网络信息安全基础标准与评估.ppt

网络信息安全基础,授课教师：张全海 qhzhang@,标准与评估,3.3 OSI 安全体系结构、模型与标准 (三),信息技术安全评估准则发展过程 可信计算机系统评估准则（TCSEC ）(美国国防部评估标准---橘皮书) 可信网络解释（TNI） (红皮书) 通用准则CC 信息技术安全测评标准(ITSEC)(欧洲评估标准---白皮书) 信息安全管理标准 BS 7799 《计算机信息系统安全保护等级划分准则》,标准介绍,ITSEC,法国、德国、荷兰和英国合作开发了一个标准文档___信息技术安全评测标准(ITSEC),于1991年由欧洲共同体委员会发布 特点:首次提出了信息安全的保密性、完整性、可用性的概念,并将安全概念分为功能和评估两部分; ITSEC标准对每个系统赋予两种等级:F等级(安全功能等级),有F1-F10级; E等级(安全保证等级),定义了E0-E6共7个安全等级； ITSEC评估的是整个系统，而不只是计算平台，某个等级所需要的总体安全功能可能分布在系统的不同组成中,而不是所有组成都要重复这些安全功能.,F等级: F等级从F1---F10共10级,其中前5级与TCSEC中的C1—B3的功能要求非常相似; F6对应数据和程序的完整性; F7对应系统的可用性; F8对应数据通信的完整性; F9对应数据通信的保密性; F10对应机密性和完整性的网络安全;,ITSEC,E等级: ITSEC定义了7个评估级别,E0级: 该级别表示不充分的保证; E1级: 该级别必须有一个安全目标和一个对产品或系统的体系结构设计的非形式化描述,功能测试用于表明安全目标是否达到; E2:除了E1级的要求外,还必须对详细的设计有非形式化的描述,必须有配置控制系统和认可的分配过程; E3:除了E2级的要求外,要评估与安全机制相对应的源代码和硬件设计图,还要评估测试这些机制的证据; E4: 除了E3级的要求外,必须有支持安全目标的安全策略的基本形式模型;,ITSEC,E5: 除了E4级的要求外,在详细的设计和源代码和硬件设计图之间有紧密的对应关系; E6: 除了E5级的要求外,必须正式说明安全加强功能和体系结构设计,使其与安全策略的基本形式模型一致;,ITSEC,标准介绍,信息技术安全评估准则发展过程 可信计算机系统评估准则（TCSEC ）(美国国防部评估标准---橘皮书) 可信网络解释（TNI） (红皮书) 通用准则CC 信息技术安全测评标准(ITSEC)(欧洲评估标准---白皮书) 信息安全管理标准 BS 7799 《计算机信息系统安全保护等级划分准则》 信息系统安全评估方法探讨,信息系统安全保障模型,以风险和策略为基础，包含保障要素、生命周期和安全特征三方面的模型。

将风险和策略作为基础和核心,实现信息的可用性、完整性和保密性特征安全保障的动态安全，即强调安全保障应渗入整个信息系统生命周期的全过程安全保障是通过综合技术、管理、工程和人员的要求等措施实施来实现管理、安全管理和信息安全管理的概念关系,控制风险在可以接受的程度根据管理的原则、程序和方法，来指导和实现安全管理活动信息安全管理的理解,通过技术手段实现的安全能力是有限的，仅靠技术不能获得整体的信息安全，需要有效的安全管理来支持和补充，提高安全防护能力 许多安全技术和产品远远没有达到需要的水准，核心技术和知识产权都是国外的，不能满足国家涉密信息系统或商业敏感信息系统的需求，技术落后于新的风险的出现 某些安全技术和产品在指标上虽然达到了实际应用的某些安全需求，如果配置和管理不当，不能真正地实现这些安全需求,,信息安全管理标准,从国际上看，粗略地把信息安全管理的发展进行分期，大体经历了“零星追加时期”和“标准化时期”两个阶段，九十年代中期可以看作这两个阶段的分界 国际标准组织ISO在信息安全标准方面经过了三个发展阶段： 数据加密期：1981年，以制定密码学及其应用的国际标准为目标 信息安全期：1989年，主要标志为： 要求、安全服务和指南 安全技术及机制 安全评估准则 信息安全保障期：1996年，以风险管理为基础，调和信息安全相关标准系列,信息安全管理标准,BSI：英国标准协会 ITIL: IT基础设施库 NIST：美国国家标准和技术委员会 Cobit:信息和相关技术控制目标 IEC： 国家电工委员会,,一个从技术到管理的安全认证认可框架,信息安全计划,机构的信息和信息系统,BS 7799,信息安全管理标准BS 7799由英国标准协会BSI制定的,于2001年11月通过ISO审核,成为国际通用和遵循的信息安全领域中的典型的标准之一,后来成为ISO 17799标准; 2005年10月正式发布ISO 27001(BS 7799-2的ISO版本） ，取代BS 7799-2：2002 BS 7799作为信息安全管理领域的一个权威标准，是全球业界一致公认的辅助信息安全治理的手段； BS 7799主要提供了有效地实施IT安全管理的建议，介绍了安全管理的方法和程序。

