參加每年的大學生網路安全精英賽通過初賽就可以嫖一張 nisp（國家資訊安全水平考試） 一級證書，nisp 一級本身沒啥考的價值，能白嫖自然很香

1.資訊安全概述

資訊與資訊技術

資訊概述

• 資訊奠基人香農認為：資訊是用來消除隨即不確定性的東西
• 資訊是事務運動狀態或存在方式的不確定性的描述
• 資訊是具體的，并且可以被人（生物，機器等）所感知、提取、識別，可以被傳遞、存盤、變換、處理、顯示、檢索、利用
• 資訊來源于物質，又不是物質本身；他是從物質的運動中產生出來，又可以脫離源物質而寄生于媒體物質，相對獨立地存在
• 資訊的功能：反映事物內部屬性、狀態、結構、相互聯系以及與外部環境的互動關系，減少事務的不確定性
• 資訊的表達：資訊本身是無形的，借助于資訊媒體以多種形式存在或傳播，它可以存盤在計算機、磁帶、紙張等介質中，亦可以記憶在人的大腦中，可以通過網路等方式進行傳播

資訊的基本屬性

1. 資訊具有普遍性和客觀性
2. 資訊具有實質性和傳遞性
3. 資訊具有可擴散性和可擴充性
4. 資訊具有中介性和共享性
5. 資訊具有差異性和轉換性
6. 資訊具有時效性和增值性
7. 資訊具有可壓縮性

• 資訊不同于訊息，訊息是資訊的外殼，資訊是訊息的內核，也可以說：訊息是資訊的籠統概念，資訊則是訊息的精確概念
• 資訊不同于資料，資料是資訊的符號表示，或稱為載體；資訊是資料的內涵，是資料地予以解釋，資料是資訊存在的一種形式，只用通過解釋或處理才能成為有用的資訊，資料可用不同的形式表示，而資訊不會隨資料的不同形式而改變

資訊技術

資訊技術（Information Technology，IT），是用于管理和處理資訊所采用的各種技術的總稱

資訊技術主要利用計算機科學和通信技術來設定、開發、安裝和實時資訊系統及應用軟體，其中，資訊處理是獲取資訊并對它進行變換，使之成為有用資訊并發布出去的程序，主要包括資訊的獲取、存盤、加工、發布和表示等幾個環節，目前，資訊收集和處理已經成為人類社會作業的一個重要組成部分

資訊技術包括生產和應用兩個方面

• 生產主要體現在現在資訊技術產業本身，包括計算機軟體、計算機硬體、設備制造、微電子電路等
• 應用體現在資訊技術的擴散上，包括資訊服務、資訊管理系統等

資訊技術發展

微電子、通信、計算機和網路是資訊系統的核心技術，其發展行程大致可分為以下四個階段

• 第一階段：電訊技術的發明
• 第二階段：計算機技術的發明
• 第三階段：互聯網的使用
• 第四階段：網路社會

第一階段：電訊技術的發明

資訊技術的起源可以追溯到19世紀30年代，其標志性事件是隨著電
磁技術的發展，出現了電話電報，人類遠程通信手段有了飛躍，開
始進入新時代，這一時期的突出成果包括: 1835年， 美國人莫爾斯
(Morse)發明電報; 1837年，莫爾斯電磁式有線電報問世; 1886
年，馬可尼發明無線電報機; 1876年， 貝爾(BelI) 發明電話機;
1906年，美國物理學家費森登成功研究出無線電廣播; 1912年美 國
Emer son公司制造出世界上第一臺收音機; 1925年，約翰●貝德發明
了世界上第一臺電視機，這些技術成果統稱為電訊技術，它們為信
息技術的進一步發展奠定了基礎，

第二階段：計算機技術的發明

進入20世紀30年代，計算機理論與技術迅速發展，資訊技術
進入計算機階段，
20世紀50年代末，第一代電子管計算機出現，用于軍事科研
資訊處理;
60年代中期，
第二代晶體管計算機逐漸在民用企業中使用
60年代末，集成電路(Integrated Circuit, IC) 和大規模
集成電路計算機接踵而至，并開始在社會普及應用;
70年代，隨著個人計算機的普及，人們開始使用計算機處理
各種業務，計算機技術的發展和應用加快了人類奔向資訊時
代的步伐，

