信息安全體系結(jié)構(gòu)與信息安全策略-文庫吧資料
2025-03-03 17:31本頁面
【正文】 物 理 的 未鎖門窗 自 然 的 滅火系統(tǒng)失靈 硬件和軟件 防病毒軟件過期 媒 介 電干擾 通 信 未加密協(xié)議 人 為 不可靠的技術(shù)支持 對計算機環(huán)境中的漏洞 必須防范什么威脅 主 要 威 脅 內(nèi)部竊密和破壞 竊聽和截收 非法訪問 (以未經(jīng)授權(quán)的方式使用網(wǎng)絡(luò)資源 ) 破壞信息的完整性 (通過篡改、刪除和插入等方式破壞信息的完整性 ) 冒充 (攻擊者利用冒充手段竊取信息、入侵系統(tǒng)、破壞網(wǎng)絡(luò)正常通訊或欺騙合法主機和合法用戶。 必須防范什么威脅 威脅類型 示 例 自然和物理的 火災(zāi)、水災(zāi)、風(fēng)暴、地震、停電 無 意 的 不知情的員工、不知情的顧客 故 意 的 攻擊者、恐怖分子、工業(yè)間諜、政府、惡意代碼 對計算機環(huán)境的威脅 網(wǎng)絡(luò)中基本上存在者兩種威脅 偶然的威脅 有意圖的威脅 被動的威脅 主動的威脅 必須防范什么威脅 安全漏洞： 安全漏洞是資源容易遭受攻擊的位置。要進行有效的安全評估，就必須明確 安全威脅 、 漏洞的產(chǎn)生 ，以及 威脅 、 安全漏洞 和 風(fēng)險 三者之間的關(guān)系。 必須防范什么威脅 為了保護計算機系統(tǒng)和網(wǎng)絡(luò)必須對潛在的安全威脅提高警惕。 要求被保護的網(wǎng)絡(luò)資源被定義之后，就需要對可能對網(wǎng)絡(luò)資源構(gòu)成威脅的因素下定義，以確定可能造成信息丟失和破壞的潛在因素，確定威脅的類型。 需要保護什么資源 在設(shè)計網(wǎng)絡(luò)安全策略時，第一步要分析在所要管理的網(wǎng)絡(luò)中有哪些資源，其中哪些資源是重要的，什么人可以使用這些資源，哪些人可能會對資源構(gòu)成威脅，以及如何保護這些資源。 ? (5) 演示程序 應(yīng)用軟件的演示程序、網(wǎng)絡(luò)操作系統(tǒng)的演示程序、計算機硬件與網(wǎng)絡(luò)硬件的演示程序與網(wǎng)絡(luò)軟件的演示程序。 需要保護什么資源 ? (3) 數(shù)據(jù) 在線存儲的數(shù)據(jù)、離線文檔、執(zhí)行過程中的數(shù)據(jù)、在網(wǎng)絡(luò)中傳輸?shù)臄?shù)據(jù)、備份數(shù)據(jù)、數(shù)據(jù)庫、用戶登錄。 RFC 1044 列出了以下需要定義的網(wǎng)絡(luò)資源： ? (1) 硬件 處理器、主板、鍵盤、終端、工作站、個人計算機、打印機、磁盤、通信數(shù)據(jù)、終端服務(wù)器與路由器。 ? 網(wǎng)絡(luò)性能 。 ? 方便程度和服務(wù)效率的平衡 。 安全策略設(shè)計依據(jù) 制訂安全策略時應(yīng)考慮如下因素： ? 對于內(nèi)部用戶和外部用戶分別提供哪些服務(wù)程序 。 需要注意的是：在網(wǎng)絡(luò)安全策略上，一般采用第一種方法，即明確地限定用戶在網(wǎng)絡(luò)中訪問的權(quán)限與能夠使用的服務(wù)。網(wǎng)絡(luò)服務(wù)類型很多，新的網(wǎng)絡(luò)服務(wù)功能將逐漸出現(xiàn)。 制定安全策略的思想方法 這兩種思想方法所導(dǎo)致的結(jié)果是不相同的。 按照第一種方法，如果決定某一臺機器可以提供匿名 FTP服務(wù)，那么可以理解為除了匿名 FTP服務(wù)之外的所有服務(wù)都是禁止的。內(nèi)容包括： ? 進行安全需求分析 ? 對網(wǎng)絡(luò)系統(tǒng)資源進行評估 ? 對可能存在的風(fēng)險進行分析 ? 確定內(nèi)部信息對外開放的種類及發(fā)布方式和訪問方式 ? 明確網(wǎng)絡(luò)系統(tǒng)管理人員的責(zé)任和義務(wù) ? 