CISP培训内容笔记.docx
《CISP培训内容笔记.docx》由会员分享，可在线阅读，更多相关《CISP培训内容笔记.docx（60页珍藏版）》请在冰豆网上搜索。
CISP培训内容笔记
CISP内容笔记
说明：
重要度：
蓝色<暗红色<红色
信息安全保障
信息安全保障主要分五大类：
信息安全管理、信息安全技术、信息安全保障、信息安全工程和信息安全标准法规。
发展历史
从通信安全（CommunicationSecurity）-〉计算机安全（ComputerSecurity）-〉信息系统安全（InformationSecurity）-〉信息安全保障（InformationAssurance）-〉网络空间安全/信息安全保障（CS/IA：
CyberSecurity/InformationAssurance）
1.中国：
中办发27号文《国家信息化领导小组关于加强信息安全保障工作的意见》，是信息安全保障工作的纲领性文件。
2.信息安全的特征：
是系统的安全；动态的安全；无边界的安全；非传统的安全。
信息安全的内因：
信息系统的复杂性（过程复杂，结构复杂，应用复杂）。
信息安全的外因：
人为和环境的威胁（威胁和破坏）。
3.安全保障需要贯穿系统生命周期。
保密性、可用性和完整性是信息安全的特征。
策略和风险是安全保障的核心问题。
技术、管理、工程过程和人员是基本保障要素。
业务使命实现是信息安全保障的根本目的。
4.信息系统安全保障模型（GB/T20274.1-2006）
1）生命周期：
计划组织、开发采购、实施交付、运行维护、废弃；
2）保障要素：
技术、工程、管理、人员；
3）安全特性：
保密性、完整性、可用性。
5.风险与策略
1）信息安全策略必须以风险管理为基础；
2）最适宜的信息安全策略就是最优的风险管理策略；
3）防范不足会造成直接损失；防范过多会造成间接损失；
4）信息安全保障的问题就是安全的效用问题。
即经济、技术、管理的可行性和有效性作出权衡。
安全模型
定义：
通过建模的思想来解决安全管理问题，用于精确和形式地描述信息系统的安全特性，解释系统安全相关行为。
作用：
1）能准确地描述安全的重要方面与系统行为的关系；
2）提高对成功实现关键安全需求得理解层次；
3）从中开发一套安全评估准则和关键的描述变量。
1.现实中每个策略都是要模型支持的
2.安全基础模型分为多级安全模型（Bell-Lapadula模型【侧重保密性】、Clark-wilson模型【侧重实用性】）和多边安全模型（ChineseWall模型）。
1）Cc的安全技术模型
2）基于资产的安全风险模型、
3）基于风险管理的信息安全保障模型
4）基于时间的PDR模型
思想：
承认漏洞，正视威胁，适度防护，加强检测，落实反应，建立威慑
出发点：
任何防护措施都是基于时间的，是可以被攻破的
核心与本质：
给出攻防时间表
固定防守、测试攻击时间；固定攻击手法，测试防守时间
缺点：
难于适应网络安全环境的快速变化
基于PDR的安全框架（分析、检测、修复）
强调落实反应
6）P2DR模型–分布式动态主动模型
更强调控制和对抗，即强调系统安全的动态性以安全检测、漏洞监测和自适应填充“安全间隙”为循环来提高安全
特别考虑人为的管理因素
Ø基本原理：
P：
即策略（Policy）。
模型的核心，所有的防护、检测、响应都是安全策略实施的。
策略体系包括策略的制定、评估与执行等。
（访问控制策略、加密通信策略、身份认证策略、备份恢复策略等）
2：
即防护（Protection）。
通过传统的静态安全技术和方法提高网络的防护能力。
包括访问控制技术（ACL、FIREWALLL）、信息加密技术、身份认证技术（一次性口令、X.509）等。
D：
即检测（Detection）。
利用检测工具，监视、分析、审计网络活动，了解判断网络系统的安全状态；使安全防护从被动防护演进到主动防御，是整个模型动态性的体现。
方法包括实时监控、检测、报警。
R：
即反应（Resonse）。
在检测到安全漏洞和安全事件时，通过及时的响应措施将网络系统的安全性调整到风险最低的状态；评估系统受到的危害与损失，恢复系统功能和数据，启动备份系统等。
方法包括：
关闭服务、跟踪、反击、消除影响。
Ø数学法则：
假设S系统的防护、检测和反应的时间关系如下：
Pt=防护时间，Dt=检测时间，Rt=反应时间，Et=暴露时间。
则该系统防护、检测和反应的时间关系如下：
如果Pt＞Dt＋Rt，那么S是安全的；
