計(jì)算機(jī)網(wǎng)絡(luò)安全基礎(chǔ)-在線瀏覽
2025-02-26 23:26本頁(yè)面
【正文】 不存在。 當(dāng)文本太老了或已過時(shí)了，應(yīng)及時(shí)修改。策略和過程應(yīng)定期修改。 最后，評(píng)估應(yīng)包括檢查最近的事故和審計(jì)報(bào)告。 預(yù)防的兩個(gè)基本措施是后備系統(tǒng)和災(zāi)難恢復(fù)計(jì)劃。應(yīng)了解的情況包括使用什么樣的后備系統(tǒng)、對(duì)什么系統(tǒng)做后備，多長(zhǎng)時(shí)間做一次后備、后備系統(tǒng)存儲(chǔ)在何處、多長(zhǎng)時(shí)間將后備作存儲(chǔ)、是否驗(yàn)證過后備、是否經(jīng)常使用后備，以及后備是否曾經(jīng)有故障等。不僅要通過閱讀文本，更重要的是要和使用災(zāi)難恢復(fù)計(jì)劃的員工對(duì)話，了解災(zāi)難恢復(fù)計(jì)劃是否曾經(jīng)使用過、使用的結(jié)果如何、計(jì)劃是否經(jīng)過測(cè)試、什么樣的災(zāi)難恢復(fù)設(shè)備是可用的、什么樣的災(zāi)難恢復(fù)場(chǎng)地是可用的，以及誰(shuí)負(fù)責(zé)災(zāi)難恢復(fù)的工作等。應(yīng)考察他們是否清楚這些策略和過程，以及是否遵照這些策略和過程去執(zhí)行。 管理員的安全意識(shí)也是十分重要的，要考察管理員是否重視關(guān)于系統(tǒng)配置的安全策略，是否了解安全的威脅、系統(tǒng)的漏洞，是否已采取相應(yīng)的措施。 員工和管理員評(píng)估 一個(gè)組織的員工對(duì)整個(gè)安全環(huán)境的影響是最大的。要考察安全員和管理員的技術(shù)水平，看其是否具備必要的技術(shù)來運(yùn)行安全程序。管理員應(yīng)具備必要的知識(shí)來管理系統(tǒng)和網(wǎng)絡(luò)。然而如果用戶具有太熟練的技巧（如公司的軟件開發(fā)人員），可能會(huì)產(chǎn)生額外的安全問題。對(duì)審計(jì)員，主要考察其對(duì)系統(tǒng)和網(wǎng)絡(luò)的了解，特別是識(shí)別問題的能力，而不注重其對(duì)技術(shù)本身的了解。當(dāng)工作負(fù)荷增加時(shí)，最容易忽視的就是安全問題。 在工作人員超負(fù)荷工作的情況下，往往安全漏洞也易于暴露。 管理者和員工對(duì)安全重要性的重視程度是整個(gè)安全環(huán)境的又一個(gè)關(guān)鍵問題。管理者的態(tài)度以及和與員工的交流都很重要。在評(píng)估時(shí)，要同時(shí)向管理者、員工了解，審查這兩方面的問題。要求的安全環(huán)境是由策略、機(jī)制等決定的。例如，安全策略規(guī)定每周要審查審計(jì)日志，但管理員可能未按規(guī)定執(zhí)行。這種缺乏執(zhí)行的情況也是經(jīng)常發(fā)生的。評(píng)估組不應(yīng)根據(jù)個(gè)別信息，而應(yīng)審查所有的安全漏洞。有些漏洞可由其他一些控制來阻止漏洞的暴露。風(fēng)險(xiǎn)的表達(dá)可從大到小有序地列出。 評(píng)估結(jié)果 評(píng)估的最后一步是開發(fā)一個(gè)安全計(jì)劃。必須對(duì)資源進(jìn)行分配以及生成調(diào)度計(jì)劃。 完成評(píng)估后的下一步是制定安全策略和過程。沒有策略，就不可能設(shè)計(jì)實(shí)施有效的信息安全程序。 策略制定 信息策略：確定信息的敏感度以及對(duì)敏感信息如何處理、存儲(chǔ)、傳輸和銷毀。 安全策略：確定各種計(jì)算機(jī)系統(tǒng)需要的技術(shù)控制。 用戶策略：提供使用該組織計(jì)算機(jī)的使用策略。 賬戶管理過程：確定增加或刪除用戶賬號(hào)的步驟。 災(zāi)難恢復(fù)計(jì)劃：在自然災(zāi)難或人為災(zāi)難后提供重建計(jì)算機(jī)設(shè)施的計(jì)劃。如果信息的保護(hù)標(biāo)識(shí)為高風(fēng)險(xiǎn)域，那么應(yīng)將信息策略放在首位。 