【NISP一级】2.4 网络安全新技术
【NISP一级】2.4 网络安全新技术
1. 云计算安全
1.1 云计算定义
- 云计算是指通过网络访问可扩展的、灵活的物理或虚拟共享资源池，并按需自助获取和管理资源的模式。——《信息安全技术云计算服务安全指南》(GB/T 31167-2014)
1.2 云计算特征
按需自助服务：在不需或较少云服务商的人员参与情况下，客户能根据需要获得所需计算资源，如自王确定资源古用时间和数量等。
泛在接入：客户通过标准接入机制，利用计算机、移动电话、平板等各种终端通过网络随时随地使用服务。
资源池化：云服务商将资源（如：计算机资源、存储资源、网络资源等）提供给多个客户使用,这些物理的、虚拟的资源根据客户的需求进行动态分配或重新分配。
快速伸缩性：客户可以根据需要快速、灵活、方便地获取和释放计算资源。对于客户来讲，这种资源是“无限”的，能在任何时候获得所需资源量。
服务可计量：云计算可按照多种计量方式(如按次付费或充值使用等)自动控制或量化资源，计量的对象可以是存储空间、计算能力、网络带宽或账户数等。
1.3 云计算服务形式
SaaS(Software as a Service)，软件即服务；
PaaS(Platform as a Service)，平台即服务；
laaS(Infrastructure as a Service)，基础设施服务。
1.4 云计算平台安全威胁
1.4.1 安全认证
攻击
中间人攻击
重放攻击
僵尸网络
拒绝式服务攻击
客户
身份伪造
冒充
云计算应用认证根密钥窃取
1.4.2 虚拟化安全
漏洞攻击
VMWare漏洞
HyperVM: zero-day
僵户网络
拒绝式服务攻击
黑客盗用
1.4.3 拒绝服务攻击
DoS&DDOS
不是云计算特有
关键核心数据和服务迁移到云计算中心
拒绝服务带来的后果影响更严重
消耗主机可用资源
Land、Teardrop、SYN Flood、UDP Flood、ICMP Flood、Smurf
消耗服务器链路带宽
1.4.4 云制图攻击
DoS&DDOS
定位在第三方云计算服务托管的Web服务器物理位置的计划。云制图旨在绘制服务提供商的基础设施，以确定特定虚拟机(VM)可能的位置。
存在的攻击行为
攻击亚马逊数据共享的API设置
旁道攻击
1.4.5 其它
访问控制授权
数据机密性及完整性
隐私权保护
入侵检测
容灾及数据冗余
恶意代码防役
1.5 云计算安全技术体系框架
1.6 可信云计算
可信的接入安全
可信的接入认证
可信的终端设备
可信的通信链路
可信虚拟化安全
虚拟机防护
虚拟机加密存储
安全补丁管理、
加固，定制OS
可信网络安全
安全域
动态数据安全
静态数据安全
可信安全管理
可信的策略管理
可信的用户管理
可信的审计机制
合规性
2. 大数据安全
2.1 大数据的定义
对于“大数据”(Big data)研究机构Gartner给出了这样的定义:“大数据"是需要新处理模式才能具有更强的决策力、洞察发现力和流程优化能力来适应海量、高增长率和多样化的信息资产。
麦肯锡全球研究所给出的定义:一种规模大到在获取、存诸、管理、分析方面大大超出了传统数据库软件工具能力范围的数据集合，具有海量的数据规模、快速的数据流转、多样的数据类型和价值密度低四大特征
2.2 大数据的特征
Volume (大量)
非结构化数据的超大规模和增长
总数据量的80~90%
比结构化数据增长快10倍到50倍
是传统数据仓库的10倍到50倍
Variety (多样 )
大数据的异构和多样性
很多不同形式(文本、图像、视频、机器数据)
无模式或者模式不明显
不连贯的语法或句义
Value (价值)
大量的不相关信息
对未来趋势与模式的可预测分析
