安全审核与风险分析.ppt

《安全审核与风险分析.ppt》由会员分享，可在线阅读，更多相关《安全审核与风险分析.ppt（285页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、2006 VCampus Corporation All Rights Reserved.安全审核与风险分析安全审核与风险分析2006 VCampus Corporation All Rights Reserved.第一单元第一单元安全审核入门安全审核入门审核人员的工作审核人员的工作制定安全策略制定安全策略-任何一个管理规范的网络都需要任何一个管理规范的网络都需要制定一系列的安全策略制定一系列的安全策略。风险评估风险评估明确你所审核的企业性质明确你所审核的企业性质阅读一份书面的安全策略阅读一份书面的安全策略评价已经存在的管理和控制体系评价已经存在的管理和控制体系实施风险分析实施风险分析将系统按

2、安全等级进行分类，包括数据库、将系统按安全等级进行分类，包括数据库、WebWeb服务器、路服务器、路由器和帐号数据库由器和帐号数据库提交审核报告提交审核报告审核人员的职责和前瞻性审核人员的职责和前瞻性从安全管理者的角度考虑从安全管理者的角度考虑需要从防火墙内部进行监测，关注内部网络服务器和主机是否需要从防火墙内部进行监测，关注内部网络服务器和主机是否有异常情况。有异常情况。安全管理者还要从防火墙外部进行渗透以查看防火墙的规则安全管理者还要从防火墙外部进行渗透以查看防火墙的规则配置是否有漏洞，判断黑客是否能穿透防火墙进而控制网络配置是否有漏洞，判断黑客是否能穿透防火墙进而控制网络主机。主机。审核

3、人员的职责和前瞻性审核人员的职责和前瞻性 从安全顾问的角度考虑从安全顾问的角度考虑从黑客的角度和不知情的审核者的角度对网络进行测试从黑客的角度和不知情的审核者的角度对网络进行测试当黑客想要入侵时，想知道其所在的内部网络区段是否存在可当黑客想要入侵时，想知道其所在的内部网络区段是否存在可以入侵或攻击的对象时，他首先会对所有主机进行扫描侦查，以入侵或攻击的对象时，他首先会对所有主机进行扫描侦查，以查看有哪些系统是正在运行的，有没有未进行修复的弱点和以查看有哪些系统是正在运行的，有没有未进行修复的弱点和漏洞。漏洞。审核人员在防火墙内外对网络进行扫描侦查、渗透测试。进行审核人员在防火墙内外对网络进行扫

4、描侦查、渗透测试。进行此类操作的审核人员称为此类操作的审核人员称为ethical hackerethical hacker或或white hat hackerwhite hat hacker。多使用多使用IBM ethical hacking divisionIBM ethical hacking division和和AxemAxem Tiger Team Tiger Team提供的审核提供的审核工具。工具。事实证明，利用各种扫描工具与技术侦测目标系统，可以找出事实证明，利用各种扫描工具与技术侦测目标系统，可以找出所有正在运行的系统，并可以侦测出潜在的易受攻击的的攻击所有正在运行的系统，并可以

5、侦测出潜在的易受攻击的的攻击目标。目标。审核人员的职责和前瞻性审核人员的职责和前瞻性 从一个内部知情人的角度来评估网络安全从一个内部知情人的角度来评估网络安全 实施现场分析，了解网络的拓扑结构、服务等所有网络资源实施现场分析，了解网络的拓扑结构、服务等所有网络资源的具体配置情况。内容包括：的具体配置情况。内容包括：1.1.网络运作的各项标准网络运作的各项标准 2.2.可预测的合法网络行为可预测的合法网络行为3.3.某些特定服务及功能的网络正常流量某些特定服务及功能的网络正常流量4.4.各种数据报文的特征各种数据报文的特征对网络进行各种漏洞分析、风险分析。对网络进行各种漏洞分析、风险分析。合并两

6、方面测试中得到的信息，作综合评价后进行合并两方面测试中得到的信息，作综合评价后进行更深层次的审核。更深层次的审核。审核人员的职责和前瞻性审核人员的职责和前瞻性 内部威胁分析内部威胁分析攻击者并不一定都是黑客和外部人员。攻击者并不一定都是黑客和外部人员。若将存放重要资料的服务器暴露在内部网络的公共区，内部若将存放重要资料的服务器暴露在内部网络的公共区，内部使用者就可能直接对其进行攻击。使用者就可能直接对其进行攻击。使用多层防火墙机制可以很好地解决这个问题。使用多层防火墙机制可以很好地解决这个问题。在内部网络中，另外建立一个防火墙，分割一般使用者和重在内部网络中，另外建立一个防火墙，分割一般使用者

