1.信息安全发展阶段：通信保密、计算机安全、信息安全、信息保障。
五个能力级别：非正规实施级、规划和跟踪级、充分定义级、量化控制级、持续改进级。
3.风险因素评估包括：资产评估、威胁评估、弱点评估0
4.风险评估实施流程：前期准备阶段、现场调查阶段、风险分析阶段、策略制定阶段。
5.信息安全等级的划分：第一级为用户自主保护级；第二级为系统审计保护级；第**为安全标记保护级；第四级为结构化保护级；第五级为访问验证保护级。
一）简述sse-cmm的体系结构。
答：sse-cmm体系结构的设计目标是清晰地从管理和制度化特征中分离出安全工程的基本特征。该模型采用两维设计，其中的一维被称为“域”，而另一维被称为“能力”。
域维汇集了定义安全工程的所有实施活动，这些实施活动被称为“过程区”，域维包括管理安全控制、评估影响等11个安全工程过程区；能力维代表组织能力，这一维由过程管理和制度化能力构成，即一系列通用实施过程，可在广泛领域中应用。执行一个公共特性是一个组织能力的标志。而公共特性分为非正规实施级、规划和跟踪级、充分定义级、量化控制级、持续改进级五个级别，依次表示增强的组织能力。
二）风险评估基本步骤p93
1.风险评估准备，包括确定评估目标、确定评估范围、组织评估小组、选择评估工具和方法，建立评估团队。
2.风险因素识别：信息资产评估、威胁评估、脆弱性评估。
3.风险确定：确定已有的控制措施、计算风险值。
4.风险评价：与风险准则做比较、建立风险等级。
5.风险控制：判断风险可接受程度，识别和确定消除风险或将风险降到可接受程度。
三）关于弱点评估。
弱点评估：即通过技术检测、试验和审计的方法，寻找用户信息资产中可能存在的弱点，并对弱点的严重性进行估值。
弱点评估分别在管理和技术层面进行：包括技术弱点检测、网络构架和业务流程分析、策略与安全控制实施审计、安全弱点综合分析。
技术弱点检测包括扫描和模拟渗透测试：
扫描原理：根据扫描原理范围不同，分为远程扫描和本地扫描。扫描是信息收集的过程。
远程扫描：指从组织外部用扫描工具对整个网络的交换机、服务器、主机和客户机进行检查、检测这些系统是否存在已知弱点。
本地扫描：指从组织内部用扫描工具对内部网络的交换机、服务器、主机和客户机进行检查、检测这些系统是否存在已知弱点。
模拟渗透测试原理：即指在客户的允许下和可控的范围内，采取可控的，不会造成不可弥补损失的黑客入侵手法，对客户网络和系统发起“真正”攻击，发现并利用其弱点实现对系统的入侵。
扫描和模拟渗透测试的关系：渗透测试和工具扫描可以很好进行相互补充。工具扫描具有很好的效率和速度，但存在一定的误报率，不能发现深层次、复杂的安全问题。
渗透测试需要投入的人力资源较大，对测试者的专业技能要求较高（渗透测试报告的价值直接依赖于测试者的专业技能），但可以发现逻辑性更强、更深层次的弱点。
四）信息安全策略规划与实施的步骤。
答：第一步，确定安全策略保护的对象。因为硬件和软件是支持商业运作进行的平台，是信息系统的主要构成因素，应该受到安全策略的保护；由于数据处理的重要性，在编写安全策略时也应该了解数据的使用和结构。
第二步，确定参与编写安全策略的人员。明确指明哪些人在何种情况下能够访问系统内资源。除此之外，策略还要对指定的人授予直接访问的权力，对未授权的访问制定惩罚制度。
第三步，确定信息安全策略中使用的核心安全技术。常见的安全核心技术包括防病毒技术防火墙技术vpn技术入侵检测技术备份、容错与灾难恢复技术加密技术。
第四步，实施安全策略。1.要注意当前网络系统是否存在问题；2.
