网络安全复习CLASSIFIEDdocWord文档下载推荐.docx
《网络安全复习CLASSIFIEDdocWord文档下载推荐.docx》由会员分享，可在线阅读，更多相关《网络安全复习CLASSIFIEDdocWord文档下载推荐.docx（11页珍藏版）》请在冰豆网上搜索。
（3）信息安全具有必然性。
（4）信息安全具有过程性。
（5）信息安全具有动态性。
（6）信息安全具有相对性。
实施信息安全工程更充分权衡风险威胁与防御措施的利弊与得失，在安全级别与投资代价之间取得一个企业相对能够接受的平衡点，讲究成本与效率。
（7）信息安全具有层次性。
物理层安全、系统层安全、网络层安全、应用层安全、管理层安全
3.2.2SSE-CMM的过程域
与基于时间维的ISSE过程不同，SSE-CMM是将通用的安全工程过程分为三个不同的基本单元：
风险、工程和信任度。
3.2.3.1
1、SSE-CMM包括“域”和“能力”两个维数。
其中域维仅仅包含了所有的共同定义安全工程的实施活动，这些实施在SSE-CMM模型中称为“基本实践”。
能力维表示的实践代表了组织对过程的管理和制度化能力，它们称为“通用实践”。
通用实践是基本实践过程中必须要完成的活动。
2、通过把基本实践和通用实践放在两个维上综合考察，便可以检验一个组织执行某项特定活动能力的方法。
3.3.1
SSE-CMM可用于以下三种场合：
（1）过程改进：
使从事安全工程的组织能够了解他们的安全工程过程等级，设计所要改进的安全工程过程，改进他们的安全工程过程能力。
（2）能力评估：
使消费者能够了解产品、系统或者服务提供商组织的安全工程过程能力。
（3）信任度：
通过证据来说明已经使用了成熟的过程，以此来增加对一个产品、系统或服务可信度的信心。
3.3.2
IDEAL方法描述如下：
（1）初始化：
为安全工程过程的成功改进奠定基础。
（2）诊断：
判断当前的工程过程能力状况。
（3）建立：
为实现目标建立详细的行动计划。
（4）执行：
根据计划展开行动。
（5）学习：
吸取经验，改进过程能力。
4.2.1
1993年6月，美国政府同加拿大及欧共体共同起草单一的通用准则（CC标准）
1996年CC的1.0版本出版，2.0版本在1998年正式公行。
1999年12月CC2.0版被ISO批准为国际标准。
我国于2001年将CC等同采用为国家标准
4.4
1、实施信息安全等级保护，有以下重要的意义：
（1）有利于在信息化建设过程中同步建设信息安全设施，保障信息安全与信息化建设相协调。
（2）有利于为信息系统安全建设和管理提供系统性、针对性、可行性的指导和服务。
（3）有利于优化信息安全资源的配置，对信息系统分级实施保护，重点保障基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统的安全。
（4）有利于明确国家、法人和其他组织、公民的信息安全责任，加强信息安全管理。
（5）有利于推动信息安全产业的发展，逐步探索出一条适应社会主义市场经济发展的信息安全模式。
4.5.1等级保护的基本原理
实现信息系统安全等级保护的基本原理是：
根据信息系统所承载的业务应用的不同安全需求，采用不同的安全保护等级，对不同的信息系统或同一信息系统中的不同安全域进行不同程度的安全保护，以实现对信息系统及其所存储、传输和处理的数据信息在安全保护方面，达到确保重点，照顾一般，适度保护，合理共享的目标。
****4.5.2等级保护的基本方法
（1）分区域分等级安全保护。
①每一个安全域是一个相对独立的运行和使用环境，同时又是信息系统的不可缺少的组成部分。
②在一个具体的信息系统中，实际情况可能千变万化，可能只有并列安全域，也可能只有嵌套安全域，或者既有嵌套安全域也有并列安全域。
（2）内部保护和边界保护。
（3）网络安全保护。
4.5.3
1、安全域的基本特征是安全域应有明确的边界。
2、安全域的划分可以是物理的，也可以是逻辑的，从而安全域的边界也可以是物理的或是逻辑的。
3、安全域的划分以业务应用为基本依据，以数据信息保护为中心。
4.6.1安全保护等级的划分
根据GB17859，我国计算机信息系统安全保护划分为以下5个等级：
（1）第一级用户自主保护级。
（2）第二级系统审计保护级。
（3）第三级安全标记保护级。
（4）第四级结构化保护级。
（5）第五级访问验证保护级。
4.7.3.3
信息系统的安全监督检查和管理包含以下内容：
（1）安全产品的监督检查和管理。
