《22讲-【第22章】信息安全管理》由会员分享，可在线阅读，更多相关《22讲-【第22章】信息安全管理（22页珍藏版）》请在金锄头文库上搜索。
1、信息系统项目管理师全国计算机技术与软件专业技术资格全国计算机技术与软件专业技术资格( (水平水平) )考试考试精讲班*22讲-信息安全管理讲师：朱建军（江山老师）无忧考培教育学院2019年正版课程祝您必高分各种培训资料需要购买微信：bigaofen1、一个单位的安全策略一定是定制的，都是针对本单位的“安全风险（威胁）”进行防护的。（了解）2、安全策略的核心内容就是“七定”，即定方案、定岗、定位、定员、定目标、定制度、定工作流程。首先要解决定方案，其次就是定岗。（掌握）3、把信息系统的安全目标定位于“系统永不停机、数据永不丢失、网络永不瘫痪、信息永不泄密”，是错误的，是不现实的，也是不可能的。（
2、掌握）4、木桶效应的观点是将整个信息系统比作一个木桶，其安全水平是由构成木桶的最短的那块木板决定的。（了解）信息系统安全管理5、信息系统安全等级保护：（掌握）信息系统安全管理分级适用范围第一级用户自主保护级普通内联网用户第二级系统审计保护级通过内联网或国际网进行商务活动，需要保密的非重要单位第三级安全标记保护级地方各级国家机关、金融单位机构、邮电通信、能源与水源供给部门、交通运输、大型工商与信息技术企业、重点工程建设等单位第四级结构化保护级中央级国家机关、广播电视部门、重要物资储备单位、社会应急服务部门、尖端科技企业集团、国家重点科研单位机构和国防建设等第五级访问验证保护级国防关键部门和依法需
3、要对计算机信息系统实施特殊隔离的单位祝您必高分各种培训资料需要购买微信：bigaofen6、信息安全等级保护管理办法将信息系统安全保护等级分为5级：（掌握）第一级（个人合法权益造成损害）；第二级（个人合法权益严重损害，或社会利益遭到损害）；第三级（公共利益造成严重损害或国家安全造成损害）；第四级（公共利益造成特别严重损害国家安全造成严重损害）；第五级（国家安全造成特别严重损害）。7、信息系统安全策略设计8个总原则：主要领导人负责原则规范定级原则依法行政原则以人为本原则注重效费比原则全面防范、突出重点原则系统、动态原则特殊的安全管理原则（掌握）8、10个特殊原则：分权制衡原则最小特权原则标准化原
4、则用成熟的先进技术原则失效保护原则普遍参与原则职责分离原则（专人专职）审计独立原则控制社会影响原则最小特权原则。对信息、信息系统的访问采用最小特权原则。（掌握）职责分离原则。有条件的组织或机构，应执行专职专责。信息系统安全管理9、信息系统业界又叫作信息应用系统、信息应用管理系统、管理信息系统，简称MIS。信息安全系统不能脱离业务应用信息系统而存在（了解）10、业务应用信息系统支撑业务运营的计算机应用信息系统，如银行柜台业务信息系统、国税征收信息系统等。（了解）11、信息系统工程即建造信息系统的工程，包括两个独立且不可分割的部分，即信息安全系统工程和业务应用信息系统工程。（了解）信息系统安全管理
5、祝您必高分各种培训资料需要购买微信：bigaofen22.222.2信息安全系统工程信息安全系统工程1、信息安全系统三维空间：（掌握）X：安全机制（安全操作系统、安全数据库、应用开发运营）Y：OSI网络参考模型Z：安全服务（认证、权限、完整、加密、不可否认）2、安全空间五大要素：认证、权限、完整、加密、不可否认。（掌握）3、安全服务：对等实体认证服务数据保密服务数据完整性服务数据源点认证服务禁止否认服务（掌握）信息系统安全管理4、安全技术：加密技术数字签名技术访问控制技术数据完整性技术认证技术（掌握）数字签名可以确保电子文档的真实性并可以进行身份验证，以确认其内容是否被篡改后伪造。数字签名是确
6、保电子文档真实性的技术手段。加密是实现信息（可执行程序）保密性的方法，不能防病毒，只能防止未授权的人看到。一旦程序执行，还是可能感染病毒的。信息系统安全管理祝您必高分各种培训资料需要购买微信：bigaofen信息安全属性及目标：保密性、完整性、可用性、不可抵赖性（1）保密性是指“信息不被泄漏给未授权的个人、实体和过程或不被其使用的特性。保密技术如下：最小授权原则防暴露信息加密物理保密（2）完整性是信息未经授权不能进行改变的特性。即应用系统的信息在存储或传输过程中保持不被偶然或蓄意地删除、修改、伪造、乱序、重放和插入等破坏和丢失的特性。方法有：协议纠错编码方法密码校验和方法数字签名公证（3）可用
