信息系統(tǒng)安全技術(shù) --絡(luò)安全風(fēng)險(xiǎn)分析

1、信息系統(tǒng)安全技術(shù) --網(wǎng)絡(luò)安全風(fēng)險(xiǎn)分析,何長龍 高級(jí)工程師,目 錄,風(fēng)險(xiǎn)綜述安全風(fēng)險(xiǎn)管理安全風(fēng)險(xiǎn)分析模型安全風(fēng)險(xiǎn)控制點(diǎn)詳細(xì)分析,風(fēng)險(xiǎn)綜述,在系統(tǒng)工程過程中，風(fēng)險(xiǎn)是對(duì)達(dá)到屬于技術(shù)性能，成本和進(jìn)度方面的目的和目標(biāo)的不確定性的一種量度。風(fēng)險(xiǎn)等級(jí)用事件和事件結(jié)果的概率來分類。對(duì)獲取程序，系統(tǒng)在產(chǎn)品和過程方面進(jìn)行風(fēng)險(xiǎn)評(píng)價(jià)。風(fēng)險(xiǎn)源包括技術(shù)的（可行性，可操作性，生產(chǎn)性，測(cè)試性和系統(tǒng)的有效性）

2、；成本（預(yù)算，目標(biāo)），計(jì)劃表（即技術(shù)資料的可用性，技術(shù)成就，里程碑）；和規(guī)劃（即資源、合同）。,中國因特網(wǎng)的發(fā)展（2001.06）,出口帶寬（3257M）,用戶數(shù)（2650萬）,cn域名數(shù)（128362）,Cert有關(guān)安全事件的統(tǒng)計(jì),計(jì)算機(jī)安全事件,98.4 - mime headers98.9/10 - Javascript, Java98.12 - Jan 99 - Trojans99.1 - sscan99.2/3 - S

3、low/Stealth Scans99.4 - Melissa Macro Virus99.8 - DNS99.12 - Y2K trojans2000.2 - Distributed Denial of Service,計(jì)算機(jī)安全事件,2000.5 - LoveBug, NewLove, Resume2000.8/9 - rpc.statd exploits2000.12 - Y2K2001.1 - Ramen, BIN

4、D vuls, Kournikova2001.5 - sadmind/IIS worm 2001.7 - Code Red worm2001.8- Code RedII2001.9- NIMDA,四月份對(duì)中國網(wǎng)站的攻擊(443次),,五月1-7日對(duì)美國網(wǎng)站的攻擊(1041次),,五月1-7日對(duì)中國網(wǎng)站的攻擊(147次),,(1) 系統(tǒng)太脆弱，太容易受攻擊； (2) 被攻擊時(shí)很難及時(shí)發(fā)現(xiàn)和制止； (3)

5、有組織有計(jì)劃的入侵無論在數(shù)量上還是在質(zhì)量 上都呈現(xiàn)快速增長趨勢(shì)； (4) 在規(guī)模和復(fù)雜程度上不斷擴(kuò)展網(wǎng)絡(luò)而很少考慮 其安全狀況的變化情況； (5) 因信息系統(tǒng)安全導(dǎo)致的巨大損失并沒有得到充 分重視，而有組織的犯罪、情報(bào)和恐怖組織卻 深諳這種破壞的威力。,信息系統(tǒng)安全領(lǐng)域存在的挑戰(zhàn),互聯(lián)網(wǎng)存在的六大問題,無主管的自由王國

6、（有害信息、非法聯(lián)絡(luò)、違規(guī)行為）不設(shè)防的網(wǎng)絡(luò)空間 （國家安全、企業(yè)利益、個(gè)人隱私）法律約束脆弱 （黑客犯罪、知識(shí)侵權(quán)、避稅）跨國協(xié)調(diào)困難 （過境信息控制、跨國黑客打擊、關(guān)稅）民族化和國際化的沖突 （文化傳統(tǒng)、價(jià)值觀、語言文字）網(wǎng)絡(luò)資源緊缺（IP地址、域名、帶寬）,文化安全,信息安全,系統(tǒng)安全,物理安全,網(wǎng)絡(luò)信息安全涉及哪些因素?,因特網(wǎng)的安全涉及哪些因素,系統(tǒng)安全,信息安全,文化安全,物理安全,又稱實(shí)體

