网络空间安全与风险管理-期末复习

注意事项：

序号有点问题，影响不大，内容都是各种资料整合和我自己归纳总结的，不喜勿喷，感觉扔回收站可惜了，所以分享出来，能有帮上你的忙就最好不过了，更多复习资料，可以去看我的合集。

第一章：绪论

1. 为什么要进行信息安全管理？

1. ·网络空间安全现状：网络空间主权成为国家主权的一部分
2. ·网络空间安全的意义（政治、经济、社会稳定）
3. ·信息安全管理的必要性（保障信息安全的基本属性）

1. 1. 保密性（Confidentiality)
   2. 完整性（Integrity）
   3. 可用性（Availability）
   4. 真实性（Authenticity）
   5. 可靠性（Reliability）
   6. 不可否认性（Non-repudiation）

2. **信息安全的特点

1. 必然性：信息系统日益复杂，必然存在弱点。
2. 配角性：安全不是最终目的，得到安全可靠的应用和服务才是安全建设的最终目的。
3. 动态性：新的安全威胁总会不断出现，信息安全是一个动态、持续的过程，安全策略要及时调整

3. 信息安全的意义

信息安全的政治意义

信息安全的经济意义

信息安全与社会稳定的意义

4. 什么是信息安全管理

信息安全管理：组织为实现信息安全目标而进行的管理活动，是组织完整的管理体系中的一个重要组成部分，是为了保护信息资产的安全，指导和控制组织的关于信息安全风险的互相协调的活动。

5. **信息安全基本属性

1. **保密性（Confidentiality)
2. **完整性（Integrity）
3. **可用性（Availability）
4. 真实性（Authenticity）
5. 可靠性（Reliability）
6. 不可否认性（Non-repudiation）=可控性

6. **我国信息安全管理存在的问题

重技术轻管理

重产品轻服务

管理人才极度缺乏

7. **信息安全管理与风险评估的关系

风险评估是信息安全管理体系和信息安全风险管理的基础=第一步；

信息安全风险评估是信息安全风险管理的一个阶段；

信息安全风险管理要依靠风险评估的结果来确定随后的风险控制和审核批准活动。

第二章：信息安全-管理标准与法律法规

1. 风险评估-技术标准

1. 美国-TCSEC：D1,C1,C2,B1,B2,B3,A1
2. 六国七方-CC，1999.12 被 ISO 采纳为 ISO/IEC15408
3. 我国 GB17859-1999，计算机信息系统-安全保护等级划分准则-5 个

2. 风险评估-管理标准

1. 1995年英国-BSI：BS7799-1，2000.12：ISO/IEC17799 标准的 2000 版
2. ISO/IEC17799 标准的 2000 版基础上：GB/T19716-2005,即《信息技术信息安全管理实用规则》，被GB/T22081-2008替代，目前最新版本是2016版。
3. ISO/IEC27001《信息安全管理体系要求》，是建立信息安全管理体系（ISMS）的一套规范，指导相关人员应用ISO/IEC17799。

3. 国家有关信息系统安全的等级保护的标准

1. GB 17859-1999《计算机信息系统 安全保护等级划分准则》
2. GB/T20271-2006《信息安全技术 信息系统通用安全技术要求》
3. GB/T22240-2020《信息安全技术 网络安全等级保护定级指南》
4. GB/T22239-2019《信息安全技术 网络安全等级保护基本要求》
5. GB/T20269-2006《信息安全技术 信息系统安全管理要求》

4. 符合17859第四级的国内安全产品：

国防科技大学的麒麟操作系统，浙江大学的图灵安全操作系统和中科院软件所的安胜操作系统。

5. SMS国际标准化组织和信息安全相关的几个小组

国际标准化组织（ISO）：是一个全球性的非政府组织，其任务是促进全球范围内的标准化及其有关活动，以利于国际间产品与服务的交流。

国际电工委员会（IEC）：是世界上成立最早的非政府性国际电工标准化机构，共有63个成员国，总部设在日内瓦。

JTC1：在信息技术领域，ISO和IEC成立了第一联合技术委员会，共同制定信息技术领域的国际标准。

国际电信联盟（ITU）：世界各国政府的电信主管部门之间协调电信事务方面的一个国际组织，我国由工业与信息化部常驻代表。

6. **ISO/IEC27001是目前唯一的关于ISMS认证的标准

7. **我国的信息安全标准化技术委员会（TC260）

8. GB/T22240五个等级如何确定

第二级：信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。

第三级：信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。

第四级：信息系统受到破坏后，会对社会秩序和公共利益造成特别严重的损害，或者对国家安全造成严重损害。

第五级：信息系统受到破坏后，会对国家安全造成特别严重的损害。

9. 信息安全法律规范的作用

指引作用：可以怎样做，不可以怎样做；

评价作用：是否合法，是否违法；

预测作用：预估自己行为的后果；

教育作用：通过法律的实施对一般人今后的行为产生影响；

强制作用：对违法行为具有制裁、惩罚的作用。

10. 信息安全法律法规的基本原则

谁主管谁负责的原则

突出重点的原则

预防为主的原则

安全审计的原则

风险管理的原则

11. **17859和TCSEC的对应关系

TCSEC 将系统定义为从高到低的A1、B3、B2、B1、C2、C1、D七个安全级别。

B3=第五级：访问验证保护级

B2=第四级：结构化保护级

B1=第三级：安全标记保护级

C2=第二级：受控访问控制，从这一级往上都要求具有审计功能

C1=第一级

第三章 信息安全管理体系及信息安全风险评估

1. **风险评估的流程/阶段

风险评估准备

风险识别

风险分析

风险评价

2. 资产综合价值计算方法(最大原则、加权原则)