深度复杂分析(机器学习、人工智能Vs传统商务智能)
Velocity (高速)
- 实时分析而非批量式分析
数据输入、处理与丢弃
立竿见影而非事后见效
2.3 大数据安全威胁
破坏数据完整性——攻击者能够通过实施嗅探、 中断人攻击、重放攻击来窃取或篡改数据。
网络传播病毒——通过信息网络传播计算机病毒。
拒绝服务攻击——通过干扰网络，改变其正常的作业流程或执行武官程序，导致系统响应迟缓，影响合法用户的正常使用，甚至使合法用户遭到排斥，不能得到响应的服务。
非授权访问——没有预先经过同意，就使用网络或计算机资源，主要形式有假冒、身份攻击、非法用户进入网络系统进行违法操作，以及合法用户以未授权方式进行操作等。
信息泄露或丢失——如攻击者通过建立隐蔽隧道窃取敏感信息，最典型的有美国棱镜门(窃取世界各地公民信息)、阿桑奇事件、斯诺登事件。
大数据成为攻击目标——如论坛、博客、微博等为黑客窃取个人信息提供了平台。
大数据滥用风险——如黑客能够利用大数据技术最大限度地收集用户的敏感信息。
大数据误用风险——如从社交网站获取的个人信息的准确性，基本资料例如年龄、婚姻状况等都是为验证的，分析结果可信度不高。
2.4 大数据安全风险
用户隐私保护
不仅限于个人隐私泄漏，还在于基于大数据对人们状态和行为的预测。
目前用户数据的收集、管理和使用缺乏监管，主要依靠企业自律
大数据的可信性
威胁之一是伪造或刻意制造数据，而错误的数据往往会导致错误的结论。
威胁之二是数据在传播中的逐步失真。
如何实现大数据访问控制
难以预设角色，实现角色划分;
难以预知每个角色的实际权限。
2.5 大数据生命周期安全
数据收集阶段:数据源鉴别及记录、数据合法收集、数据标准化管理、数据管理职责定义、数据分类分级以及数据留存合规识别等问题;
数据存储阶段:存储架构安全、逻辑存储安全、存储访问安全、数据副本安全、数据归档安全等;
数据处理阶段:数据分布式处理安全、数据分析安全、数据加密处理、数据脱敏处理以及数据溯源等;
数据分发阶段:数据传输安全、数据访问控制、数据脱敏处理等。
数据删除阶段:删除元数据、原始数据及副本、断开与外部的实时数据流链接等。
2.6 大数据安全防护管理要求
大数据安全管理目标
组织实现大数据价值的同时.确保数据安全。组织应:
满足个人信息保护和数据保护的法律法规、标准等要求;
满足大数据相关方的数据保护要求;
通过技术和管理手段，保证自身控制和管理的数据安全风险可控。
大数据安全管理的主要内容
大数据安全管理主要包含以下内容:
- 明确数据安全需求。组织应分析大数据环境下数据的保密性、完整性和可用性所面临的新问题，分析大数据活动可能对国家安全、社会影响、公共利益、个人的生命财产安全等造成的影响，并明确解决这些问题和影响的数据安全需求。
数据分类分级。组织应先对数据进行分类分级，根据不同的数据分级选择适当的安全措施。
明确大数据活动安全要求。组织应理解主要大数据活动的特点.可能涉及的数据操作.并明确各大数据活动的安全要求。
评估大数据安全风险。组织除开展信息系统安全风险评估外，还应从大数据环境潜在的系统的脆弱点、恶意利用、后果等不利因素，以及应对措施等评估大数据安全风险。
2.7 大数据安全防护技术
数据发布匿名保护技术
社交网络匿名保护技术
数据水印技术
数据溯源技术
角色挖掘技术
风险自适应的访问控制
3. 移动互联网安全
3.1 移动互联网概念
桌面互联网
大屏幕终端
开放
匿名性
免费
非实时
无中心
固定状态
应用来自网民
移动互联网
小屏幕终端
准确性
隐私性
便携性
可定位
实时性
移动网
封闭
收费
有中心
应用来自上层
移动互联网继承了桌面互联网的开发协作的特征，又继承了移动网的实时性、隐私性、便携性、准确性、可定位的特点