用户可以参照这个完整的标准制订出自己的安全管理计划和实施步骤，为公司发展、实施和估量有效的安全管理实践提供参考依据 标准的最大意义就在于它给管理层一整套可“量体裁衣”的信息安全管理要项、一套与技术负责人进行沟通的共同语言以及保护信息资产的制度框架BS 7799：1999标准主要由两大部分组成：BS 7799-1：1999，以及BS 7799-2：1999 第一部分，BS 7799-1，是信息安全管理的最佳实践指南，作为国际信息安全指导标准主要是给负责开发的人员作为参考文档使用，从而在他们的机构内部实施和维护信息安全，包括十大管理要项，三十六个执行目标，一百二十七种控制方法；,BS 7799,标准主题或领域,第二部分，BS 7799-2，详细说明了建立、实施和维护信息安全管理系统（ISMS）的要求，并对需求采取适当的控制，提出了应该如何了建立信息安全管理体系的步骤 BS 7799,PDCA 方法源自20世纪50年代的W.Edwards Deming，故又称做“戴明环”，原理是将业务过程看作是连续的反馈循环，以便管理者能够标识和变更过程那些需要改进的部分----过程，或对过程的改进 PDCA模型的主要过程如下： 计划（PLAN）:定义信息安全管理体系的范围，鉴别和评估业务风险 实施(DO)：实施同意的风险治理活动以及适当的控制 检查(CHECK)：监控控制的绩效，审查变化中环境的风险水平，执行内部信息安全管理体系审计 改进(ACTION)：在信息安全管理体系过程方面实行改进，并对控制进行必要的改进，以满足环境的变化。

BS 7799,安全管理模型——PDCA持续改进模式,BS 7799的简单评价 BS 7799提供了一个组织进行有效安全管理的公共基础，反映了信息安全的“三分技术，七分管理”的原则它全面涵盖了信息系统日常安全管理方面的内容，提供了一个可持续提高的信息安全管理环境 BS 7799是对一个组织进行全面信息安全评估的基础，可以作为组织实施信息安全管理的一项体制 BS 7799仅仅提供一些原则性的建议，如何将这些原则性的建议与各个组织单位自身的实际情况相结合，构架起符合组织自身状况的ISMSBS 7799,ISO 27000系列,ISO/IEC 27000系列标准模仿ISO 9000系列质量保障标准，共包含10个标准信息技术安全评估准则发展过程 可信计算机系统评估准则（TCSEC ）(美国国防部评估标准---橘皮书) 可信网络解释（TNI） (红皮书) 通用准则CC 信息技术安全测评标准(ITSEC)(欧洲评估标准---白皮书) 信息安全管理标准 BS 7799系列 《计算机信息系统安全保护等级划分准则》,标准介绍,系统安全保护等级划分准则,《中华人民共和国计算机信息系统安全保护条例》（1994年国务院颁布）第九条明确规定，计算机信息系统实行安全等级保护 从整体上形成多级信息系统安全保护体系，提高国家信息系统安全保护能力 根本上解决信息社会国家易受攻击的脆弱性和有效预防计算机犯罪等问题,系统安全保护等级划分准则,1997年，已经制定、报批和发布了有关信息安全的国家标准13个，国家军用标准6个 公安部组织制订了《计算机信息系统安全保护等级划分准则》(GB17859)国家标准于1999年9月13日由国家质量技术监督局审查通过并正式批准发布，于 2001年1月1日执行 2001年3月，国家质量技术监督局发布了推荐性标准《信息技术、安全技术、信息技术安全性评估准则》(GB/T18336-2001) 。

