1、信息安全审计 第1章 信息安全审计概述本章学习要点：本章学习要点：了解信息安全现状。了解信息系统安全的基本要求。了解信息安全审计的现状。掌握信息安全审计的基本概念。1.1 信息安全现状分析信息安全现状分析2020年4月28日，中国互联网络信息中心（CNNIC）对外发布了第45次中国互联网络发展状况统计报告。报告中指出，截至2020年3月，我国网民规模为9.04亿，同时互联网行业受疫情影响出现上升势头，信息化的影响越来越大，同时，信息安全也越来越重要。信息安全威胁分类：信息安全威胁分类：为什么会有如此严重的信息安全问题？为什么会有如此严重的信息安全问题？信息技术自身的缺陷与信息系统的复杂性 信息
2、系统所处理的数据涉及的机密和隐私越来越多 信息系统与互联网相连增加了信息安全技术与管理的难度。1.2 信息安全目标与主要安全业务信息安全的目标：保证信息的机密性、完整性、可用性。1.2 信息安全目标与主要安全业务主要安全业务：认证。提供某个实体的身份保证或信息来源的确认。访问控制。保护资源以防止被非法使用和操纵。保密。保护信息不被泄露或暴露给非授权的实体。数据完整性。保护数据以防止未经授权的增删、修改或替换。不可否认。防止参与某次通信交换的一方事后否认本次交换曾经发生过。1.3 信息系统安全设计信息安全风险管理的内容和流程：信息安全风险管理相关人员的角色和责任：信息安全风险管理相关人员的角色和
3、责任：风险评估过程及其在信息安全风险管理中的位置风险评估过程及其在信息安全风险管理中的位置信息系统的建设流程：信息系统的建设流程：系统规划阶段 系统设计阶段 系统实施阶段 运行维护阶段 系统废弃阶段1.4 信息安全审计信息安全审计依据多部法律法规文件，将信息安全事件分为：网络攻击事件 有害程序事件 信息泄密事件 信息内容安全事件1.4 信息安全审计信息安全审计企业信息系统安全审计的主要内容：网络通信系统 重要服务器主机操作系统 重要服务器主机应用平台软件 重要数据库操作的审计 重要应用系统的审计 重要网络区域的客户机 1.5 本章小结本章小结本章对当前信息安全的现状进行了详细分析，指出造成信息
4、安全问题的主要原因。在此基础上，从信息系统安全设计的角度介绍了信息安全等级保护的要求和信息系统安全设计的基本方法，分析了信息系统安全风险识别与控制的基本方法。最后介绍了信息安全审计的基本概念和现状。第2章 信息安全技术本章学习要点：本章学习要点：了解密码学与密码学的主要技术 了解网络安全技术 理解信息系统安全的威胁2.1 密码学密码学的发展历史可划分为三个阶段：第一阶段古代到1949年 第二阶段1949年到1975年 第三阶段1976年至今 密钥（Key）：加密和解密算法通常是在一组密钥（Key）控制下进行 明文：没有进行加密，能够直接代表原文含义的信息 密文：经过加密处理之后，隐藏原文含义的
5、信息 加密(Encryption）：将明文转换成密文的实施过程 解密(Decryption）：将密文转换成明文的实施过程 加/解密算法：密码系统采用的加密方法和解密方法专业术语：密码学的传统模型：机密性（confidentiality）：仅有发送方和指定的接收方能够理解传输的报文内容。窃听者可以截取到加密了的报文，但不能还原出原来的信息，即不能得到报文内容 鉴别（authentication）：发送方和接收方都应该能证实通信过程所涉及的另一方，通信的另一方确实具有他们所声称的身份。即第三者不能冒充跟你通信的对方，能对对方的身份进行鉴别网络安全使用密码学来辅助完成在传递敏感信息的相关问题：报文完
6、整性（message integrity）：即使发送方和接收方可以互相鉴别对方，但他们还需要确保其通信的内容在传输过程中未被改变 不可否认性（non-repudiation）：如果人们收到通信对方的报文后，还要证实报文确实来自所宣称的发送方，发送方也不能在发送报文以后否认自己发送过报文网络安全使用密码学来辅助完成在传递敏感信息的相关问题：（1）古典密码编码方法归根结底主要有两种，即置换和代换（2）采用单钥密码系统的加密方法，同一个密钥可以同时用作信息的加密和解密，称为对称密码密码体制：对称密码：（3）对称密码算法使用的是同一个秘钥；而非对称密码算法需要两个密钥来进行加密和解密，这两个秘钥是公钥
7、私钥密码体制：非对称密码：（4）散列密码将任意长度的消息压缩到某一固定长度的消息摘要的函数。HASH函数是不可逆的，无法通过生成的数据摘要恢复出原数据。密码体制：（5）数字签名是一种类似写在纸上的普通的物理签名，但是使用了公钥加密领域的技术实现，用于鉴别数字信息的方法。数字签名是非对称密钥加密技术与数字摘要技术的应用。密码体制：（1）唯密文攻击：密码分析者掌握足够多的同一个密钥加密的密文，破译目的是求出密钥或明文（2）已知明文攻击：密码分析者掌握足够多的同一个密钥加密的明文密文对，破译目的是求出其他密文对应的明文或密钥密码分析学：（3）选择明文攻击：密码分析者可以任意选择对破译有利的足够多的明
