計(jì)算機(jī)網(wǎng)絡(luò)安全基礎(chǔ)-預(yù)覽頁(yè)
【正文】 系統(tǒng)的保持時(shí)間、接到 UPS上的系統(tǒng)類(lèi)型、當(dāng)電源失效后 UPS運(yùn)行的指示、接到 UPS的環(huán)境控制、放置在數(shù)據(jù)中心的環(huán)境控制的類(lèi)型、環(huán)境控制失效的指示、數(shù)據(jù)中心的消防系統(tǒng)的類(lèi)型以及灑水系統(tǒng)等。策略和過(guò)程應(yīng)適合文本定義的目的。在實(shí)際工作中常常沒(méi)有考慮到某些方面，或者在生成策略和過(guò)程時(shí)，某些方面還不存在。策略和過(guò)程應(yīng)定期修改。 預(yù)防的兩個(gè)基本措施是后備系統(tǒng)和災(zāi)難恢復(fù)計(jì)劃。不僅要通過(guò)閱讀文本，更重要的是要和使用災(zāi)難恢復(fù)計(jì)劃的員工對(duì)話，了解災(zāi)難恢復(fù)計(jì)劃是否曾經(jīng)使用過(guò)、使用的結(jié)果如何、計(jì)劃是否經(jīng)過(guò)測(cè)試、什么樣的災(zāi)難恢復(fù)設(shè)備是可用的、什么樣的災(zāi)難恢復(fù)場(chǎng)地是可用的，以及誰(shuí)負(fù)責(zé)災(zāi)難恢復(fù)的工作等。 管理員的安全意識(shí)也是十分重要的，要考察管理員是否重視關(guān)于系統(tǒng)配置的安全策略，是否了解安全的威脅、系統(tǒng)的漏洞，是否已采取相應(yīng)的措施。要考察安全員和管理員的技術(shù)水平，看其是否具備必要的技術(shù)來(lái)運(yùn)行安全程序。然而如果用戶具有太熟練的技巧（如公司的軟件開(kāi)發(fā)人員），可能會(huì)產(chǎn)生額外的安全問(wèn)題。當(dāng)工作負(fù)荷增加時(shí)，最容易忽視的就是安全問(wèn)題。 管理者和員工對(duì)安全重要性的重視程度是整個(gè)安全環(huán)境的又一個(gè)關(guān)鍵問(wèn)題。在評(píng)估時(shí)，要同時(shí)向管理者、員工了解，審查這兩方面的問(wèn)題。例如，安全策略規(guī)定每周要審查審計(jì)日志，但管理員可能未按規(guī)定執(zhí)行。評(píng)估組不應(yīng)根據(jù)個(gè)別信息，而應(yīng)審查所有的安全漏洞。風(fēng)險(xiǎn)的表達(dá)可從大到小有序地列出。必須對(duì)資源進(jìn)行分配以及生成調(diào)度計(jì)劃。沒(méi)有策略，就不可能設(shè)計(jì)實(shí)施有效的信息安全程序。 安全策略：確定各種計(jì)算機(jī)系統(tǒng)需要的技術(shù)控制。 賬戶管理過(guò)程：確定增加或刪除用戶賬號(hào)的步驟。如果信息的保護(hù)標(biāo)識(shí)為高風(fēng)險(xiǎn)域，那么應(yīng)將信息策略放在首位。在災(zāi)難發(fā)生時(shí)，它可提供全部計(jì)算機(jī)設(shè)備的冗余設(shè)施。相似地，一個(gè)用戶策略以及安全策略中的口令要求都會(huì)影響安全意識(shí)培訓(xùn)程序。 安全部門(mén)可先草擬一個(gè)框架和目錄作為起點(diǎn)。 假如策略文本是由其他組或人編寫(xiě)的，那么他們也應(yīng)介入策略的修改工作。 檢查每個(gè)實(shí)施和整個(gè)環(huán)境的關(guān)系，以決定如何和其他的控制相協(xié)調(diào)。 安全報(bào)告系統(tǒng) 監(jiān)控機(jī)制用來(lái)保證員工遵守計(jì)算機(jī)的使用策略，包括跟蹤 Inter使用的軟件。更加精細(xì)的機(jī)制可對(duì)桌面系統(tǒng)安裝的新軟件進(jìn)行識(shí)別。使用現(xiàn)有的工具來(lái)識(shí)別這些漏洞對(duì)安全部門(mén)來(lái)說(shuō)是一個(gè)比較簡(jiǎn)單的事，但是要糾正這些漏洞，對(duì)管理員來(lái)說(shuō)是一個(gè)要花費(fèi)時(shí)間的處理過(guò)程。 對(duì)安全部門(mén)來(lái)說(shuō)，這是最花費(fèi)時(shí)間的工作。更常用的辦法是安全部門(mén)選擇一些簡(jiǎn)單的工具對(duì)組織內(nèi)的系統(tǒng)進(jìn)行周期測(cè)試，這種方法很省事，但檢查不完全。使用這些機(jī)制，策略遵從的檢查能有規(guī)則地執(zhí)行，并將結(jié)果報(bào)告給系統(tǒng)管理。