第三階段：互聯網的使用

20世紀60年代末，美國出現了第一一個用于軍事目的的計算機網
絡ARPANET，ARPANET的重要意義在于它使連接到網路上的計算
機能夠相互交流資訊，
20世紀90年代，計算機網路發展成為全球性網路一一因特網 (
Internet)，網路技術和網路應用迅猛發展，此外，這一階段
電話、計算機等設備也實作了互聯互通，資訊和資料的傳輸更
加容易，資訊技術在這一-階段的飛速發展，深刻地影響著人們
的作業和生活方式，

第四階段：網路社會

20世紀末，以Internet為核心的資訊技術進一步發展，人們的工
作、生活和學習越來越離不開網路，國家的經濟、社會治理也與
網路密不可分，
高度發展的資訊網路，一方面通過現實社會投射，構成了虛擬
“網路社會”;另一方面通過網路資訊滲透，融合了各種已存在的
社會物體網路，使“網路社會”成為整個現實社會的結構形態，
至此，資訊技術步入一個嶄新的階段一網路社會 階段，
在這一階段，云計算、物聯網和大資料技術進入人們的生活，信
息和資料的保存、傳輸更加容易，

資訊安全

資訊安全概述

• 資訊安全就是關注資訊本身的安全，而不管是否應用了計算機作為資訊處理的手段
• 資訊安全的任務是保護資訊財產，以防止偶然的或未授權者對資訊的惡意泄露、修改和破壞，從而導致資訊的不可靠或者無法處理等，這樣可以使得我們在最大限度地利用資訊為我們服務的同時不招致損失或損失最小
• 資訊安全問題已經涉及到人們日常生活的各個方面
• 建立在網路基礎之.上的現代資訊系統,資訊安全定義較為明確，那就是:保護資訊系統的硬體、軟體及相關資料，使之不因為偶然或者惡意侵犯而遭受破壞、更改及泄露，保證資訊系統能夠連續、可靠、正常地運行
• 在商業和經濟領域,資訊安全主要強調的是消減并控制風險，保持業務操作的連續性,并將風險造成的損失和影響降低到最低程度

資訊安全的兩個方面

資訊系統安全四個層面

1. 設備安全

   資訊設備的安全是資訊系統安全的首要問題

   • 設備的穩定性
   • 設備的可靠性
   • 設備的可用性

   設備包括：軟設備和硬設備

2. 資料安全

   • 資料的秘密性（Secrecy）
   • 資料的真實性（Authenticity）
   • 資料的完整性（Integrity）

   IBM對于資料安全的定義：采取措施確保資料免受未授權的泄露、篡改和毀壞

3. 內容安全

   內容安全是資訊安全在法律、政治、道德層次上的要求

   • 政治上健康
   • 符合國家法律法規
   • 符合中華民族道德規范

4. 行為安全

   行為安全是資訊安全的終極目的

   • 行為的秘密性
   • 行為的完整性
   • 行為的可控性

   符合哲學上，實踐是檢驗真理的唯一標準

我國面臨的資訊安全威脅

國家威脅

• 一是恐怖組織通過網路大肆發布恐怖資訊,渲染暴力活動
• 二是邪教組織通過網路極力宣揚種族歧視,煽動民族仇恨，破壞民族團結，宣揚邪教理念,破壞國家宗教政策，煽動社會不滿情緒,甚至暴力活動
• 三是西方勢力通過網路傳播他們的意識形態、價值觀念和生活方式，進行文化滲透、侵略（顏色革命）
• 四是其他國家情報機構收集我國政治、軍事、經濟等情報資訊

組織威脅

主要針對企業或組織受保護的財產、專有技術，具體表現為:

• 一是網路恐怖分子破壞公共秩序、制造社會混亂等
• 二是通過工業間諜掠奪競爭優勢、打擊競爭對手，使企業或組織蒙受經濟或聲譽損失

個人威脅

• 一是對知識產權的威脅
• 二是侵犯、破壞個人計算機系統中的資訊,通過互聯網對財產權進行侵犯,對E-mail系統進行破壞,影響人們正常的作業、學習和生活

資訊安全問題產生根源

• 內因：系統自身的脆弱性

  

  復雜性導致脆弱性

• 外因：來自惡意攻擊者的攻擊，來自自然災害的破壞

  

  

