1、陽光培訓課 程 內 容第一章 信息安全概述第二章 信息安全管理基礎第三章 信息安全等級保護第四章 信息安全管理第五章 信息安全監管第一章 信息安全概述信息安全現狀國內大多數部門的IT系統已經具有一定的規模，并且在支撐其正常運營和業務發展方面發揮著重要作用；缺乏成體系的信息安全管理，使得IT系統處于經不起風浪的“亞健康”狀態，難以承受突發安全問題的影響，系統整體運行在較高的信息安全風險水平。信息安全現狀分析存在信息安全問題是合理和必然的，從唯物辨正的角度看待問題，產生信息安全問題也存在著對立統一的兩方面：在協議設計、系統實現、運行維護過程中，總會存在著安全缺陷或者漏洞安全脆弱性Vulnerabi

2、lity，這是決定性的內因。廣泛存在的各類安全威脅，包括來自自然環境的威脅；國家、組織、個人之間的利益沖突導致的人為威脅；以及來自信息技術本身的威脅威脅Threat，這是外因。如何有效解決信息安全問題所有的信息安全技術措施或者管理手段都能歸結為三個方面：彌補安全脆弱性，消除安全問題產生的內因，例如使用操作系統補丁管理，使得系統安全性得到保證，從根本上具備免疫能力；威懾安全威脅，遏制安全問題產生的外因，例如增加計算機機房的監控系統，威懾盜賊闖入機房進行盜竊的動機；切斷內外因之間的聯系途徑，例如設置網絡防火墻，隔離內部網絡和外部網絡，阻止外部黑客對內網服務器進行攻擊。什么是信息？1.1 信息與信息

3、安全什么是信息安全？1.1 信息與信息安全什么是信息安全？1.1 信息與信息安全ISO關于信息安全的定義：為數據處理系統建立和采用的技術和管理的安全保護，保護計算機硬件、軟件和數據不因偶然和惡意的原因遭到破壞、更改和泄露。信息安全保護的對象范圍信息安全的基本原則和最終目標實現信息安全的途徑或者手段1.1 信息與信息安全通信保密階段（COMSEC）關注信息的保密性信息安全發展歷史1.1 信息與信息安全信息安全發展歷史計算機安全（COMPUSEC）和信息系統安全階段（INFOSEC）關注信息的保密性、完整性和可用性1.1 信息與信息安全信息安全發展歷史計算機安全（COMPUSEC）和信息系統安全階

4、段（INFOSEC）關注信息的保密性、完整性和可用性1.1 信息與信息安全信息保障階段（IA）保護和防御信息及信息系統，確保其可用性、完整性、保密性、鑒別、不可否認性等特性。這包括在信息系統中融入保護、檢測、反應功能，并提供信息系統的恢復功能。信息安全發展歷史信息安全的特征？1.1 信息與信息安全機密性Confidentiality確保信息在存儲、使用、傳輸過程中不會泄露給非授權的用戶或者實體完整性Integrity確保信息在存儲、使用、傳輸過程中不被非授權用戶篡改；防止授權用戶對信息進行不恰當的篡改；保證信息的內外一致性可用性Availability確保授權用戶或者實體對于信息及資源的正常使

5、用不會被異常拒絕，允許其可靠而且及時地訪問信息及資源1.1 信息與信息安全信息安全三元組CIA1.1 信息與信息安全信息安全三元組CIA不同的行業對于信息安全CIA三個基本原則的需求側重不同政府及軍隊保密性銀行可用性和完整性電子商務網站可用性絕對的安全不存在 任何安全機制的作用，都是為了在既定的安全目標和允許的投資規模下，有效地抑制和避免系統當前所面臨的安全風險，而不是一勞永逸地解決所有的問題。1.1 信息與信息安全信息安全的基本觀點1.1 信息與信息安全信息安全的基本觀點實現信息安全要依靠技術措施和管理措施的統一，甚至“三分技術、七分管理” 據統計，在所有的計算機安全事件中，約有52%是人為

