软考高项之信息系统安全管理

信息系统安全管理，信息安全基本概念，加密、解密与常用算法，操作系统安全，密钥加密技术。数字签名与认证，PMI权限认证，信息系统安全等级等

• 信息安全技术
  • 信息安全基本概念
    • 安全属性
      • 秘密性：信息不被未授权者知晓的属性
      • 完整性：信息是正确的、真实的、为被算改的、完整无缺的属性
      • 可用性：信息可以随时正常使用的属性
    • 安全层次
      • 设备安全
      • 数据安全（静态安全）
      • 内容安全
      • 行为安全（动态安全）
  • 加密、解密与常用算法
    • 密钥加密技术
      • 对称加密
        • DES、AES、IDEA、RC4
      • 非对称加密
        • RSA
          • 可用于数字签名
        • ECC椭圆曲线
          • 加密强度高于RSA
      • 对比
    • 消息摘要
      • 单向哈希(HASH)函数
        • 把任意长度的输入字符串x变化成固定长度的输出字符串y的一种函数。
        • 它是单向的不可逆的。
    • 数字签名与认证
      • 数字签名：签名者不可抵赖、他人不可伪造、允许第三方验证
      • 认证：基于双方共享的保密数据来认证鉴别真实性，不准许第三方验证
    • 数字信封
    • 数字证书
      • 又称为数字凭证，即用电子手段来证实一个用户的身份和对网络资源的访问权限。
      • 数字证书拥有者可以将其证书提供给其他人、web 站点及网络资源，以证实他的合法身份， 并且与对方建立加密的、可信的通信。
      • 数字证书也可称为公钥证书，是用于证明公钥的所有权的电子文档。
  • 身份认证与密钥管理
    • 数字证书认证机构CA
      • 是第三方网上认证机构，负责使用数字证书的签发、撤销、生命周期管理，密钥管理服务和证书在线查询等服务
      • CA可以证明数字证书的持有者合法拥有证书中列出的公开密钥
    • 公开密钥基础设施PKI
      • PKI就是有关创建、管理、存储、分发和撤销公钥证书所需要的硬件、软件、人员、策略和过程的安全服务设施。
      • 服务及组成
      • 安全服务包含
        • 身份认证
        • 完整性保护
        • 数字签名
        • 会话加密管理
        • 密钥恢复
      • PKI涉及多个实体之间的协商和操作
      • 主要实体包括：
        • CA
          • 主要进行证书的颁发、废止和更新；
          • 密钥管理服务以及证书在线查询
          • 认证机构负责签发、管理和撤销一组终端用户的证书
        • RA
          • 证书登记权威机构，将公钥和对应的证书持有者的身份及其他属性联系起来， 进行注册和担保
        • 终端实体
          • 指需要认证的对象，如服务器、E-mail地址
        • 客户端
          • 指需要基于PKI安全服务的使用者，包括用户、服务进程等
        • 目录服务器
          • CA通常使用一个目录服务器，提供证书管理和分发的服务
    • 权限（授权）管理基础设施PMI
      • PMI建立在PKI基础上，以向用户和应用程序提供权限管理和授权服务为目标
      • 主要负责向业务应用信息系统提供授权服务管理。
      • 与PKI对比
        • PKI：身份鉴别，证明身份用户是谁
        • PMI：授权管理，证明用户权限（能干什么）
  • 操作系统安全
    • 安全威胁划分
      • 切断
        • 对可用性威胁
      • 截取
        • 对机密性威胁
      • 篡改
        • 对完整性威胁
      • 伪造
        • 对合法性威胁
    • 身份认证机制、访问控制机制数据保密性、数据完整性系统可用性、审计
  • 应用系统安全
    • WEB控制技术
    • 单点登录技术
    • 网页防算改技术
      • 时间轮询
      • 核心内嵌
      • 事件融发
      • 文件过滤驱动
    • WEB内容安全
      • 电子邮件过滤
      • 网页过滤
      • 反间谍软件
• 网络安全
  • 防火墙
    • 用于逻辑隔离外部网络与受保护的内部网络
  • 入侵检测与防护
    • 入侵检测系统（IDS）
      • 注重的是网络安全状况的监管
    • 入侵防护系统（IPS）
      • 注重对入侵行为的控制
  • VPN（虚拟专用网络）
  • 安全扫描
    • 可用扫描器完成
  • 网络蜜罐技术
    • 是一个包含漏洞的诱骗系统
• 信息系统安全管理
  • 安全系统工程
    • ISSE-CMM
      • 概述
        • 主要概念
          • 过程
          • 过程域：
          • 工作产品；
