一 信息安全目標
信息安全涉及到信息的保密性(Confidentiality)、完整性(Integrity)、可用性(Availability)。
基於以上的需求分析,咱們認爲網絡系統能夠實現如下安全目標:
Ø保護網絡系統的可用性
Ø保護網絡系統服務的連續性
Ø防範網絡資源的非法訪問及非受權訪問
Ø防範***者的惡意×××與破壞
Ø保護信息經過網上傳輸過程當中的機密性、完整性
Ø防範病毒的侵害
Ø實現網絡的安全管理
二 信息安全保障體系
2.1信息安全保障體系基本框架
經過人、管理和技術手段三大要素,構成動態的信息與網絡安全保障體系框架WPDRR模型,實現系統的安全保障。WPDRR是指:預警(Warning)、保護(Protection)、檢測(Detection)、反應(Reaction)、恢復(Recovery),五個環節具備時間關係和動態閉環反饋關係。
安全保障是綜合的、相互關聯的,不只僅是技術問題,而是人、管理和技術三大要素的結合。
支持系統安全的技術也不是單一的技術,它包括多個方面的內容。在總體的安全策略的控制和指導下,綜合運用防禦工具(如:防火牆、×××加密等手段),利用檢測工具(如:安全評估、***檢測等系統)瞭解和評估系統的安全狀態,經過適當的反應將系統調整到「最高安全」和「最低風險」的狀態,並經過備份容錯手段來保證系統在受到破壞後的迅速恢復,經過監控系統來實現對非法網絡使用的追查。
預警:利用遠程安全評估系統提供的模擬×××技術來檢查系統存在的、可能被利用的脆弱環節,收集和測試網絡與信息的安全風險所在,並以直觀的方式進行報告,提供解決方案的建議,在通過分析後,瞭解網絡的風險變化趨勢和嚴重風險點,從而有效下降網絡的整體風險,保護關鍵業務和數據。數據庫
保護:保護一般是經過採用成熟的信息安全技術及方法來實現網絡與信息的安全,主要有防火牆、受權、加密、認證等。安全
檢測:經過檢測和監控網絡以及系統,來發現新的威脅和弱點,強制執行安全策略。在這個過程當中採用***檢測、惡意代碼過濾等等這樣一些技術,造成動態檢測的制度,創建報告協調機制,提升檢測的實時性。服務器
反應:在檢測到安全漏洞和安全事件以後必須及時作出正確的響應,從而把系統調整到安全狀態。爲此須要相應的報警、跟蹤、處理系統,其中處理包括封堵、隔離、報告等子系統。網絡
恢復:災難恢復系統是當網絡、數據、服務受到××××××並遭到破壞或影響後,經過必要的技術手段(如容錯、冗餘、備份、替換、修復等),在儘量短的時間內使系統恢復正常。架構
2.2安全體系結構技術模型
對安全的需求是任何單一安全技術都沒法解決的,應當選擇適合的安全體系結構模型,信息和網絡安全保障體系由安全服務、協議層次和系統單元三個層面組成,且每一個層面都包含安全管理的內容。框架
2.3 安全區域策略
根據安全區域的劃分,主管部門應制定針對性的安全策略。
一、按期對關鍵區域進行審計評估,創建安全風險基線
二、對於關鍵區域安裝分佈式***檢測系統;
三、部署防病毒系統防止惡意腳本、×××和病毒
四、創建備份和災難恢復的系統;
五、創建單點登陸系統,進行統一的受權、認證;
六、配置網絡設備防預拒絕服務×××;
七、按期對關鍵區域進行安全漏洞掃描和網絡審計,並針對掃描結果進行系統加固。分佈式
2.4 統一配置和管理防病毒系統
主管部門應當創建總體病毒防護策略,以實現統一的配置和管理。網絡防病毒的策略應知足全面性、易用性、實時性和可擴充性等方面的要求。
主管部門使用的防病毒系統應提供集中的管理機制,創建病毒系統管理中心,監控各個防毒產品的防殺狀態,病毒碼及殺毒引擎的更新升級等,並在各個防毒產品上收集病毒防禦狀況的日誌,並進行分析報告。
創建更新中心,負責整個病毒升級工做,按期地、自動地到病毒提供商網站上獲取最新的升級文件(包括病毒定義碼、掃描引擎、程序文件等),而後經過病毒系統管理中心,由管理中心分發到客戶端與服務器端,自動對殺毒軟件進行更新。ide
2.5網絡安全管理工具
在網絡安全中,除了採用上述技術措施以外,增強網絡的安全管理,制定有關規章制度,對於確保網絡的安全、可靠地運行,將起到十分有效的做用。安全體系建設中,安全管理是一個很是重要的部分。任何的安全技術保障措施,最終要落實到具體的管理規章制度以及具體的管理人員職責上,並經過管理人員的工做獲得實現。性能
