构建信息安全保障体系.ppt

1、1,构建信息安全保障体系,曲成义 研究员 2008.5,2,我国网络信息安全威胁增加迅速 （CNCERT/CC）,僵尸网络范围扩大，14万台主机被植入僵尸程序 木马/谍件威胁严重，4.5万IP地址植入木马 网页篡改数量迅速增加，达到24477次 政府网站被篡改3831次，占总量16% 安全事件报告的年增量为196% 网络恶意代码年增量12.8倍 漏洞发现量的年增196%,3,网络威胁的新动向值得高度关注,“零日攻击”现象出现（魔波蠕虫） 复合式病毒给防范增加难度 僵尸网成为DDos和垃圾邮件的源头 网络仿冒/劫持是在线窃信的重要途径 谍件泛滥是窃密/泄密的主要元凶 通过网页/邮件/P2P传播恶

2、意代码的数量猛增 非法牟利动机明显增加和趋于嚣张 黑客地下产业链正在形成 僵尸源和木马源的跨国控制应该高度警惕 内部安全事件的增加引起高度重视,4,国家信息化领导小组第三次会议,关于加强信息安全保障工作的意见,中办发2003 27号文,坚持积极防御、综合防范 全面提高信息安全防护能力 重点保障信息网络和重要信息系统安全 创建安全健康的网络环境 保障和促进信息化发展、保护公众利益、 维护国家安全 立足国情、以我为主、管理与技术并重、 统筹规划、突出重点 发挥各界积极性、共同构筑国家信息安全保障体系,5,国家信息安全保障工作要点 （中办发2003 27号文）,实行信息安全等级保护制度：风险与成本、

3、资源优化配置、安全 风险评估 基于密码技术网络信任体系建设：密码管理体制、身份认证、 授权管理、责任认定 建设信息安全监控体系：提高对网络攻击、病毒入侵、网络失窃 密、有害信息的防范能力 重视信息安全应急处理工作：指挥、响应、协调、通报、支援、 抗毁、灾备 推动信息安全技术研发与产业发展：关键技术、自主创新、强化可控 、引导与市场、测评认证、采购、服务 信息安全法制与标准建设：信息安全法、打击网络犯罪、标准体 系、规范网络行为 信息安全人材培养与增强安全意识：学科、培训、意识、技能、 自律、守法 信息安全组织建设：信息安全协调小组、责任制、依法管理,6,构造信息安全保障体系的目标 增强信息网络

4、四种安全能力 创建信 息安全的基础支撑能力 安全 基础设施、技术与产业、人才与教育 提升信息安全防护与对抗能力 . 加强网络突发事件的快速反应能力 拥有安全管理的控制能力,保障信息及其服务具有六性,保密性、完整性、可用性、真实性、可核查性、可控性,7,信息系统安全的全局对策,(一)科学划分信息安全等级 投入与风险的平衡点 安全资源的优化配置 (一)构建信息安全保障体系 重视顶层设计,做好信息安全技术体系与信息安全管理体系 强化信息安全的保障性 (二)作好信息安全风险评估 是信息安全建设的起点、也覆盖终生 提升信息安全的可信性,8,（一）科学划分信息安全等级,9,我国信息安全等级保护工作职责分工

5、,2006年1月，信息安全等级保护管理办法（试行）（公通字20067号）明确了公安、保密、密码、信息化部门的职责： 公安机关全面 国家保密工作部门涉密信息系统 国家密码管理部门密码 国务院信息办协调,10,信息安全等级保护关注点 （公通字200743号文）、（中保委发（2004）7号文）,等级保护涉及的内容：信息系统、信息安全产品、信息安全事件 分级依据：重要程度、危害程度、保护水平 (业务信息、系统服务） 保护级别划分： 自主保护级、指导保护级、监督保护级、强制保护级、专控保护级 系统管理模式 一级：自主保护 （一般系统/ 合法权益） 二级：指导保护（一般系统/ 合法权益、社会利益） 三级：

6、监督检查（重要系统/ 社会利益、国家安全） (秘密) 四级：强制监督 （重要系统/ 社会利益、国家安全） (机密 、增强） 五级：专门监督 （极端重要系统/ 国家安全） (绝密) 安全管理 自主定级-审核批准-系统建设-安全测评,11,信息安全等级保护相关规范 （公通字200743号文）, GB/T20269-2006 - - - - - - - - - - BMB 17-2006 BMB 22-2007 BMB 20-2007,12,（二）构建信息安全保障体系,13,信息安全保障体系框架,安 全 法 规,安 全 管 理,安 全 标 准,安 全 工 程 与 服 务,安 全 基 础 设 施,教

