1、s信息安全測評與風險評估信息安全測評與風險評估信息安全實驗室教學團隊信息安全實驗室教學團隊2 信息安全測評與風險評估信息安全測評與風險評估 工程工程 藝術藝術 天作之合天作之合Lecture3信息安全測評與風險評估教學信息安全測評與風險評估教學本次課程要點本次課程要點信息與信息系統安全信息與信息系統安全 主機安全測評八要素主機安全測評八要素 主機安全訪談舉例主機安全訪談舉例主機檢測動手實驗主機檢測動手實驗 3 信息安全測評與風險評估信息安全測評與風險評估 工程工程 藝術藝術 天作之合天作之合Lecture3信息安全測評與風險評估教學信息安全測評與風險評估教學從從“計算計算”到到“計算安全計算安

2、全” ” 人類最早的計算工具是什么？人類最早的計算工具是什么？ 從算籌到算盤從算籌到算盤 從機械式計算機到個人電腦從機械式計算機到個人電腦 計算安全是什么時候出現的？計算安全是什么時候出現的？ 4 信息安全測評與風險評估信息安全測評與風險評估 工程工程 藝術藝術 天作之合天作之合Lecture3信息安全測評與風險評估教學信息安全測評與風險評估教學信息安全與信息系統安全信息安全與信息系統安全 信息安全信息安全：回答的是：回答的是“what”信息系統安全信息系統安全：回答的是：回答的是“how”主機安全：主機安全：是信息系統安全的分支是信息系統安全的分支主機安全：主機安全：是信息系統安全的的是信息

3、系統安全的的“最后一道防線最后一道防線”5 信息安全測評與風險評估信息安全測評與風險評估 工程工程 藝術藝術 天作之合天作之合Lecture3信息安全測評與風險評估教學信息安全測評與風險評估教學穿越穿越“時空隧道時空隧道”的暢想的暢想 古代信息安全古代信息安全 陰符、陰書陰符、陰書 江湖切口江湖切口 密語、密碼密語、密碼古代主機安全古代主機安全 傳令兵的口令傳令兵的口令 傳令兵的身體傳令兵的身體 現代信息安全現代信息安全 對稱加密對稱加密 非對稱加密非對稱加密 信息隱藏信息隱藏 現代主機安全現代主機安全 身份鑒別、身份鑒別、訪問控制訪問控制安全審計、安全審計、剩余信息保護剩余信息保護 入侵防范

4、、入侵防范、惡意代碼防范、惡意代碼防范、資源控制資源控制6 信息安全測評與風險評估信息安全測評與風險評估 工程工程 藝術藝術 天作之合天作之合Lecture3信息安全測評與風險評估教學信息安全測評與風險評估教學“縱深防御縱深防御” ” 保密性保密性 完整性完整性 可用性可用性 保密保密 鑒別鑒別 可用可用 授權授權 完整完整 訪問訪問 控制控制 自主自主 控制控制 強制強制 控制控制 身份身份 鑒別鑒別 安全安全 審計審計 剩余剩余 信息信息 資源資源 控制控制 入侵入侵 防范防范 惡意惡意 代碼代碼 7 信息安全測評與風險評估信息安全測評與風險評估 工程工程 藝術藝術 天作之合天作之合Lec

5、ture3信息安全測評與風險評估教學信息安全測評與風險評估教學主機安全測評要點主機安全測評要點 CIA n 機密性機密性 n 完整性完整性 n 可用性可用性 主機安全主機安全 n 身份鑒別身份鑒別n 訪問控制訪問控制n 安全審計安全審計n 剩余信息剩余信息n 入侵防范入侵防范n 惡意代碼惡意代碼n 資源控制資源控制 檢檢 查查 測試測試 訪談訪談 8 信息安全測評與風險評估信息安全測評與風險評估 工程工程 藝術藝術 天作之合天作之合Lecture3信息安全測評與風險評估教學信息安全測評與風險評估教學身份鑒別訪談舉例身份鑒別訪談舉例 第第3級測評要求級測評要求：1）應訪談）應訪談系統管理員系統管

6、理員，詢問操作系統的身份標識與鑒別機制采取何，詢問操作系統的身份標識與鑒別機制采取何 種措施實現種措施實現; 2）應訪談）應訪談數據庫管理員數據庫管理員，詢問數據庫的身份標識與鑒別機制采取何，詢問數據庫的身份標識與鑒別機制采取何 種措施實現；種措施實現； 3）應訪談主要操作系統和數據庫）應訪談主要操作系統和數據庫管理員管理員是否采用了遠程管理，如采是否采用了遠程管理，如采 用了遠程管理，查看采用何種措施防止鑒別信息在網絡傳輸過程中被用了遠程管理，查看采用何種措施防止鑒別信息在網絡傳輸過程中被 竊聽。竊聽。 n 示例示例 9 信息安全測評與風險評估信息安全測評與風險評估 工程工程 藝術藝術 天作