为了计算机和网络达到更高的安全性，必须采用一些网络信息安全的基本规则，。3.在实施安全策略时应该注意易损失性分析、风险分析和威胁评估。
4.安全策略的启动，主要包括：启动安全策略、安全架构指导、事件相应过程、可接受的应用策略、系统管理过程和其他管理过程。
5.实施中的法律问题。实施过程中应该注意避免信息安全策略违反法律、合同；信息系统的设计、使用和管理应该符合法律和合同的安全要求。
涉及法律的问题包括知识产权与版权、软件著作权等。
五）信息安全等级的划分和特征p149
1.用户自主保护级：用户具有自主安全保护能力。
访问控制机制允许命名用户以用户或用户组的身份规定并控制客体的共享，能阻止非授权的用户读取敏感信息。可信计算基初始执行时，首先要用户标识自己的身份，阻止非授权用户访问用户身份鉴别数据。
2.系统审计保护级：属于自主访问控制级。
本级的计算机信息系统可信计算基实施了粒度更细的自主访问控制，访问控制的粒度是单个用户级，并控制访问权限扩散，没有存取权的用户只允许由授权用户指定对客体的访问权。身份鉴别通过为用户提供唯一标识监控用户的每个行为并能对这些行为进行审计。客体重用和审计功能是本级主要特色。
3.安全标记保护级：本级在提供系统审计保护级的所有功能的基础上，提供基本的强制访问功能。
4.结构化保护级：本级的可信计算基建立于一个明确定义的形式安全策略模型之上，要求将自主和强制访问控制扩展到所有主体与客体。
彻底搜索隐蔽存储通道。本级的可信计算基必须结构化为关键保护元素和非关键保护元素。计算机信息系统可信计算基的借口也必须明确定义，使其设计与实现能经受更充分的测试和更完整的复审。
加强了鉴别机制；支持系统管理员和操作员的职能；提供可信设施管理；增强了配置管理控制。系统具有相当的抗渗透能力。
5.访问验证保护级：访问控制能够为每个命名客体指定命名用户和用户组，并规定他们对客体的访问模式。
对于强制访问控制与上级别要求相同，可信计算基包含能够监控可审计安全事件发生与积累的机制，当超过阈值时，能够立即向安全管理员发出报警。并且，如果这些与安全相关的事件继续发生或积累，系统应以最小的代价终止它们。
六）定级流程：（简答）p156
a)确定作为定级对象的信息系统；
b)确定业务信息安全受到破坏时所侵害的客体；
c)根据不同的受侵害客体，从多个方面综合评定业务信息安全被破坏对客体的侵害程度；
d)依据业务信息安全保护等级矩阵表，得到业务信息安全保护等级；
e)确定系统服务安全受到破坏时所侵害的客体；
f)根据不同的受侵害客体，从多个方面综合评定系统服务安全被破坏对客体的侵害程度；
g)依据系统服务安全保护等级矩阵表，得到系统服务安全保护等级；
h)将业务信息安全保护等级和系统服务安全保护等级的较高者确定为定级对象的安全保护。
信息安全工程方案
课程名称。小组名称。学生姓名。学生学号。所在系。所学专业。年月日。第1章信息安全管理概述。对信息安全与管理的基本概念予以阐述，让我们知道信息安全管理的目的以及要在实施时所遵循的规范与原则。第2章信息安全管理标准。这章主要对国外信息安全管理标准与我国信息安全管理标准的阐述和具体介绍，国外的主要介绍了 ...
安全工程相关信息
首页 随便看看 帮助 登录 注册 start点击左侧的开始按钮可以选择自己喜欢的应用 班级联盟 话题。08级安全四班 发起新话题 1 个回复 154 个查看 开设安全工程专业大学名单及排名。1中国矿业大学 徐州 采矿工程系学士 硕士 博士。中国矿业大学 北京 资源与安全工程学院学士 硕士 博士。2 ...
信息安全工程实践
信息安全工程实践二 实践报告。东北大学软件学院。一 程序实践概述。1 题目名称 linux操作系统及其相关命令，linux编程基础。linux程序设计基础。2 时间进度 12学时。3 开发环境 ubantu 二 问题分析。1 功能说明 熟练掌握如下linux命令。系统信息命令 who,w,du,du...