《信息化工商與網(wǎng)絡(luò)信息安全》由會(huì)員分享，可在線閱讀，更多相關(guān)《信息化工商與網(wǎng)絡(luò)信息安全（79頁珍藏版）》請(qǐng)?jiān)谘b配圖網(wǎng)上搜索。

1、Click to edit Master title style,,Click to edit Master text styles,,Second level,,Third level,,Fourth level,,Fifth level,,*,,*,單擊此處編輯母版標(biāo)題樣式,,單擊此處編輯母版文本樣式,,第二級(jí),,第三級(jí),,第四級(jí),,第五級(jí),,*,,*,信息化工商與網(wǎng)絡(luò)信息安全,,,一,,,工商系統(tǒng)信息化概述,二,電子政務(wù)與信息安全,國(guó)家信息安全法律法規(guī),,主要內(nèi)容,,,三,,第一篇,工商系統(tǒng)信息化概述,工商系統(tǒng)信息化,,工商信息化,信 息 化,信息化,是指培育、發(fā)展以智能化,工具為代表的

2、新的生產(chǎn)力并使之造,福于社會(huì)的歷史過程。,國(guó)家信息化,是指在國(guó)家統(tǒng)一規(guī)劃和組織下，在,農(nóng)業(yè)、工業(yè)、科學(xué)技術(shù)、國(guó)防及,社會(huì)生活各個(gè)方面應(yīng)用現(xiàn)代信息,技術(shù)，深入開發(fā)廣泛利用信息資,源，加速實(shí)現(xiàn)國(guó)家現(xiàn)代化進(jìn)程,．,目標(biāo)是：以一體系、一庫、一,平臺(tái)、一體化、一站式的“五個(gè)一”,工程為主要內(nèi)容全面推進(jìn)金信工程建,設(shè)，加快推進(jìn)工商信息化“整合、融,合、一體化”步伐，充分發(fā)揮信息化,的整體效能。工商信息化的主要任務(wù),是，按照“整合、融合、一體化”的,總體要 求，以“五個(gè)一”工程為主要,內(nèi)容，全面、科學(xué)、深入、持續(xù)、,協(xié)調(diào)、創(chuàng)新地推進(jìn)工商信息化的整,體建設(shè)和發(fā)展。,,國(guó)家總局信息化發(fā)展“十二五”規(guī)劃,總局規(guī)劃

3、摘要,國(guó)家總局信息化發(fā)展“十二五”規(guī)劃,,,,,,,融合,,信息化工商,,,移動(dòng)辦公,OA,系統(tǒng),移動(dòng)執(zhí)法系統(tǒng),干部教育培訓(xùn)系統(tǒng),,基礎(chǔ)智能網(wǎng)絡(luò),,信息化工商全景圖,視頻會(huì)議,網(wǎng)上考試系統(tǒng),,,電子績(jī)效考核系統(tǒng),,,和諧,,安全,,高效,數(shù)據(jù)管理、分析系統(tǒng),金信系統(tǒng),,,行政執(zhí)法,日常管理,經(jīng)營(yíng)監(jiān)管,備案管理,,12315,服務(wù)中心包括語音，短信,綜合辦公,視頻監(jiān)控,食品監(jiān)測(cè)監(jiān)管系統(tǒng),,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,信息化工商,移動(dòng)辦公執(zhí)法,工商管理平臺(tái),,移動(dòng)辦公應(yīng)用,,,,,,,OA,系統(tǒng),郵件系統(tǒng),執(zhí)法系統(tǒng),出差,外出現(xiàn)場(chǎng)辦理,

4、XX,業(yè)務(wù),3G,網(wǎng)絡(luò),郵件隨身,辦事,辦會(huì),辦文,VPDN,工商信息化應(yīng)用系統(tǒng),（保障安全）,3G,手機(jī),,信息發(fā)布,,不同的,展現(xiàn)方式,不同的接入方式：有線無線,全國(guó)先進(jìn),湖南省常德市工商局信息化建設(shè)經(jīng)驗(yàn),,電子政務(wù)與信息安全,第二篇,一、電子政務(wù)建設(shè)面臨的問題,信息安全的問題,。,在多數(shù)電子政務(wù)應(yīng)用系統(tǒng)的建設(shè)中，由于缺乏總體的安全規(guī)劃，使得所建設(shè)的應(yīng)用系統(tǒng)在網(wǎng)絡(luò)傳輸安全和數(shù)據(jù)存儲(chǔ)安全等各個(gè)層面缺乏有力的保障，這將直接導(dǎo)致政府部門的重要數(shù)據(jù)面臨著眾多的安全隱患。,信息孤島的問題,。,由于我國(guó)電子政務(wù)系統(tǒng)的建設(shè)也具有了一定的時(shí)間跨度，而在眾多的電子政務(wù)項(xiàng)目實(shí)施之初又往往沒有進(jìn)行統(tǒng)一整體的項(xiàng)目

