网络与信息安全基础知识v5.pptx

《网络与信息安全基础知识v5.pptx》由会员分享，可在线阅读，更多相关《网络与信息安全基础知识v5.pptx（64页珍藏版）》请在课桌文档上搜索。

1、网络与信息安全基础知识,（一）基础知识1、网络与信息安全概念及重要原则2、通信网络安全防护要求（交换、传输、短彩信等重要系统）3、网络安全防护知识（系统、服务器、终端）（二）规章制度1、中国移动网络与信息安全总纲2、安徽移动网络与信息安全相关管理制度3、安全技术规范,引言,作为认证凭证的密码安全吗？中国版弱密码 TOP25,abc123a1b2c3aaa111123qweqwertyqweasdadminpasswordpsswordpasswdiloveyou5201314,00000011111111111111112233123123123321123456123456786543216

2、66666888888abcdefabcabc,不在弱密码中？密码字典通常人们使用的密码都具有一些共同的规律，例如姓名缩写配数字，生日配手机号等等，密码字典根据这个规律来猜测密码。,个人密码不是弱密码，企业设备呢？国家计算机网络与信息安全管理中心（CNCERT）对中国移动统计风险中弱密码占60%,为什么办公密码要定期修改？为什么原则上不能使用无线网络接入网管网？为什么公司禁止使用无线键盘？.,目录,网络与信息安全基础知识信息安全基础攻击方法防护手段网络与信息安全规章制度提要,什么是安全？,国际标准化组织（ISO）引用ISO74982文献中对安全的定义是这样的，安全就是最大程度地减少数据和资源被

3、攻击的可能性。对于我们而言，安全的关键或者说安全计划的目的是保护公司和个人的财产。,安全的基本原则,可用性（availability）保证经过认证的用户能够对数据和资源进行适时和可靠的访问。完整性（integrity）是指保证信息和系统的准确性和可靠性，并禁止对数据的非授权的修改。机密性（confidentiality）提供了保证在每一个数据处理和防止未经授权的信息泄漏的交叉点上都能够加强必要的安全级别的能力。,10,安全的基本原则,可用性 防止服务和工作能力的崩溃。完整性 防止对系统和信息进行未经授权的修改。机密性 防止未经授权而透露某些敏感信息。简称AIC安全三原则:可用性（availab

4、ility）、完整性（integrity）和机密性（confidentiality）,11,AIC安全三原则,安全对象,可用性,完整性,机密性,信息安全是将数据的可用性、完整性、机密性作为保护对象。对信息安全的认识经历了数据安全阶段（强调保密通信）、网络信息安全时代（强调网络环境）和目前信息保障时代（强调不能被动地保护，需要有保护检测反应恢复四个环节）。,信息安全各要素之间的关系,引起,利用,导致,可以破坏,并引起一个,能够被预防，通过,信息安全自顶向下的设计方法,安全策略是公司安全计划的蓝图，为上层建筑提供了必要的基础。如果安全计划以一个坚实的基础开头，并且随着时间的推移向着预定的目标发展，

5、那么公司就不必在中间作出大的改动。,应用安全,感知能力,网络安全,内容安全,基础安全,安全标准规范体系,安全目标体系,组织机构,人才培养,安全责任,安全需求,安全建设,安全规划,安全设计,安全准入,安全运维,安全研发创新体系,技术支持体系,业务连续性（BCP）,入侵防范与恶意代码防护,应用程序安全,不良信息治理,信息防泄漏,信息安全专项工作,支撑,固化,入侵感知,综合预警,风险展示,安全监控,应急响应与事件处理,合规支撑,安全评估,安全检查考核,控制能力,管理能力,业务逻辑安全,业务合规管理,信息备份,入侵防范与恶意代码防护,网络报文识别与控制,网络路由、信令、协议安全,设备认证、授权与访问控

