1102观势论则取实网络信息安全的趋势、原则和实践

1、观势、论则、取实 网络信息安全的趋势、原则和实践 20102010年年1111月月2 2日日 2 内容简介内容简介 3 得到高层重视的两件事得到高层重视的两件事 奥巴马政府的报告奥巴马政府的报告ibm提出智慧地球提出智慧地球 4 奥巴马报告要点观察奥巴马报告要点观察 明确明确cyberspace网际空间网际空间 陆、海、空、太空、网际等五大空间 并列 突出讲问题、威胁突出讲问题、威胁 强调政治、军事、经济、外交等手段强调政治、军事、经济、外交等手段 共同协调共同协调 划定关键基础设施划定关键基础设施 电信、金融、电力、联邦政务 总统直辖的负责人和办公室总统直辖的负责人和办公室 近期和中期行动计

2、划近期和中期行动计划 5 近期行动计划近期行动计划 1. appoint a cybersecurity policy official responsible for coordinating the nations cybersecurity policies and activities; establish a strong nsc directorate, under the direction of the cybersecurity policy official dual- hatted to the nsc and the nec, to coordinate interag

3、ency development of cybersecurity-related strategy and policy. 2. prepare for the presidents approval an updated national strategy to secure the information and communications infrastructure. this strategy should include continued evaluation of cnci activities and, where appropriate, build on its su

4、ccesses. 3. designate cybersecurity as one of the presidents key management priorities and establish performance metrics. 4. designate a privacy and civil liberties official to the nsc cybersecurity directorate. 5. convene appropriate interagency mechanisms to conduct interagency- cleared legal anal

5、yses of priority cybersecurity-related issues identified during the policy-development process and formulate coherent unified policy guidance that clarifies roles, responsibilities, and the application of agency authorities for cybersecurity-related activities across the federal government. 6 近期行动计划

6、近期行动计划 6. initiate a national public awareness and education campaign to promote cybersecurity. 7. develop u.s. government positions for an international cybersecurity policy framework and strengthen our international partnerships to create initiatives that address the full range of activities, poli

7、cies, and opportunities associated with cybersecurity. 8. prepare a cybersecurity incident response plan; initiate a dialog to enhance public-private partnerships with an eye toward streamlining, aligning, and providing resources to optimize their contribution and engagement 9. in collaboration with

8、 other eop entities, develop a framework for research and development strategies that focus on game-changing technologies that have the potential to enhance the security, reliability, resilience, and trustworthiness of digital infrastructure; provide the research community access to event data to fa

9、cilitate developing tools, testing theories, and identifying workable solutions. 10. build a cybersecurity-based identity management vision and strategy that addresses privacy and civil liberties interests, leveraging privacy- enhancing technologies for the nation. 7 近期行动计划近期行动计划 1. 任命网际安全政策高级协调官任命网

10、际安全政策高级协调官 2. 为总统准备更新的国家战略为总统准备更新的国家战略 3. 明确网际安全是总统的关键管理优先级，建立指标度量明确网际安全是总统的关键管理优先级，建立指标度量 4. 任命隐私和公民自由官员任命隐私和公民自由官员 5. 建立合适的跨部门机制建立合适的跨部门机制 6. 启动一个国家公众宣传和教育计划启动一个国家公众宣传和教育计划 7. 发展并加强对于国际伙伴的保障发展并加强对于国际伙伴的保障 8. 准备一个网际安全事件响应计划；启动与私营机构的合作准备一个网际安全事件响应计划；启动与私营机构的合作 9. 关注改变游戏规则的技术发展关注改变游戏规则的技术发展 10.建立基于网际

11、安全的建立基于网际安全的id管理战略管理战略 8 中期行动计划中期行动计划 1. improve the process for resolution of interagency disagreements regarding interpretations of law and application of policy and authorities for cyber operations. 2. use the omb program assessment framework to ensure departments and agencies use performance-bas

12、ed budgeting in pursuing cybersecurity goals. 3. expand support for key education programs and research and development to ensure the nations continued ability to compete in the information age economy. 4. develop a strategy to expand and train the workforce, including attracting and retaining cyber

