信息安全原理与应用课件(PPT 54页)
合集下载
《信息安全讲座》PPT课件
缺乏有效的内控措施和定期审计
三 典型信息安全案例分析 其他信息安全事件 网络广告：移动大客户资料，低价出售！有意者联系 QQ：305410928 网络广告：移动金卡银卡大客户资料7万 客户投诉移动内部人员泄漏客户资料 某运营商员工利用工作便利散布反动政治言论
关键信息的保密性机制
三 典型信息安全案例分析 钓鱼欺骗事件频频发生，给电子商务和网上银行蒙上阴影
五 计算机安全防护
安装防病毒软件
互联网安全软件
系统安装
使用正版防病毒软件 打开文件实时监控功能 打开邮件实时监控功能 定时升级病毒库 定期全盘扫描 开启防火墙功能
开启网页实施监控功能 开启木马监控功能 设置系统漏洞自动安装 设置阻止网页弹出插件功能 禁止自启动软件
安装新版本的操作系统 断网安装操作系统 设置administrator密码 安装防护软件 安装系统补丁
四 信息安全防范策略
安全的基本原则
➢ 可用性 确保授权用户在需要时可以访问信息并使用相关信息资产
➢ 完整性 保护信息和信息的处理方法准确而完整
➢ 机密性 确保只有经过授权的人才能访问信息
四 信息安全防范策略
保密性
完整性
可用性
首先你的钱你不希望别 人知道，因为那是你的
其次你不希望突然有一天发现 自己的钱少了，原来有多少钱 现在还是多少钱
六 信息安全发展趋势
国内信息安全现状
分为4级。大部分单位的信息安全处于1、2级别，少部分达到3级，极少到4级。 第一级别：
主要针对外部威胁，采用防火墙、网络隔离、防病毒等手段进行一些简单防护；没有专门的信息安全人员，安全系统管 理一般由网络管理人员兼任；信息安全仅仅有部分IT人员参与，安全实现的重点在于技术、物理手段防护。
三 典型信息安全案例分析 其他信息安全事件 网络广告：移动大客户资料，低价出售！有意者联系 QQ：305410928 网络广告：移动金卡银卡大客户资料7万 客户投诉移动内部人员泄漏客户资料 某运营商员工利用工作便利散布反动政治言论
关键信息的保密性机制
三 典型信息安全案例分析 钓鱼欺骗事件频频发生，给电子商务和网上银行蒙上阴影
五 计算机安全防护
安装防病毒软件
互联网安全软件
系统安装
使用正版防病毒软件 打开文件实时监控功能 打开邮件实时监控功能 定时升级病毒库 定期全盘扫描 开启防火墙功能
开启网页实施监控功能 开启木马监控功能 设置系统漏洞自动安装 设置阻止网页弹出插件功能 禁止自启动软件
安装新版本的操作系统 断网安装操作系统 设置administrator密码 安装防护软件 安装系统补丁
四 信息安全防范策略
安全的基本原则
➢ 可用性 确保授权用户在需要时可以访问信息并使用相关信息资产
➢ 完整性 保护信息和信息的处理方法准确而完整
➢ 机密性 确保只有经过授权的人才能访问信息
四 信息安全防范策略
保密性
完整性
可用性
首先你的钱你不希望别 人知道，因为那是你的
其次你不希望突然有一天发现 自己的钱少了，原来有多少钱 现在还是多少钱
六 信息安全发展趋势
国内信息安全现状
分为4级。大部分单位的信息安全处于1、2级别，少部分达到3级，极少到4级。 第一级别：
主要针对外部威胁，采用防火墙、网络隔离、防病毒等手段进行一些简单防护；没有专门的信息安全人员，安全系统管 理一般由网络管理人员兼任；信息安全仅仅有部分IT人员参与，安全实现的重点在于技术、物理手段防护。
《信息安全培训》PPT课件
31
信息安全的主要威胁4：
人为错误，比如使用不当，安 全意识差等；
32
信息安全的主要威胁4：（人为因素）
操作不当或安全意识差引起的错误：
在U盘读取或写入数据时强行拔出； 硬盘数据没有定期备份； 不按步骤强行关机； 运行或删除电脑上的文件或程序； 随意修改计算机参数
33
信息安全的主要威胁4：（人为因素）
清除病毒前，保证整个消毒过程是在隔 离环境下进行的。否则，病毒会感染更 多的文件。
