粤教版 (2019)必修2 信息系统与社会5.2.3 信息系统安全风险防范的常用技术教案

这是一份粤教版 (2019)必修2 信息系统与社会5.2.3 信息系统安全风险防范的常用技术教案，共7页。教案主要包含了教学内容分析，教学目标，学情分析，教学重难点，教学方法，教学过程，设计意图等内容，欢迎下载使用。

【教学内容分析】
本节内容是广东教育出版社普通高中教科书信息技术必修2《信息系统与社会》第五章《信息系统的安全风险防范》中的第二节《信息系统安全风险防范的技术和方法》。本节是本教科书的终结篇中的一节，让学生认识到信息系统应用过程中存在的风险，熟悉信息系统安全风险防范的常用技术方法，养成规范的信息系统操作习惯，树立信息安全意识，从而提升学生的信息素养。
【教学目标】
1.本节对应的学业要求
A-11：积极利用信息系统促进学习与发展（数字化学习与创新）。
A-13：在信息系统应用过程中，掌握信息系统安全风险防范的常用技术方法（信息意识、信息社会责任）。
2.知识技能目标
（1）了解信息系统安全风险的相关术语。
（2）掌握信息系统安全风险防范的常用技术方法。
（3）运用信息系统安全模型及安全策略来管理信息系统安全问题。
3.学科核心素养水平
在日常生活中，针对不同信息系统的安全需求，参考信息系统安全模型，使用恰当的信息系统安全风险防范技术和管理策略。（数字化学习与创新1、计算思维1）
【学情分析】
通过前面几章的学习，学生掌握了信息系统的组成及具体搭建过程，对生活中常见信息系统的使用也有一定的经验，也在本章第一节的学习中了解到信息系统应用过程中存在风险，但对于信息系统安全风险防范的常用技术方法等知识了解得不够全面，本节旨在通过学习让学生养成规范的信息系统操作习惯，树立信息安全意识，从而提升学生的信息素养。
【教学重难点】
教学重点：掌握信息系统安全风险防范的常用技术。
教学难点：运用信息系统安全模型及安全策略分析和管理信息系统安全问题
【教学方法】
讲授法
【教学过程】
（一）信息系统安全风险的重要术语
同学们大家好，上节课我们了解了信息系统存在各种风险，这节课我们将要学习如何防范这些风险，它的技术和方法又有哪些。
【设计意图】：让学生了解信息系统安全风险的相关术语，在遇到信息系统安全风险的时候能较为准确地对其描述。
（二）信息系统安全模型及安全策略
1.信息系统安全性、便利性与成本的关系
首先我们要知道的是信息系统不存在绝对的安全，因为因为安全性和便利性及成本之间有着矛盾的关系。如下图所示，提高安全性，相应地就会降低便利性；提高安全性，势必增大成本；易用性越好，安全性可能就越低。
2.P2DR安全模型
信息系统安全是一个综合性的问题，需要通过建模的思想来解决信息系统安全管理问题，安全模型能精确和形象地描述信息系统的安全特征，描述和解释安全相关行为。那么信息系统安全模型种类很多，各有特点，今天我们介绍一种常用的安全模型——P2DR模型，如图所示，该模型包括策略、防护、检测和响应四个部分，其中策略是根据风险分析产生安全策略描述了系统中哪些资源要得到保护，以及如何实现对它们的保护。防护是预防安全事件的发生；发现可能存在的系统脆弱性；正确使用系统，防止意外威胁；防止恶意威胁。检测是动态响应和加强防护的依据，发现新的威胁和弱点，并通过循环反馈来及时作出有效的响应。响应是在检测到安全漏洞和安全事件时，通过及时的相应措施将网络系统的安全性调整到风险最低的状态。
3.信息系统安全策略分析
对于以计算机及网络为主题的信息系统，其安全策略可从非技术和技术两个方面来考虑，其中非技术策略方面主要包括预防意识、管理保障措施、应急响应机制等三个层面。技术策略分为物理和逻辑两大方面。物理系统层面包括自然破坏防护机制、质量保护机制、人为破坏防护机制、性能匹配等。主要采取的措施有环境维护、放到、防火、防静电、防雷击和防电磁泄漏等。逻辑方面包括操作系统层面、数据库系统岑明、应用系统层面和网络系统层面等。主要的措施是访问控制和信息加密。
【实例】根据上述所讲的P2DR模型和信息系统安全策略分析，可以对校园网进行安全策略分析，如下图所示。
【设计意图】：让学生知道信息系统不具备绝对的安全，需要通过安全模型来解决信息系统安全管理问题，让学生了解P2DR模型的构成，并运用信息系统安全模型及安全策略来管理信息系统安全问题。
（三）信息系统安全风险防范的常用技术