13、security expertise in the federal government. 5. determine the most efficient and effective mechanism to obtain strategic warning, maintain situational awareness, and inform incident response capabilities. 6. develop a set of threat scenarios and metrics that can be used for risk management decision

14、s, recovery planning, and prioritization of r&d. 7. develop a process between the government and the private sector to assist in preventing, detecting, and responding to cyber incidents. 8. develop mechanisms for cybersecurity-related information sharing that address concerns about privacy and propr

15、ietary information and make information sharing mutually beneficial. 9 中期行动计划中期行动计划 9. develop solutions for emergency communications capabilities during a time of natural disaster, crisis, or conflict while ensuring network neutrality. 10. expand sharing of information about network incidents and v

16、ulnerabilities with key allies and seek bilateral and multilateral arrangements that will improve economic and security interests while protecting civil liberties and privacy rights 11. encourage collaboration between academic and industrial laboratories to develop migration paths and incentives for

17、 the rapid adoption of research and technology development innovations. 12. use the infrastructure objectives and the research and development framework to define goals for national and international standards bodies. 13. implement, for high-value activities (e.g., the smart grid), an opt-in array o

18、f interoperable identity management systems to build trust for online transactions and to enhance privacy. 14. refine government procurement strategies and improve the market incentives for secure and resilient hardware and software products, new security innovation, and secure managed services. 10

19、中期行动计划中期行动计划 1.法律法律 2.预算计划预算计划 3.教育和研究教育和研究 4.引入专家进入联邦政府引入专家进入联邦政府 5.战略预警机制和事件响应能力战略预警机制和事件响应能力 6.开发一套威胁场景和度量开发一套威胁场景和度量 7.建立政府和私营机构的良好机制，以应对事件建立政府和私营机构的良好机制，以应对事件 8.建立信息分享机制建立信息分享机制 9.保障应急通讯能力保障应急通讯能力 10. 保护隐私和公民自由保护隐私和公民自由 11. 鼓励与研究机构和产业界的合作鼓励与研究机构和产业界的合作 12. 研究开发框架和标准研究开发框架和标准 13. 建立可以互操作的建立可以互操作

20、的id管理管理 14. 改进政府采购策略改进政府采购策略 11 ibm提出的智慧地球提出的智慧地球 12 ibm提出的智慧地球的提出的智慧地球的3个个i 13 从风险三要素开始从风险三要素开始 抓住最根本的、保持不变的抓住最根本的、保持不变的 14 梳理手上的梳理手上的 加密加密 强认证强认证 防火墙防火墙 入侵检测入侵检测 国家战略国家战略 攻击检测攻击检测 渗透测试渗透测试 组织体系组织体系 制度制度/规则规则 多功能网关多功能网关 utm 工作流工作流 审计审计 管理平台管理平台 风险评估风险评估 等级保护等级保护 体系结构体系结构 规划规划/计划计划 云模式云模式 项目管理项目管理 监

21、控监控/预警预警 冗余冗余/备份备份 应急响应应急响应 合规性要求合规性要求 首席安全官首席安全官 安全专家安全专家 三观论三观论 宏观宏观/中观中观/微观微观 量化量化/指标化指标化 合作合作/外包外包 管理理念管理理念 涉密系统安全涉密系统安全 病毒病毒/蠕虫蠕虫 分布式分布式 拒绝服务攻击拒绝服务攻击 办公安全办公安全 网上银行网上银行 骨干网骨干网 网站安全网站安全 erp 服务器安全服务器安全 火灾火灾/水灾水灾 设备故障设备故障 内部人员作案内部人员作案 网络渗透网络渗透 网络嗅探网络嗅探 核心业务核心业务 电磁泄漏电磁泄漏 终端安全终端安全 文档安全文档安全 误操作误操作 垃圾信

