NISP一級備考知識總結之資訊安全概述、資訊安全基礎

參加每年的大學生網絡安全精英賽通過初賽就可以嫖一張 nisp（國家資訊安全水準考試） 一級證書，nisp 一級本身沒啥考的價值，能白嫖自然很香

1.資訊安全概述

資訊與資訊技術

資訊概述

• 資訊創始者香農認為：資訊是用來消除随即不确定性的東西
• 資訊是事務運動狀态或存在方式的不确定性的描述
• 資訊是具體的，并且可以被人（生物，機器等）所感覺、提取、識别，可以被傳遞、存儲、變換、處理、顯示、檢索、利用
• 資訊來源于物質，又不是物質本身；他是從物質的運動中産生出來，又可以脫離源物質而寄生于媒體物質，相對獨立地存在
• 資訊的功能：反映事物内部屬性、狀态、結構、互相聯系以及與外部環境的互動關系，減少事務的不确定性
• 資訊的表達：資訊本身是無形的，借助于資訊媒體以多種形式存在或傳播。它可以存儲在計算機、錄音帶、紙張等媒體中，亦可以記憶在人的大腦中，可以通過網絡等方式進行傳播

資訊的基本屬性

1. 資訊具有普遍性和客觀性
2. 資訊具有實質性和傳遞性
3. 資訊具有可擴散性和可擴充性
4. 資訊具有中介性和共享性
5. 資訊具有差異性和轉換性
6. 資訊具有時效性和增值性
7. 資訊具有可壓縮性

• 資訊不同于消息，消息是資訊的外殼，資訊是消息的核心，也可以說：消息是資訊的籠統概念，資訊則是消息的精确概念
• 資訊不同于資料，資料是資訊的符号表示，或稱為載體；資訊是資料的内涵，是資料地予以解釋。資料是資訊存在的一種形式，隻用通過解釋或處理才能成為有用的資訊。資料可用不同的形式表示，而資訊不會随資料的不同形式而改變

資訊技術

資訊技術（Information Technology，IT），是用于管理和處理資訊所采用的各種技術的總稱

資訊技術主要利用計算機科學和通信技術來設定、開發、安裝和實時資訊系統及應用軟體。其中，資訊處理是擷取資訊并對它進行變換，使之成為有用資訊并釋出出去的過程，主要包括資訊的擷取、存儲、加工、釋出和表示等幾個環節。目前，資訊收集和處理已經成為人類社會工作的一個重要組成部分

資訊技術包括生産和應用兩個方面

• 生産主要展現在現在資訊技術産業本身，包括計算機軟體、計算機硬體、裝置制造、微電子電路等
• 應用展現在資訊技術的擴散上，包括資訊服務、資訊管理系統等

資訊技術發展

微電子、通信、計算機和網絡是資訊系統的核心技術，其發展程序大緻可分為以下四個階段

• 第一階段：電訊技術的發明
• 第二階段：計算機技術的發明
• 第三階段：網際網路的使用
• 第四階段：網絡社會

第一階段：電訊技術的發明

資訊技術的起源可以追溯到19世紀30年代，其标志性事件是随着電

磁技術的發展，出現了電話電報。人類遠端通信手段有了飛躍，開

始進入新時代。這一時期的突出成果包括: 1835年， 美國人莫爾斯

(Morse)發明電報; 1837年，莫爾斯電磁式有線電報問世; 1886

年，馬可尼發明無線電報機; 1876年， 貝爾(BelI) 發明電話機;

1906年，美國實體學家費森登成功研究出無線電廣播; 1912年美 國

Emer son公司制造出世界上第一台收音機; 1925年，約翰●貝德發明

了世界上第一台電視機。這些技術成果統稱為電訊技術，它們為信

息技術的進一步發展奠定了基礎。

第二階段：計算機技術的發明

進入20世紀30年代，計算機理論與技術迅速發展，資訊技術

進入計算機階段。

20世紀50年代末，第一代電子管計算機出現，用于軍事科研

資訊處理;

60年代中期，

第二代半導體計算機逐漸在民用企業中使用

60年代末，內建電路(Integrated Circuit, IC) 和大規模

內建電路計算機接踵而至，并開始在社會普及應用;

