信息安全体系结构

Attack
An assault on system security that derives from an intelligent threat. That is, an intelligent act that is a deliberate attempt (especially in the sense of a method or technique) to evade security services and violate the security policy of a system.
网络备份系 统
网络反病毒
内外网隔离 及访问控制
系统
加强网 络安全 的措施
网络安全检 测
审计与监控
内部网不同 网络安全域 的隔离及访
问控制
网络与信息安全
13
网络与信息安全
14
网络与信息安全
4
NIS的另一种层次结构
安全服务
安全控制
物理安全
网络与信息安全
5
物理安全
• 指在物理介质层次上对存储和传输的网络信息的 安全保护。物理安全是网络信息安全的最基本保 障。
• 该层次上常见的不安全因素包括三大类：
(1) 自然灾害
(2) 电磁辐射
(3) 操作失误
网络与信息安全
6
安全控制
指在网络信息系统中对存储和传输信息的操作和进程进行控制和管理， 重点是在网络信息处理层次上对信息进行初步的安全保护。
安全控制可以分为以下三个层次：
(1) 操作系统的安全控制。包括对用户的合法身份进行核实(比如，开机时要求键入 口令)和对文件的读/写存取的控制( 比如，文件属性控制机制)等。
2

安全服务由相应的安全机制来提供。ISO 7498-2 包含与 OSI 模型相关的八种安全机制。这八种安全 机制可以设置在适当的层次中，以提供相应的安全服务。 1）加密。加密既能为数据提供保密性，也能为通信业务流提供保密性，并且还能为其它机制提供补 充。加密机制可配置在多个协议层次中，选择加密层的原则是根据应用的需求来确定 2）数字签名机制。可以完成对数据单元的签名工作，也可实现对已有签名的验证工作。当然数字签 名必须具有不可伪造和不可抵赖的特点。 3）访问控制机制。按实体所拥有的访问权限对指定资源进行访问，对非授权或不正当的访问应有一 定的报警或审计跟踪方法。 4）数据完整性机制。针对数据单元，一般通过发送端产生一个与数据单元相关的附加码，接收端通 过对数据单元与附加码的相关验证控制数据的完整性。 5）鉴别交换机制。可以使用密码技术，由发送方提供，而由接收方验证来实现鉴别。通过特定的"握 手"协议防止鉴别"重放"。 6）通信业务填充机制。业务分析，特别是基于流量的业务分析是攻击通信系统的主要方法之一。通 过通信业务填充来提供各种不同级别的保护。 7）路由选择控制机制。针对数据单元的安全性要求，可以提供安全的路由选择方法。 8）公证机制。通过第三方机构，实现对通信数据的完整性、原发性、时间和目的地等内容的公证。 一般通过数字签名、加密等机制来适应公证机构提供的公证服务。 八大安全机制与五大安全服务的关系见表 1-2。 表 1-2 OSI 的安全服务与安全机制的关系 安全机制 安全服务 加 密 对等实体鉴别 数据源鉴别 访问控制服务 连接保密性 无连接保密性 选择字段保密性 流量保密性 有恢复功能的连接完 整性 无恢复功能的连接完 整性 选择字段连接完整性 无连接完整性 选择字段非连接完整 性 √ √ √ √ √ √ √ √ √ √ √ √ √ √ √ 数字签 名 访问控 制 数据完整 性 √ 鉴别交 换 业务填 充 路由控 制 公 证

