第七章信息資源的安全管理信息資源安全管理綜述計(jì)算機(jī)軟件安全數(shù)據(jù)庫安全計(jì)算機(jī)網(wǎng)絡(luò)安全信息系統(tǒng)的安全電子商務(wù)安全第七章信息資源的安全管理信息資源安全管理綜述17.1信息資源安全管理綜述信息安全包括四個(gè)方面：信息處理的要求：信息組織的層次：信息運(yùn)行的環(huán)境：信息管理的觀點(diǎn)：信息資源安全針對信息的采集、傳輸、加工、存儲和利用的全過程與這一過程相關(guān)的信息及其載體，各類硬件設(shè)備和軟件等被非法破壞、竊取和使用。7.1信息資源安全管理綜述信息安全包括四個(gè)方面：2信息資源的管理的安全從兩方面加以保證，技術(shù)安全：管理安全：7.1.1系統(tǒng)授權(quán)和數(shù)據(jù)加密技術(shù)1、系統(tǒng)授權(quán)(1)授權(quán)方案(2)授權(quán)實(shí)施識別和驗(yàn)證決定用戶的訪問權(quán)限2、數(shù)據(jù)加密

E加密算法明文x發(fā)端加密密鑰Ke密文y＝Eke（x）D解密算法收端解密密鑰Kd明文x信息資源的管理的安全從兩方面加以保證，E明文x發(fā)端加密密鑰K3單密鑰體制雙密鑰體制加密密鑰Ke密文密鑰產(chǎn)生器明文解密算法Kd密鑰信道解讀后明文KPK密文y明文xCSK受保護(hù)的XyPK截取者X’單密鑰體制加密密鑰密文密鑰產(chǎn)生器明文解密算法密鑰信道解讀后明47.1.2計(jì)算機(jī)犯罪及其防范特征：犯罪方法新、作案時(shí)間短、不留痕跡、內(nèi)部人員犯罪比重增加、犯罪區(qū)域廣、利用技術(shù)或管理漏洞作案。采用的技術(shù)手段：數(shù)據(jù)破壞、特絡(luò)伊木馬、香腸術(shù)、邏輯炸彈、陷阱術(shù)、寄生術(shù)、超級沖殺、異步攻擊、廢品利用、計(jì)算機(jī)病毒、偽造證件。安全控制：數(shù)據(jù)輸入控制通信控制數(shù)據(jù)處理控制數(shù)據(jù)存儲控制訪問控制7.1.2計(jì)算機(jī)犯罪及其防范57.1.3計(jì)算機(jī)病毒及其防范計(jì)算機(jī)病毒的概念特征：傳染性、潛伏性、可觸發(fā)性、欺騙性、衍生性、破壞性種類：引導(dǎo)型、操作系統(tǒng)型、入侵型、文件型病毒、外殼型病毒計(jì)算機(jī)病毒結(jié)構(gòu)和破壞機(jī)理感染標(biāo)志、感染模塊、觸發(fā)模塊、破壞模塊和主控模塊7.1.3計(jì)算機(jī)病毒及其防范6計(jì)算機(jī)病毒的防范措施1)技術(shù)手段軟件預(yù)防硬件預(yù)防2)管理手段社會對計(jì)算機(jī)病毒防范的法律、制度與措施；計(jì)算機(jī)用戶對計(jì)算機(jī)病毒的防范措施計(jì)算機(jī)病毒的防范措施77.1.4信息資源安全管理與審計(jì)安全管理內(nèi)容同一性檢查用戶使用權(quán)限檢查建立運(yùn)行日志安全管理原則多人負(fù)責(zé)原則任期有限原則職責(zé)分離原則安全管理審計(jì)審計(jì)跟蹤入侵檢測7.1.4信息資源安全管理與審計(jì)87.2計(jì)算機(jī)軟件的安全7.2.1威脅軟件的安全主要形式以軟件為手段，獲取未經(jīng)授權(quán)或授權(quán)以外的信息。以軟件為手段，阻礙信息系統(tǒng)的正常運(yùn)行或其他用戶的正常使用。以軟件為對象，破壞軟件完成指定功能，以軟件為對象，復(fù)制軟件。7.2.2軟件安全的基本要求防復(fù)制靜態(tài)分析防動(dòng)態(tài)跟蹤7.2計(jì)算機(jī)軟件的安全7.2.1威脅軟件的安全主要形式97.2.3系統(tǒng)軟件的安全訪問控制自主訪問控制強(qiáng)制訪問控制有限訪問控制共享/獨(dú)占訪問控制隔離控制物理隔離時(shí)間隔離加密隔離邏輯隔離存儲保護(hù)基址/邊界寄存器內(nèi)存標(biāo)志分段技術(shù)所保護(hù)7.2.3系統(tǒng)軟件的安全107.2.4應(yīng)用軟件的安全對數(shù)據(jù)安全的影響對系統(tǒng)服務(wù)的影響注意的問題：