70年代，随着個人計算機的普及，人們開始使用計算機處理

各種業務。計算機技術的發展和應用加快了人類奔向資訊時

代的步伐。

第三階段：網際網路的使用

20世紀60年代末，美國出現了第一一個用于軍事目的的計算機網

絡ARPANET。ARPANET的重要意義在于它使連接配接到網絡上的計算

機能夠互相交流資訊。

20世紀90年代，計算機網絡發展成為全球性網絡一一網際網路 (

Internet)，網絡技術和網絡應用迅猛發展。此外，這一階段

電話、計算機等裝置也實作了互聯互通，資訊和資料的傳輸更

加容易。資訊技術在這一-階段的飛速發展，深刻地影響着人們

的工作和生活方式。

第四階段：網絡社會

20世紀末，以Internet為核心的資訊技術進一步發展，人們的工

作、生活和學習越來越離不開網絡，國家的經濟、社會治理也與

網絡密不可分。

高度發展的資訊網絡，一方面通過現實社會投射，構成了虛拟

“網絡社會”;另一方面通過網絡資訊滲透，融合了各種已存在的

社會實體網絡，使“網絡社會”成為整個現實社會的結構形态。

至此，資訊技術步入一個嶄新的階段一網絡社會 階段。

在這一階段，雲計算、物聯網和大資料技術進入人們的生活，信

息和資料的儲存、傳輸更加容易。

資訊安全

資訊安全概述

• 資訊安全就是關注資訊本身的安全，而不管是否應用了計算機作為資訊處理的手段
• 資訊安全的任務是保護資訊财産，以防止偶然的或未授權者對資訊的惡意洩露、修改和破壞，進而導緻資訊的不可靠或者無法處理等，這樣可以使得我們在最大限度地利用資訊為我們服務的同時不招緻損失或損失最小
• 資訊安全問題已經涉及到人們日常生活的各個方面
• 建立在網絡基礎之.上的現代資訊系統,資訊安全定義較為明确，那就是:保護資訊系統的硬體、軟體及相關資料，使之不因為偶然或者惡意侵犯而遭受破壞、更改及洩露，保證資訊系統能夠連續、可靠、正常地運作
• 在商業和經濟領域,資訊安全主要強調的是消減并控制風險，保持業務操作的連續性,并将風險造成的損失和影響降低到最低程度

資訊安全的兩個方面

資訊系統安全四個層面

1. 裝置安全

   資訊裝置的安全是資訊系統安全的首要問題

   • 裝置的穩定性
   • 裝置的可靠性
   • 裝置的可用性
   裝置包括：軟裝置和硬裝置
2. 資料安全
   • 資料的秘密性（Secrecy）
   • 資料的真實性（Authenticity）
   • 資料的完整性（Integrity）
   IBM對于資料安全的定義：采取措施確定資料免受未授權的洩露、篡改和毀壞

3. 内容安全

   内容安全是資訊安全在法律、政治、道德層次上的要求

   • 政治上健康
   • 符合國家法律法規
   • 符合中華民族道德規範

4. 行為安全

   行為安全是資訊安全的終極目的

   • 行為的秘密性
   • 行為的完整性
   • 行為的可控性
   符合哲學上，實踐是檢驗真理的唯一标準

我國面臨的資訊安全威脅

國家威脅

• 一是恐怖組織通過網絡大肆釋出恐怖資訊,渲染暴力活動
• 二是邪教組織通過網絡極力宣揚種族歧視,煽動民族仇恨，破壞民族團結，宣揚邪教理念,破壞國家宗教政策，煽動社會不滿情緒,甚至暴力活動
• 三是西方勢力通過網絡傳播他們的意識形态、價值觀念和生活方式，進行文化滲透、侵略（顔色革命）
• 四是其他國家情報機構收集我國政治、軍事、經濟等情報資訊

組織威脅

主要針對企業或組織受保護的财産、專有技術。具體表現為:

• 一是網絡恐怖分子破壞公共秩序、制造社會混亂等
• 二是通過工業間諜掠奪競争優勢、打擊競争對手，使企業或組織蒙受經濟或聲譽損失

個人威脅

• 一是對知識産權的威脅
• 二是侵犯、破壞個人計算機系統中的資訊,通過網際網路對财産權進行侵犯,對E-mail系統進行破壞,影響人們正常的工作、學習和生活

資訊安全問題産生根源

• 内因：系統自身的脆弱性

  

  複雜性導緻脆弱性
• 外因：來自惡意攻擊者的攻擊，來自自然災害的破壞

  

  