操作中应谨慎处理，对所读写的数据应 进行多次检查核对，确认无误后再进行 有关操作。
50
各类工具使用简介
51
各类工具使用简介
U盘文件夹图标病毒：
此类病毒会将真正的文件夹隐藏起来，生成 一个与文件夹同名的EXE文件，并使用文件夹 的图标，使用户无法分辨，在使用过程中造 成频繁感染，正常文件夹被隐藏影响正常的 工作与学习。
35
新的安全重灾区：无线网络
家庭无线网络安全
36
新的安全重灾区：无线网络
无线网络引发的危害：
非法接入访问，非法使用资源； 窃听攻击，窃取计算机信息； 信息被截获和修改； 受到病毒攻击和黑客入侵等等。
37
提高无线网络安全性措施：
（一）修改默认的管理员密码：
因为同一厂商的无线接入设备（无线路由器）， 都被默认设定了相同的初始密码，如果不做修 改就会很容易被他人猜中。
电脑突然断线了，经查是上网用的adsl modem被击坏了。
5
理解安全与不安全概念：
什么是不安全？ 例5 目前，中国银行、工商银行、农业银
行的网站已经在互联网上被克隆，这些似 是而非的假银行网站极具欺骗性，呼和浩 特市的一位市民，因登陆了假的中国银行 网站，卡里的2.5万元不翼而飞。
信息安全的主要威胁4：
人为错误，比如使用不当，安 全意识差等；
32
信息安全的主要威胁4：（人为因素）
操作不当或安全意识差引起的错误：
在U盘读取或写入数据时强行拔出； 硬盘数据没有定期备份； 不按步骤强行关机； 运行或删除电脑上的文件或程序； 随意修改计算机参数
33
信息安全的主要威胁4：（人为因素）
清除病毒前，保证整个消毒过程是在隔 离环境下进行的。否则，病毒会感染更 多的文件。
操作中应谨慎处理，对所读写的数据应 进行多次检查核对，确认无误后再进行 有关操作。
50
各类工具使用简介
51
各类工具使用简介
U盘文件夹图标病毒：
此类病毒会将真正的文件夹隐藏起来，生成 一个与文件夹同名的EXE文件，并使用文件夹 的图标，使用户无法分辨，在使用过程中造 成频繁感染，正常文件夹被隐藏影响正常的 工作与学习。
35
新的安全重灾区：无线网络
家庭无线网络安全
36
新的安全重灾区：无线网络
无线网络引发的危害：
非法接入访问，非法使用资源； 窃听攻击，窃取计算机信息； 信息被截获和修改； 受到病毒攻击和黑客入侵等等。
37
提高无线网络安全性措施：
（一）修改默认的管理员密码：
因为同一厂商的无线接入设备（无线路由器）， 都被默认设定了相同的初始密码，如果不做修 改就会很容易被他人猜中。
电脑突然断线了，经查是上网用的adsl modem被击坏了。
5
理解安全与不安全概念：
什么是不安全？ 例5 目前，中国银行、工商银行、农业银
行的网站已经在互联网上被克隆，这些似 是而非的假银行网站极具欺骗性，呼和浩 特市的一位市民，因登陆了假的中国银行 网站，卡里的2.5万元不翼而飞。
信息安全原理及应用
对称密码体系：加密与解密时使用的密钥相同，或加密密钥和解密密钥之间存在确定的转换关 系。
DES加密
原理：
子密钥产生器：
初始密钥经过》去掉8个校验位》PC1置换选择生成C、D两个部分每边28位》
将CD中的存数分别进行左循环移位置换》删去C中的9、18、22、25位和D中的7、9、15、26 位〉进行置换选择PC2》得出密钥Ki》循环
弱密钥：外部密钥产生的所有密钥都是一样的，则这个密钥为弱密钥。（加密或解密两次都可以 恢评估
2.制定保护策略
3.保护执行
凯撒密码：对称密码，对字⺟表中的每个字⺟用它之后的第三个字⺟代替。
单表代换密码：字⺟任意置换。
多表代换密码：在明文消息中采用不同的单表代换。
一次一密：多个大的不重复的真随机密钥字⺟集制成的密码本，每个密钥仅对一个消息使用一 次。
《信息安全》PPT课件
VPN（虚拟专用网络）技术通 过在公共网络上建立加密通道 ，确保远程用户安全地访问企 业内部网络资源。VPN技术提 供了数据加密、身份认证和访 问控制等安全功能。
