中企航CISP培训笔记(3)
CISP培训笔记
CISP培训笔记信息安全保障1、中办27号⽂《国家信息化领导⼩组关于加强信息安全保障⼯作的意见》室信息安全保障⼯作的纲领性⽂件2、信息的安全属性CIA：保密性、完整性、可⽤性3、信息安全的范畴：信息技术问题、组织管理问题，社会问题，国家安全问题4、信息安全特征：系统性、动态性，⽆边界性、⾮传统性（最终保障业务的安全）5、信息安全问题根源：（信息战⼠和⽹络战⼠是最严重的）内因，过程复杂、结构复杂、应⽤复杂外因，⼈（个⼈威胁、组织威胁、国家威胁）和⾃然6、信息安全发展阶段通信安全COMSEC，信息窃取，加密，保证保密性、完整性计算机安全COMPUSEC，操作系统技术信息系统安全INFOSEC，防⽕墙、VPN 、PKI公钥基础设施、信息安全保障IA，技术、管理、⼈员培训等⽹络空间安全/信息安全保障CS/IA，防御、攻击、利⽤，强调威慑7、传统信息安全的重点是保护和防御；信息安全保障是保护、检测和响应，攻击后的修复8、信息安全保障模型PDR 防护--检测--响应，安防措施是基于时间的，给出攻防时间表，假设了隐患和措施，不适应变化，时间PPDR 策略--防护--检测--响应，突出控制和对抗，强调系统安全的动态性9、信息安全保障技术框架IATF，深度防御的思想，层次化保护，⼈、技术、操作，关注4个领域：本地的计算机环境区域边界⽹络和基础设施⽀撑性技术设施10、信息系统：每⼀个资质中信息流动的总和，含输⼊输出、存储、控制、处理等。
11、信息系统安全保障，从技术、管理、⼯程、⼈员⽅⾯提出保障要求12、信息系统安全保障模型 GB/T 20274保障要素4：技术、管理、⼯程、⼈员⽣命周期5：规划组织、开发采购、实施交付、运⾏维护、废弃安全特征3：保密性、完整性、可⽤性13、信息系统安全保障⼯作阶段确保信息安全需求、设计并实施信息安全⽅案、信息安全测评、检测与维护信息安全14、我国信息安全保障体系建⽴信息安全技术体系，实现国家信息化发展的⾃主可控信息安全保障实践1、现状美国CNNI《国家⽹络安全综合倡议》，3道防线1、减少漏洞和隐患，预防⼊侵2、全⾯应对各类威胁，增强反应能⼒，加强供应链安全低于各种威胁3、强化未来安全环境，增强研究、开发和教育，投资先进技术2、我国的信息安全保障战略规划，信息安全分：基础信息⽹络安全、重要信息系统安全和信息内容安全3、信息安全保障⼯作⽅法，信息系统保护轮廓ISPP（所有者⾓度考虑安保需求），信息系统安全⽬标ISST，从建设⽅制定保障⽅案4、确定信息系统安全保障的具体需求：法规符合性、风险评估、业务需求（只放前2个也对）5、信息安全测评对象：信息产品安全测评、信息系统安全测评、服务商资质、信息安全⼈员资质测评6、信息系统安全测评标准过程测评标准： GB/T 20274产品安全测评标准：CC GB/T 18336信息安全管理体系ISMS1、ISMS信息安全管理体系，按照ISO 27001定义，基于业务风险的⽅法2、信息安全管理体系建设规划与建⽴、实施和运⾏、监视和评审、保持和改进3、ISMS的层次化⽂档结构⼀级⽂件，顶层⽂件，⽅针、⼿册⼆级⽂件，信息安全管控程序、管理规定性⽂件，管理制度、程序、策略⽂件三级⽂件，操作指南、作业指导书、操作规范、实施标准等四级⽂件，各种记录表单，计划、表格、报告、⽇志⽂件等4、ISMS⽅法：风险管理⽅法、过程⽅法5、风险管理⽅法风险评估是信息安全管理的基础，风险处理时信息安全管理的核⼼，风险管理是信息安全管理的根本⽅法，控制措施是风险管控的具体⼿段6、控制措施的类别从⼿段来看，分为技术性、管理性、物理性、法律性等控制措施从功能来看，分为预防性、检测性、纠正性、威慑性等控制措施从影响范围来看，常被分为安全⽅针、信息安全组织、资产管理、⼈⼒资源安全、物理和环境安全、通信和操作管理、访问控制、信息系统获取开发和维护、信息安全事件管理、业务连续性管理和符合性11个类别/域7、PDCA循环，戴明环特点：按顺序进⾏，组织每部分及个体也可使⽤，适⽤任何活动8、ISO/IEC 27000标准族共7个27001 信息安全管理体系要求，14个领域，新版的变动27002 信息安全控制措施实⽤规则，11个控制类，内容安全和风险评估不属于27004 信息安全管理测量，度量指标9、常见的管理体系标准ISO 27001定义的信息安全管理系统ISMS , 国际标准信息安全等级保护，公安部提出NIST SP800 ，适⽤美国联邦政府和组织10、管理者是实施ISMS的最关键因素11、ISMS建设P阶段 8步：确⽴边界和⽅针1-2、风险评估3-6、获得⾼层认可，编制适⽤性声明7-8D阶段 7步：制定风险处理计划，实施培训和教育计划C阶段 5步：审计和检查A阶段 2步：实施纠正和预防，沟通和改进信息安全控制措施1、安全⽅针是陈述管理者的管理意图，⾼层承诺，是⼀级⽂件，具体的产品选型，技术实现问题不在⽅针中体现2、信息安全组织：内部组织、外部各⽅3、资产管理：资产负责和信息分类，信息分类按照信息的价值、法律要求、对组织的敏感程度进⾏分类4、员⼯只要违反了规定，不论是否知悉，就要接受处罚5、符合性符合法律要求、符合安全策略和标准及技术符合性、信息系统审核考虑6、任⽤的终⽌：终⽌职责、资产的归还、撤销访问权7、⼈⾝安全是物理安全⾸要考虑的问题8、TEMPEST 