《信息安全概述形象面向非技术.ppt》由会员分享,可在线阅读,更多相关《信息安全概述形象面向非技术.ppt(46页珍藏版)》请在三一文库上搜索。
1、信息安全概述,安氏中国网络安全专题,信息安全概述,一、信息安全概念 二、信息安全问题和威胁 三、信息安全的特性 四、如何实现信息系统安全,信息安全概述,一、信息安全概念,什么是“信息安全” ?,一、信息安全概念,信息安全概念,信息安全的目标 信息系统中数据与信息的安全与保密 信息系统自身的安全,信息安全的目标,内容的安全,载体的安全,信息安全概念,信息安全的三个方面(BS7799) 机密性(保密性) 完整性(一致性) 可用性(服务连续性),信息安全的经典定义,不同行业、不同用户会有不同的侧重,信息安全概念,安全工作的两个方面,面向数据和信息的安全 面向访问(人)的安全,客体安全,主体安全,信息
2、安全概念,信息安全概述,一、信息安全概念 二、信息安全问题和威胁 三、信息安全的特性 四、如何实现信息系统安全,信息安全概述,二、信息安全问题和威胁,二、信息安全问题和威胁,安全事件及分析 安全问题及分析 安全威胁及分析,信息安全问题和威胁,表象,内涵,国内外安全事件实例(1),2000年春节期间,以Yahoo等为代表的美国众多著名网站遭到黑客攻击 随之而来的席卷全球的大范围黑客攻击事件 我国的一些网站也未能幸免,以黑客攻击为代表的计算机犯罪的 影响越来越大,信息安全问题和威胁,国内外安全事件实例(2),国际上,经常遭到攻击的站点 美国航空航天总署(NASA) 美国白宫 美国国防部五角大楼 北
3、约 各种政府网站等,信息安全问题和威胁,国内外安全事件实例(3),国内一些典型黑客事件 1998年10月26日和12月1日,天津科技网主页,先后两次受到同一群黑客的攻击。 江西、重庆、贵州169(Web主页更改) 我国人权主页被黑客更改 国务院新闻办(遭到黑客组织“地下兵团”攻击),信息安全问题和威胁,国内外安全事件实例(4),美国轰炸中国大使馆期间 海峡两岸黑客之间互相攻击 黑客对日本政府等站点的攻击,信息安全问题和威胁,安全事件动机分析,自我表现 经济利益驱动 政治动机(个体),黑客攻击的动机越来越复杂多样,信息安全问题和威胁,信息犯罪的损失分析,花旗银行 ($14 Million) NA
4、SA (喷汽推进技术) Intel (Pentium 设计) 工商银行扬州案件涉案金额超过¥100万 中行某行案件涉案金额超过¥4000万 山东某银行案件涉案金额超过¥1亿 Yahoo等站点被攻击后损失超过10亿美金,个案损失越来越大,信息安全问题和威胁,国内外典型调查(1),Computer Security Institute分析收集的1000余个攻击实例发现 由于窃取研究成果造成的损失在$25 million-$50 million 72% 的受攻击者承受了损失,只有16%的人报告了他们的损失数量。总损失在$136 million 攻击主要来源 内部攻击 外部黑客 竞争对手 只有 17%
5、 的攻击行为被报告给警方,超过80%由于公司形象问题没有报告 根据CSI和FBI的调查,计算机网络攻击事件的年增长率为22%,信息安全问题和威胁,国内外典型调查(2),根据中国人民银行保卫局统计 从1995年到1998年,银行系统计算机犯罪案件数目以平均每年38%的速度增长 根据公安部统计 目前我国计算机犯罪案件的增长率大于25%,信息安全问题和威胁,信息犯罪越来越猖狂,信息犯罪手法分析,释放病毒 1998年计算机病毒感染事件比1997年增加1倍。 宏病毒入侵占60%,其种类有1300多种,而1996年只有40种 工商银行扬州案件(环境攻击和线路截获) 某银行站点(纯互联网攻击) 手机病毒的传
6、言(移动通信技术和网络技术结合) 借助网络实施其它犯罪 网上敲诈达6亿美元 网上赌博达百亿美元 网上洗钱达千亿美元,信息犯罪的手法越来越丰富,信息安全问题和威胁,信息安全威胁及分析,信息安全问题和威胁,信息安全事件的模式,攻击工具 攻击命令,攻击机制,目标网络,目标系统,攻击者,主体,客体,攻击事件和过程,信息安全问题和威胁,信息安全威胁主体,威胁来源 内部人员(占绝大部分) 准内部人员 外部个人和小组(所谓黑客) 竞争对手和恐怖组织 敌对国家和军事组织 自然和不可抗力,信息安全问题和威胁,信息安全威胁的主体动机,威胁主体动机种类 好奇的黑客(Hacker) 可耻的小偷(Phreaker) 可