7、性是应用系统信息可被授权实体访问并按需求使用的特性。即信息服务在需要时，允许授权用户或实体使用的特性，或者是网络部分曼损或需要降级使用时，仍能为授权用户提供有效服务的特性。（4）不可抵赖性也称作不可否认性，在应用系统的信息交互过程中，确信参与者的真实同一性。即所有参与者都不可能否认或抵赖曾经完成的操作和承诺。信息系统安全管理5、信息安全保障三种架构：MIS+S（初级）、S-MIS（标准）、S2-MIS（超安全）（掌握）6、安全管理包括：物理安全计算机安全网络安全通信安全输入/输出产品的安全操作系统安全数据库系统安全数据安全信息审计安全人员安全管理安全辐射安全（了解）7、信息安全系统工程能力成熟
8、度模型（ISSE-CMM）主要概念（了解）（1）过程（2）过程域（3）工作产品（4）过程能力。8、ISSE将信息安全系统工程实施过程分解为：工程过程、风险过程和保证过程三个基本的部分（了解）信息系统安全管理架构业务应用系统 软硬件安全设备适用场合MIS+S基本不变通用基本不带密码一般应用系统S-MIS必须根本改变 通用PKI/CA安全保障系统必须带密码；应用系统必须根本改变；主要 的 硬 件 和 系 统 软 件 需 要PKI/CA认证一般电子商务、电子政务有安全保密要求的系统S2-MIS必须根本改变 专用专用的安全保密系统祝您必高分各种培训资料需要购买微信：bigaofen9、一个有害事件由威
9、胁、脆弱性和影响三个部分组成。脆弱性包括可被威胁利用的资产性质。如果不存在脆弱性和威胁，则不存在有害事件，也就不存在风险。（掌握）（脆弱性是内部的，威胁是外部的）10、公钥基础设施PKI是以不对称密钥加密技术为基础，以数据机密性、完整性、身份认证和行为不可抵赖性为安全目的，来实施和提供安全服务的具有普适性的安全基础设施。（了解）11、数字证书：这是由认证机构经过数字签名后发给网上信息交易主体（企业或个人、设备或程序）的一段电子文档。数字证书提供了PKI的基础。（掌握）12、认证中心：CA是PKI的核心。它是公正、权威、可信的第三方网上认证机构，负责数字证书的签发、撤销和生命周期的管理，还提供密
10、钥管理和证书在线查询等服务。（掌握）13、数字证书就是按照X.509标准制作的。X.509每一版本必须包含下列信息：版本号序列号签名算法标识符认证机构有效期限主题信息认证机构的数字签名公钥信息注意，没私钥（掌握）14、CA是一个受信任的机构，为了当前和以后的事务处理，CA给个人、计算机设备和组织机构颁发证书，以证实它们的身份，并为他们使用证书的一切行为提供信誉的担保。（掌握）信息系统安全管理22.4PMI权限（授权）管理基础设施1、PMI主要进行授权管理，证明这个用户有什么权限，能干什么，即“你能做什么”。PKI主要进行身份鉴别，证明用户身份，即“你是谁”。它们之间的关系如同签证和护照的关系。
11、签证具有属性类别，持有哪一类别的签证才能在该国家进行哪一类的活动。护照是身份证明，唯一标识个人信息，只有持有护照才能证明你是一个合法的人。（掌握）2、访问控制有两个重要过程。（掌握）认证过程，通过“鉴别（authentication）”检验主体的合法身份。授权管理，通过“授权（authorization）”赋予用户对某项资源的访问权限。3、访问控制机制分为强制访问控制（MAC）和自主访问控制（DAC）两种。强制访问控制：用户不能改变他们的安全级别或对象的安全属性。自主访问控制（DAC）机制允许对象的属主来制定针对该对象的保护策略。通常DAC通过授权列表（或访问控制列表）来限定哪些主体针对哪些客
