SEC212微软产品为信息安全等级保护保驾护航

微软产品为信息平安等级保护

保驾护航SEC213主题Sources:WorldBankandIMF行业平安解决方案研讨BRS-Microsoft平安解决方案框架效劳与支持平安等级保护促进企业平安建设425微软技术支持企业提高平安等级31Microsoft平安愿景IT系统面临的威胁不断增加LocalAreaNetworksFirstPCvirusBootsectorvirusesCreatenotoriety

orcausehavocSlowpropagation16-bitDOS1986–1995InternetEraMacrovirusesScriptvirusesKeyloggersCreatenotoriety

orcausehavocFasterpropagation32-bitWindows1995–2000Broadband

prevalentSpyware,SpamPhishingBotnets&RootkitsWarDrivingFinancial

motivationInternet

wideimpact32-bitWindows2000–2007HyperjackingPeertoPeerSocialengineeringApplicationattacksFinancial

motivationTargetedattacksNetworkdeviceattacks64-bitWindows2007+MajorsectionscoverSoftwareVulnerabilityDisclosuresSoftwareVulnerabilityExploitsMaliciousSoftwareandPotentiallyUnwantedSoftwarePrivacyandSecurity

BreachNotifications

威胁演变趋势

Hardware

O/S

Drivers

Applications

GUI

User

PhysicalExamplesSpywareRootkitsApplicationattacksPhishing/SocialengineeringAttacksGettingMoreSophisticated

TraditionaldefensesareinadequateNationalInterestPersonalGainPersonalFameCuriosityAmateurExpertSpecialistLargestareabyvolumeLargestarea

by$lostScript-KiddyLargestsegmentby$spentondefenseFastestgrowingsegmentAuthorVandalThiefSpyTrespasserCrimeOnTheRisemainframeclient/serverInternetmobilityB2EB2CB2BPre-1980s1980s1990s2000sNumberofDigitalIDsExponentialGrowthofIDs

IdentityandaccessmanagementchallengingIncreasinglySophisticatedMalware

Anti-malwarealoneisnotsufficient

Numberofvariantsfromover

7,000malwarefamilies(1H07)Source:MicrosoftSecurityIntelligenceReport(January–June2007)平安分析报告

DatasourcesMaliciousSoftwareandPotentiallyUnwantedSoftwareDatafromseveralhundredmillioncomputersMSRThasauserbaseof450+millionuniquecomputersDuring2H07MSRTexecuted2.5billiontimesSinceJanuary2005totalMSRTexecutionssurpass10billionProductNameMainCustomerSegmentMaliciousSoftwareSpywareandPotentiallyUnwantedSoftwareAvailableatNoAdditionalChargeMain

DistributionMethodsConsumersBusinessScanandRemoveReal-timeProtectionScanandRemoveReal-timeProtectionWindowsMaliciousSoftwareRemovalTool●PrevalentMalwareFamilies●WU/AU

DownloadCenterWindowsDefender●●●●DownloadCenterWindowsVistaWindowsLiveOneCare

safetyscanner●●●●WebWindowsLiveOneCare●●●●●Web/StorePurchaseMicrosoftExchange

HostedFiltering●●●WebForefrontClientSecurity●●●●●VolumeLicensingAnti-Virus

SecuritySoftware

PatchSecurityApplianceSystemIntegratorNetworkDevice复杂的平安技术环境平安治理无法与企业需求以及新生时机同步开展现今企业业务面临的难题种类和数量同时增加复杂程度增加利益所驱使法规遵从和一致性带来的压力逐日增大无处不在、更加频繁的互通与协作保护和访问需求日益急迫明智IT选择；降低预算业务愿景新产品不断问世集成性松散总体成本过高威胁当前应对方案MoreadvancedApplication-orientedMorefrequentProfitmotivatedToomanypointproductsPoorinteroperabilityLackofintegrationMultipleconsolesUncoordinatedeventreporting&analysisCostandcomplexitySECURITYSOLUTIONREQUIREMENTSThreatsmore

dangerousFragmentationof

securitytechnologyDifficulttouse,

deployandmanage平安管理的需求INTEGRATEDSIMPLIFIEDCOMPREHENSIVEMicrosoft平安战略PerspectiveGuidanceSecurity