5、規(guī)劃，這就使得各個(gè)政府部門的不同應(yīng)用系統(tǒng)存在各自為政，難以互聯(lián)互通的弊端，各個(gè)政務(wù)應(yīng)用系統(tǒng)逐漸形成了一個(gè)個(gè)的信息孤島，難以進(jìn)行跨部門的聯(lián)動(dòng)業(yè)務(wù)操作。,開發(fā)標(biāo)準(zhǔn)的問題,。,我國(guó)電子政務(wù)建設(shè)在不同時(shí)期、不同業(yè)務(wù)部門所進(jìn)行的應(yīng)用系統(tǒng)規(guī)劃往往只具有局部的、適時(shí)的開發(fā)標(biāo)準(zhǔn)，往往缺乏宏觀的戰(zhàn)略思想。這也從另外一個(gè)層面導(dǎo)致了不同的政務(wù)應(yīng)用系統(tǒng)之間互相割裂，難以協(xié)作。,“統(tǒng)一”、“安全”和“標(biāo)準(zhǔn)”在電子政務(wù)建設(shè)中具有十分重要的意義,,,政務(wù)外網(wǎng),,,,,,,邏輯隔離,(,互聯(lián)網(wǎng),),政府網(wǎng)站,政府外網(wǎng)物理網(wǎng)絡(luò),,物理隔離,,各類業(yè)務(wù)專網(wǎng),,,政務(wù)內(nèi)網(wǎng),政府辦公,業(yè)務(wù)系統(tǒng),……,政務(wù)內(nèi)網(wǎng)網(wǎng)絡(luò)平臺(tái),,國(guó) 辦,,電

6、子政務(wù)網(wǎng)基本安全框架,實(shí)行信息安全等級(jí)保護(hù),加強(qiáng)以密碼技術(shù)為基礎(chǔ)的信息保護(hù)和網(wǎng)絡(luò)信任體系建設(shè),建設(shè)和完善信息安全監(jiān)控體系,重視信息安全應(yīng)急處理工作,加強(qiáng)信息安全技術(shù)研究開發(fā)，推進(jìn)信息安全產(chǎn)業(yè)發(fā)展,加強(qiáng)信息安全法制建設(shè)和標(biāo)準(zhǔn)化建設(shè),加快信息安全專業(yè)人才培養(yǎng)，增強(qiáng)全民信息安全意識(shí),保證信息安全資金,加強(qiáng)對(duì)信息安全工作的領(lǐng)導(dǎo)，建立健全信息安全責(zé)任制,加強(qiáng)信息安全保障工作的總體要求和主要原則,各國(guó)政府高度重視信息安全保障戰(zhàn)略,年,初,美國(guó)八家大型電子商務(wù)網(wǎng)站受到全球大規(guī)模黑客攻擊，美國(guó),奧巴馬,政府,緊急啟動(dòng)了國(guó)家關(guān)鍵信息基礎(chǔ)設(shè)施和要害部門信息系統(tǒng)保護(hù)計(jì)劃。,美國(guó)先后啟動(dòng)了7個(gè)關(guān)于保護(hù)美國(guó)關(guān)鍵基礎(chǔ)設(shè)施

7、的計(jì)劃,,俄羅斯制定《國(guó)家信息安全構(gòu)想》,，將信息安全問題列入國(guó)家戰(zhàn)略考慮范疇,西方八國(guó)集團(tuán),共同制定打擊網(wǎng)上犯罪活動(dòng)方面的行動(dòng)框架,,巨大的網(wǎng)絡(luò)安全隱患,Intenet,的好處在于你可以與任何人連接。,,Internet,的可怕之處在于任何人都可以和你相連。,,互聯(lián)網(wǎng)正與電話通訊網(wǎng)，電視網(wǎng)結(jié)合，但科學(xué)家聲稱：互聯(lián)網(wǎng)（至今）存在致命的弱點(diǎn)。如果容納高連接率節(jié)點(diǎn)的網(wǎng)絡(luò)遭到黑客惡意的攻擊，摧毀關(guān)鍵性骨干節(jié)點(diǎn)，則互聯(lián)網(wǎng)癱瘓是一瞬間的事。,,嚴(yán)竣的網(wǎng)絡(luò)安全環(huán)境,肆意泛濫的計(jì)算機(jī)病毒、無網(wǎng)不入的“黑客”正使網(wǎng)絡(luò)變得更加脆弱。,目前，“黑客”對(duì)網(wǎng)絡(luò)的襲擊方法已有幾千種，而且大多是致命的。,全世界現(xiàn)有,10

8、0,多萬個(gè)“黑客”網(wǎng)站。每當(dāng)一種新的“黑客”襲擊手段產(chǎn)生，一周內(nèi)便可傳遍全世界。在不斷擴(kuò)大的計(jì)算機(jī)網(wǎng)絡(luò)空間中，幾乎到處都有“黑客”的身影，無處不遭受“黑客”的攻擊。,,世界第一黑客凱文.米特尼克（Kevin Mitnick）,1,、,1964,年生于美國(guó)洛杉磯，米特尼克,3,歲時(shí)父母離異。,70,年代末，,13,歲的米特尼克喜歡上了業(yè)余無線電活動(dòng)，在與世界各地?zé)o線電愛好者聯(lián)絡(luò)時(shí)，他領(lǐng)略到了跨越空間的樂趣。他很快對(duì)電腦著了迷，并因此掌握了豐富的計(jì)算機(jī)知識(shí)和高超的操作技能。這個(gè)被老師們一致認(rèn)為聰明，有培養(yǎng)前途的孩子，卻干了一件令大人們震驚的事：他用學(xué)校的計(jì)算機(jī)闖入了其他學(xué)校的網(wǎng)絡(luò)。從此，小米特尼

