信息安全技术与解决方案.ppt

信息安全原理 信息是一种资产 就像其它重要的商业资产一样 它对一个组织来说是有价值的 因此需要妥善进行保护 信息安全保护信息免受多种威胁的攻击 保证业务连续性 将业务损失降至最少 同时最大限度地获得投资回报和利用商用机遇 信息存在的形式多种多样 它可以打印或写在纸上 以电子文档形式存储 通过邮寄或电子手段传播 以胶片形式显示或在交谈中表达出来 不管信息的形式如何 或通过什么手段进行共享或存储 都应加以妥善保护 首先来看有关信息安全的真实案例 什么是信息安全 CHECKPOINT的代理商专区密码验证漏洞 内部的机密资料可以被随意下载 安全是什么 网络安全一种能够识别和消除不安全因素的能力安全是一个持续的过程我们将讨论与网络信息有关的安全问题 为什么我们不能杜绝攻击事件的发生 日趋精密的攻击以及以INTERNET为基础的技术快速发展由于IT技术人员和资金的缺乏无法获得更多的资源没有被充分保护的系统大量的快速的部署 复杂程度 Internet技术的飞速增长 时间 黑客漏洞的发展趋势 百分之百的安全 开放最少服务提供最小权限原则安全既需求平衡过分繁杂的安全政策将导致比没有安全政策还要低效的安全 需要考虑一下安全政策给合法用户带来的影响在很多情况下如果你的用户所感受到的不方便大于所产生的安全上的提高 则执行的安全策略是实际降低了你公司的安全有效性 安全需求平衡为安全设计考虑的根本 安全需求平衡 建立一个有效的安全矩阵 安全距阵一个安全矩阵由单个操作系统安全特征 日志服务和其他的装备包括防火墙 入侵检测系统 审查方案构成 安全矩阵系统最主要的几个方面允许访问控制容易使用合理的花费灵活性和伸缩性优秀的警报和报告 终端用户资源Theworkstationsusedbyemployees威胁 Viruses trojans ActiveX applet网络资源Routers switches wiringclosets telephony威胁 IPspoofing systemsnooping服务器资源DNS WEB Email FTP等服务器威胁 Unauthorizedentry D O S trojans信息存储资源Humanresourcesande commercedatabases威胁 Obtainingtradesecrets customerdata 保护资源 攻击者的分类 偶然的破坏者坚定的破坏者间谍 典型的攻击方式及安全规则 前门攻击和暴力破解法BUG和后门社会工程和非直接攻击 全球超过30万个黑客站点提供系统漏洞和攻击知识 国内有将近1000个 越来越多的容易使用的攻击软件的出现国内法律制裁打击力度不够 网络普及使学习攻击变得容易 安全基本元素 审计 管理 加密 访问控制 用户验证安全隔离 安全策略 建立一个有效的安全策略为你的系统分类指定危险因数确定每个系统的安全优先级定义可接受和不可接受的活动决定在安全问题上如何教育所有员工确定谁管理你的政策 安全策略 安全需求和实际操作脱离内部的安全隐患动态的网络环境有限的防御策略安全策略和实际执行之间的巨大差异 网络安全风险 针对网络层攻击方式 超过1000个TCP IP服务安全漏洞 Sendmail FTP NFS Netbios NIS Telnet Rlogin 等 错误的路由配置TCP IP中不健全的安全连接检查机制缺省路由帐户反向服务攻击隐蔽Modem 通讯网络层的弱点 针对操作系统的攻击 1000个以上的商用操作系统安全漏洞没有及时添加安全补丁病毒程序的传播文件 用户权限设置错误默认安装的不安全设置缺省用户的权限和密码口令用户设置过于简单密码使用特洛依木马 操作系统的安全隐患 应用服务程序 Web服务器数据库系统内部办公系统网络浏览器ERP系统办公文件程序POP3 Oracle 针对应用服务的攻击 Web服务器 错误的Web目录结构CGI脚本缺陷Web服务器应用程序缺陷私人Web站点未索引的Web页数据库 危险的数据库读取删除操作 路由器 源端口 源路由其他应用程序 Oracle SAP Peoplesoft缺省帐户有缺陷的浏览器 应用程序服务的攻击弱点 内部个体 内部 组织 不安全因素的来源定位 网络安全威胁的来源 外部渗入 penetration 