《信息安全工程与管理(第二版)》 课件 第9章-信息安全策略

信息安全工程与管理第9章、信息安全策略本章目录9.1信息安全策略概述9.2安全策略的重要性9.3安全策略的格式9.4安全策略的分类9.5安全策略的制定过程9.6安全策略的制定原则9.7策略管理的自动化工具9.8关于安全策略的若干偏见9.9应急处置与响应策略的案例9.1信息安全策略概述信息安全策略,是一个有效的信息安全项目的管理基础。它规定了所允许的访问控制、协议以及如何面对与安全有关的事件。信息安全策略，已成为PPDR（P2DR）模型的核心。信息安全策略的概念本章目录9.1信息安全策略概述9.2安全策略的重要性9.3安全策略的格式9.4安全策略的分类9.5安全策略的制定过程9.6安全策略的制定原则9.7策略管理的自动化工具9.8关于安全策略的若干偏见9.9应急处置与响应策略的案例9.2安全策略的重要性安全策略作为安全管理的核心和指导，本身具有重要的意义:是制定一个有效的信息安全项目的必要基础。任何一个信息安全项目的成功在于其安全策略的制定和实施。应用安全策略的主要优势在于改善了信息安全管理的可扩展性和灵活性。本章目录9.1信息安全策略概述9.2安全策略的重要性9.3安全策略的格式9.4安全策略的分类9.5安全策略的制定过程9.6安全策略的制定原则9.7策略管理的自动化工具9.8关于安全策略的若干偏见9.9应急处置与响应策略的案例9.3安全策略的格式目标

对于所保护的资源要达到的安全目标而进行的描述范围应当有足够的范围广度，不局限于单一的技术或管理方面内容应当明确与这些特性相关的安全需求角色责任定义各种角色并分配责任，明确要求执行纪律描述对安全策略的损害行为及相应的惩戒办法专业术语对安全策略中涉及的专业术语作必要的描述，避免不理解或产生歧义安全策略在格式上主要包括策略的目标、范围、内容、角色责任、执行纪律、专业术语等。本章目录9.1信息安全策略概述9.2安全策略的重要性9.3安全策略的格式9.4安全策略的分类9.5安全策略的制定过程9.6安全策略的制定原则9.7策略管理的自动化工具9.8关于安全策略的若干偏见9.9应急处置与响应策略的案例9.4安全策略的分类总体安全策略专题安全策略信息安全策略的分类9.4安全策略的分类总体安全策略,是从整体上为组织机构的安全工作制定战略方向、范围和策略基调：为信息安全的各个领域分配责任，包括信息安全策略的维护、策略的实施、最终用户的责任等。规定信息安全项目的制定、实施和管理的安全控制要求。应支持组织的预定目标和任务声明，而不能相互抵触。9.4.1

总体安全策略——要求9.4安全策略的分类关于组织安全理念的总体看法。组织的信息安全部门结构和实施信息安全策略人员的信息。组织所有成员共同的安全责任。组织所有成员明确的、特有的安全责任。9.4.1

总体安全策略——组成要素9.4安全策略的分类9.4.1

总体安全策略——组成框架组成部分描述目的声明确定全面的安全策略和方向信息技术的安全要素定义受保护信息的保密性、完整性、可用性等而采取的各类措施，包括技术控制策略、教育和培训等信息安全的必要性强调信息安全的重要性，明确保护重要信息安全的法律和道德责任相关角色和责任定义支持信息安全的组织结构，明确各类机构成员的信息安全责任相关参考标准列出影响安全策略的相关法律、法规、标准和其他策略9.4安全策略的分类问题安全策略,是为组织成员如何使用基于技术的信息系统提供了详细的、目标明确的指南。明确指出组织期望员工如何使用基于技术的信息系统。确定并记录基于技术的信息系统的控制过程。当由于员工的使用不当或非法操作而造成的损失，组织不为其承担责任。9.4.2

专题安全策略——要求9.4安全策略的分类9.4.2

专题安全策略——组成框架目标声明策略的范围、服务目标和适用性访问授权和使用设备用户是否可以访问资源、公正和负责任地使用资源、对个人信息和隐私的保护禁止使用设备破坏性地使用或误用、冒犯或侵扰设备运行、侵犯版权、未经批准的或用于其他目的犯罪活动系统管理储存介质的管理、授权监控、病毒防护、信息加密、物理安全、用户和系统管理员的责任违反策略通报违规的过程、对违规的惩罚策略检查和修改定期检查过程和时间表、修改的过程责任声明责任的声明、拒绝对某些行为承担责任9.4安全策略的分类9.4.2