最大原则：将资产在机密性、完整性、可用性、可审计性和不可抵赖性五个方面赋值，综合价值取五者的最大值。

加权原则：将资产在机密性、完整性、可用性、可审计性和不可抵赖性五个方面赋值，并分别为这五个属性赋予一个非负的权值，综合价值由加权求得。

3. **威胁的分类

自然威胁

环境威胁

系统威胁

外部人员威胁+内部人员威胁=人员威胁

4. **安全措施的分类

预防性安全措施和保护性安全措施两种

5. 风险等级及赋值

风险分析就是利用资产、威胁、脆弱点识别与评估结果以及已有安全措施的确认与分析结果，进行计算，得到风险值。

风险计算：VR=R（A,T,V）=R（L（A,T,V），F（A,T,V）），即风险是安全事件发生可能性L（A,T,V）及其影响F（A,T,V）的函数。

相乘法：两个要素直接相乘或相乘后取模等。矩阵法：

6. PDCA模型、每个阶段的主要工作任务

P阶段——策划与准备

第一次进行风险分析

ISMS的实施和运行——D阶段

信息安全管理体系试运行：领导动员、以身作则；有针对性地宣传贯彻ISMS文件；完善信息反馈与信息安全协调机制；加强ISMS运行信息的管理。

实施和运行的主要工作：实施风险处理计划、控制措施，评价控制措施的有效性，实施培训和意识教育计划，管理ISMS的运行和资源，实施能够迅速检测安全事态和响应安全事件的程序和其他控制措施。

ISMS的审核——C阶段

内部审核：第一方审核，组织的自我审核

外部审核：第二方审核是客户对组织的审核，第三方审核是第三方性质的认证机构对申请认证组织的审核。

ISMS的改进与保持——A阶段

通过ISMS内部审核和管理评审，发现体系运行过程中存在的问题，并确定改进方法，采取相应措施，使体系持续发展。

实施ISMS已识别的改进，采取适当的纠正和预防措施，总结经验教训，有所有相关方沟通措施和改进，促使改进活动达到预期目的。

7. **风险管理的基本方法：

接受风险

避免风险

转移风险

降低风险。

8. ISMS与等级保护的共同之处

二者都可以加强对信息的安全保障工作。（二者结合为共同目的服务）

二者的安全管理要求有相同的地方。（ISO/IEC17799）

二者的相互促进与补充关系。（风险控制和等级保护相结合）

9. 简答：**ISMS（ISO27001）与等级保护的区别

1、出发点和侧重点不同

等级保护坚持技术与管理并重，重点在于如何利用现有的资源保护重要的信息系统，主要体现了分类分级，保护重点的思想。

ISMS是从安全管理的角度出发，重点在于在组织或特定范围内建立信息安全方针、政策，安全管理制度和安全管理组织，并使其得以落实，主要体现了安全管理的作用和重要性。

2、二者的实施依据不同：

ISMS体系建设的直接依据是ISO27001，间接使用了ISO17799.

等级保护的国家标准依据是GB17859.等级测评时采用的依据可以由各地区根据各自的实际安全需要制定。

3、二者的实施主体不同：

ISMS体系的建设主体是为了维护自身安全的组织或由具有安全服务资质的信息安全服务公司帮助企业建立。

等级测评的主体是经过国家认可的信息安全测评认证组织。（信息安全测评认证中心）

4、二者的实施对象不同：

ISMS体系的实施对象主要是各企业单位。

等级测评的实施对象主要是有信息系统等级要求的各级党政机关等政府部门。

5、二者的实施过程不同：

ISMS的完整实施过程贯穿组织或组织某一特定范围的管理体系的整个生命周期。

等级保护制度的完整实施过程是贯穿信息系统的整个生命周期。

6、二者的结果不同：

ISMS建设的结果是为组织建立一整套的ISMS的体系文件，通过在组织的日常业务过程中加以实施，不断改进，从而加强组织的信息安全。

等级测评的结果是给出被测对象是否达到声明的安全等级的要求。

10. 风险评估和等级保护的关系

等级保护中的系统分类分级的思想和风险评估中对信息资产的重要性分级基本一致。

在风险评估中，CIA价值高的信息资产不一定风险等级就高。

在确定系统安全等级级别后，风险评估的结果可作为实施等级保护以及等级安全建设的出发点和参考。

风险评估是等级保护（不同等级不同安全需求）的出发点。

等级保护中高级别的信息系统不一定就有高级别的安全风险。

11. **信息安全风险评估-基本要素

资产、

威胁

脆弱性

已有的安全措施

12. 常见的风险评估方法

基线风险评估

详细风险评估

综合风险评估

第四章 物理安全管理

1. 物理安全定义

物理安全是保护计算机设备、设施免遭地震、水灾、火灾等环境事故和人为操作失误或错误及各种计算机犯罪行为破坏的措施和过程。

2. **物理安全需求

设备安全：电力能源、输电线路、电源稳定性

环境安全：机房及其设施，消防报警、安全照明、不间断供电、温湿度控制

介质安全：存储介质自身及其内部数据的安全

人员安全：内部人员的管理，严防外部人员侵袭

3. 如何进行设备管理

设备维护：定期按时保养、专业维修保养、送外保养维修注意防止敏感信息泄露。

设备的处置和重复利用：清除设备中存储的信息、消磁、物理销毁、报废、签字确认。

设备的转移：未经授权，不得转移。

4. 移动介质安全管理

涉密移动存储介质管理：

严禁-涉密移动存储介质-在非涉密计算机上使用；

严禁-高密级的移动存储介质-在低密级计算机或信息系统中使用；

统一购置、统一标志、严格登记、集中管理；

严格使用权限，在保存、传递和使用过程中必须保证其中涉密信息不被非授权人知悉；

经管人员应定期进行清点，确保安全。

内部移动存储介质管理：

严格-禁止-内部移动存储介质-在与互联网连接的计算机上使用；

严禁存储国家秘密信息；

因工作需要，将内部信息计算机数据传送到涉密计算机时，可以使用内部移动介质，但必须采取有效的保密措施和技术防范措施，严防被植入恶意代码程序将涉密计算机感染，导致国家秘密信息被窃取。建议使用光盘进行数据传递。