抑制和防⽌电磁泄露9、机房建设，下送风，上排风10、备份是为了保证完整性和可⽤性11、电⼦商务服务，抗抵赖12、⽇志，管路员读权限；系统员，写权限13、信息安全管理⼿册是⼀级⽂件，SOA适⽤性声明是⼀级⽂件，信息安全策略是⼀级⽂件，不描述具体操作的都是⼆级⽂件14、⽹闸，多功能安全⽹关，实现⽹络物理隔离15、测试数据不需备份；⽣产数据不能做测试，脱敏处理才可以；测试完成后对平台和数据彻底清除16、程序源代码需访问控制，不得随意更改17、不⿎励对商⽤软件包进⾏变更，除⾮获得⼚⽅的合法⽀持；不包括开源，外包软件开发：源代码托管，第三⽅管理，不得使⽤，为了防⽌开发⽅倒闭信息安全标准化1、国际标准、国家标准、⾏业标准、地⽅标准2、标准化特点：对象是共同的、可重复的实物；动态性；相对性；效益来⾃标准使⽤3、标准化原则：简化原则、统⼀化、通⽤化、系列化4、国家标准代码，GB/Z在实施后3年内必须进⾏复审，结果为延长3年或废⽌GB 强制性国家标准GB/T 推荐性国家标准GB/Z 国家标准化指导性技术⽂件5、ISO的机构包括TC技术委员会、SC分技术委员会、WG⼯作组、特别⼯作组6、IEC 国际电⼯委员会，和ISO成⽴JCT1联合技术委员会7、ISO/IEC JCT1 SC27（分技术委员会），下设5个⼯作组，对⼝中国TC260（CISTC，信息安全标准化TC）。
CISP知识点范文
CISP知识点范文CISP（Certified Information Security Professional）是国际上最具权威性和广泛性的信息安全管理认证机构之一、通过CISP认证，标志着持有者具备了信息安全领域的专业知识和技能，能够有效地管理和防范信息安全风险。
下面将从CISP认证的背景、知识点以及认证的价值等方面进行详细介绍。
一、CISP认证的背景随着信息技术的高速发展，信息安全越来越受到人们的关注。
各类安全威胁和攻击也变得日益复杂和隐蔽。
为了提高企业和组织的信息安全能力，减少信息泄露和数据丢失的风险，促进信息安全管理的标准化和规范化，CISP认证应运而生。
二、CISP认证的知识点CISP认证主要包括以下知识点：1.信息系统安全管理概念和原则：介绍信息安全管理的基本概念，包括安全架构、策略和风险管理等。
理解信息风险的评估和管理，掌握保密性、完整性和可用性等信息安全的核心原则。
3.信息安全风险管理：掌握风险管理的概念和方法，包括定性和定量的风险评估，制定风险处理策略和计划，了解风险管理工具和技术。
4.信息安全控制措施：学习各类信息安全控制措施的原理和应用，包括物理安全、逻辑安全、访问控制和身份认证等。
熟悉常见的安全技术和安全产品，了解加密和解密的原理以及应用。
5.业务连续性和灾难恢复：理解业务连续性和灾难恢复的概念，学习制定业务连续性和灾难恢复计划的方法和步骤，了解常见的灾难恢复技术和措施。
6.法律、合规和财务方面的安全要求：了解信息安全与法律、合规和财务方面的关联，掌握相关法律法规和合规要求，了解信息安全对财务管理的影响。
7.信息安全教育和培训：学习信息安全教育和培训的原则和方法，了解如何设计和实施企业内部的安全培训和意识提升活动。
三、CISP认证的价值1.证明专业知识和技能：持有CISP认证可以证明个人在信息安全领域具备专业的知识和技能，对企业和组织的信息安全管理具有实际价值。
2.提升职业竞争力：CISP认证是信息安全领域的国际认可标准，可以为个人的职业发展提供有力的支持和保障，提升在职场上的竞争力。
CISP课程培训知识总结
电力中断等
认可
网络安全空间/信 息安全保障
2009年开始
国家安全的高度
网络防御 网络攻击 网络利用
第六页，共215页。
信息平安保证(bǎozhèng)定义
信息系统平安保证是在信息系统的整个生命周期 定并执行相应的平安保证战略，从技术、管理、工 确保(quèbǎo)信息系统的保密性、完整性和可用性， 而保证系统完成组织机构的使命。
第九页，共215页。
IATF框架(kuànɡ jià)
成功的组织功能
信息安全保障（IA）
深度防御战略
操作
人
人
技术 通过 技术
进行 操作
计算环境 区域边界
网络 基础设施
支撑性基础设施 密钥管理 检测响应
第十页，共215页。
主题
一、信息平安(píng ān)保证基本知识 二、信息平安(píng ān)保证明际 三、信息平安(píng ān)管理体系 四、信息平安(píng ān)风险管理 五、基本信息平安(píng ān)管理 六、重要信息平安(píng ān)管理措施 七、平安(píng ān)工程原理 八、平安(píng ān)工程实践 九、法律法规 十、平安(píng ān)规范
31 第三十一页，共215页。
27002：«信息(xìnxī)平安管理适用
• 即17799，2005年6月15日发布第二版； • 包括有11个平安类别、39个控制(kòngzhì)目的、13 • 实施27001的支撑规范，给出了组织树立ISMS时应选
(kòngzhì)措施集； • 是一个行业最正确惯例的汇总集，而不是一个认证
30 第三十页，共215页。
27001：«信息平安(píng ān)管理体
CISP培训模拟题(3)答案
CISP模拟练习题（3）一、模型和保障体系●信息安全保障体系●信息安全模型●信息安全测评认证1、以下哪些模型可以用来保护分级信息的##性？A Biba模型和Bell－Lapadula模型；B Bell－Lapadula模型和信息流模型；C Bell－Lapadula模型和Clark－Wilson模型；D Clark－Wilson模型和信息流模型答案：B参考：《理论和技术》P41-56多级安全模型：Bell－Lapadula模型（##性），Clark－Wilson模型（完整性），Biba 模型（完整性）多边安全模型：Chinese Wall模型，BMA模型##性模型：1、信息流模型（非干扰性，非观察性）；2、访问控制模型：MAC强制（BLP，Chinese Wall），DAC自主，RBAC基于角色的访问控制完整性模型：Clark－Wilson模型，Biba模型2、在以下哪种安全模型中，系统的访问至少在最高层是安全的？