6、因素造成的，25%由火災、水災等自然災害引起，技術錯誤占10%，組織內部人員作案占10%，僅有3%左右是由外部不法人員的攻擊造成。簡單歸類，屬于管理方面的原因比重高達70%以上。1.1 信息與信息安全時間DtPTRt信息安全模型最著名的PDR模型保護Protect檢測Detect恢復Restore反應React策略PolicyPPDRR模型1.1 信息與信息安全安全域保障，包括三個方面：域內計算環境安全：安全域自身的內部安全；域邊界與互聯安全：安全域與外部區域，或者安全域之間的邊界安全，以及它們進行互聯、互通、互操作的安全；通信傳輸安全：安全域與外部區域，或者安全域之間的數據傳輸的安全。 安全

7、保障體系結構設計1.1 信息與信息安全我國信息安全的內涵 我國的信息安全，重點是保障基礎信息網絡、重要信息系統以及信息內容的安全。基礎信息網絡，包括電信網、廣播電視網以及公共互聯網等網絡，重要信息系統是關系到國計民生的重要領域（銀行、民航、稅務、證券、海關、鐵路、電力等）所依賴的信息系統以及我國各級黨政機關的電子政務信息系統。1.2 信息安全政策1.2 信息安全政策信息化發展九大戰略1推進國民經濟信息化2推行電子政務3建設先進網絡文化4推進社會信息化5完善綜合信息基礎設施6加強信息資源的開發利用7提高信息產業競爭力8建設國家信息安全保障體系9提高國民信息技術應用能力,造就信息化人才隊伍1.2

8、信息安全政策2019 年7 月22 日，國家信息化領導小組第三次會議中共中央 政治局常委、國務院總理、國家信息化領導小組組長溫家寶主持關于加強信息安全保障工作的意見（中辦、國辦發2019 年27 號文）對下一時期的信息安全保障工作提出了九項要求針對規范和加強中國信息安全產品測評認證工作，意見中專門提出“推進信息安全的認證認可工作，規范和加強信息安全產品測評認證工作”意見中指出，“使用國家財政資金建設的信息化項目，要遵照中華人民共和國政府采購法的規定采用國產軟件、設備和服務”.1.3 信息安全法律體系人大關于維護互聯網安全的決定中華人民共和國刑法治安管理處罰法 中華人民共和國電子簽名法中華人民共

9、和國計算機信息系統安全保護條例 計算機信息網絡國際聯網安全保護管理辦法互聯網信息服務管理辦法計算機信息網絡國際聯網管理暫行規定互聯網安全保護技術措施規定計算機病毒防治管理辦法信息系統安全專用產品的檢測和銷售許可證管理辦法互聯網電子公告服務管理規定互聯網站從事登載新聞業務管理暫行規定第二章 信息安全管理基礎.信息安全管理體系信息安全管理的總體原則主要領導負責原則規范定級原則以人為本原則適度安全原則全面防范、突出重點原則系統、動態原則控制社會影響原則.信息安全管理體系信息安全管理的策略分權制衡最小特權選用成熟技術普遍參與.信息安全管理體系信息安全管理的目標合規性流程規范性整體協調性執行落實性變更可

10、控性責任性持續改進計劃性.信息安全管理體系信息安全管理內涵組織建立信息安全管理組織結構，并明確責任制度建立健全的安全管理制度體系人員對人員進行安全教育和培訓，加強人員安全意識.信息安全管理體系管理內容基于信息系統各個層次的安全管理：環境和設備安全、網絡和通信安全、主機和系統安全、應用和業務安全、數據安全基于信息系統生命周期的安全管理：信息系統投入使用之前的工程設計和開發階段、系統的運行和維護階段風險管理：資產鑒別、分類和評價，威脅鑒別和評價，脆弱性評估，風險評估和評級，決策并實施風險處理措施。業務連續性管理符合性管理方針與策略管理風險管理數據/文檔/介質管理應用與業務管理主機與系統管理網絡與通