9、克離開了學(xué)校。,2,、,15,歲時(shí)，米特尼克成功入侵了“北美空中防務(wù)指揮系統(tǒng)” ，成為黑客歷史上的一次經(jīng)典之作 。,3,、不久，米特尼克又成功破譯美國(guó)“太平洋電話公司“在南加利福尼亞洲通訊網(wǎng)絡(luò)的“改戶密碼”。少年頑皮的天性，令他隨意更改這家公司的電腦用戶，特別是知名人士的電話號(hào)碼和通訊地址。,世界第一黑客凱文.米特尼克（Kevin Mitnick）,4,、他將目標(biāo)鎖定到了美國(guó)聯(lián)邦調(diào)查局（,FBI,）的電腦網(wǎng)絡(luò)上。米特尼克發(fā)現(xiàn),FBI,的特工們正調(diào)查一名電腦黑客，便饒有興趣地偷閱特工們的調(diào)查資料，被調(diào)查者竟然是他自己！米特尼克施展渾身解數(shù)，破譯了聯(lián)邦調(diào)查局的“中央電腦系統(tǒng)”密碼，每天認(rèn)真查閱“

10、案情進(jìn)展情況的報(bào)告”。不久，米特尼克惡作劇地將他們的資料改成十足的罪犯。,5,、,1 994,年,7,月，米特尼克被,《,時(shí)代,》,雜志選為封面人物。媒體稱其為無所不能，可以隨時(shí)發(fā)動(dòng)電腦戰(zhàn)爭(zhēng)的超人。此時(shí)他已被列入,FBI,十大通緝犯的行列。,6,、,1994,年,12,月,25,日，消失的米特尼克再次出手，這次他的目標(biāo)是圣迭戈超級(jí)計(jì)算機(jī)中心。因?yàn)檫@次攻擊，米特尼克獲得了“地獄黑客”的稱號(hào)。也因?yàn)檫@次攻擊，米特尼克激怒了一位著名的計(jì)算機(jī)安全專家,----,下村勉，從而導(dǎo)致了他一生中最大的滑鐵盧。,,安全現(xiàn)狀,廣州三政府網(wǎng)站遭黑客攻擊,,5,月,8,日至,9,日 廣州市物價(jià)局網(wǎng)站,攻擊情況：

11、連續(xù)兩天黑客非法入侵，通過存在的安全漏洞植入木馬程序掌握網(wǎng)站的操作權(quán)限，對(duì)網(wǎng)站主頁進(jìn)行了篡改,7,月,20,日 廣州市國(guó)土房管局網(wǎng)站,攻擊情況：被黑客采取“,HTTPDdos”,拒絕服務(wù)手段進(jìn)行攻擊，致使網(wǎng)站服務(wù)器大量資源被耗費(fèi)，造成網(wǎng)站無法對(duì)外提供正常服務(wù),反黑行動(dòng)：事故發(fā)生后該單位也未及時(shí)向安全主管部門報(bào)告，直到被媒體報(bào)道，公安機(jī)關(guān)主動(dòng)上門核實(shí)情況后方知此事,7,月,25,日 一政府部門信息中心的網(wǎng)站,攻擊情況：黑客非法掃描監(jiān)測(cè)到維護(hù)賬號(hào)和密碼，并通過該賬號(hào)和密碼登錄網(wǎng)站，對(duì)網(wǎng)站主頁進(jìn)行篡改,反黑行動(dòng)：由于該單位沒有落實(shí)日志留存措施，給公安機(jī)關(guān)的偵查工作帶來很大難度,,中

12、移動(dòng)網(wǎng)站被黑,,國(guó)家安全－－病毒戰(zhàn),病毒戰(zhàn),,由于計(jì)算機(jī)病毒的傳染性、潛伏性和巨大的破壞性，計(jì)算機(jī)病毒作為一種新型的電子戰(zhàn)武器已越來越受到世界各國(guó)軍方的重視。美國(guó)是計(jì)算機(jī)病毒研究較早的國(guó)家，并撥出?？钸M(jìn)行研究更有效的軍用計(jì)算機(jī)病毒。,臺(tái)灣現(xiàn)在針對(duì)祖國(guó)大陸、針對(duì)我軍的具體情況大力發(fā)展信息作戰(zhàn)武器，其中包括病毒。,1999,年,8,月，臺(tái)灣“國(guó)防部”召開了一次關(guān)于信息戰(zhàn)的專門會(huì)議。出席的人員除了臺(tái)灣“國(guó)防部”的高級(jí)將領(lǐng)和所謂“國(guó)防部長(zhǎng)”唐飛之外，還有各個(gè)計(jì)算機(jī)軟硬件廠商的高級(jí)代表、計(jì)算機(jī)專家、病毒的設(shè)計(jì)制造者，包括,CIH,病毒編制者陳英豪。,臺(tái)灣,",國(guó)防部,",通信電子資訊局局長(zhǎng)林勤經(jīng)表示，已

