信息安全技术

信息安全风险评估技术手段综述

王英梅1

（北京科技大学信息工程学院 北京 100101）

摘要：信息安全成为国家安全的重要组成部分，因此为保证信息安全，建立信息安全管理体系已成为目前安全建设的首要任务。风险评估作为信息安全管理体系建设的基础，在体系建设的各个阶段发挥着重要的作用。风险评估的进行离不开风险评估工具，本文在对风险评估工具进行分类的基础上，探讨了目前主要的风险评估工具的研究现状及发展方向。

关键词：风险评估 综合风险评估 信息基础设施 工具 引言

当今时代，信息是一个国家最重要的资源之一，信息与网络的运用亦是二十一世纪国力的象征，以网络为载体、信息资源为核心的新经济改变了传统的资产运营模式，没有各种信息的支持，企业的生存和发展空间就会受到限制。信息的重要性使得他不但面临着来自各方面的层出不穷的挑战，因此，需要对信息资产加以妥善保护。正如中国工程院院长徐匡迪所说：“没有安全的工程就是豆腐渣工程”。信息同样需要安全工程。而人们在实践中逐渐认识到科学的管理是解决信息安全问题的关键。信息安全的内涵也在不断的延伸，从最初的信息保密性发展到信息的完整性、可用性、可控性和不可否认性，进而又发展为“攻（攻击）、防（防范）、测（检测）、控（

信息安全风险评估技术手段综述

王英梅1

（北京科技大学信息工程学院 北京 100101）

摘要：信息安全成为国家安全的重要组成部分，因此为保证信息安全，建立信息安全管理体系已成为目前安全建设的首要任务。风险评估作为信息安全管理体系建设的基础，在体系建设的各个阶段发挥着重要的作用。风险评估的进行离不开风险评估工具，本文在对风险评估工具进行分类的基础上，探讨了目前主要的风险评估工具的研究现状及发展方向。

关键词：风险评估 综合风险评估 信息基础设施 工具 引言

当今时代，信息是一个国家最重要的资源之一，信息与网络的运用亦是二十一世纪国力的象征，以网络为载体、信息资源为核心的新经济改变了传统的资产运营模式，没有各种信息的支持，企业的生存和发展空间就会受到限制。信息的重要性使得他不但面临着来自各方面的层出不穷的挑战，因此，需要对信息资产加以妥善保护。正如中国工程院院长徐匡迪所说：“没有安全的工程就是豆腐渣工程”。信息同样需要安全工程。而人们在实践中逐渐认识到科学的管理是解决信息安全问题的关键。信息安全的内涵也在不断的延伸，从最初的信息保密性发展到信息的完整性、可用性、可控性和不可否认性，进而又发展为“攻（攻击）、防（防范）、测（检测）、控（

信息安全新测评技术

云端访问安全代理服务

云端访问安全代理服务是部署在企业内部或云端的安全策略执行点，位于云端服务消费者与云端服务供应商之间，负责在云端资源被访问时套用企业安全策略。在许多案例中，初期所采用的云端服务都处于IT掌控之外，而云端访问安全代理服务则能让企业在用户访问云端资源时加以掌握及管控。 适应性访问管控

适应性访问管控一种情境感知的访问管控，目的是为了在访问时达到信任与风险之间的平衡，结合了提升信任度与动态降低风险等技巧。情境感知（Context awareness）是指访问的决策反映了当下的状况，而动态降低风险则是指原本可能被封锁的访问可以安全的开放。采用适应性访问管理架构可让企业提供不限设备、不限地点的访问，并允许社交账号访问一系列风险程度不一的企业资产。 全面沙盒分析（内容引爆）与入侵指标（IOC）确认

无可避免地，某些攻击将越过传统的封锁与安全防护机制，在这种情况下，最重要的就是要尽可能在最短时间内迅速察觉入侵，将黑客可能造成的损害或泄露的敏感信息降至最低。许多信息安全平台现在都具备在虚拟机（VM）当中运行（亦即“引爆”）执行档案和内容的功能，并且能够观察VM当中的一些入侵指标。这一功能已迅速融入一些较强大的平台当中，

信息安全新测评技术

云端访问安全代理服务

云端访问安全代理服务是部署在企业内部或云端的安全策略执行点，位于云端服务消费者与云端服务供应商之间，负责在云端资源被访问时套用企业安全策略。在许多案例中，初期所采用的云端服务都处于IT掌控之外，而云端访问安全代理服务则能让企业在用户访问云端资源时加以掌握及管控。 适应性访问管控