A 多级安全模型；B Dedicated安全模型；C partmented安全模型；D 受控模型答案：C3、给计算机系统的资产分配的记号被称为什么？A安全属性；B安全特征；C安全标记；D 安全级别答案：C 参考：《标准和法规》P85，安全标签，敏感性标签，敏感性标记4、BMA模型是基于?A.B.C.D.答案：5、在参考监视器概念中，一个参考监视器不需要符合以下哪个设计要求？A 必须是TAMPERPROOFB 必须足够大C 必须足够小D 必须总在其中答案：B参考：《标准和法规》P86CC（15408-3）A reference monitor is an abstract machine that enforces the access control policies of a TOE. A reference validation mechanism is an implementation of the reference monitor concept that possesses the following properties: tamperproof, always invoked, and simple enough to be subjected to thorough analysis and testing. The TSF may consist of a reference validation mechanism and/or other security functions necessary for the operation of the TOE.二、标准和法律法规●信息安全标准●信息安全法律法规6、ITSEC标准不包括以下哪方面内容？A 功能要求；B 通用框架要求；C 保证要求；D 特定系统的安全要求答案：B参考：《标准和法规》P166，D是指“安全目标”7、CTCPEC标准中，安全功能要求包括以下哪方面内容？A ##性要求；B 完整性要求；C 保证要求；D 可用性要求；E 可控性要求答案：A、B、D、E参考：《标准和法规》P1668、“保护轮廓”最早出现于哪一个标准？A 国际标准ISO/IEC 15408；B 美国FC标准；C 可信计算机系统评估准则TCSEC；D 信息技术安全性评估准则ITSECE 通用评估准则CC2.0答案：B参考：《标准和法规》P1669、桔皮书主要强调了信息的哪个属性？A完整性B##性C可用性D有效性答案：B10、ITSEC的功能要求不包括以下哪方面内容？A##性B完整性C可用性D有效性答案：D11、我国标准分为几级？A.3级B.4级C.5级D.6级答案：B 参考：《标准和法规》P30：国家标准，行业标准，地方标准，企业标准12、下面哪一个是国家推荐性标准？A.GB/T 18020-1999 应用级防火墙安全技术要求B.SJ/T 30003-93 电子计算机机房施工及验收规XC.GA 243-2000 计算机病毒防治产品评级准则D.ISO/IEC 15408-1999 信息技术安全性评估准则答案：A13、标准采用中的“idt”指的是？A 等效采用B 等同采用C 修改采用D 非等效采用答案：B参考：《标准和法规》P19：i d t等同，M O D修改，N E Q非等效14、著名的TCSEC是由下面哪个组织制定的？AISOBIECCITSECD 美国国防部答案：D15、TCP/IP协议的4层概念模型是？A. 应用层、传输层、网络层和网络接口层B. 应用层、传输层、网络层和物理层C. 应用层、数据链路层、网络层和网络接口层D. 会话层、数据链路层、网络层和网络接口层答案：A参考：《理论和技术》P75，《标准和法规》P4016、CC标准主要包括哪几个部分？A. 简介和一般模型、安全功能要求、安全保证要求、PP和ST产生指南；B. 简介和一般模型、安全功能要求、安全保证要求C. 通用评估方法、安全功能要求、安全保证要求D. 简介和一般模型、安全要求、PP和ST产生指南答案：B17、CC中安全功能/保证要求的三层结构是（按照由大到小的顺序）？A. 类、子类、元素B. 组件、子类、元素C. 类、子类、组件D. 子类、组件、元素答案：C18、CC中的评估保证级（EAL）分为多少级？A.6级B.7级C.5级D.4级答案：B19、CC中的评估保证级4级（EAL4）对应TCSEC和ITSEC的哪个级别？A. 对应TCSEC B1级，对应ITSEC E4级B. 对应TCSEC C2级，对应ITSEC E4级C. 对应TCSEC B1级，对应ITSEC E3级D. 对应TCSEC C2级，对应ITSEC E3级答案：C参考：《标准和法规》P167，P186：注意规律，先对应I T S E CE A L2：C1；E1E A L3：C2；E2E A L4：B1；E3E A L5：B2；E4E A L6：B3；E5E A L7：A1；E620、PP中的安全需求不包括下面哪一个？（安全环境）A. 有关环境的假设B. 对资产的威胁C. 组织安全策略D.IT保证安全要求答案：D21、中国信息安全产品测评认证中心的四项业务是什么？A. 产品测评认证；B. 信息系统安全测评认证；C.信息系统安全服务资质认证；D. 注册信息安全专业人员资质认证答案：ABCD22、信息技术安全标准化组织有哪些？