資訊安全導論140.125.45.29/courses/files/information security... ·...

資訊安全導論 1-1

資訊安全導論

委辦單位：教育部顧問室資通安全聯盟執行單位：東海大學資訊工程學系


Module 1：資訊安全概論


Module 1：資訊安全概論

• Module 1-1：導論 • Module 1-2：資訊安全基本需求 • Module 1-3：資訊安全的範疇 • Module 1-4：資訊安全的威脅 • Module 1-5：資訊安全架構 • 參考資料


學習目的

• 本模組主要講述有關資訊安全導論中，最根本之資通安全領域的基礎知識，我們會於文中論及資訊領域的環境與演化，並且提及幾項主要主軸議題，這些議題包含有：資訊安全的基本需求、範疇、威脅以及資訊安全概念上的主體架構。文中均會針對各項議題提供簡單清晰的基礎概念，提供予初學者的入門知識。


Module 1-1：導論


Module 1-1：導論

• 資訊世界：新大陸的誕生


資訊世界：新大陸的誕生

• 美國社會思想家艾文‧托佛勒(Alvin Toffler)於一九八○年出版未來學三部曲之二：《第三波》。他於書中預言未來世界，勾勒出未來人類的文明、政治、經濟、社會、工業等不同面貌。

• 第三波革命指的是：人類生產力經過三個重要階段的解放，分別是農業革命、工業革命與資訊革命。



• 電腦的發明是資訊革命中的一項重要代表，它於一九五○年左右問世，讓人類得以在「資訊儲存」、「資訊傳遞」、「資訊處理」各方面有了劃時代的進步。

• 二十世紀早期電腦的角色單純僅是用於科學計算、軍事用途、或大型企業資料處理。

• 隨科技進步，人性化、便利化的技術與設備相繼面世，使得資訊科技普遍進入人類生活各層面，正式開啟資訊生活的序幕。


• 早期機械式計算機僅為單純輔助計算用之機械式器具，功能單調：

– 中國，算盤 – 法國，巴斯卡，加減法機械計算機 – 德國，萊布尼茲，加減乘除法機械計算機 – 英國，查理士‧巴貝奇(Charles Babbage)，差分機 – 英國，塗林(A. Turing)，塗林機

• 塗林為現代計算機之父，奠定其理論基礎。




• 近代電子式計算機進入電子時代，強化、加速計算功能與規模：

– 美國，艾肯(H. Aiken)，IBM 數字式計算機「馬克一號」

• 第一部使用電機元件繼電器的計算機。 – 美國，美軍彈道研究實驗室與賓州大學摩爾學院，

ENIAC(Electronic Numerical Integrator and Computer) • 第一部真空管電子計算機，用於彈道計算問題。


資訊世界：新大陸的誕生(續前頁)

• 電子時代 – 第一代電腦：真空管電腦，ENIAC – 第二代電腦：電晶體

• 美國，貝爾實驗室發表嶄新電子元件─電晶體，電晶體比真空管更小、更快、更省電。

– 第三代電腦：積體電路(IC) • 將許多元件結合於同一晶片中，縮小電腦空間。

– 第四代電腦：大型積體電路(LSI) • 一九七一年，英代爾公司發表世界第一顆微處理器及記憶體晶片的晶片組，開展微電腦領域。



• 電子計算機經典架構以程式化模型，讓人類可與電腦溝通，指派工作：

– 一九四六年，馮紐曼(John Louis von Neumann)提出了著名電腦模型架構，藉由程式化計算模型，使電腦可以執行任何運算。

1. 以二進制數字作為運算 2. 依序執行指令 3. 具內儲概念，即程式與資料可儲存於電腦單元中 4. 定義中央控制、中央算術、記憶體、輸出/入五大單元

– 軟體工業開始蓬勃發展(人機溝通由機械語言向上發展)



第一代：機械語言(Machine Language)

第二代：組合語言(Assembly Language)

第三代：高階語言(High Level Language)

第四代：問題導向語言(Problem Oriented Language)

