信息安全威胁案例分析(PPT 113页)

网络架构分析 用户访谈 问卷调查 应用评估
•53
信息安全解决方案规划
• 项目紧迫性分析 • 项目可实施性分析 • 项目实施难易程度分析 • 项目预期效果分析 • 项目规划综合分析 • 最终形成未来3年安全建设项目规划建议
•54
安全保障系统项目规划示例
•55
项目规划方法
紧迫性×可实时性＋（难易程度＋预期效果）/2
日志监控系统 网络安全域划分 网络拓扑结构/体系结构安全分析 在高安全级别系统强制推行强认证 容灾 统一时钟服务 安全管理中心和网络安全平台 用户网络行为监控
优先级
130 130 127 127 126 125 122
122 122 118 117 116
三方访问控 Internet/ 统使用规范； 应用系统安全 数据）策略； 数据的安全存 毒产品配置； 高级安全技术 全信息库；应 理方式；口令 急计划审计； 全功能；安
制；办公物理 Extranet安全 操作系统配 （应用系统的 个人计算机的 储；备份周 病毒库升级； 培训；安全管 急恢复过程规 适应规则。 岗位审计；系 全管理；安
拨号用户
对攻击行为和 恶意操作不能 够及时发现
用户单位版防 病毒不理想 分公司
拨号用户
内部WWW DNS Mail Dateabse
专线 ......
总公司用户 专线
Internet
缺乏紧急响应 体系和机制
拨号用户
没有安全管理 制度
服务器 下属公司
主机弱口令
严重溢出漏洞 相互信任关系
分公司用户 ......
主要是技术人员的运维体系。包括技术人员的组织建设、技术人员的工作 内容，技术人员的工作考核。日常工作包括：资产鉴别、周期性风•险15评估、 紧急响应体系、定期的评估加固、集中监控维护等。
安全策略体系
•16
用户单位信息系统中的安全事故
5%
8%
10%
23%
54%
人为失误 病毒、蠕虫、木马的侵袭，黑客攻击 恶意破坏 灾难如火灾,地震 信息基础设施和应用故障
《网络管理员日常操作安全管理制度》
《安全管理员日常操作安全管理制度》
安全策略体系核心内容
策略是用户单位核心
•23
策略体系执行层次-落实责任
•24
策略宣贯的合理流程设计
部门领导
情况汇报
组织领导
SA负1责人
审批/核准安全管理 制度
情况汇报
安全管理员
统一负责 情况汇报
协助执行
维护人员
•25
安全策略执行方法流程
1、案例介绍 2、某电力行业安全评估标准 3、安全保障体系设计 4、信息安全保障体系设计案例
•1
安全威胁案例分析
•2
防火墙存在旁 路
没有完整的安 全漏洞和风险
评估机制
案例的分析
没有设置网关 层的防病毒
Internet
移动用户
防火墙策略配 置不合理
财务系统
代理服务器
DMZ区 外部WWW DNS E-mail等
Internet Access
Agent
Internet
Web Page
Firewall
Web Server
Application Access
Manager Mainframe
Intranet
Enterprise
RAS
Agent
Web
Dial Up Access
NT LAN Access
•34
访问控制
• 针对现状进行整体和良好的解决方案设计和规划 • 建立安全策略和制度规范体系，健全安全管理体系 • 建立合适的安全日常维护体系
如何获得这些呢？ 通过专业的安全咨询和服务
•6
信息安全保障体系设计
•7
信息安全的两个方面
• 面向数据和信息的安全通过安全服务， 安全产品解决
• 面向访问（人）的安全通过安全咨询解 决
理访问控制； 管理；网络设 用；操作系统 全；邮件系统 加密要求（包 要求；数据备 型；防病毒产 教育；安全技 设；应急响应 则；口令更换 计；安全管理 安全功能开
环境保护；第 备安全管理； 安装；操作系 安全；各业务 括存储和传输 份方式；备份 品安装；防病 术基础培训； 计划；应急安 周期；口令管 制度审计；应 发；强化安
• 分发安全策略 • 安全策略培训 • 安全策略考核 • 安全策略执行跟踪
•26
安全组织体系
•27
安全组织体系构架设计
•28
安全组织体系-工作职责