11、信管理環境與設備管理項目工程管 理運行維護管 理合 規 性 管 理人 員 與 組 織 管 理業務連續性管理.信息安全管理體系信息安全管理體系構成：.信息安全管理標準英國標準協會國際標準化組織信息安全管理實施細則：信息安全管理體系規范：一、.信息安全管理標準1、發展歷程英國標準協會(British Standards Institute, BSI)制訂并發布2019年發布BS7799-1:2019，2019年發布BS7799-2:20192019年修訂和擴展，發布完整的BS7799:20192000年，第一部分被采納為ISO/IEC 17799:20002019年對BS7799-2:2019再次

12、修訂，2019年發布新版本為BS7799-2:2019ISO/IEC 17799:2019和BS7799-2:2019發布BS7799稱為安全管理事實上的標準.信息安全管理標準.信息安全管理標準.信息安全管理標準、 BS7799-1(ISO/IEC17799)安全策略：包括信息安全策略的制訂和管理，例如復查和評估組織安全：包括建立信息安全管理組織機構，明確信息安全責任，第三方和外包安全資產分類與控制：包括建立資產清單、進行信息分類與分級人員安全：包括崗位安全責任和人員錄用安全要求，安全教育與培訓，安全事件的響應.信息安全管理標準、 BS7799-1(ISO/IEC17799)物理與環境安全：包

13、括安全區域控制、設備安全管理等通信與操作管理：包括操作程序和責任，系統規劃和驗收，防范惡意軟件，內務管理，網絡管理，介質安全管理，信息與軟件交換安全訪問控制：包括訪問控制策略，用戶訪問控制，網絡訪問控制，操作系統訪問控制，應用訪問控制，監控與審計，移動和遠程訪問.信息安全管理標準、 BS7799-1(ISO/IEC17799)系統開發與維護：安全需求分析，安全機制設計（應用系統安全，密碼控制，系統文件安全），開發和支持過程的安全控制業務連續性管理：業務連續性計劃的制訂，演習，審核，改進符合性管理：符合法律法規，符合安全策略等.信息安全管理標準、 BS7799-1(ISO/IEC17799)對控

14、制措施的描述不夠細致，導致缺乏可操作性1項控制措施未必適合全部的組織，應當有選擇的參考使用1項控制措施未必全面，可以根據實際情況進行增補.信息安全管理標準.信息安全管理標準.信息安全管理標準.信息安全管理標準.信息安全管理標準.信息安全管理標準.信息安全管理標準.信息安全管理標準.信息安全管理標準、 BS7799-2/ISO 27001（1）信息安全管理體系規范(Specification for Information Security Management System)說明了建立、實施、維護，并持續改進ISMS的要求指導實施者如何利用BS7799-1來建立一個有效的ISMSBSI提供依據

15、BS7799-2所建立ISMS的認證.信息安全管理標準、 BS7799-2（）建立ISMS（PLAN）定義ISMS的范圍和策略識別和評估風險評估現有保證措施準備適用性說明取得管理層對殘留風險的認可，并獲得實施ISMS的授權.信息安全管理標準、 BS7799-2（）實施ISMS（DO）制訂并實施風險處理計劃實施安全控制措施實施安全意識和安全教育培訓實施檢測和響應安全機制.信息安全管理標準、 BS7799-2（）監視和復查ISMS（CHECK）實施監視程序和控制定期復審ISMS的效力定期進行ISMS內部審計復查殘留風險和可接受風險的水平.信息安全管理標準、 BS7799-2（）改進ISMS（ACT

16、）對ISMS實施可識別的改進實施糾正和預防措施確保改進成果滿足預期目標.信息安全管理標準、 BS7799-2（）強調文檔化管理的重要作用，文檔體系包括安全策略適用性聲明實施安全控制的規程文檔ISMS管理和操作規程與ISMS有關的其它文檔.信息安全管理標準.信息安全策略安全策略包括：總體方針，指導性的戰略綱領文件，闡明了企業對于信息安全的看法和立場、信息安全的目標和戰略、信息安全所涉及的范圍、管理組織構架和責任認定、以及對于信息資產的管理辦法等內容針對特定問題的具體策略，闡述了企業對于特定安全問題的聲明、立場、適用辦法、強制要求、角色、責任認定等內容針對特定系統的具體策略，更為具體和細化，闡明了