如果Pt＜Dt＋Rt，那么Et＝（Dt＋Rt）－Pt。
Ø安全目标：
依据P2DR模型构筑的网络安全体系，在统一安全策略的控制下，在综合运用防护工具基础上，利用检测工具检测评估网络系统的安全状态，通过及时的响应措施将网络系统调整到风险最低的安全状态。
1）安全管理的持续性、安全策略的动态性。
以实时监视网络活动、发现威胁和弱点来调整和填补网络漏洞；
2）可测即可控。
通过经常对网络系统的评估把握系统风险点，及时弱化甚至堵塞系统的安全漏洞。
3.IATF，即信息保障技术框架（InformationAssuranceTechnicalFramework），美国国家安全局（NSA）制定。
在关于实现信息保障目标的过程和方法上，论述了系统工程、系统采购、风险管理、认证和鉴定以及生命周期支持等过程，指出建设保障体系的方法。
代表理论为深度防御（Defense-in-Depth）。
IATF强调人、技术、操作。
关注本地计算环境、区域边界、网络和基础设施、支撑性基础设施这四个信息安全保障领域。
在此基础上的多层防护叫“深度防护战略”（Defense-in-DepthStrategy）;
信息安全实践
美国
1.安全保障机构：
a）网络安全协调官
b）国土安全部（DHS）、国家安全局（NSA）、国防部（DOD）、联邦调查局（FBI）、中央情报局（CIA）、国家标准技术研究所（NIST）
c）公私合作机构：
国家基础设施顾问委员会（NIAC）、信息共享和分析中心（ISAC）、网络安全全国联盟（NCSA）
2.1993年，克林顿政府提出“国家信息基础设施（信息高速公路）”
3.1998年5月，国家安全局《信息保障技术框架》（IATF）
4.保障的重点对象：
2001年《爱国者法案》，定义“关键基础设施”；
2002年《联邦信息安全管理法案》
2003年12月《国土安全总统令/HSPD-7》，确定17个关键基础设施；
2008年3月国土安全部将关键制造业列为第18项关键基础设施；
目前的关键基础设施和主要资源部门。
5.2002年下半年，以《国土安全战略》为指导，2003年2月，《网络空间安全国家战略》、《保护关键基础设施和重要资产的国家战略》
6.2005年，建立国家漏洞库（NVD）
7.2008年1月，建立国家网络安全综合计划（CNCI）即“网络曼哈顿计划”
8.2010年5月，网络战司令部成立。
8月正式运行。
英国
1.安全保障机构：
国家基础设施安全协调中心和信息保障中央主办局和民事应急局
2.立法过程：
1984年《数据保护法》、1990年《反计算机滥用法》、1997年《电信诈骗法》、2000年《信息自由法》
3.1998年，贸易和工业部《加强竞争力白皮书》，确定建设方式
4.2005年《信息保障管理框架》
5.2009年6月《国家网络安全战略》，成立“网络安全办公室”和“网络安全运行中心”
6.建立两个国家级计算机应急响应小组：
政府计算机响应小组
国防部计算机应急响应小组
7.BS7799是国际信息安全管理标准ISO27000的前身
德国
1.是第一个建立电子政务标准的国家
2.1991年，建立信息安全局（BSI）
3.1997年建立部际关键基础设施工作组
2005年出台《信息基础设施保护计划》和《关键基础设施保护的基线保护概念》
4.2003年12月总理办公室《强化信息系统安全国家计划》
5.2009年7月7日，成立国家级“网络和信息安全局”，置于总理领导下，隶属国防部
其它西方国家
1.加拿大
2004年提出《国家安全政策》
2004年11月《国家关键基础设施保护战略》
2010年10月3日《加拿大网络安全战略》
2.俄罗斯
机构：
俄罗斯联邦安全理事会，联邦安全局（信息安全工作主管和执法单位），技术和出口控制局，联邦保卫局、信息技术和通信部
做法：
《俄罗斯国家安全纲要》作为信息安全战略；注重安全测评；实施信息安全分级管理。
3.日本
实施了“保障型”信息安全战略，强调“信息安全保障是日本综合安全保障体系的核心”
机构：
日本IT战略本部、国家信息安全中心、信息安全政策理事会、经济贸易产业省、国家警察厅
做法：
1992年建立国家计算机应急响应协调中心；
2001年《建设先进信息和电信网络社会基本法》，同年《确保电子政务实施过程中的信息安全行动方案》
2003年《日本计算机安全战略》
4.韩国
2010年建立信息安全司令部
5.印度
机构：
国家信息委员会、国家信息安全协调中心、信息基础设施保护中心、信息技术局、印度计算机应急响应小组。
做法：
2000年《信息安全法》