未被授权使用计算机的人 内部渗入者被授权使用计算机 但不能访问某些数据 程序或资源 它包括 冒名顶替 使用别人的用户名和口令进行操作 隐蔽用户 逃避审计和访问控制的用户 滥用职权者 被授权使用计算机和访问系统资源 但滥用职权者 未知安全间隙不容忽视 网络安全隐患无处不在 常见漏洞目前有1000余种 我们眼中的网络安全 防火墙的能力有限 安全隐患 部署了安全防卫措施 实际安全问题还有很多 安全隐患 尚不了解实际的危机 Auditorassecuritymanager informedhaker Auditorasconsultant uninformedhaker 站在黑客的角度思考 individual 站在老板和雇员的角度思考 安全管理员的职责说明 Modem 管理分析实施策略 进不来 拿不走 改不了 跑不了 看不懂 可审查 信息安全的目的 RISK RISK RISK 风险 基本的威胁 采取措施后剩余的威胁 把风险降低到最小 VPN虚拟专用网 防火墙 内容检测 安全评估防病毒 安全审计入侵探测 网络系统现状 潜在的安全风险 安全需求与目标 安全体系 安全解决方案 分析后得出 提出 依照风险制定出 进行 安全集成 应用开发 安全服务 安全方案设计 建立相应的 网络安全整体设计流程 如何制定安全要求 组织确定自己的安全要求 这是安全保护的起点 安全要求有三个主要来源 第一个来源是对组织面临的风险进行评估的结果 通过风险评估 确定风险和安全漏洞对资产的威胁 并评价风险发生的可能性以及潜在的影响 第二个来源是组织 其商业伙伴 承包商和服务提供商必须满足的法律 法令 规章以及合约方面的要求 第三个来源是一组专门的信息处理的原则 目标和要求 它们是组织为了进行信息处理必须制定的 业务需求 威胁及风险分析 国家 行业 安全相关的法律法规 业务系统安全策略 个人安全策略 安全技术标准化策略 管理策略 风险评估与安全登记划分 计算机系统与网络安全策略 物理安全与环境保护策略 管理安全规范 教育与培训策略 标识 认证策略 信息保密与完整性策略 授权与访问控制策略 抗抵赖策略 安全审计策略 入侵监测策略 病毒防范策略 响应与恢复策略 容错与备份 用户角色 级别 用户账号及认证方式 防火墙访问控制链表 局部可执行安全策略 全局自动安全策略 组织安全策略 风险 防护措施 信息资产 威胁 漏洞 防护需求 价值 ISO13335以风险为核心的安全模型 漏洞举例说明 比如一台安装了WIN2000 启动了HTTP服务的机器 机器主人的目的是向INTERNET上的公众提供网站内容的浏览 例如 192 168 0 218是一台缺省安装的WIN2000SERVER 如果远程浏览者在IE的地址栏中输入 ida就会得到机器192 168 0 218的网站内容在该机器的物理路径 如下图 再比如 192 168 0 74是一台缺省安装的WIN2000SERVER 如果远程浏览者在IE的地址栏中输入winnt system32 cmd exe c dir c 就能在该机器上执行该机器上的cmd exe程序 将dirc 作为参数 执行结果会得到机器192 168 0 74的C盘下的目录列表 发现UNICODE的漏洞后尝试寻找PCANYWHERE的密码文件 直接利用专门的解密工具还原出密码明文 利用PCANYWHERE的客户端远程连接输入破解后的用户名密码 成功后远程进入主机的桌面得到管理员权限 如何评估安全风险 安全要求是通过对安全风险的系统评估确定的 应该将实施控制措施的支出与安全故障可能造成的商业损失进行权衡考虑 风险评估技术适用于整个组织 或者组织的某一部分以及独立的信息系统 特定系统组件或服务等 在这些地方 风险评估技术不仅切合实际 而且也要求 这是安全保护的起点 安全要求有三个主要来源 第一个来源是对组织颇有助益 评估的依据 进行风险评估需要系统地考虑以下问题 安全故障可能造成的业务损失 包含由于信息和其他资产的保密性 完整性或可用性损失可能造成的后果 当前主要的威胁和漏洞带来的现实安全问题 以及目前实施的控制措施 增强系统安全方案实施 安全评估服务介绍流程 安全扫描的概念理解 安全扫描就是对计算机系统或者其它网络设备进行安全相关的检测 以找出安全隐患和可被黑客利用的漏洞 显然 安全扫描软件是把双刃剑 