保密性： 确保信息只能由那些被授权使用的人获取 完整性： 保护信息及其处理方法的准确性和完整性 可用性： 确保被授权使用人在需要时可以获取信息和使用相关的资产 可控性： 对信息和信息系统实施安全监控管理，防止非法利用信息和信息系统 不可否认性：防止信息源用户对他发送的信息事后不承认，或者用户接收到信息之后不认帐 信息安全涉及到信息的保密性（Confidentiality）、完整性（Integrity）、可用性 （Availability）、可控性（Controllability）和不可否认性（Non-Repudiation）。综合起来 说,就是要保障电子信息的有效性。保密性就是对抗对手的被动攻击,保证信息不泄漏给 未经授权的人。完整性就是对抗对手主动攻击,防止信息被未经授权的人篡改。可用性就 是保证信息及信息系统确实为授权使用者所用。可控性就是对信息及信息系统实施安全监控。
1、保密性 要求保护数据内容不被泄漏，加密是实现机密性要求的常用手段。 它是信息安全一诞生就具有的特性，也是信息安全主要的研究内容之一。更通俗地讲，就是说未授权的用户不能够获取敏感信息。 对纸质文档信息，我们只需要保护好文件，不被非授权者接触即可。而对计算机及网络环境中的信息，不仅要制止非授权者对信息的阅读。也要阻止授权者将其访问的信息传递给非授权者，以致信息被泄漏。 2、真实性 对信息的来源进行判断，能对伪造来源的信息予以鉴别。 3、完整性 要求保护的数据内容是完整的、没有被篡改的。常见的保证一致性的技术手段是数字签名。 它是保护信息保持原始的状态，使信息保持其真实性。如果这些信息被蓄意地修改、插入、删636f7079e79fa5e9819331333366306561除等，形成虚假信息将带来严重的后果。 4、可用性 是指授权主体在需要信息时能及时得到服务的能力。可用性是在信息安全保护阶段对信息安全提出的新要求，也是在网络化空间中必须满足的一项信息安全要求。 5、不可否认性 指在网络环境中，信息交换的双方不能否认其在交换过程中发送信息或接收信息的行为。 信息安全的三个基本要点之一 完整性原则指用户、进程或者硬件组件具有能力，能够验证所发送或传送的东西的准确性，并且进程或硬件组件不会被以任何方式改变。 [1] 完整性的目的是通过阻止威胁或探测威胁，保护可能遭到不同方式危害的数据的完整性和数据相关属性的完整性。许多开放系统应用都有依赖于数据完整性的安全需求。这类需求可以提供包括用于其它安全服务(如认证、访问控制、机密性、审计和不可否认性)中的数据完整性保护。这里所阐述的完整性是以一个数据值的恒定特性来定义的，数据值恒定性的概念包括了数据值被认为等效的不同表达式的所有情况。 完整性服务的目标是保护数据免受未授权的修改，包括数据的未授权创建和删除。通过如下行为，完成完整性服务： (1)屏蔽，从数据生成受完整性保护的数据。 (2)证实，对受完整性保护的数据进行检查，以检测完整性故障。 (3)去屏蔽，从受完整性保护的数据中重新生成数据。 这些行为不一定使用密码技术。当使用密码技术时，就不必对数据进行变换。例如，屏蔽操作可以通过对数据添加封印或者数字签名完成。在这种情况下，在成功证实之后，去屏蔽通过拆去密封或数字签名实现。 [2] 为了对数据进行屏蔽、证实或去屏蔽操作，可能使用辅助信息。这些辅助信息称为完整性信息。完整性信息包括： (1)屏蔽完整性信息，它用于屏蔽数据的信息，包括私钥、密钥、算法标识等、相关密码参数、时变参数(如时间戳)等。 (2)变换检测完整性信息，它用于证实受完整性保护数据的信息，包括公钥和私钥。 (3)去屏蔽完整性信息，它用于对完整性保护数据去屏蔽的信息，包括公钥和私钥。 [2] 我们可以依据所发生的数据行为(创建、删除、修改、插入或重放)、所需的保护措施(阻止威胁或对违规进行检测)或依据在完整性违规操作事件中是否支持恢复功能，对各种完整性服务进行分类。 1．根据防范的违规分类 根据防范的违规操作分类，完整性服务可分为防止未授权的数据修改、防止未授权的数据创建、防止未授权的数据删除、防止未授权的数据插入以及防止未授权的数据重放。 2．依据提供的保护方法分类 依据提供的保护方法分类，完整性服务可分为阻止完整性损坏和检测完整性损坏。 3．