7、安全,又稱運(yùn)行安全,又稱數(shù)據(jù)安全,又稱內(nèi)容安全,,關(guān)于物理安全,作用點(diǎn)：對(duì)計(jì)算機(jī)網(wǎng)絡(luò)與計(jì)算機(jī)系統(tǒng)的物理裝備的威脅，主要表現(xiàn)在自然災(zāi)害、電磁輻射與惡劣工作環(huán)境方面。外顯行為：通信干擾，危害信息注入，信號(hào)輻射，信號(hào)替換，惡劣操作環(huán)境。防范措施：抗干擾系統(tǒng)，防輻射系統(tǒng)，隱身系統(tǒng)，加固系統(tǒng)，數(shù)據(jù)備份。,關(guān)于系統(tǒng)安全,作用點(diǎn)：對(duì)計(jì)算機(jī)網(wǎng)絡(luò)與計(jì)算機(jī)系統(tǒng)可用性與可控性進(jìn)行攻擊。外顯行為：網(wǎng)絡(luò)被阻塞，黑客行為，非法使用資源等，計(jì)算機(jī)病毒，使

8、得依賴于信息系統(tǒng)的管理或控制體系陷于癱瘓。防范措施：防止入侵，檢測(cè)入侵，攻擊反應(yīng)，系統(tǒng)恢復(fù)。,關(guān)于信息安全,作用點(diǎn)：對(duì)所處理的信息機(jī)密性與完整性的威脅，主要表現(xiàn)在加密方面。外顯行為：竊取信息，篡改信息，冒充信息，信息抵賴。防范措施：加密，完整性技術(shù)， 認(rèn)證，數(shù)字簽名。,作用點(diǎn)：有害信息的傳播對(duì)我國的政治制度及傳統(tǒng)文化的威脅，主要表現(xiàn)在輿論宣傳方面。外顯行為：淫穢暴力信息泛濫、敵對(duì)的意識(shí)形態(tài)信息涌入、英語文化的“泛洪現(xiàn)象”

9、對(duì)民族文化的沖擊，互聯(lián)網(wǎng)被利用作為串聯(lián)工具，傳播迅速，影響范圍廣。防范措施：設(shè)置因特網(wǎng)關(guān)，監(jiān)測(cè)、控管。,關(guān)于文化安全,系統(tǒng)風(fēng)險(xiǎn)管理,系統(tǒng)風(fēng)險(xiǎn)管理是一個(gè)識(shí)別什么會(huì)出錯(cuò)，測(cè)定和評(píng)價(jià)有關(guān)的風(fēng)險(xiǎn)，實(shí)現(xiàn)和控制避免或處理被識(shí)別出的每個(gè)風(fēng)險(xiǎn)的適當(dāng)手段的一種有組織的分析過程。風(fēng)險(xiǎn)在系統(tǒng)定義，系統(tǒng)規(guī)范，系統(tǒng)設(shè)計(jì)，系統(tǒng)實(shí)現(xiàn)或系統(tǒng)操作和支持期內(nèi)的任何時(shí)候都要被識(shí)別出來。,技術(shù)風(fēng)險(xiǎn)管理,技術(shù)風(fēng)險(xiǎn)管理計(jì)劃是系統(tǒng)工程管理計(jì)劃的基本部分。,安全風(fēng)險(xiǎn)和安全風(fēng)險(xiǎn)管

10、理,安全風(fēng)險(xiǎn)可被認(rèn)為是滿足系統(tǒng)安全技術(shù)要求的不確定性的度量。安全風(fēng)險(xiǎn)管理是識(shí)別安全攻擊及其相關(guān)結(jié)果的可能性，然后，如果需要，可動(dòng)用資源，使系統(tǒng)的安全風(fēng)險(xiǎn)降低到可接受的水平。,系統(tǒng)風(fēng)險(xiǎn)分析模型,,網(wǎng)絡(luò)系統(tǒng)風(fēng)險(xiǎn)分析詳解,風(fēng)險(xiǎn)分析一覽表,,,鑒別技術(shù),,訪問控制技術(shù),,加密技術(shù),,,安全策略,風(fēng)險(xiǎn)分析與評(píng)估,應(yīng)用安全,系統(tǒng)安全,網(wǎng)絡(luò)平臺(tái)安全,響應(yīng),,調(diào)整,安全技術(shù)控制,安全風(fēng)險(xiǎn)控制模型,,,安全狀態(tài)審計(jì),信息安全工程

11、,安全管理,法律性管理,技術(shù)性管理,,,,安全總需求,,,策略實(shí)施,風(fēng)險(xiǎn)控制及安全評(píng)估,,,,,,,安全風(fēng)險(xiǎn)監(jiān)測(cè),,,,,,,,,,,,,,,,,,,,,,,,,,,,風(fēng)險(xiǎn)關(guān)系模型,增加(increase),,抗擊(protect against),,降低(reduce),,被滿足(met by),,引出indicate,,增加(increase),,增加(increase),,使暴露(expose),,擁有(have)