7、和重要资料服务器的网段。严格限制其出入的传输，强化资料存要资料服务器的网段。严格限制其出入的传输，强化资料存取的安全性。取的安全性。审核人员的职责和前瞻性审核人员的职责和前瞻性风险评估风险评估风险评估是指定位网络资源和明确攻击发生的可能风险评估是指定位网络资源和明确攻击发生的可能性。性。风险评估是一种风险评估是一种“差距分析差距分析”，可以显示出安全策，可以显示出安全策略和实际发生攻击之间的差距。略和实际发生攻击之间的差距。信息安全风险评估是指依据有关信息安全技术与管信息安全风险评估是指依据有关信息安全技术与管理标准，对信息系统及由其处理、传输和存储的信理标准，对信息系统及由其处理、传输和存储

8、的信息的机密性、完整性和可用性等安全属性进行评价息的机密性、完整性和可用性等安全属性进行评价的过程。的过程。风险评估的准备风险评估的准备风险评估的准备过程是组织机构进行风险评估的基础，是整风险评估的准备过程是组织机构进行风险评估的基础，是整个风险评估过程有效性的保证。个风险评估过程有效性的保证。确定风险评估的目标确定风险评估的目标确定风险评估的范围确定风险评估的范围建立适当的组织结构建立适当的组织结构建立系统性的风险评估方法建立系统性的风险评估方法获得最高管理者对风险评估计划的批准获得最高管理者对风险评估计划的批准风险评估风险评估 风险评估的依据风险评估的依据1 1、政策法规：中办发、政策法规

9、：中办发200320032727号文件和国信办文件号文件和国信办文件2 2、国际标准：如、国际标准：如BS7799-1 BS7799-1 信息安全管理实施细则信息安全管理实施细则、BS7799-BS7799-2 2 信息安全管理体系规范信息安全管理体系规范等等3 3、国家标准或正在审批的讨论稿，如、国家标准或正在审批的讨论稿，如GB 17859-1999 GB 17859-1999 计算机信计算机信息系统安全保护等级划分准则息系统安全保护等级划分准则和和信息安全风险评估指南信息安全风险评估指南等等4 4、行业通用标准等其它标准、行业通用标准等其它标准风险评估风险评估 风险评估的原则风险评估的原

10、则1 1、可控性原则、可控性原则人员可控性人员可控性工具可控性工具可控性项目过程可控性项目过程可控性2 2、完整性原则、完整性原则-严格按照评估要求和指定的范围进严格按照评估要求和指定的范围进行全面的评估服务。行全面的评估服务。3 3、最小影响原则、最小影响原则-从项目管理层面和工具技术层面，从项目管理层面和工具技术层面，力求将风险评估对信息系统的正常运行的可能影响力求将风险评估对信息系统的正常运行的可能影响降低到最低限度。降低到最低限度。4 4、保密原则、保密原则-不应暴露敏感信息。不应暴露敏感信息。风险评估风险评估 风险结果的判定风险结果的判定风险等级的划分风险等级的划分确定风险数值的大小

11、，明确不同威胁对资产所产生的风险，确确定风险数值的大小，明确不同威胁对资产所产生的风险，确定不同风险的优先次序或等级，风险级别高的资产应被优先分定不同风险的优先次序或等级，风险级别高的资产应被优先分配资源进行保护。配资源进行保护。风险等级从风险等级从1 1到到5 5划分为五级。等级越大，风险越高。划分为五级。等级越大，风险越高。控制措施的选择控制措施的选择对不可接受的风险选择适当的处理方式及控制措施，并形成风对不可接受的风险选择适当的处理方式及控制措施，并形成风险处理计划。险处理计划。控制措施的选择应兼顾管理与技术。控制措施的选择应兼顾管理与技术。残余风险的评价残余风险的评价对于不可接受范围内

12、的风险，应在选择了适当的控制措施后，对于不可接受范围内的风险，应在选择了适当的控制措施后，对残余风险进行评价，判定风险是否已经降低到可接受的水平，对残余风险进行评价，判定风险是否已经降低到可接受的水平，为风险管理提供输入。为风险管理提供输入。为确保所选择控制措施的有效性，必要时可进行再评估，以判为确保所选择控制措施的有效性，必要时可进行再评估，以判断实施控制措施后的残余风险是否是可被接受的。断实施控制措施后的残余风险是否是可被接受的。风险评估风险评估 风险评估的步骤风险评估的步骤1.1.仔细检查书面安全策略仔细检查书面安全策略安全专家把书面的安全策略比喻成安全专家把书面的安全策略比喻成“roa

13、d map”road map”或或“framework”framework”，因为它使网络在扩大规模中仍能保持安全。，因为它使网络在扩大规模中仍能保持安全。安全审核人员应该仔细阅读安全策略并检验雇员对策略的执行情安全审核人员应该仔细阅读安全策略并检验雇员对策略的执行情况。况。2.2.对资源进行分析、分类和排序对资源进行分析、分类和排序 -找出网络中最重要的资源找出网络中最重要的资源 风险评估风险评估问问 题题回回 答答什么是受攻击的目什么是受攻击的目标？标？如果目标是一般用户的操作系统，则风险低；如果目标如果目标是一般用户的操作系统，则风险低；如果目标是人力资源系统，则风险高。是人力资源系统，