          • 过程能力
        • 组织
          • 信息安全的工程组织：
          • 信息安全的组织获取组织：
          • 信息安全的评估组织
      • 过程
        • 信息安全系统的工程过程
        • 信息安全系统的风险过程
        • 信息系统安全的保证过程
      • 体系结构
        • 基本模型
        • 域维/安全过程域
        • 能力维/公共特性
        • 能力级别
  • 安全体系结构
    • 安全机制
    • 安全服务
    • 安全技术
  • BLP模型
    • 两种方式实现
      • 自主访问控制
      • 强制访问控制
    • 基本安全策略是“下读上写”，即主体对客体向下读、向上写
    • 保证了数据库中的所有数据只能按照安全级别从低到高的流向流动
      • 保证了信息的机密性
    • BLP模型的优缺点
      • 优点
        • 是一种严格的形式化描述；
        • 控制信息只能由低向高流动，能满足军事部门等一类对数据保密性要求特别高的机构的需求。
      • 缺点
        • 1. 上级对下级发文受到限制；
        • 2. 部门之间信息的横向流动被禁止；
        • 3. 缺乏灵活、安全的授权机制。
  • 访问控制
    • 访问控制基本概念
      • 认证
      • 授权
    • 访问控制三要素
      • 主体、客体、控制策略
    • 访问控制应用
      • 自主访问控制（DAC）
        • 针对每个用户指明能够访问的资源
      • 访问控制列表（ACL）
        • 目标资源拥有访问权限列表，指明允许哪些用户访问
        • 是目前应用最多的方式
      • 强制访问控制（MAC）
        • 访问者拥有包含等级列表的许可，其中定义了可以访问哪个级别的目标
        • 军事和安全部门应用较多
      • 基于角色的访问控制（RBAC）
        • 定义组织角色，给角色分配相应权限
• 信息系统安全策略
  • 安全策略基本内容
    • 7定
      • 1）定方案
      • 2）定岗
      • 3）定位
      • 4）定员
      • 5）定目标
      • 6）定制度
      • 7）定工作流程
  • 安全策略设计原则
    • 主要领导人负责原则
    • 规范定级原则
    • 依法行政原则
      • 安全行政主体合法
      • 行政行为合法
      • 行政内容合法
      • 行政程序合法
    • 以人为本原则
      • 加强安全教育、培训管理，强化安全意识和法治观念，提升职业道德。 掌握安全技术是重要保证。
    • 注重效费比原则
    • 全面防范、突出重点原则
    • 系统、动态原则
    • 特殊安全管理原则
      • 分权制衡原则
      • 最小特权原则
      • 标准化原则
      • 用成熟先进技术原则
      • 普遍参与原则
      • 失效保护原则
      • 职责分离原则
      • 审计独立原则
      • 保护资源和效率原则
  • 系统安全方案
    • 与方案有关的系统因素
      • 主要硬件设备选型
      • 操作系统和数据库的选型
      • 网络拓扑结构的选型
      • 数据存贮方案和设备选型
      • 安全设备选型
      • 应用软件开发平台的选型
      • 应用软件系统结构的确定
      • 供货商和集成商的选择
      • 业务运营与安全管理的职责（岗位）划分
      • 应急处理方案的确定和人员落实
    • 主要内容
      • 1、确定安全体系统架构(MIS+S, S-MIS）
      • 2、确定业务和数据存贮方案
      • 3、网络拓扑方案
      • 4、基础安全设施和主要安全设备选型
      • 5、业务应用系统的安全级别的确定
      • 6、系统资金和人员投入的档案
• 相关法律法规
  • 信息安全保护等级
    • 用户自主保护级
      • 普通内联网用户
        • 合理权益损害
    • 系统审计保护级
      • 商务活动、保密非重要单位
        • 合理权利严重损害
    • 安全标记保护级
      • 地方各级国家机关
        • 国家安全造成损害
    • 结构化保护级
      • 中央级国家机关
        • 国家安全严重损害
    • 访问验证保护级
      • 国防关键部门
        • 国家安全特别严重损害
    • 决定因素
      • 等级保护对急受到破坏时所侵害的客体（公民、法人和其它组织）的合法权利
      • 社会秩序、公共利益
      • 国家安全
  • 《关键信息基础设施安全保护条例》
  • 《中华人民共和国网络安全法》
  • 《中华人民共和国数据安全法》
• 信息系统项目管理之信息系统安全管理