信息安全导论电子课件.pptVIP

信息安全导论

第一章信息安全基础与威胁

信息化发展与安全挑战当今世界正处于信息化高速发展的时代,中国网络强国战略的实施推动了互联网、大数据、云计算、人工智能等技术的深度融合与广泛应用。数字经济蓬勃发展,智慧城市建设方兴未艾,万物互联的时代已经到来。然而,信息化发展也带来了前所未有的安全挑战。数据泄露事件频发,网络攻击手段日益复杂多样,关键信息基础设施面临严重威胁。从个人隐私到企业机密,从金融系统到国家安全,信息安全威胁无处不在,已成为数字时代最紧迫的课题之一。10亿+全球网民数量互联网深度渗透65%数字经济占比经济数字化转型300%攻击增长率

什么是信息安全?信息安全是指保护信息及信息系统免受未经授权的访问、使用、披露、破坏、修改或销毁,以确保信息的机密性、完整性和可用性。现代信息安全体系建立在五大基本属性之上:机密性确保信息只能被授权主体访问,防止未经授权的信息泄露完整性保证信息在存储、传输和处理过程中不被非法修改或破坏可用性确保授权用户在需要时能够及时可靠地访问信息和资源可控性对信息的传播及内容具有控制能力不可否认性确保行为主体无法否认已完成的操作和承诺信息安全发展历程

安全威胁与攻击类型被动攻击被动攻击是指攻击者在不改变系统状态的情况下获取信息的行为,具有隐蔽性强、难以检测的特点:消息内容泄露:窃听敏感通信内容,如电子邮件、文件传输等流量分析:通过分析通信模式、频率、时长推断有价值的信息密码分析:通过分析密文试图破解加密算法主动攻击主动攻击涉及对数据流的修改或创建虚假数据流,对系统造成直接威胁:中断攻击:破坏系统资源使其不可用,如拒绝服务攻击篡改攻击:非法修改数据或程序,破坏信息完整性伪造攻击:向系统中插入伪造对象,如假冒身份、注入恶意代码重放攻击:截获合法信息后重新发送以达到欺骗目的经典案例:棱镜门事件

信息安全威胁示意图现代信息安全面临多层次、多维度的威胁,从物理层的硬件攻击到应用层的社会工程学,攻击者利用系统各个层面的漏洞实施渗透。有效的防御体系需要建立纵深防御机制,在每个层次部署相应的安全措施,形成完整的防护壁垒。01物理层威胁硬件窃取、物理破坏02网络层威胁流量劫持、DDoS攻击03系统层威胁漏洞利用、权限提升04应用层威胁恶意代码、数据泄露05人员层威胁社会工程、内部威胁

安全体系结构与模型ISO/OSI安全体系结构国际标准化组织(ISO)提出的开放系统互连(OSI)安全体系结构为网络安全提供了系统化的框架,定义了五类核心安全服务和八种安全机制:核心安全服务认证服务:验证通信实体身份访问控制服务:防止未授权使用资源数据机密性服务:保护数据免受泄露数据完整性服务:防止数据被篡改不可否认性服务:防止否认已发生的行为安全机制加密机制数字签名机制访问控制机制数据完整性机制认证交换机制流量填充机制路由控制机制公证机制PPDR模型:动态安全防护体系PPDR模型是一种基于时间的动态安全模型,强调安全是一个持续的过程,包括策略(Policy)、防护(Protection)、检测(Detection)、响应(Response)四个关键阶段。该模型通过建立安全策略、部署防护措施、实时检测威胁、快速响应处置的循环机制,实现对安全威胁的主动防御和及时应对。

国际信息安全标准1TCSEC可信计算机系统评估准则由美国国防部于1985年发布,也称为橙皮书,是最早的计算机安全评估标准。将系统安全分为D、C、B、A四个等级,从最低的D级(最小保护)到最高的A级(验证保护),为计算机系统安全性评估提供了基准框架。2通用准则CCISO/IEC15408信息技术安全评估通用准则,整合了TCSEC、ITSEC等标准,成为国际公认的IT产品安全评估标准。采用保护轮廓(PP)和安全目标(ST)的评估方法,提供了更灵活的安全评估框架。3ISO/IEC27000系列国际信息安全管理体系标准族,核心是ISO/IEC27001信息安全管理体系要求。该系列标准采用PDCA(计划-执行-检查-改进)循环模型,为组织建立、实施、维护和持续改进信息安全管理体系提供了系统方法。这些国际标准在全球范围内广泛应用,为政府机构、金融机构、企业组织提供了可操作的安全管理和技术实施指南,推动了信息安全从技术层面向管理层面的系统化发展。

我国网络安全等级保护制度等级保护2.0核心要求网络安全等级保护制度是我国网络安全的基本国策和基本制度。2019年发布的等级保护2.0标准体系,在1.0基础上进行了全面升级,将云计算、移动互联、物联网、工业控制系统等新技术新应用纳入保护范围。等级保护将信息系统划分为五个安全保护等级:第一级:自主保护级第二级:指导保护级第三级:监督保护级第四级:强制保护级第五级:专控保护级不同等级对应不同的安全要求和保护措施,第三级及以上系统需要进行强制性检测评估