信息安全的复习资料全

.

1 / 8 1.计算机病毒的类型：

①系统病毒：感染特定类型的文件，破坏操作系统的完整性，破坏硬盘数据，破坏计算机硬件。病毒前缀为：win32，PE，Win95等。例如CIH病毒；

②蠕虫病毒：利用操作系统漏洞进展感染和传播，产生大量垃圾流量，严重影响网络性能。病毒前缀：Worm，例如冲击波病毒；

③木马病毒、黑客病毒：实现对计算机系统的非法远程控制、窃取包含敏感信息的重要数据，木马病毒前缀：Trojan，黑客病毒前缀为Hack.

④后门病毒：

前缀：Backdoor，该类病毒的公有特性是通过网络传播，给系统开后门。

其他：脚本病毒、宏病毒、玩笑病毒等。

2.三分技术、七分管理。

引起信息平安问题的主要因素：

技术因素 网络系统本身存在平安脆弱性；

管理因素 组织部没有建立相应的信息平安管理制度；

据有关局部统计，在所有的计算机平安事件中，约有52%是人为因素造成的，25%是火灾、水灾等自然灾害引起的，技术错误占10%，组织部人员作案占10%，仅有3%左右是由外部不法人员的攻击造成的。简单的说，属于管理方面的原因比重高达70%以上，故而说“三分技术、七分管理〞。

3.信息平安〔Information Security〕的特征：

①性(confidentiality)：保证信息只让合法用户访问；

②完整性(integrity)：保障信息与其处理方法的准确性、完全性；

③可用性(usability)：保证合法用户在需要时可以访问到信息与相关资产；

④可控性、可靠性。

4.信息平安管理〔 Information Security Management〕：通过维护信息性、完整性和可用性，来管理和保护组织所有信息资产的一项体制，是信息平安治理的主要容和途径，信息平安治理为信息平安管理提供根底的制度支持。其容为信息平安管理体系的建立、风险评估、平安规划、项目管理、物理平安管理、信息平安培训。

5.信息平安管理的根本原那么：

①分权制衡原那么；

②最小特权原那么；

③选用成熟技术原那么；

④普遍参与原那么；

6.信息平安管理体系〔Information Security Management System, ISMS〕：是一个系统化、程序化和文件化的管理体系，属于风险管理的畴，体系的建立基于系统、全面、科学的平安风险评估，以保障组织的技术和商业，保障信息的完整性和可用性，最终保持其生产、经营活动的连续性。 .

2 / 8 7.

8.PDCA过程管理模型：

策划〔plan〕建立ISMS模型：根据组织的整体方针和目标，建立平安策略、目标以与管理风险和改良信息平安相关的过程和程序，以获得结果。

实施〔do〕实施和运行ISMS:实施和运行平安策略、控制、过程和程序。

检查〔check〕监视和评审ISMS：适用时，根据平安策略、目标和惯有经历评估和测量过程业绩，向管理层报告结果，进展审核。

改良〔act〕改良和保持ISMS，根据部ISMS审核和管理评审或其他信息，采取纠正和预防措施，以实现ISMS的持续改良。

9.建立ISMS过程:定义信息平安政策〔最高方针〕；定义ISMS的围；进展信息平安风险评估；确定管制目标选择管制措施；准备信息平安适用性申明。

10.ISMS的符合性：与法律要求的符合性；符合平安方针、标准，技术符合性；信息系统审计的考虑。

11.信息平安管理体系认证的目的：

①获得最正确的信息平安运行方式；

②保证商业平安；

③降低风险，防止损失；

④保持核心竞争优势；

⑤提高商业活动中的信誉；

⑥增强竞争能力；

⑦满足客户需求；

⑧保证可持续开展；

⑨符合法律法规的要求；

认证依据：BS7799-2:2002标准，ISO27001系列，ISO27001：2005;

认证流程：

启动审核〔提出申请、信息交流、受理申请〕，预审〔模拟审核〕；

文件审核〔检查组织所建立的文件化体系是否符合标准化要求，假设未通过那么需修改〕；

现场审核〔审核计划：现场观察〕，获证并维持〔注册、发证、定期复审、期满重新审核〕

12.风险管理五要素：资产、威胁、弱点、风险、影响

13.风险管理：识别和控制机构面临的风险的过程。包括风险评估和风险控制两个容。 .

3 / 8

风险管理描述性定义：

①识别和评估资产与其价值。

②识别资产面临的威胁，评估威胁发生的可能性。

③识别资产中存在的弱点，评估被利用的容易程度。

④评估威胁事件发生的后果或影响。

⑤风险控制策略的选择。

14.基线评估：基线风险评估，组织根据自己的实际情况〔所在行业、业务环境与性质等〕，对信息系统进展平安基线检查〔拿现有的平安措施与平安基线规定的措施进展比拟，找出其中的差距〕，得出根本的平安需求，通过选择并实施标准的平安措施来消减和控制风险。