6、制,设备日志审计,网络边界划分与隔离,网络安全策略管理,网络定位、溯源与日志审计,网络传输安全,策略安全管理,设备补丁管理,设备入侵防范与病毒防护,网络流控、质量保障,物理环境安全,构建国际一流信息安全体系 承担中国移动企业社会责任,专项研究,安全整改,重大保障,第三方安全,信息校验,安全测试,安全终止,安全策略,安全组织,安全运营,安全技术,流程运营管理,信息安全,执行体系,信息安全,管理机制,安全管控,与支撑,中国移动网络与信息安全实施框架,根据信息安全实施框架，落实系统与网络的信息安全等级保护要求。,信息安全基础知识,组织内部的安全角色,目录,网络与信息安全基础知识信息安全基础攻击方法防

7、护手段网络与信息安全规章制度提要,什么是攻击行为？,基本上任何一种危及到一台机器安全的行为都可以认为是一种攻击行为。危及包括以下几个方面：可以访问使访问简单化使一个系统脱机使敏感信息的敏感度降低,什么是攻击行为？,如果有攻击行为，那就必须存在能威胁的弱点。如果没有薄弱环节，那就没有什么好攻击的。所以大多数人说真正安全的系统是没有联网的机器。,攻击的步骤,1）被动的侦察2）主动的侦察3）入侵系统4）上传程序5）下载数据6）保持访问7）隐藏踪迹（注意并不是每一步都会执行）,常用攻击方法,欺骗会话劫持拒绝服务攻击（DoS）、分布式拒绝服务攻击（DDoS）缓冲区溢出攻击,欺骗,如果攻击者能让计算机或者

8、网络相信他是别人（信任方），他可能能够获得正常情况下不能得到的信息。欺骗的类型：IP欺骗 公司使用其他计算机的IP地址来获得信息或者得到特权。电子邮件欺骗 电子邮件发送方地址的欺骗。Web欺骗 假冒Web网站。如假工商银行网站。非IT技术类欺骗 这些类型的攻击把精力集中在攻击公司的人力资源上。如社会工程。,会话劫持,会话劫持就是接管一个现存的动态会话过程。劫持会话最主要的原因之一就是通过授权过程可以获得进入系统的机会，因为就会话劫持而言，此时用户已经通过提供用户ID和密码，在授权的情况下登录到服务器上。在用户通过了身份验证并获得进入服务器的权利后，只要他与服务器动态连接着，就不再需要重新通过验

9、证。黑客门可以使用各种方式使用户下线然后再代替这个用户，此时他不再需要任何登录行为就可以进入系统了。,会话劫持,小李,攻击者,服务器,服务器验证小李,小李登录服务器,Die！,你好，我是小李,拒绝服务攻击DOS,DoS是Denial of Service的简称，即拒绝服务，造成DoS的攻击行为被称为DoS攻击，其目的是使计算机或网络无法提供正常的服务。最常见的DoS攻击有计算机网络带宽攻击和连通性攻击。带宽攻击指以极大的通信量冲击网络，使得所有可用网络资源都被消耗殆尽，最后导致合法的用户请求就无法通过。连通性攻击指用大量的连接请求冲击计算机，使得所有可用的操作系统资源都被消耗殆尽，最终计算机无

10、法再处理合法用户的请求。,分布式拒绝服务攻击DDOS,分布式拒绝服务(DDoS:Distributed Denial of Service)攻击指借助于客户/服务器技术，将多个计算机联合起来作为攻击平台，对一个或多个目标发动DoS攻击，从而成倍地提高拒绝服务攻击的威力。通常，攻击者使用一个偷窃帐号将DDoS主控程序安装在一个计算机上，在一个设定的时间主控程序将与大量代理程序通讯，代理程序已经被安装在Internet上的许多计算机上。代理程序收到指令时就发动攻击。利用客户/服务器技术，主控程序能在几秒钟内激活成百上千次代理程序的运行。,27,分布式拒绝服务攻击DDOS,攻击者,受害者,傀儡机,远

11、程控制,发起攻击,28,缓冲区溢出攻击,攻击者试图在一个不够大的接受器里存储过量的信息就是一次缓冲区溢出攻击。例如，如果一个程序只能接受50个字符，而用户却输入了100个字符，这样由于过多的数据输入到了一个不够大的接受器，该程序将不能控制它，多出部分将写入内存。,缓冲区溢出攻击,内存底部,内存顶部,填充方向,返回指针,函数调用的参数,内存底部,内存顶部,填充方向,返回指针,函数调用的参数,缓冲1空间被覆盖,返回指针被覆盖,正常情况,缓冲区溢出,目录,网络与信息安全基础知识信息安全基础攻击方法防护手段网络与信息安全规章制度提要,网络安全防护体系,各阶段网络安全的防护事前：网络防火墙、系统漏洞检测