8、文，得到相应的密文。破译目的是求出其他密文对应的明文或密钥（4）选择密文攻击：密码分析者可任意选择对攻击有利的密文，得到相应的明文。破译目的是求出其他密文对应的明文或密钥。选择密文攻击更多地用于非对称密码的分析密码分析学：（1）穷举攻击：对截获到的密文尝试遍历所有可能的密钥，直到获得了一种从密文到明文的可理解的转换；或使用不变的密钥对所有可能的明文加密直到得到与截获到的密文一致为止（2）统计分析攻击：利用明文、密文之间内在的统计规律破译密码的方法攻击方法：（3）解析攻击：密码分析者针对密码算法所基于的数学问题，利用数学求解的方法破译密码。这种攻击通常用于对非对称密码的攻击之中（4）代数攻击：把
9、破译问题归结为有限域上的某个低次的多元代数方程组求解问题攻击方法：2.2 网络安全技术网络安全技术常见的网络安全技术：密码学 网络安全协议、网络攻击技术 入侵检测技术 访问控制技术 防火墙技术、防病毒技术 VPN技术、PKI技术2.3 信息系统安全信息系统安全信息系统安全目标：（1）保密性：保证机密信息不被窃听，或窃听者不能了解信息的真是含义（2）完整性：保证数据的一致性，防止数据被非法用户篡改（3）可用性：保证合法用户对信息和资源的使用不会被不当地拒绝2.3 信息系统安全信息系统安全信息系统安全目标：（4）真实性：对信息的来源进行判断，能对伪造来源的信息予以鉴别（5）不可抵赖性：建立有效的责
10、任机制，防止用户否认其行为（6）可控制性：对信息的传播及内容具有控制能力（7）可审查性：对出现的网络安全问题提供调查的依据和手段2.3 信息系统安全信息系统安全信息泄漏的途径：（1）人为因素，即掌握了信息的公司、机构员工主动倒卖信息（2）用户在享受互联网带来的便利、快捷功能的同时，不经意间感染了病毒木马等恶意软件，造成个人重要信息泄露（3）黑客利用网站漏洞，入侵了保存信息的数据库信息系统安全防范十项原则信息系统安全防范十项原则（1）预防为主，在信息系统的规划、设计、采购、集成和安装中要同步考虑信息安全问题，不可心存侥幸（2）木桶原则，防范最常见的攻击，提高最薄弱点的安全性能（3）成熟技术原则，
11、优先选用成熟的技术，谨慎使用前沿技术，以便得到可靠的安全保证（4）适度安全原则，绝对的安全实际上是没有的，要正确处理安全需求与实际代价的关系信息系统安全防范十项原则信息系统安全防范十项原则（5）规范标准原则，信息系统要遵守统一的规范和标准，确保互连通性和互操作性，实现各分系统的一致性（6）全体参与原则，是全体相关人员的责任。安全管理制度和措施得不到相关人员的切实执行，安全问题根本无法解决（7）技术与管理结合原则，信息系统安全涉及人员、技术、操作、设备等因素，仅靠技术或仅靠管理都无法保证安全，技术与管理必须有机结合信息系统安全防范十项原则信息系统安全防范十项原则（8）分步实施原则，首先保证最基本
12、、必须的安全，然后，逐步增强安全防护力度（9）易操作原则，安全措施应当尽可能简单，措施复杂必然提高出现错误的概率（10）分权制衡原则，关键管理权限不能仅由一个人掌握，否则一旦出现问题将全线崩溃本章主要讲述了密码学概述、古典密码、对称密码、非对称密码等密码学内容，介绍了网络安全协议、网络攻击技术、入侵检测技术、VPN技术等网络安全技术。最后，从多角度分析信息系统安全的威胁，提出信息系统安全防范原则。2.4 小结小结 第3章 实体访问控制的审计本章学习要点：本章学习要点：掌握实体审计的基本概念 了解如何审计实体级控件 了解实体审计战略规划和技术路线图 了解实体审计项目审批和监测流程3.1 IT组织
13、与策略的审计IT 组织与公司目标挂钩，具体内容如下：查找 IT 内部战略规划流程的证据，并了解该规划是如何执行 确定在制定 IT 战略和优先级时如何使用公司战略和优先级 查看记录的短期和长期 IT 优先级 评估为根据这些优先事项定期监测进展情况以及重新评估和更新这些优先事项而制定的程序3.2 实体级控件的风险与管理的审计风险评估机制可包括：监控 IT 环境中的内部控制，包括内部审计和自我评估 对关键数据中心和系统执行的威胁和风险评估 定期审查战略 IT 计划和技术路线图，并评估实现这些计划的风险 监控 IT 安全策略和其他相关 IT 策略的合规性3.2 实体级控件的风险与管理的审计审查和评估数
14、据政策和流程：查看公司的数据分类政策 查看数据分类策略已实施的证据 确定是否已为公司数据创建生命周期信息 审查已实施生命周期要求的证据3.2 实体级控件的风险与管理的审计审查和评估用户满意度流程：确保帮助功能具有为最终用户提供反馈问题的能力 确保帮助功能不会以牺牲安全性为代价来寻求客户满意度 寻找客户指导团队的存在，以提供 IT 项目和增强功能的输入和优先级3.2 实体级控件的风险与管理的审计审查和评价管理第三方服务：查看选择供应商的过程 确保与第三方服务提供商的合同明确定义供应商的角色和责任 确保合同包含保密条款，防止供应商披露公司信息 审查监控绩效和对现有第三方服务提供商进行监督的流程3.