7、恶的破坏者(Cracker),信息安全问题和威胁,成为黑客的条件越来越简单,大量公开的黑客站点 www.1 www.r t.org/warez.html www.m www.g www.r www.2 .com www.f t/phrack.html,信息安全问题和威胁,黑客技术越来越简单,获得黑客工具非常容易 SATAN IP Watcher Crack ANV (R) CRACKer 2.0 ZIP ZipCrack V1.0 Zip Microsoft Word Unprotect V1.2 Trinoo & TFN,信息安全问题和威胁,信息安全威胁的客体脆弱性,产生原因 脆弱性
8、分析,信息安全问题和威胁,系统自身导致的脆弱性 原理性 BUG 有意(恶意) 管理不当导致的脆弱性 环境安全脆弱性,客体脆弱性产生的原因,脆弱性产生原因(1),原理性 TCP/IP协议本身(比如: TFTP, SNMP等) 操作系统的动态链接技术 操作系统打补丁(Patch) OLE,信息安全问题和威胁,脆弱性产生原因(2),BUG 从计算机科学的角度看不可避免 很多BUG能够导致安全问题 很多实际系统的边界情况没有得到处理,信息安全问题和威胁,脆弱性产生原因(3),有意制造的 开发者留下的后门: 为了方便系统的开发和调试 忘记关闭 犯罪分子恶意留下的后门 有真实的案例(平帐模块后门),信息安
9、全问题和威胁,脆弱性产生原因(4),管理不当 系统太庞大 技术太复杂 人员管理结构本身可能存在问题 不可避免 需要工具,信息安全问题和威胁,脆弱性产生原因(5),环境安全不可忽视 破门而入(工行扬州案) 火灾 水灾、地震等 非技术威胁需要非技术手段协助解决,信息安全问题和威胁,脆弱性分布分析,环境脆弱性 协议脆弱性 网络脆弱性 操作系统脆弱性 数据库系统脆弱性 应用系统脆弱性 人员及管理脆弱性,信息安全问题和威胁,常见的攻击手段,环境攻击 物理攻击, 实体攻击 系统攻击 试探攻击(侦察) 入侵攻击 拒绝服务攻击(DoS: Denial-of-Service),信息安全问题和威胁,信息安全概述,
10、一、信息安全概念 二、信息安全问题和威胁 三、信息安全的特性 四、如何实现信息系统安全,信息安全的特性,三、信息安全的特性,三、信息安全的特性,潜在性 相对性 层次性 分布性 功能分散性和组合性 时效性/时代性 多样性/复杂性 管理特性,信息安全的特性,“安全”(security)的独特内涵,“防范潜在的危机”,信息安全的特性,“安全”与“性能”的对比,性能 容易量化 可以评价为:低、较低、较高、高 看得见,安全 很难量化 只有两个结果“出事”和“不出事” 容易被忽视,信息安全的特性,信息安全的相对性,安全没有100% 安全只能将风险降到最低,信息安全的层次性,从多个层面解决安全问题 环境、物
11、理、实体 通信 网络(网络协议、网络服务、网络设备等) 主机(操作系统) 数据库管理系统(如:Oracle,Sybase,MS SQL Server等) 应用系统 人员、组织和管理,信息安全的特性,信息安全的分布性,信息系统的分布性决定了安全问题的分布性 水桶效应,信息安全的特性,信息安全的多样性,信息系统的功能多样性增加了安全的复杂性,Web服务,Ftp 服务,Email服务,信息安全的特性,信息安全的时效性和复杂性,飞速发展的信息技术要求安全技术和产品必须及时更新 信息系统有多复杂,信息系统安全问题就有多复杂,信息安全的特性,信息安全的管理特性,信息安全问题归根结底是 管理问题,信息安全的特性,信息安全概述,一、信息安全概念 二、信息安全问题和威胁 三、信息安全的特性 四、如何实现信息系统安全,信息安全概述,四、如何实现信息系统安全,如何实现信息系统安全,一般性步骤 明确保护的对象 判断可能出现的安全问题,要防止的问题 判断可能的威胁和攻击 检查自身的脆弱性 选择安全方案、技术、产品和服务等,如何实现信息系统安全,安全是相对的,权衡 可用性与安全性 易用性与安全性 经济性与安全性 只有相对的安全,没有绝对的安全,信息系统安全,Web & E-Mail: http:/www.is- http:/ jj_zengis-,
链接地址:https://www.31doc.com/p-2881024.html