ISMS网络访问控制.docVIP

PAGE / NUMPAGES ISMS网络访问控制 目标：保护网络服务，控制对内部网络和外部网络服务的访问。 为了确保访问网络和网络服务的用户不会危害到这些网络服务的安全性，确保以下各项是很必要的： 在组织内部网络和其他组织的网络以及公共网络之间的合适的接口程序； 对用户和设备的合适的认证机制； 控制用户对信息服务的访问； 1. 使用网络服务的方针 和网络服务的非安全性连接将会影响到整个组织。用户只可以直接访问已经明确授权访问的服务。这种控制对于连接到敏感的或关键性的商业应用软件或连接到高风险区的用户的网络连接是特别重要的，如在组织安全管理和控制之外的公共或外部区域。 应制定关于网络和网络服务使用问题的方针： 所允许访问的网络和网络服务； 决定什么人可以访问那些网络和网络服务的授权流程； 保护对网络连接和网络服务的管理控制与流程； 此方针要和商务访问控制方针相一致（见9.1） 2. 强制路径 应控制从用户终端到计算机服务的路径。网络应被设计成允许最大范围的资源共享和路由的灵活性。这种特点也给未经授权的访问商务应用软件和使用信息设备制造了机会。限制在用户终端和允许用户访问的计算机服务之间的路由，如建立强制路径，包含有这样的控制措施的路径可以减小此类风险。 强制路径的目的是防止用户在用户终端和其已被授权的服务之间的路径以外选择路径。这需要在路径的不同节点上实施一系列的控制措施。此原则是通过事先确定的选择来限制在网络中每个节点上的路由选择。 此类的例子有： 分配专线或电话号码； 和特定的应用系统或安全网关的自动连接端口； 单独用户的有限的菜单和子菜单项； 防止无限制的网络漫游； 对外部网络用户，强制其使用特定的应用系统和/或安全网关； 主动控制所允许通过安全网关（如防火墙）的源地址和目的地址之间的通信； 对于在组织中的用户群，通过建立单独的逻辑域来限制网络访问，如虚拟私人网，对强制路径的要求应该基于商务访问控制方针（见9.1）； 3. 外部连接的用户认证 外部连接给未授权访问商务信息提供了潜在的可能，如拨号方式的访问。因此，远程用户的访问必须经过认证。认证方法有不同的类型，一些方法提供的安全级别要大一些，如基于使用加密技术的方法可提供很强的认证。通过风险评估来决定所需的保护级别是很重要的。这也是能够适当的选择认证方法所需要的。 对远程用户的认证可以通过使用，如基于加密技术，硬件令牌或询问/响应协议来达到。专用线路或网络用户地址检验设备也可以用来提供连接源地址的保证。 反向拨号流程和控制，如使用回拨调制解调器，可以提供防止对组织信息处理设备的未授权和不需要的访问的保护。这种控制措施可以识别企图在远程地点和组织网络之间建立连接的用户。在使用此控制措施时，组织不得使用含有呼叫转接的网络服务，否则，这些服务必须禁止使用呼叫转接功能，来避免由此带来的缺陷。回拨过程保证在组织一方可以出现中断也是很重要的。否则，远程用户可以保持线路开放，而伪称已经进行了回拨认证。对于这种可能性，回拨流程和控制措施要彻底的进行测试。 4. 节点认证 自动连接到远程计算机的功能为商务应用的未授权访问提供了途径。因此对远程计算机的连接要进行认证。如果连接所用的是组织安全管理控制之外的网络，认证则是特别的重要。认证的例子和如何实现认证在上述9.4.3中已给出。 节点认证可以作为验证连接到安全的、共享的计算机设备的远程用户群的可选方法。 5. 远程诊断端口保护 应该可靠的控制诊断端口的访问。很多计算机和通信系统都安装有维修工程师所用的拨号远程诊断设备。如果不加以保护，这些诊断端口则提供了未授权访问的途径。因此，应有适当的安全机制来进行保护，如使用键锁和程序来确保只有计算机服务管理人员和要求访问的软硬件支持人员之间的设备才可以访问这些端口。 6. 网络的隔离 网络正被日益地扩展到组织的传统边界之外，这是因为所建立的商务合作关系需要信息处理或网络设备的互联或共享。这种扩展增加了对现存的使用网络的信息系统的未授权访问的风险，其中有一些网络由于本身的敏感性或重要性，需要对来自其他网络用户的保护。在这种情况下，应考虑在网络内部引入控制措施，来隔离信息服务组、用户和信息系统。 控制大型网络的安全的一种方法就是把网络化分成单独的逻辑网域，如组织内部的网络域，和外部网络域，每一个网域有所定义的安全边界来保护。这种边界的实施可通过在相连的两个网络之间安全网关来控制其间访问和信息流。网关要经过配置，以过滤两个区域之间的通信量（见9.4.7和9.4.8）和根据组织的访问控制方针来堵塞未授权访问（见9.1）。这种网关的一个例子就是通常所说的防火墙。 网络隔离成区域的标准应以访问控制方针和访问需求为基础（见9.1），还应考虑相关的成本和包含有适当的网络路由或网关技术的性能影响（见9.4.7和9.