技术层面定义：以宽带IP为技术核心，可同时提供语音、数据、多媒体等业务服务的开放式基础电信网络。
终端层面定义：广义上是指用户使用手机、上网本、笔记本等移动终端，通过移动网络获取移动通信网络服务和互联网服务；狭义上是指用户使用手机终端，通过移动网络浏览互联网站和手机网站，获取多媒体、定制信息等其他数据服务和信息服务。
3.2 移动互联网安全威胁
业务层面：非法访问业务、非法访问数据、拒绝服务攻击、垃圾信息的泛滥、不良信息的传播、个人隐私和敏感信息的泄露、内容版权盗用和不合理的使用
网络层面：接入网非法窃听、用户身份仿冒、服务滥用占用带宽、破坏数据和信令完整性.、非授权定位
终端层面：病毒、木马、蠕虫、网络钓鱼、身份伪冒、DDOS攻击、窃取隐私、非授权使用资源、远程控制等
3.3 移动互联网安全风险
开放信道带来的安全风险：移动互联网依托的移动通信网络采用的无线通信信道，不像有线通信那样受通信电缆的限制，但由于无线信道的开放性，使得它在给与移动用户自由的通信体验同时，也带来了相应的不安全因素。包括通信内容可能被窃听，篡改、通信用户身份可能被假冒等安全风险。
移动互联网应用安全性风险：移动互联网作为一个较新的领域，在管理层面上，相关法律法规不足，行业对安全风险的认识也存在一定的不足。移动互联网的迅猛发展使得厂商更多的关注应用，大量的移动互联网应用开发没有将安全列入软件生命周期中，对业务流程缺乏安全风险分析等等，从而导致了大量脆弱的业务系统，使得越来越多用户的个人利益受到侵害。
移动互联网用户终端安全风险：移动互联网用户使用的智能终端功能不断的多样化，越来越多的功能被集成到智能终端中实现，使得安全风险不断累积，为用户带来了越来越多的安全风险。
运营模式导致的安全问题：在为移动互联网内容带来繁荣发展的同时，也产生了-些不良的影响， 例如-。些应用为了吸引用户点击率和留存，会在内容中添加或默许用户在提交的内容中包含一些“打擦边球”的内容，包括色情、虚假、夸大甚至非法言论
3.4 移动互联网安全防护
设备/环境安全：设备环境符合标准要求，防攻击防入侵
业务应用安全：业务管理信息安全和控制信息安全
技术系统安全：信息完整性，保密性，不可否认性
个人隐私保护：不传播非法，违背社会公德，侵犯公民隐私的信息
3.5 移动互联网终端安全
设备环境
设备符合中国强制认证(CCC)要求
无线电技术应符合无线电管理局的型号核准认证(TYC)
设备应符合包括网络安全要求在内的工信部的通信入网认证(NAL)
业务应用
合法用户可以正常使用，防止业务被盗用、冒名使用等
防止包括用户密码在内的用户隐私信息泄露，在承诺范围内随时使用
防范DDoS等攻击
必要的加密、隔离等手段保障通信秘密等
信息自身
存储在终端中用户隐私信息、个人信息不被非法获取
主要考虑终端内信息的授权访问、防入侵、加密存储等。
信息内容
- 涉及较少，当前主要关注保护青少年在使用移动互联网的过程中免受包括黄色、暴力在内的不良信息侵扰。
3.6 移动互联网业务安全
设备/环境
应用服务器、Web服务器、数据库服务器、邮件服务器、网关，存储介质符合标准要求
设备操作系统、数据库、中间件、基础协议栈等具备必要的防攻击、防入侵能力
业务应用
采用认证等技术手段确保合法用户以正常使用，防止业务被盗用、冒名使用等攻击
由移动互联网终端与移动互联网业务设备端到端实施
信息自身
业务应用相关信息完整性、机密性和不可否认性
主要依靠移动互联网终端与移动互联网业务设备端到端实施。
信息内容
- 应采取足够有效的措施来防范应用所涉及内容不包括违法信息、侵权信息、不良信息以及侵犯公民隐私的敏感信息等
4. 物联网安全
4.1 物联网概念
