1、怎么才能全面解决网络安全问题?o社会管理;o技术;o技术管理。“木桶”理论o短板问题第2章 安全框架与评估标准2.1 ISO/OSI安全体系结构2.2 动态的自适应网络安全模型2.3 五层网络安全体系2.4 六层网络安全体系2.5 国际安全评估标准2.6 我国计算机安全等级划分与相关标准2.1 ISO/OSI安全体系结构o安全服务o安全机制o安全管理安全服务o对象认证:对等实体认证、信息源认证o访问控制:自主的、强制的o数据保密性:信息保密、选择段保密、业务流保密o数据完整性:可恢复、无恢复、选择字段、无连接、选择字段无连接o防抵赖性:发送、对递交、公证安全机制o加密o数字签名o访问控制o数据
2、完整性o认证o业务流填充机制o路由控制o公证安全管理o安全应用是目标,基于安全服务,而安全服务由安全机制来实现安全管理(1)2.2 动态的自适应网络安全模型网络安全是一个涉及法律、管理、技术的动态过程,因此静态防御不能满足要求。oPDR模型:Protection、Detection、ReactionoANS(Adaptive Network Security)=P2DR(Policy、Protection、Detection、Response)暴露时间=检测时间+响应时间-入侵时间oPPDRR:Policy、Protection、Detection、Response、Recovery2.3 五
3、层网络安全体系网络系统涉及的方面:网络、操作系统、应用程序、数据、用户o网络安全:网络是否得到控制;o系统安全:病毒、黑客o用户安全:是否只有那些授权用户才能使用相应的资源;o应用程序:是否只有合法用户才能够对特定数据进行特定操作;o数据安全:机密数据是否处于机密状态。2.4 六层网络安全体系六层:物理、链路、网络、信息、应用、用户;o物理安全:环境、设备、媒体;o链路安全:通过网络链路传输的数据不被窃听、篡改;o网络安全:保证网络的受控制使用;o信息安全:传输、存储、审计o应用安全:应用平台和程序的安全;o用户安全:身份认证和访问控制。2.5 国际安全评估标准o美国nTCSEC(桔皮书)、T
4、NI(红皮书)、FCo欧洲nITSECo加拿大nCTCPECo国际nCCTCSECo基础需求:安全策略、标识、识别、责任、保证、持续保护o包括:安全等级划分标准,目的、原理、政策oTCB:实现安全策略的机制,包括硬件、固件和软件,根据安全策略来处理主体对客体的访问o安全等级:A B C DnD1:最小保护,不能满足其它级别要求nC1:自主安全保护nC2:控制式访问保护nB1:标记的安全保护nB2:结构化保护nB3:安全域nA1:验证设计2.6 我国计算机安全等级划分与相关标准oGB17859-2019:计算机信息系统安全保护等级划分准则n第一级:自主保护(C1);n第二级:系统审计保护(C2);n第三级:安全标记保护(B1);n第四级:结构化保护(B2);n第五级:访问验证保护(B3)。oBMB17-2019:涉及国家秘密的信息系统分级保护技术要求2.6 我国计算机安全等级划分与相关标准(1)o管理部门n公安部/厅n安全部/厅n保密局n机要局n解放军n思考与讨论o动态自己适应网络安全模型的核心思想是什么?o密级划分方法如何能够实现网络的安全?o一个网络安全体系应该包含什么内容?