《网络空间安全与数据资产保护课件.pptx》由会员分享，可在线阅读，更多相关《网络空间安全与数据资产保护课件.pptx（43页珍藏版）》请在三一办公上搜索。
1、网络空间安全与数据资产保护,提纲,网络空间安全主要威胁和挑战网络空间安全防御新趋势网络空间数字资产保护,网络空间安全主要威胁和挑战,互联网+时代的信息社会,我们已经跨入以社会信息化、设备数字化、通信网络化的信息社会我们的信息社会正在不断的演进，互联网、物联网、无线人体局域网（WBANs）、云计算、大数据、可穿戴设备、智能化技术正在飞速发展，正在推动我们信息社会发生巨大的变化未来可以展望的是，不仅仅我们可以连接到网络，而且我们的身体（至少是衣服或配饰）会变成物 联网的关键网络结点。,信息安全无处不在,随着我们的信息社会不断深化演进，当移动互联网、物联网和社交网络把所有人、机构 和物连接在一起，信
2、息已经无处不在，同样信息安全也无处不在。在广泛互联化的IT环境 中，大到国家和社会，小到机构和个人都面临着如何保障自身的信息安全的问题。,信息安全问题影响和危害国家安全和社会稳定斯诺登事件伊朗布什尔核电站“震网”事件信息安全危害到每个人的生命权、财产权和自由权入侵植入式心脏起搏器入侵ATM取款机“心脏出血“安全漏洞,信息安全危害越来越严峻,泄密事件一再上演，我们该如何避免泄密事件重演?,数据资产泄密危害日益严重,攻击变得越来越功利，攻击从损人不利己向获取利益转变;黑客行动的动力转向牟利后，其攻击行为以获取有价值资料作为主要攻击目标，无论机构组织还是个人用户的危险也被大大加深。,最近刚放生的“勒
3、索软件病毒”事件，涉及全球100多个国家,造成全球恐慌,攻击从损人不利己向获取利益转变,何为加密勒索软件？,勒索软件是一种恶意软件，其通过邮件或钓鱼网站 等方式，利用主机或应用存在的漏洞，感染用户主 机或重要服务器。勒索软件侵入电脑后，对文件系统进行遍历和查找， 然后对图片，视频和文档类型的文件进行加密处理， 造成使用者无法访问和使用。勒索软件通常不会去加密系统文件，保证系统可以 正常启动，显示勒索信息。受害者若想打开被加密文件，必须通过支付赎金的 方式，下载解密程序并获取解密的密钥，才有可能 将文件解密。,勒索软件的典型入侵过程,带勒索软 件的邮件,主机被注入 勒索软件,勒索软件向C&C主
4、机连接下载密钥,C&C服务器,文件被加密,发出勒索信息,用户收到含有勒索软件的邮件，或者点击了钓 鱼链接，导致主机被注入勒索软件。勒索软件注入成功后，控制了被感染主机，然 后试图连接C&C主机获取用于加密程序或加密密 钥。勒索软件在后台查找文件，并进行加密处理。攻击者发出勒索信息，通知用户支付赎金换取 解密程序。,1,2,3,4,钓鱼链接,电脑的文件被加密后。,加密勒索软件的运行和加密的操作都是在后台完成，使用 者常常没有感知。使用者在文件无法访问时，才发现加密行为已经完成了。攻击者通过修改桌面，或者其他通知方式，告知使用者需要支付赎金，获取解密程序和密钥来完成文件解密。受害者收到的勒索信息受
5、害者会收到各种形式的勒索金钱的提示支付赎金并不能确保对加密的文件进行解密,勒索软件在不断演化,采用对称加密方式，加密文件名，隐藏文件夹，影响用户访问文件系统，如PCCyborg,QiaoZhaz等。采用非对称加密方式，针对文档、图片、视频等文件加密，如GPCoder,CRYZIP等。采用强加密算法，利用Trojan-Downloader从C&C主机获取密钥，通过Bitcoin方式支付赎金， 如Cryptolocker, Locky等。未来可能会以更广泛威胁的蠕虫传播方式，在网络内部有关联的应用系统之间传播，更大范围勒索金钱。,攻击目标转向企业用户-案例,2016年2月，国外某医院的病人数据被
6、加密，造成医疗应用系统无法访问病人 资料；攻击者勒索300万美金。,2016年11月，国外某地铁公司的应用 系统被加密，造成售票机无法提供售票 业务，乘客免费乘坐地铁运营两天；攻 击者勒索7.5万美金。,勒索软件对行业数据资产的巨大危害,由于企业数据被加密后，造成业务无法正常运营，甚至业务中断，经济损失和社会压力导致加快了勒索时间，成为勒索软件的下一个主要目标。医疗行业：医院可能无法访问或丢失重要的病人信息，治疗系统无法正常工作，影响对患者进行及时的救治。公共交通：公共交通的关键控制系统无法正常运行，售票系统的瘫痪，造成整个运营系统的 混乱，运营方遭受巨大损失和公众压力。金融行业：网上银行系统