安全管理遵循國際標準ISO17799,它強調管理體系的有效性、經濟性、全面性、廣泛性和開放性,目的是爲但願達到必定管理效果的組織提供一種高質量、高實用性的參照。各單位以此爲參照創建本身的信息安全管理體系,能夠在別人經驗的基礎上根據本身的實際狀況進行設計、取捨,以達到對信息進行良好管理的目的。信息安全不只僅是一個技術問題,更重要的是一個管理問題。對一種資產進行保護的最好方法就是爲它創建一個完整的、科學的管理體系。創建和實施信息安全管理體系(ISMS)是保障企事業單位、政府機構信息安全的重要措施。目前世界上包括中國在內的絕大多數政府簽署協議支持並承認ISO17799標準。
其組成部分如圖所示,各模塊的做用以下:
管理體制圖
1)整體策略
肯定安全的整體目標,所遵循的原則。
2)組織
肯定安全策略以後,必須明確責任部門,落實具體的實施部門。
3)信息資產分類與控制、職員的安全、物理環境的安全、業務連續性管理
有了目標和責任單位,緊接着要求咱們必須仔細考慮流程,從信息資產、人、物理環境、業務可用性等方面考慮安全的具體內容。
4)通訊與操做安全、訪問控制、系統開發與維護
這三方面屬於解決安全的技術問題,即解決如何作的問題?如何經過技術支撐安全目標、安全策略和安全內容的實施。
5)檢查監控與審計
用於檢查安全措施的效果,評估安全措施執行的狀況和實施效果。
2.5.1 安全運行組織
安全運行管理組織體系主要由主管領導、信息中心和業務應用相關部門組成,其中領導是核心,信息中心是系統運行管理體系的實體化組織,業務應用相關部門是系統支撐平臺的直接使用者。
肯定系統內部的管理職能部門,明確責任部門,也就是要組織安全運行管理團隊,由該部門負責運行的安全維護問題。
2.5.2 安全管理制度
面對網絡安全的脆弱性,除在網絡設計上增長安全服務功能,完善系統的安全保密措施外,還必須創建網絡的安全管理。明確安全職責,制定安全管理制度,實施安全管理的原則爲:多人負責原則、任期有限原則、職責分離原則。
2.5.3 應急響應機制
籌建管理人員和技術人員共同參與的內部組織,提出應急響應的計劃和程序,提供計算機系統和網絡安全事件的提供技術支持和指導;提供安全漏洞或隱患信息的通告、分析;事件統計分析報告;提供安全事件處理相關的培訓。
三.信息安全體系架構
經過對網絡應用的全面瞭解,按照安全風險、需求分析結果、安全策略以及網絡的安全目標。具體的安全控制系統能夠從如下幾個方面分述: 物理安全、系統安全、網絡安全、應用安全、管理安全。
3.1物理安全
保證計算機信息系統各類設備的物理安全是保障整個網絡系統安全的前提。物理安全是保護計算機網絡設備、設施以及其它媒體免遭地震、水災、火災等環境事故以及人爲操做失誤或錯誤及各類計算機犯罪行爲致使的破壞過程。它主要包括三個方面:
3.1.1環境安全
對系統所在環境的安全保護,如區域保護和災難保護;(參見國家標準GB50173-93《電子計算機機房設計規範》、國標GB2887-89《計算站場地技術條件》、GB9361-88《計算站場地安全要求》)
3.1.2設備安全
設備安全主要包括設備的防盜、防毀、防電磁信息輻射泄漏、防止線路截獲、抗電磁干擾及電源保護等;設備冗餘備份;經過嚴格管理及提升員工的總體安全意識來實現。
3.1.3媒體安全
包括媒體數據的安全及媒體自己的安全。顯然,爲保證信息網絡系統的物理安全,除在網絡規劃和場地、環境等要求以外,還要防止系統信息在空間的擴散。計算機系統經過電磁輻射使信息被截獲而失密的案例已經不少,在理論和技術支持下的驗證工做也證明這種截取距離在幾百甚至可達公里的復原顯示技術給計算機系統信息的保密工做帶來了極大的危害。爲了防止系統中的信息在空間上的擴散,一般是在物理上採起必定的防禦措施,來減小或干擾擴散出去的空間信號。
3.2 系統安全
3.2.1網絡結構安全
網絡結構的安全主要指,網絡拓撲結構是否合理;線路是否有冗餘;路由是否冗餘,防止單點失敗等。
3.2.2操做系統安全