22、息垃圾信息 安全事件安全事件 漏洞漏洞/脆弱性脆弱性 黑客黑客 业务逻辑业务逻辑 卫星通讯卫星通讯 业务大集中业务大集中 数据中心数据中心 线路中断线路中断 15 梳理手上的梳理手上的 涉密系统安全涉密系统安全 病毒病毒/蠕虫蠕虫 分布式分布式 拒绝服务攻击拒绝服务攻击 办公安全办公安全 网上银行网上银行 骨干网骨干网 网站安全网站安全 erp 服务器安全服务器安全 火灾火灾/水灾水灾 设备故障设备故障 内部人员作案内部人员作案 网络渗透网络渗透 网络嗅探网络嗅探 核心业务核心业务 电磁泄漏电磁泄漏 终端安全终端安全 文档安全文档安全 误操作误操作 垃圾信息垃圾信息 安全事件安全事件 漏洞漏洞

23、/脆弱性脆弱性 黑客黑客 业务逻辑业务逻辑 卫星通讯卫星通讯 业务大集中业务大集中 数据中心数据中心 线路中断线路中断 16 梳理手上的梳理手上的 涉密系统安全涉密系统安全 病毒病毒/蠕虫蠕虫 分布式分布式 拒绝服务攻击拒绝服务攻击 办公安全办公安全 网上银行网上银行 骨干网骨干网 网站安全网站安全 erp 服务器安全服务器安全 火灾火灾/水灾水灾 设备故障设备故障 内部人员作案内部人员作案 网络渗透网络渗透 网络嗅探网络嗅探 核心业务核心业务 电磁泄漏电磁泄漏 终端安全终端安全 文档安全文档安全 误操作误操作 垃圾信息垃圾信息 安全事件安全事件 漏洞漏洞/脆弱性脆弱性 黑客黑客 业务逻辑业务

24、逻辑 卫星通讯卫星通讯 业务大集中业务大集中 数据中心数据中心 线路中断线路中断 业务大集中业务大集中 数据中心数据中心 线路中断线路中断 17 梳理手中的梳理手中的 业务大集中业务大集中 数据中心数据中心 线路中断线路中断 加密加密 强认证强认证 防火墙防火墙 入侵检测入侵检测 国家战略国家战略 攻击检测攻击检测 渗透测试渗透测试 组织体系组织体系 制度制度/规则规则 多功能网关多功能网关 utm 工作流工作流 审计审计 管理平台管理平台 风险评估风险评估 等级保护等级保护 体系结构体系结构 规划规划/计划计划 云模式云模式 项目管理项目管理 监控监控/预警预警 冗余冗余/备份备份 应急响应

25、应急响应 合规性要求合规性要求 首席安全官首席安全官 安全专家安全专家 三观论三观论 宏观宏观/中观中观/微观微观 量化量化/指标化指标化 合作合作/外包外包 管理理念管理理念 18 业务大集中业务大集中 数据中心数据中心 线路中断线路中断 梳理手上的梳理手上的 加密加密 强认证强认证 防火墙防火墙 入侵检测入侵检测 国家战略国家战略 攻击检测攻击检测 渗透测试渗透测试 组织体系组织体系 制度制度/规则规则 多功能网关多功能网关 utm 工作流工作流 审计审计 管理平台管理平台 风险评估风险评估 等级保护等级保护 体系结构体系结构 规划规划/计划计划 云模式云模式 项目管理项目管理 监控监控/

26、预警预警 冗余冗余/备份备份 应急响应应急响应 合规性要求合规性要求 首席安全官首席安全官 安全专家安全专家 三观论三观论 宏观宏观/中观中观/微观微观 量化量化/指标化指标化 合作合作/外包外包 管理理念管理理念 安全专家安全专家 管理理念管理理念 19 业务大集中业务大集中 数据中心数据中心 线路中断线路中断 梳理手上的梳理手上的 安全专家安全专家 管理理念管理理念 资产和业务资产和业务威胁和危害威胁和危害 安全措施安全措施 方法方法/原则原则 20 涉密系统安全涉密系统安全 病毒病毒/蠕虫蠕虫 分布式分布式 拒绝服务攻击拒绝服务攻击 办公安全办公安全 网上银行网上银行 骨干网骨干网 网站

