【信息安全法律法规】复习篇

举例说明常见系统中的静态口令和动态口令机制

• 静态口令：静态口令实际就是一个口令字；是日常使用最为普遍的一种认证方式，但是安全性也是最脆弱的一种认证方式，如密码
• 动态口令：动态口令也叫做一次性口令字，它比静态口令更安全。一般分为两种：同步和异步，如短信验证码

简述网络边界及通信安全技术有哪些？
（1）物理隔离技术：“物理隔离”是指内部网不直接通过有线或无线等任何手段连接到公共网，从而使内部网络和外部公共网络在物理上处于隔离状态的一种物理安全技术。分为网络隔离和数据隔离，网络隔离：就是把被保护的网络从开放、无边界、自由的环境中独立出来，这样，公众网上的黑客和计算机病毒无从下手，更谈不上入侵了；数据隔离：指采取一切可能的手段避免恶意软件侵入被保护的数据资源。
（2）防火墙技术：概念：防火墙是控制介于网络不同安全区域间流量的一台设备或者一套系统，它能增强机构内部网络的安全性。
（3）网络通信安全技术： 网络通信安全技术主要是基于TCP/IP协议不同层次的安全解决方案，用于增强TCP/IP网络通信的安全性
（4）传输层安全技术：传输层安全协议的目的是为了保护传输层的安全，并在传输层上提供实现保密、认证和完整性的方法。
虚拟专网技术

简述计算环境安全技术有哪些？
（1）软件安全（software security）：没有统一的解释，其主要思想是为确保计算机软件的安全而采取的一系列技术和管理措施。
（2）软件补丁：是针对于一些大型软件系统，在使用过程中暴露的问题而发布的修补漏洞的小程序。
（3）防病毒技术：病毒预防技术、病毒检测技术、病毒清除技术
（4）虚拟化安全：传统的虚拟化技术主要是指服务器虚拟化，目前网络虚拟化等技术也越来越成熟。

虚拟化安全威胁的特点体现在哪些方面？分析传统的防护技术是否可以胜任。
虚拟化技术带来了计算和服务模式的变革，但是也带来了一些新的安全威胁，例如针对虚拟机操作
系统内核级的攻击可以突破系统边界，造成比传统系统环境更大的危害。
虚拟化环境和物理环境最大的不同在于，物理环境下操作系统独享物理机的硬件资源。而在虚拟化
环境下，增加了虚拟机监视器这个技术层，客户操作系统使用的是经过虚拟机监视器抽象的逻辑资
源，同一物理机上能同时存在多个虚拟机，这些虚拟机共享底层的物理资源，另外，虚拟化环境下
能够对虚拟机进行迁移，快照和备份。
虚拟化安全威胁：
虚拟化模块自身的安全威胁
虚拟化模式引入的安全威胁
多业务环境引入的安全威胁
虚拟化安全增强的难题：
传统的企业网络划分不同的安全域，并且在不同的安全域之间部署防火墙等网络安全设备
大多数虚拟化安全技术多采用传统的主机防护方式来增强虚拟机的安全
采用虚拟化层安全增强的方式是研究的热点
*网络入侵检测技术：P2DR模型、入侵检测系统IDS、入侵防御系统IPS

何谓信息安全审计？它的功能体现在哪些方面？
信息系统安全审计主要指对与安全有关的活动的相关信息进行识别、记录、存储和分析；审计记录的结果用于检查网络上发生了哪些与安全有关的活动，谁（哪个用户）对这个活动负责；
主要功能包括：安全审计自动响应、安全审计数据生成、安全审计分析、安全审计浏览、安全审计事件选择、安全审计事件存储等。
功能;取证、威慑、发现系统漏洞、发现系统运行异常、评价标准符合程度

安全审计有哪些可用的数据源？

• 基于主机的数据源：操作系统的审计记录、系统日志、应用程序日志信息
• 基于网络的数据源：入侵检测数据，有优势：
  通过网络被动监听的方式获取网络数据包，不会对目标监控系统的运行性能产生任何影响，而且通常无需改变原有的结构和工作方式。
  嗅探模块工作时可以采用对网络用户透明的模式，降低了其本身受到攻击的概率。
• 基于网络数据的输入信息源，可以发现许多基于主机数据源所无法发现的攻击手段，例如基于网络协议的漏洞发掘过程，或是发送畸形网络数据包和大量误用数据包的DOS攻击等。网络数据包的标准化程度，比主机数据源来说要高得多，如目前几乎大部分网络协议都采用了TCP/IP协议族。由于标准化程度很高，所以，有利于安全审计系统在不同系统平台环境下的移植。
• 其它数据源：来自其它安全产品的数据源、来自网络设备的数据源、带外数据源