15、2 实体级控件的风险与管理的审计审查和评估控制非员工逻辑访问：（1）确保在非员工获得对公司系统的逻辑访问权限之前，需要员工的批准（2）在授予非员工系统访问权限之前，审计和评估向非员工传达公司策略的流程（3）寻找这种沟通发生的证据（4）审计和评估流程，以便删除非员工在不再与贵公司合作或不再需要访问权限时的逻辑访问3.2 实体级控件的风险与管理的审计审查和评估控制非员工逻辑访问：（5）考虑获取当前非员工账户示例，并验证这些非员工仍在与公司合作，并且仍需要其当前访问级别（6）确保非员工签署保密协议，提取非员工账户的示例，并获取这些账户的保密协议副本（7）确保已考虑识别非员工不应访问的数据和非员工不应
16、执行的活动3.2 实体级控件的风险与管理的审计确保公司遵守适用软件许可证：查找公司维护企业软件许可证列表 确定如何监视和跟踪分散许可证 通过在计算机样本上执行自己的扫描或查看公司流程的证据，测试公司使用的方法的有效性3.3 实体级控件相关的审计 审查和评估对公司网络远程访问的控制 审查和评价雇佣和解雇程序 审查和评价硬件采购和流动程序 审查和评估管理控制系统配置 审查和评估审计媒体控制策略和程序 核实公司政策和程序是否有效 确定和审计其他实体级 IT 流程3.4 本章小结高质量的 IT 实体级控制构成了公司内部 IT 控制环境的基础。本章在分析哪些是实体级控制的基础上，指出了实体访问控制审计的
17、必要性，着重论述实体访问控制的审计流程，在此过程中掌握实体访问审计的相关概念。第4章 数据中心和灾备机制的审计本章学习要点：本章学习要点：了解数据中心的核心作用 了解数据中心的审计要点 掌握审计数据中心的测试步骤4.1 数据中心的核心作用当今的数据中心提供物理访问控制基础设施、环境控制、电源和网络连接、灭火系统和报警系统。此数据中心基础设施旨在维护恒定的最佳计算环境。审计员的职责是验证和验证所有必要的系统和程序是否存在并正常工作，以保护公司系统和数据的机密性、完整性和可用性。4.2 数据中心的审计过程审计数据中心的测试步骤：邻里和外部风险因素 物理访问控制 环境控制 电力和电力 灭火 数据中心
18、运营 系统恢复能力 数据备份和恢复 灾难恢复规划 第5章 路由器与防火墙的审计本章学习要点：本章学习要点：了解路由器与防火墙的主要技术 了解对路由器和防火墙审计的必要性 掌握对防火墙/路由器的审计过程5.1路由器与防火墙审计的必要性路由器的主要缺点如下：与网桥不同，路由器是与协议相关的，网间连接中每一种高层协议必须分开配置，必须为每一种协议提供一个单独协议的路由器 使用较多的时间进行处理，致使网络传输性能下降 路由器不支持非路由协议，因此在互联多个网络时，对所连接的网络使用的协议有所限制5.1路由器与防火墙审计的必要性路由器的威胁：无线网络路由隐蔽性不高 存在窃听网络通信问题 拒绝服务攻击防火
19、墙工作示意图：5.1路由器与防火墙审计的必要性防火墙的缺点：防火墙可以阻断攻击，但不能消灭攻击源 防火墙不能抵抗最新的未设置策略的攻击漏洞 防火墙的并发连接数限制容易导致拥塞或者溢出 防火墙对服务器合法开放的端口的攻击大多无法阻止 防火墙对待内部主动发起连接的攻击一般无法阻止 防火墙本身也会出现问题和受到攻击，依然有着漏洞和Bug 防火墙不处理病毒5.1路由器与防火墙审计的必要性导致防火墙出问题的因素：人为疏忽 管理的松懈 防火墙自身存在的漏洞或缺陷 防火墙的运行及环境状况5.2 防火墙/路由器的审计防火墙/路由器审计准备所需情报：（1）防火墙/路由器周围区域网络的流程图（2）路由器的设置（3
20、）防火墙/路由器及周围设备在网络上的名字和IP地址（4）防火墙/路由器网络连接情况（5）有关防火墙/路由器的最基本信息，比如生产厂家、版本、质量保障合同等5.2 防火墙/路由器的审计防火墙/路由器审计准备所需情报：（6）防火墙/路由器使用单位的安全政策和法律要求（7）防火墙/路由器的管理制度，要仔细检查责任制，变更控制过程，维修和厂家销后支持的途径及过程等（8）防火墙/路由器的安装、使用、升级、维护及日常管理记录5.2 防火墙/路由器的审计审计过程：查看防火墙/路由器的配置、环境、和运行情况 了解防火墙/路由器的自身安全状况 检查防火墙/路由器的访问控制列表 对防火墙/路由器进行漏洞扫描第五步