第五代：自然語言(Nature Language)

程式語言之演化進程



• 資訊網絡的建構資訊可透過許多媒介、方式傳遞、儲存與交流：

– 以聲音、文字、影像、圖畫等形式 – 透過無線電波、衛星、光纖電纜等媒介 – 設備如個人電腦、企業主機、PDA等工具



• 其中最具規模的就是網際網路(Internet) – 最早是由美國國防部 DARPA 開始衍生 – 一九八三年三月建成 ARPANET DARPA：Defense Advanced Research Project Agency ARPANET：Advanced Research Project Agency Network

• 網際網路特性： 1. 提供不同網路連線的解決方案、協定 2. 連上網路可立即與網大社群(Community)連通 3. 點對點連線，即使身處不同網路 4. 一致性服務(通聯、搜尋、計算、存取等等)



• 全球資訊網(World Wide Web) – 英國，牛津大學物理學家伯納斯李(Tim Berners-

Lee) – 一九八九於歐洲粒子物理研究中心工作期間，為了使散居各地的人們可以共同研究大型問題，提出了

• 超文本標記語言(HTTP) • 超文本傳輸協定(HTML) • 超文本定址索引(通用資源位置，URL)

– 一九九一年夏天，他發佈此三項技術，創造出全球共用的資訊空間，稱為「全球資訊網」(WWW)



人類

資料

軟體硬體

網路

資訊網絡的組成



資訊世界帶給我們新視野雖有新契機但也有新威脅你已經準備充分來面對？

資訊安全導論

相關影片

• 人類未來的世界

1-20

http://www.youtube.com/watch?v=ugz_bvmZGTQ


Module 1-2：資訊安全基本需求


Module 1-2：資訊安全基本需求

‧資訊安全真實案例

‧基本需求簡介

‧研討基本需求之特性


層出不窮的資訊安全事件 • 1988年，美國康乃爾大學學生施放Network Warm，造成

Internet上近6000部電腦系統當機。 • 1994年，俄國電腦專家利用網路進入美國花旗銀行自動轉

帳電腦系統，竊取40多筆總額一千多萬美元的客戶存款，轉存到國外帳戶中。

• 1996年，港商愛普生(EPSON)公司電腦上的積體電路佈局資料，遭離職員工經由網路入侵篡改，而生產出錯誤晶片。

• 1999年，電腦駭客控制一枚英國軍事通信衛星，更改衛星路線，並發出勒索金錢的威脅。

• 1999年八月，國內監察院、營建署、勞委會、工研院…等多個政府網站遭駭客入侵。


層出不窮的資訊安全事件 • 2000年八月， Yahoo網站當機，攻擊發起後48小時內，包

括Buy.com、eBay.com、Amazon.com、CNN.com、Zdnet.com、E*Trade.com等網站受影響無法提供正常服務。

• 2000年十月，微軟被入侵，“Qaz Trojan”入侵，FBI介入調查。

• 2001年三月，亞馬遜網路書店旗下Bibliofind網站遭入侵，大約9.8萬筆顧客信用卡資料遭竊，網站關閉

• 2001年四月，中美駭客大戰，已知者與無知者知識競賽。 • 2001年九月， Nimda肆虐，全球220萬台電腦癱瘓，全球

損失約花費美金5億元復原。


層出不窮的資訊安全事件 • 2003年， SQL Slammer該病毒利用 SQL SERVER 2000 的解析端口

1434的緩衝區溢出漏洞對其服務進行攻擊。2003年1月25日爆發，全球共有50萬台伺服器被攻擊，但造成但經濟損失較小。

• 2003年8月， W32/Blaster蠕蟲採取分散式阻斷服務 (DDoS)攻擊感染。影響程度︰日本、美國、加拿大、南韓、中國大陸及台灣等釀成嚴重災情、變種快速出現 W32/Blaster.A; W32/Blaster.B; W32/Blaster.C; W32/Blaster.D等…餘孽仍未完全消除，變種以及曾被列為十大電子郵件蠕蟲之一的Sobig變種又跟著肆虐作怪。

