第一章 信息安全基礎知識
1.1 信息安全研究方向
目前信息安全的研究包括密碼學、網絡安全、信息系統安全、信息內容安全、信息對抗等方向
網絡空間是所有信息系統的集合，網絡空間安全的核心是信息安全。網絡空間安全學科是研究信息的獲取、存儲、傳輸、處理等領域中信息安全保障問題的一門學科。
1.2 信息安全理論基礎
信息安全理論基礎包含的學科如下：
- 通用理論基礎
- 數學：包含代數、數論、概率統計、組合數學、邏輯學等知識
- 信息理論：包含信息論、控制論、系統論
- 計算理論：包含可計算性理論、計算複雜性理論
- 特有理論基礎
- 訪問控制理論：包含各種訪問控制模型、授權理論
- 博弈論：一些個人、團隊、組織面對一定的環境條件，在一定的規則約束下，依靠掌握的信息，同時或先後，一次或多次，從各自允許選擇的行爲或策略中進行選擇並實施，並各自取得相應結果或收益的過程
- 密碼學：研究編織密碼和破譯密碼的技術科學
1.3 信息安全方法論
網絡安全方法論是研究解決安全問題的方法，具體內容有理論分析、逆向分析、實驗驗證、技術實現
1.4 信息系統安全層次
信息系統安全可以劃分爲四個層次，具體如表1-4-1所示
| 層次 | 屬性 | 說明 |
|---|---|---|
| 設備穩定性 | 設備一定時間內不出故障的概率 | |
| 設備安全 | 設備可靠性 | 設備一定時間內正常運行的概率 |
| 設備可用性 | 設備隨時可以正常使用的概率 | |
| 數據祕密性 | 數據不被未授權方使用的屬性 | |
| 數據安全 | 數據完整性 | 數據保持真實與完整，不被篡改的屬性 |
| 數據可用性 | 數據隨時可以正常使用的概率 | |
| 政治健康 | ||
| 內容安全 | 合法合規 | |
| 符合道德規範 | ||
| 行爲祕密性 | 行爲的過程和結果是祕密的，不影響數據的祕密性 | |
| 行爲安全 | 行爲完整性 | 行爲的過程和結果可預期，不影響數據的完整性 |
| 行爲的可控性 | 可及時發現、糾正、控制偏離預期的行爲 |
1.5 信息安全管理
信息安全管理是維護信息安全的體制，是對信息安全保障的進行指導、規範的一系列活動和過程。信息安全管理體系是組織在整體或特定範圍內建立的信息安全方針和目標，以及所採用的方法和手段所構成的體系。改體系包含**密碼管理、網絡管理、設備管理、人員管理。
1.5.1 密碼管理
密碼技術是保護信息安全的最有效手段，也是保護信息安全的最關鍵技術。各國政府相應出臺了各種密碼管理政策用於控制密碼技術、監控密碼市場等。目前我國密碼管理的相關機構是國家密碼管理局，全程國家商用密碼管理辦公室。
國家出臺密碼相關的主要政策有《商用密碼管理條例》（中華人民共和國國務院第273號令，1999年10月7日發佈）、《電子認證服務密碼管理辦法》、《證書認證系統密碼及其相關安全技術規範》《商用密碼科研管理規定》《商用密碼產品生產管理規定》和《商用密碼產品銷售管理規定》《可信計算密碼支撐平臺功能與接口規範》《IPSec VPN技術規範》。
《商用密碼管理條例》相關的重要規定如下：
第二條 本條例所稱商用密碼，是指對不涉及國家祕密內容的信息進行加密保護或者安全認證所使用的密碼技術和密碼產品。
第三條 商用密碼技術術語國家祕密。國家對商用密碼產品的科研、生產、銷售和使用實行專控管理。
第四條 國家密碼管理委員會及其辦公室（以下簡稱國家密碼管理機構）主管全國的商用密碼管理工作。
1.5.2 網絡管理
網絡管理是對網絡進行有效而安全的監控、檢查。網絡管理的任務就是檢測和控制。OSI定義的網絡管理功能有性能管理、配置管理、故障管理、安全管理、計費管理。
注意：詳細的網絡管理知識參見SNMP部分
1.5.3 設備管理
設備安全管理包括設備的選型、安裝、調試、安裝與維護、登記與使用、存儲管理等。設備管理相關標準有：《電子計算機機房設計規範》（GB50173-9）、《計算站場地技術條件》（GB2887-89）、《計算站場地安全要求》（GB93361-88）。
1.5.4 人員管理
人員管理應該全面提升管理人員的業務素質、職業道德、思想素質。網絡安全管理人員首先應該通過安全意識、法律意識、管理技能等多方面對審查：之後對所有相關人員進行適合的安全教育培訓。
安全教育對象不僅僅包含網絡管理員，還應該包含用戶、管理者、工程實施人員、研發人員、運維人員等。
