备考合集：2023软考-信息安全工程师

本章分析

  • 分值：选择题2-3分，案例题6分
  • 重点
    • 1.3 网络信息安全属性(CIA)
    • 1.4 网络信息安全功能

定义、现状

网络发展现状：数字化、网络化、智能化成为信息社会的主要特征，”万物互联”时代已经来临。

  • 狭义上的网络信息安全特指网络信息系统的各组成要素符合安全属性的要求，即机密性、完整性、可用性、抗抵赖性、可控性
  • 广义上的网络信息安全是涉及国家安全、城市安全、经济安全、社会安全、生产安全、人身安全等在内的”大安全“

变化

围绕网络安全问题，保障网络信息安全的对象内容、理念方法、持续时间都在不断演变，其新的变化表现为三个方面

  • 一是保障内容从单维度向多维度转变，保障的维度包含网络空间域、物理空间域、社会空间域
  • 二是网络信息安全保障措施从单一性（技术） 向综合性（法律、政策、技术、管理、产业、教育）演变
  • 三是保障时间维度要求涵盖网络系统的整个生命周期，保障响应速度要求不断缩短，网络信息安全没有战时、平时之分，而是时时刻刻

法律法规

2016 年国家发布了《国家网络空间安全战略》，相关的网络安全法律法规政政策也相继出台
《中华人民共和国网络安全法》已于 2017 年 6 月 1日起实施。为加强网络安全教育，网络空间安全已被增设为一级学科

⭐基本属性

常见的网络安全基本属性有机密性、完整性、可用性、抗抵赖性、可控性，此外还有真实性、时效性、合规性、隐私性、合规性、公平性、可靠性、可生存性。

  • 机密性(Confidentiality): 网络信息不泄露给非授权的用户、实体或程序，能够防止非授权者获取信息
  • 完整性(Integrity): 网络信息或系统未经授权不能进行更改的特性
  • 可用性 (Availability): 合法许可的用户能够及时获取网络信息或服务的特性
  • 抗抵赖性: 防止网络信息系统相关用户否认其活动行为的特性
  • 可控性: 是指网络信息系统责任主体对其具有管理、支配能力的属姓，能够根据授权规则对系统进行有效掌握和控制，使得管理者有效地控制系统的行为和信息的使用，符合系统运行目标
    机密性、完整性、可用性分别指网络信息系统 CIA 三性
  • 真实性：是指网络空间信息与实际物理空间、社会空间的客观事实保持一致性
  • 时效性：是指网络空间信息、服务及系统能够满足时间约束要求
  • 合规性：是指网络信息、服务及系统符合法律法规政策、标准规范等要求
  • 公平性：是指网络信息系统相关主体处于同等地位处理相关任务，任何一方不占据优势的特性要求
  • 可靠性：是指网络信息系统在规定条件及时间下，能够有效完成预定的系统功能的特性
  • 可生存性：是指网络信息系统在安全受损的情形下，提供最小化、必要的服务功能，能够支撑业务继续运行的安全特性

目标

  • 宏观目标：指网络信息系统满足国家安全需求特性符合国家法律法规政策要求，如网络主权、网络合规等。
  • 微观目标：指网络信息系统的具体安全要求。
  • 具体目标是保障网络信息及相关信息系统免受网络安全威胁，相关保护对象满足网络安全基本属性要求，用户网络行为符合国家法律法规要求，网络信息系统能够支撑业务安全持续运营数据安全得到有效保护。

⭐功能

要实现网络信息安全基本目标，网络应具备防御、监测、应急和恢复等基本功能。

  • 防御：是指采取各种手段和措施，使得网络系统具备阻止、抵御各种已知网络安全威胁的功能
  • 检测：是指采取各种手段和措施，检测、发现各种已知或未知的网络安全威胁的功能
  • 应急：是指采取各种手段和措施，针对网络系统中的突发事件，具备及时响应和处置网络攻击的功能
  • 恢复：是指采取各种手段和措施，针对已经发生的网络灾害事件，具备恢复网络系统运行的功能

