网络安全概论（3）

网络安全概论（3）

• 硬件组件层面：硬件组件安全隐患多源于设计，主要表现为物理安全方面的问题。在设计、选购硬件时，应尽可能减少或消除硬件组件的安全隐患。
• 软件组件层面：软件组件的安全隐患来源于设计和软件工程实施中遗留问题，比如软件设计中的疏忽、软件设计中不必要的功能冗余、软件设计部按信息系统安全等级要求进行模块化设计、软件工程实现中造成的软件系统内部逻辑混乱。
• 网络和通信协议层面：TCP/IP协议簇是目前使用最广泛的协议，但其已经暴露出许多安全问题。因为其最初设计的应用环境是相互信任的，其设计原则是简单、可扩展、尽力而为，只考虑互联互通和资源共享问题，并未考虑也无法兼顾解决网络中的安全问题。

2. 操作系统和应用程序漏洞

操作系统是用户和硬件设备的中间层，操作系统一般都自带一些应用程序或者安装一些其它厂商的软件工具。应用软件在程序实现时的错误，往往就会给系统带来漏洞。漏洞是指计算机系统在硬件、软件、协议的具体实现或系统安全策略上存在的缺陷和不足。漏洞一旦被发现，就可以被攻击者用来在未授权的情况下访问或破坏系统，从而导致危害计算机系统安全的行为。

3. 信息系统面临的安全威胁

基本威胁：安全的基本目标是实现信息的机密性、完整性、可用性。对信息系统这3个基本目标的威胁即是基本威胁。基本威胁有以下4个方面：信息泄露、完整性破坏、拒绝服务、未授权访问。

• 信息泄露：信息泄漏指敏感数据在有意或无意中被泄漏、丢失或透露给某个未授权的实体。信息泄漏包括：信息在传输中被丢失或泄漏；通过信息流向、流量、通信频度和长度等参数等分析，推测出有用信息。
• 完整性破坏：以非法手段取得对信息的管理权，通过未授权的创建、修改、删除和重放等操作而使数据的完整性受到破坏。