《信息安全工程与管理第二版》第9章-信息安全策略

第9章、信息安全策略本章目录9.1信息安全策略概述>9.2

安全策略的重要性>9.3

安全策略的格式>9.4安全策略的分类>9.5安全策略的制定过程>9.6

安全策略的制定原则>9.7

策略管理的自动化工具>9.8关于安全策略的若干偏见>9.9应急处置与响应策略的案例9.1

信息安全策略概述信息安全策略的概念信息安全策略，是一个有效的信息安全项目的管理基础。它规定了所允许的访问控制、协议以及如何面对与安全有关的事件。信息安全策略，已成为PPDR(P

2DR)

模型的核心。9.1信息安全策略概述9.2安全策略的重要性9.3

安全策略的格式9.4

安全策略的分类9.5

安全策略的制定过程9.6

安全策略的制定原则9.7策略管理的自动化工具9.8关于安全策略的若干偏见9.9应急处置与响应策略的案例本章目录9.2安全策略的重要性安全策略作为安全管理的核心和指导，本身具有重要的意义：■

是制定一个有效的信息安全项目的必要基础■任何一个信息安全项目的成功在于其安全策略的制定和实施。■应用安全策略的主要优势在于改善了信息安全管理的可扩展性和灵活性。9.1信息安全策略概述>9.2

安全策略的重要性9.3安全策略的格式>9.4安全策略的分类9.5

安全策略的制定过程9.6

安全策略的制定原则9.7策略管理的自动化工具9.8关于安全策略的若干偏见9.9应急处置与响应策略的案例本章目录9.3安全策略的格式安全策略在格式上主要包括策略的目标、范围、内容、角色责任、执行纪律、专业术语等。目标■

对于所保护的资源要达到的安全目标而进行的描述范围■应当有足够的范围广度，不局限于单一的技术或管理方面内容■

应当明确与这些特性相关的安全需求角色责任■

定义各种角色并分配责任，明确要求执行纪律■

描述对安全策略的损害行为及相应的惩戒办法专业术语■对安全策略中涉及的专业术语作必要的描述，避免不理解或产生歧义9.1信息安全策略概述>9.2

安全策略的重要性9.3安全策略的格式9.4安全策略的分类9.5

安全策略的制定过程>9.6安全策略的制定原则9.7策略管理的自动化工具9.8关于安全策略的若干偏见9.9应急处置与响应策略的案例本章目录9.4

安全策略的分类信息安全策略的分类总体安全策略>专题安全策略9.4

安全策略的分类9.4.1

总体安全策略——要求总体安全策略，是从整体上为组织机构的安全工作制定战略方向、范围和策略基调：■

为信息安全的各个领域分配责任，包括信息安全策略的维护、策略的实施、最终用户的责任等。■规定信息安全项目的制定、实施和管理的安全控制要求。应支持组织的预定目标和任务声明，而不能相互抵触。9.4

安全策略的分类9.4.1

总体安全策略——组成要素关于组织安全理念的总体看法。组织的信息安全部门结构和实施信息安全策略人员的信息

。组织所有成员共同的安全责任。组织所有成员明确的、特有的安全责任。组成部分描

述目的声明确定全面的安全策略和方向信息技术的安

全要素定义受保护信息的保密性、完整性、可用性等而采

取的各类措施，包括技术控制策略、教育和培训等信息安全的必

要性强调信息安全的重要性，明确保护重要信息安全的

法律和道德责任相关角色和责

任定义支持信息安全的组织结构，明确各类机构成员

的信息安全责任相关参考标准列出影响安全策略的相关法律、法规、标准和其他

策略9.4

安全策略的分类9.4.1

总体安全策略——组成框架9.4

安全策略的分类9.4.2

专题安全策略——要求问题安全策略，是为组织成员如何使用基于技术的信息系统提供了详细的、目标明确的指南。■明确指出组织期望员工如何使用基于技术的信息系统。■确定并记录基于技术的信息系统的控制过程。■当由于员工的使用不当或非法操作而造成的损失，组织不为其承担责任。目标声明策略的范围、服务目标和适用性访问授权和使用设备用户是否可以访问资源、公正和负责任地使用资源

、对个人信息和隐私的保护禁止使用设备破坏性地使用或误用、冒犯或侵扰设备运行、侵

犯版权、未经批准的或用于其他目的犯罪活动系统管理储存介质的管理、授权监控、病毒防护、信息加

密、物理安全、用户和系统管理员的责任违反策略通报违规的过程、对违规的惩罚策略检查和修改定期检查过程和时间表、修改的过程责任声明责任的声明、拒绝对某些行为承担责任9.4

