用服务层安全安全系系统服服务层安全安全系系统内核安全内核安全物理安全物理安全漏洞分析漏洞分析 检测 漏洞修漏洞修补protectionReactionDetection攻攻击者者vPPDR模型(Policy-Protection-Detection-Response,PPDR)v核心:所有的防护、检测、响应都是依据安全策略实施。基于基于时间的的PDRPDR与与PPDRPPDR模型模型31基于基于时间的的PDRPDR与与PPDRPPDR模型模型v
15、策略(P)信息系统的安全策略,包括访问控制策略、加密通信策略、身份认证策略、备份恢复策略等。策略体系的建立包括安全策略的制定、评估与执行等;v防护(P)通过部署和采用安全技术来提高网络的防护能力,如访问控制、防火墙、入侵检测、加密技术、身份认证等技术;v检测(D)利用信息安全检测工具,监视、分析、审计网络活动,了解判断网络系统的安全状态。使安全防护从被动防护演进到主动防御,整个模型动态性的体现。主要方法包括:实时监控、检测、报警等;v响应(R)检测到安全漏洞和安全事件时,通过及时的响应措施将网络系统的安全性调整到风险最低的状态,包括恢复系统功能和数据,启动备份系统等。其主要方法包括:关闭服务、
16、跟踪、反击、消除影响等。32基于基于时间的的PDRPDR与与PPDRPPDR模型模型vP2DR模型中的数学法则假设S系统的防护、检测和反应的时间分别是Pt(防护时间、有效防御攻击的时间)Dt(检测时间、发起攻击到检测到的时间)Rt(反应时间、检测到攻击到处理完成时间)假设系统被对手成功攻击后的时间为Et(暴露时间)则该系统防护、检测和反应的时间关系如下:如果PtDtRt,那么S是安全的;如果PtDtRt,那么Et(DtRt)Pt。33基于基于时间的的PDRPDR与与PPDRPPDR模型模型v与PDR模型相比,P2DR模型则更强调控制和对抗,即强调系统安全的动态性v以安全检测、漏洞监测和自适应填
17、充“安全间隙”为循环来提高网络安全。vP2DR模型考虑了管理因素,它强调安全管理的持续性、安全策略的动态性,以实时监视网络活动、发现威胁和弱点来调整和填补网络漏洞。v模型强调检测的重要性,通过经常对网络系统的评估把握系统风险点,及时弱化甚至消除系统的安全漏洞。34知知识子域:信息安全保障框架子域:信息安全保障框架v信息安全保障技术框架理解信息安全保障技术框架(IATF)的深度防御的核心思想、三个核心要素及四个焦点领域;了解保护区域边界的原则和技术实现方式;了解保护计算环境的原则和技术实现方式;了解保护网络基础设施的原则和技术实现方式;了解支撑性基础设施建设的概念及技术实现;35信息保障技信息保
18、障技术框架框架v信息保障技术框架(Information Assurance Technical Framework,IATF),美国国家安全局(NSA)制定的,为保护美国政府和工业界的信息与信息技术设施提供技术指南。v核心思想:“深度防御”三个要素:人、技术、操作四个焦点领域保护网络和基础设施保护区域边界保护计算环境支持性基础设施36技术操作深度防御深度防御战略略人 人人 通通过 技技术 进行行 操作操作计算环境 区域边界网络基础设施支撑性基础设施密钥管理检测响应成功的成功的组织功能功能信息安全保障(信息安全保障(IA)信息保障技信息保障技术框架框架37信息保障信息保障技技术框架框架-核心要
19、素核心要素v人人(PeoplePeople):信息保障体系的核心,是第一位的要素,同时也是最脆弱的。基于这样的认识,安全管理在安全保障体系中愈显重要,包括:意识培训、组织管理、技术管理、操作管理v技技术(TechnologyTechnology):技术是实现信息保障的重要手段。动态的技术体系:防护、检测、响应、恢复v操作(操作(OperationOperation):也叫运行,构成安全保障的主动防御体系。是将各方面技术紧密结合在一起的主动的过程,包括风险评估、安全监控、安全审计跟踪告警、入侵检测、响应恢复38信息保障信息保障技技术框架框架-焦点焦点领域域v本地计算环境它包括服务器、客户以及其上
20、所安装的应用程序。这些应用程序能够提供包括(但不仅限于)调度(或时间管理)、打印、字处理或目录在内的一些服务。39信息保障信息保障技技术框架框架-焦点焦点领域域v区域边界“区域”指是通过局域网相互连接、采用单一安全策略并且不考虑物理位置的本地计算设备的集合。目标:对进出某区域(物理区域或逻辑区域)的数据流进行有效的控制与监视。40信息保障信息保障技技术框架框架-焦点焦点领域域v保护网络基础设施目标:网络和支持它的基础设施必须防止数据非法泄露防止受到拒绝服务的攻击防止受到保护的信息在发送过程中的时延、误传或未发送。方法:骨干网可用性无线网络安全框架系统高度互联和虚拟专用网。41信息保障信息保障技