A. ISO/IECB. ITU答案：AB参考：《标准和法规》P7 ，P8，P16国际标准化组织：ISO（国际标准化组织）和IEC（国际电工委员会）ISO－International Organization for Standardization（成立于1947年）IEC－International Electricity mitteeISO/IEC JTC1：负责信息技术领域的国际标准的制定ISO/IEC JTC1/SC27：专门从事通用信息技术安全技术和安全机制的标准的制定ISO/IEC JTC1/SC6，SC17，SC18，SC21，SC22，SC30等6个分技术委员会：分别承担一部分信息技术安全标准的制定ISO/TC68：负责行业应用信息安全标准的制定ITU-T国际电信联盟的电信标准化部门，单独或与ISO/IEC联合制定标准其他：ISO/TC 176：质量管理和质量保证技术委员会制定了ISO 9000族标准23、我国的推荐性国家标准的写法是什么？A. GB/TB.C.D.答案：A24、我国的强制性国家标准的写法？A. GBB.C.D.答案：A25、CC 2.0对应的国际标准是什么？A. ISO/IEC 15408-1999B.C.D.答案：A26、CC 2.0对应的国家标准是什么？A.GB/T 18336-2001B.C.D.答案：A27、关于PP，哪一个论述是正确的？A. 是针对一类产品或系统，为既定的一系列安全对象提出功能和保证要求的完备集合，可复用集合，是对各种应用的抽象。
CISP培训鉴别与访问控制培训
CISP培训鉴别与访问控制培训CISP（Certified Information Security Professional）培训是针对信息安全专业人员的培训课程，旨在提高他们的鉴别与访问控制能力。
本文将介绍CISP培训的重要性、培训内容以及培训后能够提供的实际价值。
信息安全是当今社会不可忽视的重要领域，每个组织和个人都面临着各种各样的安全威胁。
鉴别与访问控制是信息安全的基础，它们涉及到确定用户身份、授权访问和验证用户权限等重要任务。
因此，为了保护机构的信息资产免受未经授权的访问和滥用，培训专业人员成为合格的CISP变得至关重要。
CISP培训内容广泛且实用，包括但不限于以下方面：1. 鉴别技术：CISP培训将覆盖各种鉴别技术，如身份识别、密码验证、生物识别等。
培训将介绍各种鉴别技术的原理、应用场景和最佳实践，以帮助学员了解不同技术的优缺点，并在实际环境中正确应用它们。
2. 访问控制模型：培训将介绍不同的访问控制模型，如基于角色的访问控制（RBAC）、强制访问控制（MAC）和可选访问控制（DAC）等，以帮助学员了解不同模型的功能和适用性。
此外，培训还将强调访问控制策略设计和实施的重要性。
3. 认证和授权：培训将介绍认证和授权的概念、原理和实践。
学员将学习如何设计和实施一个有效的认证和授权机制，并掌握不同的身份验证和授权技术。
4. 安全策略和流程：培训还将介绍如何制定和实施信息安全策略和流程。
学员将学习如何评估组织的安全需求，制定适当的安全策略，并建立一套有效的安全流程来确保信息资产的安全性。
CISP培训的受益者不仅局限于信息安全从业人员，也包括企业管理层和技术人员。
培训后，学员将具备以下能力：1. 提高信息安全意识：CISP培训将帮助学员了解不同类型的安全威胁和风险，并提供相应的应对策略。
这将帮助他们更好地了解和应对信息安全挑战。
2. 加强鉴别与访问控制技能：培训将提供实际操作和案例研究，让学员能够有效地应用所学的技能于实际工作中。
CISP笔记
Cisp笔记一、信息安全标准●我国标准分为：国家标准、行业标准、地方标准、企业标准。
●国际通行“标准化七原理”➢原理1---简化➢原理2---协商一致➢原理3---实践、运用➢原理4---选择、固定➢原理5---修订➢原理6---技术要求+试验方法+抽样➢原理7---强制性适应于：安全、健康、环保等●我国通行“标准化八字原理”➢“统一”原理➢“简化”原理➢“协调”原理➢“最优”化原理●IETF（170多个RFC、12个工作组）●关键的概念：➢评估对象—— TOE(Target of Evaluation)➢保护轮廓——PP (Protection Profile）➢安全目标——ST( Security Target）➢功能(Function)➢保证(Assurance)➢组件(Component)➢包(Package)➢评估保证级——EAL( Evaluation Assurance Level）●评估保证级➢EAL1—功能测试➢EAL2—结构测试➢EAL3—系统地测试和检查➢EAL4—系统地设计、测试和复查➢EAL5—半形式化设计和测试（无隐蔽通道）➢EAL6—半形式化验证的设计和测试➢EAL7—形式化验证的设计和测试二、物理安全1、机房等级：➢A类：对计算机机房的安全有严格的要求，有完善的计算机机房安全措施。
该类机房放置需要最高安全性和可靠性的系统和设备。
➢B类：对计算机机房的安全有较严格的要求，有较完善的计算机机房安全措施。
它的安全性介于A类和C类之间。
➢C类：对计算机机房的安全有基本的要求，有基本的计算机机房安全措施。
该类机房存放只需要最低限度的安全性和可靠性的一般性系统。
2、机房地板类型➢复合地板（机房采用）➢木制地板➢金属底板3、人员安全管理➢背景调查➢入职审查及面试➢离职前谈话三、windows安全1、Windows系统的安全架构（6个安全要素）➢Audit（审计）➢Administration（管理）➢Encryption（加密）➢Access Control（访问控制）➢User Authentication（用户认证）➢Corporate Security Policy（公共安全策略）2、Windows系统的安全组件➢访问控制的判断（Discretion access control）按照C2级别的定义，Windows 支持对象的访问控制的判断。
CISP0303基本管理措施
项目验收与交接
01
在项目结束阶段，需要对项目成果进行验收，并将项
目成果移交给相关方。
项目总结与回顾
02 对项目执行过程中的经验教训进行总结，并对项目团
队进行表彰和奖励。
项目评估与改进
