【软考速通条记】体系架构操持师③——信息安全技能根本知识

一、媒介

   条记目次大纲请查阅：【软考速通条记】体系架构操持师——导读
  二、信息安全根本知识

2.1 信息安全的根本要求

• 机密性：确保信息不袒露给未授权的实体或进程。这是信息安全中最根本的要求之一，它涉及到信息的保密性，即只有授权的职员或体系才气访问敏感信息。
  
• 完备性：只有得到允许的人才气修改数据，而且可以或许辨别出数据是否已被篡改。完备性要求信息在传输、存储和处理惩罚过程中保持其原始性和精确性，防止被恶意篡改或粉碎。
  
• 可用性：得到授权的实体在必要时可访问数据，即攻击者不能占用全部的资源而拦阻授权者的工作。可用性要求信息在必要时可以或许被授权用户及时、精确地访问和利用。
  
• 可控性：可以控制授权范围内的信息流向及举动方式。这包罗了对信息的传播、存储、处理惩罚和利用等方面的控制，以确保信息的安全性和合规性。
  
• 可查察性：对出现的信息安全题目提供观察的依据和本事。可查察性要求信息体系可以或许纪录并生存富足的信息，以便在发生安全题目时举行查察和追溯。
  

2.2 信息安全的范围

• 装备安全：信息体系装备的安满是信息体系安全的紧张题目，是信息体系安全的物质根本。它包罗装备的稳固性、可靠性和可用性等方面，要求装备可以或许正常运行，防止被恶意攻击或粉碎。
  
• 数据安全：数据安全即采取步调确保数据免受未授权的走漏、篡改和粉碎。它包罗数据的机密性、完备性和可用性等方面，要求数据在传输、存储和处理惩罚过程中保持其机密性、完备性和可用性。
  
• 内容安全：内容安满是信息安全在政治、法律、道德条理上的要求。它包罗信息内容政治上康健、符合国家法律法规、符合道德规范等方面，要求信息内容符合社会公德和法律法规的要求。
  
• 举动安全：信息体系的服务功能是指终极通过举动提供给用户，确保信息体系的举动安全，才气终极确保体系的信息安全。举动安全要求用户的举动符合规范，防止因用户操纵不当或恶意举动导致的安全题目。
  

2.3 网络安全表现

• 非授权访问：未经授权的用户或体系访问敏感信息或资源。
  
• 信息走漏或丢失：敏感信息被走漏给未经授权的用户或体系，大概信息在传输、存储过程中丢失。
  
• 粉碎数据完备性：数据在传输、存储或处理惩罚过程中被恶意篡改或粉碎。
  
• 拒绝服务攻击：通过占用体系资源或粉碎体系正常运行，使体系无法为授权用户提供服务。
  
• 利用网络传播病毒：通过网络传播恶意软件或病毒，对体系举行攻击或粉碎。
  

2.4 安全步调包罗

• 访问控制：通过限定对敏感信息和资源的访问权限，防止未经授权的用户或体系访问。
  
• 认证：通过验证用户的身份和权限，确保只有授权用户才气访问敏感信息和资源。
  
• 完备性：通过采取加密、数字署名等技能本事，确保数据在传输、存储和处理惩罚过程中的完备性和真实性。
  
• 审计：通过纪录和分析体系运动日志，及时发现并处理惩罚安全题目，进步体系的安全性和合规性。
  
• 保密：通过采取加密、隐蔽等技能本事，掩护敏感信息不被走漏给未经授权的用户或体系。
  

三、信息安全体系的构成框架

3.1 技能体系：

• 根本安全装备：这些装备是信息安全体系的基石，包罗暗码芯片、加密卡、身份辨认卡等。别的，还涵盖物理安全技能，如构筑物、机房条件及硬件装备条件满意信息体系的机器防护安全，以及电力供应装备以及信息体系组件的抗电磁干扰和电磁走漏性能的选择性步调。
  
• 盘算机网络安全：指信息在网络传输过程中的安全防范，用于防止和监控未授权粉碎、更改和偷取数据的举动。通常涉及物理隔离、防火墙及访问控制、加密传输、认证、数字署名、择要、隧道及VPN技能、病毒防范及上网举动管理、安全审计等实现技能。
  
• 操纵体系安全：操纵体系的无错误设置、无毛病、无后门、无特洛伊木马等，能防止非法用户对盘算机资源的非法存取。操纵体系的安全机制包罗标识与辨别机制、访问控制机制、最小特权管理、可信通路机制、运行保障机制、存储掩护机制、文件掩护机制、安全审计机制等等。
  
• 数据库安全：可大抵分别为数据库管理体系安全和数据库应用体系安全两个部分，紧张涉及物理数据库的完备性、逻辑数据库的完备性、元素安全性、可审计性、访问控制、身份认证、可用性、推理控制、多级掩护以及消除隐通道等干系技能。
  
