計算機(jī)網(wǎng)絡(luò)安全基礎(chǔ)-免費(fèi)閱讀
【正文】 安全審計的主要功能是保證組織的安全配置根據(jù)安全策略的要求設(shè)定。 網(wǎng)絡(luò)安全評估的目的是決定一個組織的信息資產(chǎn)的價值、對信息資產(chǎn)的威脅、網(wǎng)絡(luò)系統(tǒng)漏洞大小以及所處的風(fēng)險。 身份鑒別：用于確認(rèn)所聲明的身份的有效性； 訪問控制：防止非授權(quán)使用資源或以非授權(quán)方式使用資源； 數(shù)據(jù)保密：數(shù)據(jù)存儲和傳輸時加密，防止數(shù)據(jù)竊取、竊聽； 數(shù)據(jù)完整：防止數(shù)據(jù)篡改； 防止否認(rèn)：防止發(fā)送者否認(rèn)曾經(jīng)發(fā)送過數(shù)據(jù)或其內(nèi)容，防止接收者對所收到數(shù)據(jù)或內(nèi)容的否認(rèn)。計算機(jī)信息系統(tǒng)必須支持各種安全策略規(guī)定的敏感和非敏感的信息處理。此外還有對員工的安全意識測試，可以試探員工是否泄露信息或幫助他人訪問內(nèi)部網(wǎng)絡(luò)。如果攻擊測試失敗，入侵測試也將提供一個信息，告知未能發(fā)現(xiàn)和暴露一個漏洞。如果安全人員有必要的技術(shù)和知識，大部分評估可由安全管理員做，但更為合適的是由外部公司來執(zhí)行評估。審計每年進(jìn)行一次。 沒有一個組織的管理者的支持，安全程序就很難實施，因此對經(jīng)理們的安全培訓(xùn)也是重要的。 安全培訓(xùn) 對系統(tǒng)管理員進(jìn)行培訓(xùn)也是重要的。 沒有員工的介入，一個組織不可能保護(hù)其敏感信息。私鑰密碼比公鑰密碼要快，然而私鑰密碼不提供數(shù)字簽名和信息簽名。 人工日志檢查效果很好，但費(fèi)時，且易出錯。通常將防盜警報設(shè)計成可檢測任何進(jìn)入保護(hù)區(qū)的企圖。沒有這樣的保護(hù)，所有內(nèi)部系統(tǒng)將無防護(hù)地向外部攻擊開放。它用于該組織計算機(jī)系統(tǒng)的每個用戶，因此任何身份鑒別機(jī)制的應(yīng)用，用戶教育和安全意識是十分重要的。更常用的辦法是安全部門選擇一些簡單的工具對組織內(nèi)的系統(tǒng)進(jìn)行周期測試，這種方法很省事，但檢查不完全。使用現(xiàn)有的工具來識別這些漏洞對安全部門來說是一個比較簡單的事，但是要糾正這些漏洞，對管理員來說是一個要花費(fèi)時間的處理過程。 安全報告系統(tǒng) 監(jiān)控機(jī)制用來保證員工遵守計算機(jī)的使用策略，包括跟蹤 Inter使用的軟件。 假如策略文本是由其他組或人編寫的，那么他們也應(yīng)介入策略的修改工作。相似地，一個用戶策略以及安全策略中的口令要求都會影響安全意識培訓(xùn)程序。如果信息的保護(hù)標(biāo)識為高風(fēng)險域，那么應(yīng)將信息策略放在首位。 安全策略：確定各種計算機(jī)系統(tǒng)需要的技術(shù)控制。必須對資源進(jìn)行分配以及生成調(diào)度計劃。評估組不應(yīng)根據(jù)個別信息，而應(yīng)審查所有的安全漏洞。在評估時，要同時向管理者、員工了解，審查這兩方面的問題。當(dāng)工作負(fù)荷增加時，最容易忽視的就是安全問題。要考察安全員和管理員的技術(shù)水平，看其是否具備必要的技術(shù)來運(yùn)行安全程序。不僅要通過閱讀文本，更重要的是要和使用災(zāi)難恢復(fù)計劃的員工對話，了解災(zāi)難恢復(fù)計劃是否曾經(jīng)使用過、使用的結(jié)果如何、計劃是否經(jīng)過測試、什么樣的災(zāi)難恢復(fù)設(shè)備是可用的、什么樣的災(zāi)難恢復(fù)場地是可用的，以及誰負(fù)責(zé)災(zāi)難恢復(fù)的工作等。