我国信息安全等级保护新进展,2004年,公安部会同国家保密局、国家密码管理局和国务院信息办印发了《关于信息安全等级保护工作的实施意见》 (27号文) ，四部委联合制定出台了《信息安全等级保护管理办法（试行）》(66号文； 制定了等级保护系列技术标准： 《信息系统通用安全技术要求》（GB/T20271）； 《网络基础安全技术要求》（GB/T20270）； 《操作系统安全技术要求》（GB/T20272）； 《数据库管理系统安全技术要求》（GB/T20273）; 《终端计算机系统安全等级技术要求》（GA/T671）； 《信息系统安全管理要求》（GB/T20269）； 《信息系统安全工程管理要求》（GB/T20282） ; 《TC260-N0061信息安全等级保护信息系统安全管理要求》 ； 《信息系统安全等级保护基本要求》 计算机信息系统安全等级评测系列标准 等，还有一系列安全产品标准: 《信息系统安全等级保护定级指南》 《信息系统安全等级保护基本要求》 《信息系统安全等级保护实施指南 》 《信息系统安全等级保护测评准则 》 国标17859是顶层结构和总体要求标准，其他通用技术要求是17859框架下各级的上限标准，基本要求是下限标准；,系统安全保护等级标准间的相互关系,系统安全保护等级划分准则,GB 17859将信息系统安全保护等级划分为五个级别，这五个级别定义了不同强度的信息系统保护能力，包含有不同内容、不同层次和不同强度的安全控制。

《准则》规定了计算机系统安全保护能力的五个等级，即： 第一级：用户自主保护级 第二级：系统审计保护级 第三级：安全标记保护级 第四级：结构化保护级 第五级：访问验证保护级,各级要素,1,2,3级是描述可信安全系统体系的技术功能; 第3级完善了所有可信系统的安全功能的需求, 包含了五个等级的所有技术要求,对各行业比较通用,不会影响应用; 第3级是分水岭,其主要标志是:强制访问控制;安全标识分别在主客体访问控制结果而不是控制过程(信道)，即只关心主体访问客体的访问结果是否合法; 第4级强制访问控制扩展到所有的主客体,且结构化设计;从第4级开始，只能实施在高密级的环境中，第4级:结构化设计是是设计方法不是功能; 第5级中重要概念是监视器,也不是具体功能,第5级要求,安全机制都是模块化的,且安全模块尽量小,可验证; 监视器是一个实现安全功能的程序模块,该模块是需要可验证的,尽量小,即安全机制模块化；,保护等级的演化,等级保护通用技术要求与CC的比较,《等级保护通用技术》一部分是将CC的主要技术和机制运用于安全体系另一部分是CC所没有的，这部分内容主要体现在物理安全、运行安全、以及与安全相关的管理方面的内容。

安全功能技术要求方面 《通用技术要求》物理安全的内容是CC所没有的，物理安全对计算机信息系统的安全十分重要 《通用技术要求》的运行安全，吸收了CC中关于“安全审计”的内容这些内容包括风险分析、安全检测与监控、病毒防杀、备份与故障恢复、应急计划和应急措施等是CC所没有的在安全保证技术要求方面 《通用技术要求》与CC都对安全保证技术要求进行了等级划分，并对每一级提出了不同要求前者按五级进行划分，后者按七级进行划分; 《通用技术要求》中安全保证技术要求，从TCB的设计与实现和安全管理角度进行描述，分别是在吸收CC中安全保证部分各保证类的。