信息安全管理与信息安全风险评估ppt课件.ppt
《信息安全管理与信息安全风险评估ppt课件.ppt》由会员分享,可在线阅读,更多相关《信息安全管理与信息安全风险评估ppt课件.ppt(138页珍藏版)》请在三一办公上搜索。
1、李成峰CISSPIS027001 LA 渗透技术培训站“第八军团”创始人出版书籍Tel:13922460735Email:li_,什么是信息安全?您的组织存在那些信息安全问题?当前采取那些信息安全防御策略?这些安全防御策略有效吗、能解决信息安全问题吗?如何构建实施符合国家、行业、企业本身的安全体制?如何确保持续性的运行稳定?,“痛苦”的仓鼠?,信息安全保障,信息安全管理,信息安全保障体系实施,通信保密(ComSEC)计算机安全(CompSEC)IT安全(ITSEC)信息安全保障(IA),信息安全发展历程,信息安全发展历程,第一阶段:通信保密,上世纪40年代70年代重点是通过密码技术解决通信保密
2、问题,保证数据的保密性与完整性主要安全威胁是搭线窃听、密码学分析主要保护措施是加密重要标志1949年Shannon发表的保密系统的通信理论 1977年美国国家标准局公布的数据加密标准(DES)1976年由Diffie与Hellman在“New Directions in Cryptography”一文中提出了公钥密码体制,加 密,解 密,嵌 入,提取,B 嵌入钥匙,B 嵌入钥匙,B 解密钥匙,B 加密钥匙,传送方,接收方,案例分析,影像加密伪装传输,案例分析,微软护照问题,1. 資料來源:2001年11月4日,台湾的联合报5版发表。2. 在西雅图网络安全研究员史蘭科发现一种欺骗微软公司保障网络
3、购 物的护照(Passport)主机,將他人的电子钱包資料傳給他的方法并 通知微软工程部之后,自2001年10月31日起,微软公司暂时关掉 该项服务,以便進行網路修复与测试。3.护照是微软未來最重要的科技之一,至关闭时间为止,已有 2,000,000人註冊使用,而几乎所有XP的用戶均无法使用 到其服務。,信息安全发展历程,第二阶段:计算机安全,上世纪7080年代重点是确保计算机系统中硬件、软件及正在处理、存储、传输信息的机密性、完整性主要安全威胁扩展到非法访问、恶意代码、脆弱口令等主要保护措施是安全操作系统设计技术(TCB)主要标志是1985年美国国防部公布的可信计算机系统评估准则(TCSEC
4、)将操作系统的安全级别分为四类七个级别(D、C1、C2、B1、B2、B3、A1),后补充红皮书TNI(1987)和TDI(1991),构成彩虹(rainbow)系列。,Intranet,企业网络,生产部,工程部,市场部,人事部,路由,Internet,中继,案例分析,操作系统安全,信息安全发展历程,第三阶段:IT安全,上世纪90年代以来重点需要保护信息,确保信息在存储、处理、传输过程中及信息系统不被破坏,确保合法用户的服务和限制非授权用户的服务,以及必要的防御攻击的措施。强调信息的保密性、完整性、可控性、可用性主要安全威胁发展到网络入侵、病毒破坏、信息对抗的攻击等主要保护措施包括防火墙、防病毒
5、软件、漏洞扫描、入侵检测、PKI、VPN、安全管理等主要标志是提出了新的安全评估准则CC(ISO 15408、GB/T 18336),案例分析,入侵技术交流,. 源起:2001年4月1日美國情報偵察機誤闖中國領空與其所導致的殲 八撞機失事、飛行員王偉先生失蹤事件。. 雙方主力: .1 中方:Lion联系了我國紅客聯盟(Honker Union of China, 簡稱HUC)、第八军团、黑客聯盟與鷹派駭客組織。 .2 美方:prOphet與poizonB0 x駭客組織。. 戰爭起迄時間:2001年4月30日晚上20時2001年5月8日。. 雙方戰果: .1 美方被攻破網站:約1,600個。.2
6、 中方被攻破網站:約1,100個。,案例分析,中美黑客大战,入侵方式說明:1. 以 Solaris主機上 buffer overflow 漏洞,在 Solaris 主機上安裝後門程式(包括 Solaris 7)。2. 發動 Solaris 主機上安裝後門程式,利用port 80 及 IIS unicode 漏洞,自動掃瞄攻擊Windows NT IIS 主機(安裝IIS Worm後門程式,並修改網頁 )。3. Solaris 主機入侵 2,000 台 IIS 主機後,修改 Solaris 主機的 index.html 網頁。,中美黑客大战,前网站入侵描述图,1. Solaris 主機:n 檢查
