网络安全章安全策略.ppt

第3章 安全策略 3.1 安全策略的功能 3.2 安全策略的类型 3.3 安全策略的生成、部署和有效使用 3.4 本章小结 习题 3.1 安全策略的功能 安全策略对一个组织来说很重要 只涉及很少的技术知识。 安全策略提供一系列规则，管理和控制系统如何配置，组织的员工应如何在正常的环境下行动，而当发生环境不正常时，应如何反应。 1. 确定安全的实施 安全策略确定实施什么样的安全，具体内容如下： （1） 安全策略确定恰当的计算机系统和网络的配置及物理安全的措施，以及确定所使用的合理机制以保护信息和系统。 （2） 安全策略不仅确定安全的技术方面，还规定员工应该执行某些和安全相关的责任（例如用户管理），以及员工在使用计算机系统时所要求的行为。 （3） 安全策略还规定当非期望的事情发生时，组织应如何反应。当一个安全事故发生，或系统出故障时，组织的安全策略和安全程序规定其应做的事，以及在事故发生时，该组织的行动目标。 2. 使员工的行动一致 使每个工作人员行动一致以维护组织的安全也很重要。 安全策略为一个组织的员工规定一起工作的框架。组织的安全策略和安全过程规定了安全程序的目标和对象。将这些目标和对象告诉员工，就为安全工作组提供了基础。 在安全策略中，一般包含3个方面： （1） 目的 一个安全策略和安全程序应该有一个很好定义的目的，其文本应明确说明为什么要制定该策略和程序，及其对该组织有什么好处。 （2） 范围 一个安全策略和安全程序应该有一个适用的范围。例如，一个安全策略可适用于所有计算机和网络系统，一个信息策略可适用于所有员工。 （3） 责任 责任规定谁负责该文本的实施。不管谁负有责任，都必须经过很好的培训，明白文本的各项要求。 3.2 安全策略的类型 3.2.1 信息策略 信息策略定义一个组织内的敏感信息以及如何保护敏感信息。 策略覆盖该组织内的全部敏感信息。每个员工有责任保护所有接触的敏感信息。 识别敏感信息 根据该组织的业务，考虑哪些是敏感信息。 敏感信息有可能包括经营业务记录、产品设计、专利信息、公司电话簿等。 敏感信息的时效性、对象区别性 2.信息分类 对大部分组织而言，通常将信息分成二或三级已足够： （1） 低级：信息应该是公开的，这些信息已为人所知，或能公开发表。 （2） 中级：信息是不公开发表的，这些信息称为“私有”、“公司敏感”或“公司秘密”。 这类信息对本组织员工是公开的，对某些组织外的人员需签不扩散协议才能得到。如果这些信息被公开或被竞争者得到，就有损于该组织。 （3） 高级：信息称为“限制”或“保护”。 这类信息被严格限制在一个组织内的很有限的员工范围内，不能向组织内的全体员工发布，更不能被组织外的人得到。 3.标记敏感信息 对于非公开信息，安全策略应将各类敏感信息清楚地加上标记。 4.存储敏感信息 安全策略对存储在纸上或计算机系统中的敏感信息都应有相应的规定。（口令、加密等） 5.传输敏感信息 信息策略必须确定如何传输敏感信息。 可以用不同方法传输信息，如电子邮件、通过邮局邮寄、传真等。信息策略应对每种传输方法确定保护方法。 对通过电子邮件传送的敏感信息，安全策略应规定对用附件方式的文件或报文头进行加密。 对硬拷贝信息的传送，需要签收收据的方式。 对传真方式的传送，发送者需要用电话事先通知接收者等候在传真机旁。 6.销毁敏感信息 留在纸上的敏感信息必须有相应的销毁方法。 3.2.2 系统和网络安全策略 安全策略规定计算机系统和网络设备安全的技术要求。 规定系统或网络管理员应如何配置与安全相关的系统。 系统和网络管理员应对安全策略的实施负主要责任。 安全策略应定义每个系统实施时的要求，然而它不应规定对不同操作系统的专门配置，这属于专门配置的过程。 1.用户身份及身份鉴别 安全策略应确定如何识别用户。通常安全策略应规定用于用户ID的标准或定义标准的系统管理过程。 安全策略应确定对系统用户或管理员的基本的鉴别机制。如果机制是口令，则安全策略还应规定最小的口令字长、最长和最短的口令生存期以及口令内容的要求。 当开发安全策略时，每个组织还应决定是对管理员采用相同的机制，还是更强的机制。 2.访问控制 安全策略应确定对电子文件的访问控制的标准要求，具体如下： （1） 在确定机制时，对计算机上的每个文件，用户定义的访问控制的某些方式应是可用的。 这个机制应和身份鉴别机制一起工作，以确保只有授权用户能访问文件。该机制至少应能确定什么样的用户有读、写、执行文件的许可。 （2） 对新文件的默认配置应说明当新文件生成时应如何建立许可。 这部分安全策略应对给出的系统中的文件确定读、写、执行的许可。 3.审计 安全策略的审计部分应确定所有系统上需要审计的事件类型。 通常安全策略需对下列事件进行审计：成功或