信息安全评估报告

xxx有限公司

信息安全评估报告

(管理信息系统)

x年x月

1目标

xxxxxxxxx公司信息安全检查工作的主要目标是通过自评估工作,发现本公司电子设备当前面临的主要安全问题,边检查边整改,确保信息网络和重要信息系统的安全。

2评估依据、范围和方法

2.1 评估依据

《信息安全技术信息安全风险评估规范》(GB/T 20984-2007)

《信息技术信息技术安全管理指南》

2.2 评估范围

本次信息安全评估工作重点是重要的业务管理信息系统和网络系统等,管理信息系统中业务种类相对较多、网络和业务结构较为复杂,在检查工作中强调对基础信息系统和重点业务系统进行安全性评估,具体包括:基础网络与服务器、关键业务系统、现有安全防护措施、信息安全管理的组织与策略、信息系统安全运行和维护情况评估。

2.3 评估方法

采用自评估方法。

3重要资产识别

对本局范围内的重要系统、重要网络设备、重要服务器及其安全属性受破坏后的影响进行识别,将一旦停止运行影响面大的系统、关键网络节点设备和安全设备、承载敏感数据和业务的服务器进行登记汇总,形成重要资产清单。资产清单见附表1。

4安全事件

对公司半年内发生的较大的、或者发生次数较多的信息安全事件进行汇总记

录,形成本公司的安全事件列表。

本公司至今没有发生较大安全事故。

5安全检查项目评估

5.1 规章制度与组织管理评估

规章制度详见《计算机信息系统及设备管理办法》

评估标准

信息安全组织机构包括领导机构、工作机构。

现状描述

本公司已成立了信息安全领导机构,但尚未成立信息安全工作机构。

评估结论

完善信息安全组织机构,成立信息安全工作机构。

评估标准

岗位要求应包括:专职网络管理人员、专职应用系统管理人员和专职系统管理人员;专责的工作职责与工作范围应有制度明确进行界定;岗位实行主、副岗备用制度。

现状描述

我公司没有配置专职网络管理人员、专职应用系统管理人员和专职系统管理人员,都是兼责;专责的工作职责与工作范围没有明确制度进行界定,岗位没有实行主、副岗备用制度。

评估结论

我公司已有兼职网络管理员、应用系统管理员和系统管理员,在条件许可下,配置专职管理人员;专责的工作职责与工作范围没有明确制度进行界定,根据实际情况制定管理制度;岗位没有实行主、副岗备用制度,在条件许可下,落实主、副岗备用制度。

评估标准

病毒管理包括计算机病毒防治管理制度、定期升级的安全策略、病毒预警和报告机制、病毒扫描策略(1周内至少进行一次扫描)。

现状描述

我公司xxx防病毒软件进行病毒防护,定期从省官网病毒库服务器下载、升级安全策略;病毒预警是通过第三方和网上提供信息来源,每月统计、汇总病毒感染情况;每周进行二次自动病毒扫描;没有制定计算机病毒防治管理制度。

评估结论

完善病毒预警和报告机制,制定计算机病毒防治管理制度。

评估标准

运行管理应制定信息系统运行管理规程、缺陷管理制度、统计汇报制度、运5 维流程、值班制度并实行工作票制度;制定机房出入管理制度并上墙,对进出机房情况记录。

现状描述

没有建立相应信息系统运行管理规程、缺陷管理制度、统计汇报制度、运维流程、值班制度,没有实行工作票制度;机房出入管理制度上墙,但没有机房进出情况记录。

评估结论

结合本公司具体情况,制订信息系统运行管理规程、缺陷管理制度、统计汇报制度、运维流程、值班制度,实行工作票制度;机房出入管理制度上墙,记录机房进出情况。

评估标准

制订了账号与口令管理制度;普通用户账户密码、口令长度要求符合大于6字符,管理员账户密码、口令长度大于8字符;半年内账户密码、口令应变更并保存变更相关记录、通知、文件,半年内系统用户身份发生变化后应及时对其账户进行变更或注销。

现状描述

没有制订账号与口令管理制度,普通用户账户密码、口令长度要求大部分都不符合大于6字符;管理员账户密码、口令长度大于8字符,半年内账户密码、口令有过变更,但没有变更相关记录、通知、文件;半年内系统用户身份发生变化后能及时对其账户进行变更或注销。

评估结论

制订账号与口令管理制度,完善普通用户账户与管理员账户密码、口令长度要求;对账户密码、口令变更作相关记录;及时对系统用户身份发生变化后对其账户进行变更或注销。

信息安全及其前沿技术综述

信息安全及其前沿技术综述 一、信息安全基本概念 1、定义 (1)国内的回答 ●可以把信息安全保密内容分为:实体安全、运行安全、数据安全和管理安全四个方面。(沈昌祥) ●计算机安全包括:实体安全;软件安全;运行安全;数据安全;(教科书)●计算机信息人机系统安全的目标是着力于实体安全、运行安全、信息安全和人员安全维护。安全保护的直接对象是计算机信息系统,实现安全保护的关键因素是人。(等级保护条例) (2)国外的回答 ●信息安全是使信息避免一系列威胁,保障商务的连续性,最大限度地减少商务的损失,最大限度地获取投资和商务的回报,涉及的是机密性、完整性、可用性。(BS7799) ●信息安全就是对信息的机密性、完整性、可用性的保护。(教科书) ●信息安全涉及到信息的保密 (3)信息安全的发展渊源来看 1)通信保密阶段(40—70年代) ●以密码学研究为主 ●重在数据安全层面 2)计算机系统安全阶段(70—80年代) ●开始针对信息系统的安全进行研究 ●重在物理安全层与运行安全层,兼顾数据安全层 3)网络信息系统安全阶段(>90年代) ●开始针对信息安全体系进行研究 ●重在运行安全与数据安全层,兼顾内容安全层 2、信息安全两种主要论点

●机密性(保密性):就是对抗对手的被动攻击,保证信息不泄漏给 未经授权的人。 ●完整性:就是对抗对手主动攻击,防止信息被未经授权的篡改。 ●可用性:就是保证信息及信息系统确实为授权使用者所用。 (可控性:就是对信息及信息系统实施安全监控。) 二、为什么需要信息安全 信息、信息处理过程及对信息起支持作用的信息系统和信息网络都是重要的商务资产。信息的保密性、完整性和可用性对保持竞争优势、资金流动、效益、法律符合性和商业形象都是至关重要的。 然而,越来越多的组织及其信息系统和网络面临着包括计算机诈骗、间谍、蓄意破坏、火灾、水灾等大范围的安全威胁,诸如计算机病毒、计算机入侵、DoS 攻击等手段造成的信息灾难已变得更加普遍,有计划而不易被察觉。 组织对信息系统和信息服务的依赖意味着更易受到安全威胁的破坏,公共和私人网络的互连及信息资源的共享增大了实现访问控制的难度。