確定針對潛在風(fēng)險采取的安全保護措施的主要構(gòu)成方面，制定安全存取、訪問規(guī)則 制定安全策略的原則 ? 適應(yīng)性原則 ：在一種情況下實施的安全策略到另一環(huán)境下就未必適合 ? 動態(tài)性原則 ：用戶在不斷增加，網(wǎng)絡(luò)規(guī)模在不斷擴大，網(wǎng)絡(luò)技術(shù)本身的發(fā)展變化也很快 ? 簡單性原則 ：安全的網(wǎng)絡(luò)是相對簡單的網(wǎng)絡(luò) ? 系統(tǒng)性原則 ：應(yīng)全面考慮網(wǎng)絡(luò)上各類用戶、各種設(shè)備、各種情況，有計劃有準(zhǔn)備地采取相應(yīng)的策略 ? 最小特權(quán)原則 ：每個用戶并不需要使用所有的服務(wù)；不是所有用戶都需要去修改系統(tǒng)中的每一個文件；每一個用戶并不需要都知道系統(tǒng)的根口令，每個系統(tǒng)管理見也沒有必要都知道系統(tǒng)的根口令等 制定安全策略的思想方法 在制定網(wǎng)絡(luò)安全策略時有以下兩種思想方法： ? 凡是沒有明確表示允許的就要被禁止。 (3) 嚴(yán)格的管理： 各網(wǎng)絡(luò)使用機構(gòu) 、 企業(yè)和單位應(yīng)建立相宜的信息安全管理辦法 ， 加強內(nèi)部管理 ， 建立審計和跟蹤體系 ， 提高整體信息安全意識 。 (2) 先進的技術(shù)： 先進的安全技術(shù)是信息安全的根本保障 。 (1) 威嚴(yán)的法律： 安全的基石是社會法律 、 法規(guī)與手段 ?！? 這個敘述沒有談及加密算法和密鑰長度，所以當(dāng)舊的加密算法被替換，新的加密算法被公布的時候，無須對信息安全策略進行修改。 什么是信息安全策略？ ? 信息安全策略的描述方式 信息安全策略的描述語言應(yīng)該是簡潔的、非技術(shù)性的和具有指導(dǎo)性的。在信息安全策略中不規(guī)定使用什么具體技術(shù)，也不描述技術(shù)配置參數(shù)。 什么是信息安全策略？ ? 信息安全策略與技術(shù)方案的區(qū)別 信息安全策略的內(nèi)容應(yīng)該有別于技術(shù)方案， 信息安全策略只是描述一個組織保證信息安全的途徑的指導(dǎo)性文件，它不涉及具體做什么和如何做的問題，只需指出要完成的目標(biāo)。信息安全策略必須有清晰和完全的文檔描述，必須有相應(yīng)的措施保證信息安全策略得到強制執(zhí)行。問題策略描述了一個組織所關(guān)心的安全領(lǐng)域和對這些領(lǐng)域內(nèi)安全問題的基本態(tài)度。 什么是信息安全策略？ ? 什么是信息安全策略 信息安全策略是一組規(guī)則，它們定義了一個組織要實現(xiàn)的安全目標(biāo)和實現(xiàn)這些安全目標(biāo)的途徑。 一個組織的信息安全策略反映出一個組織對于現(xiàn)實和未來安全風(fēng)險的認(rèn)識水平，對于組織內(nèi)部業(yè)務(wù)人員和技術(shù)人員安全風(fēng)險的假定與處理。 什么是信息安全策略？ ? 信息安全策略的意義 信息安全策略（ Information Security Policy）是一個組織機構(gòu)中解決信息安全問題最重要的部分。 Counterattack： 利用高技術(shù)工具，取得證據(jù)，作為犯罪分子犯罪的線索、犯罪依據(jù)，依法偵查處置犯罪分子。 WPDRRC模型 Respond： 對危及安全的事件、行為、過程及時作出響應(yīng)處理，杜絕危害的進一步蔓延擴大，力求系統(tǒng)尚能提供正常服務(wù)。 Detect： 利用高級術(shù)提供的工具檢查系統(tǒng)存在的可能提供黑客攻擊、白領(lǐng)犯罪、病毒泛濫脆弱性。 ? 人 —— 核心 ? 政策（包括法律、法規(guī)、制度、管理） —— 橋梁 ? 技術(shù) —— 落
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1