7、之合天作之合Lecture3信息安全測評與風險評估教學信息安全測評與風險評估教學安全審計訪談舉例安全審計訪談舉例 第第3級測評要求級測評要求：應訪談應訪談安全審計員安全審計員，詢問主機系統是否設置安全審計；詢問主機系統，詢問主機系統是否設置安全審計；詢問主機系統對事件進行審計的選擇要求和策略是什么；對審計日志的處理方式有對事件進行審計的選擇要求和策略是什么；對審計日志的處理方式有哪些哪些n 示例示例 10 信息安全測評與風險評估信息安全測評與風險評估 工程工程 藝術藝術 天作之合天作之合Lecture3信息安全測評與風險評估教學信息安全測評與風險評估教學剩余信息保護訪談舉例剩余信息保護訪談舉例

8、 第第3級測評要求級測評要求：1）應訪談）應訪談系統管理員系統管理員，詢問操作系統用戶的鑒別信息存儲空間，被，詢問操作系統用戶的鑒別信息存儲空間，被釋放或再分配給其他用戶前是否得到完全清除；系統內的文件、目錄釋放或再分配給其他用戶前是否得到完全清除；系統內的文件、目錄等資源所在的存儲空間，被釋放或重新分配給其他用戶前是否得到完等資源所在的存儲空間，被釋放或重新分配給其他用戶前是否得到完全清除；全清除；2）應訪談）應訪談數據庫管理員數據庫管理員，詢問數據庫管理員用戶的鑒別信息存儲空，詢問數據庫管理員用戶的鑒別信息存儲空間，被釋放或再分配給其他用戶前是否得到完全清除；數據庫記錄等間，被釋放或再分配

9、給其他用戶前是否得到完全清除；數據庫記錄等資源所在的存儲空間，被釋放或重新分配給其他用戶前是否得到完全資源所在的存儲空間，被釋放或重新分配給其他用戶前是否得到完全清除。清除。n 示例示例 11 信息安全測評與風險評估信息安全測評與風險評估 工程工程 藝術藝術 天作之合天作之合Lecture3信息安全測評與風險評估教學信息安全測評與風險評估教學入侵防范訪談舉例入侵防范訪談舉例 第第3級測評要求級測評要求：1）應訪談）應訪談系統管理員系統管理員，詢問是否采取入侵防范措施，入侵防范內容，詢問是否采取入侵防范措施，入侵防范內容是否包括主機運行監視、資源使用超過值報警、特定進程監控、入侵是否包括主機運行

10、監視、資源使用超過值報警、特定進程監控、入侵行為檢測、完整性檢測等方面內容；行為檢測、完整性檢測等方面內容；2）應訪談）應訪談系統管理員系統管理員，詢問入侵防范產品的廠家、版本和安裝部署，詢問入侵防范產品的廠家、版本和安裝部署情況；詢問是否按要求（如定期或實時）進行產品升級。情況；詢問是否按要求（如定期或實時）進行產品升級。n 示例示例 12 信息安全測評與風險評估信息安全測評與風險評估 工程工程 藝術藝術 天作之合天作之合Lecture3信息安全測評與風險評估教學信息安全測評與風險評估教學惡意代碼防范訪談舉例惡意代碼防范訪談舉例 第第3級測評要求級測評要求：1）應訪談系統）應訪談系統安全管理

11、員安全管理員，詢問主機系統是否采取惡意代碼實時檢，詢問主機系統是否采取惡意代碼實時檢測與查殺措施，惡意代碼實時檢測與查殺措施的部署情況如何，是否測與查殺措施，惡意代碼實時檢測與查殺措施的部署情況如何，是否按要求（如定期或實時）進行產品升級按要求（如定期或實時）進行產品升級n 示例示例 13 信息安全測評與風險評估信息安全測評與風險評估 工程工程 藝術藝術 天作之合天作之合Lecture3信息安全測評與風險評估教學信息安全測評與風險評估教學課堂實驗課堂實驗- -輕量級輕量級 1） 主機身份鑒別現場檢查（檢查條款第主機身份鑒別現場檢查（檢查條款第2、3、5條共條共3個）個）2）主機自主訪問控制現場

12、檢查（檢查條款第）主機自主訪問控制現場檢查（檢查條款第2、3、6條共條共3個）個）3）主機安全審計現場檢查（檢查條款第）主機安全審計現場檢查（檢查條款第1、2、5條共條共3個）個）4）主機資源控制現場檢查（檢查條款第）主機資源控制現場檢查（檢查條款第2至至4條共條共3個）個）12個微型練習個微型練習14 信息安全測評與風險評估信息安全測評與風險評估 工程工程 藝術藝術 天作之合天作之合Lecture3信息安全測評與風險評估教學信息安全測評與風險評估教學課堂實驗課堂實驗- -中量級中量級 1）主機入侵防范現場檢查（檢查條款第）主機入侵防范現場檢查（檢查條款第2、3條共條共2個）個）2）主機惡意代碼現場檢查（檢查條款第）主機惡意代碼現場檢查（檢查條款第2條）條）3）主機自主訪問控制測試（測試條款第）主機自主訪問控制測試（測試條款第1條）條）5）主機強制訪問控制測試（測試條款第）主機強制訪問控制測試（測試條款第1、2條共條共2個）個）6）主機安全審計測試（測試條款第）主機安全審計測試（測試條款第1、2條共條共2個）個）8個動手小實驗個動手小實驗15 信息安全測評與風險評估信息安全測評與風險評估 工程工程