网络安全之CIA

CIA是网络安全防范的核心以及基础，保证任何网络架构，信息架构等的CIA是预防被攻击的基础。
那么什么是CIA，他们代表着什么意思，下面就来介绍一下。
（以下内容来源于 CISSP官方学习指南第8版）
保密性（Confidentiality）：指为保障数据、客体或资源保密状态而采取的措施。保密性保护的目标是阻止或者最小化未经授权的数据访问。保密性关注的安全措施重点在于确保除预期收件人外的任何人都不会接收到或读取到信息。
要维护网络中的保密性，必须保护数据避免在存储、处理和传输过程中遭受未经授权的访问、使用或泄露。

敏感性：指信息的特性，这种特性的数据一旦泄露会导致伤害或损失。维持敏感信息的保密性有助于预防伤害或损失。
判断力：是一种操作者可影响或控制信息泄露，以将伤害或损失程度降至最低的决策行为。
关键性：信息的关键性程度是其关键性的衡量标准，关键级别越高，越需要保持信息的保密性。高级别的关键性对一个组织的运营和功能必不可少。
隐藏（Concealment）：指藏匿或防止泄露行为。通常，隐藏被看出一种掩盖、混淆和干扰注意力的手段。与隐藏相关的一个概念是通过晦涩获得安全，即试图通过隐藏沉默或保密获得保护。
保密：指对某事保密或防止信息泄露的行为。
隐私：指对个人身份或可能对他人造成伤害、令他人感到尴尬的信息保密。
隔绝（Seclusion）：就是把东西放在不可到达的地方。这个位置还可提供严格的访问控制。隔绝有助于实施保密性保护。
隔离（Isolation）：是保持把某些事物与其他事物分离的行为。隔离可用于防止信息混合或信息泄露。

完整性（Integrity）：保护数据可靠性和正确性的概念。完整性保护措施防止了未经授权的数据更改。它确保数据保持准确、未被替换。
可从以下三个方面检验完整性：

防止未经授权的主体进行修改
防止授权主体进行未经授权的修改，如引入错误。
保持客体内外一致以使客体的数据能够真实反映现实世界，而且与任何子客体、对等客体或父客体的关系都是有效的，一致的和可验证的。

为在系统中维持完整性，必须对数据、客体和资源的访问设置严格的控制措施。此外，应该使用活动记录日志来确保只有经过授权的用户才能访问各自的资源。在存储、传输和处理中维护和验证客体的完整性需要多种控制和监督措施。
预防对完整性的威胁，可以使用下面的控制措施：

严格的访问控制
严格的身份验证流程
入侵检测系统
客体数据加密
散列值验证
接口限制
输入功能检查
充分的人员培训

完整性依赖于保密性，完整性相关的其他概念、条件和特征如下：

准确性：正确且精确无误。
真实性：真实地反映现实。
可信性：可信的或非伪造的。
有效性：实际上（或逻辑上）是正确的
不可否认性：不能否认执行过某个动作或活动，或能证明通过了某个通信或事件的初始验证。
问责制：对行为和结果负有责任或义务。
职责：负责或控制某人或某事。
完整性：拥有全部需要和必要的组件或部件。
全面性：完整的范围，充分包含所有需要的元素。

不可否认性（Norepudiation）确保事件的主体或引发事件的人不能否认事件的发生。不可否认性可预防主体否认发送过消息，执行过动作或导致某个事件的发生。
通过标识、身份验证、授权、问责制和审计使不可否认性成为可能。可使用数字证书、会话标识、事务日志以及其它许多事务性机制和访问控制机制来实施不可否认性。
不可否认性是问责制的重要组成部分。

可用性（Availability）：授权主体被授予实时的、不间断的客体访问权限。通常可用性保护控制措施提供组织所需的充足带宽和实时处理能力。如果安全机制提供了可用性，它就提供了对数据、客体和资源可被授权主体访问的高度保障。
可用性包括对客体的有效的持续访问及抵御拒绝服务（DoS）攻击。可用性还意味着支撑性基础设施（包括网络服务、通信和访问控制机制）是可用的，并允许授权用户获得授权的访问。
要在系统上维护可用性，必须有适当的控制措施以确保授权的访问和可接受的性能水平，能快速处理终端，能提供冗余，能维护可靠的备份，能防止数据丢失或受损。
可用性依赖于完整性和保密性。没有完整性和相互信任，就无法维持可用性。与可用性相关的其他一些相关概念、条件和特征如下：

可用性：能够容易被主体使用或学习的状态，或能被主体理解和控制。
可访问性：保证全部授权主体可与资源交互而不考虑主体的能力或限制。
及时性：及时、准时，在合理的时间内响应，或提供低时延的响应。

以上就是对CIA的解释和分析。
对于不同的单位和行业，CIA的优先级别也是不一样的，这里介绍两种行业的优先级。
军方：保密性》完整性》可用性
私企、OT：可用性》完整性》保密性
通过以上的说明，希望大家可以对CIA有所了解和认识。