03
对项目执行过程和结果进行全面评估，识别改进点并
制定相应的改进措施。
04
流程管理措施
流程设计
明确流程目标 了解业务需求 制定流程规范 保持流程简洁
这种组织结构形式具有明确的任务和职责分工，决策权集中，能够快速
响应问题和决策。但也可能因为决策权过于集中而缺乏创新和灵活性。
02 03
矩阵式组织结构
这种结构允许多个项目或产品同时进行，能够充分利用资源，提高工作 效率。但是，由于存在多个领导者和任务分配不均等问题，管理难度较 大。
扁平式组织结构
这种组织结构形式减少了管理层级，加快了信息传递速度，提高了决策 效率。但也可能因为管理幅度过大而导致管理者对下属的指导和监督不 足。
风险监控与报告
总结词
监控与报告是风险管理的重要环节，组织需要定期对 风险进行监控和评估，并将结果报告给相关人员，以 确保及时采取应对措施。
详细描述
风险监控与报告是确保组织能够及时发现和处理潜在风 险的必要手段。通过定期对风险进行监控和评估，组织 可以及时发现新的风险或原有风险的变动情况，并采取 相应的应对措施。同时，组织还需要将风险监控和评估 的结果报告给相关人员，包括管理层、执行层和其他关 键人员，以确保他们能够及时了解组织面临的风险情况 ，并做出相应的决策。报告的内容可以包括风险的性质 、影响程度、发生概率以及应对措施等。
04
内部审查与审计
01 02 03 04
CISP应急响应服务的指标和内容培训(65页)
CNCERT/CC 概述
CNCERT/CC 概述
议程
• 应急响应服务背景 • 什么是应急响应 • 应急响应组的组建 • 应急响应服务的过程 • 应急响应服务的形式和内容 • 应急响应服务的指标 • 应急响应预案的编制
应急响应服务的过程
• 应急响应处理生命周期
– 准备 – 检测 – 遏制、根除和恢复 – 事后活动
时的社区义务劳动
应急响应服务背景
• 应急响应服务的诞生—CERT/CC
–1988年Morris蠕虫事件直接导致了在2周后的 CERT/CC的诞生。
–美国国防部(DoD)在卡内基梅隆大学的软件工程研究所成 立了计算机应急响应组协调中心(CERT/CC)以协调 Internet上的安全事件处理。目前，CERT/CC是DoD资 助下的抗毁性网络系统计划(Networked Systems Survivability Program)的一部分，下设三个部门：事件 处理、脆弱性处理、计算机安全应急响应组（CSIRT）。
– 现场备份
– 使用集中的日志并创建日志关联策略。 – 执行事件关联。 – 为经验较少的人员编制诊断矩阵。 – 当应急小组怀疑事故发生时，尽可能快的开始记录所有信息。 – 安全保护事故数据。 – 在组织机构应急响应策略中包含事故汇报相关的内容。
应急响应服务的过程——抑制
• 限制攻击的范围，同时限制了潜在的损 失和破坏。
商业IRT
网络服务提供商 IRT
如：专业安全厂商 如：电信企业
厂商 IRT
企业 /政府 IRT
如：Cisco、IBM
如：中国银行、 公安部
愿意付费的 任何用户
网络接入用户
产品用户
企业部门、用户
国外应急响应组建设情 况
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
中企航C I S P培训笔记(3)信息安全保障基础讲师陈阳怀1基本安全属性CIA1.1保密性1.2完整性1.3有效性2信息安全特征2.1系统的2.2动态的2.3无边界的2.4非传统的3安全范畴3.1信息技术问题3.2组织管理问题3.3社会问题3.4国家安全问题4产生根源4.1内因（三个复杂）：4.1.1结构复杂4.1.2过程复杂4.1.3应用复杂4.2外因两个威胁4.2.1人为威胁：重点是网络部队情报机构4.2.2自然威胁5信息安全发展阶段：5.1COMSEC：通过加密解决搭线窃听5.2COMPUSEC：操作系统访问控制解决身份认证、病毒破坏、非法访问、恶意代码5.3INFOSEC：5.3.1C OMSEC+ COMPUSEC：通过防火墙、防病毒、漏洞扫描、入侵检测、PKI、VPN等，防止网络入侵、病毒破坏、信息对抗5.4IA：人员、技术、管理、工程5.5CS/IA：三位一体，防御、攻击、情报6安全保障发展历史6.1第一次定义：1996年美国国防部DoDD 5-3600.16.2中办发[2003]27号文《关于加强信息安全保障工作的意见》信息安全保障概念和模型1信息安全：数据安全2信息系统安全：数据+计算机+网络安全3信息安全保障：信息系统安全+人+工程+管理4网络空间安全：5信息安全保障三大模型5.1P2DR模型：基于时间的5.1.1策略、防护、检测、响应5.1.2填充时间间隙5.1.3整个生命周期都有防护5.1.3.1如果Pt＞Dt＋Rt，那么S是安全的；5.1.3.2如果Pt＜Dt＋Rt，那么Et＝(Dt＋Rt)－Pt5.1.4策略：访问控制、加密通信、身份认证、备份恢复……5.2IATF深度防御保障模型5.2.1三个要素：人、技术、操作5.2.2四个领域：三保护一支撑5.2.2.1本地计算环境5.2.2.2区域边界5.2.2.3网络和基础设施5.2.2.4支撑性基础设施5.2.2.5UTM统一威胁管理5.3信息系统安全保障模型在信息系统的整个生命周期中，通过四要素，确保三特征，保障系统实现组织机构的使命。
