信息安全筆記

信息安全：保密性（confidentiality）：信息不提供或泄露給未授權(quán)的用戶，實(shí)體或個(gè)人。完整性（integrity）:保證和確保在整個(gè)生命周期中，維護(hù)和保證數(shù)據(jù)的準(zhǔn)確性和完整性，數(shù)據(jù)不能被修改，在未授權(quán)的時(shí)候?？捎眯裕╝vailability）:信息被需要的時(shí)候，必須是可用的，以上三個(gè)屬性均可以分為五個(gè)等級(jí)，分別是：很高VH）、高（H）、中等（M）、低（L）、可忽略（N），安全屬性的不同級(jí)別通常也以為著信息資產(chǎn)所要求的安全控制、保護(hù)功能需求不同。不可否認(rèn)（Non-repudiation）—方的交易不能否認(rèn)已經(jīng)收到的交易，在真實(shí)性和完整性的基礎(chǔ)上。風(fēng)險(xiǎn)管理：1?是一個(gè)不斷進(jìn)行的過程，必須被無限期的重復(fù)2?管理風(fēng)險(xiǎn)的控制必須在生產(chǎn)力之間平衡定量分析是對(duì)社會(huì)現(xiàn)象的數(shù)量特征、數(shù)量關(guān)系與數(shù)量變化的分析。這是微譜分析（成分分析）實(shí)驗(yàn)中結(jié)論的常見情況，其定義在于能基本確定被測(cè)物的組分，定性分析的主要任務(wù)是確定物質(zhì)（化合物）的組成，只有確定物質(zhì)的組成后，才能選擇適當(dāng)?shù)姆治龇椒ㄟM(jìn)行定量分析，指從質(zhì)的方面來分析事物，把握事物的本質(zhì)。邏輯控制（也稱為技術(shù)控制）：用軟件或者數(shù)據(jù)來監(jiān)視和控制訪問信息和計(jì)算系統(tǒng)。（密碼、網(wǎng)絡(luò)、主機(jī)為基礎(chǔ)的防火墻、網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)）最小特權(quán)原則（principleofleastprivilege）在完成某個(gè)任務(wù)時(shí)，要求個(gè)人、程序或系統(tǒng)程序不授予更多的訪問權(quán)限。即"在完成某種操作時(shí)所賦予網(wǎng)絡(luò)中每個(gè)主體（用戶或進(jìn)程）必不可少的特權(quán)"。物理控制：監(jiān)控和控制工作場(chǎng)所和計(jì)算機(jī)設(shè)備的環(huán)境。（門、滅火系統(tǒng)、路障、圍欄）職責(zé)分離（separationofduties）確保通過個(gè)人不能完成關(guān)鍵任務(wù)，角色和職權(quán)必須分開?？v深防御（Defenseindepth）:信息安全必須保護(hù)信息貫穿整個(gè)生命周期，即從最初的創(chuàng)造信息到最終的處理。這些安全措施的分層和重疊被稱為縱深防御，使用縱深防御戰(zhàn)略時(shí)，一個(gè)措施不到位，有其他防御措施繼續(xù)保護(hù)。例如：行政控制，邏輯控制、物理控制可以形成一個(gè)縱深防御戰(zhàn)略：以數(shù)據(jù)為中心，外面一層依次是應(yīng)用程序安全、基于主機(jī)的安全和網(wǎng)絡(luò)安全。每一層都提供了良好的防御縱深戰(zhàn)略。信息安全的分類：不是所有信息都是平等的，都要求相同的保護(hù)程度，所以需要安全分類。其步驟如下：>確定一個(gè)高級(jí)的管理人員作為特殊信息的所有者>制定一個(gè)分類政策（描述不同分類標(biāo)簽并且列出安全控制）影響分類的因素：信息的價(jià)值、信息是否過時(shí)、法律和其它監(jiān)管要求所選擇和使用的信息安全分類標(biāo)簽將取決于該組織的本質(zhì)，例如：商業(yè)領(lǐng)域：標(biāo)簽如：公共、敏感、私人、機(jī)密交通等協(xié)議：包括白色、綠色、琥珀和紅色訪問控制(Accesscontrol)訪問受保護(hù)的信息必須限制在授權(quán)訪問信息的人。訪問控制機(jī)制的復(fù)雜性應(yīng)該是在與信息保護(hù)價(jià)值相同的情況中。敏感或更有價(jià)值的信息，應(yīng)該有更強(qiáng)大的保護(hù)機(jī)制。訪問控制一般分為三個(gè)步驟：識(shí)別、驗(yàn)證和授權(quán)識(shí)別：識(shí)別是斷言某人是什么驗(yàn)證：身份驗(yàn)證是驗(yàn)證身份的行為。例如以下三種類型的信息可以用于身份認(rèn)證：你知道的東西：一個(gè)密碼、母親娘家的姓你有什么：駕駛執(zhí)照或者磁性刷卡A你是什么：掌紋、指紋、聲音、視網(wǎng)膜強(qiáng)身份認(rèn)證要求提供多個(gè)類型的身份認(rèn)證信息(雙因素身份認(rèn)證)授權(quán)：在一個(gè)人、程序或計(jì)算機(jī)成功被識(shí)別、驗(yàn)證之后，必須確定它們被允許訪問的信息資源以及允許執(zhí)行哪些操作(運(yùn)行、查看、創(chuàng)建、刪除、更改)非自由裁量(non-discretionary)將所有訪問控制集中在管理下，信息和其它資源的獲取通常基于個(gè)人在組織中的功能或個(gè)人必須執(zhí)行的任務(wù)自由裁量：使信息資源的創(chuàng)建者或所有者能夠控制這些資源的訪問。