27、安全网站安全 erp 服务器安全服务器安全 火灾火灾/水灾水灾 设备故障设备故障 内部人员作案内部人员作案 网络渗透网络渗透 网络嗅探网络嗅探 核心业务核心业务 电磁泄漏电磁泄漏 终端安全终端安全 文档安全文档安全 误操作误操作 垃圾信息垃圾信息 安全事件安全事件 漏洞漏洞/脆弱性脆弱性 黑客黑客 业务逻辑业务逻辑 卫星通讯卫星通讯 业务大集中业务大集中 数据中心数据中心 线路中断线路中断 梳理手上的梳理手上的 加密加密 强认证强认证 防火墙防火墙 入侵检测入侵检测 国家战略国家战略 攻击检测攻击检测 渗透测试渗透测试 组织体系组织体系 制度制度/规则规则 多功能网关多功能网关 utm 工作流

28、工作流 审计审计 管理平台管理平台 风险评估风险评估 等级保护等级保护 体系结构体系结构 规划规划/计划计划 云模式云模式 项目管理项目管理 监控监控/预警预警 冗余冗余/备份备份 应急响应应急响应 合规性要求合规性要求 首席安全官首席安全官 安全专家安全专家 三观论三观论 宏观宏观/中观中观/微观微观 量化量化/指标化指标化 合作合作/外包外包 管理理念管理理念 21 资产资产 威胁威胁 措施措施 最精简的风险管理要素最精简的风险管理要素 22 gb中的风险中的风险10要素与三要素对应要素与三要素对应 23 风险立方体风险立方体-risk cube 资产资产 威胁威胁 措施措施 24 风险立

29、方体中的安全工作风险立方体中的安全工作 资产资产 威胁威胁 措施措施 注：此图中的坐标轴不代表程度注：此图中的坐标轴不代表程度 25 风险立方体中的安全工作风险立方体中的安全工作 资产资产 威胁威胁 措施措施 互联网业务系统互联网业务系统 互联网攻击互联网攻击 互联网防入侵互联网防入侵 fw, ids, ips, 防防sql注入注入 注：此图中的坐标轴不代表程度注：此图中的坐标轴不代表程度 26 风险立方体中的安全思索风险立方体中的安全思索 资产资产 威胁威胁 措施措施 a: 资产影响资产影响 ta s(ta) *管理平台化管理平台化 *管理度量技术管理度量技术 * *面对僵尸网面对僵尸网 从

30、单点检测到大监测从单点检测到大监测 *针对针对sql注入注入 ips技术技术 * 不同的机构不同的机构/业务业务 *核心业务系统核心业务系统 *oa * 27 观察业务和资产观察业务和资产 28 29 构建信息安全保障框架构建信息安全保障框架 通过通过s3-ppt方法展开保障措施方法展开保障措施 30 如何落地、取得实效如何落地、取得实效 31 需求驱动力的四象限需求驱动力的四象限 需求框架来自内部来自外部 主动引导 体系化 systematic 标准型 policy 被动要求 问题型 problem 合规性 compliance 32 建立度量和例行报告制度建立度量和例行报告制度 度量化和例

31、行报告度量化和例行报告 将规范具体成为关键指标 为指标建立评估方法和工具 为评价建立标杆 将重要指标设置为kpi，融入到责任管理体 系中 举例举例 防病毒产品装机率、升级比率 ids监测能力网络链路覆盖度 33 it治理的三大标准之一治理的三大标准之一 34 11-39-134 a5、信息安全方针（security policy） a6、信息安全组织（organising information security） a7、资产管理(asset management) a8、人力资源安全 (human resources security) a9、物理与环境安全 (physic and envi

32、ronment security) a10、通信与运行管理 (communication and operation management) a11、 访问控制(access control) a12、信息系统获取,开发与维护 (information systems acquisition, development and maintenance ) a13、信息安全事件管理 ( information security incident management) a14、业务持续性管理(business continuity management) a15、符合性(compliance) 3