7、是否存在以下目錄:/dev/cub - contains logs of compromised machines /dev/cuc - contains tools that the worm uses to operate and propagate n 檢查是否有下列後門程式在執行:/bin/sh /dev/cuc/sadmin.sh /dev/cuc/grabbb -t 3 -a .yyy.yyy -b .xxx.xxx 111 /dev/cuc/grabbb -t 3 -a .yyy.yyy -b .xxx.xxx 80 /bin/sh /dev/cuc/uniattack.sh /
8、bin/sh /dev/cuc/time.sh /usr/sbin/inetd -s /tmp/.f /bin/sleep 3002.NT IIS 主機:n IIS Server Log File(Winnt/System32/Logfiles): 2001-05-06 12:20:19 10.10.10.10 - 10.20.20.20 80 GET /scripts/././ winnt/system32/cmd.exe /c+dir 200 2001-05-06 12:20:19 10.10.10.10 - 10.20.20.20 80 GET /scripts/././ winnt/s
9、ystem32/cmd.exe /c+dir+. 200 2001-05-06 12:20:19 10.10.10.10 - 10.20.20.20 80 GET /scripts/././winnt/system32/cmd.exe /c+copy+winnt system32cmd.exe+root.exe 502 -2 2001-05-06 12:20:19 10.10.10.10 - 10.20.20.20 80 GET /scripts/root.exe /c+echo+././index.asp 502 -3 3. 被入侵的網頁文字如下:fuck USA Governmentfuc
10、k PoizonBOxcontact:,中美黑客大战,前网站入侵方法,1990European InformationTechnology SecurityEvaluation Criteria(ITSEC),1990Canadian TrustedComputer ProductEvaluation Criteria(CTCPEC),1993US Federal Criteria(FC)CTCPEC 3.0,1985US TrustedComputer SystemEvaluation Criteria(TCSEC),1996Common Criteriafor Information Te
11、chnology SecurityEvaluation (CC),1998ISO/IEC 15408(DIS)(CC 2.0),1999ISO/IEC 15408(CC 2.1),信息安全发展历程,发展历程之间关系,信息安全发展历程,发展历程之间关系,问题:CC中的评估保证级4级(EAL4)对应TCSEC和ITSEC的哪个级别?,1. 1997年10月7日,美国公告了针对 ISO/IEC 15408(以下简称CC)通过后认证机制所需TTAP (Trust Technology Assessment Program) Laboratories,接受CC测试与评估工作,作为NIAP (Nation
12、al Information Assurance Partnership) CCEVS (Common Criteria Evaluation and Validation Scheme)认证建立起来的过渡方案。2. 1997年11月8日,TTAP提出基于CC认证、检测的工作建议。3. 1999年4月,美国、加拿大、德国、英国、法国共同簽署CCMRA (Mutual Recognition Agreement),預期欧洲、亞太其他国家将陆续加入。4. 1999年5月14日,美國公告了CC认证计划,同時宣布密码組认证计划將并入此计划。5. 1999年6月8日,美国宣布CC 2.1版正式成为ISO
13、/IEC 15408。6. 2000年5月2325日,在美国Baltimore International Convention Center举办第1次CC国际研讨会。7. 2000年8月30日,美国公告Computer Science Corporation (CSC), Cygna Com Solutions, Science Applications International Corporation (SAIC)與 TUV:T Incoporated 4家民間实验室已經通過NIAP的認可 CCTL (Common Criteria Testing Laboratories)。,信息安全