資訊安全發展階段

通信安全（COMSEC）

• Communication Security
• 20世紀，40-70年代

核心思想

• 通過密碼技術解決通信保密，保證資料的保密性和完整性
• 主要關注傳輸程序中的資料保護

安全威脅

• 搭線竊聽，密碼學分析

安全措施

• 加密

計算機安全（COMPUSEC）

• Computer Security
• 20世紀，70-90年代

核心思想

• 確保資訊系統的保密性、完整性和可用性

安全威脅

• 非法訪問、惡意代碼、脆弱口令等

安全措施

• 安全作業系統設計技術（TCB）

資訊系統安全（INFOSEC）

• Information Systems Security
• 20世紀，90年代后

核心思想

• 確保資訊在存盤、處理和傳輸程序中免受偶然或惡意的泄密、非法訪問或破壞

安全威脅

• 網路入侵、病毒破壞、資訊對抗等

安全措施

• 防火墻、防病毒、漏洞掃描、入侵檢測、PKI（Public Key Infrastructure）、VPN等

資訊安全保障（IA）

• Information Assurance

核心思想

• 動態安全，保障資訊系統的業務正常、穩定的運行
• 綜合技術、管理、程序、人員

安全威脅

• 黑客、恐怖分子、資訊戰、自然災害、電力中斷等

安全措施

• 技術安全保障體系、安全管理體系、人員意識/培訓/教育

我國資訊安全形勢

2013年，“棱鏡門”事件在全球持續發酵隱藏在互聯網背后的國家力量和無所不在的“監控”之手，引起輿論嘩然和網路空間的連鎖反應，全球范圍內陡然上升的網路攻擊威脅,導致各國對資訊安全的重視程度急劇提高，越來越多的國家將資訊安全列為國家核心安全利益，網路安全進一步成為大國競爭的戰略基點，較量和博弈逐步深化升級

我國資訊安全環境日趨復雜，網路安全問題對互聯網的健康發展帶來日益嚴峻的挑戰，網路安全事件的影響力和破壞程度不斷擴大

體現在以下幾個方面：

• 針對網路資訊的破壞活動日益嚴重,利用網路進行違法犯罪案件逐年上升
• 安全漏洞和安全隱患增多,對資訊安全構成嚴重威脅
• 黑客攻擊、惡意代碼對重要資訊系統安全造成嚴重影響

資訊安全保障

資訊安全保障定義

資訊安全保障是指采用技術、管理等綜合手段，保護資訊和資訊系統能夠安全運行的防護性行為

通過保證資訊和資訊系統的可用性、完整性、機密性和不可否認性來保護并防御資訊和資訊系統的操作，包括通過綜合保護、檢測和回應等能力為資訊系統提供修復

防護行為

• 防止資訊泄露、修改和保護
• 檢測入侵行為，計劃和部署針對入侵行為的防御措施
• 采用安全措施和容錯機制在遭受攻擊的情況下保證機密性、私密性、完整性、抗抵賴性、真實性、可用性、可靠性
• 修復資訊和資訊系統所遭受的破壞

資訊安全保障與其他概念的區別

資訊安全保障與資訊安全、資訊系統安全的區別

資訊安全保障的概念更加廣泛

• 資訊安全的重點是保護和防御,而安全保障的重點是保護、檢測和回應綜合
• 資訊安全不太關注檢測和回應，但是資訊安全保障非常關注這兩點
• 攻擊后的修復不在傳統資訊安全概念的范圍之內,但是它是資訊安全保障的重要組成部分
• 資訊安全的目的是為了防止攻擊的發生，而資訊安全保障的目的是為了保證資訊系統始終能保證維持特定水平的可用性、完整性、真實性、機密性和抗抵賴性

資訊安全保障模型

資訊安全保障模型能準確描述安全的重要方面與系統行為的關系，提高對成功實作關鍵安全需求的理解層次，計劃-執行-檢查-改進（Plan Do Check Act，PDCA）模型和資訊保障技術框架是資訊安全管理和資訊安全保障技術實施程序遵循的方法和思想

除 PDCA 模型外，還有兩種模型

• 防護-檢測-回應（Protection Detection Response，PDR）模型

  該模型的基本思想是：承認資訊系統中存在漏洞，正視系統面臨的威脅，通過適度防護并加強檢測，落實安全時間回應，建立威脅源威懾，保障系統安全，該模型認為，任何安全防護措施都是基于時間的，超過該時間段，這種防護措施就可能被攻破，PDR 模型直觀、使用，但是對于系統的安全隱患和安全措施采取像對固定的家實前提，難以適應網路安全環境的快速變化

• 策略-防護-檢測-回應（Policy Protection Detection Response，P2DR/PPDR）模型

  策略是核心

  