物联网(Internet of Things,简称IOT)是把任何物品与互联网连接起来进行信息交换和通讯，以实现智能化识别、定位、跟踪、监控和管理的一种网络
2013年，物联网全球标准协议(IoT-GSI)将物联网定义为“信息社会的基础设施”。物联网允许在现有网络基础设施上远程检测或控制对象，将物理世界更直接地整合到基于计算机的系统中。
4.2 物联网安全风险
物联网导致的隐私泄露问题；
物联网平台存在的安全漏洞带来的安全问题；
物联网终端的移动性对信息安全带来的管理困难问题；
物联网快速增长的设备数量使得对设备的更新和维护都较为困难，终端设备的漏洞很难得到有效的修复。
4.3 物联网安全架构
4.3.1物联网逻辑流程
在物联网应用中，多种类型的感知信息会被同时采集、处理，综合利用，甚至不同感知信息的结果会影响其他控制调节行为。
在应用端信息融合处理后可能会面临多种不同的应用。
4.3.2 层次结构
4.3.2.1 感知层
获取信息
感知层安全
感知层的架构特点
感知单元功能受限，特别是无线传感器元件
多个感知单元组成局部传感器网络
感知层的安全威胁
感知层的网关节点被恶意控制(安全性全部丢失)
感知层的普通节点被恶意控制(攻击方控制密钥)
感知层的普通节点被捕获(未控制密钥，节点未被控制)
感知层的节点受到来自网络的Dos攻击
接入到物联网的超大量传感节点的标识、识别、认证和控制问题
4.3.2.2 传输层
传输信息
传输层安全
传输层安全机制
端对端机密性:认证机制、密钥协商机制、机密性算法选取机制和密钥管理机制
节点到节点机密性:认证、密钥协商，功耗以及效率
传输层安全构架
建立节点认证机制;建立数据机密性、完整性机制;根据需求建立数据流保密性机制;建立DDoS攻击检测和预防机制
移动网中AKA机制的基于IMSI的兼容性或一致性、 跨域/网络认证
相应密码技术:密钥管理、端对端加密和点对点加密、密码算法和协议等
建立广播、组播通信的机密性、认证性和完整性机制
4.3.2.3 处理层
处理信息
处理层安全
处理层安全构架
高强度数据机密性和完整性服务
入侵检测和病毒检测
可靠的高智能处理手段
可靠的密钥管理机制，包括PK|和对称密钥相结合的机制
可靠的认证机制和密钥管理方案
密文查询、数据挖掘、安全多方计算、安全云计算等
恶意指令分析和预防、访问控制和灾难恢复机制
保密日志跟踪和行为分析、恶意行为模型的建立
移动设备识别、定位和追踪机制
移动设备文件的可备份和恢复
4.3.2.4 应用层
使用信息
应用层安全
应用层安全构架
有效的数据库访问控制和内容筛选机制
不同场景的隐私信息保护技术
安全的数据销毁技术
有效的数据取证技术
叛逆追踪和其他信息泄露追踪机制
安全的电子产品和软件的知识产权保护技术
5. 工业互联网安全
5.1 伊朗核电站“震网”病毒事件
发生事件: 2010年7月
攻击目标:伊朗核电站(物理隔离网络)
入侵方式：
收集核电站工作人员和其家庭成员信息针对家用电脑发起攻击，成功控制家用电脑并感染所有接入的USB移动介质通过U盘将病毒摆渡核电站内部网络
利用西门子的0DAY漏洞，成功控制离心机的控制系统，修改了离心机参数，让其生产不出制造核武器的物质，但在人工检测显示端正常
利用漏洞: MS10-046、 西门子SIMATIC WinCC系统0 Day漏洞
渗透手段: U盘
损失:美国利用“震网”蠕虫病毒攻击伊朗的轴浓缩设备，造成伊朗核电站离心机损坏，推迟发电达两年之久。
影响面: 感染全球超过45000个网络
5.2 乌克兰电网遭受病毒攻击事件
2015年的最后一周，乌克兰至少有三个区域的电力系统被具有高度破坏性的恶意软件攻击并导致大规模的停电
12月23日，伊万诺弗兰科夫斯克地区，有超过一半的家庭(约140万人) 遭受了停电的困扰。