資訊安全發展階段

通信安全（COMSEC）

• Communication Security
• 20世紀，40-70年代

核心思想

• 通過密碼技術解決通信保密，保證資料的保密性和完整性
• 主要關注傳輸過程中的資料保護

安全威脅

• 搭線竊聽，密碼學分析

安全措施

• 加密

計算機安全（COMPUSEC）

• Computer Security
• 20世紀，70-90年代

核心思想

• 確定資訊系統的保密性、完整性和可用性

安全威脅

• 非法通路、惡意代碼、脆弱密碼等

安全措施

• 安全作業系統設計技術（TCB）

資訊系統安全（INFOSEC）

• Information Systems Security
• 20世紀，90年代後

核心思想

• 確定資訊在存儲、處理和傳輸過程中免受偶然或惡意的洩密、非法通路或破壞

安全威脅

• 網絡入侵、病毒破壞、資訊對抗等

安全措施

• 防火牆、防病毒、漏洞掃描、入侵檢測、PKI（Public Key Infrastructure）、VPN等

資訊安全保障（IA）

• Information Assurance

核心思想

• 動态安全，保障資訊系統的業務正常、穩定的運作
• 綜合技術、管理、過程、人員

安全威脅

• 黑客、恐怖分子、資訊戰、自然災害、電力中斷等

安全措施

• 技術安全保障體系、安全管理體系、人員意識/教育訓練/教育

我國資訊安全形勢

2013年，“棱鏡門”事件在全球持續發酵隐藏在網際網路背後的國家力量和無所不在的“監控”之手，引起輿論嘩然和網絡空間的連鎖反應。全球範圍内陡然上升的網絡攻擊威脅,導緻各國對資訊安全的重視程度急劇提高，越來越多的國家将資訊安全列為國家核心安全利益。網絡安全進一步成為大國競争的戰略基點，較量和博弈逐漸深化更新

我國資訊安全環境日趨複雜，網絡安全問題對網際網路的健康發展帶來日益嚴峻的挑戰，網絡安全事件的影響力和破壞程度不斷擴大

展現在以下幾個方面：

• 針對網絡資訊的破壞活動日益嚴重,利用網絡進行違法犯罪案件逐年上升
• 安全漏洞和安全隐患增多,對資訊安全構成嚴重威脅
• 黑客攻擊、惡意代碼對重要資訊系統安全造成嚴重影響

資訊安全保障

資訊安全保障定義

資訊安全保障是指采用技術、管理等綜合手段，保護資訊和資訊系統能夠安全運作的防護性行為

通過保證資訊和資訊系統的可用性、完整性、機密性和不可否認性來保護并防禦資訊和資訊系統的操作，包括通過綜合保護、檢測和響應等能力為資訊系統提供修複

防護行為

• 防止資訊洩露、修改和保護
• 檢測入侵行為，計劃和部署針對入侵行為的防禦措施
• 采用安全措施和容錯機制在遭受攻擊的情況下保證機密性、私密性、完整性、抗抵賴性、真實性、可用性、可靠性
• 修複資訊和資訊系統所遭受的破壞

資訊安全保障與其他概念的差別

資訊安全保障與資訊安全、資訊系統安全的差別

資訊安全保障的概念更加廣泛

• 資訊安全的重點是保護和防禦,而安全保障的重點是保護、檢測和響應綜合
• 資訊安全不太關注檢測和響應，但是資訊安全保障非常關注這兩點
• 攻擊後的修複不在傳統資訊安全概念的範圍之内,但是它是資訊安全保障的重要組成部分
• 資訊安全的目的是為了防止攻擊的發生，而資訊安全保障的目的是為了保證資訊系統始終能保證維持特定水準的可用性、完整性、真實性、機密性和抗抵賴性

資訊安全保障模型

資訊安全保障模型能準确描述安全的重要方面與系統行為的關系，提高對成功實作關鍵安全需求的了解層次，計劃-執行-檢查-改進（Plan Do Check Act，PDCA）模型和資訊保障技術架構是資訊安全管理和資訊安全保障技術實施過程遵循的方法和思想

除 PDCA 模型外，還有兩種模型

• 防護-檢測-響應（Protection Detection Response，PDR）模型

  該模型的基本思想是：承認資訊系統中存在漏洞，正視系統面臨的威脅，通過适度防護并加強檢測，落實安全時間響應，建立威脅源威懾，保障系統安全。該模型認為，任何安全防護措施都是基于時間的，超過該時間段，這種防護措施就可能被攻破，PDR 模型直覺、使用，但是對于系統的安全隐患和安全措施采取像對固定的家實前提，難以适應網絡安全環境的快速變化

• 政策-防護-檢測-響應（Policy Protection Detection Response，P2DR/PPDR）模型

  政策是核心

  