• 2003年， Sobig.f利用互聯網進行傳播的病毒，會以以附件的方式通過電子郵件發給被感染電腦中找到的所有郵件地址。2003年8月19日爆發，給全球帶來50億-100億美元損失。

• 2003年1月， SQL Slammer 監獄蠕蟲針對MS02-039漏洞，利用Port 1434/UDP進行攻擊。10分鐘內感染67,000台伺服器，5小時內傳播道全球，超過12萬台伺服器受害。受害者︰美國銀行，華盛頓共同基金、大陸航空、微軟及西雅圖911警報系統。


層出不窮的資訊安全事件 • 2004年， Bagle病毒通過電子郵件進行傳播，運行後，在系統目錄下

生成自身的拷貝，修改註冊表鍵值。病毒同時具有後門能力。2004年1月18日爆發，給全球帶來數千萬美元損失。

• 2004年， MyDoom 是通過電子郵件附件和 P2P 網路傳播的病毒，病毒就以用戶信箱內的電子郵件地址為目標，偽造郵件的源地址，向外發送大量帶有病毒附件的電子郵件。2004年1月26日爆發，在高峰時期，導致網路載入時間慢50%以上。

• 2004年， Sasser病毒是一個利用微軟作業系統的緩衝區漏洞進行傳播。在傳播過程中會發起大量的掃描，因此對個人用戶使用和網路運行都會造成很大的衝擊。2004年4月30日爆發，給全球帶來數千萬美元損失。

• 2005年8月， Zotob 幽靈蠕蟲利用MS05-039漏洞擴散。感染Zotob的電腦，會連至固定的IRC伺服器。

• 2006年8月， Zotob變種， Mocbot(IRC Bot) 魔波蠕蟲改利用MS06-040漏洞。透過TCP/139, TCP/445擴散本身至其他電腦。

資訊安全導論

層出不窮的資訊安全事件 • 2008年10月，第二屆OWASP官方亞洲年會「OWASP AppSec Asia

2008」，會議議程包括最新Web攻擊手法「點擊綁架(Clickjacking)」，點擊綁架手法為1個惡意網站掛載的javascript，可以誘導使用者按下1個隱藏的連結，JavaScript惡意程式在使用者連到駭客掌控之網頁後，便可竊取使用者歷史資料，進行入侵企業網路、網路釣魚，以及植入蠕蟲等。

• 2009年，變種蠕蟲Conflicker worm主要攻擊Windows Server Service，英國國防部網路首次遭受嚴重電腦病毒入侵事件，約有35萬台電腦於一天內遭到Conlicker攻擊，1星期內受害數量再持續增加約1萬台。 • 2010年，殭屍網路Kneber是透過木馬程式Zeus來控制受感染電腦，

Zeus會回傳受感染電腦的金融機構與社交網路等特定網站的資料，進而竊取受感染電腦使用者帳戶的存取權限，估計光美國就有360萬台電腦遭此木馬程式感染。

1-27

資訊安全導論

層出不窮的資訊安全事件 • 2010年，一名為HDD Plus的惡意程式透過DoubleClick及msn.com的

廣告平台入侵使用者電腦，HDD Plus是一個偽裝成PC效能及穩定度分析工具的惡意程式，當使用者安裝該程式後，視窗就會提醒使用者的硬碟發生問題，並要求付費購買HDD Plus來解決該問題，根據網站安全調，查惡意廣告每天約有130萬次的曝光量。

• 2011年，TDSS該惡意軟體才被發現三個月，卻以驚人的速度進駐約450萬部電腦。其軟體使用多種方式閃避簽署、主動偵測、被動偵測，殭屍網路間的聯繫也採加密式通訊，TDSS含有強大的Rootkit模組，比其他惡意軟體更難以被發現。

