IS | 資訊安全基本需求

最新推荐文章于 2023-04-02 21:40:38 发布

_djinn

最新推荐文章于 2023-04-02 21:40:38 发布

阅读量3k

点赞数

分类专栏： IS 文章标签： Information Security

本文链接：https://blog.csdn.net/weixin_42001132/article/details/95501133

版权

IS 专栏收录该内容

0 篇文章 0 订阅

订阅专栏

文章目录

資訊安全的基本需求/安全性需求

Confidentiality

內容不外洩；確保存在于系統（加密）

Integrity

不被非法篡改。（Digital Signature數位簽章）

Availability

安全系統正常運行，無Destroy或Prolong

Authentication

身份鑒別；資訊來源鑒別（數位簽章、資料加密）

Non-Repudiation

傳送方或接收方，皆不能否認曾進行資料傳輸或接收 ( 數位簽章、PKI（Public Key Infrastructure，公開金鑰基礎架構）)

Access Control

權限

Audit

由稽核紀錄追蹤非法使用者，一旦發生入侵攻擊事件，可Recovery(恢復系統)，也可盡快找到發生事件之原因（Audit Log）

[外链图片转存失败(img-xXroUkxo-1562839346750)(https://i.imgur.com/Hn2IIVl.png)]

CIA principle: Confidentiality, integrity and availability, also known as the CIA triad, is a model designed to guide policies for information security within an organization.
The security management functions include these commonly accepted aspects of security: identification, authentication, authorization, confidentiality, data integrity, and non-repudiation.

Scope 資訊安全的範疇

The kinds of malicious actions possible in the whole area of Computing (hereafter called “attacks”)
資訊安全的領域相當廣泛，所有可確保資訊系統正常運作及確保機密資料之保密及完整性的機制都涵蓋在內。
安全之管理資訊系統，需考慮：資料庫安全、作業系統安全、管理資訊系統安全、網路安全。

組織中完整的安全系統元件

使用者
系統的使用者可能是組織中的員工或顧客。
操作介面
對於不同等級的使用者，必須要提供不同的頁面。
後端處理程式
負責處理回應使用者所要求的服務，若使用者要取得資料庫中的資料，也必須透過此系統元件存取，可說是系統中的靈魂。
資料庫
負責保存重要資料與一般資料，依據不同需求，而有不同的資料格式與儲存方式。

安全的資訊系統架構

[外链图片转存失败(img-nQUx22qp-1562839346752)(https://i.imgur.com/cYLVgF1.jpg)]
圖片出處

[外链图片转存失败(img-W1Rp7rmP-1562839346753)(https://i.imgur.com/is7GYVT.jpg)]
Cisco Self-Defending Network（SDN）

Layers

Environment Layer
有關電腦系統外圍的周邊環境因素——環境觀點：實體安全
External Layer
是使用者與系統間介面層次，所牽涉到的是個別使用者所能操作的系統——使用者觀點：身份識別
Central Layer
內部層與外部層的溝通橋樑——系統觀點：存取控制
Internal Layer
資料實際儲存及管理的方式——資料觀點：密碼學
Analysis Layer
系統的管理及安全威脅的分析——管理者觀點：管理控制
Law Layer
有關資訊安全相關的法律條文——法律觀點：法律制裁
[外链图片转存失败(img-e3aQj8VQ-1562839346754)(https://i.imgur.com/IFp9BZK.jpg)]

資訊系統的安全分析

Risk Analysis

評估及分析系統風險，對於部分重要資料必須採取更進一步的防護。
例如，定期備份及回復處理等，系統發生安全問題時，可以確保重要資料的正確性，以降低問題發生時所帶來的損失。
安全漏洞所造成之損失包括有形損失及無形損失。
有形損失：包括硬體及軟體設備、人力成本、雜支成本及其他因工作延宕所造成之損失。
無形損失：公司形象受到影響，其損失費用無從計算。
通常投資在資訊安全之費用，應小於系統發生安全漏洞後所造成
之損失，但要大於其損失的十分之一。

Weakness Analysis

對整個系統架構進行瞭解及測試
包括系統架設了哪些硬體（例如：路由器(Router)）、使用哪一種作業系統（例如：Linux）、使用哪些通訊協定（例如：TCP/IP）、哪些人會使用本系統及授
權了哪些權限給使用者等。
管理者瞭解這些資訊後，進而分析系統的弱點在那裡、哪些人有可能會進行攻擊、他們的目的是什麼以及要攻擊哪些地方。