信息安全工程师考点-网络信息安全概述

网络信息安全概述

信息安全的研究方向和发展现状

• 信息安全的研究方向包含密码学、网络安全、信息系统安全、信息内容安全、信息对抗等
• 《国家网络空间安全战略》->2016年发布
• 《中华人民共和国网络安全法》->2017年6月1日实施

信息安全的基本要素

• 常见的网络信息安全基本属性有：机密性、完整性、可用性、抗抵赖性、可控性
  • 此外还有：真实性、时效性、合规性、隐私性等

属性	名称	描述
Confidentiality	机密性	指网络信息不泄露给非授权的用户实体或者程序
Integrity	完整性	指网络信息或者系统未经授权不能进行更改
Avaliability	可用性	指合法许可的用户能够及时获取网络信息或服务
Non-Repudiation	抗抵赖性	指防止网络信息系统相关用户否认其活动行为
Controllability	可控性	指网络信息系统责任主体对其具有管理/支配能力的属性，能够根据授权规则对系统进行有效的掌握和控制，使得管理者有效的控制系统的行为和信息的使用，符合系统运行目标。

信息安全等级保护工作中，使用机密性、完整性和可用性三种属性划分信息系统的安全等级，这三个属性统称为C.I.A

网络信息安全目标

网络安全的目标是五个基本安全属性：完整性、机密性、可用性、可控性、抗抵赖性

网络信息安全基本功能

要实现网络安全的五个基本目标，需要具备以下的基本功能：

1. 网络信息安全防御：具备阻止抵御各种网络安全威胁的能力
2. 网络信息安全监测：监测、发现各种已知或者未知的网络安全威胁
3. 网络信息安全应急：针对网络系统中的突发事件，具备及时响应和处置网络攻击的功能
4. 网络信息安全恢复：针对已发生的网络灾害事件，具备恢复网络系统运行的能力

信息安全理论基础

通用理论基础

• 数学：代数、数论、概率控制、组合数学、逻辑学等
• 信息理论：信息论、控制论、系统论
• 计算理论：可计算性理论、计算复杂性理论

特有理论基础

• 访问控制理论：访问控制模型、授权理论
• 博弈论：一些个人或者团队、组织，面对一定的环境条件，在一定的规则约束下，依靠掌握的信息，同时或者先后，一次或者多次，从各自允许选择的行为或者策略进行描述或者实施，并各自取得相应结果或者收益的过程。
• 密码学：研究编制密码和破译密码的技术科学

密码学奠基：香农（Shannon）《保密系统的通信理论》

信息系统安全层次

• 设备安全
  • 设备稳定性：一定时间内不出故障的概率
  • 设备可靠性：一定时间内正常运行的概率
  • 设备可用性：随时正常运行
• 数据安全
  • 数据秘密性：授权访问
  • 数据完整性：不被篡改
  • 数据可用性：随时可用
• 内容安全
  • 政治健康
  • 合法合规
  • 符合道德规范
• 行为安全
  • 行为秘密性：结果秘密
  • 行为完整性：结果完整
  • 行为可控性：可及时发现、纠正

信息安全管理

• 是信息安全管理方法、依据、流程、工具、评估等工作和方法的统称
• 安全管理要素：网络管理对象、网络脆弱性、网络威胁、网络风险、网络保护措施
• 信息安全管理流程图

第一步	第二步	第三步	第四步	第五步
识别安全管理对象	1.识别对象价值 2.识别威胁 3.识别脆弱性 4.识别风险级别	构建防范体系，制定防范措施	实施安全措施	安全运维、设备管理

• 信息系统生命周期中的安全管理活动

周期阶段	安全管理活动
规划阶段	安全风险评估、获取安全目标和需求
设计阶段	设计安全解决方案、构架安全结构、选定风险控制方法
实现阶段	（1）产品与系统方面：部署安全产品，配置系统的安全选项 （2）效果分析方面：检查需求规划是否已经满足；运行环境是否符合设计要求；评价安全系统实施效果
运行维护阶段	编制安全制度、建立安全管理组织、管理安全设备、管理并及时增减管理对象、威胁检测、应急响应、修补系统漏洞
废弃阶段	评估废弃系统的风险；安全处置废弃系统

计算机系统安全

计算机系统安全是指为了保证计算机信息系统安全可靠运行，确保计算机信息系统在对信息进行采集、处理、传输、存储过程中，不受到人为（包括未授权使用计算机资源的人）或自然因素的危害，而使信息丢失、泄露或破坏，对计算机设备、设施（包括机房建筑、供电、空调等）、环境人员等采取适当的安全措施。

人员安全管理分成：受聘前、在聘中、离职三个时间段，其中在聘中阶段内人员安全管理的措施包含签订保密协议、实施访问控制、进行定期考核和评价

串联系统可用性公式：R=R1✖️R2
并联系统可用性公式：R=1-（1-R1）✖️（1-R2）
R1/R2为并联设备的可用性