7、或者柜员系统被控制，导致关键信息泄露，或无法提供正常交易， 带来造成巨大经济损失。零售行业：影响交易系统的正常工作，消费者无法进行商品买卖，造成巨大经济损失。,攻击从个人英雄向组织犯罪转变,攻击变得越来越有组织性，攻击从个人英雄向组织犯罪转变;有组织的攻击犯罪攻击资源更多，更加有效，造成的安全威胁更大。,攻击手段体系化,采用体系化攻击手段的APT攻击呈爆发趋势，带来越来越大的安全威胁。APT攻击以窃取核心资料为目的，会运用各种攻击工具、受感染的各种介质、供应链和社会 工程学等体系化的攻击手段实施先进的、持久的且有效的威胁和攻击。,网络空间安全防御新趋势,在大规模网络环境中，对能够引起网络态势发
8、生变化的安全要素进行获取、理解、显示以及对 未来短期的发展趋势的预测。网络态势感知(Cyberspace Situation Awareness) 借鉴并对比了“空中交通监管”态势感知的概念。包含有两层含义：实时地根据网络安全设备的告警信息及其他信息，进行关联归并、数据融合等操作，实时反映网络实际的运行状况；根据历史数据进行一定的离线分析，采用一定手段对潜在可能的威胁进行预测。,网络安全态势感知定义,态势要素 获取,态势理解,态势预测,态势感知三 级模型,网络安全 态势感知模型,网络安全态势感知定义,网络威胁情报共享服务模式,网络威胁情报生态圈建设,威胁采集,互联网采集厂商报告，安全社区，wh
9、ois交大自有数据全球IP库、黑IP、黑 域名、黑MD5、社 工库、指纹库第三方合作情报STIX格式，机器可读， 人可读,ATP威胁情报采集,整个APT攻击过程包括以下5大步骤：定向情报收集单点攻击突破控制通道构建内部多层渗透和数据收集上传,攻击能力漏洞的挖掘和应用Windows安全机制突破和远程管控Windows Rootkit/Bootkit的研制隐秘内网的渗透和权限获取工业控制系统的安全机制研究和漏洞挖掘iOS系统的安全机制研究和渗透攻击Web/数据库服务器的渗透攻击防御能力网页挂马的自动检测分析网络蜜罐的主动防御型检测Windows Bootkit恶意代码检测iOS系统恶意代码检测攻防
10、基础设施攻防教学实验系统网络蜜罐系统,网络攻防主动防御能力,威胁情报系统总体网络拓扑：分布式采集+集中分析,分析应用区,大数据存储,区,数据采集区,管理区,堡垒机,用户管理,运维监控,采 集,存 储,分 析,处 置,展 示,5,2,权限管理,3,4,分析平台,探针部署位置 区域边界 计算节点 内部计算环境,威胁情报,1,分布式部署的探针采 集数据（包括威胁情 报，安全设备日志 等），边界部署将采集到的数据进行 数据整理和入库, 系统实时分析数据， 也可以对历史数据进 行分析 分析结果送到展示界 面进行数据可视化, 根据对事件的分析结 果，发送配置到探针 进行阻断操作,网络元数据,网络性能指,网
11、络安全告,标警,恶意样本原始数据包威胁情报,数据采 集预处理子系,统,网络原始流量,互联网信息,采集数 据源,主机日志、防病 毒、IAM等日志,防火墙、IDS等 日志,数据接口接口,全量 日志,全流 量 存储,网络 安全 事件 库,威胁 情报 库,文件 样本 库,漏洞 库,网络 性能 指标 库,元数 据库,业务 资产 信息 库,IP域名 库,网络 流量 基因 库,病毒 木马 库,人员 行为 画像 库,数据接口,数据去重,初始关联,范式处理,数据储 存子系统,安全分 析研判 子系统,可视化关联分析,行为模型分析引 擎威胁情报匹配引,告警归集引擎,文件样本沙箱分,引擎 析引擎,大数据全量检索 引擎
12、,流量分析引擎,主机流量分析引 擎 擎,数据包分析引擎,全量数据碰撞分 析引擎,应用交易性能分析 引擎,业务自动感知引擎多段分析引擎,网络性能分析引擎,流量分析引擎,数据包分析引擎,响,性 能应用识别引擎主机性能分析引擎应监处控 置 子子系系统 统,处置建议,防御设置,威胁情报库积累,研判结果,安全威胁监控,业务性能监控,态势呈现,展示中 心子系统,监控大屏,WEB访问界面,第三方接口,系统管 理子系 统系统管理用户管 理角色管 理权限管 理安全审 计配置管 理数据字 典,运维 监全控局监控前端 状态运维 告警,组织管理单位管 理前端管 理,威胁情报系统架构,数据资产保护,数据资产是政府、企业