14、则风险高。出现问题的严重性出现问题的严重性？一旦出现问题，后果有多严重？影响企业还是影响个别一旦出现问题，后果有多严重？影响企业还是影响个别的系统？通常需要对损失的时间和金钱进行评估。的系统？通常需要对损失的时间和金钱进行评估。发生攻击的可能性发生攻击的可能性？攻击发生的可能到底有多大？是不太可能发生还是非常攻击发生的可能到底有多大？是不太可能发生还是非常有可能发生。有可能发生。3.3.通常遭受攻击的资源通常遭受攻击的资源 了解资源的分布情况：了解资源的分布情况：下表列出了一些通常遭受攻击的网络资源下表列出了一些通常遭受攻击的网络资源 ：攻击热点攻击热点 潜在威胁潜在威胁 网络资源网络资源 路

15、由器和交换机路由器和交换机防火墙防火墙网络主机网络主机 服务器资源服务器资源 安全帐号数据库安全帐号数据库信息数据库信息数据库SMTPSMTP服务器服务器HTTPHTTP服务器服务器FTPFTP服务器服务器 对资源进行分类是一个明智的策略对资源进行分类是一个明智的策略 每个部门都有自己的数据库，但人力资源、财务和研发部门的每个部门都有自己的数据库，但人力资源、财务和研发部门的数据通常比其它部门的更重要一些。数据通常比其它部门的更重要一些。4.4.考虑商业需求考虑商业需求 为企业需求制定安全策略，应当考虑一些特殊的部门和个体。目标是为企业需求制定安全策略，应当考虑一些特殊的部门和个体。目标是提高

16、各部门的工作效率并使他们的数据更安全。提高各部门的工作效率并使他们的数据更安全。5.评估已有的边界和内部安全评估已有的边界和内部安全边界安全指网络间区分彼此的能力，防火墙是定义安全边界的边界安全指网络间区分彼此的能力，防火墙是定义安全边界的第一道屏障。第一道屏障。内部安全是指网络管理员监测和打击未授权的网络活动的能力。内部安全是指网络管理员监测和打击未授权的网络活动的能力。通过对现有安全机制的评估确认网络可以从下列外部攻击中通过对现有安全机制的评估确认网络可以从下列外部攻击中尽快恢复。尽快恢复。消耗带宽攻击：攻击者发送大量欺骗性数据占用网络带宽达到消耗带宽攻击：攻击者发送大量欺骗性数据占用网络

17、带宽达到拒绝服务的目的。拒绝服务的目的。错误的防火墙规则设置：错误的代理服务和包过滤规则的设置错误的防火墙规则设置：错误的代理服务和包过滤规则的设置是网络安全极大的隐患。是网络安全极大的隐患。将系统置于防火墙之外：尽可能将网络资源置于防火墙内部。将系统置于防火墙之外：尽可能将网络资源置于防火墙内部。6.使用已有的管理和控制结构使用已有的管理和控制结构 在审核过程中，可以使用网络中已有的管理和控制结构。在审核过程中，可以使用网络中已有的管理和控制结构。基于网络的管理结构基于网络的管理结构 基于主机的管理结构基于主机的管理结构 两种管理结构各有优劣，可以根据不同的管理任务进行选择。两种管理结构各有

18、优劣，可以根据不同的管理任务进行选择。简单查询体系结构简单查询体系结构 用户用户代理体系结构代理体系结构风险评估阶段风险评估阶段黑客在入侵攻击网络系统的过程中不外乎三个步骤：黑客在入侵攻击网络系统的过程中不外乎三个步骤：扫描侦查、渗透和控制网络系统。扫描侦查、渗透和控制网络系统。安全审核人员进行审核时也有三个阶段：侦查阶段、安全审核人员进行审核时也有三个阶段：侦查阶段、渗透阶段、控制阶段。渗透阶段、控制阶段。安全审核人员不同于黑客：安全审核人员采用一些安全审核人员不同于黑客：安全审核人员采用一些分析手段评估网络，进而提交报告以增强网络的安分析手段评估网络，进而提交报告以增强网络的安全性。虽然所

19、采用的审核方式、方法跟黑客的入侵全性。虽然所采用的审核方式、方法跟黑客的入侵攻击没有区别。攻击没有区别。侦查阶段侦查阶段-扫描和测试系统的有效安全性扫描和测试系统的有效安全性对网络进行侦查意味着要定位出网络资源的使用的具体情况，对网络进行侦查意味着要定位出网络资源的使用的具体情况，包括包括IP地址、开放端口、网络拓扑等。地址、开放端口、网络拓扑等。实施分析要求对系统逐个检测，下面列出通常的检测项目：实施分析要求对系统逐个检测，下面列出通常的检测项目：已知的服务漏洞已知的服务漏洞缺省安装缺省安装不安全的网络管理不安全的网络管理弱口令弱口令不正确的服务配置不正确的服务配置网络拓扑的缺陷网络拓扑的缺

