計(jì)算機(jī)網(wǎng)絡(luò)安全基礎(chǔ)(1)-閱讀頁
2025-01-25 00:50本頁面
【正文】 決于該事故對組織及其客戶的影響程度。 一個組織對事故流的響應(yīng)直接取決于事故響應(yīng)程序的目標(biāo)。另一種情況可能是保持系統(tǒng)在網(wǎng)上的在線狀態(tài)以及繼續(xù)服務(wù)或允許入侵者再回來，這樣可對入侵者跟蹤并設(shè)置陷阱。通常選擇一個組織的官員來擔(dān)任，他可以是事故響應(yīng)組的成員，也可以是顧問。 事故響應(yīng)程序應(yīng)該規(guī)定事故響應(yīng)組建立其行動檔案。 事故響應(yīng)是很實(shí)際的，不能期望第一次使用事故響應(yīng)程序，每一件事都很完美。 事故響應(yīng)程序還需在現(xiàn)實(shí)世界中測試，可以做一些模擬攻擊，并觀察其響應(yīng)效果。 配置管理程序規(guī)定修改組織的計(jì)算機(jī)系統(tǒng)狀態(tài)的步驟。因此新的配置要從安全的角度予以檢查。 當(dāng)系統(tǒng)變更時，應(yīng)執(zhí)行配置控制程序。當(dāng)提出變更請求時，應(yīng)將變更前后的程序存檔。 配置管理程序 對生成新系統(tǒng)或能力的項(xiàng)目應(yīng)有一個設(shè)計(jì)方法，以提供該組織生成新的系統(tǒng)的步驟。設(shè)計(jì)過程中，與安全相關(guān)的步驟如下： （ 1） 需求定義 在任何一個項(xiàng)目的需求定義階段，應(yīng)將安全需求列入。特別是要確定敏感信息和關(guān)鍵信息的要求。安全人員應(yīng)成為設(shè)計(jì)組成員或作為項(xiàng)目設(shè)計(jì)審查人員。 （ 3） 測試 當(dāng)項(xiàng)目進(jìn)入測試階段，應(yīng)同時進(jìn)行安全測試。安全要求有可能難以測試，例如，難以測試以確定入侵者不可能看到敏感信息。實(shí)施組應(yīng)使用合適的配置管理程序。 每個組織都應(yīng)有一個災(zāi)難恢復(fù)計(jì)劃。事實(shí)上，災(zāi)難恢復(fù)計(jì)劃并不一定需要這樣的熱備站，可以是很簡單的一些措施。 一個恰當(dāng)?shù)臑?zāi)難恢復(fù)計(jì)劃應(yīng)考慮各種故障的級別：單個系統(tǒng)、數(shù)據(jù)中心、整個系統(tǒng)。作為災(zāi)難恢復(fù)計(jì)劃的一部分，應(yīng)該檢查組織的環(huán)境以識別任何單個系統(tǒng)或設(shè)備故障的影響。 “ 可允許的時間 ” 是根據(jù)對系統(tǒng)的關(guān)鍵程度以及解決方案所花的費(fèi)用而定。災(zāi)難恢復(fù)計(jì)劃必須和組織的運(yùn)行部門結(jié)合，使他們知道應(yīng)采取什么步驟恢復(fù)系統(tǒng)運(yùn)行。例如，發(fā)生火災(zāi)，數(shù)據(jù)中心不能使用，應(yīng)采取什么步驟重新恢復(fù)其能力。 假如數(shù)據(jù)中心不能用了，但仍有一些設(shè)備完好，災(zāi)難恢復(fù)計(jì)劃應(yīng)考慮如何添加新的設(shè)備以及如何重建通信線路。如果沒有熱備站，災(zāi)難恢復(fù)計(jì)劃應(yīng)確定其他可能的場地，重新建造計(jì)算機(jī)系統(tǒng)。雖然這類事件發(fā)生的概率較小，但對一個組織的危害極大。第一步是識別必須重建的關(guān)鍵能力，以使該組織繼續(xù)生存。如果是生產(chǎn)產(chǎn)品的工廠，則制造部門是關(guān)鍵，它的優(yōu)先度高于計(jì)算機(jī)系統(tǒng)。測試的必要性不僅在于檢驗(yàn)其正確性，而且在于檢查其是否處于備用狀態(tài)。