安全形势-趋势-基本概念.pptVIP

* * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * *  * * * * * * * * * * * * * * * * * * 黑客不请自来，乘虚而入 踩点 扫描 破坏攻击 渗透攻击 获得访问权 获得控制权 清除痕迹 安装后门 远程控制 转移目标 窃密破坏 踩点：千方百计搜集信息，明确攻击目标 扫描：通过网络，用工具来找到目标系统的漏洞 DoS攻击：拒绝服务，是一种破坏性攻击，目的是使资源不可用 DDoS攻击：是DoS的延伸，更大规模，多点对一点实施攻击 渗透攻击：利用攻击软件，远程得到目标系统的访问权或控制权 远程控制：利用安装的后门来实施隐蔽而方便的控制 网络蠕虫：一种自动扩散的恶意代码，就像一个不受控的黑客 了解一些黑客攻击手段很有必要 黑客虽然可怕，可更多时候，内部人员威胁却更易被忽略，但却更容易造成危害 据权威部门统计，内部人员犯罪（或与内部人员有关的犯罪）占到了计算机犯罪总量的70%以上 员工误操作 蓄意破坏 公司资源私用 威胁更多是来自内部 一个巴掌拍不响！ 外因是条件 内因才是根本！ ? 技术弱点 ? 操作弱点 ? 管理弱点 系统、 程序、设备中存在的漏洞或缺陷 配置、操作和使用中的缺陷，包括人员的不良习惯、审计或备份过程的不当等 策略、程序、规章制度、人员意识、组织结构等方面的不足 自身弱点 将口令写在便签上，贴在电脑监视器旁 开着电脑离开，就像离开家却忘记关灯那样 轻易相信来自陌生人的邮件，好奇打开邮件附件 使用容易猜测的口令，或者根本不设口令 丢失笔记本电脑 不能保守秘密，口无遮拦，上当受骗，泄漏敏感信息 随便拨号上网，或者随意将无关设备连入公司网络 事不关己，高高挂起，不报告安全事件 在系统更新和安装补丁上总是行动迟缓 只关注外来的威胁，忽视企业内部人员的问题 最常犯的一些错误 想想你是否也犯过这些错误？ 嘿嘿，这顿美餐唾手可得…… 呜呜，可怜我手无缚鸡之力…… Tom Fish 弱点 威胁 信息资产对我们很重要，是要保护的对象 威胁就像苍蝇一样，挥之不去，无所不在 资产自身又有各种弱点，给威胁带来可乘之机 面临各种风险，一旦发生就成为安全事件、事故 保持清醒的认识 严防威胁 消减弱点 应急响应 保护资产 熟悉潜在的安全问题 知道怎样防止其发生 明确发生后如何应对 我们需要去做的 隐患险于明火！ 预防重于救灾！ 安全贵在未雨绸缪 还记得消防战略吗 可以采取的技术手段 物理安全技术：环境安全、设备安全、媒体安全 系统安全技术：操作系统及数据库系统的安全性 网络安全技术：网络隔离、访问控制、VPN、入侵检测、扫描评估 应用安全技术：Email安全、Web访问安全、内容过滤、应用系统安全 数据加密技术：硬件和软件加密，实现身份认证和数据信息的CIA特性 认证授权技术：口令认证、SSO认证（例如Kerberos）、证书认证等 访问控制技术：防火墙、访问控制列表等 审计跟踪技术：入侵检测、日志审计、辨析取证 防病毒技术：单机防病毒技术逐渐发展成整体防病毒体系 灾难恢复和备份技术：业务连续性技术，前提就是对数据的备份 防火墙 网络入侵检测 病毒防护 主机入侵检测 漏洞扫描评估 VPN通道 访问控制 整体的信息安全管理很重要 技术是信息安全的构筑材料，管理是真正的粘合剂和催化剂 信息安全管理构成了信息安全具有能动性的部分，是指导和控制组织的关于信息安全风险的相互协调的活动 现实世界里大多数安全事件的发生和安全隐患的存在，与其说是技术上的原因，不如说是管理不善造成的 理解并重视管理对于信息安全的关键作用，对于真正实现信息安全目标尤其重要 三分技术，七分管理！ 务必重视信息安全管理 加强信息安全建设工作 什么是信息安全管理体系？ 以往我们对信息安全的认识只停留在技术和产品上，是只见树木不见森林，只治标不治本 其实，信息安全成败，三分靠技术，七分靠管理，技术一般但管理良好的系统远比技术高超但管理混乱的系统安全 但以往我们的管理，只是粗浅的、静态的、不成体系的管理 信息安全必须从整体去考虑，必须做到“有计划有目标、发现问题、分析问题、采取措施解决问题、后续监督避免再现”这样的全程管理的路子，而整个的过程，必须有一套完整的文件体系来控制和指引 这就是信息安全管理体系，应该成为组织整体管理体系的一部分 可以参考的标准规范和最佳惯例 信息安全等级保护 可以参考的标准规范和最佳惯例 ISO27001 下午内容 ISO27001新版内容 信息安全体系 *