《信息安全测评技术》ppt课件

《《信息安全测评技术》ppt课件》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、信息安全测评技术姓名：衣秀学号：S309060145主要内容信息安全测评的概念及发展信息安全测评技术可信计算机系统评估准则信息安全评估通用准则我国信息安全测评情况信息安全测评概念信息安全测评是指对信息安全模块、产品或信息系统的安全性等进行验证、测试、评价和定级，以规范它们的安全特性。信息安全测评(又称信息安全测试与评估)作为信息系统安全工程过程(ISSE)中的关键环节，在整个信息系统的生命周期中具有十分重要的作用，关系到信息系统安全建设的成败．信息安全测评的对象从传统的通信系统、操作系统、网络系统发展到涵盖技术和管理在内的完整的信息安全保障体系。信息安全测评与具体信息安全特性的分析

2、与测试：前者一般指在方案、规程或表转指导下实施的一系列措施。后者一般指一个具体的分析与测评工作，可构成前者的一个环节。信息安全测评面向获得更具有系统性和权威性的结论，也一般面向实用的产品和系统，对信息产品的研发、系统集成、用户采购等有指导作用。信息安全测评认证体系框架技术标准测试技术颁发/注册证书评估结果测评认证评估准则评估方法评估体制反映了信息安全测评、认证、测试技术、技术标准、评估准则和测评体制等的关系，测评和认证首先都需要参照评估准侧、方法和体制，并且测评结果由认证机构检查认可。我国信息安全测评的发展1.1999，颁布《计算机信息系统安全保护等级划分准则》2.1999.2，正

3、式批准国家信息安全测评认证管理委员会章程及测评认证管理办法3.2001.5，成立“中国信息安全产品测评认证中心”4.2001，根据CC颁布国家标准《信息技术安全技术信息技术安全评估准则》5.2007，成立“中国信息安全认证中心”6.2008，中国信息安全测评中心独立承担完成的“国家信息安全测评认证技术体系建设”项目荣获2008年度国家科学技术进步一等奖。这个项目,在信息安全测评认证理论体系、专用技术体系与标准体系三个方面取得了系统性突破，通过自主创新与综合集成创新，填补了我国信息安全测评认证工作的空白。7.2009，国家质检总局与国家标准委发布信息安全国家标准GB/Z24294-2

4、009基于互联网电子政务信息安全实施指南，确立了基于互联网电子政务信息安全保障总体架构，为基于互联网电子政务所涉及的信息安全技术、信息安全管理、信息安全工程建设等方面安全要求的实施提供指导。信息安全验证与测试技术为了测评信息安全产品或信息系统，需要验证或测试他们的安全性质及安全保障措施的效能。分析验证和形式化分析需要借助一定的分析手段测试技术需要在一定的方案下用测试设备12分析验证与形式化分析验证分析验证基于一定的分析手段或经验，验证信息产品或信息系统中不存在相应的安全隐患。控制流、信息流、边界值等是重点分析的对象，普通安全隐患可凭经验发现，复杂的需形式化的安全验证。形式化方法，就

5、是用语义符号、数学或模型描述研究与设计的系统，使便于推理并得到严谨的结论。当前设计人员或分析人员可以采用安全模型、协议形式化分析以及课证明安全性方法等手段对安全策略、安全协议或密码算法进行验证。验证手段1.安全模型是一种安全方法的高层抽象，独立于软件与硬件的实现具体实现方法，如RBAC，有助于建立形式化的描述与推理方法。2.协议形式化分析主要是基于逻辑推理、基于攻击结构性及基于证明结构性三种方法。基于逻辑推理的分析方法运用逻辑系统，从协议各方的交互出发，通过一系列的推理验证安全协议是否满足安全目的或说明。基于攻击结构性分析方法从协议初态开始，对合法主体攻击者的可能执行路径进行搜索或

6、分析来找到可能的错误或漏洞。基于证明结构性的方法在形式化语言或数学描述的基础上对安全性质进行证明，如秩函数法与重写逼近法。3.可证明安全性方法与以前“设计-攻击-改进-再攻击-再改进”的方法不同，他在一定的安全模型下将设计算法与协议的安全性归结于伪随机数、分组密码等已被认可算法或函数的安全性，在一定程度上增强了设计者对安全性的把握与控制，提高了密码与安全一些的设计水平。测试技术在信息安全产品或信息系统的开发或评估中，开发者或评估人员借助测试技术获得反映他们性能的数据。能反映产品或系统相关性能度量的检测对象称为指标，值为指标值。测试技术需准确、经济的为开发者或评估人员提供指标值或计算

7、他们的相关数据，反映产品或系统在安全性、运行性能、协议符合性与一致性、环境适应性、兼容性等方面的状况，为提高产品或系统的质量或准确评估它们的等级提供了依据。测试技术1.测试环境的构造与仿真传统测试方法依靠构建实际运行环境进行测试，随着运行环境的复杂化，代价越来越高，测试环境仿真技术应运而生，由各类测试仪来实现。2.有效性测试用测试的方法检查信息安全产品、系统与他们模块、子系统是否完成了所设计的功能，包括通过测试相应的指标量衡量完成的程度与效果。测试方法包括典型的应用实