《安全需求定義》ppt課件

《《安全需求定義》ppt課件》由會員上傳分享，免費在線閱讀，更多相關(guān)內(nèi)容在教育資源-天天文庫。

1、信息安全工程安全需求的定義知識回顧信息安全工程的功能：6個信息安全工程小組LCIE和決策數(shù)據(jù)庫一般系統(tǒng)需求定義的過程：4個本講內(nèi)容與學(xué)習(xí)目標區(qū)別系統(tǒng)安全需求vs.信息保護需要SystemSecurityRequirementsvs.InformationProtectionNeeds了解“解決方案（SolutionSet）”的內(nèi)容了解系統(tǒng)（安全）需求的內(nèi)容安全需求vs.保護需要信息保護需要（InformationProtectionNeeds）：從用戶角度對信息系統(tǒng)安全的理解信息保護策略（IPP）系統(tǒng)安全需求：由信息系統(tǒng)

2、安全工程師確定的，信息保護需要在系統(tǒng)功能和性能上的體現(xiàn)定義系統(tǒng)安全需求對應(yīng)于系統(tǒng)工程的“定義系統(tǒng)需求”本階段，系統(tǒng)工程師將提出一個或多個能夠滿足用戶需要（Needs）的解決方案解決方案集：“SolutionSets”解決方案是針對整個信息系統(tǒng)而言的，其中包括了為滿足用戶的信息保護需要而制定的方案系統(tǒng)安全工程師要協(xié)助系統(tǒng)工程師制定解決方案，在安全方面協(xié)助解決方案（SolutionSets）NEEDSSystemExternalSystemExternalSystemExternalSystemSolutionSetNEED

3、SSystemExternalSystemExternalSystemExternalSystemSolutionSetNEEDSTargetSystemExternalSystemExternalSystemExternalSystemSolutionSet解決方案將用戶需要映射到外部系統(tǒng)（已有）或者目標系統(tǒng)（待設(shè)計）解決方案（SolutionSets）在用戶的參與下，最終將有一個解決方案被選定選定的解決方案，應(yīng)該能夠滿足各個方面的用戶需要，包括信息保護需要要由用戶和系統(tǒng)工程師（系統(tǒng)安全工程師）合作選定解決方案目標系統(tǒng)

4、與外部系統(tǒng)解決方案中可以把用戶需要（包括信息保護需要）分配給目標系統(tǒng)目標系統(tǒng)：本次系統(tǒng)工程要建設(shè)的系統(tǒng)解決方案中也可以把用戶需要分配給外部系統(tǒng)外部系統(tǒng)：已有的系統(tǒng)，例如已運營的PKI系統(tǒng)外部系統(tǒng)外部系統(tǒng)是已存在的，與本次系統(tǒng)工程要設(shè)計的目標系統(tǒng)并存解決方案中定義了目標系統(tǒng)與外部系統(tǒng)的接口這是目標系統(tǒng)環(huán)境的一部分接口的定義主要由外部系統(tǒng)決定接口示例：訪問外部數(shù)據(jù)庫系統(tǒng)的IP地址、端口、認證協(xié)議、通信協(xié)議。目標系統(tǒng)對于目標系統(tǒng)，解決方案中定義了它的系統(tǒng)概念（SystemConcept），包括：系統(tǒng)環(huán)境（SystemConte

5、xt）初步的操作概念（PreliminaryCONOPS）系統(tǒng)需求，在安全方面表現(xiàn)為系統(tǒng)安全需求目標系統(tǒng)的“系統(tǒng)概念”TargetSystem(allsystemfunctions)ExternalSystemExternalSystemTargetSystem(allsystemfunctions)ExternalSystemExternalSystemSystemInterfaces系統(tǒng)概念是對目標系統(tǒng)的黑盒定義，并不涉及目標系統(tǒng)內(nèi)部的架構(gòu)（那是下一個工程階段的事情）目標系統(tǒng)的系統(tǒng)概念的內(nèi)容系統(tǒng)環(huán)境（SystemCo

6、ntext）系統(tǒng)安全環(huán)境（SystemSecurityContext）初步操作概念（PreliminaryCONOPS）系統(tǒng)需求（SystemRequirements）系統(tǒng)安全需求（SystemSecurityRequirements）系統(tǒng)概念>>系統(tǒng)環(huán)境定義系統(tǒng)(數(shù)據(jù)、應(yīng)用、網(wǎng)絡(luò))的邊界對于系統(tǒng)安全環(huán)境來說，就是系統(tǒng)安全邊界如，需要認證用戶才能訪問的區(qū)域的邊界定義與外部系統(tǒng)的接口對于系統(tǒng)安全環(huán)境來說，就是系統(tǒng)安全方面的對外接口如訪問CA服務(wù)器的地址、端口、通信協(xié)議系統(tǒng)概念>>系統(tǒng)環(huán)境（續(xù)）將信息保護需要分配給目標系統(tǒng)或

7、外部系統(tǒng)IMM文檔中的信息管理過程IPP中的信息保護需要分配給外部系統(tǒng)時，要爭得外部系統(tǒng)擁有者的同意系統(tǒng)概念>>系統(tǒng)環(huán)境（續(xù)）識別目標系統(tǒng)和外部系統(tǒng)間的信息流與外界系統(tǒng)之間的信息流動過程例如訪問外部系統(tǒng)的認證過程在安全方面，要考慮與這些信息流相關(guān)的保護需要，并由此確定怎樣對信息流進行控制例如認證過程中數(shù)據(jù)加密，隨機數(shù)的使用等系統(tǒng)概念>>初步操作概念從用戶的角度，描述系統(tǒng)應(yīng)該具有什么樣的功能，以便支持用戶的業(yè)務(wù)。初步的操作概念中，不定義StepbyStep的操作步驟在安全方面，初步操作概念中將從用戶角度，描述系統(tǒng)應(yīng)該具備什

8、么樣的信息保護功能例如用戶認為：系統(tǒng)應(yīng)該能夠防止重放攻擊系統(tǒng)應(yīng)確保信息不被無授權(quán)者獲得系統(tǒng)應(yīng)對所有外發(fā)的數(shù)據(jù)提供數(shù)據(jù)起源認證系統(tǒng)概念>>初步操作概念（續(xù)）操作概念中還定義了用戶業(yè)務(wù)需要（信息保護需要）對外部系統(tǒng)的依賴關(guān)系，以及外部系統(tǒng)能夠提供的（安全）服務(wù)例如，用戶認證，依賴外部PKI系統(tǒng)（這意味著本系統(tǒng)不實現(xiàn)PKI