所以一個組織通常指定一些關(guān)鍵員工定期地對災(zāi)難恢復(fù)計(jì)劃進(jìn)行巡視，而且每年進(jìn)行一次全面的測試。 對一個組織而言，并非需要所有有關(guān)安全的策略，而應(yīng)確定哪些安全策略對該組織是重要的。 安全人員應(yīng)該識別什么是最重要的安全策略，并與系統(tǒng)管理員、人力資源部門、咨詢辦公室協(xié)作，以確定哪些策略是最重要的。例如 ,某些組織允許所有員工在 Inter上沖浪，而沒有任何限制。而另一個組織卻對員工訪問 Inter有嚴(yán)格的限制，甚至限制從某些不可接受的 Web站點(diǎn)下載軟件。事實(shí)上，第一個組織決定根本無須實(shí)施 Inter使用策略。安全專業(yè)人員在為一個組織草擬安全策略以前應(yīng)花一些時間去了解該組織的文化以及員工的期望。安全專業(yè)人員在制定策略時應(yīng)尋求組織的其他部門的幫助。 一般來講，凡是與實(shí)施策略有影響的人都應(yīng)參與策略的制定過程，這樣他們將了解什么是所期望的。 根據(jù)綱要逐節(jié)草擬策略文檔。 在策略文檔完成后，提交管理部門批準(zhǔn)和實(shí)施。但要有效地部署和實(shí)施，需要全體人員介入。由于在策略生成時，已征得各部門管理者的意見。這遠(yuǎn)比最高層領(lǐng)導(dǎo)強(qiáng)調(diào)安全策略的重要性、強(qiáng)調(diào)應(yīng)予以貫徹更有效。特別重要的是，當(dāng)某些安全策略改變時會影響到全體員工，例如，如需更改口令，必須事先告知全體員工，否則會造成一時混亂。 有時安全環(huán)境的突然改變會產(chǎn)生相反的效果，所以采取很好的計(jì)劃和平滑過渡會更好。 一個新的系統(tǒng)及項(xiàng)目啟動時，就應(yīng)同時進(jìn)行安全策略的程序設(shè)計(jì)。 如果新系統(tǒng)不能滿足安全要求，該組織就要知道存在的風(fēng)險，并提供某些機(jī)制來管理存在的風(fēng)險。如果不符合，確定是否可采取措施來遵守新的策略。這可能需要做一些開發(fā)工作，不能立即改變，會有一定的延遲。 很多組織內(nèi)部的審計(jì)部門，定期地審計(jì)系統(tǒng)看其是否遵守安全策略。一般來說，這個變更應(yīng)是雙向的。他們之間應(yīng)有某種約定，一種類型的系統(tǒng)應(yīng)考慮相應(yīng)類型的安全策略。應(yīng)定期對每個策略進(jìn)行審查，看其是否仍然適合于該組織。對某些程序，如事故響應(yīng)程序或?yàn)?zāi)難恢復(fù)計(jì)劃，可能需要更加頻繁的審查。對重要的問題還可召開專門的調(diào)研會。 網(wǎng)絡(luò)安全策略執(zhí)行兩個主要任務(wù)，其一是確定在一個組織內(nèi)實(shí)施什么樣的安全；其二是讓組織內(nèi)的員工行動一致，確定組織需要什么樣的安全。包括敏感信息識別、信息分類、敏感信息標(biāo)記、敏感信息存儲、敏感信息傳輸以及敏感信息銷毀。系統(tǒng)和網(wǎng)絡(luò)管理員應(yīng)對安全策略的實(shí)施負(fù)主要責(zé)任。 計(jì)算機(jī)用戶策略規(guī)定了誰可以使用計(jì)算機(jī)系統(tǒng)以及使用計(jì)算機(jī)系統(tǒng)的規(guī)則。 Inter使用策略規(guī)定了如何合理地使用 Inter，確定哪些是 Inter的非正當(dāng)使用。 要生成安全策略，需要確定什么是重要的策略，什么是員工可接受的行為，經(jīng)過調(diào)研最后完成。安全策略的有效使用需要將安全策略和系統(tǒng)設(shè)計(jì)同步進(jìn)行，還需要定期審計(jì)
試題試卷相關(guān)推薦
鄂ICP備17016276號-1