13、信息安全的核心目标,中华人民共和国网络安全法明确数据资产需保护,中国网络安全法是网络安全领域的基本法，2017年6月1日开始实施何个人和组织不得从事非法侵入他人网 络、干扰他人网络正常功能、窃取网络 数据等危害网络安全的活动不得提供专门用于从事侵入网络、干扰 网络正常功能及防护措施、窃取网络数据等危害网络安全活动的程序、工具,1,2,3,4,5,1,2,3,4,5,发现和评估发现保存在所有位置的敏感数据， 对风险进行评估数据分类确保安全的数据处理流程正常运转,定义有效的策略创建策略用于保护数据，并且确保策略的有效性实施控制控制机密数据的授权访问和安全传 输监控, 报告和审计通过报警和事件管理来
14、确保成功的数据安全防护,数据资产保护的典型技术路线,DLP(数据泄漏保护),DRM(数据权限保护),Encryption(加密),Management(管理),Data,企业数据,DRM可以决定数据的 访问和使用方式，功能 强大仅限于特定的文档类型需要与企业应用紧密集 成，大量依靠人工参与部署实施十分复杂并难 以持续运维仅适用于研发等少数小组,技术不能解决所有的问 题，仍然需要以下辅助风险教育行政管理物理安全刑事诉讼,全面评估信息风险，包,括网络、端点和存储,全面检测数据库、文件、,邮件、文字等泄密通道，,及时报警或阻止统一制定防泄漏策略遵从监管法案法规实施和部署简单，无需 更改流程，无需人工
15、参 与，可在企业范围应用能够有效的与DRM/加 密工具集成使用，使得 后者更有效,能够阻止没有权限的人非法获取信息，即使丢失也没关系依赖手工进行密钥的管理是个复杂问 题不能解决无意识泄密和 主动泄密仅适用于笔记本或者少量文件服务器,主流数据资产保护方法,数据识别是保护的前提,数据的两种形式结构化数据：存储在数据库中，包括智能卡、移 动用户资料等关键并且敏感的信息。非结构化数据：主要存储在文件服务器以及大量的工作终端。数据保护的核心思路定义企业的机密信息制定对不同等级机密信息的监视和防护策略部署策略监控阻断信息泄漏,创建/获取,传递,销毁,存 储 /备,使用,份数据安全不仅是目的， 更是动态的过
16、程！,数据全生命周期保护,相关机构系统,深监局远 程监控系 统,外汇交易中心银行 间本币交 易系统,深交所综 合协议平 台,上交所大 宗交易终 端,上交所固 定收益平 台,中债登招 投标系统,中债登招 投标系统,中债登簿 记系统,交易所,银行,彭博资讯,万得资讯,上海聚源 数据,上海朝阳 永续数据,大智慧行 情终端,钱龙行情 终端,中经网行 情数据,深度行情,路透资讯,港澳资讯,通神行情,交易所实 时行情,北方之星 资讯,宏汇data feed行情,外部行情数据,大客户直连,互联网,电话手机,中信证券系统内部,渠 道,客 户,产 品,数 据,管 理,恒生大客 户接 入系 统,创元 投资 管理
17、系统,恒生 电话 委托,客户 联络 中心,内部 网站,邮件 系统,核心客户资 讯服务平台,开户影像,MOT系统,资管CRM系 统,研究与股销业 务管理平台,债券业务管 理平台,证券金融业 务管理平台,投行CRM系 统,经纪,集中交易系统,根网套利系统,恒生套利系统,经纪业务管理 平台（BMM）,股销投资交易 系统,摩旗套利系统,网点管理与综 合分析系统,资管,营业部,金手指估值系统,恒生IA系统,系统,创元投资 根网QFII 资管算,QDII投资咨询和 下单交易系统,SunGard投资会计系统,恒生FTA系统,资管信息披露系统,天软策略开发平台 高频行情数据转换系统,自营,投行,根网自营交 衡
18、泰衍生品 易系统 业务平台,携宁买方投研系统,北方之星投研系统,衡泰,债券 交易 销售,平台 债券黑 莓系统,债销证券金融算法交 证券金融算 融资融 易平台 法交易平台 券系统,证券金融业务平台,簿记系统,投资知识管 理系统,投行项目管 理系统,投行黑莓系 统,交易 交易系统 投资交易 法平台,估值,管理,研究 万得投研管理平台 数量化分析数据处理系统,清算,清算流程管理系统,三方存管系统,清算核算系统（估值）,清算统计系统 新意清算法人系统 新一代运营平台,投研平台 研究所数量化分析 指数计算服务,研究,ODS,基础设施,数字证书系统,风控合规,OAHR,IT,财务,统一身份认证 平台,邮件