Tools&PapersMicrosoftSecurity

AssessmentToolkitInfrastructureOptimizationMicrosoftIT

ShowcaseMicrosoftWindowsVista

SecurityWhitepapersMicrosoftSecurity

IntelligenceReportSecurity

ReadinessEducation

andTrainingLearningPathsfor

SecurityProfessionals构建信任栈TrustedStackSecureFoundationCoreSecurityComponentsIntegratedProtectionSDLandSD3Defense

inDepthThreatMitigationTrustedHardwareTrustedPeopleTrustedDataTrustedSoftwareIdentityClaimsAuthenticationAuthorizationAccessControlMechanismsAudit“I+4A〞信息平安体系框架信息安全体系框架技术体系框架组织体系框架管理体系框架信息平安体系框架管理体系框架组织体系框架技术体系框架安全防护机制安全监测机制安全响应机制安全风险管理体系安全筹划指导委员会安全风险管理小组信息安全组/信息技术组信息安全基础设施网络防护数据保护物理防护主机防护网络监测应用监测物理监测主机监测预警/报警/审计系统备份与恢复评估安全风险制定安全策略实施安全策略审核策略有效性信息平安体系框架管理体系框架–平安风险管理评估风险确定企业面临的风险并确定其优先级实施决策支持根据本钱效益分析评价并确定风险控制方案实施控制部署并实施控制解决方案以降低企业面临的风险评定方案有效性分析风险管理流程效率，验证控制措施提供了预期的保护程度信息平安体系框架评估平安风险规划为成功的风险评估建立根底主要任务评估风险阶段与预算流程相衔接精确确定评估范围获得风险承担者认同设置期望值数据收集从整个组织内的风险承担者收集风险数据确定资产并对其进行分类定义威胁与漏洞评估资产暴露程度评估威胁的可能性确定风险优先级确定了优先级的风险列表管理体系框架–平安风险管理信息平安体系框架制定平安策略管理体系框架–平安风险管理信息平安体系框架管理体系框架–平安风险管理信息平安体系框架制定平安风险记分卡评定控制有效性确保控制措施提供预期的保护效果并持续有效直接测试/自动测试重新评估新的和已更改的资产和平安风险管理体系框架–平安风险管理平安筹划指导委员会信息平安体系框架组织体系框架上级主管安全风险小组信息技术组代表企业负责人控制方案负责人风险承担者信息平安执行机构信息平安组信息技术组信息平安体系框架组织体系框架–任务分工概要信息平安体系框架技术体系框架物理环境机械防护电磁防护…计算机系统可信硬件环境操作系统安全身份识别访问控制，…网络与通讯数据、信息的机密性和完整性身份识别，…应用与数据应用安全数据安全…平安机制保护机制身份识别、访问控制数据过滤加密、平安标记、通信量填充与信息隐蔽文件、数据库、数据库字段数据完整性–消息的鉴别数据单元完整性鉴别：通过鉴别码检验数据是否被篡改或假冒数据流完整性鉴别：鉴别码结合时间戳、序列号密码分组链接等技术以抵抗乱序、丧失、重放、插入、或修改等人为攻击或偶然破坏公证、数字签名公证：在两方/多方通信中，提供数据完整性、收发方身份识别和时间同步等效劳，如数字证书CA数字签名：基于公钥密码的数字签名应用程序平安设计与实现软件平安开发周期〔SDLC〕保证又称为可信功能度是提供对于某个特定平安机制的有效性证明平安机制检测机制事件检测对所有用户的与平安相关的行为进行监听和记录，以便对系统平安进行审计平安审计在专门的事件检测和系统日志中提取信息，进行分析、存档和报告恢复机制系统与数据备份平安恢复对数据的恢复和对网络计算机系统运行状态的恢复响应机制人和平安风险管理规定及应急制度平安机制与平安目标安全机制机密性完整性身份识别访问控制抗抵赖性可用性加密XXXX数字签名XXXX访问控制XXX数据完整性X身份识别XXX通信量填充与信息隐蔽X路由控制X公证XX事件检测与安全审计XX安全恢复X安全标记X应用程序安全设计与实现XXXXXX保证XXXXXX企业信息系统环境构成框架Internet内部人员外部人员合法用户非法用户企业员工外聘员工访客合作企业员工客户移发动工黑客企业内部网络系统应用系统数据资源系统平台客户端系统设备软件系统移动存贮PC笔记本手持设备操作系统本地数据应用软件光盘移动硬盘U盘操作系统平台网络服务平台数据库平台电子邮件平台应用服务平台集成服务平台沟通协作平台管理监控平台业务应用系统统一沟通系统门户共享系统商业智能应用业务数据企业邮箱文档资源Web资源音频视频资源信息平安体系框架技术体系框架技术体系框架信息平安根底设施网络平安主机平安应用平安数据平安物理平安路由器安全配置安全更新防火墙网络访问保护健康策略强制策略内容控制访问控制安全日制虚拟专网入侵检测病毒防范代理/反向代理/发布安全策略/规则入侵检测系统平安更新恶意软件防护主机入侵检测平安审计平安配置高可用性效劳器平安客户端平安操作系统数据库系统应用服务器Web服务器邮件服务器……平安开发周期应用平安性设计输入验证身份认证应用授权参数操作敏感数据会话管理数据加密异常管理应用日志配置管理访问控制身份认证信息权限控制数据通信平安企业目录效劳公钥根底设施信任与联盟平安审计/预警备份/恢复加密/签名平安网络协议机械防护电磁防护温度湿度门禁…纵深防御策略增加攻击者被发现的风险针对被监测到的威胁的快速反响28OShardening,authentication,patchmanagement,HIDS,HIPSFirewalls,NetworkAccessQuarantineControlGuards,locks,trackingdevicesNetworksegments,IPSec,NIDSApplicationhardening,antivirusACLs,RBAC,encryption,backup/restoreSecuritydocuments,usereducationPolicies,Procedures,&AwarenessPhysicalSecurityPerimeterInternalNetworkHostApplicationData平安栈技术层面的交互性IntegratedsecurityeasesdefenseindeptharchitecturedeploymentAdoptionofopenstandardsallowscrossplatformintegrationManagementSystemSystemCenter,ActiveDirectoryGPOForefrontEdgeandServerSecurity,NAPPerimeterNetworkAccessProtection,IPSecInternalNetworkForefrontClientSecurity,ExchangeMSFPDeviceSDLprocess,IIS,VisualStudio,and.NETApplicationBitLocker,EFS,RMS,SharePoint,SQLDataUserActiveDirectoryandIdentityLifecycleMgrMicrosoft深度平安防御解决方案框架TWCSDLSystems