通过对安全产品进行测评，并实行市场准入许可证制度等，确保安全产品的安全性和质量要求达到规定的目标。
（2）安全系统的监督检查和管理。
由国家指定的信息安全监管职能部门，通过备案、指导、检查、督促整改等方式，对重要信息和信息系统的信息安全保护工作进行指导监督。
（3）长效持续的监督检查和管理。
信息系统安全监督检查和管理是一项长期的持续性工作，需要制定相应的管理制度与实施规程，以确保在人员和机构等发生变化的情况下，仍能以规范化的要求开展工作。
实施规程，以确保在人员和机构等发生变化的情况下，仍能以规范化的要求开展工作。
4.7.3.4
落实安全管理措施
（1）第一是人员安全管理
（2）第二是系统运行与维护管理
（3）第三是系统建设管理
4.7.4.1信息系统安全的组成与相互关系
（1）物理安全
（2）系统安全
（3）网络安全
（4）应用安全
（5）安全管理
5.1.4
1、信息安全管理是对一个组织机构中信息系统的生命周期全过程实施符合安全等级责任要求的管理。
5.2
BS7799-1和-2区别
BS7799-1
实施细则
经验建议
ISO/IEC17799:
2005
BS7799-2
体系要求
作为认证
ISO/IEC27001:
5.2.2.1BS7799-1
BS7799-1规定了信息安全的控制要求，根据10大控制方面的要求，从控制目标和控制措施入手，涉及信息安全的方方面面。
5.2.2.2BS7799-2
BS7799-2规定了建立、实施和维护信息安全管理体系的要求，规定了根据组织的需要应实施安全控制的要求。
6.8.2用户访问管理
对用户的访问进行管理和控制，确保授权用户访问信息系统，并防止未授权的访问。
6.8.2.1
用户注册和注销的访问控制规程应包括：
·
使用唯一用户ID，使得用户与其行为链接起来，并对其行为负责。
在对于业务和操作而言必要时，对允许使用组ID，并应经过批准和形成文件。
核查使用信息系统或服务的用户是否具有该系统拥有者的授权，取得管理者对访问权的单独批准也是合适的。
核查所授予的访问级别是否与业务目的相适合，是否与组织的安全方针保持一致，如没有违背责任分割原则。
确保直到已经完成授权规程，服务提供者才提供访问。
维护一份注册使用该服务的所有人员的正式记录。
立即取消或封锁工作角色或岗位发生变更，或离开组织的用户的访问权。
定期核查并取消或封锁多余的用户ID和账号。
确保多余的用户ID不会发给其他用户。
6.8.4.1
应制定关于使用网络和网络服务的策略，例如：
允许被访问的网络和网络服务。
确定允许哪个人访问哪些网络和网络服务的授权规程。
保护访问网络连接和网络服务的管理控制措施和规程。
访问网络和网络服务使用的手段（例如拨号访问ISP的条件）。
7.1
在信息安全管理体系实施过程中，采用了“规划（Plan）-实施（Do）-检查（Check）-处置（Act）”（PDCA）循环模型。
7.7
按照ISO和IEC的定义，认证（Certification）是由国家认可的认证机构证明一个组织的产品、服务、管理体系等符合相关标准、技术规范（TS）或其强制性要求的合格评定活动。
认证的基础是标准，认证的方法包括对产品的特性抽样检验和对组织体系的审核与评定，认证的证明方式是认证证书与认证标志。
7.7.1
ISMS认证可以给组织带来如下收益：
（1）使组织获得最佳的信息安全运行方式。
（2）保证组织业务的安全。
（3）降低组织业务风险、避免组织损失。
（4）保持组织核心竞争优势。
（5）提供组织业务活动中的信誉。
（6）增强组织竞争力。
（7）满足客户要求。
（8）保证组织业务的可持续发展。
（9）使组织更加符合法律法规的要求。
7.7.2
1、我国已经在质量管理体系（QMS）、环境管理体系（EMS）两个管理体系的认证证书与IAF的成员单位签订了互认协议
2、严格说来，带有CNAS、UKAS、ANAB等标志的ISMS认证证书都不属于国际认证证书
7.7.3.4
认证证书的有效期一般为3年，到期之后，系统需要认证机构重新进行认证审核。
8.2.1.3
脆弱性（Vulnerability）是指可能被威胁所利用的资产或若干资产的薄弱环节。
脆弱性是资产本身存在的
资产的脆弱性具有隐蔽性
脆弱性主要表现在从技术和管理两个方面
8.2.2
风险要素之间存在着以下关系：
（1）威胁利用脆弱性产生安全风险，资产面临的威胁越多则风险越大。
（2）资产的脆弱性可能暴露资产的价值，资产具有的脆弱性越多则风险越大。
（3）资产具有价值，并对组织业务有一定的影响，资产价值及影响越大则其面临的风险越大。
