Page 225 - 计算机技术与人工智能

第七章 信息安全

（六） ISO/IEC 15408 标准
ISO/IEC 15408（CC）是由国际标准化组织/国际电联共同制定，并于1999

年12月批准的信息技术安全评估准则，该标准引用了通用准则（CC）。ISO/
IEC15408准则比以往的其他信息技术安全评估准则更加规范。
（七）中国国家标准 GB/T18336

采用GB/T18336标准等同采用国际标准ISO/IEC15408（CC）。
除以上标准外，还有很多国际标准，如ISO27001、ISO27002信息安全标
准、国际电信联盟（International Telecommunication Union，ITU）制定的关于

PKI的ITU-T X.509标准等；GB17859—1999中国家标准有计算机信息系统安全等
级保护划分准则（基础类标准）、GB/T25058—2010信息系统安全等级保护实施
指南（基础类标准）、GB/T 22240—2008信息系统安全保护等级定级指南（应用

类定级标准）等，在此不详细介绍。

第四节 信息安全的威胁

所谓信息安全威胁，是指某人、物、事件、方法或概念等因素对某些信息资
源或系统的安全使用可能造成的危害。一般把可能威胁信息安全的行为称为攻
击。在现实中，常见的信息安全威胁有以下几类。
①信息泄露：信息被泄露或透露给某个非授权的实体（如人、进程或系

统），泄露的形式主要包括窃听、截收、侧信道攻击和人员疏忽等。其中，截收
泛指获取保密通信的电波、网络数据等；侧信道攻击是指攻击者不能直接获取这
些信号或数据，但可以获得其部分信息或相关信息，而这些信息有助于分析出保

密通信或存储的内容。
②篡改：指攻击者可能改动原有的信息内容，但信息的使用者并不能识别出
被篡改的事实。在传统的信息处理方式下，篡改者对纸质文件的修改可以通过一

些鉴定技术识别修改的痕迹，但在数字环境下，对电子内容的修改不会留下这些
痕迹。
③重放：指攻击者可能截获并存储合法的通信数据，以后出于非法的目的重

新发送它们，而接收者可能仍然进行正常的受理，从而被攻击者所利用。
④假冒：指一个人或系统谎称是另一个人或系统，但信息系统或其管理者可

213