基于PADIMEE模型的网络信息安全防护探讨.pdfVIP

信息技术 SCEINCE＆TECHNOLOOY一2012NO．05墨圆 基于PADIMEE模型的网络信息安全防护探讨 费欣毅 (苏州市城市客运交通管理处 江苏苏州 215007) 搏关键．．鼍词2本文从 络信息安全理念入手，介绍PADIMEE模型，并详细阐述了基于PADIMEE模型的网络信息安全防护。 ：罔络信息安全 PADIMEE模型 防护 中图分类号：TP393 文献标识码 A 文章编号 ：1672—3791(2012)02(b)一0021—02 随着企事业单位信息化程度 的提高 ， sponse(紧急响应)和education(教育)，该模型 上存在的安全技术风险评估和分析 ，包括 大部分单位开始重视 网络信息安全 ，但是 如 图1所示。 网络设备、主机 系统 、操作系统 、数据库、应 往往容易把 目标局限在信息安全产 品领 (1)策略制定阶段(policy phase)是确定 用系统等软硬件设备 。管理层面是从组织 域 ，没有认识到信息安全 的复杂性和全面 网络信息安全策 略和 目标。 的人员、组织结构、管理制度 、系统运行保 性 ，或者对信息安全的整体性和动态性有 (2)评估分析阶段(assessmentphase)是 障措施，以及其它运行管理规范等角度 ，分 了一些初步的认知 ，但还缺 乏一个整体 的 实现需求分析 、风险分析、信息安全功能分 析业务运作和管理方面存在的安全缺陷 。 清晰 的脉络结构 ，无法理顺其中的关系 ，系 析和评估准则设计等 ，明确表述现状 具体有以下几个方面 。 统性地探讨 网络信息安全防护十分必要 。 和 目标之间的差距 。 (1)资产调查评估。它是整个信息安全 (3)设计 ／方案阶段(design phase)是形 防护的基础 ，其 目的就是要对 单位的各类 1 网络信息安全防护的理念 成系统信息安全解决方案 ，为达到 目标给 资产做潜在价值分析 ，了解其资产利用、维 网络信息安全并不是通过简单的信息 出有效 的方法和步骤 。 护和管理现状 ，结合信息安全需求分析报 安全产 品的堆砌就能解决防护问题 ，而是 (4)实施 ／实现 阶段 (implementation 告对其进行有序的分类和分级 ，从而使单 需要遵循一定的网络信息安全理念来进行 phase)根据方案设计的框架 、建设 、调试并 位能够更合理地利用和保护现有资产。资 控制和保 障。网络 的发展是动态的，不断有 将整个 系统投入使 用 ；信息系统信息安全 产调查类别主要包括数据、服 务、硬件和软 新 的协议 ，操作系统 、应用软件发布和应 加 固，对系统 中发现 的漏洞进行信息安全 件、通讯 、文档、支持设施 、人 员和企业形象 用、伴随出现 的有大量新 的漏洞、病毒、攻 加 固，消除信息安全隐患 。 以及客户关系等有形和无形资产 。 击程序 ，因此 目前 国际上普遍认为网络信 (5)运行维护阶段(managementphase) (2)信息安全策略评估 。它是用于分析 息安全应该是一个动态的、不断完善的过 通过安全手段对信息系统进行有效 的管理 单位已形成的信息安全策略是否能满足符 程 ，并做 了大量研究工作 ，形成了各类信息 和运维 。 合实际的需求 ，同时分析其策略的有效落 安全模型 ，如基于时间的PDR模型 P2DR (6)紧急响应阶段 (emergency phase)尽 实情况。 模型、全 网动态安全体系APPDRR模型、安 快的恢复应用系统的运作和减少数据的丢 (3)脆弱性分析评估 。它 目的是检测有 氏的PADlMEE模型以及我