信息安全体系整理文档格式.docx
《信息安全体系整理文档格式.docx》由会员分享，可在线阅读，更多相关《信息安全体系整理文档格式.docx（17页珍藏版）》请在冰豆网上搜索。
根据ISO/IEC13335-1,资产是指任何对组织有价值的东西，资产包括：
物理资产、信息/数据、软件、提供产品和服务的能力（注：
供应能力）、人员、无形资产（商标等）。
3.威胁源有哪些？
其常见表现形式分别是什么？
4.请解释以下名词：
（1）资产；
资产是指任何对组织有价值的东西（二、2）
（2）威胁；
威胁是可能对资产或组织造成损害的潜在原因。
（3）脆弱点；
脆弱点是一个或一组资产所具有的，可能被威胁利用对资产造成损害的薄弱环节。
（4）风险；
信息安全风险是指威胁利用利用一个或一组资产的脆弱点导致组织受损的潜在，并以威胁利用脆弱点造成的一系列不期望发生的事件（或称为安全事件）来体现
（5）影响。
影响是威胁利用资产的脆弱点导致不期望发生事件的后果。
这些后果可能表现为直接形式
5.风险评估方法分为哪几种？
其优缺点分别是什么？
常见的风险评估方法有三种：
基线风险评估方法详细风险评估方法综合风险评估方法
基线评估的优点是：
（1）风险分析和每个防护措施的实施管理只需要最少数量的资源，并且在选择防护措施时花费更少的时间和努力；
（2）如果组织的大量系统都在普通环境下运行并且如果安全需要类似，那么很多系统都可以采用相同或相似的基线防护措施而不需要太多的努力。
基线评估的的缺点是：
基线水平难以设置
（2）风险评估不全面、不透彻，且不易处理变更。
详细评估的优点是：
（1）有可能为所有系统识别出适当的安全措施；
（2）详细分析的结果可用于安全变更管理。
详细评估的缺点：
需要更多的时间、努力和专业知识。
综合评估方法将基线和详细风险评估的优势结合起来，既节省了评估所耗费的资源，又能确保获得一个全面系统的评估结果，而且，组织的资源和资金能够应用到最能发挥作用的地方，具有高风险的信息系统能够被预先关注。
综合评估也有缺点：
如果初步的高级风险分析不够准确，某些本来需要详细评估的系统也许会被忽略，最终导致某些严重的风险未被发现。
6.请写出风险计算公式，并解释其中各项所代表的含义。
风险可形式化的表示为R=（A,T,V），其中R表示风险、A表示资产、T表示威胁、V表示脆弱点。
相应的风险值由A、T、V的取值决定，是它们的函数，可以表示为：
VR=R（A,T,V）=R（L（A,T,V），F（A,T,V））
其中，L（A,T,V）、F（A,T,V）分别表示对应安全事件发生的可能性及影响，它们也都是资产、威胁、脆弱点的函数，但其表达式很难给出。
而风险则可表示为可能性L和影响F的函数，简单的处理就是将安全事件发生的可能性L与安全事件的影响F相乘得到风险值，实际就是平均损失，即VR=L（A,T,V）×
F（A,T,V）
7.风险评估文件由哪些主要文档组成？
风险评估文件包括在整个风险评估过程中产生的评估过程文档和评估结果文档，这些文档包括：
（1）风险评估计划
（2）风险评估程序（3）资产识别清单
（4）重要资产清单（5）威胁列表（6）脆弱点列表（7）已有安全措施确认表
（8）风险评估报告（9）风险处理计划（10）风险评估记录
8.常用的综合评价方法有哪些，试进行比较。
常用的综合评价方法有综合指数法、功效评分法、TOPSIS法、层次分析法、主成份分析法、聚类分析法等。
（1）综合指数法是多指标系统的一种评价方法。
综合指数法通过计算各评价对象对每个指标折算指数值来实现不同指标值的无量纲化，并通过加权平均方法计算综合指数值，
（2）功效评分法通过功效系数来实现不同指标的无量纲化，然后在利用其他方法来确定功效权值，如均权法、层次分析法、离差权法等。
（3）TOPSIS法是通过检测评价对象与最优解、最劣解的距离来进行排序，若评价对象最靠近最优解同时又最远离最劣解，则为最好；
否则不为最优。
（4）层次分析法是将决策问题的有关元素分解成目标、准则、方案等层次，在此基础上进行定量和定性分析的一种决策方法。
层次分析法的决策过程如下：
a）分析各影响因素间的关系，建立层次模型
b）构建两两比较判断矩阵
c）计算单个判断矩阵对应的权重向量
d）计算各层元素对目标层的合成权重向量
（5）主成分分析是一种多元统计分析方法，对于多指标的复杂评价系统，由于指标多，数据处理相当复杂，由于指标之间存在一定的关系，可以适当简化。
主成分分析的思想是通过一定的变换，用较少的指标来代替原先较多的指标，从而达到简化问题的处理与分析的目的。
（6）聚类分析法是解决“物以类聚”，解决事务分类的一种数学方法。
它是在没有或不用样品所述类别信息的情况下，依据对样品采集的数据的内在结构以及相互间的关系，在样品间相似性度量的基础上，对样品进行分类的一种方法。
9.常用的定性与定量的风险分析方法有哪些？
各有什么特点？
定量方法试图用具体的货币表示形式的损失值来分析和度量风险，定量方法主要有基于期望损失的风险评估方法与基于期望损失效用的风险评估方法等。
基于期望损失的风险评估方法以期望损失作为风险大小的度量标准。
基于期望损失效用的风险评估方法好处就是能够更好的区分“高损失、低可能性”及“低损失、高可能性”两种不同安全事件的风险.
