2022年資訊安全工程師考試知識點：資訊安全管理基礎

為大家整理了2022年資訊安全工程師考試知識點：資訊安全管理基礎，希望對大家備考資訊安全工程師考試會有幫助。

【考法分析】

本知識點主要是對資訊安全管理相關内容的考查。

【要點分析】

1．資訊安全的定義：保護資訊系統的硬體，軟體及相關資料，使之不因為偶然或惡意的侵犯而遭受破壞，更改和洩露；保證資訊系統中資訊的機密性（Confidentiality），完整性（Integrity）和可用性（Availability）。

2．資訊安全管理體系是資訊安全管理活動的直結果，可表示為政策，原則，目标，方法，程式和資源等總的集合。

3．密碼管理，密碼除了用于資訊加密外，也用于資料資訊簽名和安全認證。我國的商用密碼管理原則：統一上司，集中管理，定點研制，專控經營，滿足使用。

4．商用密碼的應用領域十分廣泛，主要用于對不涉及密秘碼内容但又具有敏感性的内部資訊，行政事物資訊，經濟資訊等進行加密保護。

5．《商用密碼管理條例》中所稱商用密碼，是指對不涉及密碼内容的資訊進行加密保護或者安全認證所使用的密碼技術和密碼産品。

6．商用密碼技術是商用密碼的核心，将商用密碼技術列入秘密，任何機關和個人都有責任和義務保護商用密碼技術的秘密。

7．密碼管理局公布了無線區域網路産品須使用的系列密碼算法，包括：

① 對稱密碼算法：SMS4；

② 簽名算法：ECDSA；

③ 密鑰協商算法：ECDH；

④ 雜湊算法：SHA-256；

⑤ 随機數生成算法；自行選擇。

其中ECDSA和ECDH密碼算法須采用密碼管理制定的橢圓曲線和參數；這是國内公布的第一個商用密碼算法系列。

8．網絡管理從功能上講一般包括配置管理，性能管理，安全管理，故障管理等；網絡管理最突出的特點是對網絡組成成分管理的統一性和遠端性。是以保證網絡傳輸的性能和安全性為前提的。

9．網絡管理體系結構包括以下四個方面：

協定：因為SNMP屬于應用層

表示：适用面向對象式的表示方法

安全：管理者和被管理者之間要有認證和加密協定

對象：包括裝置，各種協定，業務和交易過程

總體而言，網絡管理的4個确定性特征是：統一化，智能化，安全化和主動化。

10．網絡管理的幾個主要開發方向：網管系統，應用性能管理，桌面管理，員工行為管理，安全管理。

11．網管系統：主要針對網絡裝置進行監測，配置和故障診斷；通用軟體供應商開發的NMS系統試針對各個廠商網絡裝置的通用網管系統。

12．應用性能管理：

① 應用性能管理師一個比較新的網絡管理方向，主要指對企業的關鍵業務應用進行監測，優化，提高企業應用的可靠性和品質，保證使用者得到良好的服務，降低IT總擁有成本。

② 應用性能管理主要功能如下：監測企業關鍵應用性能；快速定位應用系統性能故障；優化系統性能。

13．桌面管理系統：由最終使用者的電腦組成，這些電腦運作Windows，MAC系統。

14．員工行為管理：一部分是員工網上行為管理（EIM），另一部是員工桌面行為監測。

15．安全管理：保障合法使用者對資源安全通路，防止病杜絕黑客蓄意攻擊和破壞。

16．裝置安全管理包括裝置的選型，檢測，安裝，等級，使用，維護和存儲管理等多方面的内容。

17．《資訊安全等級保護管理辦法》将資訊系統的安全保護等級分為以下五級：

第一級：資訊系統受到破壞後，會對公民，法人和其他組織的合法權益造成損害，但不損害安全，社會秩序和公共利益。

第二級：資訊系統受到破壞後，會對公民，法人和其他組織的合法權益産生嚴重損害，或者對社會秩序和公共利益造成損害，但不損害安全。

第三級：資訊系統受到破壞後，會對社會秩序和公共利益造成嚴重損害，或者對安全造成損害。

第四級：資訊系統受到破壞後，會對社會秩序和公共利益造成特别嚴重損害，或者對安全造成嚴重損害。

第五級：資訊系統受到破壞後，會對安全造成特别嚴重損害。

《資訊安全等級保護管理辦法》明确規定，在資訊系統建設過程中，營運，使用機關應當按照《計算機資訊系統安全保護等級劃分準則》。

18．GB17859-1999标準規定了計算機系統安全保護能力的五個等級：

第一級：使用者自主保護級，通過隔離使用者與資料，使使用者具備自主安全保護的能力。

第二級：系統審計保護級，通過登入規程，審計安全性相關事件和隔離資源，使使用者對自己的行為負責。

第三級：安全标記保護級，具有系統審計保護級所有功能，還提供有關安全政策模型，資料标記以及祖逖對客體強制性通路控制的非形式化描述，具有準确地标記輸出資訊的能力，消除通過測試發現的任何錯誤。