适应性访问管控一种情境感知的访问管控，目的是为了在访问时达到信任与风险之间的平衡，结合了提升信任度与动态降低风险等技巧。情境感知（Context awareness）是指访问的决策反映了当下的状况，而动态降低风险则是指原本可能被封锁的访问可以安全的开放。采用适应性访问管理架构可让企业提供不限设备、不限地点的访问，并允许社交账号访问一系列风险程度不一的企业资产。 全面沙盒分析（内容引爆）与入侵指标（IOC）确认

无可避免地，某些攻击将越过传统的封锁与安全防护机制，在这种情况下，最重要的就是要尽可能在最短时间内迅速察觉入侵，将黑客可能造成的损害或泄露的敏感信息降至最低。许多信息安全平台现在都具备在虚拟机（VM）当中运行（亦即“引爆”）执行档案和内容的功能，并且能够观察VM当中的一些入侵指标。这一功能已迅速融入一些较强大的平台当中，

信息安全技术保障措施

网络与信息的安全不仅关系到公司正常业务的开展，还将影响到国家的安全、社会的稳定。我公司将认真开展网络与信息安全工作，通过检查进一步明确安全责任，建立健全的管理制度，落实技术防范措施，保证必要的经费和条件，对有毒有害的信息进行过滤、对用户信息进行保密，确保网络与信息安全。

—、网站运行安全保障措施

1、网站服务器和其他计算机之间设置经公安部认证的防火墙,并与专业网络安全公司合作，做好安全策略,拒绝外来的恶意攻击，保障网站正常运行。

2、在网站的服务器及工作站上均安装了正版的防病毒软件，对计算机病毒、有害电子邮件有整套的防范措施，防止有害信息.对网站系统的干扰和破坏。

3、做好日志的留存。网站具有保存60天以上的系统运行日志和用户使用日志记录功能，内容包括IP地址及使用情况，主页维护者、邮箱使用者和对应的IP地址情况等。

4、交互式栏目具备有IP地址、身份登记和识别确认功能，对没有合法手续和不具备条件的电子公告服务立即关闭。

5、网站信息服务系统建立双机热备份机制，一旦主系统遇到故障或受到攻击导致不能正常运行，保证备用系统能及时替换主系

统提供服务。

6、关闭网站系统中暂不使用的服务功能,及相关端口,并及时用补丁修复系统漏洞,定期查杀病毒。

信息安全新测评技术

云端访问安全代理服务

云端访问安全代理服务是部署在企业内部或云端的安全策略执行点，位于云端服务消费者与云端服务供应商之间，负责在云端资源被访问时套用企业安全策略。在许多案例中，初期所采用的云端服务都处于IT掌控之外，而云端访问安全代理服务则能让企业在用户访问云端资源时加以掌握及管控。 适应性访问管控

适应性访问管控一种情境感知的访问管控，目的是为了在访问时达到信任与风险之间的平衡，结合了提升信任度与动态降低风险等技巧。情境感知（Context awareness）是指访问的决策反映了当下的状况，而动态降低风险则是指原本可能被封锁的访问可以安全的开放。采用适应性访问管理架构可让企业提供不限设备、不限地点的访问，并允许社交账号访问一系列风险程度不一的企业资产。 全面沙盒分析（内容引爆）与入侵指标（IOC）确认

无可避免地，某些攻击将越过传统的封锁与安全防护机制，在这种情况下，最重要的就是要尽可能在最短时间内迅速察觉入侵，将黑客可能造成的损害或泄露的敏感信息降至最低。许多信息安全平台现在都具备在虚拟机（VM）当中运行（亦即“引爆”）执行档案和内容的功能，并且能够观察VM当中的一些入侵指标。这一功能已迅速融入一些较强大的平台当中，

一、教学思想

1、信息时代在享受技术带来极大方便的同时也面临着形式愈来愈严峻的信息安全问题。因此如何预防计算机病毒确保信息安全如何安全规范地进行信息活动防止计算机犯罪这是信息活动中必须引起足够重视的问题。

2、高中信息技术新课程标准中提出青少年要树立安全的信息意识学会病毒防范、了解信息保护的基本方法了解计算机犯罪的危害性养成安全的信息活动习惯。

二、教材分析

本节选自苗逢春主编的高中《信息技术》第一册第一章第 3 节。教学课时为一课时。本节作为第一章的最后一节全面介绍了信息安全方面的相关知识引导学生了解在日常信息活动中存在的安全问题和信息道德问题及相关法律法规知识通过深入学习使得学生逐步树立信息安全意识和自觉遵守信息道德规范意识这种意识的建立是相伴学生终身的一种信息素养。