12、、安全配置合规、病毒防范、网页防篡改等事中：预警、入侵检测、日志取证系统事后：应急响应、事故恢复安全管理支撑手段：安全管控平台（4A）,32,网络防火墙,防火墙是在两个网络之间执行控制策略的系统，目的是不被非法用户侵入。防火墙是内部与外部网连接中的第一道屏障。在内部网络和外部网络之间合理有效地使用防火墙是网络安全的关键。,33,网络防火墙,系统漏洞扫描和检测,系统漏洞检测要求：定期分析有关网络设备的安全性，检查配置文件和日志文件；定期分析系统和应用软件，一旦发现安全漏洞，应该及时修补；检测的方法主要采用安全扫描工具，测试网络系统是否具有安全漏洞和是否抵抗攻击，从而判定系统的安全风险。,主机/端

13、口扫描,漏洞扫描,检查本地或者远程主机、设备、应用的安全漏洞,确定系统存活状态：ping针对目标系统端口，了解端口的分配及提供的服务、软件版本,主机/设备,Web,数据库,安全配置合规,中国移动设备安全功能和配置系列规范,2013年安全配置合规要求。WAP等10类高风险系统合规率达到85%以上，WLAN等系统合规率达到70%以上。,通信网络安全防护,工信部工业和信息化部关于开展2013年基础电信企业网络安全防护检查工作的通知（工信部保函2013110号）,网页防篡改,主要网页防篡改系统分类外挂轮巡技术：使用外部的网页读取和检测程序，以轮询方式读出和比对要监控的网页。核心内嵌技术：篡改检测模块内

14、嵌于Web服务器软件，在每一个网页流出时进行完整性检查。事件触发技术：使用操作系统的文件系统/驱动程序接口，网页文件被修改时进行合法性检查。,入侵检测,入侵检测系统是实时的网络违规自动识别和响应系统。当发现网络违规模式和未授权的网络访问尝试时，入侵检测系统能够根据系统安全策略作出反应并报警。,入侵检测系统,Firewall,Servers,DMZ,Intranet,监控中心,router,攻击者,报警,报警,安全管控平台,安全管控平台系统，又称为4A系统是指：认证Authentication、账号Account、授权Authorization、审计Audit，中文名称为安全管理平台解决方案。,

15、2013年已完成WLAN AC等设备接入安全管控，要求各系统安全管控使用率不低于95%,便利性和安全性的矛盾其实安全性和便利性间的矛盾，并不是什么新的话题。早在远古时期，穴居的人类为了安全而将洞口设计的难于进出，这就是选择牺牲掉便利性。而我们希望能有一个中间地带，既保留有安全性，又兼顾便利性。,目录,网络与信息安全基础知识网络与信息安全规章制度提要,公司制定了信息安全责任管理办法、责任矩阵、考核办法、中国移动基础信息安全检查矩阵、安徽移动基础信息安全管理通用要求等系列管理制度。,2012年12月28日，全国人大常委会通过了关于加强网络信息保护的决定，明确了网络服务提供者对网络信息保护的义务和责

16、任。,工业和信息化部、国务院国有资产监督管理委员会联合印发了关于开展基础电信企业网络与信息安全责任考核有关工作的指导意见（工信部联保2012551号）、工业和信息化部办公厅印发了2013年省级基础电信企业网络与信息安全工作考核要点与评分标准（工信厅保2012247号）,对网络安全防护：重点为“三同步”、定级、备案、风险评估等措施要求；应急保障：网络安全事件上报、处置和应急演练。等方面执行考核,信息安全管理通用要求,安徽移动基础信息安全管理通用要求,第一章总 则 第三条 基础信息安全管理遵循“谁主管谁负责、谁运营谁负责、谁使用谁负责、谁接入谁负责”的原则。,信息安全管理通用要求,建设阶段：1.工