7.2.4應(yīng)用軟件的安全117.3數(shù)據(jù)庫安全7.3.1數(shù)據(jù)庫安全基本概述數(shù)據(jù)庫安全基本概述數(shù)據(jù)庫安全的重要性數(shù)據(jù)庫面臨的安全威脅系統(tǒng)內(nèi)部的威脅人為的威脅外部環(huán)境的威脅數(shù)據(jù)庫基本安全要求數(shù)據(jù)庫完整數(shù)據(jù)元素的完整可審計(jì)存取控制用戶認(rèn)證并發(fā)控制7.3數(shù)據(jù)庫安全7.3.1數(shù)據(jù)庫安全基本概述127.3.2數(shù)據(jù)庫的安全保護(hù)機(jī)制及控制方法1、安全保護(hù)機(jī)制操作系統(tǒng)安全數(shù)據(jù)庫管理系統(tǒng)安全2、安全控制的一般方法口令保護(hù)數(shù)據(jù)庫加密數(shù)據(jù)驗(yàn)證檢查原始憑證錄入數(shù)據(jù)的安全控制數(shù)據(jù)庫授權(quán)7.3.2數(shù)據(jù)庫的安全保護(hù)機(jī)制及控制方法137.4計(jì)算機(jī)網(wǎng)絡(luò)安全特點(diǎn)：易受到攻擊；防范對象難以明確；犯罪手段多樣、不易發(fā)現(xiàn)；安全措施與靈活使用存在矛盾；危害很大。衡量網(wǎng)絡(luò)安全的指標(biāo)有三個(gè)：保密性、可控制性和抗攻擊性7.4.1影響網(wǎng)絡(luò)安全的主要因素網(wǎng)絡(luò)部件的不安全因素電磁泄漏、搭線竊聽、非法終端、非法入侵、注入非法信息、線路干擾、病毒入侵、黑客攻擊。軟件的不安全因素工作人員的不安全因素環(huán)境的不安全因素

7.4計(jì)算機(jī)網(wǎng)絡(luò)安全特點(diǎn)：147.4.2網(wǎng)絡(luò)系統(tǒng)的安全功能1網(wǎng)絡(luò)的安全目標(biāo)2網(wǎng)絡(luò)的安全功能對象認(rèn)證、訪問控制、數(shù)據(jù)保密、數(shù)據(jù)可審查、不可抵賴7.4.3網(wǎng)絡(luò)安全技術(shù)1數(shù)據(jù)加密鏈路加密端－端加密混合加密7.4.2網(wǎng)絡(luò)系統(tǒng)的安全功能152網(wǎng)絡(luò)中密鑰的管理密鑰的種類數(shù)據(jù)加密密鑰基本密鑰主密鑰其他密鑰密鑰的分配只用會話密鑰采用會話和基本密鑰采用公開密鑰密碼體制的密鑰分配。密鑰的注入密鑰的存儲保護(hù)密鑰的更換人2網(wǎng)絡(luò)中密鑰的管理163網(wǎng)絡(luò)中訪問控制用戶身份的識別和驗(yàn)證訪問控制審計(jì)跟蹤4鑒別機(jī)制站點(diǎn)鑒別報(bào)文鑒別報(bào)文內(nèi)容、報(bào)文源、報(bào)文宿、報(bào)文時(shí)間性的鑒別5數(shù)字簽名3網(wǎng)絡(luò)中訪問控制176防火墻技術(shù)目的：基本功能：控制不安全的服務(wù)、站點(diǎn)訪問控制、集中安全保護(hù)、強(qiáng)化私有權(quán)防火墻類型：包過濾型、代理服務(wù)型、電路層網(wǎng)關(guān)、混合型、應(yīng)用網(wǎng)關(guān)和自適應(yīng)代理技術(shù)。7.網(wǎng)絡(luò)安全管理管理目標(biāo)管理的實(shí)現(xiàn)

6防火墻技術(shù)187.5信息系統(tǒng)的安全1對實(shí)體的威脅和攻擊2對信息的威脅和攻擊信息泄露信息破壞被動(dòng)攻擊：直接偵收、截獲信息、合法竊取、破譯分析、從遺棄的媒體中獲取信息主動(dòng)攻擊：竊取并干擾通信線路信息、返回滲透、線間插入、非法冒充。7.5.2信息系統(tǒng)的安全策略1法規(guī)保護(hù)2行政管理3安全教育4技術(shù)措施