基本技术要求

  • 物理环境安全：是指包括环境、设备和记录介质在内的所有支接网络系统运行的硬件的总体安全，是网络系统安全、可靠、不间断运行的基本保证。物理安全需求主要包括环境安全、设备安全、存储介质安全
  • 安全认证：是实现网络资源访问控制的前提和依据,是有效保护网络管理对象的重要技术方法。网络认证的作用是标识鉴别网络资源访问者的身份的真实性，防止用户假冒身份访问网络资源。
  • 访问控制：是有效保护网络管理对象，使其免受威胁的关键技术方法。其目标主要有两个
    • (1) 限制非法用户获取或使用网络资源
    • (2) 防止合法用户滥用权限，越权访问网络资源
  • 安全保密：网络安全保密的目的就是防止非授权的用户访问网上信息或网络设备
  • 漏洞扫描：入侵者通常都是通过一些程序来探测网络系统中存在的安全漏洞，然后通过所发现的安全漏洞，采取相应技术进行攻击。因此，网络系统中需配备弱点或漏洞扫描系统，用以检测网络中是否存在安全漏洞，以便网络安全管理员根据漏洞检测报告，制定合适的漏洞管理方法
  • 恶意代码防护：网络是病毒、蠕虫、特洛伊木马等恶意代码最好、最快的传播途径之一。恶意代码可以通过网上文件下载、电子邮件、网页、文件共享等传播方式进入个人计算机或服务器。因此，防范恶意代码是网络系统必不可少的安全需求。
  • 内容安全：是指相关网络信息系统承载的信息及数据符合法律法规要求，防止不良信息及垃圾信息传播。相关网络信息内容安全技术主要有垃圾邮件过滤、IP 地址/URL 过滤、自然语言分析处理等
  • 监测及预警：网络系统面临着不同级别的威胁，网络安全运行是一件复杂的工作。网络安全监测的作用在于发现综合网系统入侵活动和检查安全保护措施的有效性，以便及时报警给网络安全管理员，对入侵者采取有效措施，阻止危害扩散并调整安全策略
  • 应急响应：网络系统所遇到的安全威胁往往难以预测，虽然采取了一些网络安全防范措施，但是由于人为或技术上的缺陷，网络信息安全事件仍然不可避免地会发生。既然网络信息安全事件不能完全消除，则必须采取一些措施来保障在出现意外的情况下，恢复网络系统的正常运转。同时，对于网络攻击行为进行电子取证，打击网络犯罪活动。

安全管理

  • 定义：是指对网络资产采取合适的安全措施，以确保网络资产的可用性、完整性、可控制性和抗抵赖性等，不致因网络设备、网络通信协议、网络服务、网络管理受到人为和自然因素的危害，而导致网络中断、信息泄露或破坏。
  • 管理对象：主要包括网络设备、网络通信协议、网络操作系统、网络服务、安全网络管理等在内的所有支持网络系统运行的软、硬件总和。网络信息安全涉及内容有物理安全、网络通信安全、操作系统安全、网络服务安全、网络操作安全以及人员安全。
  • 管理目标：通过适当的安全防范措施，保障网络的运行安全和信息安全，满足网上业务开展的安全要求。
  • 管理方法：风险管理、等级保护、纵深防御、层次化保护、应急响应以及PDCA (Plan-Do-Check-Act) 方法等
  • 管理要素：网络管理对象、网络威胁、网络脆弱性、网络风险、 网络保护措施
    • 管理对象：企业、机构直接赋予了价值而需要保护的资产。它的存在形式包括有形的和无形的，如网络设备硬件、软件文档是有形的，而服务质量、网络带宽则是无形的。
    • 网络威胁：根据威胁主体的自然属性，可分为自然威胁和人为威胁。自然威胁有地震、雷击、洪水火灾、静电、鼠害和电力故障等。从威胁对象来分类，可分为物理安全威胁、网络通信威胁、网络服务威胁、网络管理威胁
    • 脆弱性：计算系统中与安全策略相冲突的状态或错误，它将导致攻击者非授权访问、假冒用户执行操作及拒绝服务。CC 标准指出，脆弱性的存在将会导致风险，而威胁主体利用脆弱性产生风险。
    • 网络风险：特定的威胁利用网络管理对象所存在的脆弱性，导致网络管理对象的价值受到损害或丢失的可能性。简单地说，网络风险就是网络威胁发生的概率和所/造成影响的乘积。网络安全管理实际上是对网络系统中网管对象的风险进行控制
    • 保护措施：为对付网络安全威胁，减少脆弱性，限制意外事件的影响，检测意外事件并促进灾难恢复而实施的各种实践、规程和机制的总称。

