论微软产品在企业IT的实施

从整体安全论微软产品在企业IT的实施裔云天RichardYiMBA,CISSP开发合作部微软中国有限公司日程安排1.IT面临的挑战2.安全部署微软产品3.案例研究4.问题和讨论

IT预算IT系统复杂性和成本

IT增强可用性降低运营成本加快响应速度增强安全性IT面临的压力和挑战

商业价值成本效率服务水准政府政策应用失败操作错误平台GartnerSecurityConferencepresentation"OperationZeroDowntime",D.Scott,May2002IT运营是

重要的系统更改的任意性系统容量的要求40%忘记了某些事情缺少操作规程备份错误/安全40%硬件,操作系统,设备…..20%更^IT的安全挑战和目标保密性

非授权用户不能非法访问数据完整性

非授权用户不能非法篡改数据可用性

非授权用户不能非法改变系统资源状态而使合法用户不能访问数据安全保密性完整性可用性收入损失声誉受到损害数据丢失或安全

受到威胁投资者的信心

受到重创法律后果业务流程中断客户的信心

受到打击违反安全性所造成的影响CSI/FBI2003调查

实施各项安全措施的成本不低，但却是出安全事件后减轻影响的成本的一小部分。投资改善安全性的好处减少与系统和应用程序不可用性关联的停机时间和成本减少与低效的安全更新部署关联的人力成本减少由于病毒或违反信息安全性所引起的数据丢失增强对知识产权的保护第二部分1.IT面临的挑战2.安全部署微软产品3.案例研究4.问题和讨论

安全部署微软产品安全部署微软产品安全管理规范访问控制安全架构法律和道德应用安全物理安全加密网络安全运营安全企业灾难恢复计划ISO17799安全标准范围

提供安全覆盖范围和安全目标的简单描述定义

一系列与国际ISO17799安全标准相关的信息定义信息安全策略

从管理的角度说明企业面临的信息安全相关问题并提供总体的解决方向.

ISO17799安全标准企业安全

企业管理架构并说明各管理层在实施信息安全时的职责和义务资产分类和控制

信息资产的保护,包括信息的分类和负责人

人员安全

企业员工安全,如与工作职责有关的安全培训和知识,安全的认知培训,安全事件的应对等ISO17799安全标准物理和环境安全

保护信息资产的物理安全,免受非法访问和损坏通讯和运营管理

实施标准的运营流程和职责,包括危机处理和系统更改管理控制等访问控制

定义并实施访问控制策略,限制对信息和应用的使用和访问ISO17799安全标准系统开发和维护

建立对新应用的安全控制,比如说应用的发布,对现有应用的修改等

企业灾难恢复及持续经营计划

定义并实施企业持续经营的管理流程,包括如何确定安全威胁和降低风险等政府法律

定义并实施控制,保证企业的日常行为符合政府的法律规范等MS推荐IT服务模式

技术利用产品和工具实现自动化流程一致的和可重复的人权责分明，具备相应的技能安全环境未被管理的设备被管理的客户端被管理的服务器物理安全网络主机应用数据纵深防御模式IT安全威胁威胁Threats威胁ThreatsThreatsThreats深层防御模型

使用分层的方法：增加攻击者被检测到的风险降低攻击者的成功几率OS加固、身份验证、修补程序管理、HIDS防火墙、网络访问隔离控制警卫、锁、跟踪设备网段、IPSec、NIDS应用程序加固、防病毒ACLs、加密、EFS安全文档、用户教育策略、过程和通告物理安全周边内部网络主机应用程序数据策略、过程和通告层介绍我想我会使

用我的名字

作为密码。嗨，我需要配置

一个防火墙。应

该阻塞哪些端口？我想我会撬开计

算机房的房门。

这样做容易得多。他们封锁了我

最喜爱的

Web

站点。幸好我

有调制解调器。策略、过程和通告层失守嘿，我也有网络

在运行。你怎么

配置你的防火墙？我总是想不到一个好的密码。你用什么密码？嗨，你知道

计算机机房

在哪儿吗？哟，调制解调器不错啊。那条线的号码是多少？策略、过程和通告层保护防火墙

配置过程物理访问

安全策略用户信息

保密策略设备请求

过程

员工安全培训有助于用户支持

安全策略物理安全层介绍

组织的IT基础结构中的所有资产须受到物理保护物理安全层失守安装恶意代码损坏硬件查看、更改

或删除文件移除硬件物理安全层保护锁门并安装报警器雇佣安全保卫人员强制实施访问过程监视访问情况限制数据输入设备使用远程访问工具增强安全性周边层介绍商业伙伴Internet

服务LAN总部LANInternet

服务分支机构无线网络LAN网络周边包括到以下方面的连接：Internet分支机构商业伙伴远程用户无线网络Internet应用程序远程用户Internet周边层失守商业伙伴Internet