信息安全保障实践1关键基础设施是信息安全保障的最核心内容2三道防线2.1防御2.2应对威胁2.3加强安全环境3中国现状3.12001年启动，2006年落实3.227号文九项内容4具体内容4.1标准化TC260：“信安标委”--全国信息安全标准化技术委员会（2002年）4.2应急处理：CNCERT/CC：计算机应急响应小组4.3信息安全等级保护（5级）4.4信息安全风险评估4.4.12003年成立，2006年成熟4.4.2每年一次4.5灾难恢复2004年9月启动4.6人才队伍建设5信息安全保障工作方法5.1安全保障需求来自法规符合性、业务需求、风险评估5.2ISPP：信息系统保护轮廓（用户提出）5.3ISST：信息系统安全目标（厂商提出）6信息系统建设（略）7信息系统测评7.1产品测评7.1.1依据：CC标准（ISO/IEC 15408 GB/T18336最高标准）7.1.25级，1级低、3级中、5级高（中国最高3级）7.2系统测评（信息安全等级保护：工程、技术、管理）7.2.1依据GB/T202747.2.25级，1级低、3级中、5级高（中国最高3级）7.3工程测评7.3.1依据：SSE-CMM（ISO/IEC21827）7.3.25级，1级低、3级中、5级高（中国最高3级）7.4厂商工程能力测评7.4.1一级：基本执行级7.4.2二级：计划跟踪级7.4.3三级：充分定义级7.4.4四级：量化控制级7.4.5五级：连续改进级7.5中国安全认证特点7.5.1所有IT产品都做测评7.5.2产品越简单越容易实现高级别7.5.3中国安全产品中下级，最高第4级信息安全管理基础和管理体系1信息安全管理：管理者为实现信息安全目标（信息资产的CIA等特性，以及业务运作的持续）而进行的计划、组织、指挥、协调和控制的一系列活动。
2信息管理的对象：人是核心3体系化管理的重要性4信息安全管理体系：ISMS5两种管理体系5.1狭义：依照ISO/IEC27001标准定义的ISMS5.2广义：没有具体标准，只有最终标准6三个作用6.1信息安全管理是组织整体管理的重要、固有组成部分，是组织实现其业务目标的重要保障6.2信息安全管理是信息安全技术的融合剂，保障各项技术措施能够发挥作用6.3信息安全管理能预防、阻止或减少信息安全事件的发生7信息安全体系对内对外的作用8实施信息安全管理的关键成功因素(CSF)8.1反映业务目标8.2与组织文化相一致8.3管理者实质性支持8.4领导的理解8.5人员教育培训8.6足够的资金8.7宣贯安全方针、策略、目标信息安全管理方法和实施1风险管理方法1.1风险评估（基础）1.2风险处理（核心）1.3风险处理处理措施1.3.1手段：技术性、管理性、物理性、法律性1.3.2功能：预防性、检测性、纠正性、威慑性1.42过程方法2.1PDCA戴明环：计划、执行、检查、改进2.1.1按顺序进行2.1.2大环套小环2.1.3提出新目标（螺旋上升）3信息安全管理体系（ISMS）：是PDCA动态持续改进的一个循环体3.1P：规划和建立3.2D：实施和运行3.3C：监视和评审3.4A：保持和改进4ISO/IEC270004.127001：信息安全管理系统要求4.227002：信息安全控制措施、实用规则4.327003：信息安全管理系统实施指南4.427004：信息安全管理测量4.527005：信息安全风险管理5信息安全管理体系ISMS5.1管理职责：切实履行其管理职责5.2文档控制5.2.1层次化的文档5.2.1.1一级方针、手册5.2.1.2四级文档日志、计划、报告、检查记录、表格5.3内部审核和管理评审5.3.1内部审核发起：内部评审小组依据：所建立体系文件范围：信息安全执行情况目的：信息安全执行是否满足体系文件周期：一季度一次或半年一次5.3.2管理评审发起：组织高层依据：业务范围：体系文件+执行情况目的：执行情况是否满足业务周期：一年一次5.4ISMS认证5.4.1有效期3年5.4.2第一、第二年年度监督审核5.4.3第三年复审，通过后重新发证5.5P5.5.1措施来源于风险、风险来源于安全需求5.5.2P5、P6选择安全措施5.6 D有资源→运行→教育培训→安全控制体系的执行→D1+D2开发风险、处置风险实施计划→事件事故处理5.7 C5.7.1C1 C2 C3监视、评价、评审体系5.7.2C4 C5 C75.7.3C8内审5.7.4C9 外审5.7.5C6（check）与P4（建体系）5.7.6C11 C10 更新安全计划5.8 A5.8.1纠正：亡羊补牢5.8.2预防：未雨绸缪6风险四种处理措施6.1降低6.2规避6.3转移6.4接受7SoA：适用性声明7.1适宜于组织、环境7.2适宜于外部相关方7.3责任条款规避安全漏洞与恶意代码安全漏洞1漏洞是技术、产品、系统等生命周期中，有意或无意存在的，且危害到安全属性的缺陷（弱点、不足、脆弱性等）。
2NVD：国际21种CNNCD：中国22种3静态漏洞挖掘与动态漏洞挖掘3.1.1静态漏洞挖掘含义：软件不运行的情况下进行的漏洞挖掘优点：漏洞全面缺点：部分漏洞不具备利用条件3.1.2动态漏洞挖掘含义：软件运行的情况下进行的漏洞挖掘优点：发现的漏洞是真实的具有较严重危害漏洞缺点：漏洞挖掘不全面4补丁分类（打补丁：先测试、来源可靠、备份和应急）4.1从文件类型4.1.1以源代码的形式存在（大部分）4.1.2以二进制形式存在（少部分）4.2从内存角度4.2.1文件补丁（冷补丁）：修改原程序4.2.2内存补丁（热补丁）：不修改原程序，适用不能关闭恶意代码1恶意代码：是指能够引起计算机故障，破坏计算机数据，影响计算机系统正常使用的程序代码。