定性方法不是给出具体的货币形式的损失，而是用诸如“极为严重、严重、一般、可忽略”等定性方法来度量风险。
定性方法一般基于一定的定量方法，在定量方法的基础上进行裁剪和简化。
典型的定性风险分析与评价方法有风险矩阵测量、威胁分级法、风险综合评价等。
1．风险矩阵测量
这种方法的特点是事先建立资产价值、威胁等级和脆弱点等级的一个对应矩阵，预先将风险等级进行了确定。
然后根据不同资产的赋值从矩阵中确定不同的风险。
2．威胁分级法
这种方法是直接考虑威胁、威胁导致的安全事件对资产产生的影响以及威胁导致安全事件发生的可能性来确定风险。
3．风险综合评价
这种方法中风险由威胁导致的安全事件发生的可能性、对资产的影响程度以及已经存在的控制措施三个方面来确定。
与风险矩阵法和威胁分级法不同，本方法将控制措施的采用引入风险的评价之中。
三、网络无习题
四、物理安全
1.为了保证信息系统安全，应当从哪些方面来保证环境条件
应当从机房安全，安全区域来保证环境条件
防盗、防毁、防电磁泄漏、加强设备的安全管理和规范存储媒介的使用是设备安全防护的基本要求；
为防止XX的访问，预防对信息系统基础设施（设备）和业务信息的破坏与干扰，应当对信息系统所处的环境进行区域划分，并把关键的和敏感的业务信息处理设施放置在安全区域，同时要对放置信息系统的空间进行细致周密的规划，并从温度和湿度、空气含尘度、噪声、电磁干扰、供电等方面来保证环境条件。
2.移动存储介质的安全隐患有哪些？
如体积小、易丢失；
“摆渡”技术的威胁；
信息失效；
公私混用；
病毒危害；
管理困难等
3.电磁泄漏的技术途径有哪些？
计算机电磁泄漏信息泄露主要有两种途径：
一是被处理的信息会通过计算机内部产生的电磁波向空中发射，称为辐射发射（见图4-1）；
二是这种含有信息的电磁波也可以通过计算机内部产生的电磁波向空中发射，称为传导发射
抑制计算机中信息泄露的技术途径有两种：
一是电子隐蔽技术，二是物理抑制技术
4.信息系统的记录按其重要性和机密程度可以分为哪几类？
一类记录——关键性记录
这类记录对设备的功能来说是最重要的、不可替换的，是火灾或其它灾害后立即需要，但又不能再复制的那些记录。
二类记录——重要记录
这类记录对设备的功能来说很重要，可以在不影响系统最主要功能的情况下进行复制。
但比较困难和昂贵。
三类记录——有用记录
这类记录的丢失可能引起极大的不便，但可以很快复制。
四类记录——不重要记录
5.简述计算机机房安全等级的划分。
A类：
对计算机机房的安全有严格的要求，有完善的计算机机房安全措施。
该类机房放置需要最高安全性和可靠性的系统和设备。
B类：
对计算机机房的安全有较严格的要求，有较完善的计算机机房安全措施。
它的安全性介于A类和C类之间。
C类：
对计算机机房的安全有基本的要求，有基本的计算机机房安全措施。
该类机房存放只需要最低限度的安全性和可靠性的一般性系统。
6.信息安全人员的审查应当从哪几个方面进行？
审查范围：
人员安全意识、法律意识和安全技能等。
人员审查标准：
1、人员审查必须根据信息系统所规定的安全等级确定审查标准。
2、信息系统的关键岗位人选，如安全负责人、安全管理员、系统管理员和保密员等，必须经过严格的政审并要考核其业务能力。
3、因岗挑选人，制定选人方案。
遵循“先测评、后上岗；
先试用、后聘用”原则。
4、所有人员都应遵循“最小特权”原则，并承担保密义务和相关责任。
7.人员安全管理的基本原则是什么？
人员管理的三个基本原则为：
1.多人负责原则；
2.任期有限原则;
3、职责分离原则。
8.职员授权管理的主要内容有哪些？
职员授权管理主要涉及职员定岗、用户管理及承包人或公众访问系统时需要考虑的特殊因素
五、信息系统安全审计
1.什么是信息安全审计，它主要有哪些方面的功能？
安全审计是对信息系统的各种事件及行为实行监测、信息采集、分析并针对特定事件及行为采取相应响应动作。