14、发展历程,发展历程之间关系,美国国家安全局,国家标准技术局,国家认证机构,多个授权测试实验室,认证申请者,国家实验室认可程序,管理监督指导,评估结果,信息安全发展历程,美国测评认证体系模式,信息安全发展历程,国际互认情况,15408: 通用准则(CC)15292: PP注册程序15446: PP和ST生成指南15443: IT安全保障框架 (FRITSA)18045: 通用评估方法(CEM)19790: 密码模块的安全要求19791: 运行系统的安全评估19792: 生物识别技术的安全测评框架 (SETBIT)21827:2002 系统安全工程 能力成熟模型 (SSE-CMM),信息安全发展历
15、程,测评相关标准,信息安全发展历程,第四阶段:信息安全保障,“确保信息和信息系统的可用性、完整性、可 认证性、保密性和不可否认性的保护和防范活动。 它包括了以综合保护、检测、反应能力来提供信息 系统的恢复。” -美国国防部( DoD)国防部令S-3600.1,信息保障(IA)定义,一个宗旨:保障信息化带来的利益最大化(应用服务安全)两个对象 信息 信息系统三个安全保障能力来源 技术 管理 人,信息保障,信息保障包括什么,四个层面 局域计算环境边界和外部连接基础设施 信息内容,信息保障,信息保障包括什么,五个信息状态产生存储处理 传输 消亡,六个信息保障的环节 预警(W) 保护(P) 检测(D)
16、 响应(R) 恢复(R) 反击(C),信息保障,应用安全边界分析,七个安全属性保密性 完整性可用性可认证性不可否认性可控性可追究性,信息保障,信息保障包括什么,看不懂,进不来,改不了,跑不了,可审查,打不垮,信息保障,信息安全表现层面,信息安全保障 国家信息安全体系框架,信息安全保障体系框架,安全法规,安全管理,安全标准,安全工程与服务,安全基础设施,教育培训,信息安全保障 国家信息安全体系框架, 信息安全管理基础标准GB/T19715.1-2005信息安全管理指南 第一部分:IT安全管理的概念和模型GB/T19715.2-2005信息安全管理指南 第二部分:管理和规划IT安全 信息安全管理要
17、素标准GB/T19716-2005信息技术 信息安全管理实用规则GB/T20269-2006信息安全技术 信息系统安全管理要求,信息安全保障 我国信息安全管理标准,最近正式公布的标准GB/T20984-2007信息安全技术 信息安全风险评估规范GB/Z20985-2007信息技术安全技术 信息安全事件管理指南GB/Z 20986-2007信息安全技术 信息安全事件分类分级指南GB/T20988-2007信息安全技术 信息系统灾难恢复规范,信息安全保障 我国信息安全管理标准, 2007年制修订: 制定信息安全管理体系要求(27001) 信息安全管理体系认证机构的认可要求(27006) 信息安全风
18、险管理规范 修订GB/T 19716-2005信息技术 信息安全管理实用规则 预编制灾难恢复计划信息安全风险评估实施指南,信息安全保障 我国信息安全管理标准,信息安全等级保护办法 (公通字200743号)电子银行业务管理办法 (银监会20065号)国家电子政务工程建设项目管理暂行办法(发改委 200755号)银监会、保监会、电监会、证监会17大安全工作保证要求2008奥运安保工作要求(民航、铁路、电力、银行、新闻、气象等部门)国税系统安全评估检查(轮巡、抽查),信息安全保障 各行业落实情况,信息安全保障 我国安全体系落实架构,信息安全保障,历史发展看保障策略,物理和环境安全,自然威胁(如:地震
19、、洪水、风暴、龙卷风等)设施系统(如:通信中断、电力中断)人为/政治事件(如:爆炸、蓄意破坏、盗窃、恐怖袭击、暴动),物理和环境安全,物理和环境安全威胁,物理和环境安全,物理和环境安全威胁,墙,窗和门入口点门窗屋顶入口服务或运输通道火警通道其它通道,物理和环境安全,设施和建筑物,基础设施支持系统包括电力,水/水管系统,燃气管道,及供热、通风、空调(HVAC),和冰箱。,物理和环境安全,设施和建筑物,电力电力扰动能造成严重的业务影响;信息系统的运行所需能源;关键是理解停业的成本;目标是获得“干净和稳定的电力”,物理和环境安全,基础设施支持系统,电力脆弱点:停电:完全丧失电力供应超过1-5分钟以上