1983年第一个病毒1986年第一个PC病毒1995年宏病毒1998年CIH病毒1999年内核病毒2006年熊猫烧香病毒2010年Stuxnet（工业蠕虫）：美国针对伊朗2恶意代码发展趋势（理解为主）3恶意代码分类蠕虫：不需载体可复制传播目的：消耗资源病毒：需载体可复制传播目的：破坏木马：需载体可复制传播目的：远程监控、窃取信息流氓软件：不需载体目的：恶意推广风险程序：不复制传播无目的有害工具：不复制传播、无载体无目的后门：不复制传播需载体作用：远程监控窃取信息4恶意代码传播方式4.1移动存储：4.2文件传播：文件感染、软件捆绑4.3网络传播：4.3.1网页4.3.2电子邮件：I LOVE YOU4.3.3即时通信：抢红包4.3.4共享4.4主动放置（FTP、论坛、网盘）：4.5软件漏洞：冲击波、振荡波、红色代码5恶意代码的加载方式5.1开始菜单中的启动项5.2启动配置文件（autorun.bat win.ini system.ini）5.3注册表启动项：360利用白名单（镜像）5.4系统服务5.5组策略（SERVER版较多）6恶意代码隐藏技术6.1进程隐藏6.1.1进程迷惑（随机进程类命名、系统进程类命名、同名不同路径）6.1.2D LL注入：6.2网络隐藏6.2.1端口复用6.2.2无端口6.2.3反向端口6.3系统隐藏6.3.1隐藏文件、系统文件6.3.2流文件隐藏6.3.3H OOK技术：多条件判断函数7恶意代码自我保护7.1进程保护7.1.1进程守护：恶意代码主程序+守护程序7.1.2超级权限：设备驱动程序7.2检测对抗技术7.2.1反动态调试7.2.1.1封锁键盘输入和屏幕显示7.2.1.2中止调试软件7.2.1.3恶意代码程序自动退出7.2.2反静态调试7.2.2.1加壳7.2.2.2加密7.2.2.3代码混淆恶意代码防御技术1恶意代码的预防技术1.1增强安全策略与意识1.2减少漏洞1.2.1补丁管理1.2.2主机加固1.3减轻威胁1.3.1防病毒软件1.3.2间谍软件检测和删除工具1.3.3入侵检测/入侵防御系统（IDS/IPS）1.3.4防火墙（动态）1.3.5路由器、应用安全设置等ACL（静态）2恶意代码检测技术2.1特征码扫描（恶意代码特征库）：黑名单检测特点：滞后误报率低漏报率高2.2沙箱技术2.3行为检测：白名单检测特点：误报率高、漏报率低3恶意代码分析技术3.1静态分析3.1.1优点不需要运行恶意代码，不会影响运行环境的安全可以分析恶意代码的所有执行路径3.1.2不足效率较低分析出的恶意代码所有恶意行为并非都是恶意的3.2动态分析3.2.1优点针对性强具有较高的准确性误报率低3.2.2不足由于分析过程中覆盖的执行路径有限，分析的完整性难以保证4恶意代码清除与修复4.1感染引导区清除方式：修复/重建引导区从备份修复引导区重建主引导区（FDISK /MBR）4.2感染文件附着型：逆向还原（从正常文件中删除恶意代码）替换型：备份还原（正常文件替换感染文件）重建主4.3独立文件独立可执行程序（.exe等）终止进程、删除独立依附型（.dll .sys）内存退出、删除4.4嵌入式更新软件或系统重置系统5基于互联网技术的防御5.1恶意代码监测与预警体系蜜罐、蜜网5.2恶意代码云查杀（白名单）分布式计算安全攻击与防护1信息收集1.1搜索引擎1.2域名信息：WHOIS1.3域名与IP地址：nslookup、ping、tracert1.4服务旗标检测1.5TCP/IP协议栈检测1.6端口扫描2密码：HASH密码密码字典3社会工程学：利用人性弱点（本能反映、贪婪、易于信任）4欺骗攻击4.1IP欺骗4.2ARP欺骗4.3DNS欺骗5拒绝服务攻击DOS/DDOS5.1SYN FLOOD5.2UDP FLOOD5.3TEARDROP6缓冲区溢出攻击7网页脚本安全7.1SQL注入7.2跨站8后门9痕迹清除9.1日志不能修改9.2日志1天（低）1周（中）1个月（高）10练习题10.1风险评估10.1.1准备：人、工具、方法、方案、计划10.1.2要素：资产、脆弱性、威胁、措施10.1.3分析10.1.4报告10.2IPSEC：认证、保密、完整、权限控制认证：所知（PW）、所有（卡）、生物特征双因素单因素多因素10.327 D10.4ISPP：需求所有者（用户）ISST：方案建设者（厂商）信息安全法规政策和标准1公保机盯信2保守国家秘密三原则2.1国家安全和利益2.2依照法定程序确定2.3在一定时间内只限一定范围的人员知悉3国家秘密保密期限，另有规定外3.1绝密机不超过30年3.2机密机不超过20年3.3秘密机不超过10年4国家保密行政管理部门管理的都是保密的5保守国家秘密法则：不得公开传递、公众讨论6电子签名法6.1CA不能证明自己无过错，则先行赔付6.2失效保留5年7刑法：非法入侵控制手段处罚看后果8网络安全是国家安全927号文9.1公安抓等保9.2销售许可证10商业密码属于国家秘密11公安抓公共安全12涉密：物理隔离13《国家信息化领导小组关于加强信息安全保障工作的意见》中办发[2003] 27号13.1总体方针和要求坚持积极防御、综合防范的方针全面提高信息安全防护能力重点保障基础信息网络和重要信息系统安全创建安全健康的网络环境，保障和促进信息化发展，保护公众利益，维护国家安全13.2主要原则立足国情，以我为主，坚持技术与管理并重正确处理安全和发展的关系，以安全保发展，发展中求安全统筹规划，突出重点，强化基础工作明确国家、企业、个人的责任和义务，充分发挥各方面的积极性，共同构筑国家信息安全保障体系13.3主要任务（九项）实行信息安全等级保护加强以密码技术为基础的信息保护和网络信任体系建设建设和完善信息安全监控体系重视信息安全应急处理工作加强信息安全技术研究开发，推进信息安全产业发展加强信息安全法制建设和标准化建设加快信息安全人才培养，增强全民信息安全意识保证信息安全资金加强对信息安全保障工作的领导，建立健全信息安全管理责任制13.4信息和信息系统的安全保护等级第一级为自主保护级第二级为指导保护级第三级为监督保护级第四级为强制保护级第五级为专控保护级14《信息安全等级保护管理办法》（公字通[2007]43号）14.1原则：自主定级、自主保护14.2定级 