7.5信息系統(tǒng)的安全1對實(shí)體的威脅和攻擊197.5.3信息系統(tǒng)的安全技術(shù)1實(shí)體安全2數(shù)據(jù)安全3軟件安全4運(yùn)行安全7.5.4可信計(jì)算機(jī)系統(tǒng)略7.5.3信息系統(tǒng)的安全技術(shù)207.6電子商務(wù)安全7.6.1電子商務(wù)的安全要求1有效性2保密性3完整性4不可抵賴性/可鑒別性5審查能力7.6.2電子商務(wù)的安全概念7.6.3電子商務(wù)的安全技術(shù)1電子商務(wù)的安全交易標(biāo)準(zhǔn)S-HTTP、SST、SSL、SET7.6電子商務(wù)安全7.6.1電子商務(wù)的安全要求212安全交易技術(shù)數(shù)字認(rèn)證電子商務(wù)認(rèn)證中心（CA）虛擬專用網(wǎng)（VPN）加密技術(shù)

2安全交易技術(shù)22第七章信息資源的安全管理信息資源安全管理綜述計(jì)算機(jī)軟件安全數(shù)據(jù)庫安全計(jì)算機(jī)網(wǎng)絡(luò)安全信息系統(tǒng)的安全電子商務(wù)安全第七章信息資源的安全管理信息資源安全管理綜述237.1信息資源安全管理綜述信息安全包括四個(gè)方面：信息處理的要求：信息組織的層次：信息運(yùn)行的環(huán)境：信息管理的觀點(diǎn)：信息資源安全針對信息的采集、傳輸、加工、存儲和利用的全過程與這一過程相關(guān)的信息及其載體，各類硬件設(shè)備和軟件等被非法破壞、竊取和使用。7.1信息資源安全管理綜述信息安全包括四個(gè)方面：24信息資源的管理的安全從兩方面加以保證，技術(shù)安全：管理安全：7.1.1系統(tǒng)授權(quán)和數(shù)據(jù)加密技術(shù)1、系統(tǒng)授權(quán)(1)授權(quán)方案(2)授權(quán)實(shí)施識別和驗(yàn)證決定用戶的訪問權(quán)限2、數(shù)據(jù)加密

E加密算法明文x發(fā)端加密密鑰Ke密文y＝Eke（x）D解密算法收端解密密鑰Kd明文x信息資源的管理的安全從兩方面加以保證，E明文x發(fā)端加密密鑰K25單密鑰體制雙密鑰體制加密密鑰Ke密文密鑰產(chǎn)生器明文解密算法Kd密鑰信道解讀后明文KPK密文y明文xCSK受保護(hù)的XyPK截取者X’單密鑰體制加密密鑰密文密鑰產(chǎn)生器明文解密算法密鑰信道解讀后明267.1.2計(jì)算機(jī)犯罪及其防范特征：犯罪方法新、作案時(shí)間短、不留痕跡、內(nèi)部人員犯罪比重增加、犯罪區(qū)域廣、利用技術(shù)或管理漏洞作案。采用的技術(shù)手段：數(shù)據(jù)破壞、特絡(luò)伊木馬、香腸術(shù)、邏輯炸彈、陷阱術(shù)、寄生術(shù)、超級沖殺、異步攻擊、廢品利用、計(jì)算機(jī)病毒、偽造證件。安全控制：數(shù)據(jù)輸入控制通信控制數(shù)據(jù)處理控制數(shù)據(jù)存儲控制訪問控制7.1.2計(jì)算機(jī)犯罪及其防范277.1.3計(jì)算機(jī)病毒及其防范計(jì)算機(jī)病毒的概念特征：傳染性、潛伏性、可觸發(fā)性、欺騙性、衍生性、破壞性種類：引導(dǎo)型、操作系統(tǒng)型、入侵型、文件型病毒、外殼型病毒計(jì)算機(jī)病毒結(jié)構(gòu)和破壞機(jī)理感染標(biāo)志、感染模塊、觸發(fā)模塊、破壞模塊和主控模塊7.1.3計(jì)算機(jī)病毒及其防范28計(jì)算機(jī)病毒的防范措施1)技術(shù)手段軟件預(yù)防硬件預(yù)防2)管理手段社會對計(jì)算機(jī)病毒防范的法律、制度與措施；計(jì)算機(jī)用戶對計(jì)算機(jī)病毒的防范措施計(jì)算機(jī)病毒的防范措施297.1.4信息資源安全管理與審計(jì)安全管理內(nèi)容同一性檢查用戶使用權(quán)限檢查建立運(yùn)行日志安全管理原則多人負(fù)責(zé)原則任期有限原則職責(zé)分離原則安全管理審計(jì)審計(jì)跟蹤入侵檢測7.1.4信息資源安全管理與審計(jì)307.2計(jì)算機(jī)軟件的安全7.2.1威脅軟件的安全主要形式以軟件為手段，獲取未經(jīng)授權(quán)或授權(quán)以外的信息。以軟件為手段，阻礙信息系統(tǒng)的正常運(yùn)行或其他用戶的正常使用。以軟件為對象，破壞軟件完成指定功能，以軟件為對象，復(fù)制軟件。7.2.2軟件安全的基本要求防復(fù)制靜態(tài)分析防動(dòng)態(tài)跟蹤7.2計(jì)算機(jī)軟件的安全7.2.1威脅軟件的安全主要形式317.2.3系統(tǒng)軟件的安全訪問控制自主訪問控制強(qiáng)制訪問控制有限訪問控制共享/獨(dú)占訪問控制隔離控制物理隔離時(shí)間隔離加密隔離邏輯隔離存儲保護(hù)基址/邊界寄存器內(nèi)存標(biāo)志分段技術(shù)所保護(hù)7.2.3系統(tǒng)軟件的安全327.2.4應(yīng)用軟件的安全對數(shù)據(jù)安全的影響對系統(tǒng)服務(wù)的影響注意的問題：