专题安全策略——范围主题范围访问控制策略入网访问控制、操作权限控制、目录安全控制、属性安全控制、服务器安全控制、网络监测与锁定控制、防火墙控制等物理和环境安全策略环境安全、物理设施安全、资产物理分布、物理安全区域管理等资产管理策略资产清单、资产使用、资产返还等终端配置与处理策略终端安全配置、用户责任、个人设备、无线连接等网络安全策略网络结构、网络设备管理、网络安全访问、安全扫描、远程连接、识别/认证等安全事件管理策略事故评估管理与决策、角色和责任、应急处置与响应、证据收集等备份与恢复策略备份方式、备份设施（存储）及保护、数据恢复机制等密钥管理策略密码算法、密钥管理等信息分类和处理策略信息分类及标签、信息传递方式及安全等漏洞管理策略漏洞识别、漏洞评估、漏洞处理等安全开发策略编码安全、安全性测试、外包开发安全等9.4安全策略的分类在实际应用中，专题安全策略往往表现为在配置和维护系统时，对人、技术和操作的管理指南和技术规范的形式，例如针对网络防火墙的功能配置和技术操作规程的策略等。管理指南：主要是用来表明功能安全策略的技术要求。技术规范：指出具体的安全策略的技术实现方法。9.4.2

专题安全策略——应用中的专题安全策略9.4安全策略的分类用于指导技术和操作的实现，由管理层制定，规定了组织内部人员支持信息安全的行为准则。例如，应按照管理者事先制定的信息安全方针来进行防火墙的构建和实现过程。如果信息安全方针里不允许员工在工作时间利用公司网络访问某些网站，那么应该按照这种要求来配置防火墙。9.4.2

专题安全策略——管理指南9.4安全策略的分类可能需要制定不同的技术策略来实现管理指南的安全要求，表现为各种不同的设备都具有独自的技术规范，用于实现将管理目标变为可以实施的技术方法。例如，Windows的本地安全策略中密码策略的设置。9.4.2

专题安全策略——技术规范9.4安全策略的分类一般来说，用以实现管理指南的技术控制规范有两种：访问控制列表（ACLs，AccessControlLists）。配置规则。9.4.2

专题安全策略——技术规范9.4安全策略的分类9.4.2

专题安全策略——技术规范之访问控制列表访问控制列表，包括用户访问列表、矩阵和权限列表等，它们控制用户的权限和特权，亦是控制对系统功能、文档存储系统、中间设备或其他网络设备的访问。一个权限控制列表详细规定了哪些设备、功能操作可以让哪些用户访问或执行等方面的内容，例如：授权谁可以使用系统。授权用户在何时何地可以访问什么。授权用户怎样访问系统，包括读、写、创建、修改、删除、拷贝等。9.4安全策略的分类9.4.2

专题安全策略——技术规范之访问控制列表WindowsACL：9.4安全策略的分类9.4.2

专题安全策略——技术规范之访问控制列表权限控制列表：9.4安全策略的分类9.4.2

专题安全策略——技术规范之配置规则配置规则，是输入到安全系统中指定的系统或设备的配置脚本或代码。这些代码在具体的系统或设备上执行，用来实现特定的安全功能，即告诉它们在处理信息的时候执行哪种相应的操作。配置脚本以代码形式存在，为方便用户操作，一般以用户界面方式接受管理员的配置规则要求，在系统底层转换为系统或设备可以接受并执行的代码。9.4安全策略的分类9.4.2

专题安全策略——技术规范之配置规则防火墙配置规则：9.4安全策略的分类9.4.2

专题安全策略——技术规范之配置规则扫描器配置规则：本章目录9.1信息安全策略概述9.2安全策略的重要性9.3安全策略的格式9.4安全策略的分类9.5安全策略的制定过程9.6安全策略的制定原则9.7策略管理的自动化工具9.8关于安全策略的若干偏见9.9应急处置与响应策略的案例9.5安全策略的制定过程当进行一项安全策略的制定工程时，可以用SDLC过程对其进行指导：调查与分析阶段。设计阶段。实施阶段。维护阶段。9.5安全策略的制定过程9.5.1

调查与分析阶段组建安全策略制定小组。理解组织的企业文化和业务特征。获得管理层的支持与承诺。确定信息安全策略的目标和范围。相关资料的收集与分析。9.5安全策略的制定过程9.5.2

设计阶段起草拟定安全策略。应确保策略的可实施性和可读性。测试与评审安全策略。对策略进行修改是必要的。9.5安全策略的制定过程9.5.3

实施阶段应确保安全策略能顺利地发布到每个员工与相关利益方，并得到正确地理解，明确各自的安全责任与义务。要注意安全策略的发布与宣传工作。9.5安全策略的制定过程9.5.4

