1-网络信息安全概述

2020 第二版

1.1 网络发展现状与重要性认识

数字化、网络化、智能化成为信息社会的主要特征，万物互联时代已经来临。基于 TCP/IP协议的互联技术理念已广泛、深入地应用到工业生产、商业服务、社会生活等各个领域，形成各种各样的网络，如工业互联网、车联网、社交网、产业互联网等，这些网络不断推动各个领域的变革。计算机网络演变成人类活动的新空间，即网络空间，它是国家继陆、海、空、天四个疆域之后的第五疆域。与此同时，网络空间信息安全(通称为网络信息安全)问题也日益凸显，网络信息安全的影响越来越大。

本节主要讲述网络空间的相关概念，简要给出了网络信息安全的演变过程，同时阐述了国内外对于网络信息安全重要性的认识和采取的战略措施。

1）相关概念

狭义：特指网络信息系统的各组成要素符合安全属性的要求，即机密性、完整性、可用性、抗抵赖性、可控性。

广义：是涉及国家安全、城市安全、经济安全、社会安全、生产安全、人身安全等在内的 “大安全”

网络安全《中华人民共和国网络安全法》：网络安全是指通过采取必要措施，防范对网络的攻击、侵入、干扰、破坏和非法使用以及意外事故，使网络处于稳定可靠运行的状态，以及保障网络数据的完整性、保密性、可用性的能力。

网络信息安全简称网络安全

《中华人民共和国网络安全法》

https://wsb.guizhou.gov.cn/ztzl/qwpf/202404/t20240415_84211107.html

围绕网络安全问题，保障网络信息安全的对象内容、理念方法、持续时间都在不断演变，其新的变化表现为三个方面：

一是保障内容从单维度向多维度转变，保障的维度包含网络空间域、物理空间域、社会空间域

二是网络信息安全保障措施从单一性(技术)向综合性(法律、政策、技术、管理、产业、教育)演变

三是保障时间维度要求涵盖网络系统的整个生命周期，保障响应速度要求不断缩短，网络信息安全没有战时、平时之分，而是时时刻刻。

2）重要性认识

网络空间信息安全与传统安全有着明显差异，其具有网络安全威胁高隐蔽性、网络安全技术高密集性、网络安全控制地理区域不可限制性、网络安全防护时间不可区分性、网络攻防严重非对称性等特点。

