信息安全工程师----第一章 信息安全基础知识

第1章：信息安全基础知识

信息安全研究方向

• 密码学
• 网络安全
• 信息系统安全
• 信息内容安全
• 信息对抗

网络空间安全学科内涵：网络空间安全学科是研究信息获取，信息存储，信息传输和信息处理领域中信息安全保障问题的一门新兴学科。

信息安全理论基础

通用理论基础

• 数学
• 信息理论
• 计算理论

特有理论基础

• 访问控制理论
• 博弈论

• 密码学

  信息安全方法论
  信息安全方法论是研究解决安全问题的方法，具体内容有理论分析，逆向分析，实验验证，技术实现 信息系统安全层次

信息安全的属性主要包含：

信息的保密性：信息不被未授权者知晓的属性。
信息的完整性：信息是正确的，真实的，未被篡改的，完整无缺的属性。
信息的可用性：信息可以随时正常使用的属性。

信息系统安全可以划分为以下四个层次：

设备安全，数据安全，内容安全，行为安全。
其中数据安全即是传统的信息安全。

设备安全：稳定性，可靠性，可用性。

数据安全：秘密性，完整性，可用性。
数据的秘密性：数据不被未授权者知晓的属性
数据的完整性：数据是正确的、真实的、未被篡改的、完整无缺的属性
数据的可用性：数据是随时可正常使用的属性

内容安全：政治上健康，符合国家法律法规，符合中华民族优良道德规范；广义上还包括信息内容保密，知识产权保护，信息隐藏和隐私保护等诸多方面。
内容安全简略表达为：政治健康，合法合规，符合道德规范

行为安全：秘密性，完整性，可控性。

行为的秘密性：行为的过程和结果是秘密的，不影响数据的秘密性
行为的完整性：行为的过程和结构是可预期的，不影响数据的完整性
行为的可控性：可及时发现，纠正，控制偏离预期的行为

信息安全管理

信息安全管理是维护信息安全的体制，是对信息安全保障进行指导，规范的一系列活动和过程

该体系包含密码管理，网络管理，设备管理，人员管理 ISO安全体系结构

ISO的开放系统互连安全体系结构包含了安全机制，安全服务，OSI参考模型，并明确了三者的逻辑关系

• 安全机制：保护系统免受攻击，监听，破坏及恢复系统的机制
• 安全服务：加器数据处理系统和信息传输的安全性服务，利用一种或多种安全机制阻止安全攻击
• OSI参考模型：开放系统互连参考模型，即常见的七层协议体系结构

开放系统互连安全体系结构示意图如下：

网络安全体系结构图：

协议层次：TCP/IP协议
系统单元：该安全单元能解决哪些系统环境的安全问题
安全服务：该安全单元能解决哪些安全威胁

信息安全风险管理

风险评估

信息安全风险评估：则是指依据有关信息安全技术标准，对信息系统及由其处理，传输和存储的信息的保密性，完整性和可用性等安全属性进行科学评价的过程，它要评估信息系统的脆弱性，信息系统面临的威胁以及脆弱性被威胁源利用后所产生的实际负面影响，并根据安全事件发生的可能性和负面影响的程度来识别信息系统的安全风险。

风险评估：指确定在计算机系统和网络中每一种资源缺失或遭到破坏对整个系统造成的预计损失数量。

风险评估具体评估过程：

• 风险评估准备
• 分析因素识别
• 风险程度分析
• 分析等级评价

风险评估的方法：

• 定量评估方法
• 定性评估方法
• 定性与定量相结合的评估方法

典型的定量分析方法有因子分析法，聚类分析法，时序模型，回归模型，等风险图发，决策树法等

典型的定性分析方法有因素分析法，逻辑分析法，历史比较法，德尔菲法。
定性与定量相结合的综合评估方法

典型的风险评估方法：层次分析法

层次分析法基本步骤：

（1）系统分解
（2）构造判断矩阵
（3）层次总排序

风险管理

风险管理就是以可以接受的费用识别，控制，降低或消除可能影响信息系统的安全风险的过程。

风险管理是一个动态持续的过程

降低风险的途经：避免风险，转移风险，减少威胁，减少脆弱性，减少威胁可能的影响，检测意外事件。

风险接受是一个对残留风险进行确认，评价和接受的过程。

转载：https://blog.csdn.net/qq_43799246/article/details/110950130