21、：防火墙/路由器日志审计 对防火墙/路由器实施攻击测验5.3 小结本章对路由器和防火墙进行分析，介绍了路由器与防火墙的基本概念、实现技术和特点等，指出路由器与防火墙审计的必要性。在此基础上，介绍了路由器的审计过程和防火墙的审计过程。第6章 Web应用的审计本章学习要点：本章学习要点：了解主机操作系统的安全威胁及其审计要点 了解Web服务器的主要安全威胁 掌握审计Web服务器的过程 了解Web应用分类 掌握Web应用面临的威胁6.1 审计主机操作系统服务器操作系统是安装和运行web服务器和应用程序的底层平台，主机操作系统审计应与web服务器和web应用程序的审计应同时进行。对于审计人员来说，在大
22、多数环境中使用的操作系统的版本众多，并非所有的实用程序都能在所有系统上工作。强烈建议抽出时间熟悉特定环境中的操作系统。6.2 审计Web服务器Web服务器的主要安全威胁：(1)遭到破坏的Web主机可能允许攻击者危害Web服务器上的其他应用程序(2)如果不能充分运行打过补丁的系统，就会使web服务器面临不必要的危险(3)不必要的服务、模块、对象和API提供了额外的攻击面区域(4)管理不当或使账户可以方便地访问Web服务器，绕过防止恶意攻击的其他附加安全控制6.2 审计Web服务器Web服务器的主要安全威胁：(5)对Web服务器和系统使用的文件和目录的不当控制允许攻击者访问比应可用的信息和工具更多
23、的信息和工具(6)脚本可能允许攻击者执行选择的代码，从而可能危及Web服务器(7)旧证书或吊销的证书表明网站对最终用户可能有效，但也可能无效6.2 审计Web服务器审计Web服务器：(1)验证Web服务器是否运行在专用系统上，而不是与其他关键应用程序一起运行(2)验证 Web 服务器是否已完全修补并更新最新批准的代码。(3)验证删除或禁用不必要的服务、模块、对象和 API(4)验证只允许适当的协议和端口访问 Web 服务器。6.2 审计Web服务器审计Web服务器：(5)验证允许访问 Web 服务器的账户是否经过适当管理，并且使用强密码进行强化(6)确保文件、目录和虚拟目录存在适当的控件(7)
24、确保Web服务器已启用并保护适当的日志记录(8)确保正确映射脚本扩展(9)验证任何使用中的服务器证书的有效性和使用6.3 审计Web应用Open Web Application Security Project（OWASP）致力于使组织能够开发、购买和维护可信任的应用程序。OWASP前十名被视为一套最低标准，在审计期间需要进行审查，不要盲目地遵循本节中的步骤6.3 审计Web应用web应用程序设计还可能需要额外的测试，包括部分或完整的代码复查、第三方渗透测试、商业扫描仪或开源工具。其中每一个都可以提供一些额外的保证来确保应用程序的设计和配置是正确的。6.3 审计Web应用Web应用程序的主要安
25、全威胁：(1)注入攻击会导致web客户端通过web服务器将数据传递到另一个系统上(2)跨站点脚本会使web应用程序会将攻击从一个用户的浏览器传输到另一个最终用户的浏览器(3)账户凭证和会话令牌若没有得到保护，那么攻击者不但能够破坏密码、密钥、会话cookie和其他令牌，还能突破身份验证限制、侵占其他用户的身份和授权访问级别6.3 审计Web应用Web应用程序的主要安全威胁：(4)Web应用程序可以使用实际名称或数据库密钥作为对Web应用程序或数据库中包含敏感信息或访问权限的对象的引用(5)跨站点请求伪造攻击利用网站对已验证用户的信任(6)这是一个包罗万象的配置管理，即维护web服务器安全配置的
26、首要概念(7)Web应用程序通常希望对数据进行模糊处理或加密，目的是保护敏感数据和凭据6.3 审计Web应用Web应用程序的主要安全威胁：(8)对敏感URL缺少或配置不正确的限制可能会使攻击者更改URL以访问私有或特权页面(9)私人谈话只有在别人听不见的情况下才是私人的(10)攻击者利用未经检查的重定向和看起来像来自域的URL，将用户重定向到攻击者的网站(11)如果web请求未经验证，那么攻击者可能会操纵输入的数据来产生恶意的结果，从而使web服务器产生风险(12)控制不当的错误条件允许攻击者获取详细的系统信息、拒绝服务、导致安全机制失败或使服务器崩溃6.3 审计Web应用审计Web应用的过程