12、体可以执行什么操作。这样可以非常灵活地对策略进行调整。信息系统安全管理祝您必高分各种培训资料需要购买微信：bigaofen4、用户不能自主地将访问权限授给别的用户，这是RBAC与DAC的根本区别所在。RBAC与MAC的区别在于：MAC是基于多级安全需求的，而RBAC不是。（掌握）5、基于角色的访问控制中，角色由应用系统的管理员定义。6 6、访问控制授权方案有、访问控制授权方案有4 4种：种：（掌握）DACDAC自主访问控制方式：该模型针对每个用户指明能够访问的资源，对于不在指定的自主访问控制方式：该模型针对每个用户指明能够访问的资源，对于不在指定的资源列表中的对象不允许访问。资源列表中的对象不
13、允许访问。ACLACL访问控制列表方式：目标资源拥有访问权限列表，指明允许哪些用户访问。如果访问控制列表方式：目标资源拥有访问权限列表，指明允许哪些用户访问。如果某个用户不在访问控制列表中，则不允许该用户访问这个资源。某个用户不在访问控制列表中，则不允许该用户访问这个资源。MACMAC强制访问控制方式，访问者拥有包含等级列表的许可，其中定义了可以访问哪个强制访问控制方式，访问者拥有包含等级列表的许可，其中定义了可以访问哪个级别的目标：例如允许访问秘密级信息，这时，秘密级、限制级和不保密级的信息是级别的目标：例如允许访问秘密级信息，这时，秘密级、限制级和不保密级的信息是允许访问的，但机密和绝密级
14、信息不允许访问。允许访问的，但机密和绝密级信息不允许访问。RBACRBAC基于角色的访问控制方式：该模型首先定义一些组织内的角色，如局氏、科长、基于角色的访问控制方式：该模型首先定义一些组织内的角色，如局氏、科长、职员；再根据管理规定给这些角色分配相应的权限，最后对组织内的每个人根据具体职员；再根据管理规定给这些角色分配相应的权限，最后对组织内的每个人根据具体业务和职位分配一个或多个角色。业务和职位分配一个或多个角色。信息系统安全管理22.522.5信息安全审计信息安全审计1、安全审计是记录、审查主体对客体进行访问和使用情况，保证安全规则被正确执行，并帮助分析安全事故产生的原因。（掌握）2、安
15、全审计系统采用数据挖掘和数据仓库技术，对历史数据进行分析、处理和追踪，实现在不同网络环境中终端对终端的监控和管理，必要时通过多种途径向管理员发出警告或自动采取排错措施。因此信息安全审计系统被形象地比喻为“黑匣子”和“监护神”。（掌握）3、安全审计系统属于安全管理类产品。安全审计产品主要包括主机类、网络类及数据库类和业务应用系统级的审计产品。各类安全审计系统可在日常运行、维护中，对整个计算机网络应用系统的安全进行主动分析及综合审计。（掌握）信息系统安全管理祝您必高分各种培训资料需要购买微信：bigaofen4、安全审计系统主要作用：（掌握）对潜在的攻击者起到震慑或警告作用。对于已经发生的系统破坏
16、行为提供有效的追究证据。为系统安全管理员提供有价值的系统使用日志，从而帮助系统安全管理员及时发现系统入侵行为或潜在的系统漏洞。为系统安全管理员提供系统运行的统计日志，使系统安全管理员能够发现系统性能上的不足或需要改进与加强的地方。5、审计分析分为潜在攻击分析、基于模板的异常检测、简单攻击试探和复杂攻击试探等（掌握）6、入侵监测和安全审计是一对因果关系，前者获取的记录结果是后者审核分析资料的来源，或者说前者是手段而后者是目的，任何一方都不能脱离另一方单独工作。作为一个完整的安全审计需要入侵监测系统实时、准确提供基于网络、主机（服务器、客户端）和应用系统的审核分析资料（掌握）信息系统安全管理7、入
17、侵监测是指为对计算机和网络资源上的恶意使用行为进行识别和响应的处理过程。它不仅检测来自外部的入侵行为，同时也检测内部用户的未授权活动。（掌握）8、从安全审计的角度看，入侵检测采用的是以攻为守的策略，它所提供的数据不仅可用来发现合法用户是否滥用特权，还可以为追究入侵者法律责任提供有效证据。（掌握）9、分布式审计系统由审计中心、审计控制台和审计Agent组成。（了解）10、审计Agent可以分为网络监听型Agent、系统嵌入型Agent、主动信息获取型Agent等。（掌握）11、网络安全审计可分为3种类型:系统级审计、应用级审计和用户级审计：信息系统安全管理祝您必高分各种培训资料需要购买微信：bi