1.2 网络信息安全现状与问题

1）现状

目前，网络面临着不同动机的威胁，要承受不同类型的攻击。

网络信息泄露、恶意代码、垃圾邮件、网络恐怖主义等都会影响网络安全。多协议、多系统、多应用、多用户组成的网络环境，复杂性高，存在难以避免的安全漏洞。

2018年，CNCERT协调处置网络安全事件约10.6万起，其中网页仿冒事件最多，其次是安全漏洞、恶意程序、网页篡改、网站后门、DDoS 攻击等事件。

国内外研究表明，针对关键信息基础设施的高级持续威胁(简称APT)日趋常态化。

2）问题

网络信息安全是网络信息化不可回避的重要工作，主要有十二个方面的问题亟须解决，分别叙述如下：

1. 网络强依赖性及网络安全关联风险凸显
2. 网络信息产品供应链与安全质量风险
   1. 国内网信核心技术欠缺，许多关键产品和服务对国外的依赖度仍然较高，从硬件到软件都不同程度地受制于人，网络安全基础仍然不牢靠。同时，网络信息产品技术的安全质量问题具有普遍性，网络安全漏洞时有出现，即使知名IT厂商的产品也或多或少存在安全漏洞，网络安全漏洞的发现与管理任务仍然艰巨。
3. 网络信息产品技术同质性与技术滥用风险
   1. 网络信息系统软硬件产品技术具有高度同质性，缺少技术多样性，极易构成大规模网络安全事件触发条件，特别是网络蠕虫安全事件。同时，网络信息技术滥用容易导致网络安全事件发生，如大规模隐私数据泄露，内部人员滥用网络信息技术特权构成网络安全威胁。网络安全威胁技术的工具化，让攻击操作易于实现，使网络攻击活动日益频繁和广泛流行。
4. 网络安全建设与管理发展不平衡、不充分风险
   1. 网络安全建设缺乏总体设计，常常采取“亡羊补牢”的方式构建网络安全机制，从而导致网络信息安全隐患。"重技术，轻管理；重硬件，轻软件；重建设，轻运营" 的网络安全认识偏差，使得网络安全机制难以有效运行，导致网络安全建设不全面。
5. 网络数据安全风险
6. 高级持续威胁风险
   1. APT 攻击威胁活动日益频繁，包括对目标对象采用鱼叉邮件攻击（钓鱼右键）、水坑攻击（水坑攻击）、网络流量劫持（流量劫持）、中间人攻击等，综合利用多种技术以实现攻击意图，规避网络安全监测。
   2. APT攻击目标总体呈现出与地缘政治紧密相关的特性，受攻击的领域主要包括国防、政府、金融、外交和能源等。此外，医疗、传媒、电信等国家服务性行业领域也正面临越来越多的 APT 攻击风险。
7. 恶意代码风险
8. 软件代码和安全漏洞风险
9. 人员的网络安全意识风险
10. 网络信息技术复杂性和运营安全风险
    1. 随着云计算、大数据、人工智能、移动互联网、物联网等新一代信息技术的普及应用，网络信息系统的开放性、智能性等不断提升，网络安全运营的复杂性更高，其安全风险加大。云计算使得网络安全边界模糊化，网络安全防护难度增加，云平台的安全运维水平要求更高。业务连续性高的要求使得网络信息系统的安全补丁维护管理成本提升。物联网的开放性扩大了网络信息系统的安全威胁途径
11. 网络地下黑产经济风险
    1. 随着 "勒索软件即服务" 的黑产兴起，活跃勒索软件的数量呈现快速增长势头，且更新频率加快。
12. 网络间谍与网络战风险

1.3 网络信息安全基本属性

1）机密性

机密性(Confidentiality)是指网络信息不泄露给非授权的用户、实体或程序，能够防止非授权者获取信息。

2）完整性

完整性(Integrity)是指网络信息或系统未经授权不能进行更改（删除，修改，伪造，插入）的特性。

3）可用性

可用性(Availability)是指合法许可的用户能够及时获取网络信息或服务的特性

4）抗抵赖性

抗抵赖性是指防止网络信息系统相关用户否认其活动行为的特性。

例如，通过网络审计和数字签名，可以记录和追溯访问者在网络系统中的活动。抗抵赖性也称为非否认性(Non-Repudiation)，不可否认的目的是防止参与方对其行为的否认。

该安全特性常用于电子合同、数字签名、电子取证等应用中。

5）可控性

可控性是指网络信息系统责任主体对其具有管理、支配能力的属性，能够根据授权规则对系统进行有效掌握和控制，使得管理者有效地控制系统的行为和信息的使用，符合系统运行目标。

6）其他

即真实性、时效性、合规性、隐私性等

真实性：指网络空间信息与实际物理空间、社会空间的客观事实保持一致性

合规性：指网络信息、服务及系统符合法律法规政策、标准规范等要求

可生存性：指网络信息系统在安全受损的情形下，提供最小化、必要的服务功能，能够支撑业务继续运行的安全特性

1.4 网络信息安全目标与功能

宏观：指网络信息系统满足国家安全需求特性，符合国家法律法规政策要求，如网络主权、网络合规等

微观：指网络信息系统的具体安全要求。围绕网络安全目标，通过设置合适的网络安全机制，以实现网络安全功能

1）基本目标

宏观：以总体国家安全观为指导，贯彻落实创新、协调、绿色、开放、共享的发展理念，增强风险意识和危机意识，统筹国内国际两个大局，统筹发展安全两件大事，积极防御、有效应对，推进网络空间和平、安全、开放、合作、有序，维护国家主权、安全、发展利益，实现建设网络强国的战略目标。