17、程建设单位负责提交安全配置资料，维护单位确认符合安全要求后，设备方可与现网进行互联；2.工程建设单位负责组织对系统设备的安全验收，安全验收材料齐全设备方可入网割接。,安徽移动项目网络与信息安全三同步管理办法与系统下线信息安全管理要求，把握系统生命周期立项、建设、验收关键控制点。,立项阶段：计划部负责组织安全专家对项目进行安全评审定级与备案情况审核。,维护阶段：维护部门需充分考虑安全评审与验收阶段提出的风险点和备忘，持续做好安全维护工作。,下线阶段：需按要求做好相关数据清理、销毁，方可实施退网。,第一章总 则 第四条 基础信息安全防护工作遵循“同步规划，同步建设，同步运行”的原则（“三同步”原则

18、），覆盖IT系统与网络全生命周期的各个环节。,第二章组织与职责 第九条 涉及基础信息安全的生产单位职责：落实基础信息安全管理的各项要求；做好基础信息安全防护、安全运维、开发测试、安全审核、合规性检查、风险评估和加固工作；细化完善安全管理制度、技术规范、作业流程和检查细则；定期开展信息安全演练，及时上报安全事件等。,信息安全管理通用要求,第三章安全运营管理要求第一节 安全预警第十三条 各单位接到预警信息后，应依据上级主管部门要求落实，及时跟踪预警项进展，对安全补丁类预警，应根据设备所处位置和重要性采取不同的加载策略。在设备没打补丁期间，要采取相应的加固措施，保证设备不易被攻击。第二节 安全监控第

19、十六条 各单位要组织开展对IT系统与网络的安全监控工作，建立和完善安全监控的管理制度、操作流程与支撑手段。,信息安全管理通用要求,第三章安全运营管理要求第三节 访问控制第二十六条 内网接入安全要求（二）严禁任何设备以双网卡方式同时连接互联网和公司内网；严禁向任何未经防火墙隔离的对外网站等互联网系统分配公司内网IP地址；（六）原则上不应采用无线AP方式接入内网，如遇特殊情况，依据“谁接入、谁负责”的原则，管理上必须经主管领导审批授权，技术上必须采用MAC地址绑定，强安全认证，强加密算法保护的安全传输，配置隐藏SSID，保证AP口令强度等配置；（七）各单位要维护一份已使用内网IP地址清单，清单内容

20、包括但不限于每个IP地址的使用单位、设备用途、责任人（使用人）和联系方式等信息。,信息安全管理通用要求,第二十七条 远程接入（二）各单位要制定远程接入的实施细则、远程接入审批和授权流程，规范帐号权限的申请、变更与删除等工作，审批与授权记录应予以归档留存;（四）远程接入帐号只能授予内部员工，厂家人员需要使用远程维护时，按次授权，用毕收回；,信息安全管理通用要求,第二十八条 防火墙配置管理（五）内网不同区域之间的边界防火墙对于维护管理、数据库服务端口仅允许配置点对点访问策略，严禁开放大段IP地址的访问策略；,信息安全管理通用要求,第二十九条 第三方访问控制管理 第三方是指与中国移动在业务上具有合作

21、关系，或是向中国移动提供开发、维护等服务的公司及其员工；严格禁止第三方人员拥有重要系统管理员权限，创建系统帐号权限，查询客户敏感信息或者超出工作范围的高级权限的帐号。各单位应至少每3个月对第三方的帐号权限进行一次审核清理。,信息安全管理通用要求,第三十二条 各单位要以年为单位，对各网络与系统制定或更新安全维护作业计划及配套的实施指南。第三十五条 遵循职责分离的原则，负责安全审核的人员不能是该系统维护人员。第三十六条 安全维护作业计划按照执行频率，分为日、周、月、季度、年和触发性作业计划。,信息安全管理通用要求,第四节 安全维护作业计划,第五节 安全分析第三十八条 各单位要建立安全分析制度，定期