依据是否包括恢复机制分类 依据是否包括恢复机制，完整性服务分为两种情况：在具有恢复机制的情况下，去屏蔽操作在证实操作一旦发生改变时，能够恢复原始数据(并可能发出恢复活动已发生的信号，或者指示出错信号以作审计之用)；在不带恢复功能的情况下，一旦证实操作指示发生改变，去屏蔽操作就不能恢复原始数据。 [2] 1．测试字 测试字利用双方协定来使交易字段(例如账号名称、日期、总量等)受到保护，这种方法通常需要一个静态密钥和一个随机数发生器。发送者通过一个双方认同的算法将信息转化成一个字符串(称为测试字)附加在交易中，接收者用接收到的交易数据重复同样的步骤，从而能够验证交易的完整性。测试字是封装的一个早期的技术实现。 2．封装和签名 最普遍的封装和签名技术包含用加密办法产生一个作为明文的附件传送的值。当需要特定的数据完整性要求时，这样一个附件通常被称为完整性校验值。 封装和签名机制的应用需要解决几个问题，例如在算法的选择上、填充要求上和密钥管理过程上都需要建立共识。大多数用于机密性目的的加密机制都适用于为实现数据完整性目的的封装和签名机制。 3．加密 加密既可用于保证数据的机密性，又可用于保证其完整性。假定被保护的数据项拥有一些冗余，加密传输冗余能保证数据完整性的效果，这就使得如果一个入侵者不知道加密的密钥而修改了密文的一部分，会导致在解密的过程中产生不正确的信息。 在一些情况下，数据项拥有充分自然的冗余。相应地，冗余能优先于加密通过扩展数据项得到，一个校验值称为修改检测码。由Hash函数产生的数据摘要，或一个循环冗余校验，都是修改检测码的例子。 不是所有的加密机制都能用在此处。例如，在加密模式中，可逆的公钥算法不能保证数据的完整性。假定一个入侵者能知道公钥，那么他就能产生并且加密一个假的数据项。 4．序列完整性 序列完整性为检测数据项的重放、重排或丢失提供了一种方法，它形成了一个序列的通信网安全与保密一部分。假定每一个数据项内部的完整性已经得到保护。有两种方法可以提供序列的完整性。一种方法是在封装、签名或加密等保护之前，给数据项附加一个完整性序列号；另一种方法是在封装、签名或加密等过程中利用在数据项的序列上扩展的链产生一个加密链。 5．复制 一个数据完整性的度量能由复制在多存储区域的存储信息或通过在不同的路径中传输数据的多个备份来提供。可以假想攻击者不能同时危及所有的备份，那么原始数据就可从未被危及的备份中恢复。 6．完整性恢复 支持完整性恢复所需的机制是一个简单的标准通信错误恢复机制。通常的方法是在检测到破坏发生和重新发送所有数据之前，要重新同步到检测位置。任何密码处理过程，不管是为了机密性还是为了完整性，均需要同时重新同步到同一个检测位置。 [2] 参考资料
 電腦網路入侵 防火牆的視察軟體介面範例，紀錄IP進出情況與對應事件
信息安全，意为保护信息及信息系统免受未经授权的进入、使用、披露、破坏、修改、检视、记录及销毁。 政府、军队、公司、金融机构、医院、私人企业积累了大量與雇员、顾客、产品、研究、金融数据有关的机密信息，而绝大部分的信息现在被收集、产生、存储在电子计算机内，并通过网络传送到别的计算机。 万一企业的顾客、财政状况、新产品线的机密信息落入了其竞争对手的掌握，这种安全性的丧失可能会导致经济上的损失、法律诉讼甚至该企业的破产。保护机密的信息是商业上的需求，而在许多情况中也是道德和法律上的需求。 对于个人来说，信息安全对于个人隐私具有重大的影响，但这在不同的文化中的看法差异很大。 信息安全在最近这些年经历了巨大的變化。有很多方式进入这一领域，并将之作为一项事业。它提供了许多专门的研究领域，包括：安全的网络和公共基础设施、安全的应用软件和数据库、安全测试、信息系统评估、企业安全规划以及数字取证技术等等。 为保障信息安全，要求有信息源认证、访问控制，不能有非法软件驻留，不能有未授权的操作等行为。 目录