20、陷 信息泄漏信息泄漏未授权的设备和服务未授权的设备和服务可管理的设备可管理的设备未授权的服务未授权的服务加密机制加密机制额外的用户权限额外的用户权限已知的软件版本漏洞已知的软件版本漏洞侦查阶段的分析工作通常需要大量的时间。侦查阶段的分析工作通常需要大量的时间。渗透阶段渗透阶段-渗透测试渗透测试渗透测试是指在获取用户授权后，通过真实模拟黑客使用的渗透测试是指在获取用户授权后，通过真实模拟黑客使用的工具、分析方法来进行实际的漏洞发现和利用的安全测试方工具、分析方法来进行实际的漏洞发现和利用的安全测试方法。这种测试方法可以非常有效地发现最严重的安全漏洞，法。这种测试方法可以非常有效地发现最严重的安全

21、漏洞，尤其是与全面的代码审核相比，其使用的时间更短，也更有尤其是与全面的代码审核相比，其使用的时间更短，也更有效率。效率。在渗透测试中，将检查各种系统的漏洞，并试图使下列元素在渗透测试中，将检查各种系统的漏洞，并试图使下列元素无效：无效：加密加密密码密码访问列表访问列表 控制阶段控制阶段-控制演示控制演示控制控制-表明一个黑客可以控制网络资源、创建帐号、修改日表明一个黑客可以控制网络资源、创建帐号、修改日志、行使管理员的权限。志、行使管理员的权限。审核人员从不试图控制网络主机，只是通过演示其可以控制审核人员从不试图控制网络主机，只是通过演示其可以控制网络主机来证明现有网络存在的问题。网络主机来

22、证明现有网络存在的问题。在提交报告时，必须提出如何防止黑客获得网络和主机的控在提交报告时，必须提出如何防止黑客获得网络和主机的控制权的建议。制权的建议。差距分析差距分析风险评估中常用的方法有三种：计算系统综合风险，风险评估中常用的方法有三种：计算系统综合风险，差距分析法和量化风险。差距分析法和量化风险。差距分析的方法是风险评估里最常用的一种方法。差距分析的方法是风险评估里最常用的一种方法。差距分析是在风险评估中通过识别、判断和分析目差距分析是在风险评估中通过识别、判断和分析目标系统的安全现状与安全要求之间的差距确定系统标系统的安全现状与安全要求之间的差距确定系统风险的分析方法。风险的分析方法。

23、目标系统的可接受风险和系统残余风险间的差距就目标系统的可接受风险和系统残余风险间的差距就是系统存在的风险。是系统存在的风险。差距分析法模型 差距分析法在运用中通常包括五个步骤差距分析法在运用中通常包括五个步骤 1.1.调研目标系统状况调研目标系统状况2.2.确定信息系统安全要求确定信息系统安全要求任务任务a a：确定信息系统安全等级：确定信息系统安全等级任务任务b b：确定和规范化描述信息系统的安全要求：确定和规范化描述信息系统的安全要求3.3.评估信息系统安全现状评估信息系统安全现状任务任务a a：信息系统安全现状评估报告：信息系统安全现状评估报告4.4.对信息安全风险进行差距分析和风险计算

24、对信息安全风险进行差距分析和风险计算任务任务a a：评估信息系统安全现状对信息系统安全要求的符合程度：评估信息系统安全现状对信息系统安全要求的符合程度任务任务b b：对信息系统安全执行能力进行评估，评估信息系统安全：对信息系统安全执行能力进行评估，评估信息系统安全等级，与要达到目标的安全等级等级，与要达到目标的安全等级5.5.用户根据安全风险评估的结果进行风险控制，形成满足其信息用户根据安全风险评估的结果进行风险控制，形成满足其信息系统安全要求的信息系统安全保障能力。系统安全要求的信息系统安全保障能力。划分资产风险等级划分资产风险等级在进行了侦查阶段、渗透阶段和控制阶段后，将根据最在进行了侦查

25、阶段、渗透阶段和控制阶段后，将根据最后的测试结果，并根据国家相关的风险评估标准对各个后的测试结果，并根据国家相关的风险评估标准对各个资产进行风险等级的划分，划分的标准如下表资产进行风险等级的划分，划分的标准如下表：可以采用按照风险数值排序的方法，也可以采用区间划可以采用按照风险数值排序的方法，也可以采用区间划分的方法将风险划分为不同的优先等级，包括将可接受分的方法将风险划分为不同的优先等级，包括将可接受风险与不可接受风险的划分风险与不可接受风险的划分。等等 级级标标 识识风风 险险 定定 义义5很高很高风险很高，导致系统受到非常严重影响风险很高，导致系统受到非常严重影响 4高高风险高，导致系统