ManagementOperations

Manager2007ConfigurationManager2007Data

Protection

ManagerMobileDeviceManager2008ActiveDirectory

Federation

Services(ADFS)Identity&Access

ManagementCertificate

Lifecycle

ManagementServicesInformationProtectionEncryptingFileSystem(EFS)BitLocker™ClientandServerOSServerApplicationsEdgeNetworkAccessProtection(NAP)ClientandServerOSServerApplicationsEdgeForefrontStirlingManagement一个被妥善管理的平安根底架构是成功的关键！BitLocker™驱动器加密ProtectsagainstofflineattacksthatattempttocompromisetheintegrityofthesystemattempttocircumventOScontrolstoreaddataTwoaspectsEncryptstheentirevolume(OSorData)UsesaTrustedPlatformModule(TPM)toverifytheintegrityofearlystart-upcomponentsDATAor

OSVolume(s)FVEKVMKTPMTPM+USBTPM+PINUSBKey

(RecoveryorNon-TPM)123456-789012-345678-RecoveryPassword

(48Digits)Active(System)StartupPartition网络接入防护(NAP)

HowitworksNotpolicy-compliantRestrictedNetwork1Clientrequestsaccesstonetworkandpresentscurrenthealthstate1Policy-compliant33NetworkPolicyServer(NPS)validatesagainstIT-definedhealthpolicy2DHCP,VPN,orSwitch/RouterrelayshealthstatustoMicrosoftNetworkPolicyServer(NPS)viaRemoteAuthenticationDial-InUserService(RADIUS)24Ifnotpolicy-compliant,clientisputinarestrictedVLANandgivenaccesstofixupresourcestodownloadpatches,configurations,signatures(Repeat1-4)4Ifpolicy-compliant,clientisgrantedfullaccesstocorporatenetwork55CorporateNetworkPolicyServerse.g.Patch,AntivirusFixUpServerse.g.PatchMicrosoft