安全策略的分类9.4.2

专题安全策略——组成框架主

题范

围访问控制策略入网访问控制、操作权限控制、目录安全控制、属性安全控制、服务器安全控制、网络监测与锁定控制、防火墙控制等物理和环境安全策略环境安全、物理设施安全、资产物理分布、物理安全区域管理等资产管理策略资产清单、资产使用、资产返还等终端配置与处理策略终端安全配置、用户责任、个人设备、无线连接等网络安全策略网络结构、网络设备管理、网络安全访问、安全扫描、远程连接、识别/认证等安全事件管理策略事故评估管理与决策、角色和责任、应急处置与响应、证据收集等备份与恢复策略备份方式、备份设施(存储)及保护、数据恢复机制等密钥管理策略密码算法、密钥管理等信息分类和处理策略信息分类及标签、信息传递方式及安全等漏洞管理策略漏洞识别、漏洞评估、漏洞处理等安全开发策略编码安全、安全性测试、外包开发安全等9.4

安全策略的分类9.4.2

专题安全策略——范围9.4

安全策略的分类9.4.2

专题安全策略——应用中的专题安全策略在实际应用中，专题安全策略往往表现为在配置和维护系统时，对人、技术和操作的管理指南和技术规范的形式，例如针对网络防火墙的功能配置和技术操作规程的策略等。■

管理指南：主要是用来表明功能安全策略的技术要求。■

技术规范：指出具体的安全策略的技术实现方法。9.4

安全策略的分类9.4.2专题安全策略——管理指南用于指导技术和操作的实现，

由管理层制定，规定了组织内部人员支持信息安全的行为准则。■

例如应按照管理者事先制定的信息安全方针来进行防火墙的构建和实现过程。如果信息安全方针里不允许员工在工作时间利用公司网络访问某些网站，那

么应该按照这种要求来配置防火墙。9.4

安全策略的分类9.4.2专题安全策略——技术规范可能需要制定不同的技术策略来实现管理指南的安全要求，表现为各种不同的设备都具有独自的技术规范，用于实现将管理目标变为可以实施的技术方法。■

例如

Windows的本地安全策略中密码策略的设置。本地安全设置

□口×文件(F)操作(A)查看V)帮助H)→

回

×

②安全设置白

帐户策略密码策略帐户锁定策略

口

本地策略审核策略用户权利指派

安全选项□公钥策略正在加密文件系统软件限制策略IP安全策略，在本地计策

略安全设置蹈密码必须符合复杂性要求

已启用品密码长度最小值

6个字符品密码最长存留期

120天蹈密码最短存留期

60天蹈强制密码历史

2个记住的密码画为域中所有用户使用可还原的加密来.

…已启用9.4

安全策略的分类9.4.2专题安全策略——技术规范一般来说，用以实现管理指南的技术控制规范有两种：■

访问控制列表

(ACLs,Access

Control

Lists

)。■

配置规则。9.4

安全策略的分类9.4.2

专题安全策略——技术规范之访问控制列表访问控制列表，

包括用户访问列表、矩阵和权限列表等，它们控制用户的权限和特权，亦是控制对系统功能、文档存储系统、中间设备或其他网络设备的访问。一个权限控制列表详细规定了哪些设备、

功能操作可以让哪些用户访问或执行等方面的内容，

例如：■

授权谁可以使用系统。■

授权用户在何时何地可以访问什么。■授权用户怎样访问系统，包括读、写、创建、修改

、删除、拷贝等。9.4

安全策略的分类9.4.2

专题安全策略——技术规范之访问控制列表Windows

ACL:File

属

性常规

共享

安

全

自定义组或用户名称G):爱

Admin(GUET-TT'Admin)级

Administrators(GUET-TTT'Administrators)CREATOR

OWER绩

Users(GUET-T\Users)完全控制修改读取和运行列出文件夹目录读取写入HQI+n阳特别权限或高级设置，请单击“高级”。确定

取消

应

用(A)添

加

①

)

…

.