第四級：結構化保護級，要求将第三級系統中的自主和強制通路控制擴充到所有主體與客體。此外，還要考慮隐蔽通道。

第五級：通路驗證保護級，滿足通路監控器需求。通路監控器仲裁主體對客體的全部通路。

19．涉密資訊系統安全分級保護可以劃分為秘密級，機密級和機密級（增強），絕密級三個等級：

① 秘密級：不低于資訊安全等級保護三級的要求

② 機密級：不低于資訊安全等級保護四級的要求

屬于下列情況之一的機密級資訊系統應選擇機密級（增強）的要求：副省級以上的黨政首腦機關，以及國防，外交，安全，軍工等要害部門；機密級資訊含量較高或數量較多；使用機關對資訊系統的依賴程度較高。

③ 絕密級：資訊系統中包含有較高為絕密級的秘密，不低于資訊安安等級保護五級的要求。

20．涉密資訊系統分級保護的管理過程分為八個階段，即系統定級階段，安全規劃方案設計階段，安全工程實施階段，資訊系統測評階段，系統審批階段，安全運作及維護階段，定期評測與檢查階段和系統隐退終止階段等。

21．涉密資訊系統定級遵循“誰建設，誰定級”的原則。

22．目前國内外的趨勢都是用網絡隔離這個概念來代替實體隔離或安全隔離等；隔離技術的發展：

第一代隔離技術：完全地隔離

第二代隔離技術：硬體卡隔離

第三代隔離技術：資料傳播隔離

第四代隔離技術：空氣開關隔離

第五代隔離技術：安全通道隔離

23．防火牆是最常用的網絡隔離手段；防火牆有一個很顯著的缺點：就是防火牆隻能做網絡四層以下的控制，對于應用層内的病毒、蠕蟲都沒有辦法。對于安全要求初級的隔離是可以的。

24．網閘的設計形象的借鑒了船閘的概念，設計采用“代理+擺渡”。不在河上架橋，可以設擺渡船，擺渡船不直接連接配接兩岸，安全性當然要比橋好，即使是攻擊，也不可能一下就進入，在船上總要收到管理者的各種控制。

25．網絡隔離技術的安全要點：

① 要具有高度的自身安全性；

② 要確定網絡之間是隔離的；

③ 要保證網間交換的隻是應用資料；

④ 要對網閘的通路進行嚴格的控制和檢查；

⑤ 要在堅持隔離的前提下保證網絡暢通和應用透明。

網絡隔離的關鍵是在于系統對通信資料的控制，即通過不可路由的協定來完成網閘的資料交換。

26．安全監控可以分為網絡安全監控和主機安全監控兩大類。

27．資訊安全風險評估，則是指依據有關資訊安全技術标準，對資訊系統及由其處理，傳輸和存儲的資訊的保密性，完整性和可用性等安全屬性進行科學評價的過程，它要評估資訊系統的脆弱性，資訊系統面臨的威脅以及脆弱性被威脅源利用後所産生的實際負面影響，并根據安全事件發生的可能性和負面影響的程度來識别資訊系統的安全風險；任何系統的安全性都可以通過風險的大小來衡量。

28．風險評估：指确定在計算機系統和網絡中每一種資源缺失或遭到破壞對整個系統造成的預計損失數量。

29．風險評估的過程：

① 确定資産

② 脆弱性和威脅分析

③ 制定及評估控制措施

④ 決策

⑤ 溝通與交流

⑥ 監督實施

30．風險評估的方法：

① 典型的定量分析方法有因子分析法，聚類分析法，時序模型，回歸模型，等風險圖發，決策樹法等。

② 典型的定性分析方法有因素分析法，邏輯分析法，曆史比較法，德爾菲法。

③ 定性與定量相結合的綜合評估方法。

④ 典型的風險評估方法：層次分析法，它的基本步驟是：系統分解→構造判斷矩陣→層次總排序。

31．風險管理就是以可以接受的費用識别，控制，降低或消除可能影響資訊系統的安全風險的過程。

32．降低風險的途經：

① 避免風險

② 轉移風險

③ 減少威脅

④ 減少脆弱性