它用于該組織計(jì)算機(jī)系統(tǒng)的每個(gè)用戶，因此任何身份鑒別機(jī)制的應(yīng)用，用戶教育和安全意識(shí)是十分重要的。沒(méi)有適當(dāng)?shù)挠?jì)劃就無(wú)法實(shí)施身份鑒別機(jī)制。沒(méi)有這樣的保護(hù)，所有內(nèi)部系統(tǒng)將無(wú)防護(hù)地向外部攻擊開(kāi)放。 VPN也是 Inter安全的重要角色。通常將防盜警報(bào)設(shè)計(jì)成可檢測(cè)任何進(jìn)入保護(hù)區(qū)的企圖。入侵檢測(cè)系統(tǒng)需要的主要資源從安全部門(mén)獲得。 人工日志檢查效果很好，但費(fèi)時(shí)，且易出錯(cuò)。它能保護(hù)在傳輸中或存儲(chǔ)中的信息。私鑰密碼比公鑰密碼要快，然而私鑰密碼不提供數(shù)字簽名和信息簽名。公鑰系統(tǒng)需要給大量用戶分發(fā)證書(shū)，要實(shí)現(xiàn)這一點(diǎn)比較困難。 沒(méi)有員工的介入，一個(gè)組織不可能保護(hù)其敏感信息。 必須通過(guò)培訓(xùn)使員工明白為什么安全對(duì)一個(gè)組織如此重要。 安全培訓(xùn) 對(duì)系統(tǒng)管理員進(jìn)行培訓(xùn)也是重要的。安全工作人員要和系統(tǒng)管理員保持緊密的工作關(guān)系。 沒(méi)有一個(gè)組織的管理者的支持，安全程序就很難實(shí)施，因此對(duì)經(jīng)理們的安全培訓(xùn)也是重要的。 審計(jì)是信息安全處理過(guò)程的最后一步。審計(jì)每年進(jìn)行一次。要考慮信息是如何處理的，是否遵從信息策略，敏感的文本是如何存儲(chǔ)和傳輸?shù)?。如果安全人員有必要的技術(shù)和知識(shí)，大部分評(píng)估可由安全管理員做，但更為合適的是由外部公司來(lái)執(zhí)行評(píng)估。有時(shí)用入侵測(cè)試來(lái)代替評(píng)估，實(shí)際上入侵測(cè)試并不能代替評(píng)估。如果攻擊測(cè)試失敗，入侵測(cè)試也將提供一個(gè)信息，告知未能發(fā)現(xiàn)和暴露一個(gè)漏洞。組織應(yīng)規(guī)定測(cè)試的范圍，外部網(wǎng)絡(luò)的入侵測(cè)試應(yīng)限制在組織的外部網(wǎng)絡(luò)連接。此外還有對(duì)員工的安全意識(shí)測(cè)試，可以試探員工是否泄露信息或幫助他人訪問(wèn)內(nèi)部網(wǎng)絡(luò)。除了通用的安全策略外，各用戶單位還要規(guī)定適合自己情況的完整的安全需求和安全策略。計(jì)算機(jī)信息系統(tǒng)必須支持各種安全策略規(guī)定的敏感和非敏感的信息處理。 （ 4） 使用公共通信系統(tǒng) 使用公共通信系統(tǒng)實(shí)現(xiàn)連通性功能是節(jié)約通信資源的有效方法。 身份鑒別：用于確認(rèn)所聲明的身份的有效性； 訪問(wèn)控制：防止非授權(quán)使用資源或以非授權(quán)方式使用資源； 數(shù)據(jù)保密：數(shù)據(jù)存儲(chǔ)和傳輸時(shí)加密，防止數(shù)據(jù)竊取、竊聽(tīng)； 數(shù)據(jù)完整：防止數(shù)據(jù)篡改； 防止否認(rèn)：防止發(fā)送者否認(rèn)曾經(jīng)發(fā)送過(guò)數(shù)據(jù)或其內(nèi)容，防止接收者對(duì)所收到數(shù)據(jù)或內(nèi)容的否認(rèn)。 網(wǎng)絡(luò)信息系統(tǒng)安全體系結(jié)構(gòu)框架將反映網(wǎng)絡(luò)信息系統(tǒng)安全需求和體系結(jié)構(gòu)的共性，其構(gòu)成要素是安全特性、系統(tǒng)單元及開(kāi)放系統(tǒng)互連參考模型結(jié)構(gòu)層次，如圖 。 網(wǎng)絡(luò)安全評(píng)估的目的是決定一個(gè)組織的信息資產(chǎn)的價(jià)值、對(duì)信息資產(chǎn)的威脅、網(wǎng)絡(luò)系統(tǒng)漏洞大小以及所處的風(fēng)險(xiǎn)。包括信息策略、安全策略、用戶策略、后備策略、賬戶管理過(guò)程、事故處理過(guò)程以及災(zāi)難恢復(fù)過(guò)程。 安全審計(jì)的主要功能是保證組織的安全配置根據(jù)安全策略的要
試題試卷相關(guān)推薦
鄂ICP備17016276號(hào)-1