计算机系统的风险与信息安全

《计算机系统的风险与信息安全》由会员分享，可在线阅读，更多相关《计算机系统的风险与信息安全（29页珍藏版）》请在文档大全上搜索。

1、第七章第七章 计算机系统的风险与信息安全计算机系统的风险与信息安全第七章计算机系统的风险与信息安全第七章计算机系统的风险与信息安全1.主要内容主要内容 计算机系统的风险计算机系统的风险、信息安全的基本概念、信息安全的基本概念、信息安全状况、计算机病毒及防治信息安全状况、计算机病毒及防治2.重重 点点 计算机系统风险的概念、信息安全的基本概计算机系统风险的概念、信息安全的基本概念、计算机病毒的概念念、计算机病毒的概念3.难难 点点 信息安全的基本概念、计算机病毒特征信息安全的基本概念、计算机病毒特征7.1计算机系统的风险计算机系统的风险7.1.1计算机系统风险的概念和案例计算机系统风险的概念和案

2、例n 风险是指可能发生的事故或灾难。风险是指可能发生的事故或灾难。n 计算机系统的风险是指因计算机系统故障，计算机系统的风险是指因计算机系统故障，或因其他因素而导致计算机系统失效而可能或因其他因素而导致计算机系统失效而可能产生的事故或灾难。产生的事故或灾难。n 计算机系统由硬件和软件两部分构成，二者计算机系统由硬件和软件两部分构成，二者的可靠性构成了整个系统的可靠性。相应地的可靠性构成了整个系统的可靠性。相应地系统的风险也就由硬件风险和软件风险构成。系统的风险也就由硬件风险和软件风险构成。n 著名的著名的“Therac-25”案例。案例。l Therac-25是加拿大原子能公司（是加拿大原子能

3、公司（AECL）和一）和一家法国公司家法国公司CGR联合开发的一种医疗设备（医联合开发的一种医疗设备（医疗加速器）。它产生的高能光束或电子流能够疗加速器）。它产生的高能光束或电子流能够杀死人体毒瘤，而不会伤害毒瘤附近健康的人杀死人体毒瘤，而不会伤害毒瘤附近健康的人体组织。该设备于体组织。该设备于1982年正式投入生产和使用。年正式投入生产和使用。在在1985年年6月到月到1987年年1月不到两年的时间里因月不到两年的时间里因该设备引发了该设备引发了6起由于电子流或起由于电子流或X-光束的过量使光束的过量使用造成的医疗事故，造成了用造成的医疗事故，造成了4人死亡人死亡2人重伤的人重伤的严重后果严

4、重后果l 6起事故是操作员的失误操作和软件缺陷共同造起事故是操作员的失误操作和软件缺陷共同造成的。成的。l 1983年年5月月AECL所做的所做的Therac-25安全分析报告安全分析报告中有关系统安全分析只考虑了系统硬件，不包中有关系统安全分析只考虑了系统硬件，不包括计算机的因素，并没有把计算机故障所造成括计算机的因素，并没有把计算机故障所造成的安全隐患考虑在内。的安全隐患考虑在内。7.1.2计算机系统风险的来源计算机系统风险的来源n 风险源于实际工作环境的不确定性。风险源于实际工作环境的不确定性。l设计中存在的隐患所带来的风险设计中存在的隐患所带来的风险 对计算机系统所处的环境、控制对象及

5、流程、使用操对计算机系统所处的环境、控制对象及流程、使用操作对象、所使用的元器件等因素了解分析不足，而在作对象、所使用的元器件等因素了解分析不足，而在计算机软硬件设计上没有考虑或采取相应措施计算机软硬件设计上没有考虑或采取相应措施。l不可抗拒的外部因素所带来的风险不可抗拒的外部因素所带来的风险 地震、洪水、计算机元器件的突然损坏等地震、洪水、计算机元器件的突然损坏等l计算机犯罪所带来的风险计算机犯罪所带来的风险 非授权使用计算机系统，导致信息失窃；计算机病毒非授权使用计算机系统，导致信息失窃；计算机病毒导致计算机系统不能正常工作等。导致计算机系统不能正常工作等。7.2信息安全的基本概念信息安全

