安全概念
- Physical Security: 關於實體安全
- 是否有人會把資料偷走？=> 透過實體的保護機制進行保護
- 災害導致資料流失 => 備份，異地備份
人工處理
- Physical Security: 關於實體安全
- 保護機制進行保護
- 多個備份
- Administrative
- Personnel Screening: 對使用者進行身份查核，確認是否符合身份，如帳號密碼
- Access procedure: 使用的程序，如什麼時候使用與歸還，紀錄使用者活動或者權限的限制等
電腦化
- 檔案丟失: 透過檔案備份
- 資料外洩: 密碼保護
- 檔案共享保護: 保護共享檔案時的安全
分散式系統
- 電腦安全
- 網路安全: 傳輸過程的資料保護
NIST 對電腦安全的定義
在自動化系統保護三個重點，並適用於任何資訊系統資源(軟韌硬)
- integrity
- availability
- confidentiality
Confidentiality 機密性
- Data Confidentiality: 避免非法授權個體得到資訊內容
- Privacy: 個體能夠控制資訊誰可使用、取得等
Integrity 完整/正確性
資料或系統是否正確無誤
- Data Integrity: 資料或軟體的改變是符合規範並授權，而非破壞性的改變
- System Integrity: 系統功能正確無誤，不會遭到非授權的串改產生問題
如考題在考試前，需要提供 Confidentiality，考試時所公佈的資訊是否 Integrity。
Availability 可用性
確保服務正常執行，授權用戶不會被阻斷
總結
CIA為資訊安全中經常用來考量的安全性質
格外的安全性質
- Authenticity(鑑別性): 資料來自可信任的來源
- Accountability: 可究責
違反安全的等級
若安全性受到威脅時，影響的幅度為何。藉由評估安全威脅與成本， 以利於做出選擇。
高, 中, 低
範例
- 機敏性: 學生查詢成績時，避免他人得知相關資訊
- 完整性: 醫療資訊若發生錯誤可能導致嚴重的問題，因此確保資料integrity
- 可用性: 購物網站若無法使用可能導致商業損失
- 鑑別性: 車票，只有發行者的車票才能作為搭車的依據。
資訊安全的挑戰
- 安全往往涉及不同機制
- 必須找出任何可能攻擊方式
- 往往違反直覺
- 持續監控
- 容易降低效率、使用者友善
OSI 安全的架構
- 安全攻擊: 了解攻擊的性質與種類
- 安全機制: 能夠防護, 偵測, 復原的機制
- 安全服務: 整合安全機制的方法
RFC 4949 對威脅與攻擊的定義
- 威脅: 任何潛在危害安全的可能，如情況, 活動, 事件等
- 攻擊: 攻擊者透過威脅，並對系統進行危害的方式
安全攻擊的區分
- 主動攻擊: 具體改變 系統資源 或 影響 相關操作等( ex: 攔截封包，並且修改封包內容
- 被動攻擊: 攻擊行為不影響系統( ex: 監聽封包，對機敏性造成危害但不影響系統
保護
- 被動攻擊: 安全機制避免攻擊發生
- 主動攻擊: 機制能夠偵測攻擊，並復原影響，追蹤攻擊來源
比較
- 被動攻擊: Release of message content, traffic analysis
- 獲取內容, 或者知道是否有流量傳輸(Traffic analysis) ( 注: 後者依然會影響到機密性
- 主動攻擊: masquerade attack, replay attack, modification attack, denial of service
- 修改交換的資料 ( 影響到完整性
- 阻斷服務攻擊: 影響到可用性
安全服務
X.800 Service Categories
- 認證服務: 確認資訊來源身份等
- 存取控制: 避免未授權使用系統資源
- 資料機密性
- 連線機密性: 透過機制去保護連線
- 未連線機密性: 如何保護建立連線時的機密性
- selective field confidentiality: 僅保護部份的資訊
- Traffic flow Confidentiality: 保護資訊流量的機密性 ( 透過隱藏的方式，如混合入其他流量中，使其無法分辨
- 資料完整性
- Non-Repudiation: 能夠讓訊息來源不可否認未發出訊息
格外的服務
- 可用性服務
- DoS攻擊
- 刪除檔案: 透過備份解決
網路安全
保護傳輸可以透過加密，透過金鑰進行保護在傳輸。
- 金鑰必須夠強: 如何產生金鑰
- 加密演算法的安全性
- 可信任的第三方進行金鑰發布
管制方式
存取可被接受的管制方式:
- 密碼, 監督分析等
NIST與ISOC的標準
Network Security Information Security Cryptography