1.加密技术。信息加密的目的是防止信息被窃取。加密的基本原理是：在发送端将数据变换成某种难以理解的形式，把信息隐藏起来，在接收端通过反变换恢复数据的原样。下面我们来体验一个加密方法——凯撒密码。作为最古老的加密方法，在古罗马的时候已经很流行。其方法是通过把字母移动一定的位数来实现加密和解密，即明文中的所有字母都在字母表上向后（或向前）按照一个固定的数目进行偏移后被替换成密文。例如，当偏移量是3时，所有的字母A将被替换成D，B变成E，以此类推，X将变成A，Y变成B，Z变成C。
【体验】我们用程序来体验一下凯撒密码加密和解密的过程。
（1）对hell进行加密（偏移5位）
（2）对fklqd进行解密（偏移3位）
【拓展】数千年来，人类一直希望实现绝对安全的通信，但传统的方法没有绝对的安全，至多只是在密钥保密的前提下增加破译密文的难度和延长破译的时间。然而随着科技的发展，量子世界带来了震撼，科学家们制作出量子密钥，这是目前人类最安全的加密方式。量子密钥采用单光子作为载体，任何干扰和复制都会让密码立即失效，中止通信中所有窃听行为。我国的“墨子号”量子科学实验卫星利用量子密钥实现加密数据传输和视讯通信。
2.认证技术。认证有两个目的：一是验证信息发送者的身份，以防止有可能冒充发送者身份信息的情况出现；二是验证信息的完整性。在用户身份认证中，密码是当前最简易的方法，但是安全性不够，在安全性要求较高的系统中，可以采用物理手段甚至生物手段来识别，例如人脸识别。
3.主机系统安全技术。主机系统安全技术是指用于保护计算机操作系统和运行于其上的信息系统的技术。主要有操作系统安全技术和数据库安全技术。操作系统安全技术需要解决用户的账户控制、内存与进程保护等；数据库安全技术需要解决业务数据的完整性、安全检索和敏感数据保护等问题。
4.网络与系统安全应急响应技术。其中防火墙是位于不可信的外部网络和被保护的内部网络之间的一个网络安全设备或由多个硬件设备和相应软件组成的系统。入侵检测技术是用于检测损害或企图损害系统的机密性、完整性及可用性等行为的一类安全技术。应急响应技术是指在网络被破坏的前后采取相应的预防、应对措施。一般分为前期响应、中期响应与后期响应三个阶段，它们跨越紧急安全事件发生和应急响应的前后。
5.恶意代码检测与防范技术。恶意代码的防治包括预防、机理分析、检测和清除等环节。恶意代码检测方法包括：代码法、校验和法、行为监测法、软件模拟法、比较法和感染实验法。
6.人工智能技术在反病毒中的应用。根据计算机病毒的表现手段和方式，采用人工智能方法编制检测病毒软件，建立防范计算机病毒专家系统，可以在动态运行过程中不断学习和总结经验，以改进和提高。
【设计意图】：让学生了解信息系统安全风险防范的6种常用技术，并通过体验简单的凯撒密码加密解密过程，加强他们信息系统安全风险的防范意识，并能将这些技术运用到日常信息系统安全风险防范中。
（四）课堂小结
最后我们再总结一下这节课学习的内容，我们学习了信息系统安全风险的六个重要术语，信息系统P2DR安全模型，信息系统安全策略分析和信息系统安全风险防范的六种常用技术。
信息安全风险术语
描述
说明
威胁
是指经常存在的、对信息或信息资产具有潜在危险的人、实体或其他对象，也称为威胁主体，即针对信息或系统的潜在危险。
例如入侵者通过防火墙上的某个端口访问网络或者软件攻击这都属于威胁。
攻击
是不断地对资产进行蓄意或无意破坏，或损害信息、或损坏信息系统的一种行为。它分为主动攻击与被动攻击、蓄意攻击与无意攻击、直接攻击或间接攻击等类型。
如果某人偶然读取了敏感信息，但没有使用该信息的意图，这是被动攻击，但是如果是黑客试图入侵信息系统，这就是主动攻击了。
入侵
是敌手通过攻克系统的访问控制保护，得到对第三方数据的非授权访问。
入侵是主动、有意图地对合法系统发起的攻击。
漏洞
是一个天然的缺陷，犹如没有上锁的门，它是信息系统自身存在的弱点或错误，使信息暴露在被攻击或被破坏的情况下。
例如软件包缺陷、未受保护的系统端口这些都是漏洞。
脆弱性
是一种软件、硬件、过程或人为缺陷，它的存在说明了缺少应该使用的安全措施或者安全措施有缺陷。
如未安装补丁的应用程序或操作系统软件，服务器和工作站上未实施密码管理等。
风险
是威胁主体利用脆弱性的可能性以及相应的业务影响。
网络没有安装入侵检测系统就可能会带来很大的安全风险。