2008-05-28 信息安全的立体视角和要点聚焦Web.ppt

1、信息安全的立体视角和要点聚焦,大潘 2008年6月,持续地问那个根本性的问题,信息安全 到底是什么？ 根本特点到底是什么？ 根本原则到底是什么？ ,风险和风险管理,风险管理,风险管理的理念从90年代开始，已经逐步成为引导信息安全技术应用的核心理念 风险的定义 对目标有所影响的某件事情发生的可能性 摘自AS/NZS4360,中外标准中的风险模型,德国ITBPM,GB中的风险10要素与三要素对应,最精简的风险管理要素,风险立方体-Risk Cube,资产,威胁,措施,风险立方体中的安全工作,资产,威胁,措施,注：此图中的坐标轴不代表程度,风险立方体中的安全工作,资产,威胁,措施,互联网业务系统,互

2、联网攻击,互联网防入侵 FW, IDS, IPS, 防SQL注入,注：此图中的坐标轴不代表程度,风险立方体的”归三化”应用,资产,威胁,措施,如果考虑的因素很多，那么就把它们归纳到AST三要素上； 如果考虑的因素较少，那么就把它们拓展到AST三要素上； 把你的问题、关注、方法等等都举一反三到AST三要素上。,AST三要素对风险的影响,风险示意,时间,威胁更强,保障更强,业务变化 价值更大,保障的副作用,威胁更强,业务拓展,一般风险管理策略,风险示意,措施示意,涵盖应急意识的风险变化,风险示意,措施示意,由于突发威胁增大,大事件的风险变化,风险示意,措施示意,由于大事件开始,大事件结束,持续地问

3、那个根本性的问题,信息安全 到底是什么？ 根本特点到底是什么？ 根本原则到底是什么？ ,安全，难在不确定性,潜在性,复杂性,模糊性,动态性,不确定性,不确定性可能分布在： 自然和不可抗力的因素 人为失误 系统内在不确定性，如复杂性导致 针对性攻击的不可知 两个典型的不确定性的类比 赌博 股市、期市、汇市,应急,风险示意,措施示意,未知时间点 未知风险变化幅度,大事件保障,风险示意,措施示意,已知时间点 已知风险变化幅度,风险变化的不确定性,风险变化的时间点是否可预期 风险变化的幅度是否可预期 风险要素之间的交互影响是否可预期 ,风险三要素的不确定性,资产的 不确定性,威胁的 不确定性,措施的

4、不确定性,业务变化的不可知 系统内在不确定性，如复杂性导致 采用新技术的不确定性影响 ,未知的自然和不可抗力 人为失误 针对性攻击的不可知 ,措施有效性的难于评价 措施失效 措施体系复杂性 ,风险立方体中的资产,资产,威胁,措施,系统,示例：安全域,示例：Round trip分析,示例,梳理信息系统对业务的影响,分析IT系统的运行关系，掌握IT系统的配置情况。 通过对业务对IT系统依赖关系的分析，确定IT系统对各项业务的影响程度。,从最通行和朴素的层次模型看,风险立方体中的威胁,资产,威胁,措施,。攻击,威胁的分类,恶意代码 人为发起的越权和入侵类 病毒、蠕虫等传播类 发起的拒绝服务攻击类 违

5、规操作 误操作 违规业务 ,恶意信息 恶意传播有害信息 垃圾信息（垃圾短信、垃圾邮件等） 信息泄漏 物理问题 设备故障 环境事故 自然灾害 ,针对威胁的主要措施,针对恶意代码 防火墙、防病毒、入侵检测、漏洞扫描 违规操作 流量监控、审计、应用系统安全措施 恶意信息 内容监控、内容过滤、加密 物理问题 容灾、备份,广义威胁用例方法威胁用例,威胁的环境Environment 威胁的来源Agent 包括攻击者、误用者、故障源、自然（灾害）等 威胁的对象Object 攻击目标和破坏对象，也就是要被保护的对象。 威胁的内因脆弱性Vulnerability 自身保护不当的地方。 威胁的过程Process

6、威胁的途径Route 威胁的时序Sequence 威胁的结果事件Event/Incident 威胁具体实现之后所造成的结果。 威胁的可能性 威胁的影响范围,广义威胁用例方法威胁控制,威胁用例的管理示例,风险立方体中的措施,资产,威胁,措施,。技术措施 。管理措施,信息安全保障框架,通过S3-PPT方法展开保障措施,保障框架-措施,产品的框架分析,IDS,应用审计,防火墙,SAN,防垃圾,安全管理中心,Scanner,远程数据热备,IPS,防病毒,加密机,双因子,PKI,安全服务体系的框架分析,评估加固,教育培训,MSS,应急响应,安全集成,风险评估,管理咨询,体系设计方案的框架分析,安全监控体

7、系,安全审计体系,安全防护体系,应急恢复体系,网络信任体系,安全管理体系,保障措施视角的延展,动态延展 从静态系统到动态运行维护 生命周期延展 从运行维护向前到系统开发 再向前到需求分析和业务创新 从T到I的延展 从技术到信息 从网络系统到业务,需求驱动力的四象限,围绕事件的生命周期延展,生命周期的归三化管理,资产的 生命周期,威胁的 生命周期,措施的 生命周期,应用系统的生命周期 应用系统的运行周期 系统上线运行的过程管理 ,漏洞生命周期 木马生命周期 僵尸网络生命周期 事件的生命周期 ,新技术发展的生命周期 措施生效的过程 ,持续地问那个根本性的问题,信息安全 到底是什么？ 根本特点到底是什么？ 根本原则到底是什么？ ,安全归根结底是,归根结底是“对抗” 归根结底是人与人的对抗 归根结底是人的活动与人的活动的对抗 工具、知识、能力等都是活动的基础 安全技术的关键点： 加密技术 攻击技术 检测技术 体系化管理 ,关键解决方案,风险立方体的三维视角 观察“不确定性” 了解风险变化的诱