维护阶段组织应当实时监控、定期评审、调整和持续改进安全策略，以确保其始终是对付威胁变化的有效工具。本章目录9.1信息安全策略概述9.2安全策略的重要性9.3安全策略的格式9.4安全策略的分类9.5安全策略的制定过程9.6安全策略的制定原则9.7策略管理的自动化工具9.8关于安全策略的若干偏见9.9应急处置与响应策略的案例9.6安全策略的制定原则与法律法规的符合性原则。需求、威胁、风险与代价的平衡原则。安全可靠性与业务灵活性的平衡原则。完整性原则。易操作性原则。可评估性原则。坚持动态性。本章目录9.1信息安全策略概述9.2安全策略的重要性9.3安全策略的格式9.4安全策略的分类9.5安全策略的制定过程9.6安全策略的制定原则9.7策略管理的自动化工具9.8关于安全策略的若干偏见9.9应急处置与响应策略的案例9.7策略管理的自动化工具在DMTF工作组提出的CIM模型基础上，IETF工作组提出了PCIM策略核心信息模型），并因此制定了策略管理框架基本模型。9.7.1

策略管理框架9.7策略管理的自动化工具9.7.2

自适应策略管理及发布模型9.7策略管理的自动化工具9.7.3

策略管理的应用工具基于策略的网络管理（PBNM）技术。Cisco的QosPolicyManager（QPM）。3Com的Transcend系统软件。BayNetworks公司的Optivity系列网络管理产品。凯创公司的NetSightAtlas策略管理器。Astaro公司的配置管理器（ACM）。北京理工大学“金海豚”网络安全综合监控平台。天融信安全策略管理系统（TopPolicy）。绿盟安全管理平台ESP（EnterpriseSecurityPlanning）。启明星辰泰合信息安全运营中心系统-业务支撑安全管理系统BSM（BusinessSupportManagementSystemBSM）。本章目录9.1信息安全策略概述9.2安全策略的重要性9.3安全策略的格式9.4安全策略的分类9.5安全策略的制定过程9.6安全策略的制定原则9.7策略管理的自动化工具9.8关于安全策略的若干偏见9.9应急处置与响应策略的案例9.8关于安全策略的若干偏见信息安全是个技术问题。信息安全工作的首先要做的事情就是建立信息安全策略。为支持信息安全策略，安全策略需要多层次的文档支持。新的策略的制定实施会遇到新的麻烦。适当制造一定的安全威胁对新安全策略的推广往往是很有效的。好了，新策略制定完毕，我的活干完了。本章目录9.1信息安全策略概述9.2安全策略的重要性9.3安全策略的格式9.4安全策略的分类9.5安全策略的制定过程9.6安全策略的制定原则9.7策略管理的自动化工具9.8关于安全策略的若干偏见9.9应急处置与响应策略的案例9.9制定与实施应急处置与响应策略的案例应急处置与响应策略，属于专题安全策略的范畴，与安全事件管理策略主题相关准备工作组建策略制定相关团队人员、对策略相关的资料进行收集了解业务背景与需求

在网络安全应急响应方面，需要在特定网络和系统面临或已经遭受突然攻击行为时，进行快速应急反应，提出并实施应急方案。作为一项综合性工作，网络安全应急响应不仅涉及入侵检测、事件诊断、攻击隔离、快速恢复、网络追踪、计算机取证、自动响应等关键技术，对安全管理也提出更高的要求。确定应急处置与响应策略的目标和范围

9.9.1

策略调查与分析9.9制定与实施应急处置与响应策略的案例总体框架应急处置与响应平台整合了应急单元、指挥机构、联动与响应、中心管理控制台等模块，各模块包含了相应的安全策略9.9.2

应急处置与响应策略的设计9.9制定与实施应急处置与响应策略的案例策略的设计目标声明：面向组织所有业务范围内的信息网络安全，对整体网络及资产进行监测、处理和响应策略内容：包括应急单元策略、指挥机构策略、中心管理控制台策略、联动与响应策略等安全策略体系违反策略的管理：根据情况，进行当场口头警告、提示或帮助纠正，或者小组会议上进行提示或公开说明，并帮助纠正，或者在组织范围内提出公开说明，并令其纠正，或者提交组织最高管理层处理策略的检查、评估与改进：每周对策略进行检查；对策略的效用进行评估；对策略进行改进责任声明9.9.2

应急处置与响应策略的设计