1、工作职责分类 2、总体职责 3、安全管理职责 4、信息安全连续性的职责 5、安全审计职责 6、安全事故处理职责 7、安全项目申请职责
•29
安全技术体系
1
业务系统安全域的划分
2
业务系统的网络结构
3
安全域之间的访问控制
4
业务系统的安全防护措施
•35
安全域设计
•36
安全域拓扑图
•37
审计跟踪
•38
审计跟踪-逻辑部署图
•39
恢复和响应
•40
应急处理的目标
• 避免没有章法、可能造成灾难的响应。 • 更快速和标准化的响应。 • 确认或排除是否发生了紧急事件。 • 使紧急事件对业务或网络造成的影响最
技 术
操作手册
流程、细则
第三层
•20
完善的用户单位安全策略体系
安全域划分和安全等级 映射
物理管理策略 人员安全策略 网络安全策略 系统安全策略 应用安全策略 日志审计策略 备份恢复策略
•21
总则
主策略
《物理安 全策略》
《网络安 全策略》
《系统安 全策略》
《应用安 全策略》
•48
安全保障体系实施-工作分类
发现问题、提出问题
解决问题
防止问题、处理问题
•49
安全咨询
发现问题 提出问题
资产界定 风险评估 制度制订 解决方案制定
•50
•51
风险评估基本流程
弱点评估
资产识别与估价 威胁评估
现有安全措施评估 风险评估 安全需求
影响评估
•52
风险评估工作内容
安全扫描 人工评估 数据库评估 渗透测试
•17
人员安全管理
• 信息系统的标准操作流程 – 怎么做
• 系统维护人员的权利和责任 – 谁做
• 技术人员和服务承包商的服务水平定量评估 – 性能评估
•18
安全策略体系
•19
国际/国家标准
NIST
顾问公司
访谈结果
技术体系
主策略 管理体系
第一层
安 安 业人 信 物 运 访 系 业 安 全 全 务 员 息 理 行 问 统 务 全 第二层 技 设 安组 资 环 维 控 开 保 审 术 备 全织 产 境 护 制 发 障 计
《数据保 密策略》
《数据备 份策略》
《病毒防 护策略》
《安全教 育策略》
《应急恢 复策略》
《口令管 理策略》
《安全审 计策略》
《系统开 发策略》
机房建设；物 网络拓扑结构 操作系统的选 数据库系统安 关键业务数据 数据备份对象 防病毒产品选 普及安全意识 应急响应组建 口令设置规 安全策略审 系统的基本
项目、任务、工作
鉴别和认证 访问控制 审计跟踪 响应和恢复
动态口令系统 在高安全级别系统强制推行强认证 资产鉴别和分类项目 PKI体系可行性分析 统一时钟服务
网络拓扑结构/体系结构安全分析 网络设备安全 网络安全域的隔离和划分 防火墙和网络隔离 主机和网络设备安全 基于WEB应用的访问控制 日志监控系统 入侵监测系统 漏洞扫描系统 用户网络行为监控
内容描述 安全策略的开发建立，执行，审核修订等 主要是管理体系。在组织体系中的主要工作是安全组织建设、第三方管理、 外聘顾问、培训教育、资质认证等。 鉴别和认证：多种鉴别和认证技术 访问控制：主机，网络设备、安全域的隔离和划分，防火墙等
内容安全：防病毒，可信信道等
冗余和恢复：冗余备份，业务连续性等
审计响应：统一时钟服务、日志监控、系统、入侵监测系统等
•10
安全保障体系理念－等级化
• 项目的主要环节的成果都进行等级化 • 可以参照的主要安全标准等级
– 安全保障强健性等级：IATF SML， – 安全保护技术等级：GB17859， – 过程安全等级：ISO15408/GB18336 EAL – 工程成熟度等级：SSE-CMM， – 国家等级化评估标准
安全。
管理；网络鉴 置；操作系统 选型、安全测 数据保密策 期；备份操作 防毒操作管 理培训。
范；应急恢复
统日志审计。 全测试；功
别认证；网络 漏洞扫描；操 试、安全操 略；公司机密 管理等安全。 理；网络防毒
演练和测试；
能测试。
安全访问控 作系统升级管 作、安全维 文档保护。
要求；介质防
应急恢复培
小化。 • 保护用户单位、组织的声誉和资产。 • 教育高层管理人员。 • 提供准确的报告和有价值的建议。
•41
内容安全
针对文件系统和病毒防范的保护，结 合TRIPWIRE，配置一套文件监控系 统，一旦文件系统发生变化及时进行 报警。
•42