具体：保障网络信息及相关信息系统免受网络安全威胁，相关保护对象满足网络安全基本属性要求，用户网络行为符合国家法律法规要求，网络信息系统能够支撑业务安全持续运营，数据安全得到有效保护。

2）基本功能

防御、监测、应急和恢复等基本功能

监测：检测、发现各种已知或未知的网络安全威胁

应急：针对突发事件，具备及时响应和处置网络攻击的功能

恢复：对已发生的网络灾害事件，具备恢复网络系统运行的功能

1.5 网络信息安全基本技术需求

1）物理环境安全

主要包括环境安全、设备安全、存储介质安全

2）认证

：是实现网络资源访问控制的前提和依据

作用：标识鉴别网络资源访问者的身份的真实性，防止用户假冒身份访问网络资源

3）访问控制

目标：

1. 限制非法用户获取或使用网络资源
2. 2.防止合法用户滥用权限，越权访问网络资源

4）保密

网络物理实体：辐射干扰，防止电磁辐射泄漏机密信息

核心信息和敏感数据：加密

重要信息：安全分区、数据防泄漏技术（DLP）、物理隔离

5）漏洞扫描

6）恶意代码防护

7）内容安全

技术：垃圾邮件过滤、IP地址 / URL过滤、自然语言分析处理等

8）监测与预警

9）应急响应

1.6 网络信息安全管理内容与方法

1）概念

：指对网络资产采取合适的安全措施，以确保网络资产的可用性、完整性、可控制性和抗抵赖性等，不致因网络设备、网络通信协议、网络服务、网络管理受到人为和自然因素的危害，而导致网络中断、信息泄露或破坏

管理对象：包括网络设备、网络通信协议、网络操作系统、网络服务、安全网络管理等在内的所有支持网络系统运行的软、硬件总和

相关技术：有风险分析、密码算法、身份认证、访问控制、安全审计、漏洞扫描、防火墙、入侵检测和应急响应等

涉及内容：物理安全、网络通信安全、操作系统安全、网络服务安全、网络操作安全以及人员安全

目标：通过适当的安全防范措施，保障网络的运行安全和信息安满足网上业务开展的安全要求。

2）方法

：风险管理、等级保护、纵深防御、层次化保护、应急响应和PDCA

3）依据

ISO/IEC27001

欧盟通用数据保护条例（GDPR）

信息技术安全性评估通用准则（CC）

《中华人民共和国网络安全法》

《中华人民共和国密码法》

GB17859

GB/T22080

4）要素

组成：网络管理对象、网络威胁、网络脆弱性、网络风险、网络保护措施

网络安全管理实际上就是风险控制，其基本过程是通过对网络管理对象的威胁和脆弱性进行分析，确定网络管理对象的价值、网络管理对象威胁发生的可能性、网络管理对象的脆弱程度，从而确定网络管理对象的风险等级，然后据此选取合适的安全保护措施，降低网络管理对象的风险。

1.管理对象

2.威胁

根据威胁主体的自然属性，可分为自然威胁和人为威胁。自然威胁有地震、雷击、洪水、火灾、静电、鼠害和电力故障等。

从威胁对象来分类，可分为物理安全威胁、网络通信威胁、网络服务威胁、网络管理威胁。

3.脆弱性

：指计算系统中与安全策略相冲突的状态或错误，它将导致攻击者非授权访问、假冒用户执行操作及拒绝服务

4.风险

：指特点的威胁利用网络管理对象所存在的脆弱性，导致网络管理对象的价值受到损害或丢失的可能性

简而言之：网络风险就是网络威胁发生的概率和所造成影响的乘积

方法：

• 避免风险。例如，物理隔离分开内网和外网
• 转移风险。例如，购买商业保险计划或安全外包
• 减少威胁。例如，安装防毒软件包
• 消除脆弱点。例如，给操作系统打补丁或强化工作人员的安全意识
• 减少威胁的影响。例如，采取多条通信线路进行备份或制定应急预案
• 风险监测。例如，定期对网络系统中的安全状况进行风险分析，监测潜在威胁