13、經(jīng)對(duì)中國(guó)大陸搞了上千種病毒對(duì)付中國(guó)大陸的信息基礎(chǔ)設(shè)施。,1991年的海灣戰(zhàn)爭(zhēng),首次把網(wǎng)絡(luò)攻擊手段引入到戰(zhàn)爭(zhēng)中并發(fā)揮作用的是,1991,年的海灣戰(zhàn)爭(zhēng)。,開戰(zhàn)前，美國(guó)中央情報(bào)局獲悉，伊拉克從法國(guó)采購(gòu)了供防空系統(tǒng)使用的新型打印機(jī)，準(zhǔn)備通過約旦首都安曼偷運(yùn)到巴格達(dá)。,美國(guó)隨即派特工在安曼機(jī)場(chǎng)偷偷用一塊固化病毒芯片與打印機(jī)中的同類芯片調(diào)了包。,美軍在戰(zhàn)略空襲發(fā)起前，以遙控手段激活病毒，使其從打印機(jī)竄入主機(jī)，造成伊拉克防空指揮中心主計(jì)算機(jī)系統(tǒng)程序發(fā)生錯(cuò)亂、工作失靈，致使防空體系中的預(yù)警和,C3I,系統(tǒng)癱瘓，為美軍順利實(shí)施空襲創(chuàng)造了有利條件。,電子政務(wù)安全保障的突出問題,越來越復(fù)雜的應(yīng)用,協(xié)同工作,/,信息

14、共享,/,決策指揮,……,全網(wǎng)安全管理：防火墻、安全審計(jì)、入侵檢測(cè)、病毒防范、加密通道、安全掃描、身份驗(yàn)證等,竊密和泄密防范性,安全事件可追蹤性,安全體系可評(píng)估性,攻擊行為可取證性需求,電子政務(wù)對(duì)安全的需求,,,,公文流轉(zhuǎn),,,,信息發(fā)布,,,運(yùn)行穩(wěn)定,,這些信息在網(wǎng)絡(luò)傳送過程中不能被竊聽、泄密、篡改和偽造。因此，必須保證電子政務(wù)系統(tǒng)中的數(shù)據(jù)信息的安全和傳輸安全。,不能被篡改、歪曲，同時(shí)，政府網(wǎng)站收集的各種公眾反饋、網(wǎng)上辦事信息必須真實(shí)、完整，因此，必須保證政府網(wǎng)站的安全，不被攻擊和破壞。,電子政務(wù)系統(tǒng)必須運(yùn)行穩(wěn)定可靠，系統(tǒng)的可用性、數(shù)據(jù)的完整性和機(jī)密性都必須得到確實(shí)的保護(hù)。,,,,需要通過建

15、立完整的信息安全體系，使得系統(tǒng)具有用戶身份抗抵賴、系統(tǒng)可管理、操作可審計(jì)等特性，從物理、運(yùn)行、信息、管理等多方面保護(hù)信息系統(tǒng)的安全、穩(wěn)定與可靠運(yùn)行。,協(xié)同工作,,信息安全核心技術(shù)受制于人的問題,如：,1991,年的海灣戰(zhàn)爭(zhēng),電子政務(wù)網(wǎng)絡(luò)和信息系統(tǒng)中使用的,操作系統(tǒng)、關(guān)鍵芯片和核心軟件幾乎全部依賴進(jìn)口，客觀上留下了長(zhǎng)期隱患,美國(guó)政府對(duì)網(wǎng)絡(luò)和信息,產(chǎn)品的出口進(jìn)行了嚴(yán)格,的限制，接受政府的控,制和檢查,信息系統(tǒng)的安全認(rèn)證是針對(duì)其開通運(yùn)行，一次性認(rèn)證之后缺乏有效的監(jiān)管制度和體系,目前對(duì)于信息網(wǎng)絡(luò)的測(cè)評(píng)工作大多仍停留在產(chǎn)品級(jí)和單一安全功能的測(cè)評(píng)階段，,缺乏系統(tǒng)級(jí)安全測(cè)評(píng)與服務(wù)體系,加快計(jì)算機(jī)網(wǎng)絡(luò)信息系統(tǒng)

16、安全檢測(cè)的基礎(chǔ)設(shè)施和手段建設(shè)，提高信息安全技術(shù)和產(chǎn)品的檢測(cè)評(píng)估能力,注重信息安全技術(shù)標(biāo)準(zhǔn)化和安全產(chǎn)品評(píng)估體系的建設(shè)，積極推動(dòng)信息安全服務(wù),缺乏系統(tǒng)級(jí)安全測(cè)評(píng)與服務(wù)體系,美國(guó)中央情報(bào)局成立專門部門,，,通過監(jiān)控國(guó)際互聯(lián)網(wǎng)，獲取了伊朗研發(fā)核武器的大量圖片,，其中甚至包括核工廠內(nèi)部的清晰圖片，使得掌握了第一手資料及證據(jù)”,。,信息失泄密控制的問題,涉密信息系統(tǒng)目前對(duì)內(nèi)部人員和管理的漏洞導(dǎo)致的泄密防護(hù)不足。針對(duì)信息流和用戶行為缺乏有效的技術(shù)監(jiān)控措施，也缺乏先進(jìn)管理技術(shù)的應(yīng)用,美國(guó),CIA,監(jiān)控互聯(lián)網(wǎng)獲取伊朗核情報(bào),“,911,事件”中，世貿(mào)中心最大的主顧之一摩根斯坦利由于,精心構(gòu)造了遠(yuǎn)程防災(zāi)系統(tǒng),，雙

