信息系统安全相关概念(下)

文章总览：YuanDaiMa2048博客文章总览

---

• 上篇指路：信息系统安全相关概念(上)

信息系统风险评估

安全风险评估

• 对信息系统整体安全态势的感知和对重大安全事件的预警，实现“事前能预防，事中能控制，事后能处理”。
• 安全风险组成的四要素：
  • 信息系统资产（Asset）
  • 信息系统脆弱性（Vulnerability）
  • 信息安全威胁（Threat）
  • 信息系统安全保护措施（Safeguard）。
• 风险处置策略
  • 降低风险（Reduce Risk）
  • 避免风险（Avoid Risk）
  • 转移风险（Transfer Risk）
  • 接受风险（Accept Risk）
• 风险评估
  • 分析过程
    1. 资产面临的威胁及威胁利用脆弱性导致安全事件的可能性；
    2. 根据资产价值来判断安全事件一旦发生对组织造成的影响。
  • 要素：资产、威胁、脆弱性和安全措施
    • 资产是有价值的，组织的业务战略对资产的依赖度越高，资产价值就越大；
    • 风险是由威胁引发的，资产面临的威胁越多则风险越大，并可能演变成安全事件；
    • 脆弱点越多，威胁利用脆弱性导致安全事件的可能性越大（脆弱性是违背满足的安全需求）
    • 风险的存在及对风险的认识导出安全需求
  • 信息系统安全风险计算模型（GB/T20984-2007）
  • 项目实施过程：策划、准备、实施、报告、跟踪
    • 制定评估计划：评估计划应以文件形式颁发，评估实施计划应该有评估组长签名并得到主管领导的批准。
    • 检查列表、评估计划和评估报告都作为评估记录而存档。

信息系统等级保护

网络安全法

• 《网络安全法》是网络安全领域的基本法
  • 等保2.0实施后，不开展等级保护等于违反《网络安全法》，可以根据法律规定进行处罚。

等级保护

• 国家信息安全保障的基本制度、基本策略，保护信息化发展、维护信息安全的基本保障
• 定义：网络安全等级保护是指对国家重要信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置。
  • 等保对象：对网络（含信息系统、数据）实施分等级保护和监管
  • 安全产品：对网络中使用的网络安全产品实行按等级管理
  • 安全事件：对网络中发生的安全事件分等级响应、处置
• 为什么要等级保护？ 国家法律要求 客户要求 自身安全要求
• 新标准：
  • 《 信息安全技术 网络安全等级保护基本要求 》 GB/T 22239-2019
  • 《 信息安全技术 网络安全等级保护安全设计要求 》 GB/T 25070-2019
  • 《 信息安全技术 网络安全等级保护测评要求 》 GB/T 28448-2019
• 实施等级保护的意义
  • 明确责任和工作方法，让安全防护更加规范
  • 提高安全思路和意识，合理分配网络安全投资
  • 改变以往单点防御方式，让安全建设更加体系化

