第十四講-安全工程-MSE安全攻防培訓(xùn)資料PPT課件

第十四講安全工程與縱深安全防御體系,2,.,主要內(nèi)容,安全工程縱深防御,3,.,主要內(nèi)容,安全工程縱深防御,4,.,安全工程,安全工程是一個(gè)正在進(jìn)化的項(xiàng)目，當(dāng)前尚不存在業(yè)界一致認(rèn)可的精確定義目前只能對(duì)安全工程進(jìn)行概括性的描述,5,.,安全工程目標(biāo),獲取對(duì)目標(biāo)的安全風(fēng)險(xiǎn)的理解根據(jù)已識(shí)別的安全風(fēng)險(xiǎn)建立一組平衡的安全要求將安全要求轉(zhuǎn)換成安全指南將所有項(xiàng)目集成到一個(gè)可共同理解系統(tǒng)安全可信度的程度,6,.,安全工程生命周期,前期概念開(kāi)發(fā)和定義證明與證實(shí)工程實(shí)施、開(kāi)發(fā)和制造生產(chǎn)和部署運(yùn)行和支持淘汰,7,.,安全工程項(xiàng)目,運(yùn)行安全：運(yùn)行環(huán)境安全和安全運(yùn)行態(tài)勢(shì)維護(hù)信息安全：在操作和處理中的信息和信息安全的維護(hù)網(wǎng)絡(luò)安全：包括網(wǎng)絡(luò)硬件、軟件和協(xié)議的保護(hù)，也包括在網(wǎng)絡(luò)上通信的信息人員安全：有關(guān)人員、他們的可信度和他們的安全意識(shí),8,.,安全工程項(xiàng)目,管理安全：有關(guān)安全管理方面和管理系統(tǒng)的安全通信安全：安全域之間的通信保護(hù)，信息在介質(zhì)上傳輸時(shí)的保護(hù)輻射安全：機(jī)器產(chǎn)生的電磁輻射泄露信息計(jì)算機(jī)安全：專門(mén)處理所有類型的安全計(jì)算設(shè)備,9,.,SSE-CMM簡(jiǎn)介,SSE-CMM（SystemSecurityEngineering-CapabilityMaturityModel）即系統(tǒng)安全工程-能力成熟度模型該模型的提出，是為了改善安全系統(tǒng)、產(chǎn)品和服務(wù)的性能等可用性1996年10月出版了SSE-CMM的第一個(gè)版本，1997年4月出版了評(píng)定方法的第一個(gè)版本,10,.,主要內(nèi)容,安全工程縱深防御,11,.,縱深防御,安全不論攻擊和防守總體來(lái)說(shuō)都是過(guò)程。安全的成功與否關(guān)鍵在于我門(mén)對(duì)過(guò)程的把握。在這個(gè)過(guò)程中我們的防御層數(shù)越多，對(duì)網(wǎng)絡(luò)資源進(jìn)行未授權(quán)訪問(wèn)的難度就越大。這一戰(zhàn)略通過(guò)提供冗余防御層來(lái)確保安全性，在某一層-或者在某些情況下多個(gè)層-被攻破時(shí)，冗余的防御層能夠?qū)Y源進(jìn)行保護(hù),12,.,縱深防御思想,任何安全產(chǎn)品和關(guān)鍵技術(shù)都存在一定的技術(shù)局限性縱深防御的基本思想是采用多層防護(hù)以防范計(jì)算機(jī)威脅，使能夠攻破一層或一類保護(hù)的攻擊行為無(wú)法破壞整個(gè)信息基礎(chǔ)設(shè)施和應(yīng)用系統(tǒng),13,.,縱深防御強(qiáng)調(diào)三個(gè)主要層面,人員技術(shù)運(yùn)行,14,.,人員,縱深防御要求從組織的最高管理者開(kāi)始對(duì)安全威脅具有明確的認(rèn)識(shí)，并且建立有效的信息保障策略和程序，指定角色和責(zé)任，培訓(xùn)包括系統(tǒng)管理員和用戶在內(nèi)的關(guān)鍵人員，強(qiáng)制關(guān)鍵人員履行義務(wù)?？v深防御還要求建立物理安全和人員安全的度量以便控制和監(jiān)控對(duì)IT環(huán)境的設(shè)施和關(guān)鍵要素的訪問(wèn)。,15,.,技術(shù),縱深防御強(qiáng)調(diào)技術(shù)，并提供一個(gè)框架提供多層保護(hù)。為了提供信息保障服務(wù)和檢測(cè)入侵，存在很大范圍的可用技術(shù)。為保證得到和部署正確的技術(shù)，組織將建立有效的技術(shù)獲取策略和過(guò)程。這些策略和過(guò)程將包括安全策略、信息保障原理系統(tǒng)、信息保障體系結(jié)構(gòu)和標(biāo)準(zhǔn)、需要信息保障產(chǎn)品的準(zhǔn)則、產(chǎn)品的獲取，這些產(chǎn)品已經(jīng)被有名的第三方確認(rèn)、配置指南以及評(píng)估集成系統(tǒng)風(fēng)險(xiǎn)評(píng)估的過(guò)程。