17、子樓的倒塌并沒有給公司和客戶的關(guān)鍵數(shù)據(jù)帶來重大損失，幾天后在新澤西州恢復(fù)營(yíng)業(yè),其它無災(zāi)備能力的企業(yè)損失慘重，很多企業(yè)由于無法恢復(fù)對(duì)其業(yè)務(wù)至關(guān)重要的數(shù)據(jù)而被迫倒閉。,美國(guó) “,911,事件”,數(shù)據(jù)存儲(chǔ)及容災(zāi)備份問題,目前國(guó)內(nèi)的存儲(chǔ)解決方案所依托的主要存儲(chǔ)設(shè)備均為國(guó)外廠商的產(chǎn)品，缺少自主知識(shí)產(chǎn)權(quán)，等于,把自己的信息存儲(chǔ)在別人的“口袋”里,。,管理水平相對(duì)落后的問題,“三分技術(shù)，七分管理”，如何有效地提高網(wǎng)絡(luò)的安全性，保障網(wǎng)上業(yè)務(wù)順利安全地進(jìn)行，將網(wǎng)絡(luò)的安全隱患降低到一個(gè)可以接受的程度，讓安全管理人員做到心中有數(shù)，是電子政務(wù)安全丞待解決的重要問題。,電子政務(wù)信息安全保障體系建設(shè)需要重視以下問題,,加

18、強(qiáng)信息安全保障體系建設(shè)的,統(tǒng)籌規(guī)劃,加強(qiáng)信息安全核心技術(shù)和核心產(chǎn)品的,自主研發(fā),重視信息安全,測(cè)評(píng)和服務(wù),體系建設(shè),重視信息安全,監(jiān)控體系,建設(shè),重視,災(zāi)難恢復(fù)與備份系統(tǒng),的建設(shè),重視信息安全,科研和人才培養(yǎng),體系建設(shè),安全涉及的因素,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,網(wǎng)絡(luò)安全,信息安全,,,,,內(nèi)容安全,,,物理安全,對(duì)網(wǎng)絡(luò)和信息安全的基本認(rèn)識(shí),網(wǎng)絡(luò)安全,因特網(wǎng),,,,,,,網(wǎng)絡(luò)對(duì)國(guó)民經(jīng)濟(jì)的影響在加強(qiáng),,,,安全漏洞危害在增大,信息對(duì)抗的威脅在增加,,,,,研究安全漏洞以防之,因特網(wǎng),電力,交通,通訊,控制,廣播,工業(yè),金融,醫(yī)療,,,,,,,

19、,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,研究攻防技術(shù)以阻之,,,,,,,,,,,,,,,,,,,,,,,,,信息安全,信息竊取,,,信息傳遞,,,信息冒充,信息篡改,信息抵賴,加密技術(shù),完整性技術(shù),認(rèn)證技術(shù),數(shù)字簽名,內(nèi)容安全,因特網(wǎng),用戶,信息傳送自由,有害信息泛濫,信息來源,不確定,.,打擊目標(biāo),機(jī)動(dòng)性強(qiáng),.,,主動(dòng)發(fā)現(xiàn)有害信息源并給予封堵,,監(jiān)測(cè)網(wǎng)上有害信息的傳播并給予截獲,隱患,措施,,物理安全,,容災(zāi),,集群,,,,,,,,,,,,,,,,,,備份,,,,環(huán)境,溫度,電磁,濕度,計(jì)算機(jī)網(wǎng)絡(luò)面臨的威脅,系統(tǒng)故障,,電源故障、硬件故障、

20、軟件故障,,人為的威脅,,誤操作,,泄密、竊密、篡改數(shù)據(jù),,盜用資源,(,計(jì)算資源,,,通信資源,,,存儲(chǔ)資源,),,拒絕服務(wù),(,主機(jī),,,網(wǎng)絡(luò)設(shè)備,,,通信帶寬,),,病毒、蠕蟲等惡意代碼,,自然災(zāi)害和戰(zhàn)爭(zhēng)的威脅,,風(fēng)雨雷電、地震、火災(zāi),,戰(zhàn)爭(zhēng)等,人為安全威脅,,15%,外來的非法入侵,,,,,,,,,,,60%,的其他內(nèi)部威脅,14%,盜竊機(jī)密信息,11%,破壞網(wǎng)上數(shù)據(jù),什么是漏洞,漏洞是硬件、軟件或策略上的缺陷，從而使得攻擊者能夠在未授權(quán)的情況下訪問或控制系統(tǒng)。,,漏洞的發(fā)現(xiàn)者,,黑客,,破譯者,,安全服務(wù)商組織,,,,,,,,,,,,,,Vulnerability,漏洞的危害,可以用

21、木桶原則加以說明：,,一個(gè)木桶能盛多少水，不在于組成它的最長(zhǎng)的那根木料，而取決于它身上最短的那一根。,,同樣的，對(duì)于一個(gè)系統(tǒng)來說，它的安全性不取決于它是否采用了最新的加密算法，最先進(jìn)的設(shè)備，而是由系統(tǒng)本身最薄弱之處，即漏洞所決定的。只要這個(gè)漏洞被發(fā)現(xiàn)，系統(tǒng)就有可能成為網(wǎng)絡(luò)攻擊的犧牲品。,美國(guó)911之后的安保措施加強(qiáng)--但仍然阻止不了恐怖活動(dòng)--波士頓爆炸,常見的攻擊隱患（,1,）,惡意攻擊,,,惡意攻擊具有如下特征：,,智能性,隱蔽性,嚴(yán)重性,多樣性,惡意攻擊是信息系統(tǒng)所面對(duì)的最直接威脅，如,2001,年,5,月的中美黑客大戰(zhàn)。,常見的攻擊隱患（,2,）,安全缺陷,,網(wǎng)絡(luò)硬件的安全缺陷：如可靠

