(精品)信息与网络安全工程与过程.ppt

《(精品)信息与网络安全工程与过程.ppt》由会员分享，可在线阅读，更多相关《(精品)信息与网络安全工程与过程.ppt（67页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、信息安全博士后科研工作站马东平 博士2001-10-232001-10-23Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-网络安全网络安全与信息安全工程学与信息安全工程学 Version 3-2Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-日程安排n信息安全工程理论n信息安全工程理论：层次论、过程论与方法控制论n信息安全工程生命周期模型n信息安全工程学与SSE-CMM的关系n信息安全工程实务n信息安全风险分析与评估理论与实务n信息安全需求分析理论与实务n信息安全策略开

2、发方法与实务n信息安全体系结构设计理论与实务n安全产品功能规范与测试选型理论与实务n信息安全工程实施监理理论与实务n信息安全工程稽核与检查理论与实务n信息安全意识教育与技术培训体系与内容n信息安全工程安全度的评价理论与方法信息安全工程理论信息安全工程理论Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-4Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-q安全不是纯粹的技术问题，是一项复杂的系统工程信息安全工程论q安全是策略，技术与管理的综合组织人才政策法规安全技术安全策略管

3、理安全理念-5Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-INSIDE拨号接入服务器企业内部网络WANINTERNET企业广域网络Web ServerMail ServerDNS ServerAAA Server企业合作伙伴网络Internet出口PSTNINTERNET企业部门数据中心数据库服务器数据库服务器木桶原理安全理念-全面性-6Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-层次化风险缓释论灾难恢复防火墙/VPN/动态安全管理安全操作系统/操作系统安全密码技

4、术SSL/SET/SHTTP身份认证/授权验证安全策略/技术标准/管理规范环境和硬件网络层操作系统数据/数据库层应用层操作层管理层物理安全应用安全网络安全系统安全安全理念-层次性-7Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-安全策略安全策略螺旋式上升论安全理念-生命周期性（过程性）-8Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-保护(Protection)检测(Detection)响应(Response)备份(Recovery)策略(Policy)时间Time安

5、全理念-动态性-9Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-AuthenticationAuthorizationAccountingAssuranceConfidentialityData Integrity安全策略管理安全策略管理安全策略管理安全策略管理ConnectivityPerformanceEase of UseManageabilityAvailabilityAccessSecurity安全理念-相对性-10Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.

6、x-集中安全管理安全理念-可管理性-11Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-信道加密 信源加密身份认证。应网络级系统级用级管理级信息信息网络网络系统系统密级管理。访问控制地址过滤数据加密，线路加密数据加密，线路加密安全操作系统应用安全集成外联业务安全措施安全管理规范网络病毒监控与清除防火墙技术集中访问控制网络系统安全策略入侵检测弱点漏洞检测系统配置检测系统审计教训培育中软VPN安全网关中软B1安全操作系统中软高性能防火墙中软网络安全巡警中软信息监控与取证系统中软入侵检测系统安全管理模型-12Copyright 2001

7、X-Exploit TeamX-Exploit Teamhttp:/www.x-安全体系架构-13Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-保护框架保护框架信息安全保障信息安全保障深度保护策略深度保护策略网络基础设施网络边界计算环境支撑基础设施检测/响应KMI/PKI技术技术技术技术操作操作操作操作人人人人人人通过通过技术技术来来操作控制和管理操作控制和管理安全要素-14Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-信息安全工程学信息安全工程(ISE)是采用工程的

8、概念、原理、技术和方法来研究、开发、实施与维护企业级信息与网络系统安全的过程，它将经过时间考验证明是正确的管理技术和当前能够得到的最好的技术方法相结合。研究信息安全工程的学说就是信息安全工程学。我们所提及的信息安全是一个广义的概念，是指信息与网络系统全面的安全，而不是狭义的信息本身的安全性问题。-15Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-信息安全工程学研究的范畴信息与网络系统风险分析与评估信息与网络系统需求分析信息与网络系统安全策略信息与网络系统安全体系结构信息与网络系统安全产品功能规范信息与网络系统安全工程的实施信息与网

