信息安全合規(guī)監(jiān)測(cè)解決方案-文庫(kù)吧
2025-04-24 23:03 本頁(yè)面
【正文】 操作的風(fēng)險(xiǎn)，或者采用一成不變的初始系統(tǒng)設(shè)置而忽略了對(duì)于安全控制的要求，從而極大的影響系統(tǒng)的正常運(yùn)轉(zhuǎn)。應(yīng)用的深度融合、系統(tǒng)與數(shù)據(jù)的集中，帶來(lái)了更高的風(fēng)險(xiǎn)集中，高度集中的數(shù)據(jù)既是業(yè)務(wù)的焦點(diǎn)，同樣也是威脅的焦點(diǎn)。虛擬化、云計(jì)算等新技術(shù)的引入，使 IT 技術(shù)設(shè)施的安全重心從終端轉(zhuǎn)向服務(wù)端，使得帶有明確界限的物理安全域向邏輯安全域轉(zhuǎn)變，對(duì)信息安全運(yùn)維人員安全防護(hù)能力提出了新的挑戰(zhàn)。 風(fēng)險(xiǎn)產(chǎn)生的原因分析近年信息安全事件本質(zhì)及各類(lèi)滲透方法與工具的原理，惡意用戶(hù)能夠成功實(shí)現(xiàn)對(duì)信息系統(tǒng)的破壞或攻擊，主要利用系統(tǒng)安全漏洞、安全配置、安全狀態(tài)存在的脆弱性，歸納如下：安全漏洞：由于系統(tǒng)自身的問(wèn)題引發(fā)的安全缺陷，主要包括系統(tǒng)登錄漏洞、拒絕服務(wù)漏洞、緩沖區(qū)溢出、蠕蟲(chóng)后門(mén)、意外情況處置錯(cuò)誤等，反映系統(tǒng)自身的安全脆弱性。安全配置：由于人為的疏忽造成的安全缺陷，主要包括系統(tǒng)帳號(hào)、口令、授權(quán)認(rèn)證、日志管控、IP 通信管理等配置不當(dāng)，反映系統(tǒng)配置的脆弱性。安全狀態(tài)：由于系統(tǒng)運(yùn)維管理不當(dāng)引發(fā)的安全缺陷，主要包括系統(tǒng)運(yùn)行狀態(tài)、網(wǎng)絡(luò)端口狀態(tài)、進(jìn)程、審計(jì)、管理措施等，反映了系統(tǒng)當(dāng)前所處環(huán)境的安全狀況。 國(guó)家信息安全政策法規(guī)國(guó)家制定了信息系統(tǒng)等級(jí)保護(hù)基本要求及相關(guān)標(biāo)準(zhǔn)和規(guī)范，明確規(guī)定了我國(guó)的信息安全戰(zhàn)略目標(biāo)，并通過(guò)正式文件的形式將等級(jí)保護(hù)確認(rèn)為國(guó)家信息安全的基本制度和根本方法。2《國(guó)民經(jīng)濟(jì)和社會(huì)發(fā)展第十二個(gè)五年規(guī)劃綱要》對(duì)“加強(qiáng)網(wǎng)絡(luò)與信息安全保障”提出了明確要求：“健全網(wǎng)絡(luò)與信息安全標(biāo)準(zhǔn)規(guī)范，完善信息安全標(biāo)準(zhǔn)體系和認(rèn)證認(rèn)可體系，實(shí)施信息安全等級(jí)保護(hù)、風(fēng)險(xiǎn)評(píng)估等制度。加快推進(jìn)安全可控關(guān)鍵軟硬件應(yīng)用試點(diǎn)示范和推廣，加強(qiáng)信息網(wǎng)絡(luò)監(jiān)測(cè)、安全配置管控能力建設(shè)，確?；A(chǔ)信息網(wǎng)絡(luò)和重點(diǎn)信息系統(tǒng)安全。”《信息安全產(chǎn)業(yè)“十二五”發(fā)展規(guī)劃》重點(diǎn)發(fā)展工作指出：“重點(diǎn)發(fā)展系統(tǒng)及網(wǎng)絡(luò)脆弱性評(píng)估工具、安全配置核查類(lèi)工具、信息安全等級(jí)保護(hù)支撐工具、信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估工具、信息安全技術(shù)與產(chǎn)品的標(biāo)準(zhǔn)符合性評(píng)估工具，以及其他信息安全管理與服務(wù)支撐工具產(chǎn)品?！保⒚鞔_指出“網(wǎng)絡(luò)與信息安全配置監(jiān)測(cè)技術(shù)”為重點(diǎn)發(fā)展的關(guān)鍵信息安全技術(shù)。第 2 章 信息安全合規(guī)監(jiān)測(cè)技術(shù)研究 信息系統(tǒng)安全發(fā)展趨勢(shì)隨著信息化的發(fā)展，業(yè)務(wù)人員的安全意識(shí)和安全技能也在逐步提高。