22、性差、電磁輻射、電磁泄漏等。,通信鏈路的安全缺陷：如電磁輻射、電磁泄漏、搭線、串音、無鏈 路加密等。,技術(shù)被動(dòng)引起的網(wǎng)絡(luò)安全缺陷,:,計(jì)算機(jī)的核心芯片多依賴于進(jìn)口，不少關(guān)鍵網(wǎng)絡(luò)設(shè)備也依賴于進(jìn)口。,人員素質(zhì)問題引起的安全缺陷,常見的攻擊隱患（,3,）,軟件漏洞,操作系統(tǒng)的安全漏洞,:,包括操作系統(tǒng)的后門、,I/O,非法 訪問、訪問控制的混亂等。,,數(shù)據(jù)庫及應(yīng)用軟件的安全漏洞：如數(shù)據(jù)庫文件格式、文件存放位置、口令加密機(jī)制等。,,TCP/IP,協(xié)議的安全漏洞：,IPv4,并未考慮安全性，這是,IP,網(wǎng)絡(luò)不安全的主要原因。,,網(wǎng)絡(luò)軟件和服務(wù)的安全漏洞：包括,Finger,漏洞、匿名,FTP,漏洞、,T

23、elnet,漏洞、,E-mail,漏洞等。,,口令設(shè)置的安全漏洞：口令長(zhǎng)度限制、口令時(shí)間限制等。,用戶口令的隱患,許多情況下，進(jìn)入計(jì)算機(jī)系統(tǒng)采用的最普通、而又最快捷的方法是直接猜測(cè)登錄名／口令：,許多研究表明，大部分計(jì)算機(jī)系統(tǒng)用戶都很習(xí)慣用 “軟“口令。例如，對(duì)一個(gè)先進(jìn)工業(yè)公司的研究表明，,10,％的用戶都是用自己的第一個(gè)名字作口令。,捕捉口令,口令猜測(cè)機(jī),分析協(xié)議和濾出口令,監(jiān)視登錄名／口令,特洛伊木馬,,文件系統(tǒng)開放共享的隱患,Unix:,,利用網(wǎng)絡(luò)文件系統(tǒng)（,NFS,）的文件共享，可加載遠(yuǎn)程驅(qū)動(dòng)器并讀取信息；,NFS,使用用戶的,ID,（,UID,）來協(xié)調(diào)對(duì)驅(qū)動(dòng)器信息的訪問；,,默認(rèn)安裝

24、是向外界開放根文件的讀,/,寫；,,Windows,：,,可用被配置為允許遠(yuǎn)程加載它們的文件系統(tǒng)；,,可用通過在外部防火墻上設(shè)置正確的規(guī)則而阻止大多數(shù)文件的共享；,軟件和系統(tǒng)漏洞,系統(tǒng)規(guī)模,Windows 3.1 ——300,萬行代碼,Windows 2000 ——5000,萬行代碼,軟件漏洞：,在線購(gòu)物：采購(gòu)信息被保存在,URL,字符串中；,曾經(jīng)出現(xiàn)過黑客將價(jià)格改為負(fù)數(shù)使,Web,站點(diǎn)向信用卡中付錢而不是扣錢的事例；,存在許多在程序中包含后門的例子；,關(guān)于計(jì)算機(jī)病毒,與病毒相關(guān)的幾個(gè)概念,陷門,(trap door),：程序中的秘密入口點(diǎn)，知道陷門的人可以通過這樣的入口點(diǎn)繞過正常的安全檢查機(jī)

25、制,邏輯炸彈,(logic bomb),：內(nèi)嵌在合法程序中的條件代碼,特洛伊木馬,(Trojan horses),：木馬程序可以被用于進(jìn)行直接或者間接地達(dá)到未授權(quán)訪問資源的目的,蠕蟲,(worms),：通過網(wǎng)絡(luò)進(jìn)行傳播,細(xì)菌,(bacteria),：不停地復(fù)制自身,現(xiàn)在的計(jì)算機(jī)病毒已經(jīng)綜合了這些概念，所有現(xiàn)在的防病毒軟件也往往綜合了相應(yīng)的對(duì)策。病毒與黑客技術(shù)的結(jié)合也使得防病毒的任務(wù)更加艱巨。,如何遠(yuǎn)程植入程序,直接攻擊,電子郵件,文件下載,瀏覽網(wǎng)頁,,+,合并文件,經(jīng)過偽裝的木馬被植入目標(biāo)機(jī)器,常見的黑客攻擊類型分析,內(nèi)部、外部泄密,拒絕服務(wù)攻擊,邏輯炸彈,特洛伊木馬,黑客攻擊,計(jì)算機(jī)病毒,信