整个停电事件持续了数小时之久，病毒关闭生产控制大区的控制服务器，使得二次信息系统丧失对物理设备的感知和控制力，导致部分设备运行中断而大面积停电。
扩大影响
删除关键系统数据，监控系统无法启动
洪范攻击电网的客服电话，导致技术部分处于瘫痪状态。
延长供电恢复的时间
5.3 工控网络安全危及国家安全
高新技术：黑客远程入侵智能汽车，汽车也可能随时遭遇恐怖装击
冶金：德国钢厂馆炉控制系统受攻击，导致熔炉无法正常关闭
智能制造：数控机床关键数据被窃，损失难以估量
电力：电厂遭USB病毒攻击，大量机密数据泄露
制药：黑客入侵药泵，输入致命剂量，危害人身安全
水处理：污水处理厂遭非法入侵，污水直接排入自然水系
军事：代码及武器，美国直接控制漏洞市场
5.4 工控系统名词解释
工业控制系统(Industrial Control Systems简称: ICS)
- 是指由各种自动化控制组件以及对实时数据进行采集、监测的过程控制组件，构成的确保I业基础设施自动化运行、过程控制与监控的业务流程管控系统。
可编程逻辑控制器(Programmable Logic Controller简称: PLC)
- 是一种可以被编程，并通过数字或模拟式输入/输出控制各种类型的机械或生产过程。
分布式控制系统(Distributed Control System简称: DCS)
- 在国内自控行业又称之为集散控制系统。是相对于集中式控制系统而言的一种新型计算机控制系统，它是在集中式控制系统的基础上发展、演变而来的。
数据采集和监视控制系统(Supervisory Control And Data Acquisition简称: SCADA)
- SCADA系统是以计算机为基础的DCS与电力自动化监控系统;它应用领域很广,可以应用于电力、冶金、石油、化工、燃气，铁路等领域的数据采集与监视控制以及过程控制等诸多领域。
5.5 工控网络的特点
工控网络的特点决定了基于办公网和互联网设计的信息安全防护手段(如防火墙、病毒查杀等)无法有效地保护工控网络的安全
网络通讯协议不同：大量的工控系统采用私有协议
对系统稳定性要求高：网络安全造成误报等同于攻击
系统运行环境不同：工控系统运行环境相对落后
更新代价高：无法像办公网络或互联网那样通过补丁来解决安全问题
网络结构和行为稳定性高：不同于互联网和办公网络的频繁变动
5.6 工控系统网络涵盖范围
Level 4战略决策层：商业计划和物流管理/工程系统
Level 3经营管理层：系统管理/监视控制
Level 2生产控制层：监控功能/现场检查和现场展示
Level 1现场控制层：保护和现场控制设备
Level 0现场执行层：传感器和制动器
5.7 工业控制系统网络威胁来源
高级持续性威胁
国外设备预留后门
工业网络病毒
工控设备高危漏洞
无线技术应用风险
5.8 工业互联网安全体系
七个主要任务
推动工业互联网安全责任落实;
构建工业互联网安全管理体系;
提升企业工业互联网安全防护水平;
强化工业互联网数据安全保护能力;
建设国家工业互联网安全技术手段;
加强工业互联网安全公共服务能力;
推动工业互联网安全科技创新与产业发展。
四项保障措施:
加强组织领导，健全工作机制。
加大支持力度，优化创新环境。
发挥市场作用，汇聚多方力量。
加强宣传教育，加快人才培养。
【NISP一级】2.4 网络安全新技术相关推荐
- 2020网络安全NISP一级（模拟题七）
2020国家信息安全水平考试NISP一级(模拟题七) 2020大学生网络安全知识总决赛 NISP一级模拟题(07) NISP一级单选题(最新) (每小题2分,本题共50个小题,共100分,60分及格) ...
