計(jì)算機(jī)網(wǎng)絡(luò)安全基礎(chǔ)(1)-文庫(kù)吧在線(xiàn)文庫(kù)
【正文】 到撥號(hào)訪(fǎng)問(wèn)的身份鑒別要求。 對(duì)內(nèi)部系統(tǒng)的遠(yuǎn)程訪(fǎng)問(wèn)是組織允許員工在外出時(shí)從外部訪(fǎng)問(wèn)內(nèi)部系統(tǒng)。策略還應(yīng)要求對(duì)安全程序周期地更新簽名。 計(jì)算機(jī)用戶(hù)策略 策略應(yīng)規(guī)定所有存儲(chǔ)并用于組織內(nèi)的計(jì)算機(jī)的信息屬于組織所有。規(guī)定非授權(quán)軟件不允許裝入系統(tǒng)。但 Inter也給員工提供了一個(gè)濫用計(jì)算機(jī)資源的機(jī)會(huì)。例如，電子郵件策略應(yīng)規(guī)定禁止利用電子郵件進(jìn)行性騷擾；又如，規(guī)定在電子郵件中不用非正式用語(yǔ)和同伴通信。該策略應(yīng)指向組織的安全策略關(guān)于相應(yīng)的病毒配置問(wèn)題。這個(gè)程序的開(kāi)發(fā)由人力資源和系統(tǒng)管理部門(mén)協(xié)助。當(dāng)談及系統(tǒng)管理員監(jiān)控網(wǎng)絡(luò)的能力時(shí)，該程序應(yīng)由計(jì)算機(jī)用戶(hù)策略確定，并反映組織期望系統(tǒng)如何管理。掃描的結(jié)果應(yīng)傳給系統(tǒng)管理來(lái)糾錯(cuò)和執(zhí)行。如采用手動(dòng)方式，程序應(yīng)規(guī)定多長(zhǎng)間隔檢查登錄文件以及事件類(lèi)型等。 這些目標(biāo)不是惟一的，可以有多個(gè)目標(biāo)。 在得到?jīng)Q定事故的更多信息后，應(yīng)組織一個(gè)事故響應(yīng)組，應(yīng)包括以下部門(mén)：安全、系統(tǒng)管理、法律、人力資源、公共關(guān)系等。通常選擇一個(gè)組織的官員來(lái)?yè)?dān)任，他可以是事故響應(yīng)組的成員，也可以是顧問(wèn)。 配置管理程序規(guī)定修改組織的計(jì)算機(jī)系統(tǒng)狀態(tài)的步驟。 配置管理程序 對(duì)生成新系統(tǒng)或能力的項(xiàng)目應(yīng)有一個(gè)設(shè)計(jì)方法，以提供該組織生成新的系統(tǒng)的步驟。 （ 3） 測(cè)試 當(dāng)項(xiàng)目進(jìn)入測(cè)試階段，應(yīng)同時(shí)進(jìn)行安全測(cè)試。事實(shí)上，災(zāi)難恢復(fù)計(jì)劃并不一定需要這樣的熱備站，可以是很簡(jiǎn)單的一些措施。災(zāi)難恢復(fù)計(jì)劃必須和組織的運(yùn)行部門(mén)結(jié)合，使他們知道應(yīng)采取什么步驟恢復(fù)系統(tǒng)運(yùn)行。雖然這類(lèi)事件發(fā)生的概率較小，但對(duì)一個(gè)組織的危害極大。所以一個(gè)組織通常指定一些關(guān)鍵員工定期地對(duì)災(zāi)難恢復(fù)計(jì)劃進(jìn)行巡視，而且每年進(jìn)行一次全面的測(cè)試。而另一個(gè)組織卻對(duì)員工訪(fǎng)問(wèn) Inter有嚴(yán)格的限制，甚至限制從某些不可接受的 Web站點(diǎn)下載軟件。 一般來(lái)講，凡是與實(shí)施策略有影響的人都應(yīng)參與策略的制定過(guò)程，這樣他們將了解什么是所期望的。由于在策略生成時(shí)，已征得各部門(mén)管理者的意見(jiàn)。 一個(gè)新的系統(tǒng)及項(xiàng)目啟動(dòng)時(shí)，就應(yīng)同時(shí)進(jìn)行安全策略的程序設(shè)計(jì)。 很多組織內(nèi)部的審計(jì)部門(mén)，定期地審計(jì)系統(tǒng)看其是否遵守安全策略。對(duì)某些程序，如事故響應(yīng)程序或?yàn)?zāi)難恢復(fù)計(jì)劃，可能需要更加頻繁的審查。系統(tǒng)和網(wǎng)絡(luò)管理員應(yīng)對(duì)安全策略的實(shí)施負(fù)主要責(zé)任。安全策略的有效使用需要將安全策略和系統(tǒng)設(shè)計(jì)同步進(jìn)行，還需要定期審計(jì)和審查。 Inter使用策略規(guī)定了如何合理地使用 Inter，確定哪些是 Inter的非正當(dāng)使用。 