21、技术框架框架-焦点焦点领域域v支撑性基础设施信息技术环境也包括作为网络、区域和计算环境中信息保障机制支持基础的支持性基础设施。IATF 所讨论的两个范围分别是:密钥管理基础设施(KMI),其中包括公钥基础设施(PKI);检测与响应基础设施。密钥管理基础设施KMI 提供一种通用的联合处理方式,以便安全地创建、分发和管理公钥证书和传统的对称密钥,使它们能够为网络、区域和计算环境提供安全服务。检测与响应检测与响应基础设施能够迅速检测并响应入侵行为。检测与响应基础设施需要入侵检测与监视软件等技术解决方案以及训练有素的专业人员(通常指计算机应急响应小级(CERT)的支持。42信息保障技信息保障技术框架示
22、例框架示例43知知识子域:信息安全保障框架子域:信息安全保障框架v信息系统安全保障评估框架理解信息系统保障相关概念及信息安全保障的核心目标;了解信息系统保障评估的相关概念和关系;理解信息系统安全保障评估模型主要特点,生命周期、保障要素等概念;44信息系信息系统安全保障安全保障评估框架估框架v信息系统用于采集、处理、存储、传输、分发和部署信息的整个基础设施、组织结构、机构人员和组件的总和。v信息系统安全风险是具体的风险,产生风险的因素主要有信息系统自身存在的漏洞和来自系统外部的威胁。信息系统运行环境存在特定威胁动机的威胁源。v信息系统安全保障在信息系统的整个生命周期中,通过对信息系统的风险分析,
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 信息 安全 保障 VPPT 课件
1、咨信平台为文档C2C交易模式,即用户上传的文档直接被用户下载,收益归上传人(含作者)所有;本站仅是提供信息存储空间和展示预览,仅对用户上传内容的表现方式做保护处理,对上载内容不做任何修改或编辑。所展示的作品文档包括内容和图片全部来源于网络用户和作者上传投稿,我们不确定上传用户享有完全著作权,根据《信息网络传播权保护条例》,如果侵犯了您的版权、权益或隐私,请联系我们,核实后会尽快下架及时删除,并可随时和客服了解处理情况,尊重保护知识产权我们共同努力。
2、文档的总页数、文档格式和文档大小以系统显示为准(内容中显示的页数不一定正确),网站客服只以系统显示的页数、文件格式、文档大小作为仲裁依据,平台无法对文档的真实性、完整性、权威性、准确性、专业性及其观点立场做任何保证或承诺,下载前须认真查看,确认无误后再购买,务必慎重购买;若有违法违纪将进行移交司法处理,若涉侵权平台将进行基本处罚并下架。
3、本站所有内容均由用户上传,付费前请自行鉴别,如您付费,意味着您已接受本站规则且自行承担风险,本站不进行额外附加服务,虚拟产品一经售出概不退款(未进行购买下载可退充值款),文档一经付费(服务费)、不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。
4、如你看到网页展示的文档有www.zixin.com.cn水印,是因预览和防盗链等技术需要对页面进行转换压缩成图而已,我们并不对上传的文档进行任何编辑或修改,文档下载后都不会有水印标识(原文档上传前个别存留的除外),下载后原文更清晰;试题试卷类文档,如果标题没有明确说明有答案则都视为没有答案,请知晓;PPT和DOC文档可被视为“模板”,允许上传人保留章节、目录结构的情况下删减部份的内容;PDF文档不管是原文档转换或图片扫描而得,本站不作要求视为允许,下载前自行私信或留言给上传者【可****】。
5、本文档所展示的图片、画像、字体、音乐的版权可能需版权方额外授权,请谨慎使用;网站提供的党政主题相关内容(国旗、国徽、党徽--等)目的在于配合国家政策宣传,仅限个人学习分享使用,禁止用于任何广告和商用目的。
6、文档遇到问题,请及时私信或留言给本站上传会员【可****】,需本站解决可联系【 微信客服】、【 QQ客服】,若有其他问题请点击或扫码反馈【 服务填表】;文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“【 版权申诉】”(推荐),意见反馈和侵权处理邮箱:1219186828@qq.com;也可以拔打客服电话:4008-655-100;投诉/维权电话:4009-655-100。