小紅帽技術論壇 在這裡你可以看到你訂閱的主題,悄悄話,編輯個人資料及環境設定 免費註冊! 行事曆 搜尋其他會員 常見問題
搜尋 小紅帽流量分析 小紅帽專用irc 聊天室 Web 版!建議安裝使用 hmirc 軟體! 回首頁 登出
小紅帽技術論壇 : Powered by vBulletin version 2.2.9 小紅帽技術論壇 > 電腦類 > IT認證考試板 > 《教學》信息安全標準
  上一篇主題   下一篇主題
作者
主題、內容    發表新的文章     回覆文章

benshaoxw
違規停權

註冊日期: Mar 2009
來自:
發表文章數: 29

《教學》信息安全標準-----testpassport.net 導師

  在全球經濟壹體化的環境中,信息的重要性被廣泛認可,網絡與信息系統的基礎性、全局性作用日益增強,信息技術在提高企業服務水平、促進業務創新、提升核心競爭力等方面發揮了重要作用。企業對信息系統不斷增強的依賴性,以及業務應用系統帶來的風險、收益和機會,使得信息安全成為經營管理的關鍵壹環。

信息安全是買不到的,即插即用並具有足夠安全水平的防護產品是不存在的。實現信息安全必須有技術層面和管理層面的良好配合。其中,技術層面通過建立安全的主機系統和網絡系統,並配備適當的安全產品來實現;管理層面則通過構建安全管理體系來實現。
壹、信息安全管理標準
傳統的信息安全管理基本采用了靜態的、局部的、少數人承擔的方式。大部分人認為,只要有了先進的防病毒軟件和防火晼A由專人負責,他們的信息就是安全的,但結果是不能從根本上避免、降低各類風險。信息安全治理應綜合制度流程建設、先進技術手段應用和全體員工在安全方面的投入工作,以及借鑒國際通用的高質量、高實用性的實踐成果和標準,建立自己的信息安全管理體系。

到目前為止,國際上制定了大量的信息安全標準,主要可分為技術與工程標準、信息安全管理與控制標準和互操作標準三大類。

1、技術與工程標準
(1)信息產品通用測評準則(ISO15408)
ISO/IEC15408旨在支持產品(指已經在系統中使用的產品)中IT安全特征的技術性評估。它還有壹個重要作用,即可以用於描述用戶對安全性的技術需求。它側重於對系統和產品的技術指標評估,針對信息技術產品和系統的安全功能及相應的保證措施提出壹組通用要求 使各種相對獨立的安全性評估結果具有可比性。它是評估信息技術產品和系統安全性的基礎準則,與建立信息安全管理體系的規範和實施細則BS7799有壹定的互補關系。

(2)信息安全橘皮書(TCSEC)
美國國家計算機安全中心(NCSC)於1983年提出了可信計算機系統評估準則
(TCSEC,Trusted Computer System Evaluation Criteria),規定了安全計算機系統的基本準則;1987年NCSC補充發布了可信網絡指南(TNI,Trusted Network Interpretation of the TCSEC) 提出關於在局域網或廣域網環境下的聯網準則;1991年NCSC又發布了可信數據庫指南。

TCSEC為計算機安全產品的評測提供了內容和方法,指導信息安全產品的制造和應用。它將安全分為四個方面(安全政策、可說明性、安全保障和文檔)和七個安全級別(D、C1、C2、B1、B2、B3、A)。{page}
壹D級,安全保護欠缺級。凡經檢測,安全性能達不到C1級的歸為D級。D級並非沒有安全保護功能,只是太弱。

二C1級,自主安全保護級。系統中命名用戶對命名實體的訪問得到定義和控制。實施機制(如訪問控制表)控制命名用戶或用戶組的權限及對命名實體的共享,阻止非授權用戶讀取敏感信息。