26、受到严重影响风险高，导致系统受到严重影响 3中中风险中，导致系统受到较重影响风险中，导致系统受到较重影响 2低低风险低，导致系统受到一般影响风险低，导致系统受到一般影响 1很低很低风险很低，导致系统受到较小影响风险很低，导致系统受到较小影响 安全审核需注意的事项安全审核需注意的事项安全审核的要素安全审核的要素安全审核涉及四个基本要素安全审核涉及四个基本要素:1 1控制目标控制目标控制目标是指企业根据具体的计算机应用控制目标是指企业根据具体的计算机应用,结合企业实际情况结合企业实际情况制定出的安全控制要求。制定出的安全控制要求。2 2安全漏洞安全漏洞安全漏洞是指系统的安全薄弱环节安全漏洞是指系统

27、的安全薄弱环节,容易被干扰或破坏的地方容易被干扰或破坏的地方。3 3控制措施控制措施控制措施是指企业为实现其安全控制目标所制定的安全控制控制措施是指企业为实现其安全控制目标所制定的安全控制技术、配置方法及各种规范制度。技术、配置方法及各种规范制度。4.4.控制测试控制测试控制测试是将企业的各种安全控制措施与预定的安全标准进控制测试是将企业的各种安全控制措施与预定的安全标准进行一致性比较，确定各项控制措施是否存在、是否得到执行、行一致性比较，确定各项控制措施是否存在、是否得到执行、对漏洞的防范是否有效，评价企业安全措施的可依赖程度。对漏洞的防范是否有效，评价企业安全措施的可依赖程度。安全标准安全

28、标准1ISO 7498-2国际标准组织（国际标准组织（ISO）建立了）建立了7498系列标准来帮助网络实施标准系列标准来帮助网络实施标准化。其中第二个文件化。其中第二个文件7498-2描述了如何确保站点安全和实施有描述了如何确保站点安全和实施有效的审核计划。效的审核计划。2英国标准英国标准7799（BS 7799）BS 7799论述了如何确保网络系统安全。其中论述了如何确保网络系统安全。其中BS 7799-1讨论了讨论了确保网络安全所采取的步骤，确保网络安全所采取的步骤，BS 7799-2讨论了在实施信息安全讨论了在实施信息安全管理系统（管理系统（ISMS）时应采取的步骤。）时应采取的步骤。3

29、Common Criteria（CC）Common Criteria提供了网络安全解决方案的全球统一标准。提供了网络安全解决方案的全球统一标准。ISO为了统一区域和国家间的安全标准指定了为了统一区域和国家间的安全标准指定了Common Criteria。获得最高管理者支持获得最高管理者支持任何一个组织，推行任何一套安全管理体系，首先任何一个组织，推行任何一套安全管理体系，首先都必须获得最高管理者的支持。都必须获得最高管理者的支持。在安全审核初期，最高管理者的支持可以表现在以在安全审核初期，最高管理者的支持可以表现在以下方面：下方面：第一，在财务方面提供必要的投资。第一，在财务方面提供必要的投资

30、。第二，配备必要充足的人力资源、分配一定的工作时间于工第二，配备必要充足的人力资源、分配一定的工作时间于工作的推动上。作的推动上。获取客户信息的反馈获取客户信息的反馈来自客户的反馈信息是衡量业绩的重要指标之一，来自客户的反馈信息是衡量业绩的重要指标之一，可以被用来评价网络安全管理体系的总体有效性。可以被用来评价网络安全管理体系的总体有效性。对一个机构进行一次安全审核后要及时地与被审核对一个机构进行一次安全审核后要及时地与被审核机构进行及时的沟通，以了解安全审核的效果。机构进行及时的沟通，以了解安全审核的效果。获得客户反馈的信息，了解到工作中存在哪些不足，获得客户反馈的信息，了解到工作中存在哪些

31、不足，针对不同企业或机构采取不同的审核方式。针对不同企业或机构采取不同的审核方式。2006 VCampus Corporation All Rights Reserved.第二单元第二单元审审 核核 过过 程程检查书面安全策略检查书面安全策略通过对各种策略文档进行阅读和分析，获得通过对各种策略文档进行阅读和分析，获得整个策略文档体系的概貌，并评价策略文档整个策略文档体系的概貌，并评价策略文档体系能否满足安全工作的要求。体系能否满足安全工作的要求。查查看是否有看是否有“风险分析风险分析”项目。项目。查看查看ITIT任务陈述。任务陈述。查看是否有如何实施安全策略以及如何处理破查看是否有如何实施安全