普通移动存储介质管理：

严格-禁止-普通移动存储介质-存储国家秘密信息和不宜公开的内部工作信息；

严格-限制-普通移动存储介质-直接在涉密计算机组织及涉密系统内使用；

因工作需要，需要从互联网将所需数据复制到内部工作计算机、涉密计算机或涉密信息系统时，必须经审查批准后，使用普通移动存储介质进行传递。

5. 机房安全等级划分

A类：计算机系统运行中断后，会对国家安全、社会秩序、公共利益造成严重损害的；对安全有严格要求，有完善的机房安全措施，存放需要最高安全性和可靠性的系统和设备。

B类：计算机系统运行中断后，会对国家安全、社会秩序、公共利益造成严重损害的；对安全有较严格要求，有较完善的机房安全措施。

C类：不属于A、B级的情况；对安全有基本的要求，有基本的机房安全措施；存放只需要最低限度的安全性和可靠性的一般性系统。

6. 机房场地选择注意事项

应避开发生火灾危险程度高的区域。

应避开易产生粉尘、油烟、有害气体源以及存放腐蚀、易燃、易爆物品的地方。

应避开低洼、潮湿、落雷、重盐害区域和地震频繁的地方。

应避开强电磁场的干扰。

应避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁。

应远离核辐射。

应避开低洼、潮湿、落雷、重盐害区域和地震频繁的地方。

应避开强电磁场的干扰。

7. 对组织网络系统造成的人为威胁主要来源

内部人员

准内部人员（在一定时期内具有权限）

特殊身份人员（记者、警察、技术顾问、政府工作人员）

外部个人或小组

竞争对手

8. 简答：**人员安全管理原则

多人负责原则：每一项与安全有关的活动，都必须有2人或多人在场。

任期有限原则：任何人最好不要长期担任与安全有关的职务，以保持该职务具有竞争性和流动性。

职责分离原则：避免因为某一个人负责多个关键的职位而造成不能在日常的业务中及时地发现错误情况。

9. 人员安全管理措施

领导者安全意识：制定安全培训计划、组织系统安全评定、严于律己

系统管理员安全意识：登录安全、分配访问权限、检查配置、升级软件、安装补丁

一般用户安全意识：学习安全防护知识、注重口令安全、保护个人隐私信息

外部人员：注意防范、限制权限

第五章 建设与运维安全

1. 什么是信息?

信息可以是存储与处理的数据、程序，可以是打印或写出的论文、电子邮件、设计图纸、业务方案，也可以是显示在胶片上或表达在会话中的信息。

2. **IT服务管理的最佳实践：

IT基础设施库(ITIL)

3. **ITIL十个核心流程和一项管理职能(服务提供流程+服务支持流程)

服务*提供*流程：主要为服务付费的机构和个人客户提供高质量、低成本的IT服务，在进行服务流程设计时，必须在服务级别目标和服务成本之间进行合理的权衡。

包括：服务级别管理、IT服务-财务管理、IT服务-持续性管理、能力管理、可用性管理。

服务*支持*流程：主要面向用户，用于确保用户得到适当的服务以支持组织的业务功能，确保IT服务提供方所提供的服务质量，符合服务级别协议的要求。

包括：事件管理、问题管理、配置管理、变更管理、发布管理。

4. **什么是信息系统安全审计

信息系统安全审计主要指：对与安全有关的活动的相关信息进行识别、记录、存储和分析

5. **安全审计的主要目标

审计的目的是：找出不足之处，并检查现有策略、标准、指南和程序的实施效果

6. 信息系统安全审计的分类

按照审计分析对象，安全审计可以分为针对主机的审计和针对网络的审计两类。

按照审计的工作方式，安全审计可分为集中式安全审计和分布式安全审计。

7. **信息安全审计系统的一般组成

事件探测及数据采集引擎：主要全面侦听主机及网络上的信息流，动态监视主机的运行情况以及网络上流过的数据包，对数据包进行检测和实时分析，并将分析结果发送给相应的数据管理中心进行保存。

数据管理引擎：一方面负责对事件探测及数据采集引擎传回的数据以及安全审计的输出数据进行管理，另一方面，数据管理引擎还负责对事件探测及数据采集引擎的设置、用户对安全审计的自定义、系统配置信息的管理。

审计引擎：包括两个应用程序，审计控制台和用户管理。审计控制台可以实时显示网络审计信息、流量统计信息，并可以查询审计信息、历史数据，并且对审计事件进行回放。用户管理程序可以对用户进行权限设定，限制不同级别的用户查看不同的审计内容。

8. 集中式安全审计和分布式安全审计各自的优缺点

缺点：

集中式：造成CPU、I/O以及网络通信的负担，而且中心计算机往往容易发生单点故障；有可能因为单个点的失败造成整个审计数据的不可用；集中式的体系结构，自适应能力差，不能根据环境变化自动更改配置

优点：

分布式：扩展能力强：通过扩展审计单元来实现网络安全范围的扩张。容错能力强：分布式的独立结构解决了单点失效问题。兼容性强：既可包含基于主机的审计，又可包含基于网络的审计，超越了传统审计的界限。适应性强：当网络或主机状态改变时，分布式审计系统可以很容易地做相应修改。

9. **安全审计的一般流程及各阶段主要工作

策略定义：安全审计应在一定的审计策略下进行，审计策略规定哪些信息需要采集、哪些事件是危险事件、以及对这些事件应如何处理等。审计前应制定一定的审计策略，并下发到各审计单元。事件处理结束后，应根据对事件的分析处理结果来检查策略的合理性，必要时应调整审计策略。