等级保护工作流程

• 等级保护有“五个规定动作”：定级、备案、建设整改、等级测评、监督检查
  （监督检查是保护能力不断提高的保障）

• 重要行业关键信息系统划分及定级建议
  国家信息安全等级保护坚持自主定级、自主保护的原则

• 定级流程：

  1. 确定定级对象
  2. 初步确定等级
  3. 专家评审
  4. 主管部门审核
  5. 公安机关备案审查

• 定级对象：等级保护对象、网络安全等级保护工作的作用对象（包括网络基础设施、云计算平台、大数据平台、物联网等等）

• 定级备案基本流程

  1. 用户初步定级
  2. 编写定级报告
  3. 专家定级评审
  4. 填写备案表
  5. 提交备案材料
  6. 收到备案证明

环境安全

• 物理安全是等级保护的重要技术基础
• 机房三度要求：温度、湿度、洁净度（GB50174-2008 电子信息系统机房设计规范）
  • 温度：机房温度一般应控制在18～22℃
  • 湿度：相对湿度一般控制在40％～60％为宜
  • 洁净度：尘埃颗粒直径<0.5m，含尘量<1万颗/升
• 防火与防水要求（重要的火灾隐患：UPS电池组）
  1. 隔离
  2. 火灾报警系统
  3. 灭火设施
  4. 管理措施
• 机房防盗要求
  • 如何减少无关人员进入机房的机会是计算机机房设计时首先要考虑的问题。
  • 视频监控系统
  • 在设备上贴特殊标签，检测器报警
  • 光纤电缆串接，光束传输受阻则自动报警
• 机房防鼠
• 防静电措施
• 接地要求（接地可以为计算机系统的数字电路提供一个稳定的0V参考电位）
  • 地线种类：保护地、直流地、屏蔽地、静电地和雷击地
  • 接地体：地桩、水平栅网、金属板、建筑物基础钢筋等
• 防雷击措施
• 机房选址要求
  • 避开发生火灾危险程度高的区域；
  • 避开产生粉尘、油烟、有害气体源、以及存放腐蚀、易燃、易爆物品的地方；
  • 避开低洼、潮湿、落雷、重盐害区域和地震频繁的地方；
  • 避开强振动源和强噪音源；
  • 避开强电磁场的干扰；
  • 避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁远离核辐射源；
  • 计算机机房所在建筑物的结构安全。

线路保护

• 窃听
  • 搭线窃听
  • 光纤通信技术
  • 海底电缆窃听

电源系统安全

• 电源是计算机网络系统的命脉，电源系统的稳定可靠是计算机网络系统正常运行的先决条件。
• 供电方式：
  • 一类供电：需要建立不间断供电系统
  • 二类供电：需要建立带备用的供电系统
  • 三类供电：按一般用户供电考虑
• 电源防护措施：
  • 电源调整器：隔离器+稳压器+滤波器
  • 不间断电源UPS：持续供电型、马达发电机、顺向转换型、逆向转换型
  • 电源相关操作：系统接地、电源要匹配、电缆连接和卡的插拔、正确开关机

有必要引入服务器PUE（即SPUE）能效概念，让更多能源真正用于计算，这对于大型云计算数据中心而言特别重要。

信息系统的电磁对抗

• 电磁泄漏：电子设备的杂散电磁能量通过导线或空间向外扩散。
• 电磁信息泄漏的防护
  • 电磁泄漏的途径：以电磁波形式的辐射泄漏；电源线、控制线、信号线和地线造成的传导泄漏。
  • 偏转线圈、主电路板、信号线元件成为显示器电磁辐射的最主要源头
  • 另一用途：密码破解
    • 旁路攻击（Side Channel Attacks，SCAs）就是利用密码算法实现时泄露的旁路信息来实施破解的攻击方法，比如计时攻击（timing analysis）、电磁分析攻击（electromagneticanalysis）以及功耗分析攻击（poweranalysis）等。
  • 抑制电磁信息泄漏的技术途径：
    • 物理抑制技术
    • 电磁屏蔽技术（铜网式屏蔽室）
    • 噪声干扰技术
• 电磁对抗
  • 电磁战：指通信、雷达、光电、网络对抗战法和电磁频谱管控行动能力的战斗，目的是干拢敌方的信息联系、阻断信息沟通，使敌方致盲、失去应有的战斗力。
  • 作用机理：通过热效应、射频干扰和“浪涌”效应、强电场效应和磁效应这四个访，先影响武器装备的战术和技术性能。
  • 防磁柜
• 物理安全的概念
  物理安全又叫实体安全（PhysicalSecurity），是保护计算机设备、设施（网络及通信线路）免遭自然灾害（包括地震、水灾、火灾、有害气体等）、人为破坏及其他环境事故（如电磁污染等）破坏的措施和过程。
  物理安全技术主要针对计算机及网络系统的环境、场地、设备和通信线路等采取的安全技术和管理措施。
  • 物理安全体系结构:
    • 线路安全
    • 介质安全
    • 设备安全
    • 电源安全
    • 环境安全