網(wǎng)絡(luò)安全需求概述(編輯修改稿)
2024-08-24 06:15 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 的追查工作往往難以進(jìn) 行，其中包括 ● 操作系統(tǒng)日志不健全，如 Windows95/98 不提供操作日志功能； ● 對(duì)于某些欺騙行為不能夠識(shí)別； ● 對(duì)于日志文件記錄的內(nèi)容無(wú)法進(jìn)行有效的分析； ● 缺乏對(duì)攻擊現(xiàn)場(chǎng)回放工具； ● 缺乏防御同樣攻擊的解決辦法。 由此可見，為了能夠追查攻擊的來源，系統(tǒng)應(yīng)該具備有效的工具，記錄攻擊行為的全過程，為調(diào)查工 作提供依據(jù)，同時(shí)也是對(duì)非法入侵者的有效震懾。 另外，由于人手有限，某些工作人員經(jīng)常一身數(shù)職，違反安全系統(tǒng)原則，對(duì)系統(tǒng)安全構(gòu)成嚴(yán)重威脅。 因此，我們應(yīng)該從技術(shù)和管理等多種渠道加強(qiáng)管理和監(jiān)控，杜絕這個(gè)層面上的安全問題。 主機(jī)沒 二、網(wǎng)絡(luò)安全系統(tǒng)的總體規(guī)劃 安全體系結(jié)構(gòu) 網(wǎng)絡(luò)安全體系結(jié)構(gòu)主要考慮安全對(duì)象和安全機(jī)制，安全對(duì)象主要有網(wǎng)絡(luò)安全、系統(tǒng)安全、數(shù)據(jù)庫(kù)安全、 信息安全、設(shè)備安全、信息介質(zhì)安全和計(jì)算機(jī)病毒防治等，其安全體系結(jié)構(gòu)如下圖所示： 安全體系設(shè)計(jì) 安全體系設(shè)計(jì)原則 在進(jìn)行計(jì)算機(jī)網(wǎng)絡(luò)安全設(shè)計(jì)、規(guī)劃時(shí)，應(yīng)遵循以下原則： （1） 需求、風(fēng)險(xiǎn)、代價(jià)平衡分析的原則 ： 對(duì)任一網(wǎng)絡(luò)來說，絕對(duì)安全難以達(dá)到，也不一定必要。對(duì)一個(gè)網(wǎng)絡(luò)要進(jìn)行實(shí)際分析，對(duì)網(wǎng)絡(luò)面臨的威 脅及可能承擔(dān)的風(fēng)險(xiǎn)進(jìn)行定性與定量相結(jié)合的分析，然后制定規(guī)范和措施，確定本系統(tǒng)的安全策略。保護(hù) 成本、被保護(hù)信息的價(jià)值必須平衡，價(jià)值僅 1 萬(wàn)元的信息如果用 5 萬(wàn)元的技術(shù)和設(shè)備去保護(hù)是一種不適當(dāng) 的保護(hù)。 （2） 綜合性、整體性原則 ： 運(yùn)用系統(tǒng)工程的觀點(diǎn)、方法，分析網(wǎng)絡(luò)的安全問題，并制定具體措施。一個(gè)較好的安全措施往往是多 種方法適當(dāng)綜合的應(yīng)用結(jié)果。一個(gè)計(jì)算機(jī)網(wǎng)絡(luò)包括個(gè)人、設(shè)備、軟件、數(shù)據(jù)等環(huán)節(jié)。它們?cè)诰W(wǎng)絡(luò)安全中的 地位和影響作用，只有從系統(tǒng)綜合的整體角度去看待和分析，才可能獲得有效、可行的措施。 （3）一致性原則 ： 這主要是指網(wǎng)絡(luò)安全問題應(yīng)與整個(gè)網(wǎng)絡(luò)的工作周期（或生命周期）同時(shí)存在，制定的安全體系結(jié)構(gòu)必 須與網(wǎng)絡(luò)的安全需求相一致。實(shí)際上，在網(wǎng)絡(luò)建設(shè)之初就考慮網(wǎng)絡(luò)安全對(duì)策，比等網(wǎng)絡(luò)建設(shè)好后再考慮， 不但容易，而且花費(fèi)也少得多。 （4）易操作性原則 ： 安全措施要由人來完成，如果措施過于復(fù)雜，對(duì)人的要求過高，本身就降低了安全性。其次，采用的 措施不能影響系統(tǒng)正常運(yùn)行。 （5）適應(yīng)性、靈活性原則 安全措施必須能隨著網(wǎng)絡(luò)性能及安全需求的變化而變化，要容易適應(yīng)、容易修改。 （6）多重保護(hù)原則 任何安全保護(hù)措施都不是絕對(duì)安全的，都可能被攻破。但是建立一個(gè)多重保護(hù)系統(tǒng)，各層保護(hù)相互補(bǔ) 充，當(dāng)一層保護(hù)被攻破時(shí)，其它層保護(hù)仍可保護(hù)信息的安全。 網(wǎng)絡(luò)安全策略 安全策略分安全管理策略和安全技術(shù)實(shí)施策略兩個(gè)方面： （1） 管理策略 安全系統(tǒng)需要人來執(zhí)行，即使是最好的、最值得信賴的系統(tǒng)安全措施，也不能完全由計(jì)算機(jī)系統(tǒng)來完 全承擔(dān)安全保證任務(wù)，因此必須建立完備的安全組織和管理制度。 （2）技術(shù)策略 技術(shù)策略要針對(duì)網(wǎng)絡(luò)、操作系統(tǒng)、數(shù)據(jù)庫(kù)、信息共享授權(quán)提出具體的措施。 安全管理原則 計(jì)算機(jī)信息系統(tǒng)的安全管理主要基于三個(gè)原則。 （1）多人負(fù)責(zé)原則 每項(xiàng)與安全有關(guān)的活動(dòng)都必須有兩人或多人在場(chǎng)。這些人應(yīng)是系統(tǒng)主管領(lǐng)導(dǎo)指派的，應(yīng)忠誠(chéng)可靠，能 勝任此項(xiàng)工作。 （2）任期有限原則 一般地講，任何人最好不要長(zhǎng)期擔(dān)任與安全有關(guān)的職務(wù)，以免誤認(rèn)為這個(gè)職務(wù)是專有的或永久性的。 （3）職責(zé)分離原則 除非系統(tǒng)主管領(lǐng)導(dǎo)批準(zhǔn)，在信息處理系統(tǒng)工作的人員不要打聽、了解或參與職責(zé)以外、與安全有關(guān)的 任何事情。 安全管理的實(shí)現(xiàn) 信息系統(tǒng)的安全管理部門應(yīng)根據(jù)管理原則和該系統(tǒng)處理數(shù)據(jù)的保密性，制訂相應(yīng)的管理制度或采用相 應(yīng)規(guī)范，其具體工作是： ● 確定該系統(tǒng)的安全等級(jí)； ● 根據(jù)確定的安全等級(jí)，確定安全管理的范圍； ● 制訂相應(yīng)的機(jī)房出入管理制度，對(duì)安全等級(jí)要求較高的系統(tǒng)，要實(shí)行分區(qū)控制，限制工作人員出入 與己無(wú)關(guān)的區(qū)域； ● 制
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1