chenps@ttu.edu.tw
陳志誠
FB:
PATRICK S Chen
~~~~~~~~~~~~~~~~~~~~~~~~~
資安 = 國安
以前管系統的時候是管效能
但現在的管理工具太方便
所以可以很快上手
可以資訊安全管不好
因為不知敵人在那裡?
所以資管變成資安管理~
第一部份上資安基礎
第二部份上雲端資安(資安管理)
ISMS: ISO27001認證
要求:
active participation
考試(Open book)
報告:Presentation雲端 資安
網路FB
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
參考用書:
資訊與網路安全概論(看見比特幣)
東華書局 第五版
黃明祥 林詠章 著
~~~~~~~~~~~~~~~~~~~~~~~~~
風險Risk : 可控制 或不可控制
目標: 降低風險
1.規避風險
2.轉移風險(保險)
3.降低風險
4.接受風險
威脅(外在)
弱點(內在)
Risk = 外在威脅 X 內在弱點 X 範圍(影響)
Risk = Threat X Vulnerability X Impact(衝擊)
20170929
在水準以下叫做: 資訊不安全
管理水準~
~~~~~~~~~~~~~
資安傳統三原則(CIA) / (AN)
1.Confidentiality(機密性)
2.Integrity(完整性): 整個IT資源不受非法存取或異動
銀行帳戶不用現金(隨時可使用)anytime anywhere(有權利可隨時隨地使用)
3.Availability(可用性)
IT資源對授權者來說應隨時隨地可用
電子商務起來以後又加了二個原則:
1.Authentication(確認性) 人 物品 都要對(都要再確認)
2.Non-Repudiation(不可否認性) 確認交易雙方(當事人) 或 貨品 或服務之正確性
所有網路行為一經確認即不可反悔!!
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
IT發展的推動力(Drives)
1.科技研發(政府~學府~企業)
2.需求
3.錢~獲利
4.軍事
5.共享(Google~FB~Wiki~LINE) 共享是最大的推力
但有些資料卻不能共享(所以顧好:資訊安全)
機密資料~所以要學:密碼學
所有的邏輯攻擊~要用密碼學去把它擋下來!!
竊取帳密
網路釣魚
DDOS阻斷服務
竊取個資或內鬼
電影:模仿遊戲
圖靈獎:姚期智(量子計算機)
~~~~~~~~~~~~~~~~~~~~~~~
MIS的組織架構:
CIO(協理)
其下有:
程式設計(軟體開發)
資料管理(上線~DB)
操作管理(
資安管理
系統管理
網路管理
教育訓練
弱點分析
~~ 資安小組會有外部長官或外部專家
~~~~~~~~~~
異地備援的原則:
1.同步傳輸
2.相隔要大於三十公里(金融業要相隔一百公里)
3.
4.
5.
Check List
~~~~~~~~~~~~~~~~~~~~~~~
資安第一道防線
User Authentication
使用者要做好認證才有效果
網路特點是共享(匿名性)
大陸實名制
實名與需名之間的關係
下星期 使用者身份認別~~~
老師資料都放在網路大學
CSA Security guidance.pdf
雲端安全聯盟(協會)
Interoperability and Portability
為什麼不相容
雲端互相操作與可攜行??
但目前沒有阿
(這是題目)
制程技術(專利):
用飛力捕的機器~但是他自己不會生產
EX:賽車手與賽車
達文西手臂
privacy level agreement
雲端隱私如何保護
~~~~~~~~~~~~~~~~~~~~~~~~~~~~
資安第一道防線: 身份識別
網路基本原則:
匿名性
實名制: 雙證件(其實不太好)not good enough
最好改成雙因子認證Biometnics (加上一個生物特徵)
生物特徵:
人臉辨識 mandatory
指紋(辨識率最好)
虹膜(辨識率不太好)
Pixel 2(手機)
指紋辯識
照像
登入一次後就可以通通登入叫:單一簽入(Single-Sign-On)=kerberos(地獄看門狗)
做一個認證SERVER(Authentication + Authority)認證加授權
天才老師比天才學生更重要~可讓其發揮潛力
~~~~~~~~~~~~~~~~~~~~~~~`
使用者身份鑑別:
資安發展比IT還高~
主要是認識他是誰? 給予啥權力?
身份識別基礎
1.What you are? EX: Name~ ID~ Biometric
2.What you have: EX:ID Card~ SmartCard
3.What you know: EX:pwd
多因子或雙因子認證必需包括至少上面二個範疇
TypeI: False Acceptance. (接受了~但事實上是錯的) 身份識別不佳
TypeII: False Rejection. (拒絕了~但事實上是合法用戶) 寧願錯殺一百
20171013
UNIX (主機) –> Linux(PC) –> Android
Windows 系列(綁Office系列)