服务LAN总部LANInternet

服务远程用户Internet分支机构无线网络LAN网络周边失守可能导致：成功攻击公司网络成功攻击远程用户

来自商业伙伴的成功攻击来自分支机构的成功攻击成功攻击Internet服务来自Internet的成功攻击周边层保护商业伙伴Internet

服务LAN总部LANInternet

服务分支机构无线网络LAN远程用户Internet网络周边保护包括：防火墙阻塞通信端口端口和IP地址转换虚拟专用网络(VPN)隧道协议VPN隔离内部网络层介绍销售无线网络市场推广财务人力资源内部网络层失守对系统未经

授权的访问访问所有

网络通信对无线网络未经

授权的访问意外的通信端口通过网络探测

数据包内部网络层保护要求互相进行身份验证网络分段网络通信加密即使已分段也要限制通信对网络数据包签名实施

IPSec

端口筛选器以限制与

服务器的通信主机层描述包含网络上的各计算机系统通常具有特定的作用或功能术语“主机”既指客户端又指服务器主机层失守利用不安全的

操作系统配置利用操作

系统漏洞不受监视的访问散布病毒主机层保护加固客户端和服务器操作系统禁用不必要的服务使安全修补程序和

Service

Pack

保持最新监视和审核访问和试图进行的访问安装和维护防病毒软件使用防火墙WindowsXPSP2高级安全技术网络保护内存保护更安全的电子邮件处理更安全的浏览改进的计算机维护

在以下网址了解更多有关WindowsXPServicePack2的信息：.../sp2preview

应用程序层介绍该层包含客户端和服务器网络应用程序功能必须得以维护

客户端应用程序示例：MicrosoftOutlook、MicrosoftOffice套件

服务器应用程序

示例：Web服务器、

ExchangeServer、

SQLServer应用程序层失守应用程序功能丢失恶意代码的执行超出应用程序的运行极限–DoS攻击应用程序被移作它用应用程序层保护只启用必需的服务和功能保护内部开发的应用程序安装所有应用程序的安全更新程序安装和更新防病毒软件以最低必需权限运行应用程序在开发新的应用程序时采用最新的安全做法数据层介绍文档目录文件应用程序文件数据层失守文档目录文件应用程序文件查看、更改或删除信息询问目录文件替换或修改应用程序文件数据层保护用

EFS

对文件进行加密联合使用访问控制列表和加密从默认位置移动文件定期执行数据备份用

Windows

Rights

Management

Services

保护文档和电子邮件使用

NTFS

实现文件和文件夹级别的安全性安全性最佳做法遵循深层防御模型努力实现在设计上安全的系统应用最低权限准则从经验中学习运用监视和审核培训用户注意安全问题制定和测试事件应对计划和过程安全性检查列表创建安全策略和过程文档订阅安全性警告电子邮件了解修补程序管理的最新信息维护定期备份和还原过程捕捉攻击者的心思10条永恒的安全法则，第1部分1如果攻击者可以说服您在计算机上运行他的程序，则计算机便不再属于您2如果攻击者能够在您的计算机上更改操作系统，则计算机便不再属于您3如果攻击者能够不受限制地实地访问您的计算机，则计算机便不再属于您4如果您允许攻击者上载程序到您的Web站点，则Web站点便不再属于您5强大的安全性敌不过脆弱的密码10条永恒的安全法则，第2部分6计算机的安全性仅等同于管理员的可靠性7加密数据的安全性仅等同于解密密钥的安全性8使用过时的防病毒软件比根本没有防病毒软件略好一点9绝对的匿名无论在现实中还是在Web中都不切实际10技术不是万灵药MicrosoftBaselineSecurityAnalyzer(MBSA)v1.2VirusCleanerToolsSystemsManagementServer(SMS)2003SoftwareUpdateServices(SUS)SP1InternetSecurityandAcceleration(ISA)Server2004StandardEditionWindowsXPServicePack2PatchingTechnologyImprovements(MSI3.0)SystemsManagementServer2003SP1MicrosoftOperationsManager2005WindowsmalicioussoftwareremovaltoolWindowsServer2003ServicePack1WindowsUpdateServicesISAServer2004EnterpriseEditionWindowsRightsManagementServicesSP1WindowsAntiSpywareSystemCenter2005WindowsServer2003“R2”VisualStudio2005VulnerabilityAssessmentandRemediationActiveProtectionTechnologiesAntivirusPrior2004Future2005微软安全产品时间表资源第三部分1.IT面临的挑战2.安全部署微软产品3.案例研究4.问题和讨论

案例研究–银行/保险业案例建立一个名为“e-bank”的数据中心,希望建立基于微软产品和技术的安全架构,保证系统的安全性,高可用性和可靠性,系统包括电子邮件系统,网上银行,远程访问等设计简介利用WSSRA(WindowsServerSystemReferenceArchitecture)Exchange/FirewallCluster/MultipleISPconnectionServerpatchmanagement/hardening/MonitoringChangemanagementBusinessContinuityplan好处BetterProductivityGuaranteedSystemUp-timeDeliveringmoreservicewiththesamebudget案例研究–银行/保险业BranchNetworkCorporateandRegionalFacilitiesRe