信息安全过程与最佳实践

1、信息安全过程与最佳实践议题商业案例平安性风险管理准那么深层防御平安事件应对攻击情形最正确做法十条永恒的平安法那么违反平安性所造成的影响收入损失投资者的信心受到重创声誉受到损害数据丧失或平安受到威胁业务流程中断客户的信心受到打击法律后果CSI/FBI 2003 调查实施各项平安措施的本钱不低，但却是出现平安事件后减轻影响的本钱的一小局部。议题商业案例平安性风险管理准那么深层防御平安事件应对攻击情形最正确做法十条永恒的平安法那么平安性风险管理准那么 (SRMD) 过程评估评估和评价资产确定平安性风险 分析平安性风险并确定其重要性 开发与实现开发平安补救措施测试平安补救措施获取平安知识 实施重新评估

2、新的和变更的资产及平安性风险 稳定和部署新的或更改的对策 评估：评估和评价资产重要性等级从 1 到 101.效劳器提供根本功能，但不会给企业造成财务上的影响。3.效劳器包含重要信息，但数据可以很容易地快速恢复。5.效劳器包含重要数据，这些数据需要一些时间来恢复。8.效劳器包含的信息对公司业务目标非常重要。 失去该设备将对所有用户的工作效率造成重大影响。10.效劳器对公司业务具有重大影响。 失去该设备将导致竞争上的劣势。评估：确定平安性威胁 - STRIDE威胁的类型示例欺骗 (Spoofing)伪造电子邮件重复身份验证数据包篡改 (Tampering)在传输期间更改数据更改文件中的数据否决 (

3、Repudiation)删除重要文件并否认删除行为购买产品而后又否认这一行为信息泄露 (Information disclosure)在错误的消息中公开信息在 Web 站点上公开代码拒绝服务 (Denial of service)用 SYN 数据包充斥网络用伪造的 ICMP 数据包充斥网络权限提高 (Elevation of privilege)利用缓冲区溢出获取系统特权非法获得管理员特权评估：分析平安性风险并确定其重要性 - DREADDREAD损害 (Damage)再现性 (Reproducibility)可利用性 (Exploitability)受影响的用户 (Affected User

4、s)可发现性 (Discoverability)风险 = 资产重要性 x 威胁等级威胁的类型示例欺骗 (Spoofing)伪造电子邮件重复身份验证数据包篡改 (Tampering)在传输期间更改数据更改文件中的数据否决 (Repudiation)删除重要文件并否认删除行为购买产品而后又否认这一行为信息泄露 (Information disclosure)在错误的消息中公开信息在 Web 站点上公开代码拒绝服务 (Denial of service)用 SYN 数据包充斥网络用伪造的 ICMP 数据包充斥网络权限提高 (Elevation of privilege)利用缓冲区溢出获取系统特权非法

5、获得管理员特权评估：跟踪、规划和调度平安性风险活动平安策略开发与实现：开发平安补救措施安全策略配置管理修补程序管理系统监视系统审核实施策略实施步骤开发与实现：测试平安补救措施配置管理修补程序管理系统监视系统审核实施策略实施步骤测试实验室开发与实现：获取平安知识测试实验室总部Internet 服务LAN实施：重新评估资产和风险新的和变更的资产及平安性风险总部Internet 服务LAN新的 Internet 效劳测试实验室实施：稳定和部署防范措施新的或更改的防范措施跟踪方案分析控制识别12354风险评估议题商业案例平安性风险管理准那么深层防御平安事件应对攻击情形最正确做法十条永恒的平安法那么平安

6、性组织框架使用分层的方法：增强对攻击者进展攻击的检测 降低攻击者的成功几率策略、过程和通告操作系统强化、修补程序管理、身份验证、HIDS防火墙、VPN 隔离警卫、锁、跟踪设备网段、IPSec、NIDS应用程序强化、防病毒ACL、加密用户教育物理平安性边界网络内部网络主机应用程序数据策略、过程和通告层介绍我想我会使用我的名字作为密码。嗨，我需要配置一个防火墙。 应该阻塞哪些端口？我想我会撬开计算机房的房门。 这容易得多。他们封锁了我最喜爱的 Web 站点。 幸好我有调制解调器。策略、过程和通告层失守嘿，我也在网络上。 你怎么配置你的防火墙？我总是想不到一个好的密码。 那你用什么？嗨，你知道计算机

7、机房在哪儿吗？哟，调制解调器不错啊。 那条线的号码是多少？策略、过程和通告层保护用户信息保密策略设备请求过程防火墙配置过程物理访问平安策略平安培训有助于用户支持平安策略物理平安性层介绍物理平安性层失守安装恶意代码移除硬件损坏硬件查看、更改或删除文件物理平安层保护锁门并安装警报雇佣负责平安的人员强制实施访问过程监视访问情况限制数据输入设备使用远程访问工具增强平安性边界网络层介绍Internet分支机构商业伙伴远程用户无线网络Internet 应用程序网络周边包括到以下方面的连接：商业伙伴Internet 服务LAN总部LANInternet 服务分支机构LAN无线网络远程用户Internet商业

