一、基本概念1. 信息安全的定义国际标准化组织ISO对信息安全的定义建议：为数据处理系统建立和采取的技术和管理的安全保护。保护计算机硬件、软件、数据不因偶然的或恶意的原因而受到破坏、更改、泄漏。2. 信息安全产品的类别在《GBT 25066-2020信息安全技术 信息安全产品类别与代码》中，对信息安全产品分为分类，其中一级分类有：物理环境安全类通信网络安全类区域边界安全类计算环境安全类安全管理支持类其他类二、相关标准1. 一些与信息安全相关的标准化组织(1) 国际组织ISO（国际标准化组织）IEC（国际电工委员会）ITU（国际电信联盟）IETF（Internet 工程任务组）(2) 国内组织信息技术安全标准化技术委员会（CITS）成立于1984年，在国家标准化管理委员会和信息产业部的共同领导下负责全国信息技术领域以及ISO/IEC JTC1相对应的标准化工作，是国内最大的标准化技术委员会。CITS主要负责信息安全的通用框架、方法、技术和机制的标准化及归口国内外对应的标准化工作，其中技术安全包括开放式安全体系结构、各种安全信息交换的语义规则、有关的应用程序接口和协议引用安全功能的接口等。中国通信标准化协会（CCSA）下辖的网络与信息安全技术工作委员会成立于2002年12月18日，是国内企事业单位自愿联合组织起来经业务主管部门批准的开展通信技术领域标准化活动的组织。下设了有线网络信息安全、无线网络信息安全、安全管理和安全基础设施4个工作组负责研究一下网络通信安全标准。2. 我国信息安全标准发展历程1984.7 全国信息技术标准化委员会组建数据加密标准化分技术委员会，1985年发布了第一个有关信息安全方面的标准1997年8月改组成全国信息技术标准化技术委员会信息安全分技术委员会我国信息安全技术标准系统编号主要有：GB、GB/T 、GJB、BMB、GA、YD等。2002年4月15日成立全国信息安全标准化技术委员会（简称信安标委，委员会编号为TC260）网址：www.tc260.org.cn 全国信安标委机构设置：官网截图：3. 信息安全技术标准体系框架分七大类(1) 基础标准安全术语涉密基础测评基础管理基础物理安全安全模型安全体系结构(2) 技术与机制标准密码技术安全标识鉴别机制授权机制电子签名公钥基础设施通信安全技术涉密系统通用技术要求(3) 信息安全管理标准涉密服务密码管理安全控制与服务网络安全管理行业/领域安全管理(4) 测评标准密码产品通用产品安全保密产品通用系统涉密信息系统通信安全政府安全检查安全能力评估(5) 密码标准(6) 保密标准(7) 通信安全标准5. 通用产品安全标准6. 物联网产品相关标准7. 其它智能家电相关国家标准(1) 鉴别(2) 安全机制三、我国大数据安全标准化(1) 基础标准概念和框架->大数据安全参考架构角色和模型->大数据安全管理指南标准号标准名称状态GB/T 37973-2019信息安全技术 大数据安全管理指南现行(2) 平台和技术系统平台安全->大数据基础平台安全要求平台安全运维安全相关技术(3) 数据安全个人信息安全->个人信息安全规范、个人信息去标识化指南->个人信息影响评估指南重要数据安全数据跨境安全(4) 服务安全服务安全能力->大数据服务安全能力要求、大数据安全能力成熟度模型交易服务安全->大数据交易服务安全要求(5) 行业应用类安全大数据政务大数据安全健康医疗大数据安全其它行业大数据安全二、信息安全威胁分析模型1. STRIDE 模型微软开始的用于威胁建模的一套方法，6个字母分别代表：身份欺骗：Spoofing identity篡改数据：Tampering with data否认性：Repudiation信息泄露：Information disclosure拒绝服务：Denial of service提权：Elevation of privilege2. 十个安全设计原则最小攻击面默认安全最小权限纵深防御安全地失败不信任第三方系统业务隔离公开设计简化系统设计白名单机制三、开放式Web应用常见风险开放式Web应用程序安全项目（OWASP，Open Web Application Security Project）是一个组织，它提供有关计算机和互联网应用程序的公正、实际、有成本效益的信息。其目的是协助个人、企业和机构来发现和使用可信赖软件。——百度百科美国联邦贸易委员会(FTC)强烈建议所有企业需遵循OWASP所发布的十大Web弱点防护守则、美国国防部亦列为最佳实务，国际信用卡资料安全 技术PCI标准更将其列…网址：www.owasp.org注入式风险跨站点脚本 (简称XSS)无效的认证及会话管理功能对不安全对象的直接引用伪造的跨站点请求(简称CSRF)安全配置错误加密存储方面的不安全因素不限制访问者的URL传输层面的保护力度不足未经验证的重新指向及转发四、物联网安全体系1. 物联网的安全威胁感知层安全威胁网络层安全威胁应用层安全威胁2. 设备安全体系运行时解密、执行后清内存，实现动态保护代码混淆，源码保护代码多样性，每次保护后的代码都不一样降低可读性，增加逆向难度可信授权身份安全，强认证机制传输安全会话安全系统安全固件安全，提醒用户固件升级管理安全家庭网关安全设置3. APP安全项目程序代码加固、混淆资源文件混淆图形验证码安全软键盘防界面劫持反外链安全短信安全密钥app发布渠道监控钓鱼/盗版 APP 电子取证反支付欺诈反刷票业务流安全审计弱口令4. 服务器安全防火墙过度开放，如没有关闭telnet,ftp等，登入后可读取/etc/passwd操作系统及时升级web接口安全，身份验证、目录列表有效的认证/授权不安全的网络服务威胁大数据分析身份认证安全过滤流量加密，流量异常，系统异常漏洞检测，已知漏洞，xss csrf等DoS测试，发送大量TCP ICMP封包，确认动作通信协议栈测试，发送异常IPv4/IPv6、TCP/UDP封包数据确认动作，看是否会造成网络异常、服务器重启发送异常HTTP，SSL数据，确认动作，是否因大量Syn封包机器死机发送HTTP、DHCP、DNS等客户端数据，确认动作WiFi无线，发送异常802.11,WPA等无线协议数据，确认动作对设定项目输入异常数据，确认动作5. 通信安全加密安全检测与审计数据/密钥 安全加密，白盒保护中间人攻击重放攻击撞库爆破组件劫持APP破解6. 数据安全分级安全签名安全备份安全授权安全审计安全隐私安全7. 研发安全工作人员安全操作体系代码审核机制安全SDK安全发布应急方案安全培训机制8. 其它一些安全措施关注不安全的移动接口安全配置是否充分攻防可视基于日志的大数据分析实现态势感知9. 业内知名安全公司梆梆青莲云FireEyeBit9Palo AltoCheck Point