32、策略以及如何处理破 坏行为或不正当行为的说明。坏行为或不正当行为的说明。查看是否有全面的查看是否有全面的“备份和恢复备份和恢复”或或“业务连业务连 续性续性”计划。计划。为什么要有安全策略为什么要有安全策略安全策略的主要目标就是为获取、管理和审查计算机资源提安全策略的主要目标就是为获取、管理和审查计算机资源提供一个准绳。供一个准绳。一个强大的安全策略是合理且成功地应用安全工具的先决条一个强大的安全策略是合理且成功地应用安全工具的先决条件。没有明确的规则和目标，则安装、应用和运行安全工具件。没有明确的规则和目标，则安装、应用和运行安全工具是不可能有效的。是不可能有效的。好的安全策略具有的特征好的

33、安全策略具有的特征安全策略应该简洁明了，一个好的安全策略应具有以安全策略应该简洁明了，一个好的安全策略应具有以下特征：下特征：安全策略不能与法律法规相冲突；安全策略不能与法律法规相冲突；为了正确地使用信息系统，安全策略应当对责任进行合理的为了正确地使用信息系统，安全策略应当对责任进行合理的分配。为机构之中的所有重要人员都确定了一个身份，如：分配。为机构之中的所有重要人员都确定了一个身份，如：系统管理员、系统管理员、ITIT技术人员等。技术人员等。一个好的安全策略应该具有良好的可执行性。一个好的安全策略应该具有良好的可执行性。一个好的安全策略应有与之匹配的安全工具，安全工具应能一个好的安全策略应

34、有与之匹配的安全工具，安全工具应能预防策略被破坏。如果不能预防破坏，则应能检测出并制裁预防策略被破坏。如果不能预防破坏，则应能检测出并制裁违规者。违规者。一个强大的安全策略应能提供突发性处理一个强大的安全策略应能提供突发性处理,如一旦检测到侵入如一旦检测到侵入者该如何处理。者该如何处理。公布策略公布策略安全策略要让机构中的每个用户都知道。安全策略要让机构中的每个用户都知道。安全策略公布方式：安全策略公布方式：电子邮件电子邮件 MSN消息消息安全简报安全简报 让策略发生作用让策略发生作用安全策略不能停留在书面上，要严格贯彻执行。安全策略不能停留在书面上，要严格贯彻执行。安全策略只有在实施后才能发

35、挥作用安全策略只有在实施后才能发挥作用。要确保每个员工都可以获得这份安全策略；要确保每个员工都可以获得这份安全策略；进行员工教育和培训进行员工教育和培训；安全策略的贯彻执行，可以在企业形成良好的安全保护意识，安全策略的贯彻执行，可以在企业形成良好的安全保护意识，营造一种良好的安全环境，这才更符合信息发展网络化的特营造一种良好的安全环境，这才更符合信息发展网络化的特点点。制定一个详细计划来实施安全策略制定一个详细计划来实施安全策略信息安全策略的实施过程是一项较为长期且反复的过程，在信息安全策略的实施过程是一项较为长期且反复的过程，在这一过程中要根据实践的结果对信息安全策略体系和内容进这一过程中要

36、根据实践的结果对信息安全策略体系和内容进行不断调整与完善。行不断调整与完善。详细的实施计划有助于有效地管理开支计划和控制执行时间。详细的实施计划有助于有效地管理开支计划和控制执行时间。获得高层管理层的支持与认可是安全策略得以顺利贯彻落实获得高层管理层的支持与认可是安全策略得以顺利贯彻落实的关键。的关键。信息安全策略实施计划至少应该包含以下步骤：信息安全策略实施计划至少应该包含以下步骤：进行现场勘查，了解每个员工的信息系统的现状；进行现场勘查，了解每个员工的信息系统的现状；与相关人员进行访谈，深入了解组织的业务需求及安全需求；与相关人员进行访谈，深入了解组织的业务需求及安全需求；进行文档审查，掌

37、握组织当前的策略制定及部署情况；进行文档审查，掌握组织当前的策略制定及部署情况；按层次分级制定安全策略；按层次分级制定安全策略；通过召开讨论会议的形式来完善每项安全策略；通过召开讨论会议的形式来完善每项安全策略；公布安全策略，让组织的员工、顾客等获知并理解与其工作有公布安全策略，让组织的员工、顾客等获知并理解与其工作有关的安全策略；关的安全策略；试实行安全策略，可以在整个组织范围内，也可以在特定的部试实行安全策略，可以在整个组织范围内，也可以在特定的部门内进行。要根据安全策略的要求，对系统进行必要的补充，门内进行。要根据安全策略的要求，对系统进行必要的补充，如购买必需的软硬件设备，雇用必需的员

38、工，安装和测试软硬如购买必需的软硬件设备，雇用必需的员工，安装和测试软硬件设备等；件设备等；搜集分析反馈意见，修订和调整安全策略；搜集分析反馈意见，修订和调整安全策略；由管理层批复，发布正式的安全策略，其内容涵盖各种技术标由管理层批复，发布正式的安全策略，其内容涵盖各种技术标准、规范和手册、关键的操作程序和管理方针、与信息安全相准、规范和手册、关键的操作程序和管理方针、与信息安全相关的具体的管理制度等。关的具体的管理制度等。根据安全策略对组织的员工、顾客等进行安全策略方面的培训；根据安全策略对组织的员工、顾客等进行安全策略方面的培训；长期执行并维护安全策略。长期执行并维护安全策略。划分资产等级