网络安全审计是指对与网络安全有关的活动的相关信息进行识别、记录、存储和分析，并检查网络上发生了哪些与安全有关的活动以及谁对这个活动负责。
信息安全审计的有多方面的作用与功能，包括取证、威慑、发现系统漏洞、发现系统运行异常等。
（1）取证：
利用审计工具，监视和记录系统的活动情况。
（2）威慑：
通过审计跟踪，并配合相应的责任追究机制，对外部的入侵者以及内部人员的恶意行为具有威慑和警告作用。
（3）发现系统漏洞：
安全审计为系统管理员提供有价值的系统使用日志，从而帮助系统管理员及时发现系统入侵行为或潜在的系统漏洞。
（4）发现系统运行异常：
通过安全审计，为系统管理员提供系统运行的统计日志，管理员可根据日志数据库记录的日志数据，分析网络或系统的安全性，输出安全性分析报告，因而能够及时发现系统的异常行为，并采取相应的处理措施。
2.CC在安全审计方面有哪些要求？
我国国标GB17859又有什么要求？
CC是美国、加拿大、英国、法国、德国、荷兰等国家联合提出的信息安全评价标准，在1999年通过国际标准化组织认可，成为信息安全评价国际标准。
CC标准基于安全功能与安全保证措施相独立的观念，在组织上分为基本概念、安全功能需求和安全保证需求三大部分。
CC中，安全需求都以类、族、组件的层次结构形式进行定义.
我国的信息安全国家标准GB17859-1999《计算机信息系统安全保护等级划分准则》定义了五个安全等级，从第二级“系统审计保护级”开始有了对审计的要求，它规定计算机信息系统可信计算基（TCB）可以记录以下事件：
使用身份鉴别机制；
将客体引入用户地址空间（例如：
打开文件、程序初始化）；
删除客体；
由操作员、系统管理员或（和）系统安全管理员实施的动作，以及其它与系统安全相关的事件。
第三级“安全标记保护级”在第二级的基础上，要求对于客体的增加和删除这类事件要在审计记录中增加对客体安全标记的记录。
另外，TCB也要审计对可读输出记号（如输出文件的安全标记）的更改这类事件。
第四级“结构化保护级”的审计功能要求与第三级相比，增加了对可能利用存储型隐蔽通道的事件进行审计的要求。
第五级“访问验证保护级”在第四级的基础上，要求TCB能够监控可审计安全事件的发生与积累，当（这类事件的发生或积累）超过预定阈值时，TCB能够立即向安全管理员发出警报。
并且，如果这些事件继续发生，系统应以最小的代价终止它们。
3.试比较集中式安全审计与分布式安全审计两种结构。
按照审计的工作方式，安全审计可分为集中式安全审计和分布式安全审计。
集中式体系结构采用集中的方法，收集并分析数据源，所有的数据都要交给中央处理机进行审计处理。
中央处理机承担数据管理引擎及安全审计引擎的工作，而部署在各受监视系统上的外围设备只是简单的数据采集设备，承担事件检测及数据采集引擎的作用。
随着分布式网络技术的广泛应用，集中式的审计体系结构越来越显示出其缺陷，主要表现在:
（1）由于事件信息的分析全部由中央处理机承担，势必造成CPU、I/O以及网络通信的负担，而且中心计算机往往容易发生单点故障（如针对中心分析系统的攻击）。
另外，对现有的系统进行用户的增容（如网络的扩展，通信数据量的加大）是很困难的。
（2）由于数据的集中存储，在大规模的分布式网络中，有可能因为单个点的失败造成整个审计数据的不可用。
（3）集中式的体系结构，自适应能力差，不能根据环境变化自动更改配置。
通常，配置的改变和增加是通过编辑配置文件来实现的，往往需要重新启动系统以使配置生效。
因此，集中式的体系结构已不能适应高度分布的网络环境。
分布式安全审计系统实际上包含两层涵义：
一是对分布式网络的安全审计，其二是采用分布式计算的方法，对数据源进行安全审计。
它由三部分组成：
（1）主机代理模块。
主机代理模块是部署在受监视主机上，并作为后台进程运行的审计信息收集模块。
2）局域网监视器代理模块。
局域网监视器代理模块是部署在受监视的局域网上，用以收集并对局域网上的行为进行审计的模块，主要分析局域网网上的的通信信息，并根据需要将结果报告给中央管理者。