名詞區分[编辑]資安概念 信息安全这一术语，与计算机安全和信息保障（information assurance）等术语经常被不正确地互相替换使用。这些领域经常相互关联，并且拥有一些共同的目标：保护信息的机密性、完整性、可用性；然而，它们之间仍然有一些微妙的区别。 区别主要存在于达到这些目标所使用的方法及策略，以及所关心的领域。信息安全主要涉及数据的机密性、完整性、可用性，而不管数据的存在形式是电子的、印刷的还是其它的形式。 计算机安全可以指：关注计算机系统的可用性及正确的操作，而并不关心计算机内存储或产生的信息。 为保障信息安全，要求有信息源认证、访问控制，不能有非法软件驻留，不能有未授权的操作等行为。 历史[编辑]自从人类有了书写文字之后，国家首脑和军队指挥官就已经明白，使用一些技巧来保证通信的机密以及获知其是否被篡改是非常有必要的。 凯撒被认为在公元前50年发明了凯撒密码，它被用来防止秘密的消息落入错误的人手中时被读取。 第二次世界大战使得信息安全研究取得了许多进展，并且标志着其开始成为一门专业的学问。 20世纪末以及21世纪初见证了通信、计算机硬件和软件以及数据加密领域的巨大发展。小巧、功能强大、价格低廉的计算设备使得对电子数据的加工处理能为小公司和家庭用户所负担和掌握。这些计算机很快被通常称为因特网或者万维网的网络连接起来。 在因特网上快速增长的电子数据处理和电子商务应用，以及不断出现的国际恐怖主义事件，增加了对更好地保护计算机及其存储、加工和传输的信息的需求。计算机安全、信息安全、以及信息保障等学科，是和许多专业的组织一起出现的。他们都持有共同的目标，即确保信息系统的安全和可靠。 基本原理[编辑]關鍵概念[编辑]信息安全的內容可以簡化為下列三個基本點，称为CIA三要素，此觀點似乎最早在NIST於1977年所發行的出版品中提到。[1] 机密性[编辑]机密性（Confidentiality）確保資料傳遞與儲存的隱密性，避免未經授權的使用者有意或無意的揭露資料內容。[2] 完整性[编辑]数据完整性（Integrity）代表確保資料無論是在傳輸或儲存的生命週期中，保有其正確性與一致性。[3] 可用性[编辑]在信息安全領域，可用性（Availability）是成功的資訊安全計畫應具備的需求，意及當使用者需透過資訊系統進行操作時，資料與服務須保持可用狀況(能用)，並能滿足使用需求(夠用)。[4] 其他特性[编辑]
3A[编辑]認證（Authentication）[编辑]識別資訊使用者的身份，可記錄資訊被誰所存取使用，例如：透過密碼或憑證方式驗證使用者身份。 實務做法：
授權（Authorization）[编辑]依照實際需求給予實體適當的權限，一般建議採最小權限（Least privilege），意即僅給予實際作業所需要的權限，避免過度授權可能造成的資訊暴露或洩漏。 資訊系統層面的實務存取控制方法分類如下：
紀錄（Accounting）[编辑]內容項目包含量測（Measuring）、監控（Monitoring）、報告（Reporting）與紀錄檔案(Logging)，以便提供未來作為稽核（Auditing）、計費（Billing）、分析（Analysis）與管理之用，主要精神在於收集使用者與系統之間互動的資料，並留下軌跡紀錄。 信息安全三要素之間存在互相牽制的關係，例如：過度強化機密性時，將造成完整性與可用性的降低，需要高可用性的系統則會造成機密性與完整性的降低，因此在有限資源的前提下，在信息安全三要素中取得適當的平衡是資訊安全管理階層的重要課題。 对信息安全的认识经历了的数据安全阶段（强调保密通信）、网络信息安全时代（强调网络环境）和目前的信息保障时代（强调不能被动地保护，需要有保护——检测——反应——恢复四个环节）。 安全技术严格地讲仅包含3类：隐藏、访问控制和密码学。 典型的安全应用有：
过程控制[编辑]突发事件控制[编辑]「網路与訊息安全事件」（Network & Information Security Incident）是突发事件的一种，也被称为「訊息安全事件」（Information Security Incident）。網路与訊息安全事件在业界尚未有统一的定义，政府管理、科学研究、企业根据各自的关注点对其的理解也存在一定的差异。至於中华人民共和国国家质量监督检验检疫总局和中国国家标准化管理委员会制定发布的两个现行技术标准中，对该术语的定义如下：
各國法律、法规与标准[编辑]中国大陆最重要的信息安全标准体系是“信息安全等级保护体系”。该体系在所有主要行业进行推广，并对信息安全行业的发展产生了重要影响。 臺灣由行政院頒布資通安全管理法主要涵蓋對象為中央、地方機關與公法人，及金融、能源、交通等關鍵基礎建設提供者，並影響前述單位的組織架構、資訊安全方針及預算分配。 参考文献[编辑]
参见[编辑]
|
信息安全的三个基本 要点
版權 © 2024 ihoctot Inc.