資訊安全保障作用

由于網絡資訊傳播的開放性、跨界性、即時性、互動性等特點，網際網路在為廣大群眾提供越來越多有益資訊及其他資訊服務的同時，也存在着- -些虛假和錯誤導向的資訊，以及直接危害公衆利益、民族團結、國家統一、社會穩定和國家安全的違法與有害資訊及活動。建構更加安全可靠、更加有用、更加可信的網際網路,服務于建設小康社會和建構和諧社會，是我國加強資訊安全保障的一個重要任務

對社會的作用

在實施國家資訊化發展戰略中，要高度重視資訊安全保障體系建設，實作資訊化與資訊安全協調發展

國家基礎資訊網絡、重要資訊系統以及政府、企業和公民的資訊活動的安全若不能得到切實保障,資訊化帶來的巨大經濟與社會效益就難以有效發揮,資訊化發展也會受到嚴重制約

加強資訊安全保障的目的,就是要保障和促進資訊化發展，而不是以犧牲資訊化發展來換取資訊安全

采取不上網、不共享、不互聯互通等傳統封閉的方式保安全，會嚴重影響甚至阻礙資訊化發展，也不可能從根本.上解決資訊安全保障問題

隻有繼續大力推動資訊化建設,全面提高資訊化發展水準才能為應對各種資訊安全問題提供強有力的物質和技術保障

全面推進資訊化,隻有高度重視資訊安全保障建設，才能形成健康有序、安全穩定的資訊網絡秩序,才能確定資訊化程序穩步、快速地發展

對國家的作用

建構更加安全可靠、更加有用、更加可信的網際網路，服務于建設小康社會和建構和諧社會,是我國加強資訊安全保障的一個重要任務

由于網絡資訊傳播的開放性、跨界性、即時性、互動性等特點，網際網路在為廣大群眾提供和擷取越來越多的有用、有益的新聞資訊及其他資訊服務的同時,也存在着- -些虛假和錯誤導向的新聞資訊,以及直接危害公衆利益、民族團結、國家統一- 、社會穩定和國家安全的違法與有害資訊及活動

為有效開展網際網路治理工作,我國政府提出了網際網路管理的基本原則,即積極促進網際網路發展,并依法進行管理，鼓勵行業自律和公衆監督,旨在形成一個可信和安全的網際網路資訊空間

資訊系統安全保障

資訊系統

資訊系統是具有內建性的系統，每一個組織中資訊流動的總和構成一個資訊系統，資訊系統是根據一定的需要進行輸入、系統控制、資料處理、資料存儲與輸出等活動而涉及到的所有因素的綜合體

資訊系統安全保障含義

資訊系統安全保障是在資訊系統的整個生命周期中，從技術、管理、工程和人員等方面提出的安全保障要求，確定資訊系統的保密性、完整性和可用性，降低安全風險到可接受的程度，進而保障系統實作組織機構的使命

資訊系統的生命周期包括：分析、設計、研發、測試

資訊系統的安全保障要求：技術、管理、工程和人員

資訊系統的安全保障目的：確定資訊系統的保密性、完整性和可用性

資訊系統安全保障模型

2.資訊安全基礎技術

密碼學、身份認證、通路控制、安全審計

密碼學

加密與解密

資料加密是指将明文資訊采取數學方法進行函數轉換成密文，隻有特定接收方（有解密密鑰）才能将其解密還原成明文的過程

資料加密主要涉及三要素：明文、密鑰、密文

• 明文（Plain Text）：被隐蔽的原始資訊，通常用 m 表示
• 密文（Cipher Text）：隐蔽後的消息，通常用 c 表示
• 密鑰（Key）：加密和解密時使用的一組秘密資訊，用來控制加密和解密算法的操作，通常用 Ke（加密密鑰 encryption） 和 kd（解密密鑰 decryption） 表示
• 發送者、接收者：在消息傳送過程中，主動提供資訊的一方稱為發送方，得到消息的一方稱為接收者
• 加密（Encryption）：将明文通過數學算法轉換成密文的過程
• 解密（Decryption）：将密文還原成銘文的過程