分析集中式安全审计与分布式安全审计的结构。

• 集中式体系结构采用集中的方法，收集并分析数据源，所有数据都要交给中央处理机进行审计处理。中央处理机承担数据管理引擎及安全审计引擎的工作。而部署在各受监视系统上的外围设备只是简单的数据采集设备，承担事件检测及数据采集引擎的作用。随着分布式网络技术的广泛应用集中式审计体系结构越来越显示出其缺陷，主要表现在:集中式审计体系结构越来越显示出其缺陷，主要表现在:造成CPU、I/O以及网络通信的负担，而且中心计算机往往容易发生单点故障有可能因为单个点的失败造成整个审计数据的不可用集中式的体系结构，自适应能力差，不能根据环境变化自动更改配置
• 分布式安全审计体系结构由三部分组成:主机代理模块、局域网监视器代理模块、中央管理者模块
  优点:扩展能力强、容错能力强、兼容性强、适应性强

CC在安全审计有哪些要求？我国国标GB17859-1999又有哪些要求？
CC标准基于安全功能与安全保证措施相独立的观念，在组织上分为基本概念、安全功能需求和安全保证需求三大部分。
CC中，安全需求都以类、族、组件的层次结构形式进行定义。安全审计类有六个族，分别对审计记录的选择、生成、存储、保护、分析以及相应的入侵响应等功能做出了不同程度的要求。
我国的信息安全国家标准GB 17859-1999《计算机信息系统安全保护等级划分准则》定义了五个安全等级，其中较高的四个级别都对审计提出了明确的要求

计算机取证的概念及其存在哪些技术？
计算机取证是对计算机入侵、破坏、欺诈、攻击等犯罪行为，利用计算机软硬件技术，按照符合法律规范的方式，进行识别、保存、分析和提交数字证据的过程。
依据计算机取证的过程，涉及到的相关技术大体如下：
电子证据监测技术
物理证据获取技术
电子证据收集技术
电子证据保全技术
电子证据处理及鉴定技术
电子证据提交技术

计算机取证的步骤？

业务连续性管理？目标是什么？
（⼀）保护⽬标计算机系统
在计算机取证过程中，第⼀件要做的事是冻结计算机系统，避免发⽣任何的更改系统设置、硬件破坏、数据破坏或病毒
感染等情况。
（⼆）电⼦证据的确定
从存储在⼤容量介质的海量数据中，区分哪些是有⽤数据，哪些是垃圾数据，以便确定那些由犯罪者留下的活动记录作为主要的电⼦证据，并确定这些记录存在哪⾥、是怎样存储的。
（三）电⼦证据的收集
鉴定⼈员在计算机犯罪现场收集电⼦证据的⼯作包括收集系统的硬件配置信息和⽹络拓结构，备份或打印系统原始数
据，以及收集关键的证据数据到取证设备，并详细记录有关的⽇期、时间和操作步骤等。
（四）电⼦证据的保护
采⽤有效措施保护电⼦证据的完整性和真实性，包括⽤适当的⼀次性只读存储介质(如CD-ROM)进⾏原始备份，并将备份的介质打上封条放在安全的地⽅；对存放在取证服务器上的电⼦证据采⽤加密、物理隔离、建⽴安全监控系统实时监控取证系统的运⾏状态等安全措施进⾏保护，⾮相关⼈员不准操作存放电⼦证据的计算机；不轻易删除或修改与证据⽆关的⽂件，以免引起有价值的证据⽂件的永久丢失。
（五）电⼦证据的分析
对电⼦证据的分析并得出结果报告是电⼦证据能否在法庭上展⽰，作为起诉计算机犯罪嫌疑⼈的犯罪证据的重要过程。分析包括⽤⼀系列的关键字搜索获取最重要的信息；对⽂件属性、⽂件的数字摘要和⽇志进⾏分析；分析Windows交换⽂件、⽂件碎⽚和未分配空间中的数据；对电⼦证据作⼀些智能相关性的分析，即发掘同⼀事件的不同证据间的联系；完成电⼦证据的分析后给出专家证明，这与侦查普通犯罪时法医的⾓⾊类似。
（六）归档
对涉及计算机犯罪的⽇期和时间、硬盘的分区情况、操作系统和版本、运⾏取证⼯具时数据和操作系统的完整性、计算机病毒评估情况、⽂件种类、软件许可证以及鉴定⼈员对电⼦证据的分析结果和评估报告等进⾏归档处理，形成能提供给法庭的证据。