策略和過程應(yīng)定期修改。策略和過程應(yīng)適合文本定義的目的。 應(yīng)該檢查大樓內(nèi)的通信線路和位置，以及進(jìn)入大樓的通信線位置。 ⑤ 最后，應(yīng)對整個系統(tǒng)進(jìn)行漏洞掃描。 歸納起來，對該組織的評估包括以下內(nèi)容： 組織的網(wǎng)絡(luò)； 組織的物理安全度量； 組織的現(xiàn)有策略和過程； 組織已有的預(yù)防措施； 員工對安全的重視程度； 員工的工作負(fù)載； 員工的工作態(tài)度； 員工對現(xiàn)有策略的過程的執(zhí)行情況； 組織的經(jīng)營業(yè)務(wù)。 審計檢驗特定的策略以及該組織執(zhí)行的情況。評估是十分重要的，如果對一個組織的信息資產(chǎn)當(dāng)前的風(fēng)險狀態(tài)不清楚，就不可能有效地實施合適的安全程序，以保護(hù)這些資產(chǎn)。每一階段的工作對組織的安全都是有價值的，然而只有將這些階段的工作協(xié)調(diào)一致才能有效地管理網(wǎng)絡(luò)安全的事故風(fēng)險。 網(wǎng)絡(luò)級風(fēng)險評估評估該組織的全部計算機(jī)網(wǎng)絡(luò)及信息基礎(chǔ)設(shè)施的風(fēng)險范圍。調(diào)研提綱（評估目的以及有助于保護(hù)該組織的信息資產(chǎn)的問題）應(yīng)簡單、易懂，并且前提是所提供的信息對被調(diào)研人沒有直接的貢獻(xiàn)。 ③ 如果網(wǎng)絡(luò)和系統(tǒng)管理員不能提供服務(wù)器的安全配置信息，就有必要詳細(xì)檢查這些服務(wù)器，包括口令要求、每個系統(tǒng)的審計配置、當(dāng)前系統(tǒng)的補(bǔ)丁水平等。物理安全的檢查應(yīng)包括場地的物理訪問控制以及場地的敏感區(qū)域的物理訪問控制。 在評估階段需要檢查的文本包括安全策略、信息策略、災(zāi)難恢復(fù)策略、事故響應(yīng)過程、后備策略與過程、員工手冊或策略手冊、招聘新員工的過程、系統(tǒng)配置指南、防火墻規(guī)則、路由器過濾、物理安全策略、軟件開發(fā)方法、軟件移交過程、網(wǎng)絡(luò)配置圖以及組織結(jié)構(gòu)圖等。由于技術(shù)經(jīng)常變化，相應(yīng)的策略和過程也要改變。在評估后備系統(tǒng)的作用時，應(yīng)詳細(xì)地詢問系統(tǒng)操作員，了解后備系統(tǒng)實際的使用情況。特別重要的是，管理員應(yīng)知道在系統(tǒng)遭受破壞時應(yīng)做什么以及如何做。一些附加的軟件加載至系統(tǒng)可能會影響整個組織的安全，具備必要的知識和技巧便于暴露內(nèi)部系統(tǒng)的漏洞。評估時要審查誰負(fù)責(zé)組織的安全，以及如何和員工交流有關(guān)安全問題。又如，策略規(guī)定口令需８個字符，而管理員未遵照此規(guī)定進(jìn)行配置。對每個風(fēng)險，應(yīng)估算在經(jīng)費(fèi)、時間、資源、信譽(yù)等方面的代價，并提出管理風(fēng)險的建議。需要制定的策略和過程包括以下幾項。 事故處理過程：確定信息安全事故處理的目標(biāo)和步驟。 在處理過程中，信息策略需要及早完成。還可先選擇一些少部分人感興趣的小的文本開始，這樣可產(chǎn)生很快成功的機(jī)會，并從中總結(jié)經(jīng)驗，再生成其他的部分。例如，物理安全的改變可以降低加密的要求，反之亦然；防火墻的設(shè)置可以降低立即校
試題試卷相關(guān)推薦
鄂ICP備17016276號-1