其他分享
首页 > 其他分享> > cisp学习笔记day1---信息安全保障

cisp学习笔记day1---信息安全保障

作者:互联网

信息安全的定义
为数据处理系统建立和采取技术、管理的安全保护,保护计算机硬件、软件、数据不因偶然的或恶意的原因而受到破坏、更改、泄露;保障信息不产生安全问题,保障信息的可用性
通讯传输安全:联网设备之间的通信收到保障,通信不会受到影响
网络安全:对信息进行收集、存储、传输、交换、处理
信息安全问题的根源
内因:系统复杂性导致漏洞的不可避免
外因:环境人为因素
信息安全的特性:系统性、动态性、无边界、非传统(传统安全:实体地区安全防护,实地防护,物理防护)

威胁情报分析案例
态势感知
在这里插入图片描述
提前可能预知到攻击,主动防御;监控全球的攻击,就可以判断是否会对自己造成影响;缺陷:只能监控到第二波攻击,第一波攻击是没有抵抗能力的
难点在于:信息收集过来怎么判断是否对我有影响
在这里插入图片描述
0day漏洞:没有补丁、只有少数人知道的系统漏洞
信息安全保障基础
在这里插入图片描述
信息安全属性
机密性©
完整性(i)
可用性(a)
其他属性
真实性、可问责性、不可否认性、可靠性
泄露:账号、身份信息、银行卡密码等等;只要产生了泄露,都算是机密性受到破坏
如何增加机密性,防止泄露?加密来实现机密性,密码学,对称加密、非对称加密,数字签名,数字认证
破坏了完整性:篡改、更改、修改;破坏信息的完整
怎么实现完整性:校验、哈希(MD5,SHA1) TCP/IP网络层叫做校验
只能发现数据是否被篡改,防止数据被篡改只能通过数据加密最有效
可用性攻击:DDOS攻击,破坏,删除;物理层面:断电、服务器受损,空调坏了,设备发热,不能继续工作
防止可用性攻击:冗余、灾难备份,两地三中心,CDN多节点的缓存服务
真实性攻击:欺骗,钓鱼网站、电信诈骗(我是xxx银行,网页地址非常相似但是不是相同的);保护真实性:认证、鉴别;身份认证
可问责性:信源的追溯,审计,通过审计的方式找出做了什么;日志、记录:通过记录的手法对日志进行行程审计
不可抵赖(不可否认):U盾,数字签名实现不可抵赖性;CA认证
可靠性:管理层面、技术层面
传输协议TCP可靠性协议,必须受到确认回复
审核公司机制,新兴公司是否有足够的能力来支撑,投标招标,设备后期维护,后期服务,稳定性好
国家关键基础设施,安全管理;网络战:军事战略
0day 纪录片 斯诺登风暴
NSA发起的棱镜计划(national security agency)
可信计算
在这里插入图片描述
在这里插入图片描述
企业视角:资产价值多少,能否接受损失,遭到破坏会损失多少,投入和回报的比例怎么样?风险评估;合规性:数据安全法、法律法规的合规,标准的合规性
在这里插入图片描述
在这里插入图片描述
个人隐私:电话、身份证号、购买记录、注册记录、账号密码、家庭住址

信息安全发展阶段:
通信安全:20世纪,40年代-70年代
主要关注传输过程中的数据保护,安全威胁:大仙窃听、密码学分析;核心思想:通过密码技术解决通信保密,保证数据的保密性和完整性
计算机安全:20世纪70-90年代;主要关注数据处理额存储时的数据保护;安全威胁:非法访问、恶意代码、脆弱口令等;核心思想:预防、检测和减小计算机系统(包括软件和硬件)用户(授权和未授权用户)执行的未授权活动所造成的后果;安全措施:通过操作系统的访问控制技术来防止非授权用户的访问
信息系统安全:20世纪,90年代后;主要关注信息系统整体安全;安全威胁:网络入侵、病毒破坏、信息对抗等;核心思想:重点在于保护比“数据”更加精炼的“信息”;安全措施:防火墙、防病毒、漏洞扫描、入侵检测、PKI,VPN等
在这里插入图片描述
信息安全保障:1996年,DDOD5-3600.1提出信息安全保障;关注信息、信息系统对组织业务以及使命的保障;制定策略、结合技术,技术与管理并重,正确处理安全和发展的关系