信息安全风险评估报告

1111单位:1111系统安全项目信息安全风险评估报告 我们单位名 日期

报告编写人: 日期: 批准人:日期: 版本号:第一版本日期 第二版本日期 终板

目录 1概述 (5) 1.1项目背景 (5) 1.2工作方法 (5) 1.3评估范围 (5) 1.4基本信息 (5) 2业务系统分析 (6) 2.1业务系统职能 (6) 2.2网络拓扑结构 (6) 2.3边界数据流向 (6) 3资产分析 (6) 3.1信息资产分析 (6) 3.1.1信息资产识别概述 (6) 3.1.2信息资产识别 (7) 4威胁分析 (7) 4.1威胁分析概述 (7) 4.2威胁分类 (8) 4.3威胁主体 (8) 4.4威胁识别 (9) 5脆弱性分析 (9) 5.1脆弱性分析概述 (9) 5.2技术脆弱性分析 (10) 5.2.1网络平台脆弱性分析 (10) 5.2.2操作系统脆弱性分析 (10) 5.2.3脆弱性扫描结果分析 (10) 5.2.3.1扫描资产列表 (10) 5.2.3.2高危漏洞分析 (11) 5.2.3.3系统帐户分析 (11) 5.2.3.4应用帐户分析 (11)

5.3管理脆弱性分析 (11) 5.4脆弱性识别 (13) 6风险分析 (14) 6.1风险分析概述 (14) 6.2资产风险分布 (14) 6.3资产风险列表 (14) 7系统安全加固建议 (15) 7.1管理类建议 (15) 7.2技术类建议 (15) 7.2.1安全措施 (15) 7.2.2网络平台 (16) 7.2.3操作系统 (16) 8制定及确认................................................................................................................. 错误!未定义书签。9附录A:脆弱性编号规则.. (17)

信息安全评估报告精编版

xxx有限公司 信息安全评估报告(管理信息系统) x年x月

1目标 xxxxxxxxx公司信息安全检查工作的主要目标是通过自评估工作,发现本公司电子设备当前面临的主要安全问题,边检查边整改,确保信息网络和重要信息系统的安全。 2评估依据、范围和方法 2.1 评估依据 《信息安全技术信息安全风险评估规范》(GB/T 20984-2007) 《信息技术信息技术安全管理指南》 2.2 评估范围 本次信息安全评估工作重点是重要的业务管理信息系统和网络系统等,管理信息系统中业务种类相对较多、网络和业务结构较为复杂,在检查工作中强调对基础信息系统和重点业务系统进行安全性评估,具体包括:基础网络与服务器、关键业务系统、现有安全防护措施、信息安全管理的组织与策略、信息系统安全运行和维护情况评估。 2.3 评估方法 采用自评估方法。 3重要资产识别 对本局范围内的重要系统、重要网络设备、重要服务器及其安全属性受破坏后的影响进行识别,将一旦停止运行影响面大的系统、关键网络节点设备和安全设备、承载敏感数据和业务的服务器进行登记汇总,形成重要资产清单。资产清单见附表1。 4安全事件 对公司半年内发生的较大的、或者发生次数较多的信息安全事件进行汇总记 录,形成本公司的安全事件列表。 本公司至今没有发生较大安全事故。 5安全检查项目评估 5.1 规章制度与组织管理评估 规章制度详见《计算机信息系统及设备管理办法》 5.1.1组织机构

5.1.1.1 评估标准 信息安全组织机构包括领导机构、工作机构。 5.1.1.2 现状描述 本公司已成立了信息安全领导机构,但尚未成立信息安全工作机构。 5.1.1.3 评估结论 完善信息安全组织机构,成立信息安全工作机构。 5.1.2岗位职责 5.1.2.1 评估标准 岗位要求应包括:专职网络管理人员、专职应用系统管理人员和专职系统管理人员;专责的工作职责与工作范围应有制度明确进行界定;岗位实行主、副岗备用制度。 5.1.2.2 现状描述 我公司没有配置专职网络管理人员、专职应用系统管理人员和专职系统管理人员,都是兼责;专责的工作职责与工作范围没有明确制度进行界定,岗位没有实行主、副岗备用制度。 5.1.2.3 评估结论 我公司已有兼职网络管理员、应用系统管理员和系统管理员,在条件许可下,配置专职管理人员;专责的工作职责与工作范围没有明确制度进行界定,根据实际情况制定管理制度;岗位没有实行主、副岗备用制度,在条件许可下,落实主、副岗备用制度。

信息安全系统风险评估服务

1、风险评估概述 1.1风险评估概念 信息安全风险评估是参照风险评估标准和管理规,对信息系统的资产价值、潜在威胁、薄弱环节、已采取的防护措施等进行分析,判断安全事件发生的概率以及可能造成的损失,提出风险管理措施的过程。当风险评估应用于IT领域时,就是对信息安全的风险评估。风险评估从早期简单的漏洞扫描、人工审计、渗透性测试这种类型的纯技术操作,逐渐过渡到目前普遍采用国际标准的BS7799、ISO17799、国家标准《信息系统安全等级评测准则》等方法,充分体现以资产为出发点、以威胁为触发因素、以技术/管理/运行等方面存在的脆弱性为诱因的信息安全风险评估综合方法及操作模型。 1.2风险评估相关 资产,任何对组织有价值的事物。 威胁,指可能对资产或组织造成损害的事故的潜在原因。例如,组织的网络系统可能受到来自计算机病毒和黑客攻击的威胁。 脆弱点,是指资产或资产组中能背威胁利用的弱点。如员工缺乏信息安全意思,使用简短易被猜测的口令、操作系统本身有安全漏洞等。 风险,特定的威胁利用资产的一种或一组薄弱点,导致资产的丢失或损害饿潜在可能性,即特定威胁事件发生的可能性与后果的结合。风险评估,对信息和信息处理设施的威胁、影响和脆弱点及三者发生的可能性评估。