息 安 全 常 前 网络环
时，服务器 将代替改主机 向另一侧主机发 出相 同的请 求。
构建 信 息 １
３ 入 侵 检 测 系 统
入侵 检 测系统 其 实是一 个 监视 系统 ，可 以监视及阻止试 图入侵 的行 为。如果说 防火墙 是大楼保安 的话 ，那么入侵检 测系统就 相当于 楼 内的监控系统 。保安可 以防止非内部 人员从 大 门进人大楼 ，但不 能防止大楼 内部人员的破 坏 ，而监控系统则可 以完成这些功能 。
信息 隐藏 技术 是指将 某 一保 密信 息秘 密 地 隐藏于别的公开的信息 中，其形式可 以是 图 像、声音、视频或文本文档等 ，然后 通过公开 信息的传输来传递秘密信息 。其 中，待隐藏的 信息为秘密信息 ，它可 以是版权 信息或秘密数 据 ，也可 以是序列号 ；而公开信 息则 称为载体 信息 ，如视频 、音频片段或文档 、图像 。 向载体信 息 添加 水 印是一 种常 用 的信息 ７ 信息安全体 系结构 的风 险评估 隐藏技术 。水 印技术 的基 本原理是通过利用一 安 全 产品 开发 出来 后必须 要进 过 安全 风 定 的算法将一些 标志性 信息直接嵌入到多媒体 险评估才可投入使用 ，否则会有极大 的安 全隐 信息 中， 但这并不会影响原 内容的价值和使用 ， 患 评估 工作主要包括资产 、威胁 、脆弱 点、 而且 不会被 人察觉 或注意 。 风险影响以及安全措施等 ，流程大致如下 ： ５ 漏 洞评 估 技 术 计 划 。定义 信息 安 全风 险评 估 的范 围 ， 确定风险评估的方针 ，并研究设计 评估所需要 漏洞 评估 技术 也是保 证信 息 安全 体系结 的 各 类 文 档 。 构健 康运行的必备技术 。再好 的结构如果不 随 实施 。对评 估 人员 进行 业务 培 训 ，进 行 着 网络威胁的变化而更新 的话 ，其安全 指数 势 风险识别 ，利用选定 的风 险评估方法 实施 风险 必 会大幅下降。而漏洞评估技术通过对 系统进 评估 ，形成风险评估报告等。 行定期的或不定期 的扫描 ，找 出系统 中各类 潜 检查 。检 查评 估 的合理 性 。包 括 确定 评 在 的弱点 ，并给 出相应 的报告 ，建议 采取相 应 估过程是否正确执行 、发现新 的或者 未识别的 的补救措施或 自动填补某 些漏洞 。常 见漏洞 评 安全风险 、评估结果的合理性和可信度等 。 估产品可 以分为如下三类 。 改进 。根 据检查 阶段中存在的各种 问题 ， （ １ ）网络型漏洞评估产品 。 研究改进措施 ，保持风 险评估 的可持续性 。 从网络端发出模 拟的数据包 ，以主机接 按照上面所说 的 ８个方面 ，我们就可 以构 收到数据包 时的响应作为 判断标准 ，进而了解 建一个安全 、 科学 、有效的信息安全体系结构 。 主机 的操作 系统 、服务 ，以及各种应用程序 的

信息安全管理体系规范一、引言信息安全是当今社会发展的重要组成部分，随着科技的进步和信息化的快速发展，信息安全问题日益突出。

为了加强对信息安全的管理，保护国家和个人的信息资产安全，信息安全管理体系规范应运而生。

本文旨在介绍信息安全管理体系规范的重要性、目标和基本结构，以及具体的实施要求和措施。

二、信息安全管理体系规范的重要性信息安全管理体系规范是组织和企业对信息安全的管理框架，可帮助其建立一套科学的、全面的信息安全管理体系，保护信息资源安全，提高组织抵御各种信息安全威胁的能力。

信息安全管理体系规范的重要性主要体现在以下几个方面：1. 提高信息安全水平：通过规范的信息安全管理，组织和企业可以有效地发现、评估和应对各种潜在的信息安全风险，有效防止信息泄露、信息篡改和信息丢失等问题，提高信息安全的水平。

2. 保护信息资产：信息资产是组织和企业最重要的财产之一，对其安全的保护至关重要。

信息安全管理体系规范可以协助组织和企业建立信息资产的管理和保护机制，确保信息资产的完整性、可用性和保密性。

3. 遵守法律法规：随着信息化程度的提高，国家对信息安全的管理和保护提出了一系列法律法规和标准。

组织和企业需要合规经营，遵守相关法律法规的规定。

信息安全管理体系规范可帮助组织和企业确保其信息安全管理工作符合法律法规的要求。

三、信息安全管理体系规范的目标信息安全管理体系规范的主要目标是建立一套科学、规范、系统的信息安全管理体系，实现信息资产的保护、信息安全风险的控制和持续改进。

其具体目标包括：1. 完善信息安全管理结构：建立一套完整的信息安全管理框架，明确组织和企业信息安全管理的职责、权限和流程。

2. 识别和评估信息安全风险：通过风险评估和风险管理的方法，识别和评估组织和企业面临的信息安全风险，确定相应的风险控制措施。

3. 建立信息安全控制措施：根据识别和评估的信息安全风险，建立相应的信息安全控制措施，防范各种安全威胁。

4. 确保信息安全的持续改进：通过内部审查和监测，及时发现和纠正信息安全管理中的不足之处，持续改进信息安全管理水平。