• 终端装备安全：从电信网终端装备的角度，可以分为电话暗码机、传真暗码机、异步数据暗码机等。
  

3.2 构造机构体系：

• 决定层：负责订定信息安全战略和决定，对信息安全体系创建和管理负有最高责任。
  
• 管理层：负责实行决定层的战略决定，对信息安全体系的一样平常运行举行管理和监视。
  
• 实行层：负责具体实行信息安全体系的创建和维护，确保信息安全体系的有用运行。别的，岗位是信息体系安全管理构造根据体系安全必要设定的负责某一个或某几个安全变乱的职位。
  

3.3 管理体系

• 法律管理：依据干系法律法规对信息安全体系举行管理和监视，确保信息安全体系的正当性和合规性。
  
• 制度管理：订定和美满信息安全管理制度和规定，明确各级职员的职责和权限，规范信息安全体系的创建和运行。
  
• 培训管理：对各级职员举行信息安全培训和教诲，进步职员的信息安全意识和技能程度，确保信息安全体系的有用运行和连续改进。
  

四、信息加解密技能

4.1 对称密钥加密算法

对称密钥加密算法，又称专用密钥加密，即发送和吸取数据的双方必利用雷同的密钥对明文举行加密息争密运算。

• DES（Data Encryption Standard）：DES是一种对称密钥加密算法，利用56位的密钥对64位的数据块举行加密息争密操纵。它是最早被广泛采取的分组暗码之一，但如今因其密钥长度较短，已不适实用于安全性要求较高的应用。
  
• 三重DES（TDEA/3DES）：三重DES是基于DES的一种加密算法，利用三个密钥（统共168位），并分别对数据块举行三次加密息争密操纵，以提供更高的安全性。只管它提供了更高的安全性，但由于运算复杂度较高，速率相对较慢。
  
• IDEA（International Data Encryption Algorithm）：IDEA是一种利用128位密钥的对称加密算法。它以64位的明文块举行分组，紧张采取异或、模加、模乘等三种运算。
  
• AES（Advanced Encryption Standard）：AES是一种广泛应用的对称密钥加密算法，支持128位、192位和256位三种密钥长度。它采取了更高级的轮函数和更复杂的操纵，具有较高的安全性和性能，被广泛应用于各种范畴，包罗数据传输、存储和移动装备等。
  
• SM4：SM4是一种中国国家暗码算法尺度，其分组长度和密钥长度都是128位。该算法在中国得到了广泛应用，用于掩护敏感数据的机密性。
  

4.2 非对称密钥加密

非对称密钥加密算法，又称公开密钥加密算法，必要两个密钥：公开密钥（public key）和私有密钥（private key）。

• RSA
  
• SM2国密算法
  

4.3 数字署名

数字署名是数字署名尺度的一个子集，表现了只用作数字署名的一个特定的公钥算法。它团结了公钥加密技能和数字择要技能，用于验证数据的真实性和完备性。
五、信息安全的攻防