三、教学重点、难点

1、重点

1、让学生掌握防治计算机病毒的方法。

2、引导学生安全的使用信息技术。

3、对学生进行网络道德教育。

2、难点

1、学会使用杀毒软件查杀病毒。

2、日常生活中信息技术的安全使用。

四、学情分析

学生通过前面的学习具备了一定的信息收集、处理、表达能力会上网能够使用搜索引擎搜索某一方面的信息。学生对网络有较浓厚的兴趣但是对信息安全了解不多信息安全意识相对比较淡薄。在使用计算机

信息安全技术概述李文兢631413906@

广东计安信息网络培训中心

本课程的目的 了解和掌握网络与信息安全的基本原理和相 关技术 关注国内外最新研究成果和发展动态

具有网络与信息安全的理论基础和基本实践能力

目 录信息安全的基本概念

信息安全技术发展介绍

信息安全模型与安全技术框架

信息安全管理体系

信息安全未来发展趋势

信息安全概述

什么是信息？ 消息、信号、数据、情报和知识 信息本身是无形的，借助于信息媒体以多种形式存在或传播： 存储在计算机、磁带、纸张等介质中 记忆在人的大脑里 通过网络、打印机、传真机等方式进行传播 信息借助媒体而存在，对现代企业来说具有价值，就成为信息资产： 计算机和网络中的数据 硬件、软件、文档资料 关键人员 组织提供的服务 具有价值的信息资产面临诸多威胁，需要妥善保护4

信息安全概述

企业信息安全管理关注的信息类型

内部信息组织不想让其竞争 对手知道的信息

客户信息顾客/客户不想让组 织泄漏的信息

共享信息需要与其他业务伙 伴分享的信息

信息安全概述

信息的处理方式

创建 使用 存储

传递6

更改

销毁

信息安全概述

什么是信息安全？采取措施保护信息资产， 使之不因偶然或者恶意侵犯而 遭受破坏、更改及泄露，

信息安全技术概述李文兢631413906@

广东计安信息网络培训中心

本课程的目的 了解和掌握网络与信息安全的基本原理和相 关技术 关注国内外最新研究成果和发展动态

具有网络与信息安全的理论基础和基本实践能力

目 录信息安全的基本概念

信息安全技术发展介绍

信息安全模型与安全技术框架

信息安全管理体系

信息安全未来发展趋势

信息安全概述

什么是信息？ 消息、信号、数据、情报和知识 信息本身是无形的，借助于信息媒体以多种形式存在或传播： 存储在计算机、磁带、纸张等介质中 记忆在人的大脑里 通过网络、打印机、传真机等方式进行传播 信息借助媒体而存在，对现代企业来说具有价值，就成为信息资产： 计算机和网络中的数据 硬件、软件、文档资料 关键人员 组织提供的服务 具有价值的信息资产面临诸多威胁，需要妥善保护4

信息安全概述

企业信息安全管理关注的信息类型

内部信息组织不想让其竞争 对手知道的信息

客户信息顾客/客户不想让组 织泄漏的信息

共享信息需要与其他业务伙 伴分享的信息

信息安全概述

信息的处理方式

创建 使用 存储

传递6

更改

销毁

信息安全概述

什么是信息安全？采取措施保护信息资产， 使之不因偶然或者恶意侵犯而 遭受破坏、更改及泄露，

《信息安全技术 网络交换机安全技术要求》

国家标准制定（草案）编制说明

一、 工作简况

按照2015年全国信息安全标准化技术委员会的国家标准制定计划，中国信息安全测评中心联合吉林信息安全测评中心、华为技术有限公司、福建星网锐捷网络有限公司、清华大学等单位联合申报了《信息安全技术 网络交换机安全技术要求》的制定工作。本项目在2015年8月获得批准，主要起草单位为中国信息安全测评中心、吉林信息安全测评中心、华为技术有限公司、福建星网锐捷网络有限公司、清华大学。

二、 编制原则

本标准为已有标准的修订，修订过程主要把握了如下的原则： ?

基于GB/T 18336-2015《信息技术 安全技术 信息技术安全评估准则》的安全功能和安全保障组件概念定义网络交换机安全技术要求。 ?

标准结构是按照GB/Z 20283-201X 《信息安全技术 保护轮廓和安全目标的产生指南》组织，因此需添加网络交换机不同安全保障级别（EAL）的安全问题和安全目的。 ?

网络交换机安全功能分级在参照GB/T 18336-2015的EAL基础上，同时参考国内外相关行业的同类指南和出版物，涉及面广，取材充分。 ?

面向网络交换机产品实际，尽量吸纳成熟的技术和已有共识的结论，尽量少