③C2級,受控存取保護級。與自主安全保護級相比,本級實施了粒度更細的自主訪問控制,它通過登錄規程、審計安全性相關事件以及隔離資源,使用戶對自己的行為負責。

四B1級,標記安全保護級。提供有關安全策略模型、數據標記以及對實體訪問控制的非形式化描述;具有準確標記輸出信息的能力;改正通過測試發現的任何錯誤。

伍B2級,機構化保護級。本級建立於壹個明確定義的形式化安全策略模型之上,它要求將訪問控制擴展到系統所有的實體和用戶上。本級加強了鑒別機制,增強了配置管理控制,具有相當強的抗滲透能力。

⑥B3級,安全域級。使用訪問監控器控制實體的全部訪問。訪問控制器是指監控用戶與實體之間授權訪問關系的部件。訪問監控器本身是抗篡改的;必須足夠小,能夠分析和測試;在設計和實現時,從系統工程角度將其復雜度降低到最低。本級支持安全管理員職能,擴充審計機制,當發生與安全相關的事件時發出信號;提供系統恢復機制,系統具有很強的抗滲透能力。

七A級,驗證設計級。本級的安全功能與B3級相同,但最明顯的不同是本級必須對設計運用數字形式化證明方法加以驗證,以證明安全功能的正確性。本級還規定了將安全計算機系統運送到現場安裝必須遵守的程序。

(3)安全系統工程能力成熟度模型 (SSE-CMM)
SSE-CMM描述了壹個組織的安全工程必須包含的本質特征,這些特征是完善的安全工程保證。盡管SSE-CMM沒有規定壹個特定的過程和步驟,但是它匯集了工業界常見的實施方法,是安全工程實施的度量標準。成熟度模型涉及信息安全和組織業務的各個方面,是壹種進行實用性比較的5級等級制,這些等級正是壹個給定的信息安全管理的處理慣例,體現各個成熟層次的典型模式,通過對照組織機構的控制慣例與最佳方式的差異,發現信息安全管理的缺陷,從而提高信息技術管理安全性方面的相對水平。

(4)系統可靠性原理和準則(SYSTRUST)
SYSTRUST服務由美國註冊會計師協會(加拿大特許會計師協會)提出,它是壹種保證服務,用於增強管理者、客戶和商業夥伴對支持業務或某種特別活動的信任。SYSTRUST服務授權註冊會計師從可用性、安全性、完整性和可維護性四個基本方面評估和測試系統是否可靠,認定壹個在特定環境和時期內,沒有重大錯誤、缺陷或故障的運行系統為可靠系統。系統的界限由系統所有者確定。SYSTRUST的框架是可升級的,企業能夠靈活選擇SYSTRUST標準的任何部分或全部來驗證系統的可靠性,對系統四個基本方面的判斷組成對系統整體可靠性的判斷。{page}
2.信息安全管理與控制標準
(1)信息安全管理體系標準(BS7799)
BS7799是由英國標準協會 BSI,British Standards Institution 制定的信息安全管理體系標準。BS7799為保障信息的機密性、完整性和可用性提供了典範,它包括兩個部分。第壹部分《信息安全管理實施規則》於2000年12月被國際標準組織ISO納入國際標準,編號為ISO/IEC17799。為了適應第三方認證的需求,又制定了第二部分BS7799-2,它規定了體系要求和信息安全控制要求,是壹個組織的全部或部分信息安全管理體系評估的標準。最新版本的BS7799-2 2002更註重PDCA(Plan Do Check Action)的過程管理模式,同ISO9001 2000 質量管理體系和ISO14001 1996(環境管理體系)等管理體系標準采用相同的風格,使其更容易與其他管理體系互相協調。BS7799廣泛涵蓋了所有的信息安全議題,比如,安全方針制定、安全責任歸屬、風險評估、定義與強化安全參數及訪問控制,甚至包含防病毒的相關策略等。BS7799已經成為國際公認的信息安全實施標準,廣泛應用於各個產業與組織。