1-28

資訊安全導論

層出不窮的資訊安全事件 • 2012年，透過假網站會提供Flash軟體升級的安裝程序，其中含有一個

BOT和一個能夠讓駭客控制受害電腦的軟體，假使使用者拒絕安裝的話，此網頁會透過Blackhole套件來檢測使用者電腦的漏洞並將其注入進電腦進行安裝。一旦成功植入，BOT便會將其隱藏起來並開始下載木馬程式進行安裝，此類木馬程式會干擾受害者網路的交易並將其轉到犯罪份子的偽造帳戶中。透過惡意的Windows電腦軟體竊取超過800,000英鎊。

• 2012年，全球已經超過60萬部麥金塔電腦感染Flashback木馬，利用Java漏洞在系統中安裝一個惡意程式。一旦遭感染，會與控制伺服器連線，並上傳該部Mac的獨有辨識碼，開始更新資料及指令。

1-29


資訊安全基本需求簡介

‧機密性：保障資訊不外洩。

‧完整性：確保資訊的完整性，未被篡改。

‧可用性：使合法使用者得以正常使用資源。

‧不可否認性：確保使用者不可抵賴已做的事，例如網路下單買賣股票。

‧鑑別性：確認與你通訊的對方身份。

‧存取控制：控制使用權限的範圍，避免未授權者使用資源。


機密性(Confidentiality)

• 確保資訊的機密，防止機密資訊洩漏給未經授權的使用者。

• 確保資料傳輸的隱私，可透過資料加密的程序以達到此目標。

• 資料一旦經過轉傳的動作，就存在著訊息內容被外人得知的風險。例：決策文件或國家機密。

I Love You

網際網路

I Love You 加密

2a4gybf768 849d5xf948

解密

2a4gybf768 849d5xf948


完整性(Integrity)

• 資料內容僅能被合法授權者所更改，不能被未經授權者所篡改或偽造。

• 為了確保資料能正確無誤的傳送到接收者 – 雜湊函數

‧資料透過雜湊函數產生一訊息傳給接收者，讓接收者能用相同的雜湊函數來驗證接收到資料的正確性

– 將訊息加密 ‧為避免擁有相同雜湊函數的第三者竄改資料，可先將訊息加密後傳給接收者，讓第三者無法更動訊息


可用性(Availability)

• 確保資訊與系統持續運轉無誤，以防止惡意行為導致資訊系統毀壞。

• 當合法使用者要求使用資訊系統時，例如：收/送電子郵件、遠端存取資訊等，使用者均可在適當的時間內獲得回應，並完成服務需求。


不可否認性(Non-repudiation)

• 對於傳送方或接收方，都不能否認前進行資料傳輸或接收。

• 可以利用數位簽章及公開金鑰基礎架構(Public Key Infrastructure, PKI)對使用者身份及訊息來源做身份驗證及資料來源驗證。


鑑別性(Authentication)

• 包括身份驗證及資料來源驗證。 • 要能確認資料訊息之傳輸來源，以避免有惡意的傳送者假冒原始傳送者傳送不安全的訊息內容。(解決方式：數位簽章或資料加密)

• 系統必須透過快速且正確的驗證身份方式執行驗講動作，以預防暴力攻擊者的惡意侵犯。


存取控制(Access Control)

• 根據系統的授權策略，對使用者作授權驗證，以確認是否為合法授權者，防止未授權者來存取電腦系統及網路資源。

資訊安全導論

相關影片

• 網路資訊安全：潛伏的危機

1-37

http://www.youtube.com/watch?v=VoZAiyQHvug


Module 1-3：資訊安全的範疇


Module 1-3：資訊安全的範疇

• 資訊安全涵蓋範圍 • 涵蓋範圍簡介


資訊安全涵蓋範圍

• 國際資訊系統安全認證聯盟(International Infor-mation Systems Security Certification Consortium (ISC)2) 所核定的國際資訊安全管理師認證(Certified Information Systems Security Professional，CISSP)中，將資訊安全範圍界定於十項領域。

按上圖可連結至國際資訊系統安全認證聯盟網址

https://www.isc2.org/cgi-bin/index.cgi


資訊安全涵蓋範圍

• 簡介 CISSP 所涵蓋的十大領域，表列如下 – 存取控制安全(Access Control)