事件采集：按照预定的审计策略对客体进行相关审计事件采集，形成的结果交由事件后续的各阶段来处理；将事件其他各阶段提交的审计策略分发至各审计代理，审计代理依据策略进行客体事件采集。

简答：**事件分析：按照预定策略，对采集到事件进行事件辨析，决定①忽略该事件；②产生审计信息；③产生审计信息并报警；④产生审计信息且进行响应联动。按照用户定义与预定策略，将事件分析结果生成审计记录，并形成审计报告。

事件响应：事件响应阶段是根据事件分析的结果采用相应的响应行动，包含以下行为：对事件分析阶段产生的报警信息、响应请求进行报警与响应；按照预定策略，生成审计记录，写入审计数据库，并将各类审计分析报告发送到指定的对象；按照预定策略对审计记录进行备份。

结果汇总：结果汇总阶段负责对事件分析及响应的结果进行汇总，主要包含以下行为：将各类审计报告进行分类汇总；对审计结果进行适当的统计分析，形成分析报告；根据用户需求和事件分析处理结果形成审计策略修改意见。

10. **安全审计的数据来源

基于主机的数据源

基于网络的数据源

其他途径

11. 简答：**基于规则库的安全审计和基于数理统计的安全审计的优缺点

基于规则的安全审计方法对于特征十分明显的网络攻击行为效果非常好，但是对于其他一些非常容易产生变种的网络攻击行为，规则库就很难完全满足要求，容易产生漏报。

数理统计的最大问题在于如何设定统计量的阀值，也就是正常数值和非正常数值的分界点。这往往取决于管理员的经验，不可避免产生误报和漏报。

12. TCSEC对安全审计的要求

TCSEC 将系统定义为从高到低的A1、B3、B2、B1、C2、C1、D七个安全级别。

分别对应GB/T17859-1999：第五级到第二级，第一级对应 C1

从C2以上的各级别都要求具有审计功能。B3级提出了关于审计的全部功能要求，A1与B3要求一致。因此，TCSEC共定义了四个级别的审计要求，即C2、B1、B2、B3。

C2要求审计以下事件：用户的身份标识和鉴别、用户地址空间中客体的引入和删除、计算机操作员/系统管理员/安全管理员的行为、其他与安全有关的事件。

B1相对C2级增加了以下需要审计的事件：对于可以输出到硬复制设备上的人工可读标志的修改（包括敏感标记的覆写和标记功能的关闭）、对任何具有单一安全标记的通信信道或IO设备的标记指定、对具有多个安全标记的通信通道或IO设备的安全标记范围的修改。

B2级的安全功能要求较之B1级增加了可信路径和隐蔽通道分析等。因此，除了B1级的审计要求外，对于可能被用于存储性隐蔽通道的活动，在B2级也要求被审计。

B3级在B2级的基础上，增加了对可能将要违背系统安全政策这类事件的统计。

13. GB/T17859-1999对安全审计的要求

从第二级“系统审计保护级”开始有对审计的要求。

第二级规定：计算机信息系统可信计算基可以记录以下事件：使用身份鉴别机制；将客体引入用户地址空间；删除客体；由操作员、系统管理员或（和）系统安全管理员实施的动作，以及其他与系统安全相关的事件

第三级“安全标记保护级”在第二级的基础上，要求对于客体的增加和删除这类事件要在审计记录中增加对客体安全标记的记录。另外，可信计算基也要审计对可读输出记号的更改这类事件。

第四级“结构化保护级”的审计功能要求与第三级相比，增加了对可能利用存储型隐蔽通道的事件进行审计的要求。

第五级“访问验证保护级”在第四级的基础上，要求可信计算基能够监控可审计安全事件的发生与积累，当这类事件的发生超过预定阈值时，可信计算基能够立即向安全管理员发出警报，并且如果这些事件继续发生，系统应以最小的代价终止它们。

14. 信息系统安全审计产品性能要求

稳定性：软件代理在宿主操作系统上应工作稳定，不应造成宿主机崩溃情况。硬件代理产品在与产品设计相适应的网络带宽下应运行稳定。

资源占用：软件代理的运行对宿主机资源不应长时间固定或无限制占用，不应影响对宿主机合法的用户登录和资源访问。

第六章 灾难恢复与业务连续性

1. 灾难、灾难备份、灾难恢复

灾难：由于人为或自然的原因，造成信息系统严重故障或瘫痪，使信息系统支持的业务功能停顿或服务水平不可接受，达到特定的时间的突发性事件。通常导致信息系统需要切换到灾难备份中心运行。

灾难备份：为了灾难恢复而对数据、数据处理系统、网络系统基础设施、技术支持能力和运行管理能力进行备份的过程

灾难恢复：为了将信息系统从灾难造成的故障或瘫痪状态恢复到可正常运行状态、并将其支持的业务功能从灾难造成的不正常状态恢复到可接受状态，而设计的活动和流程

2. **灾备指标(RTO和RPO)

RTO：系统发生故障到恢复业务所需要的时间，即容许服务中断的时间。越大越好

RPO：业务恢复后数据与最新数据之间的差异程度，这个程度使用时间作为衡量指标。越小越好

3. **灾难恢复相关技术(存储、备份、冗余磁盘阵列)