远程访问安全最佳 实践
采用强密码认证、定期更换密 码、限制远程访问权限等安全 措施，确保远程访问的安全。 同时，结合VPN技术，进一步 提高远程访问的安全性。
信息安全风险是指由于威胁的存在而 导致的信息系统或其所在组织的潜在 损失，包括数据泄露、系统瘫痪、财 务损失、声誉损害等。
信息安全法律法规及合规性
信息安全法律法规
各国政府都制定了相应的信息安全法律法规，以确保信息安 全的合法性和规范性。例如，中国的《网络安全法》、欧洲 的《通用数据保护条例》(GDPR)等。
持续改进策略及最佳实践
持续改进策略
定期对信息安全管理体系进行审 查和评估，发现问题及时改进，
确保体系的持续有效运行。
最佳实践分享
借鉴国内外先进的信息安全管理经 验和最佳实践，不断提升组织的信 息安全管理水平。
创新技术应用
积极探索和应用新的信息安全技术 和管理手段，提高信息安全的防护 能力和效率。
THANK YOU
100%
数据备份策略
阐述定期备份数据的重要性，以 及不同备份策略（如完全备份、 增量备份、差异备份等）的优缺 点。
80%
数据恢复技术
探讨数据恢复的概念、方法及最 佳实践，包括文件恢复、数据库 恢复等。
数据泄露防护技术
数据泄露途径
分析数据泄露的常见途径，如 内部泄露、供应链泄露、网络 攻击等。
数据泄露防护策略
风险评估方法与流程
风险评估方法
采用定性与定量相结合的方法，对潜在的信息安全风险进行评估， 包括威胁识别、脆弱性分析、风险值计算等。
远程访问安全最佳 实践
采用强密码认证、定期更换密 码、限制远程访问权限等安全 措施，确保远程访问的安全。 同时，结合VPN技术，进一步 提高远程访问的安全性。
信息安全风险是指由于威胁的存在而 导致的信息系统或其所在组织的潜在 损失，包括数据泄露、系统瘫痪、财 务损失、声誉损害等。
信息安全法律法规及合规性
信息安全法律法规
各国政府都制定了相应的信息安全法律法规，以确保信息安 全的合法性和规范性。例如，中国的《网络安全法》、欧洲 的《通用数据保护条例》(GDPR)等。
持续改进策略及最佳实践
持续改进策略
定期对信息安全管理体系进行审 查和评估，发现问题及时改进，
确保体系的持续有效运行。
最佳实践分享
借鉴国内外先进的信息安全管理经 验和最佳实践，不断提升组织的信 息安全管理水平。
创新技术应用
积极探索和应用新的信息安全技术 和管理手段，提高信息安全的防护 能力和效率。
THANK YOU
100%
数据备份策略
阐述定期备份数据的重要性，以 及不同备份策略（如完全备份、 增量备份、差异备份等）的优缺 点。
80%
数据恢复技术
探讨数据恢复的概念、方法及最 佳实践，包括文件恢复、数据库 恢复等。
数据泄露防护技术
数据泄露途径
分析数据泄露的常见途径，如 内部泄露、供应链泄露、网络 攻击等。
数据泄露防护策略
风险评估方法与流程
风险评估方法
采用定性与定量相结合的方法，对潜在的信息安全风险进行评估， 包括威胁识别、脆弱性分析、风险值计算等。
《信息安全》课件
黑客入侵了微软的网络，窃取了大量用户 的敏感信息。
3 法国电视台网站遭黑客攻击案
4 湖北省公安厅网络系统遭攻击案
黑客攻击导致法国电视台的网站被篡改， 发布了不实信息。
湖北省公安厅的网络系统遭遇黑客攻击， 重要数据遭到窃取。
总结与展望
信息安全的挑战
随着信息技术的发展，信 息安全面临着新的挑战， 需要不断完善保障措施。
信息安全管理
安全方案设计
根据实际情况制定 信息安全策略和措 施，保障信息资产 的安全。
风险评估
识别和评估各种潜 在威胁和风险，制 定相应的应对措施。
安全培训
提供员工和用户的 信息安全培训，增 强他们的安全意识 和能力。
应急响应
建立应对安全事件 的响应机制，及时 处置安全漏洞和威 胁。
信息安全实践
安全策略制定
根据企业需求和风 险评估结果，制定 全面的信息安全策 略。