2009年开发“中央监控系统”。
连接国内通信服务商
总结：
银行和金融被全部24个CIIP调查的国家列为关键基础设施。
我国
1.2001年-2002年（启动），国家信息化小组重组；网络与信息安全协调小组成立（2002年）
2003年-2005年（开展），出台指导政策；召开第一次全国信息安全保障会议；发布国家信息安全战略；国家网络与信息安全协调小组召开四次会议。
03年中办发27号文件，信息安全法律体系进一步发展。
2006年至今，信息安全法律法规、标准化和人才培养工作取得新成果；信息安全等级保护和风险评估取得新进展。
2.信息安全保障的基本原则–信息安全的等级保护制度。
等级保护制度：
根据应用系统、应用单位的重要程度，将信息系统划分为不同的重要等级，然后采用不同的技术和产品进行保护。
信息安全保障工作基本内容：
确定需求-制定方案-开展测评–持续改进
信息系统安全保障的具体需求由信息系统保护轮廓（ISPP）确定。
ISPP是根据组织机构使命和所处的运行环境，从组织机构的策略和风险的实际情况出发，对具体信息系统安全保障需求和能力进行具体描述。
信息安全保障解决方案适宜动态的风险管理过程，通过对信息系统生命周期内风险的控制，来解决在运行环境中信息系统安全建设索面临的各种问题，来有效保障业务系统及应用的持续发展。
信息系统安全目标（ISST），是根据信息系统保护框架（ISPP）编制的信息系统安全保障方案；某一特定产品或系统的安全需求；从信息系统安全保障的建设方（厂商）的角度制定的信息系统安全保障方案。
安全评估与测评
信息系统安全保障评估
在信息系统所处的运行环境中对信息系统安全保障的具体工作和活动进行客观的评估，通过信息系统安全保障评估所搜集的客观证据，向信息系统的所有相关方提供信息系统的安全保障工作能够实现其安全保障策略，能够将其所面临的风险降低到其可接受的程度的主观信心。
评估是一种动态持续的过程。
对象：
信息系统。
包含信息技术系统还有和运行环境相关的人和管理等领域。
作用：
系统所有者可以根据评估所得到的客观评估结果建立主观的信心。
1.国际标准（注重操作实用，弱化理论方法）
ISO27004：
信息安全管理的度量指标和测量
ITU：
基于通信安全架构（X.805）的风险评估
ISACA：
信息系统风险评估指南、安全评估之渗透测试和漏洞分析指南
国内标准
《信息安全风险评估指南》-资产/威胁/脆弱性
《信息系统等级保护测评指南》-安全保护基线
《信息系统安全保障评估框架》-安全保障措施与能力
2.我国信息安全测评认证所使用的标准主要有三个来源：
采用国家标准、在没有国家标准的情况下采用国际标准、采用认证中心管委会批准的技术要求和保护轮廓。
测评对象:
产品、系统、服务商资质、安全人员资质测评。
信息安全测评标准是GB/T20274《信息系统安全保障评估框架》，它提供了思路框架和操作规范。
信息安全测评依据的标准是：
CC、CEM和CNITSEC。
信息安全测评级别：
依据GB/T18336–2001，信息产品分为7个级别，即CC的EAL1-7级。
目前测评中心开展1～4级的测评。
5～7级需协商。
（获得的级别越高，安全性与可信度越高）
3.信息系统安全保障的评估，是从信息系统安全保障的概念出发，在信息系统的生命周期内，根据组织机构的要求在信息系统的安全技术、安全管理和安全工程领域内对信息系统的安全技术控制措施和技术架构能力、安全管理控制和管理能力以及安全工程实施控制措施和工程实施能力进行评估综合，从而最终得出信息系统在其运行环境中安全保障措施满足其安全保障要求的符合性以及信息系统安全保障能力的评估。
评估信息系统安全保障目标（ISST）对信息系统安全保障要求（ISPP）的符合性，即具体的信息系统安全保障措施信息系统在其运行环境下是否满足信息系统安全保障的需求
对信息系统安全保障的执行能力进行评估，评估信息系统安全保障级（包括技术架构能力级、工程能力级和管理能力级的评定）
4.信息系统的安全保障能力成熟度级
a）管理能力成熟度等级（MCML）：
MCML1、MCML2、MCML3、MCML4和MCML5
b）工程能力成熟度等级（PCML）：
PCML1、PCML2、PCML3、PCML4和PCML5
c）技术体系架构成熟度级别（TCML）：
TCML1、TCML2、TCML3、TCML4、TCML5
5.信息安全服务是指信息安全工程的设计、实施、测试、运行和维护，以及相关的咨询和培训活动。