(2)信息和相關技術控制標準(COBIT)
COBIT Control Objectives for Information and related Technology 是國際信息系統審計與控制協會在1996年公布的,目前已成為國際公認的、權威的安全與信息技術管理和控制標準,已更新至第三版。它在商業風險、控制需要和技術問題之間架起了壹座橋梁,以滿足管理的多方面需要。該標準體系已在世界100多個國家的重要組織和企業中運用,指導這些組織和企業有效利用信息資源,科學管理與信息相關的風險。

(3)IT基礎架構庫(ITIL)
ITIL是由英國政府的中央計算機和通信機構(CCTA)提出,目前由英國商務部負責維護的壹套IT服務管理標準。ITIL在歐洲非常盛行,在北美也日益普及。它通過描述IT關鍵的10個核心流程的目標、活動、輸入、輸出以及各個流程之間的關系,為IT服務管理領域確立了壹整套最佳實踐方法。ITIL已成為世界服務管理領域事實上的標準,IBM、HP、CA都根據ITIL形成了自己的服務管理模型。

(4)信息安全管理標準(ISO13335)
《IT安全管理方針》系列(第壹部分至第五部分)已經在國際上存在了很多年。五個組成部分為:《IT安全的概念與模型》(ISO/IEC13335-1 1996)、《IT安全管理和計劃制定》(ISO/IEC13335-2 1997)、《IT安全管理技術》(ISO/IEC13335-3 1998)、《安全措施的選擇》(ISO/IEC13335-4 2000)、《網絡安全管理方針》(ISO/IEC13335-5),《網絡安全管理方針》目前尚未公布。

3.互操作標準
互操作標準包括:對稱加密標準DES、3DES、IDEA以及被普遍看好的AES,非對稱加密標準RSA,VPN標準IPsec,傳輸層加密標準SSL,安全電子郵件標準S-MIME,安全電子交易標準SET,通用脆弱性描述標準CVE。這些都是經過壹個自發的選擇過程後被普遍采用的安全類算法和協議,是所謂的事實標準。
二、信息安全技術
在強調信息安全管理重要性的同時,也不能忽視信息安全技術的作用,信息安全管理各項措施的執行要以信息安全技術為基礎。現以涉及公用網絡的電子商務運營系統為例,說明信息安全的壹些技術應用。由於信息網絡的多樣性和互聯性,企業必須從有可能出現風險的各個層面來考慮問題,綜合應用多種安全技術。在商務系統中,業務數據多數情況下是與客戶資金相關的敏感數據 如商品報價或資金余額等 而互聯網是壹個開放的公共網絡,在這樣壹個開放的網絡上拓展業務 安全性是需要考慮的首要問題。   

  壹般來說,互聯網上運行的系統在提供服務時受到的安全威脅主要來自以下幾個方面:壹是,假冒用戶身份。攻擊者盜用合法用戶的身份進行交易等。二是,竊取信息。攻擊者在網絡的傳輸線路上通過物理或邏輯手段,對數據進行非法截獲與監聽,從而得到敏感信息。三是,篡改信息。攻擊者在截取到網絡上的信息後,可能篡改其內容,以達到非法目的。四是,否認所發的信息。用戶可能對自己發出的信息進行惡意否認,例如,否認自己發出的轉賬信息等。五是,重發信息。除了以上情況外,還存在“信息重發”的攻擊方式,即攻擊者在截獲網絡上的密文信息後,並不將其破譯,而是把這些數據再次發送,進行破壞。

針對以上安全威脅,國際標準化組織ISO對開放式系統互連(OSI,Open Systems Interconnection)的安全體系結構制定了基本參考模型,提供了五種安全服務。壹是,鑒別。證明通信雙方的身份與聲明的身份相壹致。二是,訪問控制。對不同的信息和用戶設定不同的權限,只允許經授權的用戶訪問經授權的信息。三是,數據機密性。保證通信內容不被他人捕獲,不會泄漏敏感信息。四是,數據完整性。保證數據在傳輸過程中不會被他人篡改。五是,不可否認性。證明壹條信息已經被發送和接收。發送方和接收方都有能力證明接收和發送的操作確實發生了,並且能夠確認對方的身份。