安全风险管理
通过安全评估、漏 洞管理等手段，降 低信息安全风险。
安全控制实施
应用各项信息安全 措施，加强对系统 和数据的保护。
安全事件处理
对发生的安全事件 进行调查、分析和 处理，防止二次损 失。
信息安全法律法规
信息安全法
确保网络安全和信 息安全的法律法 体系。
【涵盖内容】信息安全包括网络安全、系统安全、应用安全、物理安全和管 理安全等方面。
主要威胁
病毒和恶意软件
这些恶意程序会感染计算机系统，窃取信息 或破坏系统。
数据泄露
未经授权的数据访问、传输错误或故意泄露 等都可能导致重大损失。
网络攻击
黑客、网络钓鱼等针对网络系统的攻击，可 能导致信息泄露或系统瘫痪。
《信息安全》PPT课件
《信息安全技术》PPT课件
恶意代码类型
01
包括病毒、蠕虫、木马、勒索软件等。
防范策略
02
采用多层防御策略，包括防病毒软件、入侵检 测系统等。
行为分析
03
对恶意代码进行行为分析，识别其特征和传播 方式。
应急响应
04
建立应急响应机制，及时处置恶意代码事件， 减少损失。
05
身份认证与访问控制技术
身份认证方法比较选择
1 2
基于口令的身份认证 简单易用，但安全性较低，易受到口令猜测和窃 取攻击。
信息安全法律法规与标准
信息安全法律法规
国家制定了一系列信息安全法律法规，如《网络安全法》、《数据安全法》等，旨 在保护个人和组织的信息安全，维护国家安全和社会公共利益。
信息安全标准
信息安全标准是指导信息安全技术和管理实践的一系列规范性文件，包括国际标准 （如ISO 27001）、国家标准（如GB/T 22239）和行业标准等。这些标准提供了信 息安全管理和技术实践的指南，帮助组织评估和改进其信息安全水平。
数据库安全审计
记录和监控数据库中的操作事件，以便及时发现和应对潜在的安全威胁。
数据备份恢复策略
定期备份策略
制定合理的数据备份计划，定期对重 要数据进行备份，确保数据在发生意 外时能够及时恢复。
备份数据加密存储
灾难恢复计划
制定灾难恢复计划，明确在发生自然 灾害、硬件故障等意外情况下的数据 恢复流程和措施，确保业务连续性。
介绍网络安全协议的定义、分类 和作用等。
TCP/IP协议安全
分析TCP/IP协议的安全漏洞和攻 击方式，探讨如何保障网络安全。
HTTPS协议原理
详细阐述HTTPS协议的原理、工 作流程和安全性分析等。
信息安全意识培训课件PPT54张
*
信息安全的定义
*
信息安全基本目标
保密性， 完整性， 可用性
C
I
A
onfidentiality
ntegrity
vailability
CIA
*
信息生命周期
创建
传递
销毁
存 储
使用
更改
*
信息产业发展迅猛
截至2008年7月，我国固定电话已达到3.55亿户，移动电话用户数达到6.08亿。 截至2008年6月，我国网民数量达到了2.53亿，成为世界上网民最多的国家，与去年同期相比，中国网民人数增加了9100万人，同比增长达到56.2%。 手机上网成为用户上网的重要途径，网民中的28.9%在过去半年曾经使用过手机上网，手机网民规模达到7305万人。 2007年电子商务交易总额已超过2万亿元。 目前，全国网站总数达192万，中文网页已达84.7亿页，个人博客/个人空间的网民比例达到42.3%。 目前，县级以上96%的政府机构都建立了网站，电子政务正以改善公共服务为重点，在教育、医疗、住房等方面，提供便捷的基本公共服务。
广义上讲 领域—— 涉及到信息的保密性，完整性，可用性，真实性，可控性的相关技术和理论。 本质上 保护—— 系统的硬件，软件，数据 防止—— 系统和数据遭受破坏，更改，泄露 保证—— 系统连续可靠正常地运行，服务不中断 两个层面 技术层面—— 防止外部用户的非法入侵 管理层面—— 内部员工的教育和管理
*
1
2
3
什么是信息安全？
怎样搞好信息安全？
主要内容
信息安全的基本概念
*
授之以鱼
不如授之以渔