允许册除C)□

拒绝Admin的权限F)高级(V)安全策略->本地权限管理策略->显示角色：安全审计员

操作一修改权限-返回选择本地角色：系统功能权限允许类型系统管理员安全审计员

普通用户首页√本地制定安全监控×本地制定网络视图×本地制定特许访问者本地网络物理拓扑×本地制定NSMP系统拓扑×本地制定设备视图×本地制定安全设备拓扑×本地制定部门拓扑×本地制定实时报警×本地制定主机IDS网络报警×本地制定主机Ins代理报警本地制定9.4

安全策略的分类9.4.2

专题安全策略——技术规范之访问控制列表权限控制列表：9.4

安全策略的分类9.4.2

专题安全策略——技术规范之配置规则配置规则，是输入到安全系统中指定的系统或设备的配置脚本或代码。这些代码在具体的系统或设备上执行，用来实现特定的安全功能，即告诉它们在处理信息的时候执行哪种相应的操作。配置脚本以代码形式存在，为方便用户操作，一般以用户界面方式接受管理员的配置规则要求，在系统底层转换为系统或设备可以接受并执行的代码。9.4

安全策略的分类9.4.2

专题安全策略——技术规范之配置规则防火墙配置规则：规则名称状态范围协议☑允许域名解析☑允许动态IP□允许SMMP☑允许VPNGRE协议

☑允许VPNAH协议□允许IKE

VPN放行放行放行放行放行放行所有的IP包所有的IP包所有的IP包所有的IP包所有的IP包所有的IP包UDPUDPUDPGREAHUDP恢复默认相关设置可信区：

设置黑白名单：设

置端口开关：设

置程序联网控制网络攻击拦截

恶意网址拦截

ARP

欺骗防御

对外攻击拦截网络数据保护TP规则设置升级设置高级设置确

定

@

)取消C)

应用(A)IP规则设置9.4

安全策略的分类9.4.2

专题安全策略——技术规范之配置规则扫描器配置规则

：e选项一一最大并发数量-主机扫描：16

每一主机安全检查：10综合扫描选项-□启动插件依赖□做相反的DNS查找安全检查

区最忧化测试e扫描端口范围-◎专用端口(1-1024)

C特殊范围□e插件选择-☑

Backdoors

☑

CISCO

☑

CGI

abuses

☑

DefaultUnixAccounts☑

Denial

of

Service☑

Firewalls☑FTP

区Finger

abuses☑

Gainrootremotely☑

Useless

services☑

Netware区NIS

☑

Port

Scanners☑

Gain

a

shell

remotely☑

RPC☑Untested☑SMMP☑

SMTP

problems☑

Remotefile

access区Windows☑

Settings区Mise.☑

General☑Windows:User

managemente

任务目标一⑥单一主机：

00|C

地址范围：

从到C

子网掩码：

子网

掩码

扫描参数设置扫描器设置

-Microsoft

Internet

Eplorer确定关闭重

置本章目录9.1信息安全策略概述>9.2

安全策略的重要性9.3

安全策略的格式9.4安全策略的分类9.5安全策略的制定过程9.6

安全策略的制定原则9.7

策略管理的自动化工具9.8关于安全策略的若干偏见9.9应急处置与响应策略的案例9.5

安全策略的制定过程当进行一项安全策略的制定工程时，可以用SDLC

过程对其进行指导：■调查与分析阶段。■设计阶段。■

实施阶段。■

维护阶段。9.5

安全策略的制定过程9.5.1

调查与分析阶段组建安全策略制定小组。理解组织的企业文化和业务特征。获得管理层的支持与承诺。确定信息安全策略的目标和范围。相关资料的收集与分析。9.5

安全策略的制定过程9.5.2

设计阶段起草拟定安全策略。■

应确保策略的可实施性和可读性。测试与评审安全策略。■对策略进行修改是必要的。9.5

安全策略的制定过程9.5.3

实施阶段应确保安全策略能顺利地发布到每个员工与相关利益方，并得到正确地理解，明确各自的安全责任与义务。要注意安全策略的发布与宣传工作。9.5

安全策略的制定过程9.5.4

维护阶段组织应当实时监控、定期评审、调整和持续改进安全策略，以确保其始终是对付威胁变化的有效工具。本章目录9.1信息安全策略概述>9.2

安全策略的重要性9.3

安全策略的格式9.4

安全策略的分类9.5

安全策略的制定过程9.6安全策略的制定原则>9.7策略管理的自动化工具9.8关于安全策略的若干偏见9.9应急处置与响应策略的案例9.6安全策略的制定原则与法律法规的符合性原则。需求、威胁、风险与代价的平衡原则。安全可靠性与业务灵活性的平衡原则。>完整性原则。>易操作性原则。可评估性原则。坚持动态性。9.1信息安全策略概述>9.2

