路径: 主页 > GB/T > 第210页 > GB/T 25069-2010 | 标准编号 | GB/T 25069-2010 (GB/T25069-2010) | | 中文名称 | 信息安全技术 术语 | | 英文名称 | Information security technology - Glossary | | 行业 | 国家标准 (推荐) | | 中标分类 | L80 | | 国际标准分类 | 35.040 | | 字数估计 | 78,793 | | 发布日期 | 2010-09-02 | | 实施日期 | 2011-02-01 | | 标准依据 | 国家标准批准发布公告2010年第4号(总第159号) | | 发布机构 | 中华人民共和国国家质量监督检验检疫总局、中国国家标准化管理委员会 | | 范围 | 本标准界定了与信息安全技术领域相关的概念的术语和定义, 并明确了这些条目之间的关系。本标准适用于信息安全技术概念的理解, 其他信息安全技术标准的制定以及信息安全技术的国内外交流。 | GB/T 25069-2010
Information security technology glossary
ICS 35.040
L80
中华人民共和国国家标准
信息安全技术 术语
2010-09-02发布
2011-02-01实施
中华人民共和国国家质量监督检验检疫总局
中国国家标准化管理委员会发布
目次
前言 Ⅲ
引言 Ⅳ
1 范围 1
2 术语和定义 1
2.1 一般概念 1
2.2 技术类 6
2.3 管理类 39
索引 50
汉语拼音索引 50
英文对应词索引 58
前言
本标准由全国信息安全标准化技术委员会(SAC/TC260)提出并归口。
本标准的主要起草单位:中国电子技术标准化研究所、解放军信息安全测评认证中心、公安部三所、
中国信息安全产品测评中心、国家保密技术研究所、中科院软件所、北京知识安全工程中心。
本标准的主要起草人:王延鸣、罗锋盈、胡啸、上官晓丽、陈星、许玉娜、任卫红、刘海龙、吉增瑞、
龚奇敏。
引 言
制定信息安全技术术语标准的目的是为了方便信息安全技术的国内外交流。它给出了与信息安全
领域相关的概念的术语及其定义,并明确了各术语词条之间的关系。
本标准的分类原则是根据国外信息安全术语相关的分类方法,结合国内的实践经验,和国家标准现
状,按三部分来组织编制最基本的信息安全术语:
1) 信息安全一般概念术语;
2) 信息安全技术术语,包括实体类、攻击与保护类、鉴别与密码类、备份与恢复类;
3) 信息安全管理术语,包括管理活动和支持管理活动的技术,主要涉及安全管理、安全测评和风
险管理等基本概念及相关的管理技术。
信息安全技术 术语
1 范围
本标准界定了与信息安全技术领域相关的概念的术语和定义,并明确了这些条目之间的关系。
本标准适用于信息安全技术概念的理解,其他信息安全技术标准的制定以及信息安全技术的国内
外交流。
2 术语和定义
2.1 一般概念
2.1.1
保密性 confidentiality
使信息不泄露给未授权的个人、实体、进程,或不被其利用的特性。
2.1.2
暴露 exposure
特定的攻击利用数据处理系统特定的脆弱性的可能性。
2.1.3
一种用来组织复杂数据的抽象符号体系。
2.1.4
对抗[措施] countermeasure
为减小脆弱性而采用的行动、装置、过程、技术或其他措施。
2.1.5
封闭安全环境 closed-securityenvironment
一种环境,其中通过授权、安全许可、配置控制等形式,进行数据和资源的保护,免受偶然的或恶性
操作。
2.1.6
攻击者 attacker
故意利用技术上或非技术上的安全弱点,以窃取或泄露信息系统或网络的资源,或危及信息系统或
网络资源可用性的任何人。
2.1.7
规程 procedure
对执行一个给定任务所采取动作历程的书面描述。
2.1.8
骇客 cracker/cracking
试图攻破他人信息系统安全并获得对其访问权的人。
2.1.9
黑客 hackers
泛指对网络或联网系统进行未授权访问,但无意窃取或造成损坏的人。黑客的动因被认为是想了
解系统如何工作,或是想证明或反驳现有安全措施的有效性。
2.1.10
计算机安全 computersecurity
采取适当措施保护数据和资源,使计算机系统免受偶然或恶意的修改、损害、访问、泄露等操作的
危害。
2.1.11
计算机犯罪 computercrime
通过直接介入,借助计算机系统或网络而构成的犯罪。
2.1.12
计算机滥用 computerabuse