22、对基础信息安全工作情况进行分析通报。第六节 安全合规性检查第四十一条 各级信息安全归口管理部门要制定合规性检查制度，配备必要的检查工具，建立内部检查机制。,信息安全管理通用要求,第七节 风险评估第四十八条 各单位要建立风险评估制度，在年初编制风险评估计划，定期组织开展风险评估工作。,信息安全管理通用要求,风险评估常规流程,第八节 安全事件管理 第六十一条 安全事件分为特别重大、重大、较大和一般四个级别。系统（含内网系统）安全事件信息分级定义参照互联网网络安全信息通报实施办法规定，及集团相关部门要求。第六十八条 重大安全事件发生时，二级管理组织应及时上报集团公司。重大安全事件确认至上报到集团公司

23、不得超过2小时。第六十九条 较大或一般安全事件由二级管理组织汇总后于次月5个工作日内报送当地通信管理局和CNCERT/CC当地分中心，并在每月安全报表中向集团公司上报。,信息安全管理通用要求,第九节 人员与资产安全管理第七十九条 各单位应与合作第三方、关键岗位员工单独签订保密协议，在协议中明确其保密责任以及违约罚则。第八十四条 各单位应建立完善资产退服管理流程。定期清查盘点，确保退服系统及时下线并移出机房。对于退服设备的数据，要彻底清除。,信息安全管理通用要求,第四章基础IT设施安全防护要求第一节 系统安全第八十七条 生产环境安全要求（一）生产环境中的工具软件安装与使用要求1、应对生产环境中工

24、具软件进行统一管理，不得安装与生产无关的软件；2、严禁安装能够穿透防火墙，从互联网访问和控制内网设备的软件，如Teamviewer等；3、除部门领导授权外，任何非安全专用设备严禁安装漏洞扫描、网络嗅探等安全工具；,信息安全管理通用要求,（二）移动存储介质使用安全要求1、各单位应完善本单位内移动存储介质使用管理办法，并指定专人负责对存储介质的使用进行指导、监督和检查；2、各单位应明确允许使用移动存储介质的人员、系统与网络范围，对于不允许使用的，应实施控制策略、物理封闭或端口封禁等手段；3、对准许接入系统与网络的存储介质进行严格控制，在接入前必须进行病毒查杀；4、未经授权，严禁使用移动存储设备（如

25、移动硬盘、U盘等）处理涉密数据或文件；5、涉密信息的移动存储介质的管理应按照国家、公司相关保密制度执行。,信息安全管理通用要求,（三）应做到办公终端与维护生产终端的专机专用，原则上要求实现两者的物理隔离，严禁采用双网卡（包括无线网卡）跨接不同网络。（四）开发测试系统的安全要求1、开发测试环境应与生产环境隔离，不得在现网生产环境上进行开发与测试；2、开发测试过程中不得使用真实生产数据，仅能使用经过模糊化处理的数据；3、应对开发测试环境采取适当的保护措施，防止被互联网区域渗透。,信息安全管理通用要求,第二节 安全域划分第九十条 网管、业务支撑、信息化3大支撑系统应分别依据中国移动支撑系统安全域划分

26、与边界整合技术要求、中国移动业务支撑网安全域划分和边界整合技术要求、中国移动管理信息系统安全域划分技术要求划分安全域；数据业务系统应依据中国移动数据业务系统集中化安全防护技术要求划分安全域。,信息安全管理通用要求,第五节 集中安全管控要求第九十七条 集中安全管控系统（如4A、堡垒主机等方式）是系统运维的统一入口。第九十八条 集中安全管控系统要求：（一）重要的支撑系统与网络、业务平台原则上应纳入集中安全管控系统，后台操作必须通过集中安全管控系统登录；（二）集中安全管控系统应实现基于主帐号的强身份认证，保存用户的完整操作日志，能对异常操作告警；（三）应定期审核集中安全管控系统上的帐号、权限与日志，清除过期帐号与权责不相容的权限；（四）禁止在集中管控系统正常运行的状况下，绕过该系统直接访问后台系统。,信息安全管理通用要求,目录,网络与信息安全基础知识信息安全基础攻击方法防护手段网络与信息安全规章制度提要,思考如果涉及用户信息的新设备应该如何组织测试？,