對於操做系統的安全防範能夠採起以下策略:儘可能採用安全性較高的網絡操做系統並進行必要的安全配置、關閉一些起不經常使用卻存在安全隱患的應用、對一些保存有用戶信息及其口令的關鍵文件(如Windows NT下的LMHOST、SAM等)使用權限進行嚴格限制;增強口令字的使用(增長口令複雜程度、不要使用與用戶身份有關的、容易猜想的信息做爲口令),並及時給系統打補丁、系統內部的相互調用不對外公開。經過配備操做系統安全掃描系統對操做系統進行安全性掃描,發現其中存在的安全漏洞,並有針對性地進行對網絡設備從新配置或升級。
3.2.3應用系統安全
在應用系統安全上,應用服務器儘可能不要開放一些沒有常常用的協議及協議端口號。如文件服務、電子郵件服務器等應用系統,能夠關閉服務器上如HTTP、FTP、TELNET、RLOGIN等服務。還有就是增強登陸身份認證。確保用戶使用的合法性;並嚴格限制登陸者的操做權限,將其完成的操做限制在最小的範圍內。充分利用操做系統和應用系統自己的日誌功能,對用戶所訪問的信息作記錄,爲過後審查提供依據。
3.3網絡安全
網絡安全是整個安全解決方案的關鍵,從訪問控制、通訊保密、***檢測、網絡安全掃描系統、防病毒分別描述。
3.3.1隔離與訪問控制
Ø 嚴格的管理制度
可制定的制度有:《用戶受權實施細則》、《口令字及帳戶管理規範》、《權限管理制度》、《安全責任制度》等。
Ø 配備防火牆
防火牆是實現網絡安全最基本、最經濟、最有效的安全措施之一。防火牆經過制定嚴格的安全策略實現內外網絡或內部網絡不一樣信任域之間的隔離與訪問控制。而且防火牆能夠實現單向或雙向控制,對一些高層協議實現較細粒的訪問控制。
3.3.2***檢測
利用防火牆並通過嚴格配置,能夠阻止各類不安全訪問經過防火牆,從而下降安全風險。可是,網絡安全不可能徹底依靠防火牆單一產品來實現,網絡安全是個總體的,必須配相應的安全產品,做爲防火牆的必要補充。***檢測系統就是最好的安全產品,***檢測系統是根據已有的、最新的×××手段的信息代碼對進出網段的全部操做行爲進行實時監控、記錄,並按制定的策略實行響應(阻斷、報警、發送E-mail)。從而防止針對網絡的×××與犯罪行爲。***檢測系統通常包括控制檯和探測器(網絡引擎)。控制檯用做制定及管理全部探測器(網絡引擎)。探測器(網絡引擎)用做監聽進出網絡的訪問行爲,根據控制檯的指令執行相應行爲。因爲探測器採起的是監聽不是過濾數據包,所以,***檢測系統的應用不會對網絡系統性能形成多大影響。
3.3.3病毒防禦
因爲在網絡環境下,計算機病毒有不可估量的威脅性和破壞力。咱們都知道,網絡系統中使用的操做系統通常均爲WINDOWS系統,比較容易感染病毒。所以計算機病毒的防範也是網絡安全建設中應該考慮的重要的環節之一。反病毒技術包括預防病毒、檢測病毒和殺毒三種技術。
3.4 應用安全
3.4.1資源共享
嚴格控制內部員工對網絡共享資源的使用。在內部子網中通常不要輕易開放共享目錄,不然較容易由於疏忽而在與員工間交換信息時泄漏重要信息。對有常常交換信息需求的用戶,在共享時也必須加上必要的口令認證機制,即只有經過口令的認證才容許訪問數據。雖說用戶名加口令的機制不是很安全,但對通常用戶而言,仍是起到必定的安全防禦,即便有刻意破解者,只要口令設得複雜些,也得花費至關長的時間。
3.4.2 信息存儲
對有涉及祕密信息的用戶主機,使用者在應用過程當中應該作到儘可能少開放一些不經常使用的網絡服務。對數據服務器中的數據庫必須作安全備份。經過網絡備份系統,能夠對數據庫進行遠程備份存儲。
3.5 安全管理
3.5.1制定健全的安全管理體制
制定健全的安全管理體制將是網絡安全得以實現的重要保證。能夠根據自身的實際狀況,制定如安全操做流程、安全事故的獎罰制度以及對任命安全管理人員的考查等。
3.5.2 構建安全管理平臺
構建安全管理平臺將會下降不少由於無心的人爲因素而形成的風險。構建安全管理平臺從技術上如,組成安全管理子網,安裝集中統一的安全管理軟件,如病毒軟件管理系統、網絡設備管理系統以及網絡安全設備統管理軟件。經過安全管理平臺實現全網的安全管理。
3.5.3 加強人員的安全防範意識
應該常常對單位員工進行網絡安全防範意識的培訓,全面提升員工的總體網絡安全防範意識。
信息安全建設運行體系框架