NPSDHCP,VPN,Switch/RouterWindowsClientFCS与根底架构的集成

ArchitectureFCS报告能力Real-timereportingEnabledbyembedded

OperationsManagertechnologyAccesstoreal-time

dataandtrends“At-a-glance〞viewof

threats&vulnerabilities

acrossorganizationMachinesreportingsecurity

issues(malwarenotcleaned,

criticalvulnerabilitiespresent)MachinesnotreportingissuesMachinesnotreporting30-daytrendhistoryDrilldownintodetailasrequiredNotificationofmachinesreportingalerts“Ismyenvironmentcompliantwithsecuritybestpractices?”“Hasmylevelofvulnerabilityexposurechangedovertime?”“Whatportionofmyenvironmentisathighrisk?”FCS报告能力

Securitystateassessmentreporting终端效劳网关InternetInternetHotelHomeDMZExternalFirewallTerminalServicesGatewayServerBusinessPartner/ClientSiteRDP/3389CorpLANTerminalServerInternalFirewallEmailServerTerminalServerHTTPS/443IAG平安访问网关CustomizableEnterpriseSecuritySSLVPNaccesstointernalapplicationsMicrosoft,third-party,andcustomappssupportedGranularaccesscontrolrulesSupportformultipleauthenticationmechanismsForefront保障平安协作与沟通LiveCommunicationServerSharePointServerExchange

mailboxserverExchangeIMCserverSMTP

ServerLiveCommunicationServerE-mailIMandDocumentsE-mailIMandDocumentsForefrontBlockinboundVirusesandSpamKeepvirusesoffinternalapplicationserversHelpkeepsensitivedatafrombeingsentoutISAServerBlockapplicationlevelattacksProvidesecureremoteaccess