資訊安全保障作用

由于網路資訊傳播的開放性、跨界性、即時性、互動性等特點，互聯網在為廣大民眾提供越來越多有益資訊及其他資訊服務的同時，也存在著- -些虛假和錯誤導向的資訊，以及直接危害公眾利益、民族團結、國家統一、社會穩定和國家安全的違法與有害資訊及活動，構建更加安全可靠、更加有用、更加可信的互聯網,服務于建設小康社會和構建和諧社會，是我國加強資訊安全保障的一個重要任務

對社會的作用

在實施國家資訊化發展戰略中，要高度重視資訊安全保障體系建設，實作資訊化與資訊安全協調發展

國家基礎資訊網路、重要資訊系統以及政府、企業和公民的資訊活動的安全若不能得到切實保障,資訊化帶來的巨大經濟與社會效益就難以有效發揮,資訊化發展也會受到嚴重制約

加強資訊安全保障的目的,就是要保障和促進資訊化發展，而不是以犧牲資訊化發展來換取資訊安全

采取不上網、不共享、不互聯互通等傳統封閉的方式保安全，會嚴重影響甚至阻礙資訊化發展，也不可能從根本.上解決資訊安全保障問題

只有繼續大力推動資訊化建設,全面提高資訊化發展水平才能為應對各種資訊安全問題提供強有力的物質和技術保障

全面推進資訊化,只有高度重視資訊安全保障建設，才能形成健康有序、安全穩定的資訊網路秩序,才能確保資訊化行程穩步、快速地發展

對國家的作用

構建更加安全可靠、更加有用、更加可信的互聯網，服務于建設小康社會和構建和諧社會,是我國加強資訊安全保障的一個重要任務

由于網路資訊傳播的開放性、跨界性、即時性、互動性等特點，互聯網在為廣大民眾提供和獲取越來越多的有用、有益的新聞資訊及其他資訊服務的同時,也存在著- -些虛假和錯誤導向的新聞資訊,以及直接危害公眾利益、民族團結、國家統一- 、社會穩定和國家安全的違法與有害資訊及活動

為有效開展互聯網治理作業,我國政府提出了互聯網管理的基本原則,即積極促進互聯網發展,并依法進行管理，鼓勵行業自律和公眾監督,旨在形成一個可信和安全的互聯網資訊空間

資訊系統安全保障

資訊系統

資訊系統是具有集成性的系統，每一個組織中資訊流動的總和構成一個資訊系統，資訊系統是根據一定的需要進行輸入、系統控制、資料處理、資料存盤與輸出等活動而涉及到的所有因素的綜合體

資訊系統安全保障含義

資訊系統安全保障是在資訊系統的整個生命周期中，從技術、管理、工程和人員等方面提出的安全保障要求，確保資訊系統的保密性、完整性和可用性，降低安全風險到可接受的程度，從而保障系統實作組織機構的使命

資訊系統的生命周期包括：分析、設計、研發、測驗

資訊系統的安全保障要求：技術、管理、工程和人員

資訊系統的安全保障目的：確保資訊系統的保密性、完整性和可用性

資訊系統安全保障模型

2.資訊安全基礎技術

密碼學、身份認證、訪問控制、安全審計

密碼學

加密與解密

資料加密是指將明文資訊采取數學方法進行函式轉換成密文，只有特定接收方（有解密密鑰）才能將其解密還原成明文的程序

資料加密主要涉及三要素：明文、密鑰、密文

• 明文（Plain Text）：被隱蔽的原始資訊，通常用 m 表示
• 密文（Cipher Text）：隱蔽后的訊息，通常用 c 表示
• 密鑰（Key）：加密和解密時使用的一組秘密資訊，用來控制加密和解密演算法的操作，通常用 Ke（加密密鑰 encryption） 和 kd（解密密鑰 decryption） 表示
• 發送者、接收者：在訊息傳送程序中，主動提供資訊的一方稱為發送方，得到訊息的一方稱為接收者
• 加密（Encryption）：將明文通過數學演算法轉換成密文的程序
• 解密（Decryption）：將密文還原成銘文的程序