风险评估也称为风险分析,就是确认安全风险及其大小的过程,即利用适当的风险评估工具,包括定性和定量的方法,去顶资产风险等级和优先控制顺序。 2、风险评估的发展现状 2.1信息安全风险评估在美国的发展 第一阶段(60-70年代)以计算机为对象的信息阶段 1067年11月到1970年2月,美国国防科学委员会委托兰德公司、迈特公司(MITIE)及其它和国防工业有关的一些公司对当时的大型机、远程终端进行了研究,分析。作为第一次比较大规模的风险评估。 特点: 仅重点针对了计算机系统的性问题提出要求,对安全的评估只限于性,且重点在于安全评估,对风险问题考虑不多。 第二阶段(80-90年代)以计算机和网络为对象的信息系统安全保护阶段 评估对象多为产品,很少延拓至系统,婴儿在严格意义上扔不是全面的风险评估。 第三阶段(90年代末,21世纪初)以信息系统为对象的信息保障阶段 随着信息保障的研究的深入,保障对象明确为信息和信息系统;保障能力明确来源于技术、管理和人员三个方面;逐步形成了风险评估、自评估、认证认可的工作思路。

信息安全风险评估报告DOC

XXXXX公司 信息安全风险评估报告 历史版本编制、审核、批准、发布实施、分发信息记录表

一. 风险项目综述 1.企业名称: XXXXX公司 2.企业概况:XXXXX公司是一家致力于计算机软件产品的开发与销售、计算机信息系统集成及技术支持与服

务的企业。 3.ISMS方针:预防为主,共筑信息安全;完善管理,赢得顾客信赖。 4.ISMS范围:计算机应用软件开发,网络安全产品设计/开发,系统集成及服务的信息安全管理。 二. 风险评估目的 为了在考虑控制成本与风险平衡的前提下选择合适的控制目标和控制方式,将信息安全风险控制在可接受的水平,进行本次风险评估。 三. 风险评估日期: 2017-9-10至2017-9-15 四. 评估小组成员 XXXXXXX。 五. 评估方法综述 1、首先由信息安全管理小组牵头组建风险评估小组; 2、通过咨询公司对风险评估小组进行相关培训; 3、根据我们的信息安全方针、范围制定信息安全风险管理程序,以这个程序作为我们风险评估的依据和方 法; 4、各部门识别所有的业务流程,并根据这些业务流程进行资产识别,对识别的资产进行打分形成重要资产 清单; 5、对每个重要资产进行威胁、脆弱性识别并打分,并以此得到资产的风险等级; 6、根据风险接受准则得出不可接受风险,并根据标准ISO27001:2013的附录A制定相关的风险控制措施; 7、对于可接受的剩余风险向公司领导汇报并得到批准。 六. 风险评估概况 根据第一阶段审核结果,修订了信息安全风险管理程序,根据新修订程序文件,再次进行了风险评估工作

从2017年9月10日开始进入风险评估阶段,到2017年9月15日止基本工作告一段落。主要工作过程如下: 1.2017-9-10 ~ 2017-9-10,风险评估培训; 2.2017-9-11 ~ 2017-9-11,公司评估小组制定《信息安全风险管理程序》,制定系统化的风险评估方法; 3.2017-9-12 ~ 2017-9-12,本公司各部门识别本部门信息资产,并对信息资产进行等级评定,其中资产分为 物理资产、软件资产、数据资产、文档资产、无形资产,服务资产等共六大类; 4.2017-9-13 ~ 2017-9-13,本公司各部门编写风险评估表,识别信息资产的脆弱性和面临的威胁,评估潜在 风险,并在ISMS工作组内审核; 5.2017-9-14 ~ 2017-9-14,本公司各部门实施人员、部门领导或其指定的代表人员一起审核风险评估表; 6. 2017-9-15 ~ 2017-9-15,各部门修订风险评估表,识别重大风险,制定控制措施;ISMS工作 组组织审核,并最终汇总形成本报告。 . 七. 风险评估结果统计 本次风险评估情况详见各部门“风险评估表”,其中共识别出资产190个,重要资产115个,信息安全风险115个,不可接受风险42个. 表1 资产面临的威胁和脆弱性汇总表

互联网的新闻信息服务安全评估的报告实用模板.docx

互联网新闻信息服务 安全评估报告 申请单位: 报告时间:年月日

目录 一、技保障人情况?????????????1 二、技保障措施估?????????????2 三、用个人信息保制度估?????????4 四、承??????????????????5附:明???????????????????7

一、技术保障人员情况 序 职务 最高相关从相关技国籍部门岗位/ 职 姓名 学历业年限 入职时间 号能证书 称 1 2 3 4 5 6 7 8 9 10 11

二、技术保障措施评估 请严格按照评估要求认真开展安全评估工作,并严格根据本单位实际情况填写评估内容。 估内容估要求 1.信息源(稿稿源建立白名等分分管理措源)管理保障施或技手段;稿源建立核管理措施 ( 100 分)或技手段。 布的信息内容(包括文本、片、音 2.内容核等)建立核机制和相技手段;与敏感信息建立敏感信息本并行定期及管理( 100 分)更新;具法和不良信息、 、阻断及置的技手段。 服名称 1服名称2服名称3服名称4? 符合行符合行符合行符合行 要求情况要求情况要求情况要求情况 ??(是 /估(是估(是估(是估 否)得分/ 否)得分/ 否)得分/ 否)得分 ??

服名称 1服名称 2服名称 3服名称 4?符合行符合行符合行符合行 估内容估要求要求情况要求情况要求情况要求情况 (是 /估(是估(是估(是?? 估 否)得分/ 否)得分/ 否)得分/ 否)得分明确由第三方提供的、向第三方提供的 3.开放接口API 接口服形式、服方法、限管理管理 ( 100 分)和安全;布到第三方的信息和数 据具相的技核措施。 用注册行名,用注册、 更信息(昵称、像等)行核; 4.用( 用行差异化的安全等管理,限制未 )管理及 登用的使用限,用匿名操作后 置( 100 台可追溯;当用布的内容含有法和 分) 不良信息,或反定, 号行置,明确限并保存。 5.机制建立机制,明确入口,管理 ( 100 分)和置信息并建立相技手段。 6.急置重大信息安全事件具急置能力,机制( 100 分)并建立相关技手段。