39、划分资产等级正确对资产进行分类，划分不同的等级，正确识别正确对资产进行分类，划分不同的等级，正确识别出审核的对象是进行安全审核非常关键的前提条件。出审核的对象是进行安全审核非常关键的前提条件。资产确认资产确认硬件资产：硬件资产：路由器路由器交换机交换机硬件防火墙硬件防火墙入侵检测设备入侵检测设备服务器服务器磁盘驱动器磁盘驱动器电话线、调制解调器等电话线、调制解调器等软件资产：软件资产：操作系统操作系统应用程序应用程序安全软件和诊断程序等安全软件和诊断程序等 对私有或保密数据进行分类（从顾客数据库到专用应用程序）。对私有或保密数据进行分类（从顾客数据库到专用应用程序）。对常规数据，包括数据库、文

40、档、备份、系统日志和掉线数对常规数据，包括数据库、文档、备份、系统日志和掉线数据等进行分类。据等进行分类。对机构里的人员要进行确认和分类，对于机构外但与机构有对机构里的人员要进行确认和分类，对于机构外但与机构有往来的也要进行确认和分类。往来的也要进行确认和分类。资产评估资产评估对于大多数的资产可以用货币数量多少的方法对其进行资产对于大多数的资产可以用货币数量多少的方法对其进行资产确定。确定。进行资产评估要考虑下面四种价值：进行资产评估要考虑下面四种价值：所有者的平均期望损失；所有者的平均期望损失；所有者的最大期望损失；所有者的最大期望损失；攻击者的平均获利；攻击者的平均获利；攻击者的最大获利攻

41、击者的最大获利；资产确认和评估是一个复杂的过程。在大型公司中，成立一资产确认和评估是一个复杂的过程。在大型公司中，成立一个工作委员会，从各个部门（也包括个工作委员会，从各个部门（也包括IT部门）召集人员来参部门）召集人员来参加。加。判断危险性判断危险性除了恶意侵入者和内部人员外，对于任何计算机系统还有许除了恶意侵入者和内部人员外，对于任何计算机系统还有许多威胁安全的方面：多威胁安全的方面：从软件缺陷到硬件失效；从软件缺陷到硬件失效；把一杯茶水泼到键盘上；把一杯茶水泼到键盘上；挖掘机切断了上千万根电缆线；挖掘机切断了上千万根电缆线；下面是对计算机危险的部分分类：下面是对计算机危险的部分分类：软硬

42、件故障：软硬件故障：软件失效、硬件失效；软件失效、硬件失效；物理环境威胁：物理环境威胁：火灾、洪水、雷击、龙卷风、地震、爆炸、建筑倒塌、垃圾、火灾、洪水、雷击、龙卷风、地震、爆炸、建筑倒塌、垃圾、灰尘、烟雾、强电磁辐射；灰尘、烟雾、强电磁辐射；人员：人员：无恶意内部人员，恶意内部人员，外部人员攻击；无恶意内部人员，恶意内部人员，外部人员攻击；外部因素：外部因素：信息被盗取或泄露，硬件、软件、磁盘和磁带等被盗，窃听，信息被盗取或泄露，硬件、软件、磁盘和磁带等被盗，窃听，社会工程，黑客；社会工程，黑客；划分资产等级划分资产等级资产的等级表明了资产对系统的重要性程度，安全审核人员资产的等级表明了资产

43、对系统的重要性程度，安全审核人员应根据各个资产的等级确定相应的安全审核策略。应根据各个资产的等级确定相应的安全审核策略。确定保护方法确定保护方法确定了危险性，就要确定保护方法。确定了危险性，就要确定保护方法。基于软件的保护基于软件的保护基于硬件的保护基于硬件的保护与人员相关的保护与人员相关的保护 成本成本效益分析效益分析 成本、收益分析是评价安全措施的成本和收益。成本、收益分析是评价安全措施的成本和收益。量化风险：量化风险：给出系统面临的风险，它是在给定时间内（如一年）给出系统面临的风险，它是在给定时间内（如一年）每种引起损失的因素的发生概率。每种引起损失的因素的发生概率。量化损失成本：量化损

44、失成本：包括修复和替换设备的成本、系统关机的成本、机构包括修复和替换设备的成本、系统关机的成本、机构声誉的损失以及客户的损失成本等。声誉的损失以及客户的损失成本等。量化预防措施的成本：量化预防措施的成本：预防各种损失的成本。这包括硬件成本，如不间断电预防各种损失的成本。这包括硬件成本，如不间断电源或系统访问卡；软件成本，如商业侵入保护系统；源或系统访问卡；软件成本，如商业侵入保护系统；人员成本，如雇佣和培训等。人员成本，如雇佣和培训等。计算底限：计算底限：对于每种损失，比较风险损失和预防损失所需的成本。对于每种损失，比较风险损失和预防损失所需的成本。权衡安全失败的潜在成本和加强安全的成本是需要

