信息安全技术基础知识-信息安全的概念&信息存储安全（选择题）

信息安全属性

1. 机密性:确保信息不暴露给未授权的实体或进程。
2. 完整性:只有得到允许的人才能修改数据，并且能够判别出数据是否已被篡改。
3. 可用性:得到授权的实体在需要时可以访问数据，即攻击者不能占用所有的资源而阻碍授权者的工作。
4. 可控性:可以控制授权范围内的信息流向及行为方式。
5. 可审查性:对出现的信息安全问题提供调查的依据和手段。（日志）

信息安全的范围

信息安全的范围包括:设备安全、数据安全、内容安全和行为安全。

重点(**)

设备安全信息系统设备的安全是信息系统安全的首要问题，是信息系统安全的物质基础

• 设备的稳定性:指设备在一定时间内不出故障的概率。
• 设备的可靠性:指设备在一定时间内正常执行任务的概率。
• 设备的可用性:指设备可以正常使用的概率。

数据安全数据信息可能泄露，可能被篡改，数据安全即采取措施确保数据免受未授权的泄露、篡改和毁坏

• 数据的秘密性:指数据不受未授权者知晓的属性。
• 数据的完整性:指数据是正确的、真实的、未被篡改的、完整无缺的属性。
• 数据的可用性:指数据可以随时正常使用的属性。

内容安全

内容安全是信息安全在政治、法律、道德层次上的要求

• 信息内容在政治上是健康的。
• 信息内容符合国家的法律法规。
• 信息内容符合中华民族优良的道德规范。

行为安全

信息系统的服务功能是指最终通过行为提供给用户，确保信息系统的行为安全，才能最终确保系统的信息安全。行为安全的特性如下。

• 行为的秘密性:指行为的过程和结果不能危害数据的秘密性。
• 行为的完整性;指行为的过程和结果不能危害数据的完整性，行为的过程和结果是预期的。
• 行为的可控性:指当行为的过程偏离预期时，能够发现、控制和纠正。

信息的存储安全

信息的存储安全包括信息使用的安全(如用户的标识与验证、用户存取权限限制、安全问题跟踪等)、系统安全监控、计算机病毒防治、数据的加密和防止非法的攻击等。

1)用户的标识与验证

用户的标识与验证主要是限制访问系统的人员，对用户身份的合法性验证。方法有两种:基于用户所拥有特殊安全物品的识别，如智能IC卡识别法、磁条卡识别法。基于人的物理特征的识别，包括签名识别法、指纹识别法和语音识别法。

2)用户存取权限限制

用户存取权限限制主要是限制进入系统的用户所能做的操作。

1. 隔离控制法。隔离控制法是在电子数据处理成分的周围建立屏障，以便在该环境中实施存取。主要实现方式包括物理隔离方式、时间隔离方式、逻辑隔离方式和密码技术隔离方式等。
2. 限制权限法。限制权限法是有效地限制进入系统的用户所进行的操作。即对用户进行分类管理，安全密级、授权不同的用户分在不同类别:对目录、文件的访问控制进行严格的权限控制，防止越权操作。

系统安全监控
安全监控系统+完善的审计系统+日志管理系统，利用日志和审计功能对系统进行安全监控。

3.计算机病毒防治计算机病毒具有隐蔽性、传染性、潜伏性、触发性和破坏性等点，所以需要建立计算机和病毒防治管理制度。(*)

1. 经常从软件供应商网站下载、安装安全补丁程序和升级杀毒软件。
2. 定期检查敏感文件。
3. 使用高强度的口令。对不同的账号选用不同的口令。
4. 经常备份重要数据，要坚持做到每天备份。
5. 选择、安装经过公安部认证的防病毒软件，定期对整个硬盘进行病毒检测和清除工作。
6. 在计算机和因特网之间安装使用防火墙，提高系统的安全性。(7)当计算机不使用时，不要接入因特网，一定要断掉网络连接
7. 重要的计算机系统和网络一定要严格与因特网物理隔离。
8. 不要打开陌生人发来的电子邮件，无论它们有多么诱人的标题或者附件，同时要小心处理来自熟人的邮件附件。
9. 正确配置系统和使用病毒防治产品。

网络安全

网络存在的威胁主要表现在以下5个方面:

1. 非授权访问。如假冒、身份攻击、非法用户进入网络系统进行违法操作、合法用户以未授权方式进行操作等。
2. 信息泄露或丢失。指敏感数据在有意或无意中被泄露或丢失，通常包括信息在传输中丢失或滥露、信息在存储介质中丢失或泄露以及通过建立隐蔽隧道等方式窃取敏感信息等。
3. 破坏数据完整性。非法手段窃得对数据的使用权，删除、修改、插入或重发某些重要信息，以取得有益于攻击者的响应:恶意添加，修改数据，以干扰用户的正常使用。
4. 拒绝服务攻击。不断对网络服务系统进行干扰，改变其正常的作业流程，执行无关程序使系统响应减慢甚至瘫痪,影响正常用户的使用，甚至使合法用户被排斥而不能进入网络系统或得不到相应的服务。
5. 利用网络传播病毒。

安全措施的目标

1. 认证。确保会话对方的资源(人或计算机)与它声称的一致
2. 访问控制。确保会话对方(人或计算机)有权做它所声称的事情。
3. 完整性。确保接收到的信息与发送的一致。
4. 审计。确保任何发生的交易在事后可以被证实，发信者和收信者都认为交换发生过，即所谓的不可抵赖性。
5. 保密。确保敏感信息不被窃听。

网络安全协议 

1. TLS:传输层安全协议
2. IPSEC:安全协议在IP协议中增加了两个基于密码的安全机制-认证头(AH)和封装安全载荷(ESP):认证头(AH)支持IP数据项的认证性和完整性和装安全载荷(ESP)实现了通信的机密性。对IP包加密。
3. PGP协议:PGP是一个基于RSA的邮件加密软件，还可用于文件存储的加密。PGP承认两种不同的证书格式:PGP证书和X.509证书，PGP证书包括PGP版本号、证书持有者公钥、证书持有者信息、证书拥有者的数字签名、证书的有效期、密钥的首选的对称加密算法。
4. Https: HTTPS使用端口443，它的主要作用可以分为两种，一种是建立一个信息安全通道，来保证数据传输的安全;另一种就是确认网站的真实性。

信息系统安全系统框架(***)

信息安全系统框架由技术体系、组织机构体系和管理体系构建。

一、技术体系

从实现技术来看，信息安全系统涉及基础安全设备、计算机网络安全、操作系统安全、数据库安全、终端设备安全等多

方面技术。

1. 基础安全设备。包括密码芯片、加密卡、身份识别卡等。
2. 计算机网络安全。指信息在网络传输过程中的安全防范，用于防止和监控未经授权破坏、更改和盗取数据的行为。
3. 操作系统安全。指操作系统的无错误配置、无漏洞、无后门、无特洛伊木马等，能防上非法用户对计算机资源的非法存取。
4. 数据库安全。分为数据库管理系统安全和数据库应用系统安全两部分，涉及物理数据库的完整性、逻辑数据库的完整性、元素安全性、可审计性、访问控制、身份认证、可用性、推理控制、多级保护以及消除隐通道等相关技术。
5. 终端设备安全。从电信网终端设备的角度分为电话密码机、传真密码机、异步数据密码机等。

二、组织机构体系组织机构体系是信息系统安全的组织保障系统，由机构、岗位和人事机构 三个模块构成一个体系

三、管理体系

信息系统安全的管理体系由法律管理、制度管理和培训管理3个部分组成。