為了能夠安全地開展電子商務,必須在以下層次中采取不同的安全技術來保證系統的安全性。

1.網絡層安全技術
(1)防火
在網絡安全領域中,防火椄O指在內部網絡和外部網絡的接口處專門建立的系統,用於對進出內部網絡的數據進行檢查和控制,根據事先制定的安全策略決定為內部用戶和外部用戶提供或拒絕哪些服務,隔離來自外部網絡的安全威脅,保護內部網絡和內部資源的安全。

控制外部網絡用戶對內部資源的訪問,是多數防火椌漸\能,當然完整的安全策略不僅應該包括對外部訪問的控制,還應包括對內部網絡用戶行為的控制,例如對內部用戶實施嚴格的訪問控制,僅授予應有的權限,使其不能對未經授權的其他內部資源進行訪問。防火椌漸D要功能有:壹訪問控制。訪問控制是防火棖怢憳洩漸\能,可以監測數據包的內容並控制連接的類型、地址、協議和端口號,並且可以根據防火椌熙W則允許或拒絕該網絡上的數據包。二審計功能。利用審計和日誌記錄,可以提前發現不安全的跡象,這對於維護網絡安全十分重要;它可以記錄入侵嘗試者的地址,對於入侵防禦和加固防火椄O十分有用的。③地址翻譯。防火椌漲a址翻譯功能使得外部網絡用戶不能了解內部網絡的結構,這大大降低了非法入侵的可能性。另外,網絡地址翻譯為內部網絡中具有無效IP的主機提供了訪問互聯網的功能。

(2)入侵檢測系統
入侵檢測是系統安全的重要組成部分,它擴展了系統管理員的安全管理能力(包括安全審計、監視、攻擊識別和響應),提高了信息安全基礎結構的完整性。它從計算機網絡系統中的若幹關鍵點收集信息,並分析這些信息,了解網絡中是否有違反安全策略的行為和遭到襲擊的跡象。入侵檢測被認為是防火暀妨嶊熔臚G道安全閘門,在不影響網絡性能的情況下能對網絡進行監測,從而提供針對內部攻擊、外部攻擊和誤操作的實時保護。

計算機安全的三個中心目標是機密性、完整性和有效性。為了達到這三個目標,計算機操作系統采用壹個安全內核來實現對系統資源的訪問控制。但是,由於現代操作系統和應用軟件變得越來越復雜,設計者很難準確預料程序運行時的系統狀態,更無法精確預測在不同系統狀態下會發生什麽結果。所以,系統存在著大量的安全漏洞,這給黑客提供了機會。為了增強系統安全性,傳統的安全模型采用了三個補救方法,即識別與驗證、訪問控制和掃描器。{page}
這些不同類型的安全產品在各自的領域都能發揮很好的作用,但同時他們也有缺點,例如:壹些訪問控制手段(如防火)很難防範某些類型的WWW攻擊,而掃描器不能實現實時監測和響應。為了解決這些問題,通過研究機構的不斷探討,入侵檢測系統逐步發展和成熟。入侵檢測系統的壹個獨有特征就是具有壹個基於規則的參考引擎,系統通過這個引擎來匹配所有已知的攻擊方法。入侵檢測系統支持的攻擊模式是根據國內外許多安全專家的寶貴經驗得到的,為了保證檢測的有效性,需要在第壹時間更新模式數據庫。

2.應用層安全技術
(1)身份鑒別機制
傳統的身份鑒別通常是靠用戶的登錄密碼對用戶身份進行認證。但是,用戶密碼在登錄時是以明文方式在網絡上傳輸的,很容易被攻擊者截獲,進而可以假冒用戶身份。這樣,身份認證機制就會被攻破。