5.1 DoS（拒绝服务）攻击与防御

DoS攻击是一种通过斲丧网络资源或带宽，使目标体系无法提供正常服务的攻击方式。
防御步调：

• 特性辨认：通过辨认DoS攻击的特性，如大量来自同一源IP地点的哀求，来及时检测和防御攻击。
  
• 防火墙：公道设置防火墙，设置访问控制战略，克制未经授权的访问和哀求。
  
• 通讯数据量的统计：对网络流量举行及时监控和统计，分析非常流量模式，及时发现DoS攻击。
  
• 修正题目和毛病：定期查抄和修复体系中的安全毛病，淘汰攻击者利用毛病举行DoS攻击的机会。
  

5.2 ARP诱骗与防御

ARP诱骗是一种利用ARP协议毛病的攻击方式，攻击者发送卖弄的ARP相应，诱骗目标装备将数据包发送到错误的MAC地点。
防御步调：

• 创建DHCP服务器和MAC数据库：绑定网卡IP-MAC关系，确保网内的主机IP-MAC对应关系精确。
  
• 关闭ARP动态革新：利用静态路由，防止攻击者通过ARP诱骗攻击网关。
  
• 监听ARP数据包：对局域网内的ARP数据包举行分析，检测非常ARP哀求。
  
• 利用VLAN或PVLAN技能：将网络分段，低落ARP诱骗的影响范围。
  

5.3 DNS诱骗与防御

DNS诱骗是一种通过篡改或伪造DNS相应，将域名剖析到错误的IP地点的攻击方式。
防御步调：

• 实现DNS安全：利用DNSSEC协议，确保DNS查询的完备性和真实性。
  
• 限定zone传输：对于具有高风险的域名，限定非授权用户的访问，防止恶意篡改。
  
• 精确设置DNS服务器：以最小特权原则设置DNS服务器，仅开启必须的服务。
  
• 启用DNS安整日志纪录：纪录DNS查询哀求和相应，辨认非常环境并及时处理惩罚。
  

5.4 IP诱骗与防御

IP诱骗是指攻击者通过修改或伪装网络数据包中的IP地点，使其似乎来自于一个差异的源地点。
防御步调：

• 利用加密通讯协议：淘汰中心人攻击，纵然攻击者伪装了IP地点，也难以解密或篡改加密的通讯内容。
  
• 设置防火墙规则：限定来自特定IP地点范围的流量，有用减缓IP地点诱骗攻击的影响。
  
• 及时监控网络流量：检测非常的流量模式，及时发现并应对IP地点诱骗攻击。
  
• 入侵检测体系：可以或许检测到非常流量和伪造的数据包，及时发出警报。
  

5.5 端口扫描与防御

端口扫描是一种通过向目标主机的各个端口发送哀求，以探寻其安全毛病的攻击方式。分为全TCP毗连、半打开扫描（SYN扫描）、FIN扫描、第三方扫描。
防御步调：

• 关闭不须要的端口：淘汰攻击者利用的机会。
  
• 利用防火墙：设置防火墙规则，克制来自未经授权的IP地点的端口扫描哀求。
  
• 定期更新体系补丁：修复已知的安全毛病，淘汰被攻击的风险。
  
• 安装入侵检测体系：及时监测网络流量，检测并报警端口扫描举动。
  

5.6 其他攻击与防御

• 同步包风暴（SYN Flooding）：
  
  
  
  • 形貌：一种常见的DoS攻击方式，通过发送大量的SYN哀求包，占用服务器资源，使服务器无法处理惩罚正常的毗连哀求。
    
  • 防御步调：利用SYN Cookies机制，服务器在收到SYN哀求时，不立即复兴ACK，而是天生一个随机数，与SYN一起发送给客户端。只有客户端复兴精确的ACK才气创建毗连，从而防止攻击者发送大量的SYN哀求占用服务器资源。
    
  
  
• ICMP攻击：
  
  
  
  • 形貌：利用ICMP协议（如ping下令）举行的攻击，如ICMP泛洪攻击等。
    
  • 防御步调：公道设置防火墙规则，限定ICMP哀求的发送频率和泉源IP地点。
    
  
  
• SNMP攻击：
  
  
  
  • 形貌：利用SNMP（简朴网络管理协议）举行的攻击，如SNMP泛洪攻击、SNMP信息走漏等。
    
  • 防御步调：加强SNMP的访问控制，利用强暗码和加密通讯方式；限定SNMP服务的访问范围，仅允许信托的IP地点访问。
    
  
  

六、信息安全的保障体系

6.1 品级掩护

《信息安全品级掩护管理办法》

• 第1级：用户自主掩护级
  
  
  
  • 信息体系受到粉碎后，会对公民、法人和其他构造的正当权益造成侵害，但不侵害国家安全、社会秩序和公共长处。
    
  
  
• 第2级：体系审计掩护级
  
  
  
  • 信息体系受到粉碎后，会对公民、法人和其他构造的正当权益产生严肃侵害，大概对社会秩序和公共长处造成侵害，但不侵害国家安全。这一级别增长了体系审计功能，可以或许纪录和分析体系变乱。
    
  
  
• 第3级：安全标记掩护级
  
  
  
  • 信息体系受到粉碎后，会对社会秩序和公共长处造成严肃侵害，大概对国家安全造成侵害。这一级别引入了安全标记机制，可以或许对信息举行分类和标记，确保信息的机密性和完备性。
    
  
  
• 第4级：布局化掩护级
  
  
  
  • 在第三级的根本上，进一步夸大体系的布局化操持和安全控制，确保体系在面临高级攻击时仍能保持其安全性和完备性。
    
  
  
• 第5级：访问验证掩护级
  
  
  
  • 这一级别是品级掩护的最高级别，要求体系具有严格的访问控制和身份验证机制，确保只有颠末授权的实体才气访问体系或数据。
    
  
  

6.2 安全保密技能

• 数据泄密防护：防止企业的指定命据或信息资产以违背安全战略规定的情势流出企业的一种战略。这通常包罗数据加密、访问控制、数据走漏监测等技能本事。
  
• 数字水印：在数字化的媒体文件中嵌入特定的标记，用于标识信息的泉源、版权信息或举行防伪。水印分为可感知和不易感知。可感知水印通常用于版权标识，而不易感知水印则用于信息隐蔽和防伪。
  

6.3 安全协议

• SSL（Secure Sockets Layer）协议：
  
  
  
  • 应用层和TCP层之间的安全通讯协议，提供保密性通讯、点对点身份认证、可靠性通讯3种安全通佩服务
    
  
  
• HTTPS（HyperText Transfer Protocol Secure）协议：
  
  
  
  • 是基于SSL/TLS协议的安全超文本传输协议，用于在Web欣赏器和服务器之间传输加密的数据。HTTPS协议确保了数据传输的机密性和完备性，防止数据在传输过程中被窃听或篡改。
    
  
  
• SET（Secure Electronic Transaction）协议：
  
  
  
  • 办理用户、商家和银行之间通过名誉卡付出的交易业务题目，包管付出信息的机密和付出过程的完备、商户和持卡人身份正当性和可操纵性。
    
  
  

七、其他

  

若以为文章对你有资助，随手『点赞』、『收藏』、『关注』，也是对我的支持。