存储：

根据网络存储结构，计算机数据存储主要分为直接附加存储（DAS）、存储区域网络（SAN）和网络附加存储（NAS）三种。

直接附加存储：也称为服务器附加存储，是通过服务器、客户机的I/O接口进行数据传输的存储设备。（占用主机性能）

存储区域网络：服务器和存储阵列通过网状通道交换机进行连接，建立专用于数据存储的区域网络。

网络附加存储：不再附属于某个特定计算机，直接通过网络接口将存储设备与网络进行连接。

备份技术：

常用的备份技术包括数据复制技术、冗余技术等。

数据复制技术是当前数据备份的主要方式，分为同步方式和异步方式两种。

同步方式数据复制将本地生产数据以完全同步方式复制到异地，每次本地I/O交互需等待远程复制完成后释放。（数据零丢失）

异步方式数据复制将本地生产数据以后台同步的方式复制到异地。

冗余技术通过硬件设备冗余来实现备份，通过配备与主系统相同的硬件设备，来保证系统和数据的阿努齐安。

目前的硬件冗余技术有双机容错、磁盘双工、磁盘阵列(RAID)与磁盘镜像等多种形式。

**

同等条件下，**完全备份**的恢复速度最快。

**

按备份时间要求分：冷备份和热备份。

冷备份：也称脱机备份，以正常方式关闭数据库，并对数据库的所有文件进行备份。

热备份：也称联机备份，指在数据库打开和用户对数据进行操作的状态下进行的备份。

按备份状态分：物理备份和逻辑备份。

物理备份：将实际物理数据从一处复制到另一处的备份。

逻辑备份：将某个数据库的记录读出并将其写入到一个文件中，式一种常用的备份方式。

**冗余磁盘阵列：

RAID-0：无冗余无校验的磁盘阵列。数据同时分布在各个磁盘上，没有容错能力，读写速度在RAID中最快。

RAID-1：镜象磁盘阵列。每一个磁盘都有一个镜像磁盘，镜像磁盘随时保持与原磁盘的内容一致。

RAID-5：使用三个或三个以上磁盘，通过奇偶校验检查错误。

RAID-10：RAID-0和RAID-1的结合。至少4个硬盘。

4. 灾难恢复策略制定的依据

恢复策略可以依据国家标准（如SHARE78）来制定，也可以依据国际标准（如GB/T20988-2007）或行业标准制定。

5. **GB/T20988-2007《信息安全技术信息系统灾难恢复规范》是灾备行业目前唯一的一套国家标准

6. **组织常用的灾难恢复策略，灾难恢复划分等级

组织在进行灾备策略选择时，通常根据对灾难的抵抗程度，把灾难恢复分为数据容灾、系统容灾和应用容灾三个级别。

数据容灾：建立一个异地的容灾中心，该中心是本地关键应用数据的一个可用复制，数据同步或异步复制到此中心。

系统容灾：保护业务数据、系统数据，保证网络通信系统的可用性。

应用容灾：在数据容灾的基础上，异地建议一套完整的与本地生产系统相当的备份应用系统。

7. **什么是业务连续性?业务连续性的三层含义。

业务连续性是指组织有应对风险、自动调整和快速反应的能力，以保证组织业务的连续运转，主要包括：

高可用性：提供本地故障情况下，能继续访问应用的能力。

连续操作：当所有设备无故障时保持业务连续运行的能力。用户不必因为正常备份或维护而停止应用。

灾难恢复：灾难破坏生产中心时，在不同的地点恢复数据的能力。

8. 什么是业务连续性管理?业务连续性管理的生命周期。

BCM是一个由业务驱动，建立符合预定战略目标和框架的操作过程，是集技术与管理于一体的动态管理流程，主要包括以下内容：

预先提高组织抵御业务中断风险的能力，以帮助企业达成其关键目标。

预先确定组织机构恢复提供关键产品或服务的能力所需要的时间，然后建立相应的预演方法，确保组织机构在事故发生后能够按这个时间要求提供关键产品或服务。

交付经过证明的应对业务中断的管理能力，以保护组织的信誉和品牌。

9. 什么是业务连续性计划?

业务连续性计划是一套基于业务运行规律的管理要求和规章流程，能够使一个组织在突发事件面前迅速做出反应，以确保关键业务功能可以持续，不造成业务中断或业务流程本质的改变。

业务连续性计划是一套事先被定义和文档化的计划，明确定义了恢复业务所需要的关键人员、资源、行动、任务和数据。

业务连续性计划包括：应急响应计划、容灾恢复计划、运维恢复计划、业务恢复计划。

10. 业务影响分析的内容

确定业务优先级、风险分析、资产优先级划分

确定业务优先级：

区分关键业务与非关键业务

查明关键业务功能实际运转需要哪些资源

评估如果业务中断，随时间推移对组织所造成的影响，建立最大允许中断时间（MTD）

定义恢复时间目标（RTO）

创建优先级主列表

风险分析：

风险要素识别（资产、威胁、脆弱性）

可能性分析（年发生比率ARO，反映业务预期每年遭受特定灾难的可能性）

影响分析（生产力的损失、收入的损失、收入延迟成本、运作费用的增加、竞争优势的损失、法规责任、违反合同协议所造成的损失、声誉的损失等）

资产优先级划分：

资产优先级划分主要是划分针对各种不同风险所分配的业务连续性资源的优先级。这些资源包括：

人力资源，包括人的数量、技能和知识。

必要的工作场所和设施。

用于支持的技术、厂房和设备。

以前工作或当前工作进展有关信息的提供，并确保信息的即时更新和精确，以保证业务在要求的水平上有效持续运行。

外部服务和供给

第七章 网络安全测评

1. 为什么进行网络安全测评?