20、;灯火管制:商业电力持续丧失;故障:电力突然中断,物理和环境安全,基础设施支持系统,电力脆弱点原因:电力降低故意的电压降低;偶尔的电压降低;电力供给中,突然电压升高。,这些支持系统是如何安装的?是否涉及计算机单元?是否保持了合适的温度和湿度水平,空气质量如何?,物理和环境安全,供热、通风、空调(),周边,大楼地面,大楼大门,楼层、办公室分布,数据中心/设备、媒介,物理和环境安全,层次化安全防护,物理控制措施的目标为: 预防 延迟 监测 评估 对物理入侵的适当反映,物理和环境安全,物理安全控制,周边和大楼场地大楼入口点大楼里边-大楼地板/办公室分布数据中心/服务器机房安全计算机设施保护对象保护,
21、物理和环境安全,物理安全控制措施,物理和环境安全,物理安全控制措施,物理和环境安全,物理安全控制措施,物理和环境安全,物理安全控制措施,物理和环境安全,物理安全控制措施,信息安全防护结构,信息安全防护结构,安全分区图,信息安全防护结构,路径和节点分析,信息安全防护结构,子网和边界分析,信息安全防护结构,相关标准如何借鉴,信息安全防护结构,相关标准比较,信息安全防护结构,案例:安全域划分,信息安全防护结构,案例:安全域划分,还存在那些风险?,1. 2001年华盛頓报引用美国联邦官员的话报道,涉嫌911案的恐怖分子使用隱藏在网络上的訊息,用以计划、伪装並互相协调他們的攻击活动。3. 法国警方发现一
22、本属于涉嫌911案的一名恐怖分子的笔记本,其中记载的密码或可读本拉登网络內的信息。這本笔记本已經送交美国当局处理。4. 許多美國及海外的网络从业者,包括美国在线、微软、雅虎等,已經收到信息,要求其交出所謂的网络隐藏图文的通讯记录。5. ISO TR 13569 1997(E)中,对于信息隐藏学之图像疊加、隐藏痕迹协议、数字浮印等技术日益普及帶來之新的信息安全风险特別要求加以补充。,信息安全保障 案例分析:信息隐蔽,信息安全对策必须以风险管理为基础:安全不必是完美无缺、面面俱到的。但风险必须是能够管理的。最适宜的信息安全策略就是最优的风险管理对策。这是一个在有限资源前提下的最优选择问题:防范不足
23、会造成直接的损失;防范过多又会造成间接的损失。必须根据安全目标审查安全手段。信息安全保障的问题就是安全的效用问题,在解决或预防信息安全问题时,要从经济、技术、管理的可行性和有效性上做出权衡和取舍。,信息安全防护结构,信息风险对策:风险管理,信息安全保障,信息安全管理,信息安全保障体系实施, 英国模式 BS 7799认证 美国模式 认证与认可(C&A)模式认证是指由认证机构证明产品、服务、管理体系符合相关技术规范、相关技术规范的强制性要求或 者标准的合格评定活动。认可是指由认可机构对认证机构、检查机构、实验室,以及从事评审、审 核等认证活动人员的能力和执业资格,予以承认的合格评定活动。 ISO
24、SC27 WG1 正在构建ISMS标准体系,信息安全管理,几种管理模式, “9.11”事件后,新出现的对美国政府的威胁表明了需要新的安全措施。为应对这些初现的威胁,2002年 电子政府法形成为法律。 这个立法也包含了联邦信息 安全管理法 (FISMA) ,它代替了2001年国防授权法 包括的政府信息安全改革法GISRA)。 FISMA 引起了一个连锁反应,它要求 DoD 和其他的 联邦政府部门更新他们现在的关于信息保障的指南和 标准。,信息安全管理,风险管理重要转折点, 美国是国际上信息化技术和应用最发达的国家。随着信息化应用需求的牵引,安全事件的驱动和信息安全 技术、信息安全管理概念的发展深
25、化,他们对信息安 全风险评估管理的认识也逐步加深。以计算机为对象的信息保密阶段 以计算机和网络为对象的信息安全保护阶段以信息系统关键基础设施为对象的信息保障阶段,信息安全管理,美国信息系统安全认证认可,NIST提出的观点:系统安全不同于产品安全,保护轮廓,IT 产品,NIAP CCEVS,CC 评价,经认可的 测试实验室,NIST CMVP,密码模块,FIPS140-2 测试,产品,保护轮廓,证据, 安全目标 评估报告 认证报告, 标准 指南,运营环境,认可机构,实际的威胁和脆弱性,系统级的保护轮廓,具体的IT系统,通用子系统,产品, 风险管理 安全策略 系统安全规划, 人员安全 过程安全 物
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 信息 安全管理 安全 风险 评估 ppt 课件
链接地址:https://www.31ppt.com/p-1402018.html