在可靠的互聯網商務系統中,用戶的身份認證依靠基於“RSA公鑰密碼體系”的加密機制、數字簽名機制和用戶登錄密碼的多重保證。服務方對用戶的數字簽名信息和登錄密碼進行驗證,全部通過後才確認該用戶的身份。用戶的惟壹身份就是數字證書。用戶的登錄密碼以密文方式進行傳輸,確保了身份認證的安全可靠。

數字證書是各實體在網上進行信息交流及從事商務活動的身份證明,具有惟壹性。證書基於公鑰密碼體系,它將用戶的公開密鑰與用戶本身的屬性聯系在壹起。這就意味著應該有壹個網上各方都信任的機構專門負責對各個實體的身份進行審核,並簽發和管理數據證書,該機構通常稱為認證機構(CA)。

CA在可靠電子商務系統(如網上銀行系統)中,占有舉足輕重的地位。每個網上銀行系統的用戶和銀行的安全代理服務器都需要壹張由CA簽發的數字證書,作為在網上銀行系統中處理業務、進行交易的身份憑證。

(2)訪問控制機制
在電子商務系統中,Web服務器中的所有資源都經過分級管理。在安全系統中建立安全等級標簽,只允許符合安全等級的用戶進行訪問。同時,對用戶進行分級授權,每個用戶只能在授權範圍內進行操作,從而實現了對資源的訪問控制。

(3)數據加密機制
系統互聯采用SSL加密傳輸的方式,用戶登錄並通過身份驗證以後,用戶和服務方之間在網絡上傳輸的所有數據全部用會話密鑰加密,直到用戶退出系統為止。而且,每次會話所使用的加密密鑰都是隨機產生的,這樣攻擊者就不可能從數據流中得到任何有用的信息。

(4)數據完整性機制
數據傳輸的完整性采用數字簽名進行保護。壹旦數據信息遭到任何形式的篡改,篡改後的數據必然與數字簽名不符,從而可以立即檢驗出原始的數據信息被他人篡改過,這樣就確保了數據的完整性。

(5)不可否認機制
用戶每次操作的信息均由用戶的私人密鑰進行數字簽名。因為私人密鑰只由用戶擁有,所以數字簽名就如同用戶實際的簽名和印鑒壹樣,可以作為用戶操作的證據。交易發送方不能對自己的數字簽名進行否認,這保證了服務商的利益不受損害。這樣,就實現了對交易的不可否認性。

(6)審計機制
在可靠系統中,對用戶每次登錄、退出及用戶的每次交易都會產生壹個完整的審計信息,並記錄到審計數據庫中備案,方便了日後的查詢、核對等各項工作。
http://www.*********.hk
http://www.*********.asia
http://www.************.net
http://************.marlito.com

文章編號:0 | 向板主反映這篇文章 | 顯示 IP

benshaoxw 已離線! Old Post 03-31-2009 08:58
點選這裡查看 benshaoxw 的個人檔案 點選這裡寄送 Email 給 benshaoxw 按這裡傳送悄悄話給 benshaoxw 按這裡搜尋 benshaoxw 所發表的文章 按這裡將 benshaoxw 加入你的好友名單 回應這篇文章含引言 按這裡編輯或刪除文章

目前使用的時域為(台北時間),現在時間是 13:47 。    發表新的文章     回覆文章
上一篇主題   下一篇主題
友善列印 | 把這一篇寄給好朋友! | 訂閱這個主題

跳至:
評分主題:
 

討論區權限說明:
不可以 發表新文章
不可以 回覆文章
不可以 上傳附加檔案
不可以 修改你發表的文章
HTML code 目前狀態是 關閉
vB code 目前狀態是 開啟
表情符號 目前狀態是 開啟
[IMG] code 目前狀態是 開啟



< 聯絡我們 - 小紅帽全球資訊網 >

中文化:第一版 by Eric 第二版 by Jolin 於 小紅帽全球資訊網
(版權所有,翻拷必究)
小紅帽技術論壇創立於 2000/09/15 ,使用 vBulletin 合法註冊版權