26、息丟失、篡改、銷毀,后門、隱蔽通道,蠕蟲,黑客信息收集—非技術(shù)手段,合法途徑,,從目標(biāo)機(jī)構(gòu)的網(wǎng)站獲取,,新聞報(bào)道，出版物,,新聞組或論壇,,社會(huì)工程手段,,假冒他人，獲取第三方的信任,,搜索引擎,信息收集過程,信息收集是一個(gè)綜合過程,從一些社會(huì)信息入手,找到網(wǎng)絡(luò)地址范圍,找到關(guān)鍵的機(jī)器地址,找到開放端口和入口點(diǎn),找到系統(tǒng)的制造商和版本,……,社會(huì)信息,DNS,域名,,網(wǎng)絡(luò)實(shí)名,,管理人員在新聞組或者論壇上的求助信息也會(huì)泄漏信息,,網(wǎng)站的網(wǎng)頁中,,新聞報(bào)道,,這樣的信息可以合法地獲取,黑客常用攻擊方法,開放共享,,口令攻擊,,軟件和系統(tǒng)漏洞,,緩存溢出,,拒絕服務(wù)攻擊,,網(wǎng)絡(luò)監(jiān)聽（嗅探）,,IP

27、欺騙,,惡意代碼,基本認(rèn)識(shí)1：沒有絕對(duì)的安全,沒有絕對(duì)的安全，只有絕對(duì)的不安全,如果非要給絕對(duì)安全下一個(gè)定義的話那將是這樣的：,,將要保存的硬盤封閉到一個(gè)抽成真空的金屬箱內(nèi)，沉到一個(gè)不知名的大洋底下，那么硬盤中的數(shù)據(jù)是絕對(duì)安全的。,,基本認(rèn)識(shí)2：安全是一個(gè)過程,安全是一個(gè)動(dòng)態(tài)實(shí)踐的過程。,,安全不是所有安全產(chǎn)品的堆疊。,,安全問題的解決，必須重視整體系統(tǒng)的規(guī)劃和安全策略的制定。,,MP2DR2動(dòng)態(tài)信息安全理論,,基本認(rèn)識(shí),3,：人是安全機(jī)制中最薄弱環(huán)節(jié),任何安全系統(tǒng)中都存在這些問題。,,Enigma,機(jī)器的操作人員采用便捷手段，簡(jiǎn)化工作強(qiáng)度。導(dǎo)致被波蘭破譯。,,前蘇聯(lián)重復(fù)使用了一次一密亂碼本

28、，導(dǎo)致一些消息可以被破解。,,各種機(jī)密信息的泄漏事件（巴國(guó)核泄密事件）,安全體系結(jié)構(gòu),,,,,防火墻,安全網(wǎng)關(guān),VPN,網(wǎng)絡(luò)安全層,,,,,反病毒,風(fēng)險(xiǎn)評(píng)估,入侵檢測(cè),審計(jì)分析,系統(tǒng)安全層,,,,用戶,/,組管理,單機(jī)登錄,身份認(rèn)證,用戶安全層,,,,,訪問控制,授權(quán),應(yīng)用安全層,,,,加密,數(shù)據(jù)安全層,,,,,,存儲(chǔ)備份,,物理安全層,國(guó)家對(duì)網(wǎng)絡(luò)隔離安全問題的重視,美國(guó)國(guó)家航天局在遭受黑客攻擊時(shí),,,所采取的措施是拔掉網(wǎng)線,,美國(guó)能源部選擇路由器斷電,“據(jù)說保證一個(gè)系統(tǒng)真正安全的途徑只有一個(gè)：,斷開網(wǎng)絡(luò)，這也許正在成為一個(gè)真正的解決方案。”,,―――Michael Bobbin,《,計(jì)算機(jī)安

29、全雜志,》,主編,安全防范體系之,存儲(chǔ)備份,核心防護(hù),為什么需要備份？,硬件故障,軟件故障,誤操作,病毒入侵,保留歷史記錄,發(fā)生災(zāi)難性事件,提高可用性，加強(qiáng)數(shù)據(jù)安全,集群,- Cluster,,數(shù)據(jù)備份,容災(zāi),,,,,容災(zāi)解決方案一覽,通常級(jí),高級(jí),企業(yè)級(jí),解決方案,,,秒,分,時(shí),日,周,秒,分,時(shí),日,周,,,,,,,,,,,恢復(fù)點(diǎn),恢復(fù)時(shí)間,安全防范體系之,網(wǎng)絡(luò)安全綜合管理,區(qū)域防護(hù),安全管理面臨的問題,管理成本的上升,網(wǎng)絡(luò)規(guī)模擴(kuò)大引起管理成本的上升；,基礎(chǔ)設(shè)施多元化引起管理成本的上升；,資源管理復(fù)雜化引起管理成本的上升。,管理信息綜合利用率較低,傳統(tǒng)的對(duì)安全設(shè)備或資源的分散式管理使得數(shù)

30、據(jù)難以共享；,缺乏可信的管理策略，難以實(shí)現(xiàn)設(shè)備之間的協(xié)同工作；,缺乏有效的審計(jì)手段，難以實(shí)現(xiàn)對(duì)管理信息的,“,增值利用,”,。,,管理成本,整個(gè)網(wǎng)絡(luò)的安全解決方案包括防火墻、防病毒、掃描分析、網(wǎng)絡(luò)入侵檢測(cè)、監(jiān)控與恢復(fù)、線路傳輸加密、存儲(chǔ)備份、安全管理等幾個(gè)方面，形成了從物理層到應(yīng)用層，從策略到管理的多角度、多層次的立體防護(hù)體系。,小結(jié),信息安全管理的目的,進(jìn)不來,拿不走,改不了,跑不了,看不懂,信息安全管理的內(nèi)容,風(fēng)險(xiǎn)分析,,物理安全,,設(shè)備管理,,運(yùn)行管理,,軟件安全管理,,信息安全管理,人員安全管理,,應(yīng)用系統(tǒng)安全管理,,操作安全管理,,技術(shù)文檔安全管理,,災(zāi)難恢復(fù)計(jì)劃,,安全應(yīng)急響應(yīng),信

