第六章信息安全的概念 《网络基础和 与信息安全》课件.pptVIP

; 信息安全概述;1．计算机安全 国际标准化组织将“计算机安全”定义为：“为数据处理系统建立和采取的技术和管理的安全保护，保护计算机硬件、软件数据不因偶然和恶意的原因而遭到破坏、更改和泄露”。此概念偏重于静态信息保护。也有人将“计算机安全”定义为：“计算机的硬件、软件和数据受到保护，不因偶然和恶意的原因而遭到破坏、更改和泄露，系统连续正常运行”。该定义着重于动态意义的描述。 ; 网络安全的最终目标就是通过各种技术与管理手段实现网络信息系统的必威体育官网网址性、可用性、完整性、可靠性、可控性和可审查性。其中必威体育官网网址性、完整性、可用性是网络安全的基本要求。;（1）必威体育官网网址性 必威体育官网网址性（Confidentiality）也称机密性，是强调有用信息只被授权对象使用的特征，不将有用信息泄露给非授权用户及过程。可以通过信息加密、身份认证、访问控制、安全通信协议等实现，其中信息加密是防止信息非法泄露的最基本手段。;（2）完整性 完整性（Integrity）是指信息在传输、交换、存储和处理过程中，保持信息不被破坏或修改、不丢失和消息未经授权不能改变的特征，也是最基本的安全特征。;（3）可用性 可用性也称有效性（Availability），是指信息资源可被授权实体按要求访问、正常使用或在非正常情况下能恢复使用的特性（系统面向用户服务的安全特性），即在系统运行时能正确存取所需信息，当系统遭到攻击或破坏时，能迅速恢复并投入使用。信息系统只有持续有效，授权用户才能随时随地根据需求访问信息系统提供的服务。可用性是衡量网络信息系统面向用户的一种安全性能。;（4）可靠性与可控性 可靠性（Reliability）是指信息系统正常运行的基本前提，通常是指信息系统能够在规定的条件与时间内完成规定功能的特性。 可控性（Controllability）是指信息系统对信息内容和传输具有控制能力的特性，指网络系统中的信息在一定传输范围和存放空间内的可控程度。;（5）可审查性 可审查性又称拒绝否认性（No-repudiation）、抗抵赖性或不可否认性，是指网络通信双方在信息交互过程中确信参与者本身和所提供的信息真实同一性，???所有参与者不可能否认或抵赖本人的真实身份，以及提供信息的原样性和完成的操作与承诺。; 过于频繁的安全策略的有效性比没有安全策略的结果还差。 安全策略要对合法用户有效才行。在多数情况下，如果对用户要求的努力付出多于提高安全性的结果，这个策略将降低公司的安全有效级别。 ; 1．终端用户资源：终端用户资源包括客户工作站和相关外设。员工在很大程度上还没有意识到双击朋友发来的电子邮件中的附件所引发的危险。还有些员工在短时间离开办公室时，不使用屏幕保护口令去阻止某些人偷窥系统硬盘内容。这种黑客通常被认为是系统窥探者。一旦留下不安全的隐患，这样的资源就成为违法用户用来攻击其他系统的平台。 ; 2．网络资源：路由器、交换机、集线器、配线柜和墙里的网线都可以被看作网络资源，如果黑客获取了这些资源的控制权，则这个网络就不在你的控制之下了，黑客通过远程登录或直接干预获取了这些资源的控制权。一旦黑客危及到没有上锁的配线柜的安全，则他将接管网络的控制权。 ; 3．服务器资源：WWW、E-mail和FTP服务器最容易受到使服务器发生瘫痪的攻击，以至于无法获得它们的服务。与终端用户资源相比，服务器资源更容易成为攻击的目标，因为危及服务器资源的安全可以使黑客们继续控制其他资源。; 4．信息存储资源：数据库服务器通常存储网络中最重要的信息，这些信息是黑客最感兴趣的。数据库中可能包含他人卡号、人力资源信息和敏感的发票信息。; 网络的脆弱性及面临的威胁;1．硬件系统的脆弱性 （1）计算机信息系统的硬件均需要提供满足要求的电源才能正常工作，一旦切断电源，哪怕是极其短暂的一刻，计算机信息系统的工作也会被间断。 （2）计算机是利用电信号对数据进行运算和处理。因此，环境中的电磁干扰能引起处理错误，得出错误结论，并且所产生的电磁辐射会产生信息泄露。 （3）电路板焊点过分密集，极易产生短路而烧毁器件。接插部件多，接触不良的故障时有发生。 （4）体积小，重量轻，物理强度差，极易被偷盗或毁坏。 （5）电路高度复杂，设计缺陷在所难免，有些不怀好意的制造商还故意留有“后门”。 ;2．软件系统的脆弱性 （1）操作系统的脆弱性 任何应用软件均是在操作系统的支持下执行的，操作系统的不安全是计算机信息系统不安全的重要原因。 （2）数据库管理系统的脆弱性 数据库管理系统中核心是数据。存储数据的媒体决定了它易于修改、删除和替代。开发数