信息安全基础4
安全威胁
对系统有负面影响的事件 主要威胁
未授权访问(Firewall is Security) 用户伪装 DoS 物理攻击 …
次要威胁
恶意代码引入 混乱或缺失的安全管理 无变更控制 应用系统结构、实现 错误配置 人为错误
安全策略及意义
什么是安全策略？ 规定一个组织如何管理和保护它的信息和计 算机资源的规则
• 用户注册 • 权限管理 • 口令管理 • 权限审查
系统访问控制2
用户责任
目标：防止未授权的用户访问
• 口令使用 • 无人职守的设备
网络访问控制
目标：保护网络服务
• 受限服务 • 强制路径 • 用户认证 • 节点认证 • 远程诊断接口保护 • 网络隔离 • 网络连接控制 • 网络路由控制 • 网络服务的安全性
系统访问控制３
计算机访问控制
目标:防止未授权的计算机访问
• 自动的终端识别 • 终端登陆流程 • 用户验证 • 口令管理系统 • 强制告警 • 终端超时退出 • 限制连接时间
应用系统访问控制
目标：用逻辑控制来控制对应用系统的访问
• 信息访问限制 • 系统功能的使用 • 对源代码的访问控制 • 敏感系统隔离
摄像 禁用水管 过压保护 空调 紧急开关
文档存放
分格存放 防火ຫໍສະໝຸດ 常规控制措施桌面与屏幕管理 资产处理
计算机与网络安全
角色和责任 应规定所有系统和基础设施的管理角色和责任 流程文档化 紧急事件处理 开发和维护分离 外部的设施管理
系统规划与验收 容量规划 系统验收 回退方案 变更控制
信息安全管理最佳实践
BS7799
BS7799标准是由英国标准协会（BSI）制定的信息安全 管理标准，是目前国际上具有代表性的信息安全管理体 系标准
两部分: • BS7799-1《信息安全管理实施细则》 • BS7799-2《信息安全管理体系规范》
• 组织按照本标准要求建立并实施信息安全管理 体系，进行有效的信息安全风险管理，确保商 务可持续性发展； 作为寻求信息安全管理体系 第三方认证的标准。
计算机与网络安全4
数据和软件交换
防止组织间交换信息时信息修改、受损、 滥用
信息和软件交换协议 传输过程中的介质安全 Email安全 办公系统安全
系统访问控制
目标:基于业务需求来控制对信息的访问
访问控制策略文档化
• 确认用于访问控制的业务需求并文档化
用户访问管理
防止未授权的访问 IT服务分配权限必须有正式的流程
安全隔离带 安全区域出入控制 办公场所的安全 关键设备放在公众无法进入的地方 防火： 符合政府的防火标准 手提灭火器 着火区隔离 保证安全门畅通 供电： 符合政府相关规定 不间断电源 备用发电机
物理和环境安全2
电缆
使用地下暗线或管道 与通信线缆隔离 避免穿过公共区域
服务器机房
重要性/敏感性
人员安全
工作的定义和职责划分中的安全问题 目标：降低人为的风险、盗窃、欺诈、资源滥用
人事安全 背景审查 法律协定（保密协定）
事件响应
事件/漏洞报告
用户培训包括相关法规、制度 IT应用培训 安全培训 离职程序 外部资源
物理和环境安全
目标:防止对公司场所和信息的非法访问、破坏和干扰 办公场所、房屋和设施保护：
计算机与网络安全2
防止恶意软件
保护软件和信息的完整性 病毒控制
内务处理
数据备份 操作人员日志 错误日志记录 环境监测
计算机与网络安全3
网络管理
保障网络信息安全，保护支持性的体系 架构
介质处理与安全
防止资产受损及业务活动中断，应控制 介质并对其保护
活动介质的处理 数据处理程序 系统文档的安全 介质的销毁
系统访问控制4
对系统访问和使用情况进行监测
目标：发现未授权的活动 事件日志 利用监测系统 时钟同步
系统开发和维护
系统的安全需求
目标：保证IT系统在开发过程中覆盖安全需求 安全需求分析和规范
为什么需要安全策略？ 策略说明了管理人员、员工、用户可以做什 么，不能做什么以及必须做什么
目的： 通过保障信息的保密性、完整性、可用
性降低对业务的损害，以保障业务的连 续性
可参考的安全标准
TCSEC(桔皮书) ITSEC CC (Common Criteria) BS7799/ISO17799
第三方接入 目标：控制第三方的接入
第三方的风险认定 对策
资产归类及控制
目标是对组织内的信息进行适当的控制
系统：(Name,access controls) 信息系统：(Name,access controls)
责任落实
系统：(owner) 信息系统：(owner)
信息分类（Public:Confidential）
信息安全管理讨论
信息安全基础
非常复杂
很多组成部门 复杂的技术 缺少行业经验 缺少标准 攻击正在增加
信息是资产
信息安全基础2
信息安全基础3
安全的技术基础 访问控制
• MAC&DAC • Passwords • Biometrics • Tokens/SSO •…
加密
• 对称 (DES,3DES,AES…) • 非对称(RSA,DH…) • 混合加密 • 数字签名(MD5、SHA-1…) • 加密应用(PKI、PGP…)
BS7799-1
组织建立并实施信息安全管理体系的一个指导性的准则， 主要为组织制定其信息安全策略和进行有效的信息安全 控制提供的一个大众化的最佳惯例。
10 Domain
基于BS7799-1的安全策略
信息安全策略文档 组织安全 资产归类与控制 人员安全 物理与环境安全 计算机与网络安全 访问控制 系统开发与维护 业务连续性管理 符合性
信息安全策略文档
IT信息安全策略是信息安全管理中最重要的部分。IT安 全策略规定了所有人员访问计算机资源是遵守的规则和 流程。
安全策略
清晰、简明、可实现 明确的适用范围 可强制执行
组织安全
组织框架 目标：在组织范围内管理信息安全
指导委员会 协调资源 责任落实 设施授权 专家指导 跨组织协调 跟踪外部趋势