对网络安全进行测评是对网络安全建设质量进行评判的必要环节。目的是贯彻国家标准规范，保证在规划、设计、建设、运行维护和退役等不同阶段的信息系统满足统一、可靠的安全质量要求。

2. 简答：**网络安全等级测评的原则**

客观性和公正性原则：没有偏见、最小主观判断。

经济性和可重用性原则：鼓励重用以前测评结果。

可重复性和可再现性原则：可重复性体现在同一测评者重复执行相同测评的结果的一致性。可再现性体现在不同测评者执行相同测评的结果的一致性。

符合性原则：使用正确测评方法以判断测评对象是否满足指标要求。

3. 网络安全等级测评标准

GB/T28448-2019《信息安全技术 网络安全等级保护测评要求》

4. 网络安全等级测评对象、流程

主要涉及相关配套制度文档、设备设施及人员等。

5. 网络安全等级测评方法

等级测评实施的基本方法是针对特定的测评对象，采用相关的测评手段，遵从一定的测评规程，获取需要的证据数据，给出是否达到特定级别安全保护能力的评判

6. 什么是网络安全等级保护?

网络安全等级保护制度是国家网络安全的一项基本制度、基本国策。国家通过制定统一的等级保护管理规范和技术标准，组织公民、法人和其他组织分等级实行安全保护，对等级保护工作的实施进行监督、管理。在国家统一政策指导下，各单位、各部门依法开展等级保护工作，有关职能部门对等级保护工作实施监督管理。

7. **强制性国家标准GB17859《计算机信息系统安全保护等级划分准则》，是网络安全等级保护系列标准中唯一一个国家强制标准

8. **2017年6月1日实施的《网络安全法》第二十一条明确规定:“国家实行网络安全等级保护制度”

9. **2019年《信息安全技术网络安全等级保护基本要求》(GB/T22239-2019)2.0版本正式发布，等保2.0在2019年12月1日正式实施，标志着我国从2019年12月1日起正式进入等保2.0时代

10. 实施等级保护的基本原则

自主保护原则：等级保护对象运营、使用单位及其主管部门按照国家相关法规和标准，自主确定等级保护对象的安全保护等级，自主组织实施安全保护。（自主定级、自主保护）

重点保护原则：根据等级保护对象的重要程度、业务特点，通过划分不同安全保护等级的等级保护对象，实现不同强度的安全保护，集中资源优先保护涉及核心业务或关键信息资产的等级保护对象。

同步建设原则：等级保护对象在新建、改建、扩建时应同步规划和设计安全方案，投入一定比例的资金建设网络安全设施，保障网络安全与信息化建设相适应。

动态调整原则：应跟踪定级对象的变化情况，调整安全保护措施。

11. 等级保护实施过程中涉及到的角色和职责

等级保护管理部门：依照等级保护相关法律、行政法规的规定，在各自职责范围内负责网络安全保护和监督管理工作。

主管部门：负责依照国家网络安全等级保护的管理规范和技术标准，督促、检查、指导本行业、本部门或者本地区等级保护对象运营、使用单位的网络安全等级保护工作。

运营、使用单位：负责依照国家网络安全等级保护的管理规范和技术标准，确定其等级保护对象的安全保护等级，有主管部门的，应报其主管部门审核批准；根据已经确定的安全保护等级，到公安机关办理备案手续；按照国家网络安全等级保护管理规范和技术标准，进行等级保护对象安全保护的规划设计；使用符合国家有关规定，满足等级保护对象安全保护等级需求的信息技术产品和网络安全产品，开展安全建设或者改建工作；制定、落实各项安全管理制度，定期对等级保护对象的安全状况、安全保护制度及措施的落实情况进行自查，选择符合国家相关规定的等级测评机构，定期进行等级测评；制定不同等级网络安全事件的响应、处置预案，对网络安全事件分等级进行应急处置。

网络安全服务机构：负责根据运营、使用单位的委托，依照国家网络安全等级保护的管理规范和技术标准，协助运营、使用单位完成等级保护的相关工作，包括确定其等级保护对象的安全保护等级、进行安全需求分析、安全总体规划、实施安全建设和安全改造、提供服务支撑平台等。

网络安全等级测评机构：负责根据运营、使用单位的委托或根据等级保护管理部门的授权，协助运营、使用单位或等级保护管理部门，按照国家网络安全等级保护的管理规范和技术标准，对已经完成等级保护建设的等级保护对象进行等级测评；对网络安全产品供应商提供的网络安全产品进行安全测评。

网络安全产品供应商：负责按照国家网络安全等级保护的管理规范和技术标准，开发符合等级保护相关要求的网络安全产品，接受安全测评；按照等级保护相关要求销售网络安全产品并提供相关服务。

12. **网络安全等级保护工作流程/规定动作

定级、备案、建设整改、等级测评和监督检查

13. **网络安全等级保护定级原理

14. 网络安全等级保护定级要素

15. 简答：**如何确定等保对象的保护等级/如何确定信息系统的安全保护等级？

（1）确定业务信息受到破坏时所侵害的客体，综合评定对客体的侵害程度，从而确定业务信息安全保护等级

（2）确定系统服务受到破坏时所侵害的客体，综合评定对客体的侵害程度，从而确定系统服务安全保护等级

（3）将业务信息安全保护等级和系统服务安全保护等级的较高者确定为定级对象的安全保护等级。

（4）安全保护等级初步确定为第二级及以上的，定级对象的网络运营者需组织网络安全专家和业务专家对定级结果的合理性进行评审，并出具专家意见。

（5）有行业主管（监管）部门的，还需要将定级结果报请行业主管（监管）部门核准，并出具核准意见。

等级保护对象的级别由“受侵害的客体”和对客体的侵害程度两个定级要素决定

16. 网络安全等级保护备案的要求

第二级（含）以上网络，在安全保护等级确定后10个工作日内，其网络运营者到所在地的县级以上公安机关（网监部门）办理备案手续。

经审核通过后，对符合等级保护要求的，公安机关应当自收到备案材料之日起的10个工作日内，将加盖本级公安机关印章（或等级保护专用章）的《信息系统安全等级保护备案表》一份反馈备案单位，一份存档。

