信息系統(tǒng)的應(yīng)用過程-wenkub
2023-03-19 17:14:54 本頁面
【正文】 ? 資源保護(hù) 資源是計(jì)算機(jī)文件、目錄和外圍設(shè)備。32邏輯訪問控制 ? 基本概念 ? 邏輯訪問的風(fēng)險(xiǎn) ? 需要保護(hù)的資源、文件和工具 ? 訪問安全框架 ? 操作系統(tǒng)和應(yīng)用訪問控制 ? 日志 33基本概念邏輯訪問安全有三個(gè)最基本的組成部份 ? 用戶身份通常使用用戶名或登錄 ID號(hào)，來表明用戶的身份。? 水滅火器可以放在計(jì)算機(jī)耗材庫房中。在兩個(gè)門之間只能有一個(gè)人。? 控制的來客接觸：所有來客都應(yīng)有雇員護(hù)送。26門禁系統(tǒng)（ locks on doors） 常見的門禁系統(tǒng)包括：? 使用機(jī)械鑰匙的鎖。 25管理控制 ? 雇員佩帶身份或姓名證章；? 解除辭退人員的訪問權(quán)限；? 來訪人員必須登記，包括他是誰，在哪工作，找誰、來訪時(shí)間、離開時(shí)間等。23物理控制 三個(gè)方面：? 安全區(qū)的物理控制 ? 管理控制 ? 門禁系統(tǒng)（ locks on doors） 24安全區(qū)的物理控制 ? 物理訪問安全應(yīng)基于信息技術(shù)設(shè)備所處區(qū)域的定義。? 環(huán)境控制：是用于保護(hù)計(jì)算機(jī)軟硬件，避免其受到火災(zāi)、水災(zāi)、灰塵、電源事故傷害的行為和過程。20應(yīng)用控制 應(yīng)用控制特別針對(duì)某個(gè)應(yīng)用系統(tǒng)，并對(duì)交易事務(wù)的處理產(chǎn)生直接的影響。17綜合控制與應(yīng)用控制18信息系統(tǒng)的綜合控制 ? 綜合信息技術(shù)控制主要關(guān)注企業(yè)的信息技術(shù)基礎(chǔ)，包括任何與信息技術(shù)相關(guān)的政策、過程和工作實(shí)踐。? 應(yīng)用控制是各個(gè)計(jì)算機(jī)應(yīng)用程序中的特別的控制。信息系統(tǒng)中常見的發(fā)現(xiàn)性控制有：? 哈西總數(shù)（ hash totals）；? 生產(chǎn)過程中的檢測(cè)點(diǎn)（ check points）；? 遠(yuǎn)程通信中的回叫（ echo）控制；? 重復(fù)的計(jì)算檢查；? 定期報(bào)告各種變化和不一致；? 內(nèi)部審計(jì)職能。? 對(duì)軟件的所有變動(dòng)都經(jīng)核實(shí)，并進(jìn)行了測(cè)試。? 每項(xiàng)操作都經(jīng)過授權(quán)，并且只處理一次。管理人員使用剩余風(fēng)險(xiǎn)確認(rèn)某些地方是否需要更多的控制措施以進(jìn)一步降低風(fēng)險(xiǎn)。風(fēng)險(xiǎn)的概念包括以下內(nèi)容：? 威脅、薄弱點(diǎn)、處理過程或資產(chǎn)；? 對(duì)資產(chǎn)基于威脅和薄弱點(diǎn)的影響；? 襲擊的可能性。 3風(fēng)險(xiǎn)審計(jì)管理過程4信息系統(tǒng)資產(chǎn)? 信息和數(shù)據(jù)? 硬件? 軟件? 服務(wù)? 文檔? 人員另外還有一些需要考慮的傳統(tǒng)資產(chǎn)包括：建筑物、存貨、資金和無形資產(chǎn)等。10? 控制的基本概念? 物理控制與環(huán)境控制? 邏輯訪問控制? 網(wǎng)絡(luò)控制與互聯(lián)網(wǎng)的使用11控制的基本概念? 控制是為實(shí)現(xiàn)企業(yè)目標(biāo)，避免、檢查、糾正不受歡迎事件發(fā)生提供合理擔(dān)保的政策、措施和組織結(jié)構(gòu)。? 所有的操作都有記錄，并且都是在正確的時(shí)間段進(jìn)行的。13預(yù)防性控制 作用：? 檢查發(fā)現(xiàn)未發(fā)生的問題；? 監(jiān)督操作和輸入；? 在問題發(fā)生之前及時(shí)預(yù)測(cè)和調(diào)整；? 避免錯(cuò)誤、疏漏和欺詐行為的發(fā)生。 15糾正控制 糾正控制的作用包括：? 降低威脅的影響；? 對(duì)發(fā)現(xiàn)的問題進(jìn)行補(bǔ)救；? 確認(rèn)問題的原因；? 修正已發(fā)問題引起的錯(cuò)誤；? 修改處理系統(tǒng)，降低將來再次發(fā)生問題的可能性。 ? 綜合控制是最低水平的控制。他們并不針對(duì)某一特別的交易流或財(cái)務(wù)應(yīng)用系統(tǒng)。這些控制用于確保所有交易均是合法的，經(jīng)過授權(quán)，并被記錄下來。22與物理和環(huán)境控制相關(guān)的風(fēng)險(xiǎn) （ 1）物理風(fēng)險(xiǎn)? 員工 （ IT雇員、清潔工、警衛(wèi)及其他人員）有意或無意的破壞；? 計(jì)算機(jī)或其零部件失竊；? 電壓波動(dòng)導(dǎo)致設(shè)備損壞或數(shù)據(jù)丟失或損壞；? 存在繞過邏輯訪問控制的旁路；? 復(fù)制或查閱敏感或機(jī)密的信息。例如，可以將一棟大樓、一個(gè)計(jì)算機(jī)房、一個(gè)打印間當(dāng)作一個(gè)管理區(qū)域。來訪人在放行之前應(yīng)提供一些證件加以確認(rèn)。? 組合門禁系統(tǒng)或密碼鎖? 電子門禁系統(tǒng)? 生物門禁系統(tǒng)27其他常見的物理控制措施 ? 電視攝像頭? 警衛(wèi)? 雇員在上班時(shí)間以外的控制；? 計(jì)算機(jī)鎖? 手工日志記錄：來客需要登記姓名、單位、事由和會(huì)見人。28其他常見物理控制措施（續(xù)）? 人員擔(dān)保：所有服務(wù)人員應(yīng)該有擔(dān)保。以防止未經(jīng)授權(quán)的人跟隨其他人進(jìn)入。– 自動(dòng)滅火系統(tǒng)? 自動(dòng)滅火器通常使用水或 halon。? 身份計(jì)算機(jī)需要核實(shí)這個(gè)人到底是誰。資源保護(hù)應(yīng)基于每個(gè)用戶的需要。管理人員通過制定公司的訪問安全政策，從而為邏輯訪問控制指明方向。37操作系統(tǒng)和應(yīng)用訪問控制 ? 邏輯訪問控制存在兩個(gè)層次：系統(tǒng)層次（ installation level）和應(yīng)用層次（ application level）。應(yīng)用管理員則負(fù)責(zé)管理在應(yīng)用軟件中誰能做什么。這有助于應(yīng)用管理員依據(jù)每個(gè)用戶的需要設(shè)置訪問權(quán)限。各家產(chǎn)品不同，邏輯訪問控制的力度也不同。其中 A1級(jí)是最安全的。? 如果操作系統(tǒng)中沒有邏輯訪問安全措施，用戶可以安裝一個(gè)獨(dú)立的軟件包。而下一步控制則是檢測(cè)非法用戶的訪問試圖和行為。 ? 交易審計(jì)日志用于記錄交易被系統(tǒng)處理的路徑和過程。? 數(shù)據(jù)破壞：數(shù)據(jù)可能被用戶破壞，數(shù)據(jù)傳輸過程中可能發(fā)生錯(cuò)誤。? 系統(tǒng)無法使用：網(wǎng)絡(luò)連接以及服務(wù)器都可以被輕易破壞。? 病毒與蠕蟲感染：蠕蟲感染是特別經(jīng)過設(shè)計(jì)，用于網(wǎng)絡(luò)傳播的。因此在保護(hù)網(wǎng)絡(luò)設(shè)備不被濫用和盜竊的同時(shí)，還需要將精力集中于邏輯訪問和管理控制。? （ 3）網(wǎng)絡(luò)文檔? 用戶應(yīng)有數(shù)份描述網(wǎng)絡(luò)邏輯和物理層次的文檔。用戶應(yīng)確保擁有合適的登錄口令和資源訪問權(quán)限。這種調(diào)制解調(diào)器只允許由自己呼叫出去的連接訪問。然后辦公系統(tǒng)斷開連接。還可以通過使用其他標(biāo)記（ token）來進(jìn)行控制，確認(rèn)外部用戶的確獲得訪問系統(tǒng)的權(quán)限。應(yīng)定期檢查日志，尋找未經(jīng)授權(quán)的行為。? （ 10）外部供應(yīng)商和咨詢商的訪問也應(yīng)受到監(jiān)督。? （ 11）聯(lián)入網(wǎng)絡(luò)的終端只能是特定的終端。即使未授權(quán)用戶能夠搭線竊聽獲取了數(shù)據(jù)，也會(huì)因?yàn)榧舆^密而無法使用。例如當(dāng)有人想遠(yuǎn)程登錄系統(tǒng)時(shí)，中心系統(tǒng)發(fā)出一個(gè) “挑戰(zhàn) ”例如 “121288”。中心系統(tǒng)收到響應(yīng)信號(hào)以后，經(jīng)核實(shí)正確就可以允許用戶訪問系統(tǒng)。并且
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1