影响或涉及数据处理系统的安全,蓄意的或无意的未经授权操作计算机的活动。
2.1.13
由计算机及其相关的和配套的设备、设施(含网络)构成的,按照一定的应用目标和规则对信息进行
采集、加工、存储、传输、检索等处理的人机系统。
2.1.14
计算机诈骗 computerfraud
通过直接介入,借助计算机系统或网络而进行的诈骗。
2.1.15
角色 role
在过程或组织的语境中所执行的功能。
2.1.16
开放的安全环境 open-securityenvironment
一种环境,通过普通的操作过程即可获得对数据及资源的保护,使之免受偶然的或恶性的动作。
2.1.17
抗抵赖 non-repudiation
证明某一动作或事件已经发生的能力,以使事后不能否认这一动作或事件。
2.1.18
可核查性 accountability
确保可将一个实体的行动唯一地追踪到此实体的特性。
2.1.19
可靠性 reliability
预期行为和结果保持一致的特性。
2.1.20
可用性 availability
已授权实体一旦需要就可访问和使用的数据和资源的特性。
2.1.21
对象 object
系统中可供访问的实体。例如:数据、资源、进程等。
2.1.22
滥发 spamming
以极多的数据使资源(网络,服务等)不堪重负的行为,或者以各种不相干或不适当的消息使资源淹
没的行为,例如:发送垃圾邮件。
2.1.23
漏报 falsenegative
攻击发生时检测系统没有报警的情况。
2.1.24
敏感性 sensitivity
信息拥有者分配给信息的一种重要程度的度量,以标出该信息的保护需求。
2.1.25
欺骗 spoofing
假冒成合法资源或用户的行为。
2.1.26
蠕虫 worm
一种独立程序,它可通过信息系统或计算机网络进行自身传播,从而造成恶意占用可用资源等
损害。
2.1.27
入侵 intrusion
对某一网络或联网系统的未经授权的访问,即对某一信息系统的有意无意的未经授权的访问(包括
针对信息的恶意活动)。
2.1.28
入侵者 intruder
针对主机、站点、网络等,正在或已经进行入侵或攻击的人。
2.1.29
入侵者/破解者 cracker
未受邀却试图攻破他人的系统安全并获得对其访问权的个人。
2.1.30
熵 entropy
对一个封闭系统的无序性、随机性或变异性等状态的度量。X的熵是对通过观测 X获得信息的一
个数学度量。
2.1.31
熵源 entropysource
产生输出的部件、设备或事件。当该输出以某种方法捕获和处理时,产生包含熵的比特串。
2.1.32
事态 event
某些特定数据、情形或活动的发生。
2.1.33
授权 authorization
赋予某一主体可实施某些动作的权力的过程。
2.1.34
数据保护 dataprotection
采取管理或技术措施,防范未经授权访问数据。
2.1.35
数据损坏 datacorruption
偶然或故意破坏数据的完整性。
2.1.36
数据完整性 dataintegrity
数据没有遭受以未授权方式所作的更改或破坏的特性。
2.1.37
特洛伊木马 trojanhorse
一种表面无害的程序,它包含恶性逻辑程序,可导致未授权地收集、伪造或破坏数据。
2.1.38
保护网络中所传输信息的完整性、保密性、可用性等。
2.1.39
URI
包含名字或地址的短数据串,指向web上的某个对象。
2.1.40
包含地址的短数据串,指向web上的某个对象。URL是URI的子集。
2.1.41
外联网 extranet
运行于公共基础设施上的专网。
2.1.42
完整性 integrity
保卫资产准确性和完整的特性。
2.1.43
微码 microcode
相应于可执行程序指令的处理器指令(例如汇编码)。
2.1.44
违规 breach
使信息系统安全的某一部分被避开或失去作用的行为,可能产生对信息系统的侵入。
2.1.45
误报 falsepositive
没有攻击时检测系统有报警的情况。
2.1.46
系统 system
具有确定目的的、分立的、可识别的物理实体,由集成的、交互的部件构成,其中每一个部件不能单
独达到所要求的整体目的。
注1:在实践中,一个系统经常用与使用有关的名词来定义,如产品系统、飞机系统等。换言之,系统这个词常常可
用与系统内容相关的同义词来代替,如产品、飞机等。
注2:一个系统在它的生存周期中为了满足其需求,往往需要其他系统。例如,一个运行系统需要一个为其概念化、
开发、生产、操作、支撑或处置的系统。
2.1.47
安全服务 securityservice
根据安全策略,为用户提供的某种安全功能及相关的保障。
