計(jì)算機(jī)網(wǎng)絡(luò)安全基礎(chǔ)-展示頁(yè)
2025-01-18 23:26本頁(yè)面
【正文】 安全的檢查應(yīng)包括場(chǎng)地的物理訪問(wèn)控制以及場(chǎng)地的敏感區(qū)域的物理訪問(wèn)控制。掃描的結(jié)果可識(shí)別外部威脅和內(nèi)部威脅能看到的漏洞。應(yīng)從系統(tǒng)內(nèi)部和外部?jī)煞矫鎭?lái)做掃描。用這些信息來(lái)識(shí)別使用現(xiàn)有的系統(tǒng)，管理人員是否能發(fā)覺(jué)攻擊。 ③ 如果網(wǎng)絡(luò)和系統(tǒng)管理員不能提供服務(wù)器的安全配置信息，就有必要詳細(xì)檢查這些服務(wù)器，包括口令要求、每個(gè)系統(tǒng)的審計(jì)配置、當(dāng)前系統(tǒng)的補(bǔ)丁水平等。從網(wǎng)絡(luò)配置圖以及和管理員的討論中可獲得如下信息：網(wǎng)絡(luò)上的系統(tǒng)數(shù)和類(lèi)型，操作系統(tǒng)及版本，網(wǎng)絡(luò)拓?fù)洌òń粨Q、路由、橋接等）， Inter訪問(wèn)點(diǎn)， Inter使用，防火墻的數(shù)目、類(lèi)型和版本，撥號(hào)訪問(wèn)點(diǎn)，遠(yuǎn)程訪問(wèn)類(lèi)型，廣域網(wǎng)拓?fù)?，遠(yuǎn)程場(chǎng)地的訪問(wèn)點(diǎn)，到其他組織的訪問(wèn)點(diǎn)， Web服務(wù)器， FTP服務(wù)器以及郵件網(wǎng)關(guān)的位置，網(wǎng)絡(luò)使用的協(xié)議，以及網(wǎng)絡(luò)的控制人員等。 通常網(wǎng)絡(luò)提供了對(duì)信息和系統(tǒng)最便捷的訪問(wèn)方式。最后一部分搜集的信息來(lái)自于對(duì)該組織的各種設(shè)施的物理審查。調(diào)研提綱（評(píng)估目的以及有助于保護(hù)該組織的信息資產(chǎn)的問(wèn)題）應(yīng)簡(jiǎn)單、易懂，并且前提是所提供的信息對(duì)被調(diào)研人沒(méi)有直接的貢獻(xiàn)。 在評(píng)估時(shí)，需要從 3個(gè)基本源搜集信息，即對(duì)組織的員工調(diào)查、文本檢查以及物理檢驗(yàn)。 入侵測(cè)試檢驗(yàn)該組織對(duì)一個(gè)模擬的入侵反應(yīng)的能力。識(shí)別整個(gè)組織處理信息的漏洞對(duì)包括電子的和物理的所有形式的信息進(jìn)行檢驗(yàn)。 網(wǎng)絡(luò)級(jí)風(fēng)險(xiǎn)評(píng)估評(píng)估該組織的全部計(jì)算機(jī)網(wǎng)絡(luò)及信息基礎(chǔ)設(shè)施的風(fēng)險(xiǎn)范圍。 評(píng)估網(wǎng)絡(luò) 歸納起來(lái)，網(wǎng)絡(luò)信息安全評(píng)估有以下一些目的： 確定信息資產(chǎn)的價(jià)值； 確定對(duì)這些信息資產(chǎn)的機(jī)密性、完整性、可用性和可審性的威脅； 確定該組織當(dāng)前實(shí)際存在的漏洞； 識(shí)別與該組織信息資產(chǎn)有關(guān)的風(fēng)險(xiǎn)； 提出改變現(xiàn)狀的建議，使風(fēng)險(xiǎn)減少到可接受的水平； 提供一個(gè)構(gòu)造合適的安全計(jì)劃的基礎(chǔ)。 評(píng)估是通過(guò)風(fēng)險(xiǎn)管理計(jì)劃來(lái)完成的。評(píng)估的作用是：確定一個(gè)組織的信息資產(chǎn)的價(jià)值，識(shí)別與這些信息資產(chǎn)有關(guān)的威脅及漏洞大小，確定總的風(fēng)險(xiǎn)對(duì)該組織的重要性。每一階段的工作對(duì)組織的安全都是有價(jià)值的，然而只有將這些階段的工作協(xié)調(diào)一致才能有效地管理網(wǎng)絡(luò)安全的事故風(fēng)險(xiǎn)。第 5章 網(wǎng)絡(luò)安全處理 評(píng)估 策略制定 實(shí)施 安全培訓(xùn) 審計(jì) 網(wǎng)絡(luò)安全實(shí)施流程 本章小結(jié) 習(xí)題 網(wǎng)絡(luò)安全處理過(guò)程是一個(gè)連續(xù)不斷、周而復(fù)始的過(guò)程，如圖 。它包含 5個(gè)關(guān)鍵階段：評(píng)估、策略制定、實(shí)施、培訓(xùn)、審計(jì)。 安全處理過(guò)程始于評(píng)估階段。評(píng)估是十分重要的，如果對(duì)一個(gè)組織的信息資產(chǎn)當(dāng)前的風(fēng)險(xiǎn)狀態(tài)不清楚，就不可能有效地實(shí)施合適的安全程序，以保護(hù)這些資產(chǎn)。