強(qiáng)制訪問控制方法：根據(jù)信息資源的安全分類授予或拒接訪問權(quán)限目前常用的訪問控制機(jī)制：基于角色的訪問控制、簡(jiǎn)單的文獻(xiàn)權(quán)限、組政策對(duì)象、防火墻和路由器密碼：是用于信息安全，用于防止信息在運(yùn)輸或者在儲(chǔ)存的時(shí)候未授權(quán)或者意外泄露。加密：信息安全使用加密來改變可用信息使其進(jìn)入一種非授權(quán)用戶的形式；改進(jìn)的認(rèn)證方法：消息摘要、數(shù)字簽名、不可否認(rèn)和加密網(wǎng)絡(luò)通信SSH：WPA/WPA2WEP有線的通信如suchasITUTG.hn)加密秘鑰的長(zhǎng)度和強(qiáng)度也是重要的考慮因素，一個(gè)秘鑰太短或者太弱都會(huì)導(dǎo)致加密變?nèi)鮌ublickeyinfrastructure(PKI)安全管理(securitygovernance)事件響應(yīng)計(jì)劃(Incidentresponseplans)變更管理：(是一種管理風(fēng)險(xiǎn)的工具)變更管理是對(duì)信息處理環(huán)境和控制的一種形式化的過程。(包括對(duì)臺(tái)式電腦、網(wǎng)絡(luò)、服務(wù)器、網(wǎng)絡(luò)和軟件的更改)。變更管理的目標(biāo)是減少對(duì)信息處理環(huán)境的變化所帶來的風(fēng)險(xiǎn)，并提高處理環(huán)境的穩(wěn)定性和可靠性。任何對(duì)信息環(huán)境的處理過程都會(huì)引入一個(gè)風(fēng)險(xiǎn)因素不是每一個(gè)改變都需要被管理(創(chuàng)建一個(gè)新的用戶或者部署一個(gè)新的桌面)變更管理通常由一個(gè)關(guān)鍵業(yè)務(wù)領(lǐng)域，代表改變審查委會(huì)監(jiān)督安全、網(wǎng)絡(luò)、桌面、應(yīng)用開發(fā)。要求（request）:任何人都能要求改變，變更請(qǐng)求的人可能不是進(jìn)行分析或?qū)嵤┳兏娜?，（變更審查確保請(qǐng)求的變更是否與組織業(yè)務(wù)模型和實(shí)踐兼容和實(shí)施變更所需要的資源）批準(zhǔn)（approve）管理者管理業(yè)務(wù)、開支資源的分配，因此，管理層必須批準(zhǔn)變更請(qǐng)求和為每一個(gè)變更分配優(yōu)先級(jí)。計(jì)劃（planned）:計(jì)劃的改變涉及到范圍和變化，分析改變的復(fù)雜性。測(cè)試（tested）:每一種改變必須在一個(gè)安全的測(cè)試環(huán)境中進(jìn)行測(cè)試方案（scheduled）:變更審查委員會(huì)的職責(zé)是協(xié)助安排的變更交流（communication）：一旦改變被確定，就必須要交流。實(shí)施（implemented）:在指定的日期好時(shí)間，變更必須執(zhí)行。記錄（document）:所有的改變必須記錄在案。（初始請(qǐng)求、批準(zhǔn)、優(yōu)先級(jí)、執(zhí)行、測(cè)試和退計(jì)劃、是否實(shí)施成功或者推遲）變更后的審查（Postchangereview）:變更審查委員會(huì)應(yīng)該舉辦一個(gè)變更后的執(zhí)行審查，變更管理程序，簡(jiǎn)單易用，可以大大降低變更時(shí)產(chǎn)生的總體風(fēng)險(xiǎn)，使信息處理環(huán)境業(yè)務(wù)的聯(lián)系性：業(yè)務(wù)聯(lián)系性是通過一種組織繼續(xù)來操作關(guān)鍵的業(yè)務(wù)單元的機(jī)制。為企業(yè)創(chuàng)造有效的計(jì)劃，需要集中在以下幾個(gè)關(guān)鍵的問題：有災(zāi)難性的打擊：>我首先要恢復(fù)的業(yè)務(wù)是什么多久確定恢復(fù)關(guān)鍵業(yè)務(wù)節(jié)點(diǎn)的目標(biāo)恢復(fù)業(yè)務(wù)我需要做什么（機(jī)械、記錄、食物、水、人）從哪里恢復(fù)我的業(yè)務(wù)一旦我從災(zāi)難中恢復(fù)，并在降低生產(chǎn)了的工作現(xiàn)在，我知道了如何恢復(fù)我的業(yè)務(wù)BCP業(yè)務(wù)繼續(xù)計(jì)劃DRP災(zāi)難恢復(fù)計(jì)劃災(zāi)難恢復(fù)計(jì)劃（Disasterrecoveryplanning）信息保證：首先對(duì)信息提供的保密性、完整性、可用性（CIA）不可避免，并且確保關(guān)鍵信息出現(xiàn)的時(shí)候不會(huì)丟失：但是不涉及（自然災(zāi)害、計(jì)算機(jī)/服務(wù)器故障、物理盜竊或任何區(qū)域數(shù)據(jù)可能丟失的案列），提供信息保證的一種常用方法是在所提到的問題中有一個(gè)非現(xiàn)場(chǎng)備份數(shù)據(jù)的備份。威脅：幾種常見的威脅：softwareattacks、（病毒，蠕蟲，網(wǎng)絡(luò)釣魚攻擊）theftofinformationproperty矢口識(shí)產(chǎn)權(quán)盜竊、（theftofsoftware）identitytheft身份盜竊、（為了獲取他個(gè)人的信息或者一種通過身份盜用獲取有用的信息）