17、特定系統與信息安全有關的使用和維護規則等內容.信息安全風險管理安全策略的特點：力求全面和明確，不必過于具體和深入需要一個逐漸完善的過程，不可能一蹴而就應當保持適當的穩定性.信息安全風險管理1、所有活動賬號都必須有口令保護。2、生成賬號時，系統管理員應分配給合法用戶一個唯一的口令，用戶在第一次登錄時應更改口令。3、口令必須至少要含有8個字符。4、口令必須同時含有字母和非字母字符。5、必須定期用監控工具檢查口令的強度和長度是否合格。6、口令不能和用戶名或者登錄名相同。7、口令必須至少60天更改一次。口令安全策略.信息安全風險管理8、禁止重用口令。9、必須保存至少12個歷史口令。10、口令不能通過明

18、文電子郵件傳輸。11、所有供應商的默認口令必須更改。12、用戶應在不同的系統中使用不同的口令。13、當懷疑口令泄漏時必須予以更改。14、應該控制登錄嘗試的頻率。口令安全策略.信息安全風險管理1、應當建立全面網絡病毒查殺機制，實現全網范圍內的病毒防治，抑止病毒的傳播。2、所有內部網絡上的計算機在聯入內部網絡之前，都應當安裝和配置殺毒軟件，并且通過管理中心進行更新，任何用戶不能禁用病毒掃描和查殺功能。3、所有內部網絡上的計算機系統都應當定期進行完整的系統掃描。4、從外部介質安裝數據和程序之前，或安裝下載的數據和程序之前，必須對其進行病毒掃描，以防止存在病毒感染操作系統和應用程序。5、第三方數據和程

19、序在安裝到內部網絡的系統之前，必須在隔離受控的模擬系統上進行病毒掃描測試。病毒防治策略.信息安全策風險管理病毒防治策略6、任何內部用戶不能故意制造、執行、傳播、或引入任何可以自我復制、破壞或者影響計算機內存、存儲介質、操作系統、應用程序的計算機代碼7、應當指定專門的部門和人員，負責網絡病毒防治系統的管理維護。8、應當建立網絡病毒防治系統的管理規范，有效發揮病毒防治系統的安全效能。9、應當建立桌面系統病毒防治管理規范，約束和指導用戶在桌面系統上的操作行為，以及對殺毒軟件的配置和管理，達到保護桌面系統、抑止病毒傳播的目的。10、管理機構應當定期對與病毒查殺有關安全管理制度的有效性和實施狀況進行檢查

20、，發現問題，進行改進。 安全教育與培訓策略61可接受使用策略63一、物理安全技術概述 物理安全又叫實體安全（Physical Security），是保護計算機設備、設施（網絡及通信線路）免遭地震、水災、火災、有害氣體和其他環境事故（如電磁污染等）破壞的措施和過程。 實體安全技術主要是指對計算機及網絡系統的環境、場地、設備和通信線路等采取的安全技術措施。 物理安全技術實施的目的是保護計算機及通信線路免遭水、火、有害氣體和其他不利因素(人為失誤、犯罪行為 )的損壞。 第四節 信息安全技術物理安全技術概述 影響計算機網絡實體安全的主要因素如下： 1）計算機及其網絡系統自身存在的脆弱性因素。 2）各種