formobileworkforceForefrontISAServer

2006ISAServer

2006MessageTrafficForefrontForefrontForefrontForefrontForefront系统化的解决方案SecurethePlatform–Desktop/Mobile/Server2021SecuretheData–RMS,EFS,BitLocker(PlusfeaturesinOffice,SharePoint,etc.)SecuretheNetwork–NAPSecuretheWireless–Server2021SecuretheEdge–ISA/IAGSecuretheCommunications–ForefrontServer,OCS,ExchangeSecuretheDesktopsandServers–ForefrontClientSecurity主题Sources:WorldBankandIMF行业平安解决方案研讨BRS-Microsoft平安解决方案框架效劳与支持平安等级保护促进企业平安建设425微软技术支持企业提高平安等级311信息平安等级保护制度的开展历程《计算机系统安全管理条例》1994年颁布提倡对计算机系统实施信息安全等级保护管理《计算机信息系统安全等级划分准则》1999年发布信息安全等级保护要求的中国化信息安全等级保护制度的技术基础《《国家信息化领导小组关于加强信息安全保障工作的意见》2003年，中办发27号文规定信息安全等级保护是一项信息化建设领域的基本国策信息安全等级保护方面的十大基本要求《关于信息安全等级保护工作的实施意见》2004年四部委联合颁布，公通字66号文规定信息安全等级保护实施的目标、原则、策略、步骤和计划《信息安全等级保护管理办法》2007年，公安部颁布对信息安全等级保护实践的管理要求定级、检查监督和责任2对信息平安等级保护的理解安全等级的含义：差异程度业务价值等级和安全保障等级适度安全的“度”的标尺与以前的安全建设有何不同2.1等级含义：差异的程度宗旨：保护国家重要的信息根底设施和信息系统业务和价值的角度判断系统规模有差异业务重要性有差异数据处理能力有差异数据存储保护有差异系统运维管理有差异系统的影响力有差异系统建设成本有差异面临安全风险有差异部委省市县业务网办公网机要网业务网办公网机要网业务网办公网机要网数据集中数据集中有差异就应该确定差异的程度——等级，区别对待2.2业务价值等级和平安保障等级业务价值和影响程度——等级不是一一对应GB178591）安全要求第一级：身份鉴别、自主访问控制、完整性2）安全要求第二级：增加：审计和残余信息保护3）安全要求第三级：增加：标记和强制访问控制……安全保障能力要求政策要求：27号文：纲领性文件，信息平安等级保护为平安国策66号文：四部委关于等级保护实施的方案43号文：公安部的信息平安等级保护管理方法2.3适度平安的“度〞信息系统产生安全需求实实在在的安全投入期望尽可能少的平安投入期望尽可能多的收益产生价值实实在在收益承载的业务流程需要均衡：适度安全＝适度风险似乎矛盾平衡点承载业务应用2.3适度平安的“度〞：等级是度的标尺安全需求对应安全技术和安全管理要求：安全保障等级净收益＝总收益－投入－风险：收益是“价值等级”投入少，则风险增大投入、收益、风险间的均衡一定的安全等级对应：相应的安全要求（投入）、收益（保障功效）、残余风险（容忍的底线）2.4与以前平安建设的不同之处：必备的要素政策与法规基石：27号文、66号文、公通字7号文标准化基石：GB17859系列，通用技术、网络、操作系统、DBMS、安全管理策略体系法制标准化资金保证组织体系领导管理责任制分层与集中技术体系密码信任体系防护检测灾备运营体系安全监控体系应急处理优化安全产业目标：等级保护宗旨：保护重要的信息基础设施和信息系统解决方案（设计）等级保护目标方针原则定级与体系架构部署与配置产品选型要求等级测评备案认证与认可防护检测响应恢复技术运营策略组织符合等级保护要求工程建设目标方针原则工程任务计划项目管理工程预算和决算范围质量风险成本组织流程任务时间工程建设方案工程进度和监理工程变更管理技术施工工程建设标准验收等级测评目标更明确，也是约束多了约束与前不同等级目标适“度”更精细产品符合等级效果符合等级2.4与以前平安建设的不同之处等级保护带来了哪些变化？必须明确目标、人、技术、流程的差异程度目标：级别－界定差异的程度定级：为差异确定级别，更清晰界定差异的程度价值和影响：业务应用价值和影响是定级的依据转换：将信息安全控制层面的差异转换为业务层面的差异具备等级的对象人：个体安全意识和技能有等级；团队和组织有等级技术：产品有等级；系统安全保障技术有等级流程：协调管理能力、面向“客户”的能力有等级合规性政策合规：符合国家和行业等级保护管理规定标准合规：符合等级保护标准要求级别合规：符合确定等级的政策和标准要求内部安全建设和外部监管相结合业务价值影响：旗帜鲜明强调与业务的关系价值和影响：对个体、社会和国家的价值和影响的差异程度业务风险：信息安全风险是业务风险的一部分机构管理风险：信息安全风险是机构管理风险的一部分适度安全适度：安全投入（保障能力）、收益（价值的保持）、风险均衡安全投入的“度”：安全技术和安全管理要求有明确的等级收益的“度”：价值和影响的保持具有等级风险的“度”：安全投入和收益的综合体等级保护是“带着镣铐的舞蹈〞进一步精细化差异程度等级保护将适度平安的“度〞进一步明确化3信息平安等级保护实施的主要活动评估定级和规划采购集成认证认可运维风险管理公安：?