7、育 培 训,14,（1）信息安全法规,关于开展信息安全风险评估工作的意见 （ 国信办20051号文） 信息安全等级保护管理办法 （公通字20067号文、公通字200743号文、 ） 关于做好国家重要信息系统灾难备份的通知 关于做好信息安全管理试点的通知 中华人民共和国保守国家秘密法 (在修订) 信息安全法（信息安全条例） 电子签名法（2005年4月1日实施） 个人数据保护法 - - - - - - - - - - - - - - - - - -,15,（2）重视信息安全管理体系建设 (ISMS),国家文件多次指出： 建立信息安全管理组织 明确信息安全管理责任制 安全技术与安全管理要并重 信息安

8、全标准化委员会正抓紧制订管理标准 构建信息安全保障体系时一定要重视ISMS 建设,16,信息安全管理体系要求 (ISO/IEC 27001-2005 GBT 20269-2006),规定了组织建立、实施、运行、监视、评审 保持、改进、ISMS的要求 基于风险管理思想提出了“PDCA模型”，使组织 达到更有效的安全管理 用于认证和审核,17,应用于ISMS过程的PDCA模型 PDCA循环是能使任何一项活动有效改进的工作程序,应用于ISMS过程的PDCA模型,18,信息安全管理实用规则 (ISO/IEC- 27002 GB/T-),安全管理方针: 业务、法规 信息安全组织： 内部、外部、控制措施

9、信息资产管理： 责任、分类、控制措施 人力资源安全： 角色、职责、培训、任用、处罚 物理和环境安全： 安全域控制、设备安全控制 通信与操作管理： 职责、交付、验收、完整性、备份 网控、介质、交换、EC、监视 访问控制： 策略、授权、控制、移动 信息系统开发维护：密码、文件、应用、过程、漏洞 信息安全事件管理：报告、弱点、改进、职责 业务持续性管理： 中断、恢复、预案、评测 符合性： 法规、策略、标准、审核,19,信息安全管理实用规则 (ISO/IEC 27002-2007),详细严格的安全管理控制，贯穿系统 生命周期全过程和系统所有环节 11个控制项目 39个控制目标 133个控制措施,20,

10、国信办信息安全管理试点 (06年的9个月时间),5省中选7个点进行ISMS试点 遵循 ISO/IEC 27001-2005 ISO/IEC 17799-2005 并将ISMS试点与等级保护/风险评估相结合 重视需求牵引、领导参与 ISMS建立要全员动员、培训、参与 进一步认识过程的复杂性、困难性 需要多个结合：工作流程、现实制度 项目管理、多方参与,21,（3）国家信息安全标准化委员会,安全功能定义 安全要素设计：物理、网络、系统、应用、管理 全程安全控制 风险全程管理 安全有效评估 强壮性策略,（02.4.15计划成立.十个工作组）,1 标准体系与协调（含可信计算） 2 涉密信息系统保密(内

11、容分级) 3 密码算法与模块 4 PKI/PMI 5 安全评估 应急处理 7 安全管理（灾难恢复、风险评估-） 电子证据 身份标识与鉴别 操作系统与数据 国家发布33项、报批搞9项、送审稿14项、征求意见14项,22,（4）信息系统安全工程建设,安全需求分析： 威胁，弱点，风险，对策 安全技术体系设计 安全管理体系设计 安全要素设计：物理、网络、系统、应用、管理 安全集成管理: SOC 安全风险评估与全程控制 提升预警、防护、检测、响应、恢复、反击的能力 （）,（ISSE，IATF，CC，TESEC,BMB ,ISMS）,23,24,（A）网络安全纵深防御体系 网络信息安全域的划分、隔离控制、

12、可信接入 内部网安全服务与控制策略 （专网）安全服务与控制策略 外部网安全服务与控制策略 互联网安全服务与控制策略 公共干线的安全服务与控制策略（有线、无线、卫星） 计算环境的安全服务机制 多级设防与科学布署策略 全局安全测评、集成管理、联动控制与恢复,25,电子政务网络信息安全域的结构,外网,外网,互联网,互联网,内网,内网,内网,逻辑隔离,内网（VPN-私有专线或公共通信网）,外网,互联网,外网（VPN-公共通信网）,互联网（Internet）,节点1,节点N,节点2,26,信息安全域的科学划分 内网、(专网) 、外网、互联网 信息安全域边界的安全控制 逻辑隔离/物理隔离 信息安全机制的纵