业务连续性计划与灾难恢复计划的区别？
灾难恢复是恢复数据的能力，解决信息系统灾难恢复问题，是业务连续性计划的一部分。而业务连续性强调的是组织业务的不间断能力。

应急响应预案，它的目的和原则有哪些？
应急预案编制应当遵循”以人为本、依法依规、符合实际、注重实效“的原则。
其目的是减少突发
事件造成的损失，包括人民群众的生命、财产损失，国家和企业的经济损失，以及相应的社会不良
影响等

备份技术存在哪些？
数据复制技术：数据复制的方式、数据复制的形式、数据复制的层次
冗余技术
磁盘镜像技术

为组织重要应用和流程提供业务连续性应该包括以下三个方面，相互关联与交叉：高可用性、连续操作、灾难恢复
处理风险的策略有避免风险、降低风险、转移风险和接受风险四种
根据风险分析和业务影响分析的结果，确定灾难恢复目标，包括：关键业务功能及恢复的优先顺序，灾难恢复时间范围。即恢复时间目标（RTO）和恢复点目标（RPO）的范围。RPO针对的是数据丢失，而RTO针对的是服务丢失，二者没有必然的关联性。
备份策略：完全备份、增量备份、差分备份、综合型完全备份

信息系统安全的测评框架？
信息系统安全等级保护测评的概念性框架由三部分构成：测评输入、测评过程和测评输出

测评输入包括GB/T22239-2008第四级目录和信息系统的安全保护等级
过程组件为一组与输入组件中所标识的安全控制相关的特定测评对象和测评方法。
输出组件包括一组由测评人员使用的用于确定安全控制有效性的程序化陈述。

信息系统安全管理评估的基本原则是什么？
对信息系统安全管理的评估除应坚持科学性、有效性、公正性等基本原则外，还应遵循以下原则：体系化原则、标准化原则、一致性原则、风险可控性原则、安全管理保证原则、安全性和公正性原则

风险评估的流程图。

风险评估中文件记录包括哪些？
风险评估文件包括在整个风险评估过程中产生的评估过程文档和评估结果文档，包括：风险评估计划，风险评估程序，资产识别清单，重要资产清单，威胁列表，脆弱点列表，已有安全措施确认表，风险评估报告，风险处理计划，风险评估记录。

概率风险评估和动态概率评估的分析步骤是什么？
识别系统中存在的事件，找出风险源
对各风险源考察其在系统安全中的地位，及相互逻辑关系，给出系统的风险源树
标识各风险源后果大小及风险概率
对风险源通过逻辑及数学方法进行组合，最后得到系统风险的度量

社会稳定风险评估的基本原则是什么？
　　(一)坚持以人为本的原则。以民众是否支持拥护作为衡量各项政策和倡议是否出台的基本标准;以人民群众是否满意为基本尺度;以维护广大人民群众的根本利益为出发点和落脚点。达到评价为人，评价靠人，评价结果靠人用。反之，稳定性风险评估就会失去基准、基石、基调，就会成为无失、无本源，失去工作的根本大前提。
　　㈡运用正确的评估结果原则。要把评估结果作为一项重大政策是否能出台、决策能执行、项目能不能办好、能办成的重要依据。尤其是涉及群众切身利益的事，要充分利用好考核结果。工程申报部门应将稳定风险评估结果作为项目申报的前置条件，项目审批部门要将评估结果作为项目实施的重要依据之一，对已经评估决定实施的项目，项目实施责任单位和辖区当地政府要全程跟踪做好维稳工作。
　　(三)严格评价责任原则。要切实做好社会稳定风险评估机制建设，把推行社会稳定风险评估工作纳入各级部门年度工作的重要考核内容，作为对单位集体和领导个人进行奖惩、晋升晋升的依据之一，监督责任落实情况。
　　(四)坚持促进发展的原则。对社会稳定风险评估的目的是为了更好地推动发展，因此，评估工作必须站在高高度、宽眼界，严守中央的大政方针政策，正确处理改革发展与社会稳定的关系，力求评估事项符合改革力度、发展速度和社会可承受程度的有机统一。
(五)坚持民主与法治原则。将社会稳定风险评估与民主法制相结合。构建完善的决策体系，逐步形成利益协调、诉求表达、矛盾化解、权益保障的长效机制，坚持法律效益和社会效果统一。
*风险评估是风险管理的基础，是组织确定信息安全要求的途径之一，属于组织信息安全管理体系策划的过程
*典型的风险分析方法：故障树分析（过程：建造故障树、求出故障树的全部最小割集、计算顶事件的发生概率、重要度的计算、排列出各风险事件（顶事件）的顺序）、故障模式影响及危害性分析、模糊综合评价法、德尔斐法、层次分析法、事件树分析法、原因-后果分析、概率风险评估和动态风险概率评估
*风险评估过程中，可以利用一些辅助性的工具和方法来采集数据，包括：
调查问卷
检查列表
人员访谈
文档检查
漏洞扫描器
渗透测试