5.措施

：指为对付网络安全威胁，减少脆弱性，限制意外事件的影响，检测意外事件并促进灾难恢复而实施的各种实践、规程和机制的总称。

目的：对网络管理对象进行风险控制。

保护措施可由多个安全机制组成，如访问控制机制、抗病毒软件、加密机制、安全审计机制、应急响应机制(如备用电源以及系统热备份)等。在网络系统中，保护措施一般实现一种或多种安全功能，包括预防、延缓、阻止、检测、限制、修正、恢复、监控以及意识性提示或强化。

5）流程

1. 确定网络信息安全管理对象
2. 评估网络信息安全管理对象的价值
3. 识别网络信息安全管理对象的威胁
4. 识别网络信息安全管理对象的脆弱性
5. 确定网络信息安全管理对象的风险级别
6. 制定网络信息安全防范体系及防范措施
7. 实施和落实网络信息安全防范措施
8. 运行/维护网络信息安全设备、配置
   

6）工具

网络安全管理平台（SOC）、IT资产管理系统、网络安全态势感知系统、网络安全漏洞扫描器、网络安全协议分析器、上网行为管理等

7）评估

：指对网络信息安全管理能力及管理工作是否符合规范进行评价

常见评估：网络安全等级保护测评、信息安全管理体系认证（ISMS）、系统安全工程能力成熟度模型（SSE-CMM）等

1.7 网络信息安全法律与政策文件

1）基本法律与国家战略

《中华人民共和国网络安全法》

《中华人民共和国国家安全法》

《中华人民共和国密码法》

....

2）等级保护

义务：

• 制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任
• 采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施
• 采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月
• 采取数据分类、重要数据备份和加密等措施
• 法律、行政法规规定的其他义务。

主要工作：定级、备案、建设整改、等级测评、运营维护

• 定级：确认定级对象，确定合适级别，通过专家评审和主管部门审核
• 备案：按等级保护管理规定准备备案材料，到当地公安机关备案和审核
• 建设整改工作：指依据相应等级要求对当前保护对象的实际情况进行差距分析，针对不符合项结合行业要求对保护对象进行整改，建设符合等级要求的安全技术和管理体系
• 等级测评：指等级保护测评机构依据相应等级要求，对定级的保护对象进行测评，并出具相应的等级保护测评证书
• 运营维护：指等级保护运营主体按照相应等级要求，对保护对象的安全相关事宜进行监督管理

3）国家密码管理制度

4）网络产品和服务审查

《网络产品和服务安全审查办法》

作用：评估风险，主要包括：

• 产品和服务使用后带来的关键信息基础设施被非法控制、遭受干扰或破坏，以及重要数据被窃取、泄露、毁损的风险
• 产品和服务供应中断对关键信息基础设施业务连续性的危害
• 产品和服务的安全性、开放性、透明性、来源的多样性，供应渠道的可靠性以及因为政治、外交、贸易等因素导致供应中断的风险
• 产品和服务提供者遵守中国法律、行政法规、部门规章情况
• 其他可能危害关键信息基础设施安全和国家安全的因素

中国网络安全审查技术与认证中心（CCRC）已经发布了《网络关键设备和网络安全专用产品目录》，主要包括网络关键设备和网络安全专用产品。

网络关键设备有路由器、交换机、服务器(机架式)、可编程逻辑控制器(PLC设备)等

网络安全专用产品有数据备份一体机、防火墙(硬件)、WEB应用防火墙(WAF)、入侵检测系统(IDS)、入侵防御系统(IPS)、安全隔离与信息交换产品(网闸)、反垃圾邮件产品、网络综合审计系统、网络弱性扫描产品、安全数据库系统、网站恢复产品(硬件)