信息安全风险评估报告

胜达集团 信息安全评估报告 (管理信息系统) 胜达集团 二零一六年一月

1目标 胜达集团信息安全检查工作的主要目标是通过自评估工作,发现本局信息系统当前面临的主要安全问题,边检查边整改,确保信息网络和重要信息系统的安全。 2评估依据、范围和方法 2.1 评估依据 根据国务院信息化工作办公室《关于对国家基础信息网络和重要信息系统开展安全检查的通知》(信安通[2006]15号)、国家电力监管委员会《关于对电力行业有关单位重要信息系统开展安全检查的通知》(办信息[2006]48号)以及集团公司和省公司公司的文件、检查方案要求, 开展××单位的信息安全评估。 2.2 评估范围 本次信息安全评估工作重点是重要的业务管理信息系统和网络系统等, 管理信息系统中业务种类相对较多、网络和业务结构较为复杂,在检查工作中强调对基础信息系统和重点业务系统进行安全性评估,具体包括:基础网络与服务器、关键业务系统、现有安全防护措施、信息安全管理的组织与策略、信息系统安全运行和维护情况评估。2.3 评估方法 采用自评估方法。 3重要资产识别 对本局范围内的重要系统、重要网络设备、重要服务器及其安全属性受破坏后的影响进行识别,将一旦停止运行影响面大的系统、关键网络节点设备和安全设备、承载敏感数据和业务的服务器进行登记汇总,形成重要资产清单。 资产清单见附表1。 4安全事件 对本局半年内发生的较大的、或者发生次数较多的信息安全事件进行汇总记录,形成本单位的安全事件列表。安全事件列表见附表2。 5安全检查项目评估 5.1 规章制度与组织管理评估 5.1.1组织机构 5.1.1.1评估标准 信息安全组织机构包括领导机构、工作机构。 5.1.1.2现状描述 本局已成立了信息安全领导机构,但尚未成立信息安全工作机构。 5.1.1.3 评估结论

信息安全综述

网络信息安全综述 李晴川 (重庆邮电大学通信学院,学号:S100103006) 摘要 21世纪是信息的时代。信息成为一种重要的战略资源,信息的获取、处理和安全保障能力成为一个国家综合国力的重要组成部分。信息安全事关国家安全、事关社会稳定。因此, 必须采取措施确保我国的信息安全。近年来,信息安全领域的发展十分迅速,取得了许多新的重要成果。本文主要综述了网络信息安全技术、发展、挑战、对策。 关键词 网络信息安全 安全机制 技术发展 挑战 对策 一 引言 进入21世纪以来,网络用户呈几何级数增长,人们对网络信息的需求和依赖日益增强,很多企业正是看到其中巨大的商机纷纷开展网上业务。无论在计算机上存储、处理、应用,还是在通信网络上传输,信息都可能被非授权访问而导致泄密,被篡改破坏而导致不完整,被冒充替换而导致否认,也可能被阻塞拦截而导致无法存取。这些破坏可能是有意的,如黑客攻击、病毒感染;也可能是无意的,如误操作、程序错误等。 因此,网络信息安全事关国家安全和社会稳定, 因此, 必须采取措施确保我国的信息安全。 二、网络信息安全的内容 网络信息安全分为网络安全和信息安全两个层面。网络安全包括系统安全,即硬件平台、操作系统、应用软件运行服务安全,即保证服务的连续性、高效率。信息安全则主要足指数据安全,包括数据加密、备份、程序等。 (1)硬件安全。即网络硬件和存储媒休的安全。要保护这些硬设施不受损害,能够正常工作。 (2)软件安全。即计算机及其网络各种软件不被篡改或破坏,不被非法操作或误操作,功能不会失效,不被非法复制。 (3)运行服务安全。即网络中的各个信息系统能够正常运行并能正常地通过网络交流信息。通过对网络系统中的各种设备运行状况的监测,发现不安全因素能及时报警并采取措施改变不安全态,保障网络系统正常运行。 (4)数据安全。即网络中存能及流通数据的女全。要保护网络中的数据不被篡改、非法增删、复制、解密、显示、使用等。

信息安全风险评估报告

附件: 国家电子政务工程建设项目非涉密信息系统信息安全风险评估报告格式 项目名称: 项目建设单位: 风险评估单位: 年月日

目录 一、风险评估项目概述 (1) 1.1工程项目概况 (1) 1.1.1 建设项目基本信息 (1) 1.1.2 建设单位基本信息 (1) 1.1.3承建单位基本信息 (2) 1.2风险评估实施单位基本情况 (2) 二、风险评估活动概述 (2) 2.1风险评估工作组织管理 (2) 2.2风险评估工作过程 (2) 2.3依据的技术标准及相关法规文件 (2) 2.4保障与限制条件 (3) 三、评估对象 (3) 3.1评估对象构成与定级 (3) 3.1.1 网络结构 (3) 3.1.2 业务应用 (3) 3.1.3 子系统构成及定级 (3) 3.2评估对象等级保护措施 (3) 3.2.1XX子系统的等级保护措施 (3) 3.2.2子系统N的等级保护措施 (3) 四、资产识别与分析 (4) 4.1资产类型与赋值 (4) 4.1.1资产类型 (4) 4.1.2资产赋值 (4) 4.2关键资产说明 (4) 五、威胁识别与分析 (4)

5.2威胁描述与分析 (5) 5.2.1 威胁源分析 (5) 5.2.2 威胁行为分析 (5) 5.2.3 威胁能量分析 (5) 5.3威胁赋值 (5) 六、脆弱性识别与分析 (5) 6.1常规脆弱性描述 (5) 6.1.1 管理脆弱性 (5) 6.1.2 网络脆弱性 (5) 6.1.3系统脆弱性 (5) 6.1.4应用脆弱性 (5) 6.1.5数据处理和存储脆弱性 (6) 6.1.6运行维护脆弱性 (6) 6.1.7灾备与应急响应脆弱性 (6) 6.1.8物理脆弱性 (6) 6.2脆弱性专项检测 (6) 6.2.1木马病毒专项检查 (6) 6.2.2渗透与攻击性专项测试 (6) 6.2.3关键设备安全性专项测试 (6) 6.2.4设备采购和维保服务专项检测 (6) 6.2.5其他专项检测 (6) 6.2.6安全保护效果综合验证 (6) 6.3脆弱性综合列表 (6) 七、风险分析 (6) 7.1关键资产的风险计算结果 (6) 7.2关键资产的风险等级 (7) 7.2.1 风险等级列表 (7)