8、伙伴Internet 服务LAN总部LANInternet 服务分支机构LAN无线网络远程用户Internet边界网络层失守攻击公司网络攻击远程用户 来自商业伙伴的攻击来自分支机构的攻击攻击 Internet 效劳来自 Internet 的攻击网络周边失守可能导致：边界网络层保护防火墙阻止通讯端口端口和 IP 地址转换（NAT）虚拟专用网隧道协议VPN 隔离网络边界保护包括：商业伙伴Internet 服务LAN总部LANInternet 服务分支机构LAN无线网络远程用户Internet内部网络层介绍市场推广人力资源财务销售无线网络内部网络层失守对系统未经授权的访问通过网络探测数据包意外的通讯

9、端口访问所有网络通信对无线网络未经授权的访问内部网络层保护实施相互验证网络分段网络通讯加密阻塞通讯端口控制对网络设备的访问对网络数据包签名主机层描述特定的网络角色操作系统配置术语“主机既指工作站又指效劳器主机层失守未设置平安机制的操作系统配置不受监视的访问利用操作系统漏洞散布病毒实施相互验证主机层保护加强操作系统的平安 安装平安更新程序实施审核禁用或删除不必要的效劳安装和维护防病毒软件应用程序层的描述用于创立和访问数据的应用程序效劳器应用程序如 Exchange Server 或 SQL Server特定于应用程序的平安问题功能必须得以维护应用程序层失守应用程序丧失恶意代码的执行应用程序的过度

10、使用应用程序用作非正常目的应用程序层保护只启用必需的服务和功能配置应用程序平安设置安装应用程序的平安更新程序安装和更新防病毒软件以最低权限运行应用程序数据层的描述文档目录文件应用程序数据层失守文档目录文件应用程序查看、更改或修改信息询问目录文件替换或修改应用程序文件数据层保护用 EFS 对文件进展加密用访问控制列表限制数据从默认位置移动文件创立数据备份和恢复方案用 Windows Rights Management Services 保护文档和电子邮件议题商业案例平安性风险管理准那么深层防御平安事件应对攻击情形最正确做法十条永恒的平安法那么事件应对检查列表确定正在遭受攻击确定攻击类型发出有关攻

11、击通知遏制攻击采取预防性措施将攻击情况记录存档遏制攻击带来的影响关闭受影响的效劳器从网络中移除受影响的计算机阻止入站和出站网络通信采取预防措施保护尚未遭到破坏的计算机保存证据议题商业案例平安性风险管理准那么深层防御平安事件应对攻击情形最正确做法十条永恒的平安法那么攻击 UDP 端口 135 的蠕虫病毒外围按照设计，网络防火墙应对此加以阻止。网络扫描找出或检测易受攻击的系统。关闭易受攻击的端口的网络开关使用 RRAS Quarantine 确保拨入主机得到修补主机使用 IPSec 只在需要 RPC 的主机上启用传入的 UDP 135采用 CF 阻止不受欢送的传入主机的通信Windows XP 及

12、更高版本支持 电子邮件蠕虫病毒外围在 SMTP 网关上扫描所有附件网络使用 RRAS Quarantine 检查路径级别和病毒签名应用程序Microsoft Office 98确保已安装 Microsoft Outlook 98 平安更新程序Office 2000确保至少安装了 Service Pack 2Office XP 和 Office 2003默认的平安区域设置是受限站点而不是 Internet，受限站点内的活动脚本在默认情况下也是禁用的用户要让用户知道：附件中可能有病毒！如果收到未经请求的附件，请在翻开附件前 给作者写信，确保该附件是作者本人发送的“我还没有修补就被黑了！外围启用或锁

13、定防火墙网络断开网络电缆主机启动系统并登录如果关闭了缓存的凭据，那么可能需要本地管理凭据翻开 ICF 以阻止所有传入的通信重新连接网络电缆下载并安装修补程序重新启动根据策略关闭 ICF议题商业案例平安性风险管理准那么深层防御平安事件应对攻击情形最正确做法十条永恒的平安法那么平安最正确做法深层防御设计成就平安最低权限从过去的错误中学习维持平安级别加强用户的平安意识开发和测试事件应对方案和过程平安性检查列表创立平安策略和过程文档查阅 Microsoft 平安性文档订阅平安性警告电子邮件实施深层防御维护定期备份和复原过程像“黑客那样思考！议题商业案例平安性风险管理准那么深层防御平安事件应对攻击情形最正确做法十条永恒的平安法那么十条永恒的平安法那么1如果攻击者能够说服您在自己的计算机上运行他的程序，那么该计算机便不再属于您了。2如果攻击者能够在您的计算机上更改操作系统，那么该计算机便不再属于您了。3如果攻击者能够不受限制地实地访问您的计算机，那么该计算机便不再属于您了。4如果您允许攻击者上载程序