計算機(jī)網(wǎng)絡(luò)安全基礎(chǔ)-文庫吧資料
2025-01-15 23:26本頁面
【正文】 括用戶安全意識培訓(xùn)程序。 身份鑒別機(jī)制可采用口令限制、智能卡、生物識別等形式。 身份鑒別系統(tǒng)用來檢驗要使用的系統(tǒng)和訪問網(wǎng)絡(luò)的用戶的標(biāo)識的機(jī)制。這種軟件機(jī)制需要系統(tǒng)管理員的幫助，因為需要對每個系統(tǒng)上的軟件進(jìn)行檢查。 軟件機(jī)制可用來實(shí)施對策略遵從的自動檢查。這是十分費(fèi)時的，且易于出錯。兩個機(jī)制可以決定是否遵守策略，即自動的或人工的。當(dāng)識別到新的系統(tǒng)時應(yīng)通知系統(tǒng)管理員加以注意，以決定其行動。 安全部門必須定期地跟蹤網(wǎng)上的各種系統(tǒng)以及在這些系統(tǒng)上的漏洞。默認(rèn)的操作系統(tǒng)安裝通常會伴隨著大量的不必要的處理和安全漏洞。這樣的機(jī)制需要安全部門和管理員的合作協(xié)調(diào)。 使用監(jiān)控機(jī)制有一些簡單的配置要求，需要將游戲軟件從臺式機(jī)中去除。該機(jī)制的目的是識別那些一貫違反組織策略的員工。可以是人工系統(tǒng)，也可以是自動系統(tǒng)，大多數(shù)情況二者兼用。例如，物理安全的改變可以降低加密的要求，反之亦然；防火墻的設(shè)置可以降低立即校正系統(tǒng)漏洞的要求。在實(shí)施中可能需要改變系統(tǒng)配置，這不屬于安全部門的控制范圍，因此安全程序的實(shí)施必須有系統(tǒng)和網(wǎng)絡(luò)管理員的介入。如果原始文本的開發(fā)者已經(jīng)不在該組織了，通常需要重新開始。如果原始的策略文本是該組織自己生成的，應(yīng)該首先根據(jù)變化的情況重新組合那些對策略原始版本做過貢獻(xiàn)的組，以原始的文本作為起點(diǎn)，對版本作相應(yīng)的修改。還可先選擇一些少部分人感興趣的小的文本開始，這樣可產(chǎn)生很快成功的機(jī)會，并從中總結(jié)經(jīng)驗，再生成其他的部分。例如，系統(tǒng)管理員對安全策略感興趣，而對信息策略的興趣要少一些；人力資源部門對用戶策略和用戶管理過程更感興趣，對后備等過程不十分感興趣。 有些策略可能同時工作效果更好。該文本還構(gòu)成安全意識培訓(xùn)的基礎(chǔ)。 在處理過程中，信息策略需要及早完成。災(zāi)難恢復(fù)計劃是十分詳細(xì)的文本，需要很多部門和人員作出很大努力才能完成，有時還需要熱線場地商幫助完成。如果由于缺少災(zāi)難恢復(fù)計劃使經(jīng)營業(yè)務(wù)丟失是高風(fēng)險域，那么應(yīng)將災(zāi)難恢復(fù)計劃放在首位。 如何選擇開發(fā)策略的次序，取決于評估階段對風(fēng)險的識別。 事故處理過程：確定信息安全事故處理的目標(biāo)和步驟。 后備策略：確定計算機(jī)系統(tǒng)的后備需求。該策略構(gòu)成了安全程序內(nèi)容的基礎(chǔ)。該策略構(gòu)成了解安全程序目的的基礎(chǔ)。需要制定的策略和過程包括以下幾項。安全策略和過程是確定該組織期望的安全狀態(tài)以及在實(shí)施階段如何工作。計劃不一定從最壞的風(fēng)險開始，因為諸如預(yù)算、資源等因素可以防止這種情況發(fā)生。該組織必須決定評估結(jié)果是否真正反映了安全狀況，以及如何最佳地處理它。對每個風(fēng)險，應(yīng)估算在經(jīng)費(fèi)、時間、資源、信譽(yù)等方面的代價，并提出管理風(fēng)險的建議。 