網(wǎng)絡(luò)安全策略執(zhí)行兩個(gè)主要任務(wù)，其一是確定在一個(gè)組織內(nèi)實(shí)施什么樣的安全；其二是讓組織內(nèi)的員工行動(dòng)一致，確定組織需要什么樣的安全。他們之間應(yīng)有某種約定，一種類(lèi)型的系統(tǒng)應(yīng)考慮相應(yīng)類(lèi)型的安全策略。如果不符合，確定是否可采取措施來(lái)遵守新的策略。特別重要的是，當(dāng)某些安全策略改變時(shí)會(huì)影響到全體員工，例如，如需更改口令，必須事先告知全體員工，否則會(huì)造成一時(shí)混亂。 在策略文檔完成后，提交管理部門(mén)批準(zhǔn)和實(shí)施。安全專(zhuān)業(yè)人員在為一個(gè)組織草擬安全策略以前應(yīng)花一些時(shí)間去了解該組織的文化以及員工的期望。 安全人員應(yīng)該識(shí)別什么是最重要的安全策略，并與系統(tǒng)管理員、人力資源部門(mén)、咨詢(xún)辦公室協(xié)作，以確定哪些策略是最重要的。如果是生產(chǎn)產(chǎn)品的工廠(chǎng)，則制造部門(mén)是關(guān)鍵，它的優(yōu)先度高于計(jì)算機(jī)系統(tǒng)。 假如數(shù)據(jù)中心不能用了，但仍有一些設(shè)備完好，災(zāi)難恢復(fù)計(jì)劃應(yīng)考慮如何添加新的設(shè)備以及如何重建通信線(xiàn)路。作為災(zāi)難恢復(fù)計(jì)劃的一部分，應(yīng)該檢查組織的環(huán)境以識(shí)別任何單個(gè)系統(tǒng)或設(shè)備故障的影響。實(shí)施組應(yīng)使用合適的配置管理程序。特別是要確定敏感信息和關(guān)鍵信息的要求。 當(dāng)系統(tǒng)變更時(shí)，應(yīng)執(zhí)行配置控制程序。 事故響應(yīng)是很實(shí)際的，不能期望第一次使用事故響應(yīng)程序，每一件事都很完美。 一個(gè)組織對(duì)事故流的響應(yīng)直接取決于事故響應(yīng)程序的目標(biāo)。有些事故可能是由于入侵攻擊或用戶(hù)的誤操作，如數(shù)據(jù)文件的丟失。 當(dāng)計(jì)算機(jī)事故發(fā)生時(shí)，事故響應(yīng)程序確定該組織將如何作出反應(yīng)?？梢杂米詣?dòng)的工具，也可以用手動(dòng)進(jìn)行。 系統(tǒng)管理程序 每個(gè)組織應(yīng)開(kāi)發(fā)一個(gè)識(shí)別計(jì)算機(jī)系統(tǒng)漏洞的程序。該程序也需人力資源和系統(tǒng)管理部門(mén)協(xié)助。應(yīng)該由人力資源部門(mén)和系統(tǒng)管理員協(xié)同工作。郵件策略說(shuō)明在什么條件下是可以接受的，并且在信息策略中指出該類(lèi)信息應(yīng)如何保護(hù)。電子郵件正越來(lái)越多地用于組織的業(yè)務(wù)處理。也就是說(shuō)，使員工了解管理員或安全職員可能監(jiān)視所有和計(jì)算機(jī)相關(guān)的動(dòng)作，包括監(jiān)視 Web站點(diǎn)。因此在策略中要明確說(shuō)明。 計(jì)算機(jī)用戶(hù)策略規(guī)定了誰(shuí)可以使用計(jì)算機(jī)系統(tǒng)以及使用計(jì)算機(jī)系統(tǒng)的規(guī)則。 安全策略還應(yīng)對(duì)允許員工得到這類(lèi)訪(fǎng)問(wèn)的授權(quán)建立一個(gè)正確的過(guò)程。通常防火墻是合適的設(shè)備。 對(duì)每一種接到組織網(wǎng)絡(luò)的連接形式，安全策略應(yīng)說(shuō)明連接的規(guī)則以及保護(hù)機(jī)制。該機(jī)制至少應(yīng)能確定什么樣的用戶(hù)有讀、寫(xiě)、執(zhí)行文件的許可。通常安全策略應(yīng)規(guī)定用于用戶(hù) ID的標(biāo)準(zhǔn)或定義標(biāo)準(zhǔn)的系統(tǒng)管理過(guò)程。 留在紙上的敏感信息必須有相應(yīng)的銷(xiāo)毀方法。應(yīng)該記住，系統(tǒng)管理員能看到計(jì)算機(jī)系統(tǒng)中的所有文本。這類(lèi)信息被嚴(yán)格限制在一個(gè)組織內(nèi)的很有限的員工范圍內(nèi)，不能向組織內(nèi)的全體員工發(fā)布，更不能被組織外的人得到。 安全策略的類(lèi)型 信息策
試題試卷相關(guān)推薦
鄂ICP備17016276號(hào)-1