黑客利用它入侵系统 而系统管理员掌握它以后又可以有效的防范黑客入侵 因此 安全扫描是保证系统和网络安全必不可少的手段 必须仔细研究利用 漏洞的概念 漏洞 对应的英文 bug leak vulnerability 现在国内都统称为漏洞 但更准确的叫法应该是脆弱性 即存在于一个系统内的弱点或缺陷 系统对一个特定的威胁攻击或危险事件的敏感性 或进行攻击的威胁作用的可能性 漏洞不等于BUG 通常漏洞扫描和评估过程实际上是一个安全方面的脆弱性扫描和分析的过程 我们的网络有多安全 如何知道 风险评估的考虑要素 评估企业范围内的安全风险和漏洞 包括网络 检测违反安全策略的行为确保企业安全策略的一致性提供全企业范围内的 集成的安全管理构架 风险评估系统的功能 主要对以下三类风险或漏洞进行评估 厂家提供的软件有关的漏洞 如BUGs 没有安装相应的补丁程序 一些有漏洞的服务以及不安全的缺省设置 由于维护管理带来的安全漏洞 如设置错误 密码和未经授权的系统配置修改等 与用户行为有关的安全漏洞 如 未经授权的目录共享 违反安全策略的行为等 安全扫描在企业部署安全策略中处于重要地位 防火墙 反病毒 加强的用户认证 访问控制和认证 加密 评估 记录报告和预警 安全固化的用户认证 认证 物理安全 管理这些设备 是安全扫描系统和入侵侦测软件 入侵侦测软件往往包含在安全扫描系统中 的职责 通过监视事件日志 系统受到攻击后的行为和这些设备的信号 作出反应 安全扫描系统就把这些设备有机地结合在一起 因此 而安全扫描是一个完整的安全解决方案中的一个关键部分 在企业部署安全策略中处于非常重要的地位 利用网络安全评估系统对网络进行安全评估 DMZE MailHTTP Intranet 生产部 工程部 市场部 人事部 路由 Internet 中继 通讯 应用服务层 利用系统安全评估软件进行可适应性安全弱点监测和响应 DMZE MailHTTP Intranet 企业网络 生产部 工程部 市场部 人事部 路由 Internet 中继 操作系统层 网络安全评估系统对于DMZ区域的检测 DMZE MailHTTP Intranet 企业网络 生产部 工程部 市场部 人事部 路由 Internet 中继 应用程序层 什么是入侵检测 对入侵行为的发觉 通过对计算机网络或计算机系统中的若干关键点收集信息并对其进行分析 从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象 入侵检测的分类 基于网络的入侵检测基于网络的入侵检测系统使用原始网络包作为数据源 基于网络的IDS通常利用一个运行在随机模式下的网络适配器来实时监视并分析通过网络的所有通信业务 基于主机的入侵检测往往以系统日志 应用程序日志等作为数据源 当然也可以通过其他手段 如监督系统调用 从所在的主机收集信息进行分析 主机型入侵检测系统保护的一般是所在的系统 利用入侵检测防范外部攻击 DMZE MailHTTP Intranet 企业网络 生产部 工程部 市场部 人事部 路由 Internet 中继 利用入侵检测防范内部攻击 DMZE MailHTTP Intranet 企业网络 生产部 工程部 市场部 人事部 路由 Internet 中继 内部攻击行为 警告 启动事件日志 发送消息 为什么需要入侵监测系统 防范透过防火墙的入侵利用应用系统漏洞实施的入侵利用防火墙配置失误防范来自内部网的入侵内部网的攻击占总的攻击事件的70 没有监测的内部网是内部人员的 自由王国 对网络行为的审计 防范无法自动识别的恶意破坏 入侵识别 根据数据流智能重组 轻松处理分片和乱序数据包 利用统计与模式匹配 异常分析 检测1500多种攻击与入侵行为 系统提供默认策略 用户也可以方便的定制策略 使用数据库存储攻击与入侵信息以便随时检索 系统还提供详细的攻击与入侵资料 包括发生时间 发起主机与受害主机地址 攻击类型 以及针对此类型攻击的详细解释与解决办法 管理员可根据资料加强系统安全 并追究攻击者责任 应用层信息再现 WWW浏览页面恢复独特的页面重组技术邮件恢复 POP3 SMTP Telnet全程监视与回放FTP回放可自定义协议 VPN系统 VPN存在的必然VPN的部署方式 开放的互联网络带来的安全风险 VPN Vir