27、：(1)确保web应用程序不受注入式攻击的威胁(2)检查网站是否存在跨站点脚本漏洞(3)检查应用程序是否存在身份验证漏洞和会话管理漏洞(4)验证是否执行了适当的对象引用和授权控制(5)验证控制措施是否到位，以防止伪造跨站点请求(6)检查维护安全配置的控制(7)验证安全加密存储机制使用是否正确6.3 审计Web应用审计Web应用的过程：(8)验证是否有适当的控件来限制URL筛选(9)评估传输层保护机制(网络流量加密)以保护敏感信息(10)检查web应用程序的重定向和转发，以验证是否只有有效的URL可访问(11)在web服务器使用之前，验证所有输入是否经过证实(12)评估错误处理能力6.4 本章小
28、结 很少有技术发明像web应用程序那样快速改变了我们的生活。完整的web审计包括对服务器操作系统的审计、web服务器的审计和web应用程序的审计。本章通过介绍这三个组件的基础之上，着重论述了审计Web服务器的过程、Web应用分类和Web应用面临的威胁。第7章 数据库与云存储的审计本章学习要点：本章学习要点：了解数据库权限、操作系统安全性 了解密码强度和管理功能、活动监控 了解数据库加密 掌握数据库漏洞、完整性和修补过程 了解系统和基础设施外包的两种形式、IT服务外包 了解审核外包给外部公司的IT 运营时要查找的关键控制措施7.1 审计数据库在20世纪90年代早期，应用程序使用客户端-服务器模型
29、编写，该模型包括通过网络直接连接到数据库后端的桌面程序，这称为两层应用程序。7.1 审计数据库在20世纪90年代后期，三层应用程序成为常态，此新模型包括连接到中间层Web应用程序的Web浏览器，然后，中间层连接到数据库后端。三层应用程序是向前迈出的一大步。这意味着不需要在每个客户端工作站上安装自定义软件，并且软件更新可以应用于中央服务器。7.1 审计数据库数据库支持两层应用程序所需的基础结构仍然存在于三层应用程序的数据库后端中，现在存在攻击者将绕过Web应用程序攻击后端数据库的危险。7.1 审计数据库常见数据库供应商：甲骨文 IBM MySQL Sybase 微软7.1 审计数据库数据库组件：
30、程序文件 配置值 数据文件 客户端/网络库 备份/还原系统7.1 审计数据库SQL 语句：选择查看表中的数据子集 插入/向表添加新数据数据文件 更新/修改表中的现有数据备份/还原系统 删除从表中删除数据子集7.1 审计数据库数据库对象：表将数据行存储在一个或多个列中 在表或创建虚拟表的另一个视图的顶部查看 SELECT 语句 存储过程/函数过程代码，可以调用这些代码在数据库中执行复杂的功能 触发修改表时调用的程序代码 提供快速查找数据的索引机制7.1 审计数据库数据字典：数据库存储有关自身的元数据，称为数据字典，有时称为系统表。元数据告诉数据库其自己的配置、设置和对象。请注意，元数据不会说明数
31、据库中信息的内容，只表示数据库的格式。7.1 审计数据库数据字典：数据字典很少被直接操作。相反，使用具有复杂验证逻辑的特殊存储过程来操作系统表。直接访问系统表是危险的，因为即使是一个小错误也会损坏数据字典，从而导致严重的数据库问题。7.1 审计数据库数据字典：数据字典定义数据库的其余部分，指定对象，如用户、组和权限。数据字典定义数据库的结构，包括指定物理文件存储在磁盘上的位置、表的名称、列类型和长度以及存储过程、触发器和视图的代码。7.1 审计数据库数据库安全审计要点：审计数据库的测试步骤 设置和常规控制 账户和权限管理 查看数据库账户 密码强度和管理功能 查看数据库权限 数据加密 监测和管理
32、 工具与技术7.2审核云计算和外包运营云计算的定义：作为一个相对较新的趋势，业界仍在对云计算的定义进行结算。Gartner 将其定义为一种计算风格，通过 Internet 技术为外部客户提供可扩展且具有弹性的、支持 IT 的功能。7.2审核云计算和外包运营云计算服务的五个特征：按需自助服务 广泛网络访问 资源池 快速弹性 测量服务7.2审核云计算和外包运营云计算的三个主要模型：软件即服务（SaaS）平台即服务（PaaS）基础结构即服务（IaaS）7.2审核云计算和外包运营专用托管：专用托管在概念上类似于云计算，关键区别是，通过专用托管，公司将具有专用基础结构，可能与供应商的其他客户共享不超过物