2.1.48
系统生存周期 systemlifecycle
系统从概念到废弃随时间演变的整个过程。
2.1.49
系统完整性 systemintegrity
系统能够以不受损害的方式执行其预定功能,避免对系统故意的或意外的未授权操纵的特性。
2.1.50
泄露 disclosure
违反信息安全策略,使数据被未经授权的实体使用。
2.1.51
信任 trust
两个元素之间的一种关系:元素x信任元素y,当且仅当x确信y相对于一组活动,元素y将以良
好定义的方式实施,且不违反安全策略。
2.1.52
信息安全 informationsecurity
保护、维持信息的保密性、完整性和可用性,也可包括真实性、可核查性、抗抵赖性、可靠性等性质。
2.1.53
由单个或一系列意外或有害的信息安全事态所组成的,极有可能危害业务运行和威胁信息安全。
2.1.54
被识别的一种系统、服务或网络状态的发生,表明一次可能的信息安全策略违规或某些防护措施失
效,或者一种可能与安全相关但以前不为人知的一种情况。
2.1.55
信息处理系统、服务或基础设施,或其物理放置场所。
2.1.56
信息通信技术安全 ICTsecurity
与定义、实现和维护信息通信技术的保密性、完整性、可用性、抗抵赖,可核查性、真实性和可靠性等
有关的所有方面。
2.1.57
信息系统安全 ITsecurity
与定义、获得和维护保密性、完整性、可用性、可核查性、真实性和可靠性有关的各个方面。
2.1.58
信心 confidence
相信可交付件将以所期望的或所声称的方式(即正确地、可信赖地、实施安全策略、可靠地、高效地)
执/运行。
2.1.59
用于信息安全的行政管理措施。
2.1.60
形式化(的) formal
在完备数学概念基础上,采用具有确定语义并有严格语法的语言表达的。
2.1.61
序号 sequencenumber
一种时变参数,其值取自于指定的序列并在确定时间内不重复。
2.1.62
一致性 consistency
在某一系统或构件中,各文档或各部分之间统一的、标准化的和无矛盾的程度。
2.1.63
隐私 privacy
个人所具有的控制或影响与之相关信息的权限,涉及由谁收集和存储、由谁披露。
2.1.64
用户标识 userID/useridentification
信息系统用于标识用户的一种字符串或模式。
2.1.65
用户数据 userdata
由用户产生或为用户产生的数据,这些数据不影响TSF的运行。
2.1.66
域 field
数学中“域”的概念,即一个元素集合,在该集合上定义的二元运算加法和乘法,以及可用的域公理。
2.1.67
有效性 effectiveness
对某一系统或产品,在建议的或实际的操作使用条件下,表示其提供安全程度的性质。
2.1.68
有限状态模型 finitestatemodel
一种由如下几部分组成的顺序状态机数学模型:一个有限的输入事件集,一个有限的输出事件集,
一个有限的状态集,一个将状态和输入映射到输出的函数,一个将状态和输入映射到状态的函数(状态
转移函数)和一项规定初始状态的规格说明。
2.1.69
真实性 authenticity
确保主体或资源的身份正是所声称的特性。真实性适用于用户、进程、系统和信息之类的实体。
2.1.70
正确性 correctness
在安全策略实现中,针对所指定的安全要求,某一产品或系统展现出其正确地实现了这些要求。
2.2 技术类
2.2.1 攻击与保护
2.2.1.1
安全范畴 securitycategory
有关敏感信息访问范围的一种分组,以此分组加之分等级的安全级别能更精细地控制对数据的
访问。
2.2.1.2
根据业务信息和系统服务的重要性和受损影响,确定实施某种程度的保护,并对该保护程度给以命
名。依据访问数据或信息需求,而确定的特定保护程度,同时赋予相应的保护等级。例:“绝密”、“机
密”、“秘密”。
2.2.1.3
安全功能 securityfunction
在系统中实施安全策略的部分。
2.2.1.4
SFP
描述了特定安全行为的一组规则,由系统安全功能执行并可表达为对系统的一组安全功能需求。
2.2.1.5
安全机制 securitymechanism
实现安全功能,提供安全服务的一组有机组合的基本方法。
2.2.1.6
安全级别 securitylevel
有关敏感信息访问的级别划分,以此级别加之安全范畴能更精细地控制对数据的访问。
2.2.1.7
安全控制 securitycontrols
为保护某一系统及其信息的保密性、完整性和可用性以及可核查性、真实性、抗抵赖性、私有性和可