– 程序應用安全(Application Security)

– 企業永續計畫(Business Continuity and Disaster Recovery Planning)

– 密碼學(Cryptography)

– 安全與風險管理(Information Security and Risk Management)

– 資訊法規(Legal, Regulations, Compliance and Investigations)

– 操作安全(Operations Security)

– 實體環境安全(Physical (Environmental) Security)

– 安全架構與設計(Security Architecture and Design)

– 通訊與網路安全(Telecommunications and Network Security)

https://www.isc2.org/cgi-bin/content.cgi?category=97


• 存取控制安全(Access Control)

允許或拒絕某些資源的取用，並查驗索求者來源。 – 基本存取控制概念識別(Identification) 認證(Authentication) 授權(Authorization) 檢證(Accountability)

涵蓋範圍簡介


涵蓋範圍簡介

• 程序應用安全(Application Security)

包含了防止錯誤的程序安全策略，或是於設計、開發與部署階段的缺陷管控。 – 基本程序應用安全策略安全測試(Security Testing) 安全標準(Security Standards) 安全規範(Security Regulations)


涵蓋範圍簡介

• 企業永續計畫(Business Continuity and Disaster Recovery Planning)

有關企業體中資訊與系統相關部份，如何維繫整體，使其正常運作並提供服務，亦為資安考量所在。 – 企業永續計畫生命週期部署維護(Maintenance) 優缺分析(Analysis) 解決方案(Solution Design) 方案實作(Implementation) 檢測驗證(Testing and Acceptance)


涵蓋範圍簡介

• 密碼學(Cryptography)

自古便是一門訊息隱藏的學門，今日則為資訊理論(Information Theory)的一個分支。 – 現代密碼學對稱式密碼方法(Symmetric-key Cryptography) 非對稱式密碼方法(Public-key Cryptography) 密碼解譯(Cryptanalysis) 密碼學基礎(Cryptography Primitives) 密碼學協定(Cryptography Protocols)


涵蓋範圍簡介

• 安全與風險管理(Information Security and Risk Management)

風險管理是一道鑑定資訊資源弱點與威脅的程序，並施行對策，根據資訊資源的價值，來降低風險程度。 – 管理程序包含：鑑別資源價值，包含人、物、場所、軟硬體、資料進行威脅評量，天災、人禍、內外部惡意者進行弱點評量，以標準、訓練、策略等來進行評估風險損害管控，將損害程度以量化方式進行評估採行適當措施評量措施成效


涵蓋範圍簡介

• 資訊法規(Legal, Regulations, Compliance and Investigations)

對於處理、使用、存取資訊資源的人群，設立規範、作業標準、法律規範等，用以限制或保護個人與團體的利益。這些規範可以是公司或個人內部，或是具有公權力的司法機關所制定的。


涵蓋範圍簡介

• 操作安全(Operations Security)

關乎任何與資料、系統、訊息的處理、儲存、維護、傳遞與備援等動作的安全考量，設定限制以保護資源的完整性。


涵蓋範圍簡介

• 實體環境安全(Physical (Environmental) Security)

從實際環境中針對持有之資料、系統、作業環境等資源、設備或設施進行保護措施。 – 安全工程(Security Engineering)定義之實體安全要素施放障礙，以防止或延遲入侵或降低損害程度威脅警告，設置警鈴或警衛等措施以通報威脅威脅回應，對入侵行為進行驅逐、拖延或鎖定安全工程(Security Engineering)是一門處理實體世界系統的安全性與

完整性的工程領域。


涵蓋範圍簡介

• 安全架構與設計(Security Architecture and Design)

將安全性以層級方式分類，並對不同層級進行安全策略的部屬、安全技術的研發、安全規範的制定、安全領域的劃分。


涵蓋範圍簡介

• 通訊與網路安全(Telecommunication and Network Security)