33、理层。7.2审核云计算和外包运营IT服务外包的类型：现场 场外7.2审核云计算和外包运营IT 服务外包的注意事项：补充劳动 离岸7.2审核云计算和外包运营IT 服务外包模型：仅限内部员工 内部员工加上补充劳动力 外包：现场 外包：异地 外包：现场/场外组合7.3云储存的审计审核云计算和外包运营的测试：1.初步和概述 审查本书本部分其他章节中的审计步骤，执行适用的审核步骤 请服务提供商就其内部控制的有效性和遵守适用法规向信誉良好的第三方提供独立保证。查看文档中已注意到的问题7.3云储存的审计审核云计算和外包运营的测试：2.供应商选择和合同 审查适用的合同，以确保这些合同能够充分识别与公司参与合同
34、相关的所有可交付成果、要求和责任 审查和评估用于选择外包供应商的流程7.3云储存的审计审核云计算和外包运营的测试：3.数据安全(1)确定数据如何与其他客户的数据隔离(2)审查和评估加密的使用，以保护存储在供应商网站并传输到供应商站点的公司数据(3)确定供应商员工如何访问系统，以及如何控制和限制数据7.3云储存的审计审核云计算和外包运营的测试：3.数据安全(4)审查和评估控制非员工对内部网络和内部系统的逻辑访问的流程(5)确保根据内部策略保护存储在供应商位置的数据(6)审查和评估控制措施，以防止、检测和应对攻击7.3云储存的审计审核云计算和外包运营的测试：3.数据安全(7)确定如何对基于云的和托
35、管系统执行身份管理(8)确保异地存储的数据的数据保留和销毁做法符合内部政策(9)审查和评估供应商的物理安全性7.3云储存的审计审核云计算和外包运营的测试：4.操作(1)审查和评估贵公司的流程，以监控外包业务的质量。确定如何监控 SL 和其他合同要求的合规性(2)确保有足够的灾难恢复流程，在服务提供商发生灾难时提供业务连续性(3)确定公司员工参与新云服务是否制定了适当的治理流程7.3云储存的审计审核云计算和外包运营的测试：4.操作(4)在外包关系预期或意外终止时，审核和评估公司的计划(5)如果IT服务外包，审查服务提供者确保工作人员素质和尽量减少更替影响的程序。如果这些服务是在境外执行的，则寻求
36、额外的控制措施，以确保员工出勤，并与总部进行有效的沟通和交接7.3云储存的审计审核云计算和外包运营的测试：5.法律问题和法规遵从性(1)审查和评估公司从供应商处获取支持调查所需的信息的权利和能力(2)审查安全违规通知的要求。确保明确定义供应商在发生安全漏洞时何时以及如何通知贵公司的要求，并确保您的公司在收到此类通知时已明确定义了响应程序7.3云储存的审计审核云计算和外包运营的测试：5.法律问题和法规遵从性(3)确定如何确保遵守适用的隐私法律和其他法规。(4)审查和评估流程，以确保公司符合非员工托管或使用的任何软件的适用软件许可证 第8章 信息系统审计本章学习要点：本章学习要点：了解信息系统开发
37、原理 了解信息系统安全机制 掌握信息安全审计的流程8.1 信息系统开发原理信息系统是由计算机硬件、网络和通信设备、计算机软件、信息资源、信息用户和规章制度组成的以处理信息流为目的的人机一体化系统。8.1 信息系统开发原理信息系统开发基本流程：1.系统分析(1)了解用户需求和系统现存问题(2)确定系统目标(3)可行性分析(4)业务调查分析(5)系统数据和功能分析(6)形成文档8.1 信息系统开发原理信息系统开发基本流程：2.系统设计(1)系统性(2)灵活性(3)可靠性(4)经济性8.1 信息系统开发原理信息系统开发基本流程：3.系统实施(1)物理系统的实施(2)程序设计(3)软件测试(4)系统切
38、换8.1 信息系统开发原理信息系统开发基本流程：4.系统运行维护(1)系统维护的类型：纠错性维护、适应性维护、完善性维护、预防性维护(2)系统维护的内容：系统人员应根据MIS运行的外部环境的变更和业务量的改变，及时对系统进行维护(3)系统的日常管理8.1 信息系统开发原理信息系统建设完整流程：（1）信息系统规划，完成信息系统立项和总体解决方案（2）信息系统整体管理，建立项目管理章程（3）信息系统需求分析，完成需求分析文档（4）信息系统设计，完成系统设计文档（5）信息系统编码与测试，完成系统编码和单元测试（6）信息系统内部实施，完成系统试运行和集成测试（7）信息系统整体评价，生成项目总结报告、技
