信息安全过程与最佳实践报告.ppt

信息安全过程与最佳实践 邹方波 boris@ 广州嘉为计算机网络教育中心 议题 商业案例 安全性风险管理准则 深层防御 安全事件应对 攻击情形 最佳做法 十条永恒的安全法则 违反安全性所造成的影响 CSI/FBI 2003 调查 实施各项安全措施的成本不低，但却是出现安全事件后减轻影响的成本的一小部分。 议题 商业案例 安全性风险管理准则 深层防御 安全事件应对 攻击情形 最佳做法 十条永恒的安全法则 安全性风险管理准则 (SRMD) 过程 评估 评估和评价资产 确定安全性风险 分析安全性风险并确定其重要性 开发与实现 开发安全补救措施 测试安全补救措施 获取安全知识 实施 重新评估新的和变更的资产及安全性风险 稳定和部署新的或更改的对策 评估：评估和评价 评估：确定安全性威胁 - STRIDE 评估：分析安全性风险并确定其重要性 - DREAD DREAD 损害 (Damage) 再现性 (Reproducibility) 可利用性 (Exploitability) 受影响的用户 (Affected Users) 可发现性 (Discoverability) 风险 = 资产重要性 x 威胁等级 评估：跟踪、规划和调度安全性风险活动 开发与实现：开发安全补救措施 开发与实现：测试安全补救措施 开发与实现：获取安全知识 实施：重新评估资产和风险 新的和变更的资产及安全性风险 实施：稳定和部署防范措施 新的或更改的防范措施 议题 商业案例 安全性风险管理准则 深层防御 安全事件应对 攻击情形 最佳做法 十条永恒的安全法则 安全性组织框架 使用分层的方法： 增强对攻击者进行攻击的检测 降低攻击者的成功几率 策略、过程和通告层介绍 策略、过程和通告层失守 策略、过程和通告层保护 物理安全性层介绍 物理安全性层失守 物理安全层保护 边界网络层介绍 边界网络层失守 边界网络层保护 内部网络层介绍 内部网络层失守 内部网络层保护 主机层描述 特定的网络角色 操作系统配置 术语“主机”既指工作站又指服务器 主机层失守 主机层保护 应用程序层的描述 特定于应用程序的安全问题 功能必须得以维护 应用程序层失守 应用程序丢失 恶意代码的执行 应用程序的过度使用 应用程序用作非正常目的 应用程序层保护 数据层的描述 数据层失守 数据层保护 议题 商业案例 安全性风险管理准则 深层防御 安全事件应对 攻击情形 最佳做法 十条永恒的安全法则 事件应对检查列表 遏制攻击带来的影响 议题 商业案例 安全性风险管理准则 深层防御 安全事件应对 攻击情形 最佳做法 十条永恒的安全法则 攻击 UDP 端口 135 的蠕虫病毒 外围 按照设计，网络防火墙应对此加以阻止。 网络 扫描找出或检测易受攻击的系统。 关闭易受攻击的端口的网络开关 使用 RRAS Quarantine 确保拨入主机得到修补 主机 使用 IPSec 只在需要 RPC 的主机上启用传入的 UDP 135 采用 CF 阻止不受欢迎的传入主机的通信（Windows XP 及更高版本支持） 电子邮件蠕虫病毒 外围 在 SMTP 网关上扫描所有附件 网络 使用 RRAS Quarantine 检查路径级别和病毒签名 应用程序 Microsoft Office 98 确保已安装 Microsoft Outlook? 98 安全更新程序 Office 2000 确保至少安装了 Service Pack 2 Office XP 和 Office 2003 默认的安全区域设置是受限站点（而不是 Internet），受限站点内的活动脚本在默认情况下也是禁用的 用户 要让用户知道：附件中可能有病毒！ 如果收到未经请求的附件，请在打开附件前 给作者写信，确保该附件是作者本人发送的 “我还没有修补就被‘黑’了！” 外围 启用或锁定防火墙 网络 断开网络电缆 主机 启动系统并登录 如果关闭了缓存的凭据，则可能需要本地管理凭据 打开 ICF 以阻止所有传入的通信 重新连接网络电缆 下载并安装修补程序 重新启动 根据策略关闭 ICF 议题 商业案例 安全性风险管理准则 深层防御 安全事件应对 攻击情形 最佳做法 十条永恒的安全法则 安全最佳做法 深层防御 设计成就安全 最低权限 从过去的错误中学习 维持安全级别 加强用户的安全意识 开发和测试事件应对计划和过程 安全性检查列表 议题 商业案例 安全性风险管理准则 深层防御 安全事件应对 攻击情形 最佳做法 十条永恒的安全法则 十条永恒的安全法则 演示总结 商业案例 安全性风险管理准则 深层防御 安全事件应对 攻击情形 最佳做法 十条永恒的安全法则 安全性风险补救措施的开发是这样一个过程：利用在评估阶段制订的计划，规划新的包括配置管理、修补程序管理、系统监视和