网络安全测试实践与思考.pdfVIP

网络安全测试实践与思考 华为资深网络安全专家 杨凯 HUAWEI TECHNOLOGIES CO., LTD. 目录 • 网络安全趋势分析 • 安全测试方法工具 • 总结思考 安全性 （Security ）的定义和基本属性 安全性 ：指产品所在网络系统的硬件、软件以及系统中的数据信息资产受到保护 ，防止由恶意行为直接或间接引起 的网络阻塞、中断、瘫痪或者非法控制 ，以及防止网络中传输、存储、处理的数据信息丢失、泄露或者被篡改 ，保 护资产的机密性、完整性、可用性、抗抵赖性、真实性和可控性。 • Availability 法律上 ：防止因恶意或不当行为侵犯通信秘密 （含通信内容、个人数据及隐 • 防止服务和工作能力的崩溃 私 ）、限制通信 自由 （干扰、监控用户通信 自由和客观信息流动 ），危害客户 的计算机系统、网络、数据的安全从而引起行为人/公司承担民事、行政甚至 可用性 刑事责任。 政治上 ：防止因恶意或不当行为上升为政治问题 ，成为当地政府、媒体、民众 的疑虑点 ，将恶意或不当行为同间谍、军队、国家安全混淆在一起 ，从而成为 • Integrity • Confidentiality 引爆国际政治危机的导火索 ，导致政治风险和政治后果。 • 防止对系统和信息进行 安全 • 防止未经授权而透露 未经授权的修改 某些敏感信息 对象 安全性 ≠ 生产安全 ≠ 可靠性 Security safety Reliability 完整性 机密性 可靠性 ：主要指产品在规定条件和时间下 ，不引起软硬件失效。 Safety ：主要是指人在使用产品时不受到伤害 ，包括电磁、电 安全性的三个基本属性 （CIA ） 容辐射、安规等。 各国政府从立法方面对网络安全和隐私保护提出了更高要求 欧盟 《统一数据保护法条例》 （GDPR ，General Data 《中华人民共和国网络安全法》2017年6月1日实施 ， Protection Regulation ） 2018年5月25日正式生效 是第一部全面规范网络空间安全管理的基础性法律 1. GDPR是关于自然人的个人数据处理 和个人数据流动的法律 “网络空间主权”原则 GDPR针对个人数据处理和个人数据流动 ，设定了个人数据处理活动和个人 数据流动的原则 ，规定各相关方 （数据主体、数据控制者、数据处理者 ）的 网络产品和服务提供者的安 权利、义务以及违法责任 ，设置执法机构并赋予其权力。 全义务 2. GDPR直接适用于欧盟成员国及部分欧盟境外实体 l GDPR直接适用于欧盟成员国、而无须经其国内立法转化。同时 ，GDPR规 网络运营者的安全义务 定部分事项上成员国有立法权。