信息安全概论 0.pptVIP

信息安全概论 向友君 华南理工大学电信学院 课程要求 .. 教学用书:信息安全概论 牛少彰主编,北京邮电大学出版社,2007年第二版. 考试方式：闭卷 实验：实验报告 第一章 概论 复习 信息安全概念 从信息就是数据这个角度来说信息安全可以分为数据安全和系统安全。信息安全可以从两个层次来看: 从消息的层次来看，包括信息的 完整性（Integrity）（即保证消息的来源、去向、内容真实无误） 必威体育官网网址性（Confidentiality）（即保证消息不会被非法泄露扩散） 不可否认性（Non-repudiation）——也称为不可抵赖性（即保证消息的发送和接受者无法否认自己所做过的操作行为）等. 2. 从网络层次来看，包括 可用性（Availability）（即保证网络和信息系统随时可用，运行过程中不出现故障，若遇意外打击能够尽量减少并尽早恢复正常） 可控性（Controllability）（是对网络信息的传播及内容具有控制能力的特性）。 信息安全属性 信息安全的基本属性主要表现在以下几个方面 1．完整性（Integrity）--信息在存储或传输的过程中保持未经授权不能 改变的特性 2．必威体育官网网址性（Confidentiality）--信息不被泄露给未经授权者的特性 3．可用性（Availability）--信息可被授权者访问并按需求使用的特性 4．不可否认性（Non-repudiation）--所有参与者都不可能否认或抵赖曾经完成的操作和承诺 5．可控性（Controllability）--对信息的传播及内容具有控制能力的特性 信息安全的任务就是要实现信息的上述五种安全属性。对于攻击者来说，就是要通过一切可能的方法和手段破坏信息的安全属性。 安全威胁 安全威胁有时可以被分为故意的和偶然的 ： 故意的威胁如假冒、篡改等。（可以进一步分为主动攻击和被动攻击。） 偶然的威胁如信息被发往错误的地址、误操作等 。 网络攻击 网络攻击就是对网络安全威胁的具体体现。 由于系统脆弱性的客观存在，操作系统、应用软件、硬件设备不可避免地存在一些安全漏洞，网络协议本身的设计也存在一些安全隐患，这些都为攻击者采用非正常手段入侵系统提供了可乘之机。 常见网络攻击工具有安全扫描工具、监听工具、口令破译工具等。 典型的网络攻击的一般流程 攻击主机 确定目标 信息收集 漏洞挖掘 攻击网络 留下后门 清除日志 结束攻击 信息安全的实现 一个完整的信息安全系统至少包含三类措施：技术方面的安全措施，管理方面的安全措施和相应的政策法律。 信息安全技术涉及到信息传输的安全、信息存储的安全以及对网络传输信息内容的审计三方面，当然也包括对用户的鉴别和授权。 信息安全技术 1．信息加密 信息加密使有用的信息变为看上去无用的乱码，攻击者无法读懂信息的内容从而保护信息。 信息加密是保障信息安全的最基本、最核心的技术措施和理论基础。信息加密也是现代密码学主要组成部分。 在实际应用中，人们通常是将常规密码和公钥密码结合在一起使用，比如：利用DES或者IDEA来加密信息，而采用RSA来传递会话密钥。 信息安全技术(续) 2．数字签名 数字签名机制决定于两个过程： 签名过程 签名过程是利用签名者的私有信息作为秘密钥，或对数据单元进行加密或产生该数据单元的密码校验值； 验证过程 验证过程是利用公开的规程和信息来确定签名是否是利用该签名者的私有信息产生的。 信息安全技术(续) 3．数据完整性 数据完整性保护用于防止非法篡改，利用密码理论的完整性保护能够很好地对付非法篡改。完整性的另一用途是提供不可抵赖服务，当信息源的完整性可以被验证却无法模仿时，收到信息的一方可以认定信息的发送者，数字签名就可以提供这种手段。 信息安全技术(续) 4．身份鉴别 鉴别是信息安全的基本机制，通信的双方之间应互相认证对方的身份，以保证赋予正确的操作权力和数据的存取控制。网络也必须认证用户的身份，以保证合法的用户进行正确的操作并进行正确的审计。通常有三种方法验证主体身份。一是只有该主体了解的秘密，如口令、密钥；二是主体携带的物品，如智能卡和令牌卡；三是只有该主题具有的独一无二的特征或能力，如指纹、声音、视网膜或签字等。 信息安全技术-访问控制 5．访问控制 访问控制的目的是防止对信息资源的非授权访问和非授权使用信息资源。它允许用户对其常用的信息库进行适当权利的访问，限制他随意删除、修改或拷贝信息文件。访问控制技术还可以使系统管理员跟踪用户在网络中的活动，及时发现并拒绝“黑客”的入侵。 访问控制采用最小特权原则：即在给用户分配权限时，根据每个用户的任务特点使其获得完成自身任务的最低权限，不给用户赋予其工作范围之外的任何权力。 信息安全技术-安全数据库 6．安全数