18、gaofen12、安全审计是信息系统审计基本业务中的一个（掌握） 安全审计数据生成（AUJ3EN）功能要求记录与安全相关的事件的出现，包括鉴别审计层次、列举可被审计的事件类型，以及鉴别由各种审计记录类型提供的相关审计信息的最小集合。系统可定义可审计事件清单，每个可审计事件对应于某个事件级别，如低级、中级、高级。 安全审计浏览（AU_SAR）功能要求审计系统能够使授权的用户有效地浏览审计数据，它包括审计浏览、有限审计浏览、可选审计浏览。 安全审计事件选择（AU_SEL）功能要求系统管理员能够维护、检查或修改审计事件的集合，能够选择对哪些安全属性进行审计。例如，与目标标识、用户标识、主体标识、主机
19、标识或事件类型有关的属性，系统管理员将能够有选择地在个人识别的基础上审计任何一个用户或多个用户的动作。 安全审计事件存储（AU_STG）功能要求审计系统将提供控制措施；以防止由于资源的不可用丢失审计数据。能够创造、维护、访问它所保护的对象的审计踪迹，并保护其不被修改、非授权访问或破坏。审计数据将受到保护直至授权用户对它进行的访问。它可保证某个指定量度的审计记录被维护，并不受以下事件的影响。信息系统安全管理【例1-15下】根据信息安全等级保护管理办法中的规定，信息系统的安全保护等级应当根据信息系统的国家安全、经济建设、社会生活中的重要程度，信息系统遭到破坏后，对国家安全、社会秩序、公共利益以及公
20、民、法人和其他组织的合法权益的危险程度等因素确定。其中安全标记保护级处于（ ）A.第二级B.第三级C.第四级D.第五级【例2-16上】在信息系统安全保护中，依据安全策略控制用户对文件、数据库表等客体的访问属于（）安全管理。A安全审计B入侵检测C访问控制D人员行为【例3-16下】信息系统访问控制机制中，（）是指对所有主体和客体都分配安全标签用来标识所属的安全级别，然后在访问控制执行时对主体和客体的安全级别进行比较，确定本次访问是否合法的技术或方法。A.自主访问控制B.强制访问控制C.基于角色的访问控制D.基于组件的访问控制练一练祝您必高分各种培训资料需要购买微信：bigaofen【例4-16下】
21、以下关于信息系统审计的叙述中，不正确的是（）。A.信息系统审计是安全审计过程的核心部分B.信息系统审计的目的是评估并提供反馈、保证及建议C.信息系统审计师须了解规划、执行及完成市计工作的步骤与技术，外并尽量遵守国际信息系统审计与控制协会的一般公认信息系统审计准则、控制目标和其他法律与规定D.信息系统审计的目的可以是收集并评估证据以决定一个计算机系统（信息系统）是否有效做到保护资产、维护数据完整、完成组织目标练一练【例5-17上】安全审计（securityaudit）是通过测试公司信息系统对一套确定标准的符合程度来评估其安全性的系统方法，安全审计的主要作用不包括（）。A.对潜在的攻击者起到震慑或
22、警告作用B.对已发生的系统破坏行为提供有效的追究证据C.通过提供日志，帮助系统管理员发现入侵行为或潜在漏洞D.通过性能测试，帮助系统管理员发现性能担缺陷或不足1、B 2、C 3、B 4、A 5、D 6、A7、C8、D练一练祝您必高分各种培训资料需要购买微信：bigaofen【例6-18下】按照信息系统安全策略“七定”要求，系统安全策略首先需要（）。A.定方案B.定岗C.定目标D.定工作流程【例7-18下】 计算机信息系统安全保护等级划分准则将计算机信息系统分为5个安全保护等级。其中（）适用于中央级国家机关、广播电视部门、重要物资储备单位等部门。A.系统审计保护级B.安全标记保护级C.结构化保护级D.访问验证保护级【例8-18下】 CC（即Common Critoria ISO/IEC17859）标谁将安全审计功能分为6个部分，其中（）要求审计系统提供控制措施，以防止由于资源的不可用失去审计数据。A.安全审计数据生成功能B.安全审计浏览功能C.安全审计事件选择功能D.安全审计事件存储功能练一练加入正版课程获得VIP全套增值服务知识分享公众号无忧官方公众号江山老师答疑微信扫一扫加关注抢先学早拿证问题咨询联系江山老师 QQ/微信：915446173祝您必高分各种培训资料需要购买微信：bigaofen