21、自然災害導致的安全問題。 3）由于人為的錯誤操作及各種計算機犯罪導致的安全問題。 影響物理安全的因素 物理安全包括：環境安全、電源系統安全、設備安全和通信線路安全。 物理安全技術概述 物理安全的內容 1)環境安全：應具備消防報警、安全照明、不間斷供電、溫濕度控制系統和防盜報警。 2)電源系統安全：電源安全主要包括電力能源供應、輸電線路安全、保持電源的穩定性等。 3)設備安全：要保證硬件設備隨時處于良好的工作狀態，建立健全使用管理規章制度，建立設備運行日志。同時要注意保護存儲媒體的安全性，包括存儲媒體自身和數據的安全。 4)通信線路安全：包括防止電磁信息的泄漏、線路截獲，以及抗電磁干擾。 物理安

22、全包括以下主要內容: 1）計算機機房的場地、環境及各種因素對計算機設備的影響。 2）計算機機房的安全技術要求。 3）計算機的實體訪問控制。 4）計算機設備及場地的防火與防水。 5）計算機系統的靜電防護。 6）計算機設備及軟件、數據的防盜防破壞措施。 7）計算機中重要信息的磁介質的處理、存儲和處理手續的有關問題。 物理安全技術概述 物理安全的內容(續) 物理安全技術概述 物理安全涉及的主要技術標準 （1）GB/T 2887-2000 電子計算機場地通用規范 （2）GB/T 9361-1988 計算站場地安全要求 （3）GB/T 14715-1993 信息技術設備用UPS通用技術條件 （4）GB

23、50174-1993 電子計算機機房設計規范 計算機機房建設至少應遵循國標GB/T 2887-2000和GB/T 9361-1988，滿足防火、防磁、防水、防盜、防電擊、防蟲害等要求，并配備相應的設備。 鏈路加密是對通信線路上任何兩個LAN之間的通信鏈路上的數據進行加密。 鏈路加密發生在OSI模型的第一層（物理層）或第二層（數據鏈路層），對用戶來說是不可見的，實際上是由低級網絡協議層實現的傳輸服務。二、通信鏈路加密技術遠程撥號安全協議Radius 遠程接入驗證服務器,也就是認證用的 AAA 就是Radius服務器實現的功能:驗證,計費和授權 三、網絡安全技術1.防火墻 所謂防火墻指的是一個有軟

24、件和硬件設備組合而成、在內部網和外部網之間、專用網與公共網之間的界面上構造的保護屏障. 是一種獲取安全性方法的形象說法，它是一種計算機硬件和軟件的結合，使Internet與Intranet之間建立起一個安全網關，從而保護內部網免受非法用戶的侵入。 防火墻的功能 防火墻對流經它的網絡通信進行掃描，這樣能夠過濾掉一些攻擊，以免其在目標計算機上被執行。 防火墻還可以關閉不使用的端口。而且它還能禁止特定端口的流出通信，封鎖特洛伊木馬。最后，它可以禁止來自特殊站點的訪問，從而防止來自不明入侵者的所有通信。 防火墻的局限性（一）不能防范惡意的知情者 防火墻可以禁止系統用戶經過網絡連接發送專有的信息，但用戶

25、可以將數據復制到磁盤、磁帶上，放在公文包中帶出去。 如果入侵者已經在防火墻內部，防火墻是無能為力的。內部用戶可以竊取數據，破壞硬件和軟件，并且巧妙地修改程序而不接近防火墻。對于來自知情者的威脅，只能要求加強內部管理，如管理制度和保密制度等。不能防范不通過它的連接 防火墻能夠有效地防止通過它的傳輸信息，然而它卻不能防止不通過它而傳輸的信息。 例如，如果站點允許對防火墻后面的內部系統進行撥號訪問，那么防火墻絕對沒有辦法阻止入侵者進行撥號入侵。防火墻的局限性(二)不能防備全部的威脅 防火墻是被動性的防御系統，用來防備已知的威脅，如果是一個很好的防火墻設計方案，就可以防備新的威脅，但沒有一扇防火墻能自

