第20章 安全认证和评估.docx

1、第20章 安全认证和评估第20章 安全认证和评估20.1风险管理图20-1风险评估方法20.2安全成熟度模型1. 安全计划2. 技术和配置3. 运行过程20.3威胁20.3.1威胁源1. 人为差错和设计缺陷2. 内部人员3. 临时员工4. 自然灾害和环境危害5. 黑客和其他入侵者6. 病毒和其他恶意软件20.3.2威胁情况与对策1. 社会工程（系统管理过程）2. 电子窃听3. 软件缺陷4. 信任转移（主机之间的信任关系）5. 数据驱动攻击（恶意软件）6. 拒绝服务7. DNS欺骗8. 源路由9. 内部威胁20.4安全评估方法20.4.1安全评估过程图20-2安全评估阶段20.4.2网络安全评估

2、20.4.3平台安全评估20.4.4应用安全评估20.5安全评估准则1. 可信计算机系统评估准则2. 信息技术安全评估准则3. 通用安全评估准则4. 计算机信息系统安全保护等级划分准则20.5.1可信计算机系统评估准则1. D级2. C1级，自主安全保护级3. C2级，受控存取保护级4. B1级，标记安全保护级5. B2级，结构化保护级6. B3级，安全域级7. A1级，验证设计级20.5.2计算机信息系统安全保护等级划分准则1. 概述图20-3各等级安全保护能力示意图2. 技术功能说明20.5.3通用安全评估准则1. 概述图20-4CC中的安全概念与相互关系图20-5保护轮廓与安全目标的关系

3、图20-6评估的概念与相互关系图20-7使用评估结果2. 安全功能要求与安全保证要求20.6本章小结习题1. 什么是风险管理？简述风险评估的方法。2. 安全成熟度模型的作用是什么？应从哪些方面来分析？3. 弄清楚威胁的来源是减少威胁得逞可能性的关键，哪些是主要的威胁源？4. 什么是防止电子窃听的保护措施？5. 什么是导致不安全的最常见的软件缺陷？6. 简述从安全成熟度模型3个方面的安全评估阶段。7. 简述网络安全评估的过程和方法。8. 可信计算机系统评估准则的适用范围是什么？9. 计算机信息系统安全保护等级划分准则是一个强制性的国家标准，制定该标准的主要目的是什么？安全等级是如何划分的？10.

4、 通用安全评估准则CC是一个国际标准，CC由哪几部分组成？其主要内容是什么？参考文献1. Eric Maiwald. Network Security. McGraw Hill, 20012. Christopher M.King, Curtis E.Dalton & T.Ertem Osmanoglu. Security Architecture. cGrawHill, 20013. William Stallings. Network Security Essentials: Applications and Standards. Prentice Hill, 20004. 胡道元.网络设

5、计师教程.北京： 清华大学出版社，20015. Douglas E. Comer. Internetworking with TCP/IP Vol I. Prentice Hill, 20006. Information Assurance Technical Framework ( IATF) Document 3.0. IATF Forum Webmaster, 20007. 信息处理系统开放系统互连基本参考模型第二部分： 安全体系结构（GB/T9387.21995）(等同于ISO74982)8. 计算机信息系统安全保护等级划分准则（GB178591999）.国家质量技术监督局发布，199

6、99. Bruce Schneier. Digital Security in a Networked World. John Wiley & Sons, Inc., 200010. D. Brent Chapman, Elizabeth D. Zwicky. Building Internet Firewalls. OReilly & Associates, Inc., 199511. Marcus Goncalves .Firewalls: A Complete Guide, 200012. William R. Cheswick, Steven M. Bellovin. Firewall

7、s and Internet Security, 200013. The Twenty Most Critical Internet Security Vulnerabilities (http:/www.sans.org/top20/)14. Casey Wilson，Peter Doak. Creating and Implementing Virtual Private Networks. The Coriolis Group，199915. Naganand Doraswamy, Dan Harkins. IPSec: The New Security Standard for the

8、 Internet, Intranets and Virtual Private Networks. Prentice Hall，199916. Bruse Schneier. Applied Cryptography: Protocols, Algorithms and Source Code in C, Second Edition, John Wiley and Sons, 199517. Steve Burnett and Stephen Paine. RSA Securitys Official Guide to Cryptography. Osborne McGraw Hill,

9、200118. Stuart McClure，Joel Scambray，George kurtz. Hacking Exposed: Nertwork Security Secrets & Solutions. McGraw Hill, 200119. Matt Bishop. Vulnerabilities Analysis, 199920. Rick Tims. Social Engineering: Policies and Education a Must, February 16, 200121. Dan Farmer, Wietse Venema. Improving the S

10、ecurity of Your Site by Breaking into it, 199322. Ofir Arkin. Network Scanning Techniques, Nov.， 199923. Matt Bishop, David Bailey. A Critical Analysis of Vulnerability Taxonomies, 1996 24. Dennis Longley and Michael Shain. The Data & Computer Dictionary of Standards, Concepts and Terms, 199025. 薛静锋

11、. UNIX主机安全漏洞分析及漏洞扫描器的设计与实现, 200226. Rebecca Bace. An Introduction to Intrusion Detection and Assessment27. Mike Fiskyx，George Varghesey. Fast Content Based Packet Handling for Intrusion Detection. UCSD Technical Report CS2001 0670， May, 200128. Mark Crosbie. Automated Intrusion and Misuse Detection:

12、 A Guide to Understanding the Technology and Evaluating Your Needs29. Martin Roesch. Snort Users Manual, 10th August, 200130. Michael Mullins. Implementing a Network Intrusion Detection System, 16 May, 200231. 胡道元. Intranet网络技术及应用. 北京： 清华大学出版社, 199832. David Harley, Robert Slade, Urs E.Cattiker. Vir

13、uses Revealed. McGraw Hill, 200133. 戴宗坤、罗万伯等信息系统安全北京： 电子工业出版社，200234. 闵京华电子政务中的应用安全平台信息安全与通信保密，2002第9期（总21期），第41页35. ISO/IEC 17799: 2000 Information Technology Code of Practice for Information Security Management36. BS7799 2: 1999 Information Security Management Specification for Information Securit

14、y Management Systems37. 信息系统安全技术国家标准汇编北京： 中国标准出版社，200038. Neal Krawetz. Introduction to Network Security. Charles River Media, 200739. Information Systems Security Certification Consortium ertified Information Systems Security Professional, 200640. ISO/IEC FDIS 18028 2:2005 Information technology Se

15、curity techniques IT Network security Part 2: Network security architecture41. Jeff Shawgo the Center for Internet Security http: /www.cisecurity.org windows 2000 Server benckmark level 2 November 15, 200442. http: /www.sans.org SANS Top 20 Internet Security Attack Targets (2006 Annual Update)43. IS

16、O/IEC FDIS 18028 1:2006 Information technology Security techniques IT Network security Part 1: Network security management44. ISO/IEC 17799:2005 Information technology Security techniques Code of practice for information security management45. ISO/IEC 27001: 2005 Information technology Security techniques Information security management systems Requirements