13、深多级布署 多级配置/集成管理/设施联动 公共干线（TSP）的安全保障 有线/无线/卫星,纵深型防御技术关注点,27,防火墙/UTM 安全网关 NAT 应用代理 VLAN 可信接入(TNC、NAC、NAP） VPN,网络边界逻辑隔离,28,网络边界物理隔离技术,物理级（电磁域、物理域） 屏蔽（室/线）、干扰器（端、线）、区域保护 终端级（隔离卡） 双机型、双盘型、双区型 传输信道级（端端加密） 专用信道：VPN、IP密码机 电路交换方式（PVC）：认证与链路加密 网络级（物理隔离与信息交换） 物理切断：安全岛交换 单向网闸：开放环境信息单向进入秘密级环境 双向网闸： 物理隔离网络环境内安全域间

14、的信息交换、 共享和互操作,29,基于时间“t”的动态过程防御 # Pt：入侵防护时间（Protection） # Dt：入侵检测时间（Detection） # Rt：入侵事件反应恢复时间（Response/Recovery） 要求PtDt+Rt “资产”价值损失资产拥有者承受能力 预警（Warning）要长备不卸懈 反击（A）要有所准备,（B）动态防御技术模型（WPDRRA),30,风险评估与系统漏洞的预先发现（SCAN） 网络威胁检测、预警 信息系统边界防护(FW/UTM/NG) 入侵检测诊断、防护（IDS/IPS/IPM） 应急预案与机制快速启动 备份、修复与容灾 虚拟资产的从新部署 动

15、态拓扑结构的调整 积极防御机制的启动 陷阱、隐蔽、追踪、取证 侦探、预警、反击、制瘫,动态防御技术的关注点,31,密码管理体制 身份认证：PKI/CA、TOKEN - - - 授权管理：PMI/AA、ACL - - - 责任认定：全局审计,（C）基于密码技术网络信任体系建设 （中办发2003 27号文）,32,数字认证与网络信任体系的建设 （CA/ PKI）,适应开放型、大时空、无限边界 提供真实性、完整性、保密性、抗否认性 可以构建良好的信任环境 支持安全的交往/交换/交易多种业务对象 PKI/CA在EG中广泛应用,33,（D）强化内部审计,全局审计 网络级、数据库级、应用级、主机级（服务器

16、、端机） 介质级 审计信息的安全加固 保密性、完整性、防拷贝、可重现、防假冒 审计信息的证据有效性 法律上、管理上、技术上（恢复、反向工程） 审计点前移 事后-事中-事前,34,（E）网络信息产品安全可控技术,针对“分发式威胁” 隐通道、嵌入病毒、缺陷、可恢复密钥、恶意代码 采用自控技术： 扫描、发现、补丁、配置、 清除、监视、加固、升级（B级） 用户重新获取自控权,35,信息安全事件监控予警 信息安全事件通报：定级（GB/Z 209822007） 启动应急予案 事件应急抑制：物理、网络、主机、应用、服务 事件应急根除 事件应急恢复：恢复、抢救、灾备、回退 应急审计评估：设施、数据、服务、审计

17、、修订 “灾难恢复”是BCM关键之一，是“应急恢复”的最后一道防线,（F）应急予案与响应流程,36,我国灾难恢复等级划分：六级、七要素 大致可以分为二类：数据类、应用类 “第1级”：数据介质转移（异地存放、安全保管、定期更新） “第2级”：备用场地支持（异地介质存放、系统硬件网络可调） “第3级”：电子传送和部分设备支持（网络传送、磁盘镜像复制） “第4级”：电子传送和完整设备支持（网络传送、网络与系统就绪） “第5级”：实时数据传送及完整设备支持（关键数据实时复制、网 络系统就绪、人机切换） “第6级”：数据零丢失和远程（在线实时镜像、作业动态分配、 实时 无缝切换）,“信息系统灾难恢复规范

18、” (安标委 GB/T 209882007),37,它是业务持续性保证的要素 重视等级保护与灾难恢复级别的选择 遵循灾难恢复的规范与标准 数据级灾备是容灾的基础和起点 灾难恢复的集约化建设 灾难恢复的社会化服务选择 自主建设的几大原则,灾难恢复建设的关注点,38,（三）重视信息安全风险评估,39,信息系统安全风险评估的特征,信息系统是一个巨型复杂系统（系统要素、安全要素） 信息系统受制于外部因素（物理环境、行政管理、人员） 信息系统安全风险评估是一项系统工程 发现隐患、采取对策、提升强度、总结经验 自评估/委托评估、检查评估,40,信息系统安全评估方法,定性分析与定量结合 评估机构与评估专家结合 评估考查与评估检测结合 技术安全与管理安全结合,41,信息系统安全分析与检测,管理安全分析 组织、人员、制度、资产控制、物理、操作、连续性、应急 过程安全分析 威胁、风险、脆弱性、需求、策略、方案、符合