信息安全技术概述

1基本概念 1.1信息安全的要素 ●性:指网络中的信息不被非授权实体获取与使用。 的信息包括: 1.存储在计算机系统中的信息:使用访问控制机制,也可以进行加密增加安全性。 2.网络中传输的信息:应用加密机制。 ●完整性:指数据未经授权不能进行改变的特性,即信息在存储或传输过程中保持不被修改、 不被破坏和丢失的特性,还要求数据的来源具有正确性和可信性,数据是真实可信的。 解决手段:数据完整性机制。 ●真实性:保证以数字身份进行操作的操作者就是这个数字身份合法拥有者,也就是说保证操 作者的物理身份与数字身份相对应。 解决手段:身份认证机制。 ●不可否认性:或不可抵赖性。发送信息方不能否认发送过信息,信息的接收方不能否认接收 过信息。 解决手段:数字签名机制。 1.2信息技术 ●明文(Message):指待加密的信息,用M或P表示。 ●密文(Ciphertext):指明文经过加密处理后的形式,用C表示。 ●密钥(Key):指用于加密或解密的参数,用K表示。 ●加密(Encryption):指用某种方法伪装消息以隐藏它的容的过程。 ●加密算法(EncryptionAlgorithm):指将明文变换为密文的变换函数,用E表示。 ●解密(Decryption):指把密文转换成明文的过程。 ●解密算法(DecryptionAlgorithm):指将密文变换为明文的变换函数,用D表示。 ●密码分析(Cryptanalysis):指截获密文者试图通过分析截获的密文从而推断出原来的明文 或密钥的过程。 ●密码分析员(Crytanalyst):指从事密码分析的人。 ●被动攻击(PassiveAttack):指对一个系统采取截获密文并对其进行分析和攻击,这种攻 击对密文没有破坏作用。 ●主动攻击(ActiveAttack):指攻击者非法入侵一个密码系统,采用伪造、修改、删除等手 段向系统注入假消息进行欺骗,这种攻击对密文具有破坏作用。 ●密码体制(密码方案):由明文空间、密文空间、密钥空间、加密算法、解密算法构成的五 元组。 分类: 1.对称密码体制:单钥密码体制,加密密钥和解密密钥相同。 2.非对称密码体制:双钥密码体制、公开密码体制,加密密钥和解密密钥不同。 ●密码系统(Cryptosystem):指用于加密和解密的系统,通常应当是一个包含软、硬件的系 统。 ●柯克霍夫原则:密码系统的安全性取决于密钥,而不是密码算法,即密码算法要公开。

网络安全防护检查报告

编号: 网络安全防护检查报告 数据中心 测评单位: 报告日期: 目录 第1章系统概况 (2) 1.1 网络结构 (2) 1.2 管理制度 (2) 第2章评测方法和工具 (4) 2.1 测试方式 (4) 2.2 测试工具 (4) 2.3 评分方法 (4) 2.3.1 符合性评测评分方法 (5) 2.3.2 风险评估评分方法 (5) 第3章测试内容 (7) 3.1 测试内容概述 (7) 3.2 扫描和渗透测试接入点 (8) 3.3 通信网络安全管理审核 (8) 第4章符合性评测结果 (9) 4.1 业务安全 (9) 4.2 网络安全 (9)

4.3 主机安全 (9) 4.4 中间件安全 (10) 4.5 安全域边界安全 (10) 4.6 集中运维安全管控系统安全 (10) 4.7 灾难备份及恢复 (11) 4.8 管理安全 (11) 4.9 第三方服务安全 (12) 第5章风险评估结果 (13) 5.1 存在的安全隐患 (13) 第6章综合评分 (14) 6.1 符合性得分 (14) 6.2 风险评估 (14) 6.3 综合得分 (14) 附录A 设备扫描记录 (15)

所依据的标准和规范有: ?《YD/T 2584-2013 互联网数据中心IDC安全防护要求》 ?《YD/T 2585-2013 互联网数据中心IDC安全防护检测要求》?《YD/T 2669-2013 第三方安全服务能力评定准则》 ?《网络和系统安全防护检查评分方法》 ?《2014年度通信网络安全防护符合性评测表-互联网数据中心IDC》 还参考标准 ?YD/T 1754-2008《电信和互联网物理环境安全等级保护要求》?YD/T 1755-2008《电信和互联网物理环境安全等级保护检测要求》 ?YD/T 1756-2008《电信和互联网管理安全等级保护要求》 ?GB/T 20274 信息系统安全保障评估框架 ?GB/T 20984-2007 《信息安全风险评估规范》

网络信息安全课后习题

第一章网络安全综述 1.什么是网络安全? 答:国际标准化组织(ISO)对计算机系统安全的定义是:为数据处理系统建立和采用的技术和管理的安全保护,保护计算机硬件、软件和数据不因偶然和恶意的原因遭到破坏、更改和泄露。由此可以将计算机网络的安全理解为:通过采用各种技术和管理措施,使网络系统正常运行,从而确保网络数据的可用性、完整性和保密性。 美国国家安全电信和信息系统安全委员会(NSTISSC)对网络安全作如下定义:网络安全是对信息、系统以及使用、存储和传输信息的硬件的保护。 2.网络安全包括哪些内容? 答:1)物理安全(1)防静电(2)防盗(3)防雷击(4)防火(5)防电磁泄漏 2)逻辑安全(1)用户身份认证(2)访问控制(3)加密(4)安全管理 3)操作系统安全4)联网安全 3.网络安全面临的威胁主要来自哪几方面? 答: 1)物理威胁(1)身份识别错误。(2)偷窃。(3)间谍行为。(4)废物搜寻。 2)系统漏洞造成的威胁(1)不安全服务。(2)乘虚而入。(3)配置和初始化。 3)身份鉴别威胁(1)编辑口令。(2)口令破解。(3)口令圈套。(4)算法考虑不周。 4)线缆连接威胁(1)拨号进入。(2)窃听。(3)冒名顶替。 5)有害程序(1)病毒。(2)更新或下载。(3)特洛伊木马。(4)代码炸弹。 4.在网络安全中,什么是被动攻击?什么是主动攻击? 答:被动攻击本质上是在传输中的窃听或监视,其目的是从传输中获得信息。被动攻击分为两种,分别是析出消息内容和通信量分析。 被动攻击非常难以检测,因为它们并不会导致数据有任何改变。然而,防止这些攻击是可能的。因此,对付被动攻击的重点是防止而不是检测。 攻击的第二种主要类型是主动攻击,这些攻击涉及某些数据流的篡改或一个虚假信息流的产生。这些攻击还能进一步划分为四类:伪装、重放、篡改消息和拒绝服务。 5.简述访问控制策略的内容。 答:访问控制是网络安全防范和保护的主要策略,它的主要任务是保证网络资源不被非法使用和非常访问。它也是维护网络系统安全、保护网络资源的重要手段。各种安全策略必须相互配合才能真正起到保护作用,但访问控制可以说是保证网络安全最重要的核心策略之一。下面分别叙述各种访问控制策略。 1)入网访问控制 2)网络的权限控制 3)目录级安全控制 4)属性安全控制 5)网络服务器安全控制 6)网络监测和锁定控制