——产品
——技术
更不如激之其欲
——意识
那我们就可以在谈笑间，让风险灰飞烟灭。
信息安全的定义
*
信息安全基本目标
保密性， 完整性， 可用性
C
I
A
onfidentiality
ntegrity
vailability
CIA
*
信息生命周期
创建
传递
销毁
存 储
使用
更改
*
信息产业发展迅猛
截至2008年7月，我国固定电话已达到3.55亿户，移动电话用户数达到6.08亿。 截至2008年6月，我国网民数量达到了2.53亿，成为世界上网民最多的国家，与去年同期相比，中国网民人数增加了9100万人，同比增长达到56.2%。 手机上网成为用户上网的重要途径，网民中的28.9%在过去半年曾经使用过手机上网，手机网民规模达到7305万人。 2007年电子商务交易总额已超过2万亿元。 目前，全国网站总数达192万，中文网页已达84.7亿页，个人博客/个人空间的网民比例达到42.3%。 目前，县级以上96%的政府机构都建立了网站，电子政务正以改善公共服务为重点，在教育、医疗、住房等方面，提供便捷的基本公共服务。
广义上讲 领域—— 涉及到信息的保密性，完整性，可用性，真实性，可控性的相关技术和理论。 本质上 保护—— 系统的硬件，软件，数据 防止—— 系统和数据遭受破坏，更改，泄露 保证—— 系统连续可靠正常地运行，服务不中断 两个层面 技术层面—— 防止外部用户的非法入侵 管理层面—— 内部员工的教育和管理
*
1
2
3
什么是信息安全？
怎样搞好信息安全？
主要内容
信息安全的基本概念
*
授之以鱼
不如授之以渔
——产品
——技术
更不如激之其欲
——意识
那我们就可以在谈笑间，让风险灰飞烟灭。
信息安全的原理和技术应用
信息安全的原理和技术应用1. 信息安全的重要性•保护个人隐私和机密信息•防止数据泄露和盗用•防止网络攻击和恶意软件•维持商业机密和竞争优势•符合法律和监管要求2. 信息安全的基本原理2.1 机密性•加密通信和数据存储•身份验证和访问控制•安全传输协议2.2 完整性•整体性校验和数据完整性验证•数字签名和消息认证码•授权和访问控制2.3 可用性•容灾备份和恢复策略•高可用性架构和负载均衡•数据冗余和错误纠正2.4 可追溯性•审计日志和事件记录•数字水印技术•监测和报警系统3. 信息安全的技术应用3.1 数据加密•对称加密算法•非对称加密算法•哈希函数和消息摘要算法•数字证书和公钥基础设施3.2 访问控制和身份验证•用户名和密码验证•多因素身份验证•生物特征识别技术•访问控制列表和权限管理3.3 防火墙和网络安全•网络防火墙和入侵检测系统•虚拟专用网络和加密隧道•网络流量分析和威胁检测•安全策略和访问控制3.4 恶意软件防护•杀毒软件和防病毒技术•恶意软件扫描和清除•行为监测和异常检测•安全补丁和漏洞修复3.5 审计和监控•安全日志和审计跟踪•安全信息和事件管理•用户行为分析和异常检测•实时监控和报警系统4. 信息安全的挑战和未来发展•不断增长的网络攻击和威胁•人工智能和大数据的应用•量子计算对加密算法的挑战•区块链技术的应用•政府和企业对信息安全的重视5. 结论信息安全是当今社会和企业不可忽视的重要问题。
了解信息安全的基本原理和常用技术对于保护个人隐私、企业数据和国家安全至关重要。
随着技术的不断发展，信息安全的挑战也在不断增加，未来需要不断改进和创新，以更好地保护信息和应对新的威胁。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
5
电子工业出版社，《信息安全原理与应用》，2010.1 ©版权所有,引用请注明出处
数字世界中的信息安全
▪ 复制后的文件跟原始文件没有差别 ▪ 对原始文件的修改可以不留下痕迹 ▪ 无法象传统方式一样在文件上直接签名或盖章 ▪ 不能用传统的铅封来防止文件在传送中被非法阅
读或篡改 ▪ 难以用类似于传统的保险柜来防止文件在保管中