39、术白皮书（8）信息系统内部验收，生成验收报告8.2 信息系统安全机制身份认证技术是在计算机网络中确认操作者身份的过程而产生的有效解决方法。8.2 信息系统安全机制身份认证常用方法：1.身份认证的基本方法(1)基于信息秘密的身份认证(2)基于信任物体的身份认证(3)基于生物特征的身份认证8.2 信息系统安全机制身份认证常用方法：2.基于口令的认证方法3.双因素认证4.一次口令机制5.生物特征认证6.USB Key认证7.动态口令8.2 信息系统安全机制访问控制技术指防止对任何资源进行未授权的访问，从而使计算机系统在合法的范围内使用。8.2 信息系统安全机制访问控制类型：自主访问控制 强制访问控制
40、8.2 信息系统安全机制访问控制模型：基于对象的访问控制模型 基于任务的访问控制模型 基于角色的访问控制模型8.2 信息系统安全机制实现机制：消息认证是在信息领域避免一切主动攻击（像信息的篡改和伪造）的有效方法，它规定报文的接收方可验证收到的报文要是真实的，包括发送者姓名、发送时间和发送内容等。8.2 信息系统安全机制消息认证方式可防止：伪造消息 内容篡改 序号篡改 计时篡改8.3 信息安全审计安全审计是对信息系统的各种事件及行为实行监测、信息采集、分析并针对特定事件及行为采取相应响应动作。信息安全审计是揭示信息安全风险的最佳手段，改进信息安全现状的有效途径，满足信息安全合规要求的有力武器。8
41、.3 信息安全审计安全审计系统的目标：确定和保持系统活动中每个人的责任 确认重建事件的发生 评估损失 监测系统问题区 提供有效的灾难恢复依据 提供阻止不正当使用系统行为的依据 提供案件侦破证据信息安全审计体系结构8.3 信息安全审计审计根据被审计的对象可以分为：主机审计 设备审计 网络审计 数据库审计 业务审计 终端审计 用户行为审计8.3 信息安全审计按照不同的审计角度和实现技术可以分为：合规性审计 日志审计 网络行为审计 主机审计 应用系统审计 集中操作运维审计8.3 信息安全审计信息安全审计流程：1.策略定义安全审计应在一定的审计策略下进行，审计策略规定哪些信息需要采集、哪些事件是危险事
42、件、以及对这些事件应如何处理等。因而审计前应制定一定的审计策略，并下发到各审计单元。在事件处理结束后，应根据对事件的分析处理结果来检查策略的合理性，必要时应调整审计策略。8.3 信息安全审计信息安全审计流程：2.事件采集(1)按照预定的审计策略对客体进行相关审计事件采集，形成的结果交由事件后续的各阶段来处理(2)将事件其他各阶段提交的审计策略分发至各审计代理，审计代理依据策略进行客体事件采集8.3 信息安全审计信息安全审计流程：3.事件分析(1)按照预定策略对采集到事件进行事件辨析，决定以下几个结果：忽略该事件；产生审计信息；产生审计信息并报警；产生审计信息且进行响应联动(2)按照用户定义与预
43、定策略，将事件分析结果生成审计记录，并形成审计报告8.3 信息安全审计信息安全审计流程：4.事件响应(1)对事件分析阶段产生的报警信息、响应请求进行报警与响应(2)按照预定策略，生成审计记录，写入审计数据库，并将各类审计分析报告发送到指定的对象(3)照预定策略对审计记录进行备份8.3 信息安全审计信息安全审计流程：5.结果汇总(1)将各类审计报告进行分类汇总(2)对审计结果进行适当的统计分析，形成分析报告(3)根据用户需求和事件分析处理结果形成审计策略修改意见8.4 小结本章首先介绍了信息系统的开发原理，然后介绍信息系统的安全机制：身份认证与访问控制，并分别对两种安全机制进行介绍。在此基础上，
44、介绍了信息安全审计的基本概念以及信息安全审计的流程和分析方法。第9章 信息安全审计风险、标准和法规本章学习要点：本章学习要点：了解信息安全管理与风险评估 理解建立信息安全管理体系的过程 掌握信息安全风险评估的过程 了解信息安全审计中的标准与法规9.1 信息安全风险管理与评估1.相关概念：(1)威胁：可能对资产或组织造成损害的事故的潜在原因(2)脆弱性：可能被一个或多个威胁所利用的资产或一组资产的弱点(3)风险：特定威胁利用单个或一组资产脆弱性的可能性以及由此可能给组织带来的损害。它以事态的可能性及其后果的组合来度量9.1 信息安全风险管理与评估1.相关概念：(4)资产：被组织赋予了价值、需要保