网络空间安全:互联网将传统的虚拟世界与物理世界相互连接,形成网络空间;工业控制系统、云大移物智
在这里插入图片描述
在这里插入图片描述
电脑编程实现机器的控制,工控系统里面用的弱口令太多了,容易被攻破
在这里插入图片描述
管理控制:风险评价、规划、系统和服务采购、认证认可和安全评价;
操作控制
技术控制:

云计算安全架构
云计算安全是交叉领域,覆盖物理安全到应用安全
云计算安全覆盖角色:云用户、云提供者、云承载者、云审计者和云经纪人
云计算安全服务体系三层架构:安全云基础设施、云安全基础服务、云安全应用服务
公有云和私有云
公有云:百度网盘
私有云:私有云盘,给自己公司提供服务
使用云的用户:租户

云计算的安全风险

数据管理和访问失控:用户只能上传、分享、下载,数据存储位置对用户失控;云计算服务商对数据权限高于用户(放在网盘里面,商家的权限高于用户);用户不能有效监管云计算厂商内部人员对数据的非授权访问(员工可以访问数据,没有自己的秘密,除非是加密后的数据)
数据管理责任风险:不适用于“谁主管谁负责 谁运营谁负责”(数据丢了商家不会负责)
数据保护的风险:缺乏统一的标准,数据存储格式不同;存储介质由云服务商提供,用户对数据的操作要通过云服务商执行,用户无法有效掌控自己的数据

虚拟化安全:虚拟化是云计算的支撑技术,把硬件资源虚拟化,构成一个资源词从而提供云服务的各项特性(软件定义网络,一台两台硬件设备装很多服务器)
虚拟化安全:云计算中核心的安全问题;确保虚拟化多租户之间的有效隔离

物联网基本概念:“信息社会的基础设施”;物联网的核心和基础仍然是互联网
在这里插入图片描述
在这里插入图片描述
大数据安全
大数据的概念:传统数据架构无法有效处理的新数据集
大数据的价值:趋势分析
大数据安全:数据的生命周期安全(产生、存储、交换、共享、销毁);技术平台安全(分布式存储)
数据泄露、数据丢失、数据被删除

移动互联网安全问题及策略:SIM卡最重要,加一个PIN码
系统安全问题、移动应用安全问题、个人隐私保护问题
政策管控、应用分发管控、加强隐私保护要求

信息安全保障框架
基于事件的PDR与PPDR模型
PDR:以技术的形式出现,买设备、检测、补漏洞,等到问题出现的时候无法应对,是一种被动的防护
PPDR模型思想:所有的防护、检测、相应都是依据安全策略实施
在这里插入图片描述
PPDR模型更强调控制和对抗,考虑了管理的因素,强调安全管理的持续性、安全策略的动态性
在这里插入图片描述
P2DR的基本原理(policy\protection\detection\response)
Policy策略
模型的核心:所有的防护、检测、相应都是一句安全策略实施的;策略体系的指定、评估与执行等;策略包括:访问控制策略、加密通信策略、身份认证策略、恢复备份策略
protection策略:通过传统的静态安全技术和方法提高网络的防护能力,主要包括:访问控制技术(ACL,Firmwall)、信息加密技术、身份认证技术(一次性口令X.509)
detection检测:利用检测工具,监视、分析、审计网络活动 ,了解网络系统的安全状态;使安全防护从被动防护演进到主动防御,是整个模型动态性的体现;主要方法包括:实时监控、检测、报警
response反应:在检测到安全漏洞和安全事件时,恢复系统功能和数据,启动备份系统;主要方法包括:关闭服务、跟踪、反击、消除影响
在这里插入图片描述

标签:防护,用户,信息安全,cisp,技术,day1,---,安全,数据
来源: https://blog.csdn.net/weixin_45796142/article/details/120741355