33、5 bsibsi认为的认为的8 8个关键控制措施个关键控制措施 法律相关法律相关 知识产权知识产权 保护组织记录保护组织记录 数据保护和个人信息隐私数据保护和个人信息隐私 最佳实践相关最佳实践相关 信息安全方针文件信息安全方针文件 落实信息安全责任落实信息安全责任 信息安全教育与培训信息安全教育与培训 安全事故汇报安全事故汇报 业务连续性管理业务连续性管理 36 应急工作的关键控制措施应急工作的关键控制措施 法律相关法律相关 知识产权 保护组织记录保护组织记录 数据保护和个人信息隐私 最佳实践相关最佳实践相关 信息安全方针文件信息安全方针文件 落实信息安全责任落实信息安全责任 信息安全教育与培

34、训信息安全教育与培训 安全事故汇报安全事故汇报 业务连续性管理 应急预案应急预案 37 安全域工作是应急的基础安全域工作是应急的基础 38 根据功能分区根据功能分区 服务器区域：运行、商务、管理 客户端区域 基础支持系统 39 业务流分析业务流分析 40 网络结构和业务流构成应急地图网络结构和业务流构成应急地图 41 生命周期的三大过程生命周期的三大过程 生命周期类型生命周期类型典型模型典型模型关键环节关键环节 project 项目建设项目建设 基线建立基线建立 瀑布瀑布 模型模型 里程碑控制里程碑控制 operation 运行维护运行维护 演练改进演练改进 pdca 模型模型 检查环节形检查

35、环节形 成反馈成反馈 escort 紧急处理紧急处理 保驾护航保驾护航 分级分级 处理处理 预案充分预案充分 分级应对分级应对 集权高效集权高效 橙色黄色蓝色红色 告警事件 升级 发生 紧急事件 应急处理 紧急事件 快速迭代处 理告警事件 发生 告警事件 发生 预警事件 处理 预警事件 42 用项目管理体系完善应急体系用项目管理体系完善应急体系 项目管理项目管理 范围时间范围时间 成本质量成本质量 人力资源沟通人力资源沟通 风险获取风险获取 整体整体 43 敏捷信息安全过程敏捷信息安全过程 44 通用应急过程通用应急过程 pdcerf 准备 检测 抑制 根除 恢复 跟踪 pdcerf prep

36、aration detection containment eradication recovery follow-up 45 pdcerf应急模式应急模式 p 策略、防御、程序、人员、工具、基础设施、资金 policy, prevention, program, hr, tools, infrastructure, funding d 检测、调查、评价、报告、决策 detection, investigation, evaluation, report, decision c 安全域(地理/层次/人机/业务)、边界控制 security domains (geo./layer/h-m/biz

37、), border control e 定位、对症下药、副作用 positioning, solution, side effect r 数据恢复、状态恢复、行为恢复、环境恢复 data, status, behavior, environment recover f 追究责任、改进 pursue, improve 46 基于不同级别的处理模式基于不同级别的处理模式 47 基于不同级别的处理模式基于不同级别的处理模式 48 到基于缓冲的安全到基于缓冲的安全 持续做安全的一个基础方法论持续做安全的一个基础方法论 49 缓冲的观点缓冲的观点 基于时间的安全，其时间难于计算基于时间的安全，其时间难于

38、计算 看两个实际的安全保障的例子看两个实际的安全保障的例子 2008年奥运网络安全保障 2009年2月pmnc保障 缓冲包括缓冲包括 冗余、重复、纵深、延缓 预警、抑制、丢车保帅、局部和整体 响应、恢复、反击 缓冲思想的基本立足点就是缓冲思想的基本立足点就是 原理上攻击是可以成功的，在实际中是可以解决的 50 安全，难啊安全，难啊 潜在性潜在性复杂性复杂性 模糊性模糊性动态性动态性 安全边际安全边际 51 如何看待安全解决方案如何看待安全解决方案 并推荐一手好牌并推荐一手好牌 52 涉密系统安全涉密系统安全 病毒病毒/蠕虫蠕虫 分布式分布式 拒绝服务攻击拒绝服务攻击 办公安全办公安全 网上银行