对不符合等级保护要求的，公安机关公共信息网络安全监察部门应在10个工作日内通知备案单位进行整改，并出具《信息系统安全等级保护备案审核结果通知》。

公安机关对定级不准的备案单位，在通知整改时，应当建议备案单位组织专家进行重新定级评审，并报上级主管单位审批。

对于拒不备案的网络运营者，公安机关应依据《网络安全法》等法律法规要求网络和信息系统运营、使用单位限期整改，逾期仍不备案的，予以警告并向上级主管部门通报。

17. 安全建设整改工作内容

已经建成的系统：立足于网络和信息系统安全加固整改，缺什么，补什么。

新建系统：伴随信息系统的全生命周期，遵循“同步规划、同步建设、同步运行”的原则。从安全技术和安全管理的角度全面落实等级保护安全防护措施。

18. **安全等级测评的周期

网络安全建设整改完成后，第三级以上网络运营者（含关键信息基础设施运营者）应每年开展一次网络安全等级测评。

19. **安全监督检查的形式

网络运营者

定期自查

行业主管部门

督导检查

监管部门

监督检查

20. 等保1.0和2.0的区别

名称变化：等保2.0将原来的标准《信息安全技术 信息系统安全等级保护基本要求》改为《信息安全技术 网络安全等级保护基本要求》，与《中华人民共和国网络安全法》保持一致。

定级对象变化：等保1.0的定级对象是信息系统，2.0的定级对象是网络和信息系统，主要包括信息系统、基础信息网络、云计算平台、大数据平台、物联网系统、工业控制系统、采用移动互联技术的网络等。

基本要求变化：基本要求由安全要求变为安全通用要求与安全扩展要求（含云计算、移动互联、物联网、工业控制）。

控制措施分类结构变化：等保1.0时代的安全防护体系以“层层防护”为核心，而等保2.0时代网络安全防护架构更侧重于网络整体防护。安全防护理念保持“安全技术+安全管理”，但安全技术基于“一个中心，三重防护”的纵深防御体系。技术上，由物理安全、网络安全、主机安全、应用安全、数据安全变更为安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心。管理上基本没有变化。

内容变化：从等保1.0的定级、备案、建设整改、等级测评和监督检查五个规定动作变更为五个规定动作+新的安全要求（增加了风险评估、安全检测、通报预警、案事件调查、数据防护、灾难备份、应急处置等。）

等级测评结论发生变化：由“符合、部分符合、不符合”变为“优、良、中、差”，但等级保护对象存在高风险或等级测评综合得分低于70分时，可判定等级保护对象安全防护能力无法满足网络安全等级保护的基本要求。

定级及测评方式变化：等级保护1.0时代，定级对象“自主定级、自主保护”，等级保护2.0时代，定级过程中加强了主管部门审核及第三方专家评审的作用。此外，第四级系统每半年进行一次测评的要求改为每年进行依次测评，与三级系统要求一致。

法律效力不同：《网络安全法》第21条规定“国家实行网络安全等级保护制度，要求网络运营者应当按照网络安全等级保护制度要求，履行安全保护义务”。落实网络安全等级保护制度上升为法律义务。

21. **等保2.0的特点

两个全覆盖：国家实行网络安全等级保护制度，等级保护实现了对行业的全覆盖；等级保护2.0将云计算、移动互联、物联网、工业控制系统、大数据等列入标准范围，实现了对等级保护对象的全覆盖。

结构统一：基于“同步规划、同步建设、同步使用”的原则，等级保护2.0的基本要求、设计要求、测评要求同步修订、同时发布、并统一结构，即：“一个中心，三重防护”的体系架构=安全管理中心，安全通信网络，安全区域边界，安全计算环境

强化可信计算：将可信验证列入各安全保护等级，1-4级均在“安全通信网络”、“安全区域边界”、“安全计算环境”中增加了“可信验证”控制点。

第八章 网络及系统安全保障机制

1. 什么是身份认证?

身份认证（鉴别）是将标识和实体联系在一起的过程，是信息系统的第一道安全防线，也为其他安全服务提供支撑。

2. 身份认证的种类

单向认证（鉴别）：通信双方中只有一方对另一方进行鉴别。比如用户需要访问服务器时，服务器会对用户提供的账号和密码进行验证。

双向认证（鉴别）：通信双方相互进行鉴别。用户提供账号密码供服务器鉴别，服务器也要向用户发送服务器名和密码进行鉴别。

第三方认证（鉴别）：由通信双方外的第三方存储、验证标识和鉴别信息。

3. 身份认证的依据

实体所知（What you known？）：只有实体自己知道的秘密。

实体所有（What you have？）：实体拥有的物品，通过外围进行鉴别。

实体特征（Who you are？）：实体所拥有的的可被记录并比较的生理或行为方面的特征。

4. 身份认证的攻击手段及防范方法

口令破解攻击及防御

措施用户设置弱口令，容易猜测。

穷举攻击：利用计算机穷举所有可能的口令组合来进行攻击。

防护措施：①提高口令的强度（多种字符的组合，无明显规律）；②阻止攻击者反复尝试（限制错误输入次数，使用验证码登陆）。

口令嗅探攻击及防御措施

由于早期采用的网络协议（如Telnet、FTP、POP3）在网络上以明文或简单的编码形式传输口令，攻击者通过在会话路径的任何节点部署嗅探器，就可以获得用户的口令。