（3）中央管理者模块接收包括来自局域网监视器和主机代理的数据和报告，控制整个系统的通信信息，对接收到的数据进行分析。
相对于集中式结构，它有以下优点:
（1）扩展能力强；
（2）容错能力强（3）兼容性强（4）适应性强。
4.常用的安全审计分析方法有哪些？
基于规则库的安全审计方法、基于数理统计的安全审计方法、基于日志数据挖掘的安全审计方法、其它安全审计方法
5.安全审计有哪些可用的数据源？
安全审计的数据源，可以分为三类：
基于主机、基于网络和其他途径。
基于主机的数据源
（1）操作系统的审计记录
（2）系统日志（3）应用程序日志信息
基于网络的安全审计系统所采用的输入数据即网络中传输的数据。
其它数据源
（1）来自其它安全产品的数据源
（2）来自网络设备的数据源（3）带外数据源
6.什么是计算机取证，有哪些相关技术？
计算机取证是对计算机入侵、破坏、欺诈、攻击等犯罪行为，利用计算机软硬件技术，按照符合法律规范的方式，进行识别、保存、分析和提交数字证据的过程。
计算机取证相关技术
（1）电子证据监测技术
（2）物理证据获取技术（3）电子证据收集技术（4）电子证据保全技术。
（5）电子证据处理及鉴定技术
7.简述计算机取证的步骤
计算机取证的一般步骤应由以下几个部分组成。
保护目标计算机系统
电子证据的确定
电子证据的收集
电子证据的保护
电子证据的分析
归档
在处理电子证据的过程中，为保证数据的可信度，必须确保“证据链”的完整性即证据保全，对各个步骤的情况进行归档，包括收集证据的地点、日期、时间和人员、方法及理由等，以使证据经得起法庭的质询。
六、灾难恢复与业务连续性
1.什么是BCM（业务连续性管理）？
BCM的目标是什么？
业务连续性是指组织为了维持其生存，一旦发生突发事件或灾难后，在其所规定的时间内必须恢复关键业务功能的强制性要求。
减少信息系统灾难对社会的危害和人民财产带来的损失保证信息系统所支持的关键业务能在灾害发生后及时恢复并继续运作，是灾难恢复与业务连续性管理的主要目标。
2.请解释BCP、DRP？
阐述它们的区别
业务连续性计划（BusinessContinuityPlanning,BCP）是一套事先被定义和文档化的计划，明确定义了恢复业务所需要的关键人员、资源、行动、任务和数据。
灾难恢复计划（DisasterRecoveryPlanningDRP）灾难恢复计划是对于紧急事件的应对过程，它包括在事前，事中，和灾难对信息系统资源造成重大损失后所采取的行动。
Bcp过程包含：
计划和范围的初始化、业务影响分析、业务可持续计划开发
DRP过程包含：
灾难恢复计划步骤、测试灾难恢复计划、灾难恢复计划程序
两者的主要区别：
bcp强调使关键业务经得起不同的意外事件的影响
DRP强调对于灾难的预防措施，以及在灾难发生时和灾难发生之后所采取的行为和措施
3.什么是应急响应？
其目的是什么？
应急响应：
指一个组织为了应对各种意外事件的发生所做的准备以及在事件发生初期所采取
的措施。
目的：
避免、降低危害和损失，以及从危害和损失中恢复。
4.应急响应预案制定的原则有哪些？
基本原则：
集中管理、统一指挥、规范运行、标准操作、反应迅速和响应高效。
七、信息安全标准[Lingrenfazhi]
1.简述信息安全的标准体系。
2.描述TCSEC各级关键点，GB/T17859中的各级与之有什么对应关系？
（注：
TCSEC将计算机操作系统的安全从高到底分为四级（A、B、C、D），级下再细分为七小级（A1、B3、B2、B1、C2、C1、D））
TCSEC
GB
17859—1999
D：
低级保护
@
C1：
自主安全保护
1：
用户自主保护级
C2：
受控访问保护
2：
系统审计保护级
B1：
标记安全保护
3：
安全标记保护级
B2：
结构化保护
4：
结构化保护级
B3：
安全区域
5：
访问验证保护级
A1：
