信息安全审计课件完整版.pptxVIP

信息安全审计;第1章;本章学习要点：;1.1信息安全现状分析;信息安全威胁分类：;为什么会有如此严重的信息安全问题？;1.2信息安全目标与主要安全业务;1.2信息安全目标与主要安全业务;1.3信息系统安全设计;信息安全风险管理相关人员的角色和责任：;风险评估过程及其在信息安全风险管理中的位置;信息系统的建设流程：;1.4信息安全审计;1.4信息安全审计;1.5本章小结;第2章;本章学习要点：;2.1密码学;密钥（Key）：加密和解密算法通常是在一组密钥（Key）控制下进行

明文：没有进行加密，能够直接代表原文含义的信息

密文：经过加密处理之后，隐藏原文含义的信息

加密(Encryption）：将明文转换成密文的实施过程

解密(Decryption）：将密文转换成明文的实施过程

加/解密算法：密码系统采用的加密方法和解密方法;密码学的传统模型：;机密性（confidentiality）：仅有发送方和指定的接收方能够理解传输的报文内容。窃听者可以截取到加密了的报文，但不能还原出原来的信息，即不能得到报文内容

鉴别（authentication）：发送方和接收方都应该能证实通信过程所涉及的另一方，通信的另一方确实具有他们所声称的身份。即第三者不能冒充跟你通信的对方，能对对方的身份进行鉴别

;报文完整性（messageintegrity）：即使发送方和接收方可以互相鉴别对方，但他们还需要确保其通信的内容在传输过程中未被改变

不可否认性（non-repudiation）：如果人们收到通信对方的报文后，还要证实报文确实来自所宣称的发送方，发送方也不能在发送报文以后否认自己发送过报文

;（1）古典密码编码方法归根结底主要有两种，即置换和代换

（2）采用单钥密码系统的加密方法，同一个密钥可以同时用作信息的加密和解密，称为对称密码

;对称密码：;（3）对称密码算法使用的是同一个秘钥；而非对称密码算法需要两个密钥来进行加密和解密，这两个秘钥是公钥私钥

;非对称密码：;（4）散列密码将任意长度的消息压缩到某一固定长度的消息摘要的函数。HASH函数是不可逆的，无法通过生成的数据摘要恢复出原数据。

;（5）数字签名是一种类似写在纸上的普通的物理签名，但是使用了公钥???密领域的技术实现，用于鉴别数字信息的方法。数字签名是非对称密钥加密技术与数字摘要技术的应用。;（1）唯密文攻击：密码分析者掌握足够多的同一个密钥加密的密文，破译目的是求出密钥或明文

（2）已知明文攻击：密码分析者掌握足够多的同一个密钥加密的明文密文对，破译目的是求出其他密文对应的明文或密钥;（3）选择明文攻击：密码分析者可以任意选择对破译有利的足够多的明文，得到相应的密文。破译目的是求出其他密文对应的明文或密钥

（4）选择密文攻击：密码分析者可任意选择对攻击有利的密文，得到相应的明文。破译目的是求出其他密文对应的明文或密钥。选择密文攻击更多地用于非对称密码的分析;（1）穷举攻击：对截获到的密文尝试遍历所有可能的密钥，直到获得了一种从密文到明文的可理解的转换；或使用不变的密钥对所有可能的明文加密直到得到与截获到的密文一致为止

（2）统计分析攻击：利用明文、密文之间内在的统计规律破译密码的方法;（3）解析攻击：密码分析者针对密码算法所基于的数学问题，利用数学求解的方法破译密码。这种攻击通常用于对非对称密码的攻击之中

（4）代数攻击：把破译问题归结为有限域上的某个低次的多元代数方程组求解问题;2.2网络安全技术;2.3信息系统安全;2.3信息系统安全;2.3信息系统安全;信息系统安全防范十项原则;信息系统安全防范十项原则;信息系统安全防范十项原则;本章主要讲述了密码学概述、古典密码、对称密码、非对称密码等密码学内容，介绍了网络安全协议、网络攻击技术、入侵检测技术、VPN技术等网络安全技术。最后，从多角度分析信息系统安全的威胁，提出信息系统安全防范原则。;第3章;本章学习要点：;3.1IT组织与策略的审计;3.2实体级控件的风险与管理的审计;3.2实体级控件的风险与管理的审计;3.2实体级控件的风险与管理的审计;3.2实体级控件的风险与管理的审计;3.2实体级控件的风险与管理的审计;3.2实体级控件的风险与管理的审计;3.2实体级控件的风险与管理的审计;3.3实体级控件相关的审计;3.4本章小结

高质量的IT实体级控制构成了公司内部IT控制环境的基础。本章在分析哪些是实体级控制的基础上，指出了实体访问控制审计的必要性，着重论述实体访问控制的审计流程，在此过程中掌握实体访问审计的相关概念。;第4章;本章学习要点：;4.1数据中心的核心作用

当今的数据中心提供物理访问控制基础设施、环境控制、电源和网络连接、灭火系