目前测评中心开展的信息安全服务资质评估有三类：
工程类、开发类和灾难恢复类。
测评中心业务：
产品认证、信息系统认证、单位服务资质、人员资质。
2007年增加风险评估和漏洞分析。
6.安全工程过程能力级别是评定信息系统安全服务组织资质的主要依据，标志着服务组织提供给客户的安全服务专业水平和质量保证程度。
信息系统工程的过程能力级别按成熟性排序，表示依次增加的组织能力。
《信息系统安全服务资质评估准则》将信息系统安全服务组织的工程能力分为五个级别：
一级：
基本执行级二级：
计划跟踪级三级：
充分定义级
四级：
量化控制级五级：
连续改进级
项目和组织能力包括：
1、质量保证；2、管理配置；3、管理项目风险；4、监控技术活动；5、规划技术活动；6、管理系统工程支持环境；7、提供不断发展的技能和知识；8、与供应商协调。
密码学
1.近代：
基于算法保密。
现代：
基于密钥保密。
破解基于云计算～
2.影响密码系统安全性的基本因素：
复杂程度、密钥机密性、密钥长度、初始化向量。
3.基本类型：
换位（置换）密码、替换（代换）密码、流密码、分组密码。
4.密码破解方式：
唯密文攻击、已知明文攻击、选择明文攻击、选择密文攻击、旁路攻击、重放攻击、统计式攻击等。
5.密钥管理：
密钥管理体制、密钥交换体制和密钥的产生、分配、更换和注销等。
6.发展阶段：
古典密码（古代到19世纪末）-近代密码（1949年）-现代密码（1949年香农C.E.Shannon“TheCommunicationTheoryofSecretSystem（加密系统的通信理论）”开始）-公钥密码（1976年W.Diffie和M.Hellman“NewDirectioninCryptography[密码学的新方向]”）
7.可用性：
备份、nlh,cluster,主站镜像
完整性：
消息摘要、hash、md5、shal。
关于数据库类型的题都选完整性
机密性：
加密（对称加密：
快，不安全；非对称加密：
慢，安全）
不可抵赖性：
数字签名
8.OTP（one-timepad）一次一密
9.对称算法：
des（56bits）,3des,aes（128bits、192、256）,idea,rc系列
效率高、算法简单，系统开销小，不安全（加解密使用同一个密钥），密钥管理困难
非对称算法：
rsa,ecc,elg.
安全，慢。
（公钥-rootca；私钥-自己的）
只用于数字签名：
dsa,dss
10.密码体制分类：
1）受限制的算法VS基于密钥的算法
2）对称密码VS非对称密码
3）分组密码VS流密码
分组密码：
des（密钥长度56bits）,idea（密钥长度128bits）。
每次加密一块（8位）
流密码：
OTP（）一次一位或一字节。
4）代替密码VS置换密码
11.当前认为最安全的对称加密算法：
AES
12.数据加密：
接受方：
公加私解（多对一）
数字签名：
发送方：
私加公解（一对多）
13.RSA，三个老外名字首字母，在一个算法中实现签名和加密，考试大多选RSA。
14.私钥=签名+解密
公钥=签名检验和加密
15.数字签名的产生是私钥+哈希->dss,除了抗抵赖性，可以用来验证
16.椭圆曲线密码体制是目前已知的公钥体制中，安全性高于RSA。
17.RSA可用于：
加密、签名，密钥交换
dss,dsa：
只能用于数字签名。
D.H只能用于密钥交换。
18.ECC：
安全性更高（160位等同RSA1024位）；计算量小，处理速度快。
DES：
只做数字签名。
19.PKI/CA只能解决：
身份（认证、抗抵赖、完整、机密）、角色。
不能实现：
可用性、授权与访问控制
20.hash算法：
杂凑算法
md5,shal完整性，固定长度的摘要
21.最长规则～～～
22.SSLVPN比IPSEC所在协议层更高
信息安全标准
标准与标准化
1.标准
在一定范围内获得最佳秩序，经协商一致制定并由公认机构批准，共同使用的和重复使用的一种规范性文件。
标准化（GB/T20000.1-2002）
为了在一定范围内获得最佳秩序，对现实问题或潜在问题制定共同使用和重复使用的条款的活动。
标准化的特点
标准化的对象：
共同的、可重复的事物
标准化的动态性
标准化的相对性
标准化的效益
标准化的原则：
简化、统一、协调、优化。
（没有修订，修订是国际有而国家没的）
标准的作用：
标准是进行贸易的基本条件；标准能够提高企业的经济效益；标准能够提高国民经济效益。
标准能打破技术壁垒，标准也能成为新的技术壁垒。