验证设计
3.阐述信息安全等级保护基本要求GB/T22239-2008分别对技术和管理要求划分了哪些层面？
一级基本要求在安全技术方面要求：
身份鉴别、自主访问控制、恶意代码防范、数据的完整性保护、通信完整性保护、软件容错和备份与恢复等控制点。
管理方面提出了安全管理制度、安全管理机构、人员管理、系统建设管理、系统运行维护管理的相关要求。
二级基本要求在一级基本要求的基础上，在技术方面，二级要求在控制点上增加了安全审计、边界完整性检查、入侵防范、资源控制以及通信保密性等控制点
身份鉴别则要求在系统的整个生命周期，每一个用户具有唯一标识，具有可查性。
同时，要求访问控制具有更细的访问控制粒度等。
在管理方面，增加了审核和检查、管理制度的评审和修订、人员考核、密码管理、变更管理和应急预案管理等控制点。
三级基本要求在二级基本要求的基础上，在技术方面，在控制点上增加了网络恶意代码防范、剩余信息保护、抗抵赖等。
同时，对身份鉴别、访问控制、安全审计、数据完整性、数据保密性等均提出更高要求，
在管理方面，在安全管理制度制定和发布、评审和修订等某些管理要求上要求项增加，强度增强。
四级基本要求在三级基本要求的基础上，在技术方面，在控制点上增加了安全标记、可信路径，同时，对身份鉴别、访问控制、安全审计、数据完整性、数据保密性等均有更进一步的要求，
在管理方面，增加了系统备案、等级测评、监控管理和安全管理中心等控制点，同时要求设置必要的安全管理职能部门，加强了安全管理制度的评审以及人员安全的管理，对系统建设过程加强了质量管理。
4.列举“计算机信息系统安全保护等级划分准则”（GB17859—1999）的五个保护等级，以及各个等级的特点。
（1）第一级用户自主保护级
（2）第二级系统审计保护级
（3）第三级安全标记保护级
（4）第四级结构化保护级
（5）第五级访问验证保护级
5.阐述CC刻画信息系统安全性的基本方法。
CC是从安全功能和安全保证两方面对IT安全技术的要求进行描述
CC标准分为三个部分：
（1）第一部分——简介和一般模型，正文介绍了CC中的有关术语、基本概念和一般模型以及与评估有关的一些框架，附录部分主要介绍保护轮廓（PP）和安全目标（ST）的基本内容。
（2）第二部分——安全功能要求，按“类—族—组件”的方式提出安全功能要求，作为表达产品或系统安全功能要求的标准方法。
每一个类除正文以外，还有对应的提示性附录做进一步解释。
在此部分中共列出11个类，66个子类和135个功能组件。
（3）第三部分——安全保证要求，提出了一系列保证组件、族和类，作为表达产品和系统安全保证要求的标准方法。
在此部分列出7个保证类和1个保证维护类、还定义了PP评估类和ST评估类。
除此之外，还定义了评价产品或系统保证能力水平的一组尺度——评估保证级。
6.阐述ISO/IEC27000系列标准及其关键标准发展史。
（nozuonodie）
下图备用
ISO/IEC27001:
2005《信息技术——安全技术——信息安全管理体系——要求》是建立信息安全管理系统（ISMS）的一套需求规范，其中详细说明了建立、实施和维护信息安全管理体系的要求，指出实施机构应该遵循的风险评估标准。
ISO/IEC27002《信息安全管理实用规则》对组织实施信息安全管理提供建议，供一个组织中负责信息安全工作的人员使用。
该标准适用于任何类型、任何规模的组织，对于标准中提出的任何一项具体的信息安全控制措施，组织应考虑我国的法律法规以及组织的实际情况来选择使用。
ISO27000（《信息安全管理体系基础和术语》），属于A类标准。
ISO/IEC27000提供了ISMS标准族中所涉及的通用术语及基本原则。
ISO/IEC27003（《信息安全管理体系实施指南》），属于C类标准。
ISO/IEC27003为建立、实施、监视、评审、保持和改进符合ISO/IEC27001的ISMS提供了实施指南和进一步的信息。
ISO/IEC
升级会员 