画出ISMS建设流程图。

ISMS、等级保护、风险评估三者的关系如何？
ISMS建设与风险评估的关系：风险评估的目标可以是针对具体的应用系统，也可能是某个组织内多个应用系统集成的信息系统。
风险评估的最重要目的是为被评估组织发现安全脆弱点、潜在的安全威胁，以及在现有安全措施的基础上制定适当的安全加固措施，使得系统更加安全可靠，确保信息数据的安全。
（ISMS）是一个管理体系，它以一个组织的信息系统为目标，以风险评估为基础，通过风险评估，识别组织的安全风险，再通过制定一整套的ISMS文件，并按照PDCA模型，经历建立ISMS、实施和运行ISMS、监视和评审ISMS、保持和改进ISMS等四个循环过程，来实施ISMS。
风险评估是ISMS建设的出发点，也是ISMS实施过程的重要过程。
对一个组织来讲，ISMS是一个循环往复不断改进与提高完善的过程，风险评估只是ISMS建立过程中的一个重要步骤，但风险评估也可以自成体系，作为ISMS过程的一个部分独立存在。
ISMS与等级保护的共同之处：最终目标是一致的，都是为了有效保障组织的信息安全
都充分体现了信息安全应重视管理的思想，只有做好安全管理工作，安全技术才能充分发挥作用。
既然二者的联系主要体现在管理方面，那么二者的融合应该着重体现在等级保护中安全管理的部分与ISMS的融合。
（1）二者都可以加强对信息的安全保障工作：在信息安全管理体系（ISMS）的建立过程应该要结合电子政务的等级保护工作来进行，通过等级测评，对信息系统实施等级保护。
一方面，可以切实地建立适用于电子政务的信息安全管理体系，另一方面可以推动电子政务等级保护工作的实施，甚至可以建立等级化的信息安全管理体系。
（2）二者的安全管理要求有相同的地方
二者的相互促进与补充关系：通过ISMS建设实践与等级测评实践，建立ISMS与信息系统的等级测评可以是相互促进与补充的作用。
ISO 17799的控制措施包含了等级保护安全管理方面的绝大多数要求，而ISMS实施流程中风险控制措施的选择，结合信息系统确定的安全等级要求，从等级保护相关标准中补充选择ISO 17799之外的控制措施，所以完全满足等级保护安全管理的要求。
充分体现了信息安全应重视管理的思想，只有做好安全管理工作，安全技术才能充分发挥作用。
ISMS与等级保护、等级测评的区别：二者的实施依据不同
二者的实施主体不同：ISMS体系的建设主体，主要是各企业组织为维护本组织的信息安全，等级测评的主体是经过国家认可的信息安全测评认证机构
二者的实施对象不同：ISMS体系的实施对象，主要是对各企业单位，等级测评的实施对象，主要是有信息系统等级要求的各级党政机关等政府部门
二者的实施过程不同：等级保护制度的完整实施过程是贯穿信息系统的整个生命周期、ISMS的完整实施过程是贯穿组织或组织某一特定范围的管理体系的整个生命周期
二者的结果不同：ISMS建设的结果是为组织建立一整套ISMS的体系文件，等级测评的结果是给出被测评对象是否达到声明的安全等级的要求
风险评估与等级保护的关系：等级保护中的系统分类分级的思想和风险评估中对信息资产的重要性分级基本一致。
在风险评估中，价值高的信息资产不一定风险等级就高。
在确定系统安全等级级别后，风险评估的结果可作为实施等级保护、等级安全建设的出发点和参考。
风险评估是等级保护（不同等级不同安全需求）的出发点。
风险评估中最终风险的等级则是综合考虑了信息的重要性、系统现有安全控制措施的有效性及运行现状后的综合评估结果，等级保护中高级别的信息系统不一定有高级别的安全风险。