在選擇首先編寫的文本時(shí)還要看完成該文本所需的時(shí)間。在災(zāi)難發(fā)生時(shí)，它可提供全部計(jì)算機(jī)設(shè)備的冗余設(shè)施。因?yàn)樾畔⒉呗允菢?gòu)成了解安全程序目的的基礎(chǔ)，說明為什么這些信息是重要的以及應(yīng)該如何保護(hù)它。相似地，一個(gè)用戶策略以及安全策略中的口令要求都會(huì)影響安全意識(shí)培訓(xùn)程序。因?yàn)椴煌块T、不同人員對(duì)各種策略的興趣也是不同的。 安全部門可先草擬一個(gè)框架和目錄作為起點(diǎn)。 某些已有的策略文本由于情況的變更需要修改。 假如策略文本是由其他組或人編寫的，那么他們也應(yīng)介入策略的修改工作。 一個(gè)組織的策略實(shí)施包括技術(shù)工具、物理控制、安全人員聘用的選擇和實(shí)施。 檢查每個(gè)實(shí)施和整個(gè)環(huán)境的關(guān)系，以決定如何和其他的控制相協(xié)調(diào)。 實(shí)施 安全報(bào)告系統(tǒng)是一個(gè)機(jī)制，用于遵守安全部門的跟蹤策略和過程，跟蹤一個(gè)組織內(nèi)的漏洞的總的狀態(tài)。 安全報(bào)告系統(tǒng) 監(jiān)控機(jī)制用來保證員工遵守計(jì)算機(jī)的使用策略，包括跟蹤 Inter使用的軟件。有些機(jī)制還有能力對(duì)那些有這種企圖記錄的訪問進(jìn)行阻斷。更加精細(xì)的機(jī)制可對(duì)桌面系統(tǒng)安裝的新軟件進(jìn)行識(shí)別。 系統(tǒng)漏洞在安全方面成為十分重要的問題。使用現(xiàn)有的工具來識(shí)別這些漏洞對(duì)安全部門來說是一個(gè)比較簡(jiǎn)單的事，但是要糾正這些漏洞，對(duì)管理員來說是一個(gè)要花費(fèi)時(shí)間的處理過程。將漏洞報(bào)告提供給系統(tǒng)管理員用于糾正漏洞。 對(duì)安全部門來說，這是最花費(fèi)時(shí)間的工作。人工系統(tǒng)需要安全人員對(duì)每個(gè)系統(tǒng)進(jìn)行檢查，以決定安全策略的所有方面是否通過系統(tǒng)配置予以遵從。更常用的辦法是安全部門選擇一些簡(jiǎn)單的工具對(duì)組織內(nèi)的系統(tǒng)進(jìn)行周期測(cè)試，這種方法很省事，但檢查不完全。這種機(jī)制需要更多時(shí)間來設(shè)置和配置，但可提供更及時(shí)、更完全的結(jié)果。使用這些機(jī)制，策略遵從的檢查能有規(guī)則地執(zhí)行，并將結(jié)果報(bào)告給系統(tǒng)管理。這樣的機(jī)制也能用來檢驗(yàn)要獲得對(duì)設(shè)施的物理訪問者的標(biāo)識(shí)。它用于該組織計(jì)算機(jī)系統(tǒng)的每個(gè)用戶，因此任何身份鑒別機(jī)制的應(yīng)用，用戶教育和安全意識(shí)是十分重要的。 各種安全機(jī)制的實(shí)施 如果身份鑒別系統(tǒng)發(fā)生變更，要及時(shí)對(duì)用戶進(jìn)行培訓(xùn)，或通過咨詢服務(wù)臺(tái)的幫助，使用戶了解如何使用新的系統(tǒng)。沒有適當(dāng)?shù)挠?jì)劃就無(wú)法實(shí)施身份鑒別機(jī)制。 Inter安全的實(shí)施包括諸如防火墻和虛擬專網(wǎng)VPN等機(jī)制，它可以改變網(wǎng)絡(luò)的體系結(jié)構(gòu)。沒有這樣的保護(hù)，所有內(nèi)部系統(tǒng)將無(wú)防護(hù)地向外部攻擊開放。 防火墻或其他訪問控制設(shè)備的應(yīng)用會(huì)改變網(wǎng)絡(luò)體系結(jié)構(gòu)。 VPN也是 Inter安全的重要角色。這些問題應(yīng)包括在 Inter安全機(jī)制的實(shí)施中。通常將防盜警報(bào)設(shè)計(jì)成可檢測(cè)任何進(jìn)入保護(hù)區(qū)的企圖。 入侵檢測(cè)系統(tǒng)有多種類型，可根據(jù)該組織的總的風(fēng)
試題試卷相關(guān)推薦
鄂ICP備17016276號(hào)-1