安全管理流程

  1. 确定网络信息安全管理对象
  2. 评估网络信息安全管理对象的价值
  3. 识别网络信息安全管理对象的威胁
  4. 识别网络信息安全管理对象的脆弱性
  5. 确定网络信息安全管理对象的风险级别
  6. 制定网络信息安全防范体系及防范措施
  7. 实施和落实网络信息安全防范措施
  8. 运行/维护网络信息安全设备、配置

常见安全管理评估

  • 网络安全等级保护测评
  • 信息安全管理体系认证(简称 ISMS)
  • 系统安全工程能力成熟度模型(简称 SSE-CMM)

法律与政策文件

  • 《中华人民共和国网络安全法》：2017年6月1日
  • 《中华人民共和国密码法》： 2020 年1月1日

采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月

  • 等级保护的主要工作

    • 定级：确认定级对象，确定合适级别，通过专家评审和主管部门审核;
    • 备案：按等级保护管理规定准备备案材料，到当地公安机关备案和审核
    • 建设整改：依据相应等级要求对当前保护对象的实际情况进行差距分析，针对不符合项结合行业要求对保护对象进行整改，建设符合等级要求的安全技术和管理体系
    • 等级测评：等级保护测评机构依据相应等级要求，对定级的保护对象进行测评并出具相应的等级保护测评证书;
    • 运营维护工作是指等级保护运营主体按照相应等级要求，对保护对象的安全相关事宜进行监督管理。

  • 中国网络安全审查技术与认证中心（CCRC，原中国信息安全认证中心）是负责实施网络安全审查和认证的专门机构。

  • 国家计算机网络应急技术处理协调中心（简称”国家互联网应急中心”，英文缩写为 CNCERT或 CNCERT/CC）是中国计算机网络应急处理体系中的头单位，是国家级应急中心。CNCERT 的主要职责是：按照”积极预防、及时发现、快速响应、力保恢复”的方针，开展互联网网络安全事件的预防、发现、预警和协调处置等工作，维护公共互联网安全，保障关键信息基础役施的安全运行。

信息获取来源

  • 安全会议：四大顶级学术会议S&P、CCS、NDSS USENIX Security
  • 网络安全期刊
  • 网络安全网站
  • 网络安全术语
    • 基础技术类：密码。加密(encryption)、解密(decryption)、非对称加密算法(asymmetric cryptographic algorithm)、公钥加密算法 (public key cryptographic algorithm)、公钥 (public key) 等。
    • 风险评估技术类：拒绝服务(DeDiad of Service)、分布式拒绝服务(DstibedDenial of Service)、网页篡改 (Website Distortion)、网页仿冒 (Phishing)、网页挂马 (Website Malicious Code)、域名劫持(DNS Hijack)、路由劫持 (Routing Hijack)、网络蠕虫(Network Worm)、垃圾邮件 (Spam)、恶意代码(Malicious Code)、特洛伊木马(Trojan Horse)、僵尸网络 (Bot Net)等。
    • 防护技术类：访问控制 (Access Control)、入侵防御系统(Intrusion Prevention System)、防火墙(Firewall)等。
    • 检测技术类：入侵检测(Intrusion Detection)、漏洞扫描(Vulnerability Scanning)
    • 响应恢复技术类：应急响应(Emergency Response )、灾难恢复 (Disaster Recovery)、备份(Backup)
    • 测评技术类等：黑盒测试(Black Box Testing)、白盒测试 (White Box Testing)、灰盒测试(Gray Box Testing)、渗透测试(Penetration Testing)、模糊测试(FuzzTesting)