一旦完成了評估分析，評估組應(yīng)該而且能夠提出全部的風(fēng)險，以及向組織進(jìn)行建議。并非將所有漏洞都轉(zhuǎn)換成風(fēng)險。 在完成評估信息搜集后，評估組需要分析這些信息。又如，策略規(guī)定口令需８個字符，而管理員未遵照此規(guī)定進(jìn)行配置。而實(shí)際的安全環(huán)境還要看管理員和員工是否遵照執(zhí)行的情況。 在審查要求的安全環(huán)境的同時，必須審查實(shí)際的安全環(huán)境。有時管理者了解安全的重要性，但不能及時和員工交流，這樣員工并不了解安全的重要性。評估時要審查誰負(fù)責(zé)組織的安全，以及如何和員工交流有關(guān)安全問題。在評估時應(yīng)審查這種超負(fù)荷情況是否是臨時的現(xiàn)象。這時管理員不再去審閱審計日志，用戶共享口令，管理者也不再做安全培訓(xùn)。 如果員工的工作負(fù)擔(dān)太重，經(jīng)常超負(fù)荷，那么即使是完善的安全策略和過程，也不可能很好地執(zhí)行。一些附加的軟件加載至系統(tǒng)可能會影響整個組織的安全，具備必要的知識和技巧便于暴露內(nèi)部系統(tǒng)的漏洞。 一般用戶應(yīng)具備基本的計算機(jī)技巧。安全員應(yīng)了解安全策略及相關(guān)的安全產(chǎn)品。缺少技術(shù)或太熟練的技術(shù)都有可能使很好的安全程序失效。特別重要的是，管理員應(yīng)知道在系統(tǒng)遭受破壞時應(yīng)做什么以及如何做。考察的方式是和員工談話和實(shí)地考察。 除了策略和過程本身是否完善以外，十分重要的是員工的安全意識。 預(yù)防措施評估 和其他策略和過程一起，檢查災(zāi)難恢復(fù)計劃是否完整。在評估后備系統(tǒng)的作用時，應(yīng)詳細(xì)地詢問系統(tǒng)操作員，了解后備系統(tǒng)實(shí)際的使用情況。考察該組織是否根據(jù)已發(fā)生的事故和審計情況有所進(jìn)展。相應(yīng)地還要檢查有關(guān)的培訓(xùn)材料，看這些材料是否反映當(dāng)前的策略和過程。因為組織的系統(tǒng)和網(wǎng)絡(luò)經(jīng)常會改變，如果文本不跟隨系統(tǒng)和網(wǎng)絡(luò)的變化而改變，那么該文本就沒有用處。由于技術(shù)經(jīng)常變化，相應(yīng)的策略和過程也要改變。 策略和過程應(yīng)覆蓋組織運(yùn)行的各個方面。當(dāng)檢查文本是否適當(dāng)時，檢查其要求是否滿足策略和過程的目標(biāo)。 策略和過程評估 每個策略和過程應(yīng)和組織當(dāng)前的經(jīng)營業(yè)務(wù)實(shí)際相關(guān)聯(lián)。 在評估階段需要檢查的文本包括安全策略、信息策略、災(zāi)難恢復(fù)策略、事故響應(yīng)過程、后備策略與過程、員工手冊或策略手冊、招聘新員工的過程、系統(tǒng)配置指南、防火墻規(guī)則、路由器過濾、物理安全策略、軟件開發(fā)方法、軟件移交過程、網(wǎng)絡(luò)配置圖以及組織結(jié)構(gòu)圖等。 物理安全評估 物理安全還包括電源、環(huán)境控制、用于數(shù)據(jù)中心的消防系統(tǒng)。這些地方可能放置網(wǎng)絡(luò)的連接頭，因此應(yīng)將它們包括在敏感區(qū)域或臨界區(qū)域列表內(nèi)。當(dāng)檢查物理安全時，應(yīng)包括對場地、大樓、辦公室、紙面記錄、數(shù)據(jù)中心的物理保護(hù)類型，各個門的鑰匙保管者，鄰近數(shù)據(jù)中心的大樓或場地這些臨界區(qū)域的情況等。物理
試題試卷相關(guān)推薦
鄂ICP備17016276號-1