（4）安全控制措施能抵御威胁，减少脆弱性，因而能降低安全风险。
（5）安全风险的存在及对风险的认识提出了安全需求，安全需求通过安全控制措施来满足或实现。
8.3.7.3转移风险
转移风险是一种风险控制方法，它是组织在无法避免风险时，或者减少风险很困难，成本也很高时，将风险转向其他的资产、过程或组织。
可以通过重新考虑如何提供服务、修改配置模型、执行项目外包并完善合同、购买保险等方式来实现该目标。
8.3.7.4降低风险
降低风险的方法主要包括以下三种计划：
（1）事件响应计划。
事件响应计划是在事故或灾难尚未发生时，组织事先制定好的在事件发生时应该快速实施的措施列表。
（2）灾难恢复计划。
灾难恢复计划是在灾难事件发生时，组织用来限制损失的一些措施，例如恢复丢失数据、重建丢失服务、关闭过程以保护系统等。
（3）业务持续性计划。
业务持续性计划是在确定灾难会影响组织后续业务运营时，组织执行的确保总体业务持续性的措施。
8.5信息安全风险评估方法
在应用风险评估方法的过程中，评估的时间、地点，投入的财力和物力，以及开展的深度都应与组织的环境和安全需求相符合。
例如，如果组织及其信息资产在大多数情况下只需要一个低等级到中等级的安全需求，那么基本的风险评估方法就足够了。
如果安全需求较
高，并要求更具体的和专业的处理，那么就必须运用详细的风险评估或综合的风险评估方法。
当然，无论采用哪一种评估方法，都应遵循可靠性、完整性、时间与成本有效等原则。
8.5.1.2基本风险评估的优点
（1）风险评估所需资源最少，操作简单。
（2）选择安全措施时花费更少的时间和努力。
（3）如果多个信息系统在相同的普通环境下运行，并且安全需求类似，那么这些系统采用相同或相似的基本风险评估可以提供一个经济有效的解决方案。
8.5.1.3基本风险评估的缺点
（1）安全基线和安全水平难以设置。
如果设置太高，可能需要过多费用，或控制过度；
如果设置太低，则信息系统可能会缺少安全，导致更高层次的暴露。
（2）风险评估不全面透彻，在管理与安全相关的变更方面可能有困难。
例如系统被升级后，就很难评估原先的安全控制措施是否仍然充分有效。
8.5.2.2详细风险评估的优点
（1）识别全面的安全控制措施，并获得更精确的安全风险认识。
（2）详细风险评估结果有助于安全变更的管理。
8.5.2.3详细风险评估的缺点
（1）花费较多的时间、人力和物力。
（2）需要较高的专业技术知识和能力。
8.6.2
信息基础设施风险评估工具包括脆弱性扫描工具和渗透性测试工具
8.6.2.1
一般的脆弱性扫描工具可以按照目标系统的类型分为以下三种：
（1）面向主机的扫描器：
用来发现主机的操作系统、特殊服务和配置的细节，发现潜在用户行为的风险，如密码强度不够，也可实施对文件系统的检查。
其原理主要是根据已披露的脆弱性特征库，通过对特定目标发送指令并获得反馈信息来判断该漏洞是否存在。
（2）基于网络监测的扫描器：
通过旁路或串联入网络关键节点，针对网络中的数据流检测如防火墙配置错误或连接到网络上易受到攻击的网络服务器的关键漏洞。
其原理是通过分析网络数据流中特定数据包的结构和流量，分析存在的漏洞。
（3）数据库脆弱性扫描器：
对数据库的授权、认证和完整性进行详细的分析，也可以识别出数据库系统中潜在的脆弱性。
其原理是根据数据库典型漏洞库和分析数据库访问语法特点来判断是否存在脆弱性。
8.6.4风险评估与管理工具的选择
在选择与使用风险评估与管理工具时就考虑以下要求：
（1）风险评估与管理工具提供的依据、方法和功能应符合信息安全方针，并与风险评估与管理的方法相适应。
（2）在满足选择可靠的、成本有效的安全控制措施的同时，能够对风险评估与管理的结果形成清晰的、无歧义的、精确的报告。
（3）提供数据收集、分析和输出功能，并能保存和维护历史记录。
（4）要与信息系统中的硬件和软件协调和兼容。
（5）具有充分的使用培训和相关的帮助文件，保证相关工具的安装和使用过程的安全。
9.1
1、信息安全策略规定了所允许的访问控制、协议以及如何面对与安全有关的事件。
2、PPDR模型包括四个主要部分：
安全策略（Policy）、防护（Protection）、检测（Detection）和响应（Response）。
3、PPDR模型以基于事件的安全理论为理论基础。
9.3.3
功能安全策略是在配置和维护系统的时候起到标准和过程指导的作用
9.7
信息安全工作的首先要做的事情就是建立信息安全策略。
升级会员 