什么是信息安全(Security)？
▪ 广义地说，信息就是消息。 ▪ 信息可以被交流、存储和使用。 ▪ Security is “the quality or state of
being secure--to be free from danger” ▪ 采取保护，防止来自攻击者的有意或无意
的破坏。
被盗窃、毁坏、非法阅读或篡改 ▪ 信息社会更加依赖于信息，信息的泄密、毁坏所
产生的后果更严重 ▪ 信息安全无法完全依靠物理手段和行政管理
6
电子工业出版社，《信息安全原理与应用》，2010.1 ©版权所有,引用请注明出处
信息安全含义的历史变化
通信保密（COMSEC）：60-70年代
信息保密
信息安全（INFOSEC）：80-90年代
▪ 网络安全： ➢ 防火墙技术、网络攻防与入侵检测
▪ 系统安全： ➢ 访问控制、操作系统的安全、病毒
▪ ……
2
电子工业出版社，《信息安全原理与应用》，2010安全? ▪ 信息为什么不安全？ ▪ 安全服务与网络安全模型 ▪ 信息安全的标准化机构
3
电子工业出版社，《信息安全原理与应用》，2010.1 ©版权所有,引用请注明出处
▪ 动态的攻击 ▪ 动态的系统 ▪ 动态的组织 ▪ 发展的技术 ▪ ……
17
电子工业出版社，《信息安全原理与应用》，2010.1 ©版权所有,引用请注明出处
P2DR安全模型
策略：是模型的核心，具体的实施过程中，策 略意味着网络安全要达到的目标。
防护：安全规章、安全配置、安全措施 检测：异常监视、模式发现 响应：报告、记录、反应、恢复
P2DR安全模型
以安全策略为核心
• ISS（Internet Security Systems InC.)提出 12
电子工业出版社，《信息安全原理与应用》，2010.1 ©版权所有,引用请注明出处
CC定义的安全概念模型
13
电子工业出版社，《信息安全原理与应用》，2010.1 ©版权所有,引用请注明出处
信息保障
Information Assurance 保护（Protect） 检测（Detect） 反应（React） 恢复（Restore）
保护 Protect
反应 React
检测 Detect
恢复 Restore
11
电子工业出版社，《信息安全原理与应用》，2010.1 ©版权所有,引用请注明出处
4
电子工业出版社，《信息安全原理与应用》，2010.1 ©版权所有,引用请注明出处
传统方式下的信息安全
▪ 复制品与原件存在不同 ▪ 对原始文件的修改总是会留下痕迹 ▪ 模仿的签名与原始的签名有差异 ▪ 用铅封来防止文件在传送中被非法阅读或篡改 ▪ 用保险柜来防止文件在保管中被盗窃、毁坏、非
法阅读或篡改 ▪ 用签名或者图章来表明文件的真实性和有效性 ▪ 信息安全依赖于物理手段与行政管理
8
电子工业出版社，《信息安全原理与应用》，2010.1 ©版权所有,引用请注明出处
信息安全的含义
(80-90年代)
▪ 信息安全的三个基本方面
➢ 保密性 Confidentiality 即保证信息为授权者享用而不泄漏给未经授权者。
➢ 完整性 Integrity 数据完整性，未被未授权篡改或者损坏 系统完整性，系统未被非授权操纵，按既定的功能 运行
➢ 可用性 Availability 即保证信息和信息系统随时为授权者提供服务，而不要
出现非授权者滥用却对授权者拒绝服务的情况。
9
电子工业出版社，《信息安全原理与应用》，2010.1 ©版权所有,引用请注明出处
▪ 信息安全的其他方面
➢ 不可否认性Non-repudiation ： 要求无论发送方还是接收方都不能抵赖所进行的传 输
信息安全原理与应用
第一章 绪论
本章由王昭主写
1
电子工业出版社，《信息安全原理与应用》，2010.1 ©版权所有,引用请注明出处
内容体系
▪ 密码学基础： ➢ 对称密码 (古典密码、现代对称分组密码、流密 码）、非对称分组密码、散列算法（Hash)、数字 签名、密码技术