31、息安全管理的制度,IP地址管理制度,,防火墻管理制度,,病毒和惡意代碼防護(hù)制度,,服務(wù)器上線及日常管理制度,,口令管理制度,,開發(fā)安全管理制度,,應(yīng)急響應(yīng)制度,,制度運(yùn)行監(jiān)督,第三篇,信息安全管理與法律法規(guī),,,涉密信息系統(tǒng)管理,涉及國(guó)家秘密信息系統(tǒng)的分級(jí)保護(hù)管理,系統(tǒng)應(yīng)當(dāng)依據(jù)國(guó)家信息安全等級(jí)保護(hù)的基本要求，按照國(guó)家保密工作部門有關(guān)涉密信息系統(tǒng)分級(jí)保護(hù)的管理規(guī)定和技術(shù)標(biāo)準(zhǔn)，結(jié)合系統(tǒng)實(shí)際情況進(jìn)行保護(hù)。系統(tǒng)按照所處理信息的最高密級(jí)，由低到高分為秘密、機(jī)密、絕密三個(gè)等級(jí)。,,非涉密信息系統(tǒng)不得處理國(guó)家秘密信息。,涉密信息系統(tǒng)管理,涉密信息系統(tǒng)的分級(jí)保護(hù)管理,,系統(tǒng)使用的信息安全保密產(chǎn)品原則上應(yīng)選用國(guó)

32、產(chǎn)品，并應(yīng)當(dāng)通過國(guó)家保密局授權(quán)的檢測(cè)機(jī)構(gòu)依據(jù)有關(guān)國(guó)家保密標(biāo)準(zhǔn)進(jìn)行的檢測(cè)，通過檢測(cè)的產(chǎn)品由國(guó)家保密局審核發(fā)布目錄。,采用密碼對(duì)涉密的信息和信息系統(tǒng)進(jìn)行保護(hù)的，應(yīng)報(bào)經(jīng)國(guó)家密碼管理局審批，密碼的設(shè)計(jì)、實(shí)施、使用、運(yùn)行維護(hù)和日常管理等，應(yīng)當(dāng)按照國(guó)家密碼管理有關(guān)規(guī)定和標(biāo)準(zhǔn)執(zhí)行。,信息安全法律法規(guī)小結(jié),,,犯罪形式多樣,傳統(tǒng)的犯罪在虛擬空間延伸,政治,經(jīng)濟(jì),民事,虛擬空間特有或增強(qiáng),攻擊信息系統(tǒng),傳播和泄露信息快、范圍廣、影響大,（匿名的）網(wǎng)上教唆、勾連、串謀,信息安全法律法規(guī)小結(jié),,,法制尚未完善,執(zhí)法機(jī)構(gòu)的執(zhí)法意識(shí),虛擬貨幣,小額詐騙,稅收,取證（身份鑒別、行為記錄）,法律？道德？,謝 謝,演講完畢，

33、謝謝觀看！,內(nèi)容總結(jié),信息化工商與網(wǎng)絡(luò)信息安全。是指在國(guó)家統(tǒng)一規(guī)劃和組織下，在。工程為主要內(nèi)容全面推進(jìn)金信工程建。加強(qiáng)信息安全技術(shù)研究開發(fā)，推進(jìn)信息安全產(chǎn)業(yè)發(fā)展。加快信息安全專業(yè)人才培養(yǎng)，增強(qiáng)全民信息安全意識(shí)。加強(qiáng)對(duì)信息安全工作的領(lǐng)導(dǎo)，建立健全信息安全責(zé)任制。年初美國(guó)八家大型電子商務(wù)網(wǎng)站受到全球大規(guī)模黑客攻擊，美國(guó)奧巴馬政府緊急啟動(dòng)了國(guó)家關(guān)鍵信息基礎(chǔ)設(shè)施和要害部門信息系統(tǒng)保護(hù)計(jì)劃。美國(guó)先后啟動(dòng)了7個(gè)關(guān)于保護(hù)美國(guó)關(guān)鍵基礎(chǔ)設(shè)施的計(jì)劃。俄羅斯制定《國(guó)家信息安全構(gòu)想》，將信息安全問題列入國(guó)家戰(zhàn)略考慮范疇。3、不久，米特尼克又成功破譯美國(guó)“太平洋電話公司“在南加利福尼亞洲通訊網(wǎng)絡(luò)的“改戶密碼”。臺(tái)灣現(xiàn)在針對(duì)祖國(guó)大陸、針對(duì)我軍的具體情況大力發(fā)展信息作戰(zhàn)武器，其中包括病毒。美國(guó)隨即派特工在安曼機(jī)場(chǎng)偷偷用一塊固化病毒芯片與打印機(jī)中的同類芯片調(diào)了包。協(xié)同工作/信息共享/決策指揮。注重信息安全技術(shù)標(biāo)準(zhǔn)化和安全產(chǎn)品評(píng)估體系的建設(shè)，積極推動(dòng)信息安全服務(wù),