安全教育培訓內容包含法規教育、安全技術教育（包含加密技術、防火牆技術、入侵檢測技術、漏洞掃描技術、備份技術、計算機病毒防禦技術和反垃圾郵件技術、風險防範措施和技術等）和安全意識教育（包含了解組織安全目標、安全規定與規則、安全相關法律法規等）。
1.6 ISO安全體系結構
ISO制定了國際標準ISO7498-2-1989《信息處理系統開放系統互連基本參考模型 第2部分安全體系結構》。該標準描述了開放系統互聯（OSI）的基本參考模型，爲協調開發現有的與未來系統互連標準建立起一個框架。其任務是提供安全服務於有關機制的一般描述，確定在參考模型內部提供服務與機制的位置。圖1-6-1給出了開放體系互連安全體系結構示意圖。
ISO的開放系統互連安全體系結構包含了安全機制、安全服務、OSI參考模型，並明確了三者之間的邏輯關係。
- 安全機制：保護系統免受攻擊、偵聽、破壞及恢復系統的機制
- 安全服務：加強數據處理系統和信息傳輸的安全性服務，利用一種或多種安全機制阻止安全攻擊。
- OSI參考模型：開放系統互連參考模型，及常見的七層協議體系結構
網絡安全體系結構借鑑了開放系統互連安全體系結構，具體如圖1-6-2所示
網絡安全體系包含三部分內容：協議層次、系統單元、安全服務。
- 協議層次：TCP/IP協議
- 系統單元：該安全單元能解決哪些系統環境的安全問題。
- 安全服務：該安全單元能解決哪些安全威脅
1.7 信息安全風險管理
系統外部可能造成的損害，稱爲威脅；系統內部可能造成的損害，稱爲脆弱性。系統風險則是威脅利用脆弱性造成損壞的可能性。
1.7.1 風險評估
風險評估就是依據評估標準，利用評估的方法、技術和工具，全面評價系統中威脅、脆弱點以及帶來風險大小的評估。在項目管理理論中，風險評估在風險分析和風險監控中常常用到。
對信息系統進行風險評估，首先要確保評估和分析的內容、範圍應該覆蓋整個信息系統的體系。系統體系包含：系統基本情況分析、系統安全狀況調查、系統安全組織、政策分析、系統弱點漏洞分析等。
風險評估的流程如下：
- 確定資產：確定信息系統資產，明確資產價值
- 脆弱性和威脅分析：分析項目的脆弱性和威脅，評估發生概率及損失
- 指定應對方案：提出各種應對手段和解決辦法
- 決策：評估影響、排列風險、制定決策
- 溝通與交流
- 方案實施
風險評估的方法有定性風險評估、定量風險評估、定量與定性結合的風險評估
- 定性風險評估：評估、彙總風險發生的概率和影響，並對風險進行排序
- 定量風險評估：定量分析已識別風險對項目的整體影響
- 定量與定性相結合的風險評估：常用的方法有層次分析法，核心是將決策者的經驗判斷進行量化，並提供定量的決策依據。層次分析法的基本步驟是系統分解、構造判斷矩陣、層次總排序
1.7.2 風險管理
風險管理的目的是提高積極風險發生的概率和影響，降低消極風險的發生概率和影響。項目管理中定義的風險管理包含如下過程：
- 規劃風險管理：決定如何進行、規劃和實施項目風險管理活動
- 識別風險：識別並記錄影響項目的風險
- 定性風險評估：評估、彙總風險發生的概率和影響，並對風險進行排序
- 定量風險評估：定量分析已識別風險對項目的整體影響
- 風險控制：指定具體的積極、消極風險應對方案。減少風險的方法如下：避免風險（例如：隔離重要計算機避免受攻擊）、轉移風險（例如：外包服務、購買保險）、減少威脅（例如：安裝殺毒軟件）、減少脆弱性（例如：安裝系統補丁）、減少威脅可能的損害、檢測意外事件
- 風險監控：整個項目過程中，跟蹤已知風險，識別新風險，實施風險應對、評估風險有效性。
一般可通過以下途徑達到降低風險的目的：
- 避免風險：通過改變項目計劃，排除風險起源，改變風險目標避免風險，取消項目。例如，對重要設備進行網絡隔離，避免攻擊。
- 轉移風險：將部分或者全部風險連同應對的責任轉移到他方身上。例如，對高風險業務進行外包、保險、擔保等。
- 減少威脅：降低風險概率到可接受範圍。例如，部署殺毒軟件或者反木馬軟件，減少系統被攻擊的機會
- 減少脆弱性：常用的方法有系統安裝補丁，修復漏洞，減少系統的脆弱性
- 減少威脅可能的影響：例如制定業務持續性計劃，把災難造成的損失降到最低
- 檢測並響應和恢復意外事件：例如，使用網管軟件檢測系統性能和故障，當發現問題是進行相應的響應
在實時風險控制後，仍然會存在風險，稱爲剩餘風險。風險接受是一個對剩餘風險進行確認評價、接受的過程。