45、技巧的。权衡安全失败的潜在成本和加强安全的成本是需要技巧的。成本效益图成本效益图识别业务焦点只有识别出了企业或单位的业务焦点才能清楚地了只有识别出了企业或单位的业务焦点才能清楚地了解到，对于企业或单位来说最重要的是什么解到，对于企业或单位来说最重要的是什么。安全审核人员应将企业的业务焦点的安全等级置于安全审核人员应将企业的业务焦点的安全等级置于最高，并进行最严格的安全审核。最高，并进行最严格的安全审核。使用已有管理控制结构使用已有管理控制结构单独的安全设备不能解决网络的安全问题，独立的基于网元单独的安全设备不能解决网络的安全问题，独立的基于网元的管理更不能解决日益复杂的安全问题的管理更不能解决

46、日益复杂的安全问题。安全的网络是指能够提供安全连接、安全保证、安全认证、安全的网络是指能够提供安全连接、安全保证、安全认证、安全抵御以及安全服务，安全感知和管理，具有自我防御能安全抵御以及安全服务，安全感知和管理，具有自我防御能力的网络系统。力的网络系统。从技术的层面来说，目前业界比较认可的安全网络的主要环从技术的层面来说，目前业界比较认可的安全网络的主要环节包括：节包括：入侵防护；入侵防护；入侵检测；入侵检测；事件响应；事件响应；系统灾难恢复；系统灾难恢复；应急响应将安全网络的各个环节贯穿起来，使得不同的环节应急响应将安全网络的各个环节贯穿起来，使得不同的环节互相配合，共同实现安全网络的最终

47、目标。互相配合，共同实现安全网络的最终目标。应急响应的准备工作包括：应急响应的准备工作包括：风险评估；风险评估；策略制定；策略制定；入侵防护；入侵防护；入侵检测；入侵检测；安全管理在安全网络建设的循环中，起到一个承前启后的作安全管理在安全网络建设的循环中，起到一个承前启后的作用，是实现安全网络的关键。用，是实现安全网络的关键。安全信息管理涵盖的范围非常全面，包括：安全信息管理涵盖的范围非常全面，包括：风险管理；风险管理；策略中心；策略中心；配置管理；配置管理；事件管理；事件管理；响应管理；响应管理；控制系统；控制系统；知识和情报中心；知识和情报中心；专家系统；专家系统；根据信息安全管理的功能和

48、特性，可将其工作流程分成以下根据信息安全管理的功能和特性，可将其工作流程分成以下4个阶段。个阶段。配置管理配置管理Provisioning Provisioning 监控管理监控管理Monitoring Monitoring 分析管理分析管理Analysis Analysis 响应管理响应管理Response Response 每个阶段侧重解决不同的信息安全问题、实现不同的安全目每个阶段侧重解决不同的信息安全问题、实现不同的安全目标：标：1.配置管理配置管理配置阶段的管理目标主要是实现对安全产品的：配置阶段的管理目标主要是实现对安全产品的：安全策略的制定安全策略的制定 安全配置的部署安全配置的

49、部署 检查配置是否遵循安全策略检查配置是否遵循安全策略 网络安全管理配置软件根据其处理对象的不同，分成网元管理网络安全管理配置软件根据其处理对象的不同，分成网元管理配置软件和网络管理配置软件。配置软件和网络管理配置软件。网元管理软件只管理单独的网元网元管理软件只管理单独的网元(网络设备网络设备)网络管理软件的管理目标为一个网络网络管理软件的管理目标为一个网络 2.2.监控管理监控管理监控阶段的管理目标主要是实现对安全产品的：监控阶段的管理目标主要是实现对安全产品的：安全状况报告的查看，校对，产生安全状况报告的查看，校对，产生 安全威胁信息的可视化安全威胁信息的可视化 保存记录以便以后进行审核保

50、存记录以便以后进行审核网络管理员日常工作中，除了对经常增加的业务进行配置之网络管理员日常工作中，除了对经常增加的业务进行配置之外，另外一个主要的工作就是监控网络流量正常与否。外，另外一个主要的工作就是监控网络流量正常与否。合适的网络安全管理监控软件，将有助于帮助网络管理员快合适的网络安全管理监控软件，将有助于帮助网络管理员快速，有效地监控网络流量。速，有效地监控网络流量。3.分析管理分析管理分析阶段的管理目标主要是实现：分析阶段的管理目标主要是实现：将离散的数据智能地翻译成可检测的信息将离散的数据智能地翻译成可检测的信息 显示推荐的排除安全威胁的配置信息显示推荐的排除安全威胁的配置信息 安全审