26、動防御所有新的威脅。防火墻不能防范病毒 防火墻一般不能消除網絡上的病毒、木馬、廣告插件等。 2.網絡入侵檢測 對入侵行為的檢測。它通過收集和分析網絡行為、安全日志、審計數據、其它網絡上可以獲得的信息以及計算機系統中若干關鍵點的信息，檢查網絡或系統中是否存在違反安全策略的行為和被攻擊的跡象。 入侵檢測作為一種積極主動地安全防護技術，提供了對內部攻擊、外部攻擊和誤操作的實時保護，在網絡系統受到危害之前攔截和響應入侵。因此被認為是防火墻之后的第二道安全閘門，在不影響網絡性能的情況下能對網絡進行監測。漏洞源自“vulnerability”（脆弱性）。一般認為，漏洞是指硬件、軟件或策略上存在的的安全缺陷

27、，從而使得攻擊者能夠在未授權的情況下訪問、控制系統。 3.網絡脆弱性分析信息安全的“木桶理論”對一個信息系統來說，它的安全性不在于它是否采用了最新的加密算法或最先進的設備，而是由系統本身最薄弱之處，即漏洞所決定的。只要這個漏洞被發現，系統就有可能成為網絡攻擊的犧牲品。漏洞的發現 一個漏洞并不是自己突然出現的，必須有人發現它。這個工作主要是由以下三個組織之一來完成的：黑客、破譯者、安全服務商組織。 每當有新的漏洞出現，黑客和安全服務商組織的成員通常會警告安全組織機構；破譯者也許不會警告任何官方組織，只是在組織內部發布消息。根據信息發布的方式，漏洞將會以不同的方式呈現在公眾面前。 通常收集安全信息

28、的途徑包括：新聞組、郵件列表、Web站點、FTP文檔。 網絡管理者的部分工作就是關心信息安全相關新聞，了解信息安全的動態。管理者需要制定一個收集、分析以及抽取信息的策略，以便獲取有用的信息。 漏洞對系統的威脅 漏洞對系統的威脅體現在惡意攻擊行為對系統的威脅，因為只有利用硬件、軟件和策略上最薄弱的環節，惡意攻擊者才可以得手。 目前，因特網上已有3萬多個黑客站點，而且黑客技術不斷創新，基本的攻擊手法已多達800多種。 目前我國95的與因特網相連的網絡管理中心都遭到過境內外攻擊者的攻擊或侵入，其中銀行、金融和證券機構是黑客攻擊的重點。國內乃至全世界的網絡安全形勢非常不容樂觀。1.主機入侵檢測 HID

29、S全稱是Host-based Intrusion Detection System，即基于主機型入侵檢測系統。作為計算機系統的監視器和分析器，它并不作用于外部接口，而是專注于系統內部，監視系統全部或部分的動態的行為以及整個計算機系統的狀態。 由于HIDS動態地檢查網絡數據包這一特性，它可以檢測到哪一個程序訪問了什么資源以及確保文字處理器不會突然的、無緣無故的啟動并修改系統密碼數據庫。同樣的，不管是往內存、文件系統、日志文件還是其它地方存儲信息，HIDS會一直監控系統狀態，并且核對他們是否還預期相同。四、系統安全技術 HIDS運行依賴與這樣一個原理：一個成功的入侵者一般而言都會留下他們入侵的痕跡

30、。這樣，計算機管理員就可以察覺到一些系統的修改，HIDS亦能檢測并報告出檢測結果。 一般而言，HIDS使用一個它們所監視的目標系統以及文件系統（非必需）的數據庫，HIDS也可以核對內存中未被非法修改的區域。對于每一個正被處理的目標文件來說，HIDS會記錄下他們的屬性（如權限、大小、修改時間等）然后，如果該文件有其文件內容的話，HIDS將會創建一個校驗碼（如SHA1，MD5或類似）。這個校驗碼信息將儲存在一個安全的數據庫中，即校驗碼數據庫，以便將來的核對。1.動態口令認證（1）口令 口令又稱為密碼(Password), 被用來驗證用戶對系統訪問的身份。口令一般分為兩種，一種是一經設置固定不變的靜態口令；一種是不確定隨機變化的動態口令。靜態口令在使用