5）网络安全产品管理

国际测评标准：ISO/IEC 15408

6）互联网域名安全管理

域名服务是网络基础服务。

该服务主要是指从事域名根服务器运行和管理、顶级域名运行和管理、域名注册、域名解析等活动。

《互联网域名管理办法》第四十一条规定，域名根服务器运行机构、域名注册管理机构和域名注册服务机构应当遵守国家相关法律、法规和标准，落实网络与信息安全保障措施，配置必要的网络通信应急设备，建立健全网络与信息安全监测技术手段和应急制度。域名系统出现网络与信息安全事件时，应当在24小时内向电信管理机构报告。

域名是政府网站的基本组成部分和重要身份标识。

《国务院办公厅关于加强政府网站域名管理的通知》(国办函〔2018〕) 55号) 要求加强域名解析安全防护和域名监测处置。要积极采取域名系统(DNS)安全协议技术、抗攻击技术等措施，防止域名被劫持、被冒用，确保域名解析安全。

应委托具有应急灾备、抗攻击等能力的域名解析服务提供商进行域名解析，鼓励对政府网站域名进行集中解析。自行建设运维的政府网站服务器不得放在境外；租用网络虚拟空间的，所租用的空间应当位于服务商的境内节点。使用内容分发网络(CDN)服务的，应当要求服务商将境内用户的域名解析地址指向其境内节点，不得指向境外节点。

7）工业控制信息安全制度

8）个人信息和重要数据保护制度

9）网络安全标准规范与测评

全国信息安全标准化技术委员会 www.tc260.org.cn

10）网络安全事件与应急响应制度

国家计算机网络应急技术处理协调中心（CNCERT）

• 《国家网络安全事件应急预案》
• 《工业控制系统信息安全事件应急管理工作指南》
• 《信息安全技术 网络攻击定义及描述规范》
• 《信息安全技术 网络安全事件应急演练通用指南》
• 《信息安全技术 网络安全威胁信息格式规范》

1.8 网络信息安全科技信息获取

1）会议

S&P、CCS、NDSS、USENIX Security

RSA Conference、DEF CON、Black Hat

中国网络安全年会、互联网安全大会（ISC）

ISC邬贺铨院士：信息安全攻防永无止境

ISC名誉主席邬贺铨讲：新基建 新挑战 新机遇——ISC2020第八届互联网安全大会

2）期刊

IEEE

ACM

《软件学报》...

3）网站

4）术语

1.基础技术类

加密，解密，非对称加密算法（asymmetric cryptographic algorithm），公钥加密算法（public key cryptographic algorithm），公钥

2.风险评估技术类

拒绝服务（denial of service），分布式拒绝服务（distributed denial of service），网页篡改（website distortion），网页仿冒（phishing），网页挂马（website malicious code），域名劫持（DNS Hijack），路由劫持（routing Hijack），垃圾邮件（spam），恶意代码（malicious code），特洛伊木马（Trojan Horse），网络蠕虫（network worm），僵尸网络（bot net）等

网页挂马是指黑客通过各种手段将恶意代码植入到正常的网页中，当用户访问这些被篡改的网页时，恶意代码会在用户的计算机上执行，进而达到攻击者的目的，如窃取用户信息、传播病毒等。

3.防护技术类

访问控制（access control）、防火墙（firewall）、入侵防御系统（intrusion prevention system）等

4.检测技术类

入侵检测（intrusion detection）、漏洞扫描（vulnerability scanning）等

5.响应/恢复技术类

应急响应（emergency response）、灾难恢复（disaster recovery）、备份（backup）

6.测评技术类

黑盒测试、白盒测试、灰盒测试、渗透测试（penetration test）、模糊测试

渗透测试（也称为Penetration Testing或Pen Test）是一种安全评估方法，它模拟对计算机系统、网络或应用程序的网络攻击，以识别潜在的漏洞和弱点，从而评估系统的安全性。