《信息安全工程学-夏鲁宁》第08讲 信息安全产品选择与人员培训.pptxVIP

信息安全工程学 第08讲 信息安全产品选择与人员培训 内容提要 选择信息安全产品 信息安全意识培养与技能培训 2 1 选择信息安全产品 信息安全产品是信息系统的安全组件 架构设计阶段确定逻辑功能 详细设计阶段确定产品规格，发起招标、采购、开发等活动 除了技术上的信息安全产品以外，信息系统的安全组件还包括管理层面上的规章、制度、条例等 选择信息安全产品，要以满足详细设计方案的规格要求为基础 详细设计的规格，应满足架构设计所确定的安全功能（设计环） 架构设计确定的安全功能，应满足安全需求（需求环） 1.1 选择信息安全产品的一般考虑 证实安全产品功能和性能，确实达到供应商声称的水平 独立的第三方测试 信息安全产品评估（TCSEC/ITSEC/CC） 决定选择某种已经经过上述认证的，符合要求的产品的时候，还要考虑三个方面因素: 组织方面的因素 产品方面的因素 供应商方面的因素 1.1.1 组织方面的考虑 组织是否已经明确了信息安全策略 详细设计方案中的产品规格是否满足既定的安全策略 安全产品与既有系统或其它产品的兼容性 是否需要与系统中其它组件通信？ 安全产品是否与物理安全和其它策略需求一致？ 安装了此产品，会对原有的系统操作环境产生什么影响？ 特定专业领域的产品可能还需要通过专业认证 例如电磁屏蔽认证、密码模块认证等 产品的预期用户群体状况 预期用户中的数量 同时使用此产品的用户数量 信息安全策略是什么？ 从用户角度对信息保护需要的描述 一个信息安全策略示例 策略 描述 加密策略 描述组织对数据加密的安全要求 使用策略 描述设备使用的安全要求 线路连接策略 描述诸如传真发送和接收、拨号连接等安全要求。 反病毒策略 给出有效减少计算机病毒对组织的威胁的一些指导方针，明确在哪些环节必须进行病毒检测 审计策略 描述信息审计要求，包括审计小组的组成、权限、事故调查、安全风险估计、信息安全策略符合程度评价、对用户和系统活动进行监控等活动的要求等 电子邮件使用策略 描述内部和外部电子邮件接收、传递的安全要求。 电子邮件使用策略示例 电子邮件的处理： 管理员可以查看员工邮件的标题 除本人外，任何人不能查看员工的邮件内容 电子邮件的保存与归档： 组织将保存和归档所有通过公司服务器的电子邮件信息 管理员每个六个月将这些信息归档到离线的存储介质上 电子邮件的病毒防护： 组织对每封经过服务器的邮件进行扫描 发现被病毒感染的邮件将不会被发出去 电子邮件使用策略示例 电子邮件的使用规则： 在发送之前，应该检查拼写和语法错误 不应该给任何人发送垃圾邮件 不应该给同事发送骚扰或恐怖邮件 不应该发送含有非法或不道德内容的邮件 不能用来传递敏感信息和机密信息 不能够不经过通告就用个人邮件发送广播 应该在公司尽量减少私人邮件的使用 …… 1.1.2 产品方面的考虑 产品是否已经通过了信息安全产品测评 如果产品已经通过了信息安全产品测评（如：CC评估），则可以验证评估结论并获得需要的信息，从而避免一些重复的产品测试 要注意：产品的所有补丁，是不是也都已经通过了测试；产品升级后，是否要重新测评 符合安全需求的CC的保护轮廓（PP）是不是都查阅过了。这主要是为了选择最适合安全需求的产品 复查此产品的脆弱性清单，看已知的脆弱点是不是都已经列出了 一些主流产品的脆弱点（漏洞）会在安全机构发布的漏洞库中公布，例如NIST的ICAT脆弱点有哪些信誉好的足球投注网站引擎，可以得到很多产品的脆弱点清单 产品方面的考虑（续） 产品的安全功能是否依赖其它产品 这是经常的，例如所有的应用程序都依赖操作系统，有些会依赖数据库产品，有些则依赖硬件密码模块。 如果依赖，则还要延伸考察其依赖性产品，在详细设计中要考虑并给出相关的规格要求 产品与系统的现有架构的接口，是否会引入新的脆弱性？ 产品出现失败，和需要修正的频率大约多少 1.1.3 供应商方面的考虑 系统升级和更新考虑 选用一个特定的产品，是否会限制将来的系统升级和换代的选择空间？ 供应商有没有生产高质量产品的经验？ 查阅供应商的生产过程的缺陷记录 供应商如何维护软件或硬件？如果提供售后支持？ 供应商是否为产品提供一个安全或配置指南？ 1.2 密码服务类产品 智能卡 USBkey 密码机 智能卡 智能卡 内置集成电路芯片的卡 区别于凸印卡、磁条卡 存储卡 用作存储数据，一般只读 逻辑加密卡 以硬件电路实现加密和认证机制，数据读/写要进行密码运算 CPU卡 带有CPU，以软件逻辑处理通信 接触/非接触 操作界面是接触的，还是无线的 针对智能卡芯片的侧信道攻击 通过观察或扰乱运行时芯片的物理特性，分析推断密钥 侵入式攻击：剖开芯片直接观察内部 半侵入式攻击 错误注入攻击 通过改变智能卡的执行环境，在智能卡运算时引入错误 电压抖动 时钟抖动 温度变化 激光照射特定区