备战软考信息安全工程师 | 01 网络与信息安全理论

知识点

网络空间安全的核心是信息安全。网络空间安全学科是研究信息的获取、存储、传输、处理等领域中信息安全保障问题的一门学科。

信息安全的研究包含密码学、网络安全、信息系统安全、信息内容安全、信息对抗等方向。

信息安全的基本要素主要包括以下五个方面：

• 机密性

• 完整性

• 可用性

• 可控性

• 可审查性
  除此之外，还有可鉴别性、不可抵赖性和可靠性。

信息安全三要素CIA：机密性、完整性和可用性。

网络安全的目标是五个基本安全属性，即机密性、完整性、可用性、可控性、抗抵赖性。要实现网络安全的五个基本目标，网络应具备防御、监测、应急、恢复等基本功能。

信息系统安全可以划分四个层次，设备安全、数据安全、内容安全和行为安全。

• 设备安全

• 设备稳定性

• 设备可靠性

• 设备可用性

• 数据安全

• 数据秘密性

• 数据完整性

• 数据可用性

• 内容安全

• 政治健康

• 合法合规

• 符合道德规范

• 行为安全

• 行为密码性

• 行为完整性

• 行为可控性

信息安全理论基础包含的学科有：

1. 通用理论基础：包含数学、信息理论、计算理论。

2. 特有理论基础：包含访问控制理论、博弈论、密码学。

网络安全系统的设计原则有木桶原则、整体性原则、有效性和实用性原则、安全性评价原则、等级性原则、设计为本原则、自主和可控性原则、权限最小化原则、有的放矢原则等。

网络管理体系结构应该包括以下四个方面：

1. 协议

2. 表示

3. 安全

4. 对象

开放系统互连安全体系结构示意图

• 安全服务

• 鉴别服务

• 访问控制

• 数据完整性

• 数据保密性

• 不可抵赖性

• 安全机制

• 加密

• 数字签名

• 访问控制

• 数据完整性

• 鉴别交换

• 业务流填充

• 路由控制

• 公证

信息安全风险管理中的风险评估阶段及输出文档。

• 准备阶段

• 《系统调研报告》

• 《风险评估方案》

• 识别阶段

• 《资产价值分析报告》

• 《威胁分析报告》

• 《安全技术脆弱性分析报告》

• 《安全管理脆弱性分析报告》

• 《已有安全措施分析报告》

• 风险分析

• 《风险评估报告》

• 风险处置

• 《安全整改建议》

风险评估的过程包括四个阶段

1. 风险评估准备

2. 风险因素识别

3. 风险程度分析

4. 风险等级评价

信息安全风险评估通过对资产、脆弱性、控制措施和威胁四个风险要素的识别与评估，从而获取被评估系统的风险值或风险级别。

历史时间

1949年，香农(Shannon)发表了题为《保密系统的通信理论》的文章，为密码技术的研究奠定了理论基础，由此密码学成了一门科学。

2006年，我国政府公布了自己的商用密码算法，即“无线局域网产品须使用的系列密码算法”。

• 对称密码算法：SM4

• 签名算法：ECDSA

• 密钥协商算法：ECDH

• 杂凑算法：SHA256

《中华人民共和国网络安全法》由全国人民代表大会常务委员会于2016年11月7日发布，自2017日6月1日起施行
2017年11月 德国柏林 sm2椭圆曲线 sm9表示签名算法成为国际标准。

参考

《信息安全工程师5天修炼》
《信息安全工程师考前冲刺100题》