优点：需要的资源少，周期短，操作简单，对于环境相似且平安需求相当的诸多组织，基线评估显然是最经济有效的风险评估途径。

缺点：基线水平的上下难以设定，如果过高，可能导致资源浪费和限制过度，如果过低，可能难以到达充分的平安。此外，在管理平安相关的变化方面，基线评估比拟困难。

15.风险评估自动化工具：

①COBRA 〔Consultative, Objective and Bi-functional Risk Analysis〕

②CRAMM 〔CCTA Risk Analysis and Management Method〕

③ASSET —— ASSET〔Automated Security Self-Evaluation Tool〕

④NIST SpecialPublication 800-26

⑤CORA —— CORA〔Cost-of-Risk Analysis〕

16.资产识别：资产识别是风险评估的第一步，主要是确定机构的资产、有多大价值与资产的重要性，以保证资产有适当程度的保护 。最后应该形成一份资产清单。

资产评估：得到完整的信息资产清单后，组织应该对每种资产进展赋值。

17.威胁评估：识别资产面临的威胁后，还应该评估威胁发生的可能性。组织应该根据经历或者相关的统计数据来判断威胁发生的频率或概率。

18.弱点识别：组织应该针对每一项需要保护的信息资产，找到可被威胁利用的弱点；

弱点评估：考虑两个因素〔严重程度；暴露程度，即被利用的容易程度〕；可用“高〞、“中〞、 “低〞三个等级来衡量。

19.现有措施识别与评估：威胁被利用成弱点，弱点引发威胁事件，从而造成影响。威慑性控制防止威胁，预防性控制保护弱点，检测性控制发现威胁性事件，纠正性控制减少影响。

20.风险识别与评估：两个关键因素: 威胁对信息资产造成的影响；威胁发生的可能性。

21.定量风险识别与评估：

①暴露因子〔Exposure Factor，EF〕—— 特定威胁对特定资产造成损失的百分比，或者说损失的程度。

②单一损失期望〔Single Loss Expectancy，SLE〕——即特定威胁可能造成的潜在损失总量。

③年度发生率〔Annualized Rate of Occurrence，ARO〕—— 即威胁在一年估计会发生的频率。

④年度损失期望〔Annualized Loss Expectancy，ALE〕——表示特定资产在一年遭受损失的预期值。

定量分析流程与公式 ：

〔1〕 识别资产并为资产赋值；

〔2〕 通过威胁和弱点评估，评价特定威胁作用于特定资产所造成的影响，即EF〔取值在0％ .

4 / 8 ~100%之间〕；

〔3〕 计算特定威胁发生的频率，即ARO；

〔4〕 计算资产的SLE：SLE = Asset Value × EF

〔5〕 计算资产的ALE：ALE = SLE × ARO

22.风险评估矩阵：

23.风险控制策略与选择：

24.项目管理的优势：

①确保没有遗漏的步骤；

②缩短学习过程，提高效率；

③明确责任； .

5 / 8 ④增加项目被控制在约束围的可能性；

⑤简化对项目的监控；

⑥尽可能早发现质量、时间和预算的偏差；

25.信息平安转化策略：直接转化、分阶段实施、示实施、并行操作。

26.信息平安项目计划的靶心模型：由向外一次是政策、网络、系统、应用软件。

27.变更控制的作用：

①促进整个机构关于变更的控制；

②当变更按计划进展和完成时，提高机构部团队之间的协调关系

③通过解决可能导致部不协调变化的冲突和矛盾因素，来减少对机构不利的事件；

④消除潜在的失败因素，加强团队合作，改善效劳质量；

⑤管理层要确保所有团队都要遵从公司的技术监视、采购、会计和信息平安策略。

28.Lewin变更模型：解冻现状，移动到新状态，重新冻结新变革使之持久。

29.访问控制的实现的三种类型：行政、逻辑技术或物理访问控制。

行政访问控制是依照机构的平安性策略定义的策略和执行的过程，实现并加强全局的访问控制；

逻辑性访问控制和技术性访问控制作为硬件或软件机制，可以用来管理对资源和系统的访问，并且提供对这些资源和系统的保护。

物理访问控制作为物理屏障，可以用来保护对系统的直接访问。

30.主体对客体实际访问前需执行的步骤：标识、验证、授权、责任衡量。

31.主要的访问控制方法：任意访问控制、强行访问控制、基于角色访问控制。

32.影响计算机电磁辐射强度的因素：功率和频率、距离因素、屏蔽状况。

33.计算机系统在实际应用中防泄漏的主要措施：

①选用低辐射设备；

②利用噪声干扰源；

③采取屏蔽措施；

④距离防护；

⑤利用微波吸收材料

34.国外的主要的TEMPEST标准：美国FCC标准、CISRP标准、德国VDE标准。

35.我国计算机平安管理组织4个层面：

①各部委计算机平安管理部门；

②各省计算机平安管理部门；

③各基层计算机平安管理部门以与经营单位；

36.平安组织的控制目标：在组织中管理信息平安，即应当建立适当管理构架，在组织部启动和控制信息平安的措施。

37.国际信息系统平安认证机构的两大认证：SSCP和CISSP。

38.SCP认证提供的两种途径：SCNP(平安认证网络专业人员)和SCNA〔平安认证网络设计师〕。

39.平安事故与故障的反响过程：

①确保与时发现问题；

②对事故、故障、薄弱点作出迅速、有序、有效的响应，减少损失；

③从事故中吸取教训；

④建立惩罚机制；

40.软件平安：保证计算机软件的完整性与软件不会被破坏或泄露。

软件包括：系统软件、数据库管理软件、应用软件与相关资料。

41.软件选型应考虑的因素有：软件的适用性、软件开放性、软件开放性、软件商品化程度