7.2.4應(yīng)用軟件的安全337.3數(shù)據(jù)庫安全7.3.1數(shù)據(jù)庫安全基本概述數(shù)據(jù)庫安全基本概述數(shù)據(jù)庫安全的重要性數(shù)據(jù)庫面臨的安全威脅系統(tǒng)內(nèi)部的威脅人為的威脅外部環(huán)境的威脅數(shù)據(jù)庫基本安全要求數(shù)據(jù)庫完整數(shù)據(jù)元素的完整可審計(jì)存取控制用戶認(rèn)證并發(fā)控制7.3數(shù)據(jù)庫安全7.3.1數(shù)據(jù)庫安全基本概述347.3.2數(shù)據(jù)庫的安全保護(hù)機(jī)制及控制方法1、安全保護(hù)機(jī)制操作系統(tǒng)安全數(shù)據(jù)庫管理系統(tǒng)安全2、安全控制的一般方法口令保護(hù)數(shù)據(jù)庫加密數(shù)據(jù)驗(yàn)證檢查原始憑證錄入數(shù)據(jù)的安全控制數(shù)據(jù)庫授權(quán)7.3.2數(shù)據(jù)庫的安全保護(hù)機(jī)制及控制方法357.4計(jì)算機(jī)網(wǎng)絡(luò)安全特點(diǎn)：易受到攻擊；防范對象難以明確；犯罪手段多樣、不易發(fā)現(xiàn)；安全措施與靈活使用存在矛盾；危害很大。衡量網(wǎng)絡(luò)安全的指標(biāo)有三個(gè)：保密性、可控制性和抗攻擊性7.4.1影響網(wǎng)絡(luò)安全的主要因素網(wǎng)絡(luò)部件的不安全因素電磁泄漏、搭線竊聽、非法終端、非法入侵、注入非法信息、線路干擾、病毒入侵、黑客攻擊。軟件的不安全因素工作人員的不安全因素環(huán)境的不安全因素

7.4計(jì)算機(jī)網(wǎng)絡(luò)安全特點(diǎn)：367.4.2網(wǎng)絡(luò)系統(tǒng)的安全功能1網(wǎng)絡(luò)的安全目標(biāo)2網(wǎng)絡(luò)的安全功能對象認(rèn)證、訪問控制、數(shù)據(jù)保密、數(shù)據(jù)可審查、不可抵賴7.4.3網(wǎng)絡(luò)安全技術(shù)1數(shù)據(jù)加密鏈路加密端－端加密混合加密7.4.2網(wǎng)絡(luò)系統(tǒng)的安全功能372網(wǎng)絡(luò)中密鑰的管理密鑰的種類數(shù)據(jù)加密密鑰基本密鑰主密鑰其他密鑰密鑰的分配只用會話密鑰采用會話和基本密鑰采用公開密鑰密碼體制的密鑰分配。密鑰的注入密鑰的存儲保護(hù)密鑰的更換人2網(wǎng)絡(luò)中密鑰的管理383網(wǎng)絡(luò)中訪問控制用戶身份的識別和驗(yàn)證訪問控制審計(jì)跟蹤4鑒別機(jī)制站點(diǎn)鑒別報(bào)文鑒別報(bào)文內(nèi)容、報(bào)文源、報(bào)文宿、報(bào)文時(shí)間性的鑒別5數(shù)字簽名3網(wǎng)絡(luò)中訪問控制396防火墻技術(shù)