39、网上银行 骨干网骨干网 网站安全网站安全 erp 服务器安全服务器安全 火灾火灾/水灾水灾 设备故障设备故障 内部人员作案内部人员作案 网络渗透网络渗透 网络嗅探网络嗅探 核心业务核心业务 电磁泄漏电磁泄漏 终端安全终端安全 文档安全文档安全 误操作误操作 垃圾信息垃圾信息 安全事件安全事件 漏洞漏洞/脆弱性脆弱性 黑客黑客 业务逻辑业务逻辑 卫星通讯卫星通讯 业务大集中业务大集中 数据中心数据中心 线路中断线路中断 梳理手上的梳理手上的 加密加密 强认证强认证 防火墙防火墙 入侵检测入侵检测 国家战略国家战略 攻击检测攻击检测 渗透测试渗透测试 组织体系组织体系 制度制度/规则规则 多功能网

40、关多功能网关 utm 工作流工作流 审计审计 管理平台管理平台 风险评估风险评估 等级保护等级保护 体系结构体系结构 规划规划/计划计划 云模式云模式 项目管理项目管理 监控监控/预警预警 冗余冗余/备份备份 应急响应应急响应 合规性要求合规性要求 首席安全官首席安全官 安全专家安全专家 三观论三观论 宏观宏观/中观中观/微观微观 量化量化/指标化指标化 合作合作/外包外包 管理理念管理理念 53 涉密系统安全涉密系统安全 办公安全办公安全 网上银行网上银行 骨干网骨干网 网站安全网站安全 erp 服务器安全服务器安全 核心业务核心业务 终端安全终端安全 文档安全文档安全 业务逻辑业务逻辑 卫

41、星通讯卫星通讯 业务大集中业务大集中 数据中心数据中心 我们手上的我们手上的 加密加密 强认证强认证 防火墙防火墙 入侵检测入侵检测 国家战略国家战略 攻击检测攻击检测 渗透测试渗透测试 组织体系组织体系 制度制度/规则规则 多功能网关多功能网关 utm 工作流工作流 审计审计 管理平台管理平台 风险评估风险评估 等级保护等级保护 体系结构体系结构 规划规划/计划计划 云模式云模式 项目管理项目管理 监控监控/预警预警 冗余冗余/备份备份 应急响应应急响应 合规性要求合规性要求 首席安全官首席安全官 安全专家安全专家 三观论三观论 宏观宏观/中观中观/微观微观 量化量化/指标化指标化 合作合作

42、/外包外包 管理理念管理理念 54 病毒病毒/蠕虫蠕虫 分布式分布式 拒绝服务攻击拒绝服务攻击 火灾火灾/水灾水灾 设备故障设备故障 内部人员作案内部人员作案 网络渗透网络渗透 网络嗅探网络嗅探 电磁泄漏电磁泄漏 误操作误操作 垃圾信息垃圾信息 安全事件安全事件 漏洞漏洞/脆弱性脆弱性 黑客黑客 线路中断线路中断 对手手上的对手手上的 55 病毒病毒/蠕虫蠕虫 分布式分布式 拒绝服务攻击拒绝服务攻击 火灾火灾/水灾水灾 设备故障设备故障 内部人员作案内部人员作案 网络渗透网络渗透 网络嗅探网络嗅探 电磁泄漏电磁泄漏 误操作误操作 垃圾信息垃圾信息 安全事件安全事件 漏洞漏洞/脆弱性脆弱性 黑客黑客 线路中断线路中断 想象对手出招想象对手出招 56 病毒病毒/蠕虫蠕虫 涉密系统安全涉密系统安全 办公安全办公安全 网上银行网上银行 骨干网骨干网 网站安全网站安全 erp 服务器安全服务器安全 核心业务核心业务 终端安全终端安全 文档安全文档安全 业务逻辑业务逻辑 卫星通讯卫星通讯 业务大集中业务大集中 数据中心数据中心 想象的对抗想象的对抗 加密加密 强认证强认证 防火墙防火墙 入侵检测入侵检测 国家战略国家战略 攻击检测攻击检测 渗透测试渗透测试 组织体系组织