6、的基本概念7.2.1信息不安全的表现信息不安全的表现1.计算机系统被非法入侵，导致信息被盗、被篡改。计算机系统被非法入侵，导致信息被盗、被篡改。2.信息在显示、传输过程中被截获。信息在显示、传输过程中被截获。3.信息在输入、加工信息在输入、加工 、存储过程中被篡改、出错、丢失等。、存储过程中被篡改、出错、丢失等。4.信息系统遭到意外事故、或有目的的攻击。信息系统遭到意外事故、或有目的的攻击。5.计算机病毒对计算机系统的影响或破坏。计算机病毒对计算机系统的影响或破坏。6.信息系统的工作人员有意或误操作导致信息的被盗、丢信息系统的工作人员有意或误操作导致信息的被盗、丢失、或泄漏。失、或泄漏。7.2

7、信息安全的基本概念信息安全的基本概念7.2.2信息安全的基本概念信息安全的基本概念n 信息安全是一个涉及面广的系统工程，它涉及信息安全是一个涉及面广的系统工程，它涉及构成信息系统的构成信息系统的支持环境、软硬件、使用操作支持环境、软硬件、使用操作和管理等和管理等，它的内函和外延还在不断的变化。，它的内函和外延还在不断的变化。它已形成了有着自己独特的研究内容的学科和它已形成了有着自己独特的研究内容的学科和专门从事信息安全工作的专业。专门从事信息安全工作的专业。n 信息安全信息安全的目标是着力于实体安全、运行安全、的目标是着力于实体安全、运行安全、信息安全和人员的安全维护。信息安全和人员的安全维护

8、。安全保护的直接安全保护的直接对象是计算机信息系统，实现安全保护的关键对象是计算机信息系统，实现安全保护的关键因素是人因素是人。7.2信息安全的基本概念信息安全的基本概念n 信息安全的层次和属性信息安全的层次和属性 机密性真实性 可用性从构成安全问题的层面看从构成安全问题的层面看从信息安全的要求角度看从信息安全的要求角度看7.2信息安全的基本概念信息安全的基本概念l 实体安全（物理安全）实体安全（物理安全） 即构成信息系统的各种物理设备安全。它涉及到保障即构成信息系统的各种物理设备安全。它涉及到保障信息的机密性和可用性。如信息的机密性和可用性。如保证系统不以电磁等方式保证系统不以电磁等方式向外

9、泄漏信息；保证系统至少能够提供基本的服务。向外泄漏信息；保证系统至少能够提供基本的服务。l 运行安全运行安全 即保障信息系统正常运行过程的条件或环境的安全，即保障信息系统正常运行过程的条件或环境的安全，它涉及到硬件、软件和人员。它涉及到保障信息的可它涉及到硬件、软件和人员。它涉及到保障信息的可控性和可用性，即要控性和可用性，即要保证系统的机密性，使得系统任保证系统的机密性，使得系统任何时候不被非授权人所恶意利用；保障系统的正常运何时候不被非授权人所恶意利用；保障系统的正常运 行，确保系统时刻能为授权人提供基本服务。行，确保系统时刻能为授权人提供基本服务。7.2信息安全的基本概念信息安全的基本概

10、念4.数据安全数据安全 即数据在输入、加工、存储、传输过程中的安全，它即数据在输入、加工、存储、传输过程中的安全，它涉及到硬件、软件和人员，它反映了保障信息安全的涉及到硬件、软件和人员，它反映了保障信息安全的真实性、机密性、完整性和抗否认真实性、机密性、完整性和抗否认 性。如性。如保证数据保证数据在输入和发送源头不被伪造；保证数据在传输、存储在输入和发送源头不被伪造；保证数据在传输、存储 过程中不被获取并解析；保证数据在加工处理、传输、过程中不被获取并解析；保证数据在加工处理、传输、存储等过程中不被非法修改；保证系统的可用性，使存储等过程中不被非法修改；保证系统的可用性，使得发布者无法否认所发

11、布的信息内容。得发布者无法否认所发布的信息内容。7.2信息安全的基本概念信息安全的基本概念7.内容安全内容安全 即数据所表示信息的内容在加工、存储、传输过程中即数据所表示信息的内容在加工、存储、传输过程中的安全，它涉及到硬件、软件和人员，它反映了保障的安全，它涉及到硬件、软件和人员，它反映了保障信息安全的真实性（来源伪造）、机密性（内容被解信息安全的真实性（来源伪造）、机密性（内容被解析）、完整性（进行修改）和可用性（阻断传输）。析）、完整性（进行修改）和可用性（阻断传输）。如如路由欺骗，域名欺骗；对传递信息进行捕获并解析；路由欺骗，域名欺骗；对传递信息进行捕获并解析；删除局部内容，或附加特定