计算机信息系统平安等级保护管理方法?、?计算机信息系统平安保护管理条例??北京市国家机关重大信息平安事件报告制度?(试行)保密局：?涉及国家秘密的计算机信息系统集成资质管理方法〔试行〕?监管1-2级备案3级以上备案、定期检查应急处理系统安全等级和保护安全等级要求符合安全要求的产品与集成安全检查和测评ISO20000和ISO17799风险评估和决策信息系统平安等级保护实施流程信息系统平安等级保护实施的根本流程MSFMOF微软平安风险管理准那么〔SRMD〕3信息平安等级保护实施的主要活动51网络与应用加密服务平台业务应用系统安全改造数据备份与冗灾平台统一身份认证与授权管理平台设备安全配置与加固安全等级域划分与边界保护防病毒、补丁和终端管理平台统一安全监控与审计平台安全技术体系建设安全组织与职责设计安全培训与资质认证安全组织体系建设标准理解与策略制定安全策略部署与配置安全策略体系建设安全调查与风险评估等级保护定级咨询安全规划等级保护体系设计方案设计定级阶段规划与设计集成与运维阶段事件和预警管理流程安全运行体系建设安全巡检与日常操作安全评估与优化等级测评、认证与认可安全运行与监管中心4大型机构信息平安等级保护的贯彻落实大型机构信息安全等级保护的特点和难点安全等级合规性管理安全等级域划分和管理安全集中监管安全运维管理安全等级解决方案4.1大型机构信息平安等级保护的特点和难点部委省市县业务网办公网机要网业务网办公网机要网业务网办公网机要网数据集中数据集中信息系统结构：三或四级，不同级之间规模差异明显网络：独立管理业务：贯穿所有级别的运营数据大集中：集中到省一级，最终是部委一级风险集中：灾难备份成为关键点省、市县的业务和安全重要性降低运营管理：人才集中（部委或省级）省、市县运维方式改变，日常检查和寻求技术支持、外包等成为主流分离与分工（特别是人才集中后）：信息安全从传统IT工作中分离信息安全与传统IT分工明确，信息安全侧重于制定安全策略，并监督传统IT人员负责安全策略在系统中的贯彻落实特点4.1大型机构信息平安等级保护的特点和难点安全建设生命周期评估定级与安全规划产品选型和部署实现安全运维测评风险决策和优化难点：定量的业务价值判断定级对象多；安全等级域多且交叉。难点：安全等级域的边界；边界内的资产保护；安全等级域间的互操作的监管工具。难点：安全集中监管（支持工具及其部署）；安全运维组织和流程难点：量化的安全评估；信息安全风险评估对业务价值保障作用的有效性；等级合规性。4.1大型机构信息平安等级保护的特点和难点级别与合规的评测难点级别多：人、技术、流程均需要定级业务关联：必须懂得业务价值以及对业务“客户”的影响——对业务的了解，安全人员一般不擅长安全等级域的划分和监管边界及其差异：边界何在？边界两边安全差异程度明确边界之内的对象：数据、账号、设备、操作等，如何管理监管：差异如何监测和保持安全集中监管：差异需要明确的等级结构：分层和级联、集中管控——民主和集中安全信息管理：统一管理平台、安全策略统一管理、数据搜集和挖掘安全机制整合：资产、流量、事件、脆弱性、威胁和预警运营管理：与安全等级相匹配人员集中：人才集中于部委或省级信息中心技术支持：全系统技术支持和事件处理，需要全系统的运维管理流程安全规划：全系统统一规划、步调一致级别合规：全系统安全运维符合安全等级标准要求典型难点：从等级保护活动中可以导出4.2合规性管理政策合规监管机构：公安部、保密局监管要求：三级及以上级备案、强制检查（一年或半年一次）互操作行为：定级、备案、接受检查、专业评测标准合规安全等级技术标准：安全技术要求集合成“等级”安全管理技术标准：安全管理要求集合成“等级”技术和管理的协调：满足各自的安全标准及关联要求级别合规安全保障技术：符合安全技术“等级”要求安全保障管理：符合安全管理“等级”要求整体安全能力：符合价值级别和安全保障能力级别的均衡要求前两者并不新鲜，级别合规才是差别所在4.3平安等级域的划分与监管：边界问题业务效劳器区办公区DMZWeb安全等级域业务安全等级域办公安全等级域边界：混合安全边界边界：混合交换和安全边界物理混合边界：就高还是就低？业务效率和安全间的平衡安全策略边界：不同等级安全策略交叉，在同一部件上的配置是否有冲突？人员边界：人员分工和操作需要遵循不同等级的安全要求方案边界：不同安全等级的解决方案需要在边界处慎重考虑其隐患政策边界：不同安全等级的国家监管要求不同，边界设备的备案和要求需要有侧重点4.3平安等级域的划分与监管：监测和管理业务效劳器区办公区DMZWeb安全等级域业务安全等级域办公安全等级域数据、设备和操作数据、设备和操作数据、设备和操作安全域内的资产及其操作需要“技术工具”作为支撑的管理，确保安全等级不是纸面上的“划分”需要“域”管理工具，确保：不同安全等级域的设备管理目录不同安全等级域的账号管理目录不同安全等级域的数据管理目录……4.4平安集中监管业务效劳器区办公区DMZWeb安全等级域业务安全等级域办公