45、护的有用资源(5)风险评估：对信息和信息处理设施的威胁、影响和脆弱性及三者发生的可能性评估(3)风险管理：以可接受的费用识别、控制、降低或消除可能影响信息系统安全风险的过程9.1 信息安全风险管理与评估2.风险评估的目的和意义：(1)认识现有的资产及其价值(2)对信息系统安全的各个方面的当前潜在威胁、弱点和影响进行评估(3)通过安全评估，能够清晰地了解当前所面临的安全风险，清晰地了解信息系统的安全现状(4)明确地看到当前安全现状与安全目标之间的差距(5)为下一步控制和降低安全风险、改善安全状况提供客观的依据3.风险评估中各要素的关系9.1 信息安全风险管理与评估4.信息安全管理体系：信息安全管
46、理体系是一个系统化、过程化的管理体系，体系的建立不可能一蹴而就，需要全面、系统、科学的风险评估、制度保证和有效监督机制。PDCA循环9.1 信息安全风险管理与评估建立信息安全管理体系：(1)定义信息安全策略。信息安全策略是组织信息安全的最高方针，需要根据组织内各个部门的实际情况，分别制订不同的信息安全策略(2)定义ISMS的范围。ISMS的范围描述了需要进行信息安全管理的领域轮廓，组织根据自己的实际情况，在整个范围或个别部门构架ISMS9.1 信息安全风险管理与评估建立信息安全管理体系：(3)进行信息安全风险评估。信息安全风险评估的复杂程度将取决于风险的复杂程度和受保护资产的敏感程度，所采用的
47、评估措施应该与组织对信息资产风险的保护需求相一致(4)信息安全风险管理。根据风险评估的结果进行相应的风险管理9.1 信息安全风险管理与评估建立信息安全管理体系：(5)确定控制目标和选择控制措施。控制目标的确定和控制措施的选择原则是费用不超过风险所造成的损失(6)准备信息安全适用性声明。信息安全适用性声明记录了组织内相关的风险控制目标和针对每种风险所采取的各种控制措施9.1 信息安全风险管理与评估5.信息安全风险评估：风险评估的准备 资产识别 威胁识别 脆弱性识别 已有安全措施确认 风险分析 风险评估文件记录9.2 信息安全审计标准与法规信息安全审计标准：TCSEC对于审计子系统的要求 CC中的
48、安全审计功能需求 GB 17859-1999对安全审计的要求 信息系统安全审计产品技术要求9.2 信息安全审计标准与法规ISO27001 信息安全管理体系构建思路：准备工作 构建框架 评估风险 改善安全 运行实施 运行改进9.3 信息安全等级保护信息系统安全保护等级：第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。第一级信息系统运营、使用单位应当依据国家有关管理规范和技术标准进行保护。第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。国家信息安全监管部门对
49、该级信息系统安全等级保护工作进行指导。9.3 信息安全等级保护信息系统安全保护等级：第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。国家信息安全监管部门对该级信息系统安全等级保护工作进行监督、检查。第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。国家信息安全监管部门对该级信息系统安全等级保护工作进行强制监督、检查。第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。国家信息安全监管部门对该级信息系统安全等级保护工作进行专门监督、检查。9.3 信息安全等级保护计算机信息系统安全保护等级：第一级 用户自主
50、保护级：本级的计算机信息系统可信计算基通过隔离用户与数据，使用户具备自主安全保护的能力。第二级 系统审计保护级：与用户自主保护级相比，本级的计算机信息系统可信计算基实施了粒度更细的自主访问控制，它通过登录规程、审计安全性相关事件和隔离资源，使用户对自己的行为负责。第三级 安全标记保护级：本级的计算机信息系统可信计算基具有系统审计保护级所有功能。9.3 信息安全等级保护计算机信息系统安全保护等级：第四级 结构化保护级：本级的计算机信息系统可信计算基建立于一个明确定义的形式化安全策略模型之上，它要求将第三级系统中的自主和强制访问控制扩展到所有主体与客体。第五级 访问验证保护级：本级的计算机信息系统