一旦識(shí)別和量化了風(fēng)險(xiǎn)，就可以選擇有效的、代價(jià)小的預(yù)防措施以降低這些風(fēng)險(xiǎn)。 通常有 5個(gè)通用的評(píng)估類(lèi)型： 系統(tǒng)級(jí)漏洞評(píng)估檢驗(yàn)計(jì)算機(jī)系統(tǒng)的已知漏洞及基本策略。 組織的風(fēng)險(xiǎn)評(píng)估分析整個(gè)組織，以識(shí)別對(duì)其信息資產(chǎn)的直接威脅。 審計(jì)檢驗(yàn)特定的策略以及該組織執(zhí)行的情況。這類(lèi)評(píng)估只對(duì)具有成熟安全程序的組織進(jìn)行。能提供現(xiàn)有安全系統(tǒng)以及組織實(shí)施方法的信息的員工，尤其是那些熟練的人員以及管理者是關(guān)鍵的調(diào)研對(duì)象。要審查現(xiàn)有的與安全有關(guān)的策略以及關(guān)鍵的配置文本，包括已完成的和正在草擬的文本。 歸納起來(lái)，對(duì)該組織的評(píng)估包括以下內(nèi)容： 組織的網(wǎng)絡(luò)； 組織的物理安全度量； 組織的現(xiàn)有策略和過(guò)程； 組織已有的預(yù)防措施； 員工對(duì)安全的重視程度； 員工的工作負(fù)載； 員工的工作態(tài)度； 員工對(duì)現(xiàn)有策略的過(guò)程的執(zhí)行情況； 組織的經(jīng)營(yíng)業(yè)務(wù)。 實(shí)施網(wǎng)絡(luò)評(píng)估的具體步驟如下： ① 從網(wǎng)絡(luò)配置圖上檢查每個(gè)連接點(diǎn)，包括服務(wù)器、桌面系統(tǒng)、 Inter訪問(wèn)、撥號(hào)訪問(wèn)、對(duì)遠(yuǎn)程和其他組織的連接。 網(wǎng)絡(luò)評(píng)估 ② 在確定網(wǎng)絡(luò)結(jié)構(gòu)之后，還要識(shí)別網(wǎng)絡(luò)內(nèi)的保護(hù)機(jī)制，包括在全部 Inter訪問(wèn)點(diǎn)上的路由器訪問(wèn)控制表和防火墻規(guī)則，用于遠(yuǎn)程訪問(wèn)的身份鑒別機(jī)制，到其他組織訪問(wèn)點(diǎn)的保護(hù)機(jī)制，用于傳送和存儲(chǔ)信息的加密機(jī)制，用于保護(hù)手提計(jì)算機(jī)的加密機(jī)制，在服務(wù)器、臺(tái)式機(jī)、郵件系統(tǒng)上的防病毒系統(tǒng)以及服務(wù)器安全配置等。 ④ 詢(xún)問(wèn)網(wǎng)絡(luò)管理員關(guān)于使用的網(wǎng)絡(luò)管理系統(tǒng)的類(lèi)型、報(bào)警的類(lèi)型、系統(tǒng)的監(jiān)控者等信息。 ⑤ 最后，應(yīng)對(duì)整個(gè)系統(tǒng)進(jìn)行漏洞掃描。前者是內(nèi)部網(wǎng)絡(luò)的一個(gè)系統(tǒng)，后者是組織防火墻外部的 Inter上的一個(gè)系統(tǒng)。 組織建筑物的物理安全是網(wǎng)絡(luò)安全的一個(gè)關(guān)鍵組成。例如，數(shù)據(jù)中心應(yīng)該和整個(gè)大樓有分開(kāi)的物理訪問(wèn)控制，至少訪問(wèn)數(shù)據(jù)中心必須有嚴(yán)格的限制。 應(yīng)該檢查大樓內(nèi)的通信線路和位置，以及進(jìn)入大樓的通信線位置。這些地方也是惟一的網(wǎng)絡(luò)出口處。關(guān)于這些系統(tǒng)的信息應(yīng)包括場(chǎng)地是如何供電的、數(shù)據(jù)中心的供電情況、使用的 UPS的類(lèi)型、UPS系統(tǒng)的保持時(shí)間、接到 UPS上的系統(tǒng)類(lèi)型、當(dāng)電源失效后 UPS運(yùn)行的指示、接到 UPS的環(huán)境控制、放置在數(shù)據(jù)中心的環(huán)境控制的類(lèi)型、環(huán)境控制失效的指示、數(shù)據(jù)中心的消防系統(tǒng)的類(lèi)型以及灑水系統(tǒng)等。在搜集這些文本基礎(chǔ)上檢查其相關(guān)性、適用性、完全性和正確性。策略和過(guò)程應(yīng)適合文本定義的目的。例如，假如安全策略的目標(biāo)是定義安全需求要針對(duì)所有計(jì)算機(jī)系統(tǒng)，那么不僅要為主機(jī)系統(tǒng)定義專(zhuān)門(mén)的配置，而且也應(yīng)包括臺(tái)式機(jī)和客戶(hù)機(jī)服務(wù)器系統(tǒng)。在實(shí)際工作中常常沒(méi)有考慮到某些方面，或者在生成策略和過(guò)程時(shí)，某些方面還
試題試卷相關(guān)推薦
鄂ICP備17016276號(hào)-1