資訊交流的方法、媒介、過程均需受到妥善規劃與保護，資訊時代中通訊與網路的安全性備受矚目。 – 通訊與網路安牽涉到：有線網路安全無線網路安全攻擊威脅的類型網路犯罪的種類

資訊安全導論

相關影片

• 資安簡介

1-52

http://www.youtube.com/watch?v=U-AEkTr8Vaw


Module 1-4：資訊安全威脅


Module 1-4：資訊安全威脅

• 資訊安全的種類 – 硬體安全、軟體安全、網路安全…等。

• 資訊安全的威脅有多大 • 潛在的威脅 • 結論


資訊安全的種類

• 硬體安全：遭遇天災人禍，如：硬體毀損、遭竊、遭破壞、停電、水災、風災、地震、炸彈等。

• 軟體安全：病毒感染、軟體缺陷等。 • 網路及通訊安全：內部網路故障、對外線路故障、資料在傳輸時外洩。


資訊安全的種類

• 服務安全：網站遭阻絕服攻擊。 • 資料安全：書面資料遺留在桌面上、回收箱、影印機上、板書未清掃、於公共場所交談、電話交談太大聲、資料在機器中被竊取或傳輸時被攔截。

• 個人安全：人身安全受威脅、個人隱私權侵犯等。


資訊安全的威脅有多大？

• 2002年電腦犯罪及安全調查

– 90%電腦受過各種安全破壞 – 40%偵測到系統外部入侵(2000年為25%) – 85%電腦偵測到病毒

• 環境惡劣，如何自保？

來源：Computer Secrity Institute (CSI), Computer Crime and Security Survey 2002


潛在的威脅

• 威脅資訊安全分類： – 天然或人為 – 蓄意或無意 – 主動或被動 – 實體或邏輯

• 對各項資料安全而言，人員操作疏失及故意誤用是最大的威脅。


潛在的威脅

資訊安全的威脅惡意非人為、無意

硬體破壞竊盜、搗毀自然災害、儲存媒體損毀

資料破壞資料竄改、資料增刪、系統性更動資料

程式師無能、不小心、遺漏

資料外洩資料複製、網路截取、詐騙不小心

網路入侵竊取資料、破壞、將受侵電腦作為犯罪工具 ──


天然或人為

• 人為因素，導致系統的安全受到威脅及攻擊。 – 例：管理人員的疏失或是系統人員的蓄意破壞。

• 天然災害，導致資訊本身或存取管道遭到破壞。 – 例：颱風、地震、水災及火災。

• 民國九十年初，汐止東方科學園區大火。 • 民國九十年九月，納莉颱風炎來豪雨侵襲，造成許多地下機房的主機設備毀損。


蓄意或無意

• 蓄意—駭客企圖破解資訊系統之安全。 – 例：重要資料外洩、直接、間接金錢的損失。

• 無意—系統管理不良或系統管理員的疏忽，導致系統出現安全上的漏洞。 – 例：架設電子商務網站時，把網頁檔案權美開放為唯讀，如果系統管理員不小心把目錄或檔案的權限開放成所有人都可以讀寫，那麼此網站很容易被入侵。