嗅探攻击的防御措施就是使用密码技术对传输数据进行保护

重放攻击及防御措施

重放攻击又称重播攻击、回放攻击，是指攻击者发送一个目的主机已经接收过的包，特别是在认证过程中，包含认证信息的包，来达到欺骗系统的目的。

防御措施：①在会话中引入时间戳，由于时间戳的存在，攻击者的重放攻击会被系统拒绝；②使用一次性口令；③在会话中引入随机数（挑战-应答）。

5. *Kerberos体系的认证过程：单点登录

太麻烦了

6. **数字证书

证书是证明实体所声明的身份和其公钥绑定关系的一种电子文档，是将公钥和确定属于它的某些信息相绑定的数字声明。数字证书由PKI（公钥基础实施）的CA认证机构颁发。认证中心所颁发的数字证书均遵循X.509标准。

7. 访问控制的任务

指主体依据某些控制策略或权限对客体本身或是其资源进行的不同授权访问。

8. 访问控制三要素

主体：可以对其他实体施加动作的主动实体，是动作的发起者，但不一定是执行者。

客体：接受其他实体访问的被动实体。

控制策略：主体对客体的操作行为集和约束条件集。

9. 访问控制模型

麻烦

10. **物理隔离

在物理 存储上隔断两个网络环境
在物理 传导上使内外网络隔断

在物理 辐射上隔断内部网与外部网

11. 防火墙的基本要求

所有进出内部网络的通信都必须经过防火墙；只有符合安全策略的数据才能通过防火墙；防火墙本身是安全可靠的。

12. VPN产生的原因

花费更低

公共网络传输私密数据，安全性得不到保障

13. **入侵检测的概念(IDS)

入侵检测是通过从计算机网络或计算机系统中的若干关键点收集信息并对其进行分析，从而发现网络或计算机系统中是否有违反安全策略的行为和被攻击的迹象，从而对这些攻击采取相应措施的过程。

14. **入侵防御系统IPS

入侵防御系统是一种主动的、智能的入侵检测、防范、组织系统，其设计旨在预先对入侵活动和攻击性网络流量进行拦截，避免造成任何损失。

入侵检测系统可以监视网络传输并报警，但是不能拦截攻击；

入侵防御系统布置在网络的进出口处，检测到攻击企图后，会自动地将攻击包丢掉或采取措施将攻击源阻断。

15. **软件安全的内因和外因

内因：软件本身存在安全漏洞。软件的缺陷的增长速度趋向于随着代码行数的平方而变化。而现在信息系统规模大而且复杂性高，软件漏洞不可避免。

外因：软件存在外部威胁。软件开发管理中，更多地重视软件功能而不关注对安全风险的管理；用户不提，公司不做；公司管理层缺乏对软件安全开发的管理；软件开发人员不能从专业角度思考软件安全问题。

16. **恶意代码的分类

不感染的依附性恶意代码（特洛伊木马、逻辑炸弹、后门）

不感染的独立性恶意代码（点滴器、繁殖器、恶作剧）

可感染的依附性恶意代码（计算机病毒）

可感染的独立性恶意代码（蠕虫、细菌）

17. 计算机病毒的防治技术

计算机病毒的预防技术：是一种动态预判技术，阻止计算机病毒进入系统内存或阻止计算机病毒对磁盘的操作。

检测病毒技术：①根据计算机病毒的关键字、特征程序段内容等进行检测；②对自身的文件或数据进行校验。

清除病毒技术：是计算机感染病毒程序的逆过程。

第九章 云计算安全

1. 云计算5个基本特征、3种服务模式、4种部署模式

传统的安全边界消失：云计算采用虚拟化技术以及多租户模式，传统的物理边界被打破，物理安全边界难以发挥作用。

动态性：用户不断变化、安全防护需要进行相应的动态调整。

服务安全保障：需要全生命周期的安全保障，确保服务的可用性和保密性。

数据安全保护：数据云储存，对安全性要求更高。

第三方监管和审计：平衡服务提供商和用户两者利益。

2. **美国网络存储行业协会在2020年发布了第一个云存储标准《云数据管理接口(CDMI)》，为云储存提供了参照标准。

3. 云数据有哪些安全问题?

云计算环境安全：

云虚拟化安全

云硬件安全

窃取服务：常规的虚拟机调度机制没有对调度的正确性进行检查

恶意代码注入：获取虚拟机调度管理权限等

交叉虚拟机边信道攻击：从边信道获取目标虚拟机信息

定向共享内存攻击：将目标保存到共享内存的信息破坏或修改

虚拟机回滚攻击：非法恢复快照，掩盖攻击痕迹

云数据安全

优先访问权风险：用户还是云服务供应商？

管理权限风险：数据的审计和安全认证受限于云服务供应商

数据处所风险：用户不知道自己的数据放在哪台服务器，什么地方。

数据隔离安全风险：隔离是否有效？

数据恢复风险：备份还是不备份？

云应用安全

拒绝服务攻击：云服务资源集中分配

僵尸网络攻击：攻击者操纵僵尸机隐藏身份与位置信息实现间接攻击，从而以未授权的方式访问云资源，同时有效降低被检测或追溯的可能性。

音频隐写攻击：数据隐藏，将恶意代码隐藏于音频文件并提交至目标服务器。

供应商信任：

内部泄密：知识产权问题、云服务供应商与客户之间可能存在竞争关系等

调查支持风险：云计算平台涉及多用户数据，数据查询过程中可能会遇到问题。

多方信任：云服务供应商可能也使用了其他云服务供应商的服务，层层转包，问题复杂化

其他问题：

双向及多方审计问题：资源滥用问题

4. 云计算等级保护面临的挑战

定级问题：云计算环境复杂，没有明显的物理边界，实际物理设备很难界定，数据存储、传递真实性难以掌握。

测评问题：技术难度加大，管理需求增多，测评需求可能与用户隐私保护相矛盾，造成运营商的不配合。

整改问题：整改时安全责任不明确，可能会互相推诿，使整改工作得不到落实。

监督检查问题：云计算掌握在国家厂商手里，云计算应用地域性弱，在政府信息安全监管方面可能会有法律差异和纠纷。