加密可以采用密碼算法來實作，密碼算法從密鑰實用角度，可分為對稱密碼算法和非對稱密碼算法

對稱密碼

對稱密碼算法（也稱單鑰或私鑰密碼算法）：發送和接受資料的雙方使用相同的密鑰對銘文進行加密和解密運算，就是說加密和解密使用同一密鑰

優點：

• 效率高，算法簡單，系統開銷小
• 适合加密大量資料
• 明文長度與密文長度相等

缺點：

• 需要以安全的方式進行密鑰交換
• 密鑰管理複雜

典型對稱密碼和非對稱密碼

對稱密碼：

• 分組密碼：DES、AES、SM4
• 序列密碼：祖沖之序列密碼、RC4

非對稱密碼：

• RSA、ECC（橢圓曲線密碼）、SM2、SM3

粗體表示算法為國家密碼管理局編制的商用算法

混合加密算法

為了更好利用對稱密碼、非對稱密碼算法兩者的優點，盡可能消除兩者自身存在的缺陷，實際多采用混合加密算法。資料使用對稱加密算法加密，産生的密鑰通過非對稱加密算法加密傳輸

哈希函數

哈希函數，確定消息完整性，防止消息被篡改

• 哈希（Hash）函數（也成為雜湊函數或單項散列函數），哈希函數接受消息作為輸入，輸出一個稱為哈希值（也成為散列、消息摘要或者指紋）的輸出
• 哈希值可以看做是該輸入消息的指紋
• 優點：輸入的資訊即使僅改變一個比特的内容，輸出的哈希值也會發生變化
• 可以通過哈希值是否發生變化來判斷資訊是否被篡改

數字簽名

密碼學技術可以解決資訊的可鑒别性（真實性或認證性）和不可否認性，簡單地說，前者确認對方是否是本人的認證，後者防止對方否認自己曾經的行為

簡單的說數字簽名具有防止僞造、否認的功能

工作原理

身份認證

身份認證概念

身份認證是在計算機網絡中确認操作者身份的過程

在分布式系統中有兩類主要認證；

• 使用者與主機間的認證
• 主機與主機之間的認證

身份認證技術不可避免的會用到加密技術，可以分為

• 基于對稱密鑰技術的身份認證（如：Kerberos）
• 基于公開密鑰的身份認證（如：CA）

數字證書和公鑰基礎設施

• 數字證書

  數字證書（又稱電子證書、公鑰證書或證書）是一段經認證權威機構（Certification Authority，CA）簽名的，包含擁有着身份資訊和公開密鑰的資料體

• 公鑰基礎設施

  公鑰基礎設施（Public Key Infrastructure，PKI）是一種遵循既定标準的公鑰管理平台，它能夠為所有的網絡應用提供加密和數字簽名等密碼服務所必須的密鑰和證書管理體系

• 認證權威機構

  認證權威機構（又稱認證中心或認證機構，Certification Authoriy，CA），專門複雜數字證書的産生、發放和管理，以保證數字證書真實可靠

數字證書定義

數字證書就是網際網路通訊中标志通訊各方身份資訊的一串數字提供了一種在Internet上驗證通信實體身份的方式，其作用似于司機的駕駛執照或日常生活中的身份證

它是由一個由權威機構-CA機構，又稱為證書授權(Certificate Authority)中心發行的，人們可以在網上用它來識别對方的身份

數字證書是一個經證書授權中心數字簽名的包含公開密鑰擁有者資訊以及公開密鑰的檔案。最簡單的證書包含一個公開密鑰名稱以及證書授權中心的數字簽名，此外，數字證書隻在特定時間段内有效

數字證書内容

• 所有者公鑰
• 使用者或實體的身份
• 釋出者身份
• 由第三方信任機構簽名（Certificate Authority）
• 有限的有效期
• X.509 定義該結構（ITU，IETF PKIX standards），現在是 v3

數字證書功能

數字證書通過運用對稱和非對稱密碼體制等密碼技術建立起一套嚴密的身份認證系統，進而保證:

• 資訊除發送方和接收方外不被其它人竊取: (保密性)
• 資訊在傳輸過程中不被篡改: (不可修改性)
• 發送方能夠通過數字證書來确認接收方的身份: (身份認證性)
• 發送方對于自己的資訊不能抵賴: (不可否認性)

數字證書可用于:發送安全電子郵件、通路安全站點、網上證券交易、網上招标采購、網上辦公、網上保險、網上稅務、網上簽約和網上銀行等安全電子事務處理和安全電子交易活動

PKI 公鑰基礎設施

PKI|(Public Key Infrastructure )即“公鑰基礎設施”，是一種遵循既定标準的密鑰管理平台，它能夠為所有網絡應用提供加密和數字簽名等密碼服務及所必需的密鑰和證書管理體系，簡單來說，PKI就是利用公鑰理論和技術建立

的提供安全服務的基礎設施