主動或被動

• 主動攻擊：利用大量封包傳送，癱瘓受害者的電腦、伺服器；或是篡改傳送中的封包資料；或是傳送假的訊息給另一具有利益關係的受害者，造成其財務上或精神上的損失。

• 被動攻擊：在傳輸的過程中，竊取資訊或是在他人的電腦中值入木馬程式，直接取得電腦中的資源及機密文件，不讓傳輸者發覺他的存在。


特洛伊木馬行為分析

駭客工具通常會偽裝成一些有趣的小程式，然後由駭客送出或使用者自行從Internet下載

駭客

駭客工具是一種具有特殊目的惡性程式，它可以設計來做遠端遙控或挖掘某些系統的後門等等。

這些經過偽裝的程式可以取得使用者電腦系統中的重要資料

，並偷偷的回傳給駭客

它也可以暗地打開某些通訊埠(port)，作為駭客自由進出你的電腦系統的後門，進而隨意存取你系統裡面各種重要的檔案

網際網路


實體或邏輯

• 實體的安全威脅，為實際存在的硬體設備。電腦硬體經過長期運算、使用，會造成硬體物理性的彈性疲乏及損壞。

• 邏輯的安全威脅，為資訊系統上的資料。


結論

• 安全非常重要，但並非絕對 – 必須瞭解風險和替代方案

• 安全不一定「最」重要 – 必須瞭解安全計畫的目的

• 技術面只是「必要條件」 – 所有技術方案都可能有管理面的破解方法

• 配套的「制度」或「個人習慣」

資訊安全導論

相關影片

• 資訊安全-處處留心

1-66

http://www.youtube.com/watch?v=iDe1zidQmrg




Module 1-5：資訊安全架構


Module 1-5：資訊安全架構

• 資訊系統之安全層級架構 • 以角色觀點看安全層級 • 以技術觀點看安全層級


資訊系統之安全層級架構

• 前面已經講述過資訊安全之基本需求與範疇，在此將針對安全架構方面講述相關層級分類，並且解說各層級內對應之角色內容與資訊技術。

• 在此，安全架構將區分為六大層級： – 外圍層(Environment Layer) – 外部層(External Layer) – 中心層(Central Layer) – 內部層(Internal Layer) – 分析層(Analysis Layer) – 法律層(Law Layer)


外圍層


資訊系統安全架構

外部層

中心層

內部層

分析層

法律層

跳至大綱二以角色觀點看安全層級

將滑鼠移入各文字區塊可瀏覽說明

本概念圖取自“資訊與網路安全概論─建構安全的電子商務系統”




外圍環境

相關電腦與系統周邊外圍環境之因素均可納入安全考量

外圍層

外部層

中心層

內部層

分析層

法律層

回到開頭資訊系統之安全層級架構





維護者

系統資源2系統資源1

系統資源3

…

客戶端


系統資源3

…

資源與介面管理者


系統資源3

…

使用者介面

外部層牽涉到使用者與系統之間溝通介面之層次與授權

外圍層

外部層

中心層

內部層

分析層

法律層






HAHAHAHA

HAHA

$

I like to play Counter Strike.My best used weapon is awp.

核心處理程序核心處理程序C:\>HAHA.EXEPRINT(HAHA TO AV8D);HELLO, WORLD.MY ADVISER IS C.H.Lin.PROGRAM IS OVER.

內外部溝通

中心層是內、外部層溝通的橋樑，代表著系統安全核心

外圍層

外部層

中心層

內部層

分析層

法律層






1 資料庫伺服器

5 使用者

1 內容管理伺服器

圖例

符號計數描述

圖例子標題

資料儲放管理

內部層牽涉到系統實際處理、存取與管理資料的方式

外圍層

外部層

中心層

內部層

分析層

法律層






查核與分析

分析層主要範圍在於系統管理與安全分析等措施

外圍層

外部層

中心層

內部層

分析層

法律層






外圍環境

LAW

法律與規範

法律層著眼於任何與資訊安全相關之法律與規範外圍層

外部層

中心層

內部層

分析層

法律層




點一下文字方框即可見浮動說明

以角色觀點看安全層級

跳至大綱三以技術觀點看安全層級

回到大綱一資訊系統之安全層級架構


外圍層

外部層

中心層

內部層

分析層

法律層

環境觀點

使用者觀點

系統觀點

資料觀點管理者觀點法律觀點



分析層

法律層

管理者觀點法律觀點

環境觀點

從環境觀點來看，資訊安全仰靠實體的廠房、機件、人員與操作流程等控管措施。

以角色觀點看安全層級回到大綱一



外圍層

外部層

中心層

內部層

環境觀點

使用者觀點

系統觀點

資料觀點




分析層

法律層


維護者


系統資源3

…

客戶端


系統資源3

…

資源與介面管理者


系統資源3

…

使用者觀點

用戶身份識別、操作等級授權與驗證機制等，限制非合宜存取資源等有害之行為。




外圍層

外部層

中心層

內部層

環境觀點

使用者觀點

系統觀點

資料觀點




分析層

法律層


HAHAHAHA

HAHA

$

I like to play Counter Strike.My best used weapon is awp.