业务系统信息安全风险评估方案

第3章业务系统信息安全风险评估方案 3.1 风险评估概述 3.1.1 背景 该业务系统风险评估的目标是评估业务系统的风险状况,提出风险控制建议,同时为下一步要制定的业务系统安全管理规范以及今后业务系统的安全建设和风险管理提供依据和建议。 需要指出的是,本评估报告中所指的安全风险针对的是现阶段该业务系统的风险状况,反映的是系统当前的安全状态。 3.1.2 范围 该业务系统风险评估范围包括业务系统网络、管理制度、使用或管理业务系统的相关人员以及由业务系统使用时所产生的文档、数据。 3.1.3 评估方式 信息系统具有一定的生命周期,在其生命中期内完成相应的使命。采取必要的安全保护方式使系统在其生命周期内稳定、可靠地运行是系统各种技术、管理应用的基本原则。 本项目的评估主要根据国际标准、国家标准和地方标准,从识别信息系统的资产入手,确定重要资产,针对重要资产分析其面临的安全威胁并识别其存在的脆弱性,最后综合评估系统的安全风险。 资产划分是风险评估的基础,在所有识别的系统资产中,依据资产在机密性、完整性和可用性安全属性的价值不同,综合判定资产重要性程度并将其划分为核心、关键、中等、次要和很低5个等级。 对于列为重要及以上等级的资产,分析其面临的安全威胁。 脆弱性识别主要从技术和管理两个层面,采取人工访谈。现场核查。扫描检测。渗透性测试等方式,找出系统所存在的脆弱性和安全隐患。 对重要资产已识别的威胁、脆弱性,根据其可能性和严重性,综合评估其安全风险。 3.2 该业务系统概况 3.2.1 该业务系统背景 近年来,由于数据量迅速增加,业务量也迅速增长,原先的硬件系统、应用系统和模式已渐渐不适应业务的需求,提升IT管理系统已经成为刻不容缓的事情。 经过仔细论证之后,信息决策部门在IT管理系统升级上达成如下共识:更换新的硬件设备,使用更先进和更强大的主机;在模式上为统一的集中式系统;在系统上用运行和维护效率较高的单库结构替换原有多库系统;在技术上准备使用基于B/S架构的J2EE中间件技术,并且实施999.999%的高可靠性运行方式;在业务上用新型工作流作为驱动新一代业务系统的引擎,真正达到通过以客户为中心来提升利润及通过高效智能的工作流来提高每个行员的劳动生产率,从而降低成本、提高核心竞争力以应对外部的竞争。 3.2.2 网络结构与拓扑图 该系统的网络包含应用服务器组、数据库服务器组、业务管理端、网络连接设备和安全防护设备。业务系统网络通过一台高性能路由器连接分部网络,通过一台千兆以太网交换机连接到其他业务系统。其中业务系统网络内部骨干网络采用千兆位以太网,两台千兆以太网交换机位骨干交换机。网络配备百兆桌面交换机来连接网络管理维护客户机。

网络信息安全技术教学大纲

《网络信息安全技术》课程教学大纲课程名称:网络信息安全技术 课程性质:本课程属于专业选修课适用专业:计算机科学与技术 学时数:46 其中实验/上机学时:32∕14 学分数:3 考核方式:考查 先修课程:计算机上基础、计算机组成原理、计算机网络 后续课程:无 教学参考书: 段云所等编,《信息安全概论》(普通高等教育“十五”国家级规划教材),高等教育出版社,出版时间2003-09-01。 步山岳等编,《计算机信息安全技术》,高等教育出版社,出版时间2005-9-1。 考试方式: 对理论知识与实践能力进行整体考核,要求学生掌握基础知识的同时,应具备一定的科学素养和个人能力。多环节成绩评定包括作业、讨论、实习、测验、论文和笔试成绩等。综合定量评价:平时成绩占30%,期末成绩占70%。 开课部门:计算机系专业基础教研室 课程简介:(200~500字) 本课程可以作为计算机科学与技术专业专业选修课程。通过本课程的学习,使学生建立网络信息安全防范意识,掌握网络信息安全防范的基本方法,加强对计算机安全重要性的理解;熟悉计算机安全的基本理论;了解当前网络信息安全方面所面临的问题和对策;培养学生维护网络信息安全的能力,为学生走向工作岗位积累初步的网络信息安全防范经验。 本门课程对学生知识、能力和素质的培养目标: 本课程的开设是基于应用型人才培养的需要,遵循知识实用、丰富,新颖为原则。教学的主导目标是通过学习网络信息安全技术基础理论,使学生初步掌握网络信息安全实用技能,为学生今后进行进一步学习、研究信息安全技术打下坚实的基础。 通过本课程的学习,将使学生了解网络信息安全的基础知识,从理论、技术和应用等全方面认识信息网络。通过课程学习,学生将掌握计算机系统与网络基础知识;掌握信息安全理论基础;掌握信息加密、身份认证、访问控制、防火墙、VPN、入侵检测、安全审计等常用计算机安全防御技术;掌握安全协议基本原理及IPSec、SSL、SSH,X.509等常见安全协议;掌握Windows和UNIX的常用安全防御技术;掌握端口扫描、窃听等系统与网络攻击及防御方法。通过课程学习,学生将具备计算机安全防御的技能,并能够依据实际需求,设计

信息系统安全管理与风险评估

信息系统安全管理与风险评估 陈泽民:3080604041 信息时代既带给我们无限商机与方便,也充斥着隐患与危险。越来越多的黑客通过网络肆意侵入企业的计算机,盗取重要资料,或者破坏企业网络,使其陷入瘫痪,造成巨大损失。因此,网络安全越来越重要。企业网络安全的核心是企业信息的安全。具体来说,也就涉及到企业信息系统的安全问题。一套科学、合理、完整、有效的网络信息安全保障体系,就成为网络信息系统设计和建设者们追求的主要目标。信息安全是整个网络系统安全设计的最终目标,信息系统安全的建立必须以一系列网络安全技术为摹础。但信息系统是一个综合的、动态的、多层次之间相结合的复杂系统,只从网络安全技术的角度保证整个信息系统的安全是很网难的,网络信息系统对安全的整体是任何一种单元安全技术都无法解决的。冈此对信息系统的安全方案的设计必须以科学的安全体系结构模型为依据,才能保障整个安全体系的完备性、合理性。 制定安全目标和安全策略对于建造一个安全的计算机系统是举足轻重的。网络上可采用安全技术例如防火墙等实现网络安全,软件开发上可选择不同的安全粒度,如记录级,文件级信息级等。在系统的各个层次中展开安全控制是非常有利的。在应用软件层上设置安全访问控制是整个应用系统安全性的重要步骤。此外安全教育与管理也是系统安全的重要方面。信息系统的安全管理就是以行政手段对系统的安全活动进行综合管理,并与技术策略和措施相结合,从而使信息系统达到整体上的安全水平。其实,在系统的安全保护措施中,技术性安全措施所占的比例很小,而更多则是非技术性安全措施。两者之间是互相补充,彼此促进,相辅相成的关系。信息系统的安全性并不仅仅是技术问