最直接的體現(xiàn)為：傳統(tǒng)以安全事件和新興安全技術(shù)為主要驅(qū)動(dòng)的安全建設(shè)模式，已經(jīng)逐漸演進(jìn)為以業(yè)務(wù)安全需求為驅(qū)動(dòng)的主動(dòng)式安全建設(shè)模式。從國(guó)際的安全發(fā)展動(dòng)態(tài)來(lái)分析，NIST 推出了一套 SCAP 框架來(lái)促進(jìn)安全建設(shè)的執(zhí)行，SCAP 是一種用開(kāi)放性標(biāo)準(zhǔn)實(shí)現(xiàn)自動(dòng)化脆弱性管理、衡量和策略符合性評(píng)估的方法。SCAP 結(jié)合了一系列用來(lái)枚舉軟件缺陷和安全配置問(wèn)題的開(kāi)放性標(biāo)準(zhǔn)，SCAP 利用這些標(biāo)準(zhǔn)衡量系統(tǒng)以尋找系統(tǒng)的脆弱性，并通過(guò)自動(dòng)化的工具來(lái)進(jìn)行檢查和評(píng)估。此框架和工具在美國(guó)得到大量的應(yīng)用和高度評(píng)價(jià)。國(guó)際法中將陸地和海洋進(jìn)行劃分的分界線被稱(chēng)為基線（Baseline）。隨著計(jì)算機(jī)的發(fā)展，基線被引入計(jì)算機(jī)領(lǐng)域，并將其定義為操作系統(tǒng)某一時(shí)期的配置的標(biāo)準(zhǔn)。微軟將基線的概念引入操作系統(tǒng)安全防護(hù)，建立微軟安全防護(hù)體系，詳細(xì)描述了實(shí)現(xiàn)安全運(yùn)行的相關(guān)配置設(shè)置，微軟安全防護(hù)體系中安全基線的元素包括：① 服務(wù)和應(yīng)用程序設(shè)置。例如：只有指定用戶(hù)才有權(quán)啟動(dòng)服務(wù)或運(yùn)行應(yīng)用程序。② 操作系統(tǒng)組件的配置。例如：Inter 信息服務(wù)（IIS）自帶的所有樣本文件必須從計(jì)算機(jī)上刪除。3③ 權(quán)限和權(quán)利分配。例如：只有管理員才有權(quán)更改操作系統(tǒng)文件。④ 管理規(guī)則。例如：計(jì)算機(jī)上的 administrator 密碼每 30 天換一次。傳統(tǒng)基于網(wǎng)絡(luò)的防護(hù)雖依然是基礎(chǔ)，但關(guān)注點(diǎn)逐漸轉(zhuǎn)向?qū)τ跀?shù)據(jù)內(nèi)容、應(yīng)用本身、用戶(hù)身份和行為安全的管理。日益增長(zhǎng)的 IT 資產(chǎn)數(shù)量，無(wú)論硬件設(shè)施還是各類(lèi)軟件，高效安全的管理已成為大型企業(yè)關(guān)注的話(huà)題。企業(yè)多年來(lái)的安全投資，是否產(chǎn)生了價(jià)值？這使企業(yè)開(kāi)始考慮如何正確了解和評(píng)價(jià)企業(yè)安全風(fēng)險(xiǎn)，以及衡量安全工作成效的標(biāo)準(zhǔn)，并更加關(guān)注安全的監(jiān)控和綜合性分析的價(jià)值。威脅的不斷發(fā)展變化，使企業(yè)認(rèn)識(shí)到安全投入的長(zhǎng)期性，同時(shí)也更愿意獲得在節(jié)約投資、加強(qiáng)主動(dòng)性防御的安全建設(shè)方面的借鑒。以技術(shù)平臺(tái)支撐的合規(guī)管理工作正在越來(lái)越受到重視。隨著信息技術(shù)的快速發(fā)展和廣泛應(yīng)用，基礎(chǔ)信息網(wǎng)絡(luò)和重要信息系統(tǒng)安全、信息資源安全以及個(gè)人信息安全等問(wèn)題與日俱增，應(yīng)用安全日益受到關(guān)注，《信息安全產(chǎn)業(yè)“十二五”發(fā)展規(guī)劃》明確提出主動(dòng)防御技術(shù)成為信息安全技術(shù)發(fā)展的重點(diǎn)，信息安全產(chǎn)品與服務(wù)演化為多技術(shù)、多產(chǎn)品、多功能的融合，多層次、全方位、全網(wǎng)絡(luò)的立體監(jiān)測(cè)和綜合防御趨勢(shì)不斷加強(qiáng)，信息安全發(fā)展趨勢(shì)朝系統(tǒng)化、網(wǎng)絡(luò)化
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1