1 建立正常状态 的基准快照
已知正常状态
磁盘中文件
2 监控和基准的差异， 快速通知和报告检测 出的变化
制；网络安全 理；操作系统 护）；应用系
毒要求。
训。
实时监控；网 变更管理。 统变更管理。
络安全扫描；
网络系统变更
管理。
《机房安全管理制度》 《个人计算机安全防范制度》
《核心资产安全管理制度》
《业务运行安全管理制度》
《文档安全管理制度》
《应急恢复安•全2管2理制度》
《系统管理员日常操作安全管理制度》
•30
信息技术体系-安全技术框架
R
冗&余Re恢ceo复vdeunrydant
I dentification
& Authentication 鉴别认证
A ccess
Control 访问控制
C ontent
Security 内容安全
A 审
Re 计
s响puod应niste
&
•31
信息技术体系-主要内容
3 确信是否有文件 被改变 报告出哪些文件被增 加、删除和改变
•43
安全技术体系核心思想
1、技术体系的框架必须划分清楚 2、技术体系设计必须与安全需求完全结合 3、技术的实施需要分步骤、分区域的实施
•44
信息安全运维体系
•45
安全运维体系构架
•46
安全运作体系-维护流程
•47
如何建立安全保障体系
•11
安全保障体系方法-等级化安全体系Biblioteka 一 保 护 对 象 框 架
三 威胁分析过程
二 安全对策框架
•12
保障体系理念－多重深度防护战略
• 不仅关注安全属性，同时关注安全环节 – 人，策略，技术，操作 – 强调安全管理
• 深度多重防护，防止单点失效 – 风险管理和风险控制原则 – 安全性与成本、效率之间平衡原则
•8
安全防御理论的发展
通讯保密
安全防护
保障体系
• 数据传输加密
• 密码与加密技 术
• 静态安全防护 • 网络隔离 • 访问控制 • 鉴别与认证 • 安全审计
• 强调管理 • 深度多重防御 • 策略，人，技
术，操作
• 动态安全
•9
我们的安全理念
1、信息安全必须建立体系 2、信息安全是长期的工作 3、建立一级监控二级维护的体系 4、安全项目需要以流程为核心 5、重状态，轻过程； 6、管理必须通过技术实现 7、先控制后监控 8、安全是动态平衡的，但要以不变应万变 9、没有百分百安全，做到0损失0响应 10、信息安全是12分的维护、7分的管理、3分的技术
•56
编号 1 2 3 4 5 6
7 8 9 10 11
12 13
14 15 16
17 18 19 20 21
22
23 24 25
26 27
项目名称
防火墙和网络隔离 入侵监测系统 主机安全 漏洞扫描系统 资产鉴别和分类项目 制订最高安全方针 策略的有效发布和执行 落实安全责任文件 紧急响应体系 策略体系建立 网络设备安全 周期性风险评估服务项目 防病毒 聘请专业公司或者专家的作为顾问 备份和恢复 可信通道 落实项目的安全审核工作 全员网络安全教育 定期的审查和修订
服务器
分公司用户
......
没有对重要的 设备进行安全
加固
没有划•分3 DMZ
深层原因分析
问题产生的主要原因 • 不清楚主要的安全问题和安全风险 • 缺乏整体和良好的安全方案设计 • 在安全制度规范、安全组织和运作流程方面
存在缺欠
•4
安全工程生命周期模型
被忽略
•5
如何解决这些问题？
• 通过安全评估来清晰地了解当前的安全现状和面临的 安全风险
•13
安全保障体系模型
深度安全防护战略
策略体系
信
息
运作体系
组织体系
技术体系
安 全
保
深度防护目标区域
障
网
体
络 基 础 构 架 设 计 和 建 设
保 护 区 域 边 界
维 护
支持性 基础设施
系
服
务 器
集中监控平台
安
全 基
检测&响应
线
•14
体系名称 策略体系 组织体系 技术体系
运作体系
信息安全保障体系
备份和恢复 业务连续性管理
内容安全
防病毒 可信通道
•32
鉴别和认证
Login: JSMITH Passcode: 2468723656
PASSCODE = PIN
+
TOKENCODE
令牌码: 每 60秒变 化一次
与 UCT时钟同 步
唯一的 64-bit 种子
内部电池
•33
动态身份认证将保护 ...