网络安全自查评估报告

根据信息管理服务中心《关于开展2016年上半年信息系统质量标准化及信息化建设情况检查评估的通知》的要求,我单位积极组织落实,认真对照,对网络安全基础设施情况及网络信息安全进行了自查,对我矿网络与信息安全状况进行了深刻剖析,现将自查自纠情况报告如下: 一、2016年一季度网络运行状况 我单位是信息网络安全管理主管部门,随着矿井巷道及采区的不断延伸,信息化投入的不断加大,我单位更加注重加强网络安全管理以及网络设施的规划建设、维修维护等具体工作,落实工作责任,加强日常监督检查,网络运维状况良好各信息系统运维正常。 二、安全制度与落实 1、结合集团公司《信息网络安全管理办法》和《网络安全管理办法》,对网络安全、内部电脑、机房管理、计算机操作人员行为等各方面都作了详细规定,进一步规范了我矿信息网络安全管理工作。 2、各单位上网为实名制上网,均采取IP地址和计算机MAC地址绑定。并详细记录使用人的使用地点、联系电话,做到一有问题及时通知。 三、网络设备配置与管理 我单位中心机房配置两台Cisco 6509核心交换机,采用了虚拟化(VSS)技术将两台交换机组合为单一虚 拟交换机,从而提高运营效率、增强不间断通信;在一

通三防楼布置一台联想8812E汇聚交换机负责整个北 部区域的网络覆盖;各楼宇大部分均采用了Cisco2960 与联想天工iSpirit 2924G智能交换机对网络安全进行 管理。 1、启用了防火墙设备,对互联网有害信息进行过滤、 封堵,长期对防火墙进行检查维护; 2、对我单位东五楼、西六楼、一通三防办公楼、热 电冷、物供部等重点办公区域、楼宇进行了双链路链接; 3、定期对中心机房服务器的系统和软件进行更新, 对重要文件、信息资源做到及时备份,数据恢复。 四、各系统硬件设备的维护护 2016年5月1日-5月11日按照集团公司统一部署我矿进行了停产检修计划,在此期间我单位组织相关人员对网络中心机房核心交换机、服务器、工控机等网络硬件设备进行了逐台下架清理维护,并对有关服务器设备进行了系统升级、数据备份,对于设备出现的故障显示及时进行了排查处理,确保检修结束后各系统能够正常运行满足矿井生产需要;中心机房每台服务器都安装了防病毒软件,系统相关设备的应用一直采取规范化管理,硬件设备的使用符合国家相关产品质量安全规定,硬件的运行环境符合要求,各系统系统安全有效。 本次自查报告综上所述,如有不妥请上级领导批评指正!

信息安全风险评估报告格式

附件: 信息安全风险评估报告格式 项目名称: 项目建设单位: 风险评估单位: 年月日

目录 一、风险评估项目概述 (1) 1.1工程项目概况 (1) 1.1.1 建设项目基本信息 (1) 1.1.2 建设单位基本信息 (1) 1.1.3承建单位基本信息 (2) 1.2风险评估实施单位基本情况 (2) 二、风险评估活动概述 (2) 2.1风险评估工作组织管理 (2) 2.2风险评估工作过程 (2) 2.3依据的技术标准及相关法规文件 (2) 2.4保障与限制条件 (3) 三、评估对象 (3) 3.1评估对象构成与定级 (3) 3.1.1 网络结构 (3) 3.1.2 业务应用 (3) 3.1.3 子系统构成及定级 (3) 3.2评估对象等级保护措施 (3) 3.2.1XX子系统的等级保护措施 (3) 3.2.2子系统N的等级保护措施 (3) 四、资产识别与分析 (4) 4.1资产类型与赋值 (4) 4.1.1资产类型 (4) 4.1.2资产赋值 (4) 4.2关键资产说明 (4) 五、威胁识别与分析 (4)

5.2威胁描述与分析 (5) 5.2.1 威胁源分析 (5) 5.2.2 威胁行为分析 (5) 5.2.3 威胁能量分析 (5) 5.3威胁赋值 (5) 六、脆弱性识别与分析 (5) 6.1常规脆弱性描述 (5) 6.1.1 管理脆弱性 (5) 6.1.2 网络脆弱性 (5) 6.1.3系统脆弱性 (5) 6.1.4应用脆弱性 (5) 6.1.5数据处理和存储脆弱性 (6) 6.1.6运行维护脆弱性 (6) 6.1.7灾备与应急响应脆弱性 (6) 6.1.8物理脆弱性 (6) 6.2脆弱性专项检测 (6) 6.2.1木马病毒专项检查 (6) 6.2.2渗透与攻击性专项测试 (6) 6.2.3关键设备安全性专项测试 (6) 6.2.4设备采购和维保服务专项检测 (6) 6.2.5其他专项检测 (6) 6.2.6安全保护效果综合验证 (6) 6.3脆弱性综合列表 (6) 七、风险分析 (6) 7.1关键资产的风险计算结果 (6) 7.2关键资产的风险等级 (7) 7.2.1 风险等级列表 (7)

网络信息安全评估报告

计算机信息安全评估报告 如何实现如下图所示 可用性1.人们通常采用一些技术措施或网络安全设备来实现这些目标。例如: 使用防火墙,把攻击者阻挡在网络外部,让他们“进不来”。 即使攻击者进入了网络内部,由于有加密机制,会使他们“改不了”和“拿不走”关 键信息和资源。 机密性2机密性将对敏感数据的访问权限控制在那些经授权的个人,只有他们才能查 看数据。机密性可防止向未经授权的个人泄露信息,或防止信息被加工。 如图所示,“进不来”和“看不懂”都实现了信息系统的机密性。 人们使用口令对进入系统的用户进行身份鉴别,非法用户没有口令就“进不来”,这就保证了信息系统的机密性。 即使攻击者破解了口令,而进入系统,加密机制也会使得他们“看不懂”关键信息。 例如,甲给乙发送加密文件,只有乙通过解密才能读懂其内容,其他人看到的是乱码。由此便实现了信息的机密性。 完整性3如图所示,“改不了”和“拿不走”都实现了信息系统的完整性。使用加密机制,可以保证信息系统的完整性,攻击者无法对加密信息进行修改或者复制。 不可抵赖性4如图所示,“跑不掉”就实现了信息系统的不可抵赖性。如果攻击者进 行了非法操作,系统管理员使用审计机制或签名机制也可让他们无所遁形 对考试的机房进行“管理制度”评估。 (1)评估说明 为规范管理,保障计算机设备的正常运行,创造良好的上机环境,必须制定相关的管理制度(2)评估内容 没有建立相应信息系统运行管理规程、缺陷管理制度、统计汇报制度、运维流程、值班制度,没有实行工作票制度;机房出入管理制度上墙,但没有机房进出情况记录 (3)评估分析报告 所存在问题:1没有系统的相关负责人,机房也是谁人都可以自由出入。2在上机过程中做与学习无关的工作。3机房财产规划不健全等 (4)评估建议 1、计算机室的管理由系统管理员负责,非机房工作人员未经允许不准进入。未经许可不 得擅自上机操作和对运行设备及各种配置进行更改。 2、保持机房内清洁、安静,严禁机房内吸烟、吐痰以及大声喧哗;严禁将易燃、易爆、易污染和强磁物品带入机房。 3、机房内的一切物品,未经管理员同意,不得随意挪动,拆卸和带出机房。 4、上机时,应先认真检查机器情况,如有问题应及时向机房管理员反应。 5、上机人员不得在机房