- 2020大学生网络安全知识总决赛 NISP一级模拟题（07）
国家信息安全水平考试NISP一级模拟题(07) 试题总分:100分,时间:100分钟 100分 NISP一级单选题(最新) (每小题2分,本题共50个小题,共100分,60分及格) 1 2分 信息内容 ...
- 2020网络安全NISP一级（模拟题五）
2020国家信息安全水平考试NISP一级(模拟题五) 国家信息安全水平考试NISP一级模拟题(05) NISP一级单选题(最新) (每小题2分,本题共50个小题,共100分,60及格) 目前,我国对网 ...
- 2020网络安全NISP一级（模拟题九）
2020国家信息安全水平考试NISP一级(模拟题九) 2020 NISP一级模拟题(09) 网络钓鱼欺骗是社会工程学的一种方式,下列关于社会工程学的说法中错误的是( ) A.社会工程学利用了人性的弱点 ...
- 2020网络安全NISP一级（模拟题二）
2020国家信息安全水平考试NISP一级(模拟题二) NISP一级单选题(最新) (每小题2分,本题共50个小题,共100分,60分及格) OSI模型中位于最顶层并向应用程序提供服务的是( ) A.网 ...
- 2020大学生网络安全知识总决赛 NISP一级模拟题（09）
国家信息安全水平考试NISP一级模拟题(09) 试题总分:100分,时间:100分钟 100分 NISP一级单选题(最新) (每小题2分,本题共50个小题,共100分,60分) 1 2分 网络钓鱼欺骗 ...
- 2020网络安全NISP一级（模拟题十）
2020国家信息安全水平考试NISP一级(模拟题十) 2020NISP一级模拟题(10) 根据明文密文的划分方式不同,可将密码体制分为分组密码和序列密码.下列属于分组密码的是( ) A.AES:B.R ...
- 2020大学生网络安全知识总决赛NISP一级模拟题（10）
国家信息安全水平考试NISP一级模拟题(10) 试题总分:100分,时间:100分钟 100分 NISP一级单选题(最新) (每小题2分,本题共50个小题,共100分,60分) 1 2分 根据明文密文 ...
- NISP一级考试题库
NISP一级考试题库,本人以过考试,因为资料是图片转过来得,所有有得地方有乱码,不喜勿喷,仅送给有需要得人. 与计算机硬件关系最密切的软件是( ). A.编译程序 B.数据库管理程序 C.游戏程序 ...
最新文章
- QT的QCommandLineOption类的使用
- 免费时代的4种销售方式
- 计算机软件中级职称 入职,计算机职调称论文.doc
- Spring Security login
- python3+requests接口自动化-其他接口封装
- java io教程_Java IO教程
- Windows Server 2003 来配置网络地址转换 (NAT
- http客户端-性能比较系列-第二篇-多线程
- python 直播源地址_如何获取视频的直播源地址
- Unity3D资源热更新（一）
- 计算机网络原理最详细解说
- NSSM - 将任何exe应用封装成windows服务的神器
- 解决微软应用商店打不开 代码: 0x80131500
- 史蒂夫·乔布斯的故事：启示录还是警世钟？
- 英雄连1V1战胜专家电脑！
- MacBook 谷歌插件打包
- canvas中文文档参考
- 定时启动你的Android App
- 手把手教你看懂电脑硬件测试软件CPU-Z（二）
- 前端？请叫我游戏开发