靠性等,而对信息系统所选择并施加的管理、操作和技术等方面的控制(即防御或对抗)。
2.2.1.8
安全审计 securityaudit
对信息系统的各种事件及行为实行监测、信息采集、分析,并针对特定事件及行为采取相应的动
作。
2.2.1.9
安全事态数据 securityeventdata
反映与系统、服务或网络安全状态有关的数据。例如:在入侵检测系统中由传感器收集和管理的
信息。
2.2.1.10
安全套接层 securesocketslayer
SSL
一种处于网络层与应用层之间,提供客户端和服务器的鉴别及保密性和完整性服务的协议。
2.2.1.11
安全外壳 secureshel
一种利用不安全的网络提供安全的远程登录的协议。
2.2.1.12
安全网关 securitygateway
在网络或各子网之间,或在不同安全域内的软件应用系统之间,一种旨在按照给定的安全策略来保
护网络的连接点。安全网关不仅仅包括防火墙,还包括提供访问控制和加密功能的路由器和交换机等。
2.2.1.13
安全相关要求 security-relatedrequirements
直接影响系统安全的操作要求,或遵从某一安全策略的要求。
2.2.1.14
SIO
安全信息对象类的一个实例。
2.2.1.15
一种已经针对安全使用作了剪裁的信息对象类。
2.2.1.16
安全许可 securityclearance
允许个体访问某一特定安全级别或低于该级别的数据或信息。
2.2.1.17
安全域 securitydomain
在信息系统中,单一安全策略下运行的实体的汇集。例如,由单个或一组认证机构采用同一安全策
略创建的各公钥证书的汇集。
2.2.1.18
安全属性 securityattribute
主体、用户(包括外部的IT产品)、客体、信息、会话和/或资源的某些特性,这些特性用于定义安全
功能需求,并且其值用于实施安全功能需求。
2.2.1.19
被动模式 passivemode
文件传送协议的连接建立模式。
2.2.1.20
本体 principal
其身份能被鉴别的实体。
2.2.1.21
参照监视器概念的一种实现,具有以下特性:防篡改的、总是被调用的,而且相当简单的,能彻底地
对其进行分析和测试。
2.2.1.22
操作者 operator
得到授权担任一个或多个角色的个人或代表个人运行的进程(主体)。
2.2.1.23
测量 measurement
针对实体的某一属性,采用一种测量单位,获得测量值的动作或一系列动作。
2.2.1.24
测量方法 measurementmethod
描述有关测量的操作逻辑序列。测量方法的类型取决于用于量化特征的操作类型。
主要有两种类型:
主观型---根据人判断予以量化;
客观型---根据数值规则予以量化。
2.2.1.25
测量形式 formofmeasurement
一组运算,或是一种测量方法、计算函数,或是分析模型,目的是确定测量值。
2.2.1.26
插空攻击 interleavingattack
一种冒充,使用了从一个或多个正在进行的或以前鉴别交换中所导出的信息。
2.2.1.27
传感器 sensor
监视器 monitor
探针 probe
从被观察的信息系统中,通过感知、监测等收集事态数据的一种部件或代理。
2.2.1.28
一种作为安全套接层协议的后继的正式互联网协议。
2.2.1.29
NRT
为消息原发者提供证据的服务,证明交付机构已经将消息发送给了指定的接收者。
2.2.1.30
传输抗抵赖权标 NRTtoken
允许原发方或交付机构为某一消息建立传送抗抵赖的数据项。
2.2.1.31
一种采用电话线(串行线)传送数据的包成帧协议。
2.2.1.32
存储库 repository
存储证书和证书撤销列表等信息,并提供相应信息检索服务(无需验证)的数据库。
2.2.1.33
搭进 piggybackentry
凭借授权用户的合法连接而对数据处理系统进行未经授权的访问。
2.2.1.34
带外 outofband
通过通常的物理方式进行一些信息处理事务。
2.2.1.35
抵赖 repudiation
在通信系统所涉及的若干实体中,一个实体否认参与全部或部分通信过程。
注:在技术与机制的描述中,术语“抗抵赖”经常用来表示在通信系统中所涉及的若干实体,没有一个实体能否认它
参与了通信。
2.2.1.36
点对点协议 Point-to-PointProtocol
PPP
在点对点链路上,封装网络层协议信息的一种标准方法。
2.2.1.37
端口 port
某一个连接的端点。对于物......
|