▪ 密码学应用： ➢ 电子邮件的安全、身份鉴别、SSL/TLS
机密性、完整性、可用性、不可否认性 等
信息保障（IA）：90年代-
7
电子工业出版社，《信息安全原理与应用》，2010.1 ©版权所有,引用请注明出处
▪ 基本的通讯模型
发方
收方
▪ 通信的保密模型 通信安全-60年代（COMSEC）
信源编码 信道编码 信道传输 通信协议
发方
敌人
收方
信源编码 信道编码 信道传输 通信协议 密码
对抗模型
14
电子工业出版社，《信息安全原理与应用》，2010.1 ©版权所有,引用请注明出处
动态模型/风险模型
15
电子工业出版社，《信息安全原理与应用》，2010.1 ©版权所有,引用请注明出处
效益安全模型
16
电子工业出版社，《信息安全原理与应用》，2010.1 ©版权所有,引用请注明出处
动态模型的需求
18
电子工业出版社，《信息安全原理与应用》，2010.1 ©版权所有,引用请注明出处
安全——及时的检测和处理
Pt > Dt + Rt
Pt，保护时间；Dt，检测时间；Rt，响应时间 动态模型 基于时间的模型
➢ 可以量化 ➢ 可以计算
19
电子工业出版社，《信息安全原理与应用》，2010.1 ©版权所有,引用请注明出处
➢ 鉴别Authentication 鉴别就是确认实体是它所声明的。适用于用户、进程、
系统、信息等 ➢ 审计Accountability
确保实体的活动可被跟踪 ➢ 可靠性Reliability
特定行为和结果的一致性
10
电子工业出版社，《信息安全原理与应用》，2010.1 ©版权所有,引用请注明出处
安全的层面
▪ 实际上，一个组织要实现安全的目标，还需要在 实体、运行、数据、管理等多个层面实现安全。
电子工业出版社，《信息安全原理与应用》，2010.1 ©版权所有,引用请注明出处
数字世界中的信息安全
▪ 复制后的文件跟原始文件没有差别 ▪ 对原始文件的修改可以不留下痕迹 ▪ 无法象传统方式一样在文件上直接签名或盖章 ▪ 不能用传统的铅封来防止文件在传送中被非法阅
读或篡改 ▪ 难以用类似于传统的保险柜来防止文件在保管中
什么是信息安全(Security)？
▪ 广义地说，信息就是消息。 ▪ 信息可以被交流、存储和使用。 ▪ Security is “the quality or state of
being secure--to be free from danger” ▪ 采取保护，防止来自攻击者的有意或无意
的破坏。
被盗窃、毁坏、非法阅读或篡改 ▪ 信息社会更加依赖于信息，信息的泄密、毁坏所
产生的后果更严重 ▪ 信息安全无法完全依靠物理手段和行政管理
6
电子工业出版社，《信息安全原理与应用》，2010.1 ©版权所有,引用请注明出处
信息安全含义的历史变化
通信保密（COMSEC）：60-70年代
信息保密
信息安全（INFOSEC）：80-90年代
▪ 网络安全： ➢ 防火墙技术、网络攻防与入侵检测
▪ 系统安全： ➢ 访问控制、操作系统的安全、病毒
▪ ……
2
电子工业出版社，《信息安全原理与应用》，2010安全? ▪ 信息为什么不安全？ ▪ 安全服务与网络安全模型 ▪ 信息安全的标准化机构
3
电子工业出版社，《信息安全原理与应用》，2010.1 ©版权所有,引用请注明出处
▪ 动态的攻击 ▪ 动态的系统 ▪ 动态的组织 ▪ 发展的技术 ▪ ……
17
电子工业出版社，《信息安全原理与应用》，2010.1 ©版权所有,引用请注明出处
P2DR安全模型
策略：是模型的核心，具体的实施过程中，策 略意味着网络安全要达到的目标。
防护：安全规章、安全配置、安全措施 检测：异常监视、模式发现 响应：报告、记录、反应、恢复
P2DR安全模型
以安全策略为核心
• ISS（Internet Security Systems InC.)提出 12