核心處理程序核心處理程序C:\>HAHA.EXEPRINT(HAHA TO AV8D);HELLO, WORLD.MY ADVISER IS C.H.Lin.PROGRAM IS OVER.

內外部溝通

系統核心處理使用者與系統內資料存取控制事宜，並從中擔負起安全控管之職責。

系統觀點




外圍層

外部層

中心層

內部層

環境觀點

使用者觀點

系統觀點

資料觀點




分析層

法律層


1 資料庫伺服器

5 使用者

1 內容管理伺服器

圖例

符號計數描述

圖例子標題

資料儲放管理資料觀點

本觀點重點在定義好資料格式與等級、正確存取資料、保護資料機密性與完整性。




外圍層

外部層

中心層

內部層

環境觀點

使用者觀點

系統觀點

資料觀點




外圍層

外部層

中心層

內部層

環境觀點

使用者觀點

系統觀點

資料觀點

外圍層

外部層

中心層

內部層

環境觀點

使用者觀點

系統觀點

資料觀點

管理者觀點

從管理者角度來看，經由紀核與分析等行為，建立起補救型安全防護。




分析層

法律層

法律觀點管理者觀點




分析層

管理者觀點

外圍層

外部層

中心層

內部層

環境觀點

使用者觀點

系統觀點

資料觀點

LAW

法律觀




法律層

法律觀點



以技術觀點看安全層級


外圍層

外部層

中心層

內部層

分析層

法律層

環境觀點

使用者觀點

系統觀點

資料觀點管理者觀點法律觀點

回到大綱一資訊系統之安全層級架構

回到大綱二以角色觀點看安全層級

實體安全

通行密碼生物辨識

任意性控制強制性控制

加解密技術數位簽章

安全稽核

推論控制

法律判決

資訊安全導論

相關影片

• 所有資料，不容有失室外資訊安全格外留神

1-85

http://www.youtube.com/watch?v=qDrDhAvg8zM&list=PL5sLY0NVPoS-SUNk3tpJOdyuGD8wbbNnJ&index=3

http://www.youtube.com/watch?v=WLvb5E5DEpo&list=PL5sLY0NVPoS-SUNk3tpJOdyuGD8wbbNnJ&index=4


參考資料 [1] 黃明祥、林詠章，“資訊與網路安全概論(Introduction to Information and Network Security) –「建構安全的電子商務系統」”，McGraw-Hill 出版社，民國 94 年 9 月20 日。 [2] Paul E. Proctor, F. Christian Byrnes，黃彥達譯，“資訊安全最

佳實務(The Secured Enterprise: Protect Your Information Assets)”，藍鯨出版，城邦文化發行，民國 93 年 1 月。 [3] 陳彥學， “資訊安全 – 理論與實務”，文魁資訊出版，民國

92 年 2 月。 [4] 自由電子新聞網，http://www.libertytimes.com.tw [5] 微軟入侵事件介紹， http://www.hacker.org.tw/mirrorz/Hackland/ms-hacked.htm [6] 國際資訊系統安全認證聯盟， https://www.isc2.org/cgi-bin/index.cgi

http://www.libertytimes.com.tw/









http://www.hacker.org.tw/mirrorz/Hackland/ms-hacked.htm

https://www.isc2.org/cgi-bin/index.cgi


參考資料 [7] 你的資料安全嗎？基本的資訊安全觀念，范錚強

[8] 保密防諜，人人有責--網路使用安全與防護，Trend Micro Technical Consultant [9] 國家電腦事件處理中心，http://www.twncert.org.tw/index.aspx [10] 台灣電腦網路危機處理暨協調中心，

http://www.cert.org.tw/prog/index.php

http://www.twncert.org.tw/index.aspx

http://www.twncert.org.tw/index.aspx



資訊安全導論140.125.45.29/courses/files/information security... ·...

Documents