9、络系统安全工程的监理信息与网络系统安全工程的测试信息与网络系统安全工程的维护信息与网络系统安全意识的教育与技术培训信息与网络系统安全工程的稽核与检查信息与网络系统安全事件应急响应-16Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-信息安全工程生命周期性模型SSE-LCM-17Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-系统安全工程能力成熟度模型SSE-CMM系统安全工程功能成熟模型(SSE-CMM)描述了一个机构安全工程过程的基本特性，它是保证良好安全工程必须具备的

10、。SSE-CMM 并不是指定某个过程或顺序，但是抓住了工业界所遵循的实践。本模型是一个衡量安全工程实践的标准尺度，覆盖：l整个生命周期过程，开展、运行、维护和退役等行为l整个组织机构，管理、编制、工程等部门行为l同其它准则共同发挥作用，如：系统、软件、硬件、人员因素、检测工程；系统管理、运行和维护。l同其它机构交互，如：采集、系统管理、证明、委托和评估。信息安全工程实务信息安全工程实务Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-19Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/

11、www.x-风险分析与评估目标和原则对象与范围方法与手段结果与结论-20Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-鉴别网络资产明确需要保护什么？作什么样的保护？如何协调？资产资产 说明说明硬件 工作站、个人计算机、打印机、路由器、交换机、调制解调器、服务器、工作站、防火墙软件 源程序、对象程序、应用系统、诊断程序、操作系统和通信程序等数据 在先保存和离线归档的数据、备份、注册记录、数据库以及通信介质上传输的数据人员 用户、管理员和硬件维护人员文档 软件程序、内部硬件和软件的评价、系统以及本地程序-21Copyright 200

12、1 X-Exploit TeamX-Exploit Teamhttp:/www.x-资产价值评定资产价值根据不同的关键程度等级划分数据级别有形资产/无形资产-22Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-了解威胁与脆弱性明确对资产的潜在威胁和资产受此威胁攻击的可能性威胁是任何对网络或网络设备造成损害的个人、对象或事件脆弱性是网络系统存在的可能被威胁利用的缺陷-23Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-分析受到威胁后造成的影响影响是一旦遭到威胁后，对企业造成

13、直接的损失和潜在的影响。数据破坏丧失数据的完整性资源不可用诋毁名誉-24Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-风险评估定量分析l采用经验数据和已知的可能性及统计结果来进行评定定性分析l根据直觉进行评价二者结合分析-25Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-风险缓解与安全成本确定企业能够接受多高的风险以及资产需要保护到什么程度。风险缓解是选择适当的控制方式将风险降低到可以接受水平的过程。性能成本（可用性、效率）经济成本：实施和管理安全程序的花费必须与潜在

14、利益进行比较-26Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-安全风险分析与评估实务SCS-RAA安全风险分析与评估实务结果SCS-RAA-SVA 系统脆弱性与弱点漏洞分析SVA系统脆弱性与弱点漏洞分析报告SCS-RAA-NVA网络脆弱性与弱点漏洞分析NVA网络脆弱性与弱点漏洞分析报告SCS-RAA-CIA当前威胁与入侵状况分析审计CIA当前威胁与入侵状况分析报告SCS-RAA-FIA潜在威胁与入侵趋势分析审计FIA潜在的威胁分析报告SCS-RAA-ARA结构风险分析ARA结构风险分析报告SCS-RAA-PRA政策风险分析PRA

15、政策法规风险分析报告SCS-RAA-ORA组织风险分析ORA组织体系风险分析报告SCS-RAA-CPA当前安全策略分析CPA当前安全策略风险分析报告SCS-RAA-RIA风险带来的影响分析RIA影响分析报告SCS-RAA-SYN综合风险分析SYN综合风险分析报告SCS-RAA-SFA安全功能分析SFA安全功能分析报告-27Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-实务制定目标l了解网络的系统结构和管理水平，及可能存在的安全隐患；l了解网络所提供的服务及可能存在的安全问题；l了解各应用系统与网络层的接口及其相应的安全问题；l网络