电子工业出版社，《信息安全原理与应用》，2010.1 ©版权所有,引用请注明出处
CC定义的安全概念模型
13
电子工业出版社，《信息安全原理与应用》，2010.1 ©版权所有,引用请注明出处
信息保障
Information Assurance 保护（Protect） 检测（Detect） 反应（React） 恢复（Restore）
保护 Protect
反应 React
检测 Detect
恢复 Restore
11
电子工业出版社，《信息安全原理与应用》，2010.1 ©版权所有,引用请注明出处
4
电子工业出版社，《信息安全原理与应用》，2010.1 ©版权所有,引用请注明出处
传统方式下的信息安全
▪ 复制品与原件存在不同 ▪ 对原始文件的修改总是会留下痕迹 ▪ 模仿的签名与原始的签名有差异 ▪ 用铅封来防止文件在传送中被非法阅读或篡改 ▪ 用保险柜来防止文件在保管中被盗窃、毁坏、非
法阅读或篡改 ▪ 用签名或者图章来表明文件的真实性和有效性 ▪ 信息安全依赖于物理手段与行政管理
8
电子工业出版社，《信息安全原理与应用》，2010.1 ©版权所有,引用请注明出处
信息安全的含义
(80-90年代)
▪ 信息安全的三个基本方面
➢ 保密性 Confidentiality 即保证信息为授权者享用而不泄漏给未经授权者。
➢ 完整性 Integrity 数据完整性，未被未授权篡改或者损坏 系统完整性，系统未被非授权操纵，按既定的功能 运行
➢ 可用性 Availability 即保证信息和信息系统随时为授权者提供服务，而不要
出现非授权者滥用却对授权者拒绝服务的情况。
9
电子工业出版社，《信息安全原理与应用》，2010.1 ©版权所有,引用请注明出处
▪ 信息安全的其他方面
➢ 不可否认性Non-repudiation ： 要求无论发送方还是接收方都不能抵赖所进行的传 输
信息安全原理与应用
第一章 绪论
本章由王昭主写
1
电子工业出版社，《信息安全原理与应用》，2010.1 ©版权所有,引用请注明出处
内容体系
▪ 密码学基础： ➢ 对称密码 (古典密码、现代对称分组密码、流密 码）、非对称分组密码、散列算法（Hash)、数字 签名、密码技术
▪ 密码学应用： ➢ 电子邮件的安全、身份鉴别、SSL/TLS
机密性、完整性、可用性、不可否认性 等
信息保障（IA）：90年代-
7
电子工业出版社，《信息安全原理与应用》，2010.1 ©版权所有,引用请注明出处
▪ 基本的通讯模型
发方
收方
▪ 通信的保密模型 通信安全-60年代（COMSEC）
信源编码 信道编码 信道传输 通信协议
发方
敌人
收方
信源编码 信道编码 信道传输 通信协议 密码
对抗模型
14
电子工业出版社，《信息安全原理与应用》，2010.1 ©版权所有,引用请注明出处
动态模型/风险模型
15
电子工业出版社，《信息安全原理与应用》，2010.1 ©版权所有,引用请注明出处
效益安全模型
16
电子工业出版社，《信息安全原理与应用》，2010.1 ©版权所有,引用请注明出处
动态模型的需求
18
电子工业出版社，《信息安全原理与应用》，2010.1 ©版权所有,引用请注明出处
安全——及时的检测和处理
Pt > Dt + Rt
Pt，保护时间；Dt，检测时间；Rt，响应时间 动态模型 基于时间的模型
➢ 可以量化 ➢ 可以计算
19
电子工业出版社，《信息安全原理与应用》，2010.1 ©版权所有,引用请注明出处
➢ 鉴别Authentication 鉴别就是确认实体是它所声明的。适用于用户、进程、
系统、信息等 ➢ 审计Accountability
确保实体的活动可被跟踪 ➢ 可靠性Reliability
特定行为和结果的一致性
10
电子工业出版社，《信息安全原理与应用》，2010.1 ©版权所有,引用请注明出处
安全的层面
▪ 实际上，一个组织要实现安全的目标，还需要在 实体、运行、数据、管理等多个层面实现安全。