加密可以采用密碼演算法來實作，密碼演算法從密鑰實用角度，可分為對稱密碼演算法和非對稱密碼演算法

對稱密碼

對稱密碼演算法（也稱單鑰或私鑰密碼演算法）：發送和接受資料的雙方使用相同的密鑰對銘文進行加密和解密運算，就是說加密和解密使用同一密鑰

優點：

• 效率高，演算法簡單，系統開銷小
• 適合加密大量資料
• 明文長度與密文長度相等

缺點：

• 需要以安全的方式進行密鑰交換
• 密鑰管理復雜

典型對稱密碼和非對稱密碼

對稱密碼：

• 分組密碼：DES、AES、SM4
• 序列密碼：祖沖之序列密碼、RC4

非對稱密碼：

• RSA、ECC（橢圓曲線密碼）、SM2、SM3

粗體表示演算法為國家密碼管理局編制的商用演算法

混合加密演算法

為了更好利用對稱密碼、非對稱密碼演算法兩者的優點，盡可能消除兩者自身存在的缺陷，實際多采用混合加密演算法，資料使用對稱加密演算法加密，產生的密鑰通過非對稱加密演算法加密傳輸

哈希函式

哈希函式，確保訊息完整性，防止訊息被篡改

• 哈希（Hash）函式（也成為雜湊函式或單項散列函式），哈希函式接受訊息作為輸入，輸出一個稱為哈希值（也成為散列、訊息摘要或者指紋）的輸出
• 哈希值可以看做是該輸入訊息的指紋
• 優點：輸入的資訊即使僅改變一個位元的內容，輸出的哈希值也會發生變化
• 可以通過哈希值是否發生變化來判斷資訊是否被篡改

數字簽名

密碼學技術可以解決資訊的可鑒別性（真實性或認證性）和不可否認性，簡單地說，前者確認對方是否是本人的認證，后者防止對方否認自己曾經的行為

簡單的說數字簽名具有防止偽造、否認的功能

作業原理

身份認證

身份認證概念

身份認證是在計算機網路中確認操作者身份的程序

在分布式系統中有兩類主要認證；

• 用戶與主機間的認證
• 主機與主機之間的認證

身份認證技術不可避免的會用到加密技術，可以分為

• 基于對稱密鑰技術的身份認證（如：Kerberos）
• 基于公開密鑰的身份認證（如：CA）

數字證書和公鑰基礎設施

• 數字證書

  數字證書（又稱電子證書、公鑰證書或證書）是一段經認證權威機構（Certification Authority，CA）簽名的，包含擁有著身份資訊和公開密鑰的資料體

• 公鑰基礎設施

  公鑰基礎設施（Public Key Infrastructure，PKI）是一種遵循既定標準的公鑰管理平臺，它能夠為所有的網路應用提供加密和數字簽名等密碼服務所必須的密鑰和證書管理體系

• 認證權威機構

  認證權威機構（又稱認證中心或認證機構，Certification Authoriy，CA），專門復雜數字證書的產生、發放和管理，以保證數字證書真實可靠

數字證書定義

數字證書就是互聯網通訊中標志通訊各方身份資訊的一串數字提供了一種在Internet上驗證通信物體身份的方式，其作用似于司機的駕駛執斬訓日常生活中的身份證

它是由一個由權威機構-CA機構，又稱為證書授權(Certificate Authority)中心發行的，人們可以在網上用它來識別對方的身份

數字證書是一個經證書授權中心數字簽名的包含公開密鑰擁有者資訊以及公開密鑰的檔案，最簡單的證書包含一個公開密鑰名稱以及證書授權中心的數字簽名，此外，數字證書只在特定時間段內有效

數字證書內容

• 所有者公鑰
• 用戶或物體的身份
• 發布者身份
• 由第三方信任機構簽名（Certificate Authority）
• 有限的有效期
• X.509 定義該結構（ITU，IETF PKIX standards），現在是 v3

數字證書功能

數字證書通過運用對稱和非對稱密碼體制等密碼技術建立起一套嚴密的身份認證系統，從而保證:

• 資訊除發送方和接收方外不被其它人竊取: (保密性)
• 資訊在傳輸程序中不被篡改: (不可修改性)
• 發送方能夠通過數字證書來確認接收方的身份: (身份認證性)
• 發送方對于自己的資訊不能抵賴: (不可否認性)

數字證書可用于:發送安全電子郵件、訪問安全站點、網上證券交易、網上招標采購、網上辦公、網上保險、網上稅務、網上簽約和網上銀行等安全電子事務處理和安全電子交易活動

PKI 公鑰基礎設施

PKI|(Public Key Infrastructure )即“公鑰基礎設施”，是一種遵循既定標準的密鑰管理平臺，它能夠為所有網路應用提供加密和數字簽名等密碼服務及所必需的密鑰和證書管理體系，簡單來說，PKI就是利用公鑰理論和技術建立
的提供安全服務的基礎設施