16、攻击和电子欺骗的检测、模拟及预防；l分析企业关键应用对网络的安全需求，寻找目前的安全策略和实际需求的差距。-28Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-实务明确重点内容l网络安全组织，制度和人员情况l网络安全技术方法的使用情况l防火墙布控及边界安全状况l动态安全管理状况l链路，数据及应用加密情况l网络系统访问控制状况-29Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-实务方式与方法l问卷调查。l访谈。l文档审查。l黑盒测试。l操作系统的漏洞检查和分析；l网络服务

17、的安全漏洞和隐患的检查和分析；l抗攻击测试。（拒绝服务/渗透/入侵）l综合审计报告。-30Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-安全需求分析目标与原则内容法规标准-31Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-安全需求分析实务SRA安全需求分析实务SRA结果SRA-SFR安全功能需求SFR安全功能需求报告SRA-SOR安全组织需求SOR安全组织需求报告SRA-SPR安全策略需求SPR安全策略需求报告SRA-SAR安全体系需求SAR安全体系需求报告-32Co

18、pyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-实务制定目标l根据风险分析的结果，结合国家、行业、企业的政策法规对安全的需求制定切实可行的安全需求l细化、分析有关规定，转化为可操作、可以实施的安全要求-33Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-实务内容l安全政策法规需求分析l安全组织体系需求分析l安全策略、安全体系需求分析l安全功能需求分析-34Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-安全策略开发

19、安全策略的作用和重要性安全策略制定的原则安全策略的内容安全策略制定的注意事项-35Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-安全策略开发实务SCS-SPD安全策略开发实务SPDSCS-SPD-ASP抽象安全策略ASP信息与网络系统抽象安全策略SCS-SPD-WAP全局自动安全策略WAP信息与网络系统全局自动安全策略SCS-SPD-LAP局部可执行安全策略LAP信息与网络系统局部可执行安全策略SCS-SPD-LAP-PHY物理安全控制策略物理安全控制策略SCS-SPD-LAP-LOG逻辑安全控制策略逻辑安全控制策略SCS-SPD

20、-LAP-INT系统和数据的完整性保护策略系统和数据的完整性保护策略SCS-SPD-LAP-SEC数据机密性策略数据机密性策略SCS-SPD-LAP-MAN管理体系策略管理体系策略SCS-SPD-LAP-PEN人员职责与流程策略人员职责与流程策略SCS-SPD-LAP-EDU安全意识教育与技术培训策略安全意识教育与技术培训策略-36Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-实务目的l明确正在保护什么及保护的原因l确定首先必须保护的内容和相应代价的优先次序l根据安全的价值，可以和机构内的不同部门制定明确的协议l当需要说“不”时，

21、为安全部门提供了说“不”的合理理由l为安全部门提供支持“不”的权利l防止安全部门进行愚蠢的活动-37Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-实务对象与范围物理安全控制l基础设施l物理介质/网络拓扑l物理设备安全性l物理位置/物理访问/环境安全保护逻辑安全控制l安全边界l路由边界lLAN/WAN/Internet/DialuplVLAN边界l逻辑访问l控制与限制秘密/认证保障（机制/口令）/系统消息（Banner)/人的因素-38Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/

22、www.x-实务对象与范围l基础设施与数据完整性l防火墙l通信方向/来源/IP/PORT/认证/内容/l网络服务l删除服务/限制服务/删除软件/限制软件l验证数据l路由/VLANl数据保密性l加密l组织体系l机构/人员l流程l安全备份/设备认证/使用便携工具安全/审计跟踪/应急响应l教育与培训l安全意识/安全技术/用户/领导/执法-39Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-实务具体策略内容l明确保护的内容/安全级别l保护的方法与手段l明确保护的优先次序（生命健康/法律/机构利益/人员利益/非敏感）l措施与周期l责任l明确不

23、同用户对应的责任l一般用户/系统管理与操作/安全管理员/承包商/客人l注意事项l怎么使用或操作/不该怎么使用或操作l后果处理-40Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-实务误区l今天的好策略比明年的伟大策略要更好l薄弱的但广为分发的策略比没有人阅读的强壮的策略要更好l容易理解的简单策略比没有人阅读的复杂的策略要更好l有微小错误的策略要比根本没有细节的策略要更好l连续更新的活跃策略比时间上过期而发展的策略要更好l道歉比请求批准要更好-41Copyright 2001 X-Exploit TeamX-Exploit Teamh