信息安全风险评估方案

第一章网络安全现状与问题 1.1目前安全解决方案的盲目性 现在有很多公司提供各种各样的网络安全解决方案,包括加密、身份认证、防病毒、防黑客等各个方面,每种解决方案都强调所论述方面面临威胁的严重性,自己在此方面的卓越性,但对于用户来说这些方面是否真正是自己的薄弱之处,会造成多大的损失,如何评估,投入多大可以满足要求,对应这些问题应该采取什麽措施,这些用户真正关心的问题却很少有人提及。 1.2网络安全规划上的滞后 网络在面对目前越来越复杂的非法入侵、内部犯罪、恶意代码、病毒威胁等行为时,往往是头痛医头、脚痛医脚,面对层出不穷的安全问题,疲于奔命,再加上各种各样的安全产品与安全服务,使用户摸不着头脑,没有清晰的思路,其原因是由于没有一套完整的安全体系,不能从整体上有所把握。 在目前网络业务系统向交易手段模块化、经纪业务平台化与总部集中监控的趋势下,安全规划显然未跟上网络管理方式发展的趋势。 第二章网络动态安全防范体系 用户目前接受的安全策略建议普遍存在着“以偏盖全”的现象,它们过分强调了某个方面的重要性,而忽略了安全构件(产品)之间的关系。因此在客户化的、可操作的安全策略基础上,需要构建一个具有全局观的、多层次的、组件化的安全防御体系。它应涉及网络边界、网络基础、核心业务和桌面等多个层面,涵盖路由器、交换机、防火墙、接入服务器、数据库、操作系统、DNS、WWW、MAIL及其它应用系统。 静态的安全产品不可能解决动态的安全问题,应该使之客户化、可定义、可管理。无论静态或动态(可管理)安全产品,简单的叠加并不是有效的防御措施,应该要求安全产品构件之间能够相互联动,以便实现安全资源的集中管理、统一审计、信息共享。 目前黑客攻击的方式具有高技巧性、分散性、随机性和局部持续性的特点,因此即使是多层面的安全防御体系,如果是静态的,也无法抵御来自外部和内部的攻击,只有将众多的攻击手法进行搜集、归类、分析、消化、综合,将其体系化,才有可能使防御系统与之相匹配、相耦合,以自动适应攻击的变化,从而

“信息安全技术”第一章 概述 的课后作业及答案

“信息安全技术”第一章概述的课后作业 1、现代信息安全的内涵包括哪两个方面的内容? 答:现代信息安全的内涵包括面向数据的安全和面向用户的安全。 面向数据的安全,即对信息的机密性(Confidentiality)、完整性(Integrity)和可用性(Availability)的保护(即通常所说的CIA 三元组)。 面向用户的安全,即鉴别、授权、访问控制、抗否认性和可服务性,以及对于内容的个人隐私、知识产权等的保护。 2、ISO 所定义的5 种安全服务和8 种安全机制各是哪些? 答:ISO所定义的5种安全服务:认证,访问控制,数据保密性,数据完整性和不可否认。 ISO所定义的8种安全机制:加密机制,数字签名机制,访问控制机制,数据完整性机制,鉴别交换机制,业务填充机制,路由控制机制和公正机制。 3、计算机病毒的定义是什么?其触发条件主要有哪些? 答:计算机病毒的广义上的定义:凡能够引起计算机故障,破坏计算机数据的程序统称为计算机病毒。 《中华人民共和国计算机信息系统安全保护条例》对计算机病毒的定义为:计算机病毒是指编制或者在计算机程序中插入的破坏计算机功能或者破坏数据影响计算机使用并能自我复制的一组计算机指令或者程序代码。 计算机病毒的触发条件有:时间(特定日期或累计时间),击键次数或特定组合键,运行文件个数或感染文件的个数,启动次数,感染失败和CPU型号/主板型号等。 4、请列举计算机病毒的传播途径? 答:第一种,通过不可移动的计算机硬件设备进行传播;第二种,通过移动存储设备来传播;第三种,通过计算机网络进行传播;第四种,通过点对点通信系统

和无线通道(如手机)来传播。 5、黑客的主要攻击方法有哪些? 答:主要有: ①信息采集:主要是收集目标系统的各种与网络安全有关的信息,为下一步入侵提供帮助。 ②漏洞利用:利用系统、协议或应用软件本身存在的安全缺陷进行的攻击。 ③资源控制:以获得目标系统控制权为目的的攻击。 ④信息欺骗:通过冒充合法网络主机(或用户)骗取信任或获取敏感信息,或者通过配置、设置一些假信息来实施欺骗攻击。 ⑤拒绝服务:通过强行占有信道资源、网络连接资源、存储空间资源和计算资源,使服务器崩溃或资源耗尽无法继续对外提供服务。 6、什么是安全策略?主要包含哪些方面的内容? 答:安全策略是指在特定环境里,为保证提供一定级别的安全保护所必须遵守的规则。是网络安全技术集成的基础。 主要包括: ①物理安全策略:保护计算机系统、网络服务器、打印机等硬件设备和通讯链路免受自然灾害、人为破坏和搭线攻击。 ②访问控制策略:保证网络资源不被非法使用和访问,网络信息安全的核心策略之一。 ③防火墙控制:控制进出双向通信,在网络边界通过监控机制来隔离内外网,从而抵御来自外部的攻击。 ④信息加密策略:保护网内的数据、文件、口令和控制信息,保护网上传输的数据。 ⑤网络安全管理策略:确定安全管理的等级和范围,制定有关网络使用规程和人员管理制度,制定网络系统的维护和应急措施等。 7、网络信息安全的基本特征包括哪几个方面?各是什么含义?

相关文档
最新文档