备案14.3不增加安全功能，增强信心14.4二级以上系统要备案级以上14.5三级以上系统等级保护测评机构测评14.6三级一年一次、四级半年一次14.7不增加安全功能，增强信心15公安抓等保16《商用密码产品销售许可证》17商业密码是国家秘密，全部生命周期18物联网基本原则：安全可控（自主可控）19标准层次GB：强制性标准：卫生、食品、环境GB/T：推荐性标准GB/Z：指导性文件20全国信息安全标准化技术委员会（TC260）20.1职能：组织申报、送审报批20.2对口的是ISO/IEC JTC1 SC2720.3信息安全管理工作组WG721定级指南22TOE：系统和产品23PP：用户安全需求24ST：厂商实施方案25安全和功能同步设计、同步实施26工信部—工控安全公安—公共安全27电子政务系统以风险评估为依据28标准化遵循原则28.1简化28.2统一28.3协调28.4优化29TCSEC（1985）桔皮书、彩虹系列DCBA30CC30.1ISO15408 IDT GB/T1833630.2CC评估方法：SEM信息安全控制措施1方针：一级或二级文件2内部组织2.1信息安全的管理承诺2.2信息安全协调2.3信息安全职责的分配2.4信息处理设施的授权过程2.5保密性协议2.6与政府部门的联系2.7与特定利益集团的联系2.8信息安全的独立评审3资产包括：3.1信息：业务数据、合同协议、科研材料、操作手册、系统配置、审计记录、制度流程等3.2软件：应用软件、系统软件、开发工具3.3物理资产：计算机设备、通信设备、存储介质等3.4服务：通信服务、供暖、照明、能源等3.5人员3.6无形资产，如品牌、声誉和形象4资产清单三要素5分类依据根据信息的价值、法律要求和对组织的敏感程度进行分类6人员安全6.1任用前6.2任用中6.3任用的终止和变化7安全岗位设置原则7.1最小特权原则7.2权责分离（开发运维分离、会计出纳分离）7.3关键岗位要备份7.4强制休假、定期轮岗8物理和环境9通信和操作管理10访问控制11信息系统获取、开发和维护12符合性（1）符合法律要求（2）符合安全策略和标准以及技术符合性（3）信息系统审核考虑13机房最佳位置：二层/三层14A级机房：先喷水雾（先保护人）15外来人员配黄色小牌16TEMPEST：电磁辐射系统17开发、测试与运行系统分离18密码设置方法：唐诗法19异构防火墙应急响应和灾难恢复GB/Z 20986-2007《信息安全事件分级分类指南》17个基本类别1.1有害程序事件：病毒、蠕虫、木马等1.2网络攻击事件：DOS、后门攻击、扫描、钓鱼等1.3信息破坏事件：信息被篡改、假冒、窃取等1.4信息内容安全事件：危害国家安全、社会稳定等1.5设备设施故障：软硬件自身故障和人为非技术破坏等1.6灾害性事件：自然灾害、战争等1.7其他信息安全事件：不能归为以上6个类别的事件2事件分级：中断损失和恢复代价2.1特别重大事件2.2重大事件2.3较大事件2.4一般事件3应急响应六阶段3.1第一阶段：准备——让我们严阵以待3.2第二阶段：检测——对情况综合判断3.3第三阶段：遏制——制止事态的扩大3.4第四阶段：根除——彻底的补救措施3.5第五阶段：恢复——系统恢复常态3.6第六阶段：跟踪总结——还会有第二次吗3.7取证原则：合法、充分授权、优先保护、全程监督3.8指定处理人→确定范围→通报3.9业务连续性规划BCP：业务连续性管理BCM：大3.10RPO：允许丢失的数据量，衡量损失RTO：允许中断时间，衡量效率3.11演练和演习的主要方式3.11.1桌面演练3.11.2模拟演练3.11.3实战演练等3.12根据演练和演习的深度，可分为3.12.1数据级演练3.12.2应用级演练3.12.3业务级演练等3.13数据备份系统3.13.1完全数据备份至少每周一次3.13.2备份介质场外存放3.14全备份：备份量最大，恢复最简单增量备份：备份量最小，恢复最麻烦差分备份（差异备份）：备份量、恢复繁琐度介于前两者之间3.15备份策略重要时间完全备份、经常进行增量备份、定期执行差分备份密码学基础1密码学发展阶段1.1第一个阶段：从古代到19世纪末——古典密码特点：种类多、应用范围小、算法简单主要分类：代替密码、转换密码1.2第二个阶段：从20世纪初到1949年——近代密码特点：机械密码/机电密码效率较古典密码学提升算法保密1.3第三个阶段：1949~1975 ——现代密码特点：基于数学、算法公开和密钥保密、对称密码1.4第四个阶段从1976年以后——公钥密码（非对称密码）特点：非对称、解决密钥传递问题2密码学2.1密码编码学2.2密码分析学（密码破译学）3科克霍夫原则3.1算法公开、密钥保密、一般是商用领域4分组密码与流密码4.1分组密码——多字母代替算法4.2流密码（序列密码）——单字母代替算法、速度快5密钥管理5.1覆盖整个生命周期5.2密钥备份：分片保管5.3密钥销毁：物理销毁6Diffie-Hellman 密钥协商算法原理基于离散对数计算的困难性7对称密码算法7.1DES /3DES/AES/IDEA7.2DES7.2.1对称密码算法7.2.2密钥长度为56bits（加上奇偶校验，通常写成64bits）7.2.3扩散7.2.4混乱7.33DES7.3.1三重DES加密，密钥长度为168比特7.3.2双密钥三重DES加密，密钥长度为112比特7.4IDEA7.4.1I DEA 分组长度64比特7.4.2密钥长度 128比特7.4.3I DEA比DES快两倍7.5AES7.5.1数据分组长度128比特、密钥长度128/192/256比特7.5.2加密过程是在一个4×4的字节矩阵（state）上实施7.6对称密码算法的优缺点7.6.1优点：效率高7.6.2缺点：密钥的共享及交换存在风险8非对称密码算法：用接收者的公钥加密，用接收者的私钥解密8.1公钥密码算法计算速度较慢，通常用于密钥管理和数字签名。