24、ttp:/www.x-安全体系结构设计目标与原则安全体系结构设计安全体系结构评估-42Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-安全体系结构设计实务SCS-SSD安全体系结构设计实务SSDSCS-SSD-SSD安全体系结构设计SSD信息与网络系统安全体系结构SCS-SSD-SIM安全实施指南设计SIM信息与网络系统安全实施指南SCS-SSD-SMM安全维护指南设计SMM信息与网络系统安全维护指南SCS-SSD-ERM安全应急响应指南设计ERM信息与网络系统安全应急响应指南SCS-SSD-SEP安全评估过程设计SEP信息与网络系

25、统安全评估过程规范-43Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-设计原则安全性l既要最大限度的保证网络系统的安全性，同时要保证安全系统本身的安全性。可靠性l安全系统的实施不能影响网络系统的正常的运行与可靠性，同时安全系统本身必须是可靠的。高效性l安全系统的实施不能以整个网络系统的运行效率为代价，安全系统不能影响原有系统的运行效率。可扩展性l安全系统的建设必须考虑到未来发展的需要，技术的发展，安全手段不断翻新，安全要求本身也不断提出更高的要求，系统必须具有良好的可扩展性和良好的可升级性。易实现性l安全系统的安装、配置与管理尽可

26、能的简洁，易学、易用与易实现。再好的安全系统，如果很难实现也是不安全的。可管理性l安全系统必须支持可管理的安全，安全必须是可控的、可集中管理、可审计的安全。-44Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-了解网络拓扑INSIDE拨号接入服务器企业内部网络WANINTERNET企业广域网络Web ServerMail ServerDNS ServerAAA Server企业合作伙伴网络Internet出口PSTNINTERNET企业部门数据中心数据库服务器数据库服务器-45Copyright 2001 X-Exploit Tea

27、mX-Exploit Teamhttp:/www.x-BuildingDistributedManagementServersCoreDistributedE-CommerceVPNRemote AccessCorporate InternetDDNExtranetDDNPartnersPSTNDialupF/R,ATM,DDNInternetEnterprise CampusEnterprise EdgeISP Edge网络拓扑演变-46Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-了解网络组件边界设备l防火墙/到Interne

28、t服务提供商的路由器/到合作伙伴的路由器/拨号访问服务器/电子邮件网关/外部的WWW/FTP/DNS服务器l基础设施l文件服务器/交换机/路由器/打印服务器/内部DNS/新闻服务器/时间同步服务器/l业务设备l数据服务器/内部Web站点/业务工作站/前置机/业务专用软件服务器l桌面设备lPC/UNIX/Windows 9x/NT/2000/ME/Mac-47Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-了解网络应用关键应用关键数据对外提供服务/电子商务Internet访问拨号访问/移动访问与合作伙伴的连接企业异地分支机构连接-48

29、Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-层次化风险缓释论灾难恢复防火墙/VPN/动态安全管理安全操作系统/操作系统安全密码技术SSL/SET/SHTTP身份认证/授权验证安全策略/技术标准/管理规范环境和硬件网络层操作系统数据/数据库层应用层操作层管理层-49Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-可定制的安全要素和领域访问控制与安全边界（CSS-SEC-CTL）弱点漏洞分析和风险审计（CSS-SEC-ASS）入侵检测与防御（CSS-SEC-IDS）信息监

30、控与取证（CSS-SEC-INF）通信链路安全（CSS-SEC-LNK）系统安全（CSS-SEC-SYS）数据与数据库安全（CSS-SEC-DBS）应用系统安全（CSS-SEC-APS）个人桌面安全（CSS-SEC-PCS）身份认证与授权（CSS-SEC-AAA）灾难恢复与备份（CSS-SEC-RAB）集中安全管理（CSS-SEC-MAN）病毒防治（CSS-SEC-VPR）-50Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-信息安全功能规范设计目标与原则内容与形式功能规范设计实践-51Copyright 2001 X-Exploi