建立信息安全管理方针包括哪些？
信息安全法律法规的基本原则？
谁主管谁负责的原则、突出重点的原则、预防为主的原则、安全审计的原则、风险管理的原则

《中华人民共和国计算机系统安全保护条例》主要内容是什么？
链接

简述信息系统安全管理涉及信息系统的两个方面。
信息系统的安全管可分为技术性管理和法律性管理两类。
技术性管理以OSI安全机制和安全服务的管理以及对物理环境的技术监控为主
SMIB，安全管理信息库，分布式存储相关信息。
法律性管理以法律法规遵从性管理为主。

*信息安全法律规范作用：（1）保障作用：信息安全法律规范为执法机关行驶权利、履行职责提供法律依据和法律保障；
（2）规范作用：信息安全法律规范作为人们维护信息安全和国家安全的行为准则和评价标准；
（3）惩戒作用：信息安全法律规范中有许多禁止性法律法规。
*信息安全法律规范分类：（1）按体系结构分类
按体系结构，信息安全法律规范可分为法律体系（部门法体系）类、法规体系（政策体系）类。
（2）按发布机构分类
按发布机构，信息安全法律规范可分为：国家的、地方的、国际的等等。
*立法的概念：一定的国家机关依照法定职权和程序，制定、修改和废止法律和其他规范性法律文件及认可法律的活动，是将一定阶级的意志上升为国家意志的活动，是对社会资源、社会利益进行第一次分配的活动
我国的立法程序主要以下四个步骤：提出法律议案、审议立法议案、表决立法议案、公布法律
*司法的概念：指国家司法机关及其司法人员依照法定职权和法定程序，具体运用法律处理案件的专门活动。
*执法的概念：法律执行，是指国家行政机关依照法定职权和法定程序，行使行政管理职权、履行职责、贯彻和实施法律的活动。
执法的特点：
（1）执法是以国家的名义对社会生活进行全面管理，具有国家权威性。
（2）执法的主体是国家行政机关公职人员。
（3）执法具有国家强制性，行政机关执行法律的过程同时是行使执法权的过程，行政机关根据法律的授权对社会进行管理，一定的行政机关是进行有效管理的前提。
（4）执法具有主动性和单方面性。
执法的原则：依法行政、公平合理

信息安全内涵从传统领域扩展到哪些领域？
信息安全内涵扩展 从机密性、完整性、可⽤性扩展到机密性、完整性、可⽤性、真实性、抗抵赖性、
可靠性、可控性

国内信息安全管理现状?
现状：我国已初步建成了国家信息安全组织保障体系，提出“积极防御、综合防范”的方针
（1）定和引进了一批重要的信息安全管理标准
（2）制定了一系列必需的信息安全管理的法律法规：《电子签名法》、《网络安全法》、《密码法》
（3）信息安全风险评估工作已经得到重视和开展
问题：（1）信息安全管理现状比较混乱，缺乏一个国家层面上的整体策略，实际管理力度不够，政策执行和监督力度也不够。
（2）具有我国特点的、动态的和涵盖组织机构、文件、控制措施、操作过程和程序及相关资源等要素的信息安全管理体系还未建立起来。
（3）具有我国特点的信息安全风险评估标准体系还有待完善，信息安全的需求难以确定，缺乏系统、全面的信息安全风险评估和评价体系以及全面、完善的信息安全保障体系。
（4）信息安全意识缺乏，普遍存在重产品、轻服务，重技术、轻管理的思想。
（5）专项经费投入不足，管理人才极度缺乏，基础理论研究和关键技术薄弱，严重依靠国外。
（6）技术创新不够，信息安全管理产品水平和质量不高。
（7）在20世纪90年代之前，信息安全主要依靠安全技术手段与不成体系的管理规章来实现。国际信息安全管理已步入标准化与系统化管理时代。

信息安全管理 管理主体是一个组织，国家、公司都可以；
管理主体5个要求：人、财、物、信息、时空；
管理手段5个方面 ：强制、交换、惩罚、激励、沟通与说服；
管理过程7个环节：管理规则的确定，管理资源的配置，目标的设立与分解，组织与实施，过程控制，效果评价，总结与处理。
信息安全管理的指导原则 策略原则：是考虑信息安全的基本原则
工程原则：为信息安全工程的组织与实施过程中，需要遵循的基本原则