19、归档系统,金仕达合规管理信息系统,证券金融客户风险分析系统,金仕达经纪业务风控系统,反洗钱系统,资管风控系统,Riskmetrics风险管理系统,自营风控系统,投行内核系统,融资融券风控系统,稽核项目管理,移动办公系统,公文系统,差旅管理系统,黑莓系统,人力资源招聘系统,人事系统,Elearning系统,IT项目管理,智能楼宇管理系统,理,财务核算系统,财务系统,Barra绩效系统,自有资金头寸管理系统,IT预算和资产管客户排队评价系统,法律事务管理平台,金石投资管理系统,图例,个人客户基本 机构客户基本 QFII等特殊客 客户身份鉴别,信息,资料资料 户信息 信息 客户账户信息 户账户信息
20、与持仓信息 与持仓信息 户资金与持仓,QFII等特殊客 个人客户资金 机构客户资金 QFII等特殊客 个人客户交易 机构客户交易 QFII等特殊客,信息信息 户交易信息,客户资产信息客户交易信息,客户信息客户身份鉴别信息,恒生场外基金 代销系统,管理管控基础数据 库,数据的动态视图,客户关 系管理,业务开发,与运营,网络及,系统运,营,供应商/合,作伙伴开,发与管理,企业 管理,责任制度技术 手段“敏感数据安全”作为其中1“栅”，应引起高度重视以信息安全管理责任、制度建设、技术手段为“栏”，以与信息安全相关的业务流程为“栅”;推动业务流程与信息安全管理责任相结合、与业务制度相结合，并配套相关的
21、技术手段，通过不断细化完善各流程环节的信息安全责任和要求，深化和完善信息安全管理体系。,数据保护策略设计,保密信息 敏感信息 公开信息,应用程序DBA外协人员,允计 日志 报警 替换 阻断,生产数据库防护(数据库防火墙),生产数据库,数据库服务器,测试开发环境 防护,允计 日志 报警 替换 阻断,SI测试、开发人 员,全面的数据脱敏解决方案,Gartner公司定义了一个新的类别 - “动态数据屏蔽”，推动实现无法通过身份访问管理（IAM）、静态数据屏蔽、加密等技术无法单独解决的问题动态数据屏蔽保护敏感数据，是其不呈现在那些不需要访问的终端用户面前动态数据遮蔽确保严格的按照每一个用户的身份、职责
22、、岗位来过滤相应的敏感数据，并且， 这一动作是完全透明的，不会对应用程序或数据库中的数据造成任何的改动。,动态数据遮蔽(脱密),数据资产保护预警(一),感知,定位,通告,预案,复查,数据资产保护预警(二),快速定位影响范围，确认危害,下发整改通告，督促整改,启动在线防护方案、应急方案,复查确认，确保问题根治,第一时间感知最新威胁,大数据带来的安全挑战及对策(一),万物互联产生大数据在2006 年，个人用户才刚刚迈 进TB时代，全球一共新产生了 约180EB的数据；在2011 年，这个数字达到了1.8ZB。而有市场研究机构预测：到2020 年，整个世界的数据总 量将会增长44 倍，达到35.2Z
23、B（1ZB=10 亿TB）！,大数据带来的安全挑战及对策(二),1、加密保护技术：保证数据的真实性，可逆 性和无损性，如SMC模型，差分隐私等。但 是该技术的计算开销很大，对大数据的支持 不大适用。,2、文件访问控制技术：通过文件访问控制来 限制呈现对数据的操作，在一定程度解决数据 安全问题,大数据带来的安全挑战及对策(三),3、匿名化保护技术：适用于各类数据和众多应用，算法通用 性高，能保证发布数据的真实性，实现简单，如聚类、k- anonymity，l-diversity等，匿名化过程不可逆，本质上是 损失数据精度和数据隐私的折中。,4、可信计算（Trusted computing）技术：通用于各类数据 和众多应用，在计算和通信系统中广泛使用基于硬件安全模 块（可信根）支持下的可信计算平台，以提高系统整体的安 全性。,总结,网络空间安全面临日趋复杂和范在的威胁高级持续威胁、O-Day社会工程学给传统网络以及各类新型网络带来安全挑战静态的被动防御向动态的主动防御发展构建网络安全态势感知体系构建威胁情报感知与共享体系有效实现协同防御加强数据资产保护数据资产是政府、企业的信息安全的核心目标网络安全法已经立法对数据资产进行保护从评估、分类、安全策略、有效控制、监测、预警、可信全方位保护字数资产,谢谢,