31、t TeamX-Exploit Teamhttp:/www.x-目标与原则满足企业统一的安全策略易于管理公开/公正/公平-52Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-内容产品类别功能规范要求性能规范要求可用性要求可管理性要求工艺要求-53Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-SCS-SCD安全标准与规范制定实务SCDSCS-SCD-TPF安全技术与产品功能规范研究制定TPF安全技术与产品功能规范SCS-SCD-SMC安全管理规范研究制定SMC安全管理规范

32、信息安全功能规范设计实务-54Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-安全产品测试选型功能规范指标体系测试环境测试内容（功能/性能/可用性）测试步骤设计测试结果评定参考标准体系-55Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-SCS-SPT安全产品测试选型实务SPTSCS-SPT-PEC产品测试选型规范制定PEC产品测试选型规范SCS-SPT-PEG安全产品测试选型指标体系制定PEG安全产品测试选型指标体系SCS-SPT-PEM产品分类测试选型指南制定PEM产

33、品分类测试选型指南SCS-SPT-PER测试选型结果分析PER测试选型结果分析报告安全产品测试选型实务-56Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-信息安全工程实施监理原则与依据安全工程监理定义监理内容监理流程监理结果分析与反馈-57Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-安全工程监理实务SCS-PMM安全工程项目工程监理实务PMMSCS-PMM-PMC工程监理指南PMC工程监理指南SCS-PMM-IMM实施监理服务IMM工程监理总结报告SCS-PMM-I

34、ET安全实施教育服务IETSCS-PMM-SIE安全体系内部评估SIE安全体系内部评估报告报告SCS-PMM-SEE安全体系外部评估服务SEE安全体系外部评估报告报告SCS-PMM-PMR监理结果总结分析PMR监理结果总结分析报告-58Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-信息安全稽核与检查信息安全稽核检查定义稽核检查的目标与原则稽核检查的方法与手段稽核检查的结果分析与反馈稽核检查的结论-59Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-SCS-EAE安全系统

35、评测、稽核与检查实务EAESCS-EAE-REM安全性评测、稽核与检查指南REM安全性评测、稽核与检查指南SCS-EAE-REP安全性评测、稽核与检查服务REPSCS-EAE-RER安全性评测、稽核与检查结果分析RER安全性评测、稽核与检查结果分析报告信息安全稽核检查实务-60Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-信息安全意识教育与技术培训对象与范围意识教育与技术培训课程体系组织与实施考核体系与认证体系-61Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-安全意

36、识教育与技术培训实务SCS-SET企业安全意识教育与技术培训实务SETSCS-SET-ETS教育与培训体系ETS安全意识教育与技术培训体系SCS-SET-STC教育与培训课程STC安全意识教育与技术培训课程SCS-SET-ETE安全人员考核ETE安全人员考核指南-62Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-信息安全事件应急响应人员与分工组织与职能流程与方法结果与结论-63Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-安全事件应急响应实务SCS-IER安全事件应急

37、响应实务IERSCS-IER-IRM安全事件应急响应指南IRM安全事件应急响应指南SCS-IER-IIR入侵事件响应服务IIR入侵事件响应工作报告SCS-IER-TRI灾难恢复响应服务TRI灾难恢复响应工作报告SCS-IER-SAI系统异常响应服务SAI系统异常响应工作报告SCS-IER-VER病毒应急响应服务VER病毒应急响应工作报告-64Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-信息安全组织管理体系组织体系建立策略组织体系的框架与职责组织体系的协同工作方法-65Copyright 2001 X-Exploit TeamX-

38、Exploit Teamhttp:/www.x-信息安全工程安全度评价理论与方法政策与文档组织与人员技术与产品方案与实施SSE-CMM关于X-Exploit Teamhttp:/www.x-Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-67Copyright 2001 X-Exploit TeamX-Exploit Teamhttp:/www.x-X-Exploit Team一支由信息安全博士、博士后组成的博士团队一支由专业安全技术人员组成的安全团队一支不从政，不经商，专注安全学术的学术团队一支既不高傲自大，也不妄自菲薄，只求扎扎实实作技术的求实团队一支从事安全体系结构、安全模型、安全策略等基础理论研究的奉献团队一支专注密码工程、弱点漏洞、攻击模式、攻击方法等工程技术研究的工程团队一支欢迎加入X-Exploit Teamhttp:/www.x-