安全策略的重要性9.3

安全策略的格式9.4

安全策略的分类9.5

安全策略的制定过程9.6

安全策略的制定原则9.7策略管理的自动化工具9.8关于安全策略的若干偏见9.9应急处置与响应策略的案例本章目录9.7策略管理的自动化工具9.7.1

策略管理框架在DMTF工作组提出的CIM模型基础上，

IETF

工作组提出

了PCIM策略核心信息模型),并因此制定了策略管理框架基本模型。策略管理工具LDAP策略决策点(PDP)

LDAP

策略知识库COPS

COPS策略执行点策略执行点(PEP)(PEP)9.7策略管理的自动化工具9.7.2

自适应策略管理及发布模型策略管理中心(包括知识库管理)策略知识库message

bus□策略服务器(PSs)自适应策略管理模块(SAPM)事件监视管理器自适应策略发布模块(SAPP)金COPS安全域(SDs)策略执行代理

(PEA)PEP

PEP

PEP9.7策略管理的自动化工具9.7.3

策略管理的应用工具基于策略的网络管理(PBNM)

技

术

。■Cisco的Qos

Policy

Manager(QPM)。■3Com的Transcend系统软件。■BayNetworks公司的Optivity系列网络管理产品。■

凯创公司的NetSight

Atlas策略管理器。■Astaro公司的配置管理器

(ACM)。■北京理工大学“金海豚”网络安全综合监控平台。■天融信安全策略管理系统

(TopPolicy)

。■绿盟安全管理平台ESP(Enterprise

Security

Planning)■启明星辰泰合信息安全运营中心系统-业务支撑安全管理系统BSM(BusinessSupport

ManagementSystemBSM)。本章目录9.1信息安全策略概述>9.2

安全策略的重要性9.3

安全策略的格式9.4

安全策略的分类9.5

安全策略的制定过程9.6

安全策略的制定原则9.7策略管理的自动化工具9.8关于安全策略的若干偏见9.9应急处置与响应策略的案例9.8关于安全策略的若干偏见先生，您错了

…

!信息安全是个技术问题。信息安全工作的首先要做的事情就是建立信息安全策略。为支持信息安全策略，安全策略需要多层次的文档支持

。新的策略的制定实施会遇到新的麻烦。适当制造一定的安全威胁对新安全策略的推广往往是很有效的。好了，新策略制定完毕，我的活干完了。9.1信息安全策略概述>9.2

安全策略的重要性9.3

安全策略的格式9.4

安全策略的分类9.5

安全策略的制定过程9.6

安全策略的制定原则9.7策略管理的自动化工具9.8关于安全策略的若干偏见9.9应急处置与响应策略的案例本章目录9.9制定与实施应急处置与响应策略的案例应急处置与响应策略，属于专题安全策略的范畴，与安全事件管理策略主题相关9.9.1

策略调查与分析准备工作■组建策略制定相关团队人员、对策略相关的资料进行收集了解业务背景与需求■在网络安全应急响应方面，需要在特定网络和系统面临或已经遭受突然攻击行为时，进行快速应急反应，提出并实施应急方案。联动与响应信息监测与控制策略攻击模拟系统策略应急单元分布式蜜罐系统策略应急预案选择与实施策略漏洞检测及逆向分析系统策略处置效用评估策略监控设备和安全处置类设备策略9.9制定与实施应急处置与响应策略的案例9.9.2应急处置与响应策略的设计总体框架■应急处置与响应平台整合了应急单元、指挥机构、联动与响应、中心管理控制台等模块，各模块包含了相

应的安全策略安全态势评估系统策略应急处置指挥策略中心管理控制台指挥机构9.9

制

定

与

实

施

应

急

处

置

与

响

应

策

略

的

案

例9.9.2应急处置与响应策略的设计策略的设计■目标声明：面向组织所有业务范围内的信息网络安全，对整体网络及资产进行监测、处理和响应■策略内容：包括应急单元策略、指挥机构策略、中心管理控制台策略、联动与响应策略等安全策略体系■违反策略的管理：根据情况，进行当场口头警告、提示或帮助纠正，或者小组会议上进行提示或公开说明，并帮助纠正，或者在组织范围内提出公开说明，并令其纠正，或者提交组织最高管理层处理■策略的检查