2.标准的编制过程
00预阶段10立项阶段20起草阶段30征求意见阶段
40审查阶段50
3.我国标准化领域的主要法规文件：
1）中华人民共和国标准化法2）中华人民共和国标准化法实施条例
3）中华人民共和国标准化法条文解释4）国家标准管理办法
5）行业标准管理办法6）地方标准管理办法
7）企业标准化管理办法8）农业标准化管理办法
9）能源标准化管理办法10）信息分类编码标准化管理办法
11）采用国际标准管理办法12）全国专业标准化技术委员会章程
4.我国的国家标准代码：
GB强制性国家标准GB/T推荐性国家标准GB/Z国家标准化指导性技术文件
GJB国军标DB地方标准
5.物理安全GB2887第一位的
管理ISO27001ISO27002
6.信息安全标准化组织
1984年，我国成立数据加密技术分委员，后来改为信息技术安全分技术委员会。
2002年4月，为加强信息安全标准的协调工作，国家标准委决定成立信安标委，由国家标准委直接领导，对口ISO/IECJTC1SC27；秘书处设在中国电子技术标准化研究所；委员会由30多个部门和单位的49名领导和专家组成
目前共有工作组成员单位165家，其中企业120家
没有直接的对应关系
ISOJTC1SC27信息安全、信息技术
中国TC260信息安全标准委员会
WG1信息安全管理体系工作组
WG1信息安全标准体系与协调
WG2密码与安全机制工作组
WG2涉密信息系统安全保密标准
WG3安全评估准则工作组
WG3密码技术标准工作组
WG4安全控制与服务工作组
WG4鉴别与授权工作组
WG5身份管理与隐私技术工作组
WG5信息安全评估工作组
WG6通信安全标准工作组
WG7信息安全管理工作组
JTC1其他分技术委员会：
SC6—系统间通信与信息交换，主要开发开放系统互连下四层安全模型和安全协议，如ISO9160、ISO/IEC11557
SC17—识别卡和有关设备，主要开发与识别卡有关的安全标准。
SC18—文件处理及有关通信，主要开发电子邮件、消息处理系统等安全标准
SC21—开放系统互连，数据管理和开放式分布处理，主要开发开放系统互连安全体系结构，各种安全框架，高层安全模型等标准，如:
ISO/IEC7498-2、ISO/IEC9594-1至8
SC22—程序语言，其环境及系统软件接口，也开发相应的安全标准
SC30—开放式电子数据交换，主要开发电子数据交换的有关安全标准。
如ISO9735-9、ISO9735-10
ISO/TC68银行及相关金融业务
IEC:
TC56可靠性；TC74IT设备安全和功效；TC77电磁兼容；CISPR无线电干扰特别委员会
ITU-T（PKI方面）:
前身是CCITT;消息处理系统;目录系统（X.400系列、X.500系列）;安全框架;安全模型等标准
ECMA
TC32——“通信、网络和系统互连”曾定义了开放系统应用层安全结构
TC36——“IT安全”负责信息技术设备的安全标准
7.国际信息化标准组织
kerberosWG票务系统x.509关于PKIx.500目录LDAP轻量级目录访问权限
TC32“通信、网络与系统互联”
TC36“IT安全”
8.美国的标准化组织
ANSINCITS-T4制定IT安全技术标准
X9制定金融业务标准X12制定商业交易标准（EDI）
NIST负责联邦政府非密敏感信息FIPS
DOD负责涉密信息NSA国防部指令（DODDI）（如TCSEC）
IEEESILSP1363
9.我国目前安全现状：
多方齐抓共管
10.安全标准的发展
TCSEC（1985）–ITSEC（1991）–FC（1992）–CTCPEC（1993）–CC1.0（1996）GJB2646（1996）–CD（1997）–CC2.0（1998）FCD（1998）–ISO15408（1999）GB17859（1999）等保ISO15408（1999）–GB/T18336（2001）–GB/T18336（2008）
11.美国TCSEC分7级：
A1、B3、B2、B1、C2、C1、D1。
基于安全政策、可控性、保障能力和文档四个准则。
欧洲ITSEC分F1–F10。
1-5对应TCSEC的D到A。
6-10加入了以下概念：
F6：
数据合成需的完整性F7：
系统可用性F8：
数据通信完整性
F9：
数据通信保密性F10：
包括机密性和完整性的网络安全
评估准则分6级：
E1测试E2配置控制和可控的分配E3能访问详细设计和源码E4详细的脆弱性分析E5设计与源码明显对应E6设计与源
升级会员 