,16,.,運(yùn)行,縱深防御的運(yùn)行要素集中在所有的活動(dòng)上，這些活動(dòng)維持組織的每天的安全事態(tài)?？v深防御有關(guān)的運(yùn)行領(lǐng)域包括：安全策略、認(rèn)證和認(rèn)可、安全管理、密鑰管理、可用性評(píng)估、恢復(fù)和重構(gòu)等。,17,.,注意,按照縱深防御的思想，要達(dá)到信息保障，就要求達(dá)到這三個(gè)主要要素的平衡。在沒(méi)有受過(guò)培訓(xùn)的人使用它，沒(méi)有運(yùn)行程序指導(dǎo)他的應(yīng)用的情況下，技術(shù)措施并沒(méi)有多大價(jià)值。,18,.,縱深防御關(guān)鍵技術(shù)領(lǐng)域,縱深防御圍繞安全需求，強(qiáng)調(diào)四個(gè)技術(shù)領(lǐng)域：保護(hù)計(jì)算環(huán)境、保護(hù)區(qū)域邊界、保護(hù)網(wǎng)絡(luò)和基礎(chǔ)設(shè)施、以及支持性的基礎(chǔ)設(shè)施。,19,.,縱深防御體系,20,.,保護(hù)計(jì)算環(huán)境,保護(hù)計(jì)算環(huán)境主要是針對(duì)某個(gè)特定的區(qū)域而言。區(qū)域是指通過(guò)局域網(wǎng)相互連接、采用單一安全策略并且不考慮物理位置的本地計(jì)算設(shè)備的集合。單一物理設(shè)備可能位于不同的區(qū)域之內(nèi)。本地和遠(yuǎn)程元素在訪問(wèn)某個(gè)區(qū)域內(nèi)的資源時(shí)必須滿足該區(qū)域的安全策略要求。,21,.,保護(hù)計(jì)算環(huán)境,區(qū)域內(nèi)的局域計(jì)算環(huán)境包括服務(wù)器、客戶機(jī)以及其上安裝的應(yīng)用程序。很多組織中，具有多個(gè)局域計(jì)算環(huán)境，都需要應(yīng)用適用的信息保障解決方案。計(jì)算環(huán)境的安全強(qiáng)調(diào)服務(wù)器、客戶機(jī)，包括其上安裝的應(yīng)用程序、操作系統(tǒng)和基于主機(jī)的監(jiān)視器等。,22,.,保護(hù)區(qū)域邊界,保護(hù)區(qū)域邊界是針對(duì)信息進(jìn)入和離開(kāi)區(qū)域的點(diǎn)。因?yàn)樵S多組織都與其控制范圍之外的網(wǎng)絡(luò)相連，所以需要一個(gè)保護(hù)層來(lái)保障進(jìn)入該范圍的信息不影響機(jī)構(gòu)操作或資源，并且離開(kāi)該范圍的信息是經(jīng)過(guò)授權(quán)的。許多組織在其區(qū)域邊界處采用了多種連接手段，這些連接手段需要同時(shí)滿足邊界信息保障需求。,23,.,邊界安全,邊界：保護(hù)系統(tǒng)和外界接口部分。在防護(hù)的范圍的邊界，是整個(gè)防護(hù)過(guò)程的開(kāi)始。也是要防護(hù)的第一個(gè)塹壕。,24,.,邊界接入網(wǎng)絡(luò)設(shè)備安全（router，firewall）,關(guān)注對(duì)流入和流出一個(gè)邊界的數(shù)據(jù)進(jìn)行有效的控制和監(jiān)視。邊界保護(hù)主要體現(xiàn)在對(duì)路由交換設(shè)備的保護(hù)以及防火墻系統(tǒng)的設(shè)置。在邊界保護(hù)中主要采用的技術(shù)可以通過(guò)路由器和交換機(jī)上的各種策略配置實(shí)現(xiàn)，對(duì)于路由器可以采用關(guān)閉各種不必要的服務(wù)和增加ACL的方式，對(duì)交換機(jī)采用配置虛擬局域網(wǎng)的方式。如果考慮對(duì)邊界點(diǎn)的深入防范的能力，還需要采用防火墻和入侵監(jiān)測(cè)的輔助設(shè)備。,25,.,邊界主機(jī)設(shè)備,接入邊界設(shè)備的途徑：身份認(rèn)證。其他常規(guī)主機(jī)安全保護(hù)機(jī)制,26,.,保護(hù)網(wǎng)絡(luò)和基礎(chǔ)設(shè)施,網(wǎng)絡(luò)與基礎(chǔ)設(shè)施提供區(qū)域互連。組織可能采用公共/商業(yè)網(wǎng)絡(luò)和技術(shù)，也可能采用專用網(wǎng)服務(wù)。必須根據(jù)組織的信息保障需求明確保護(hù)網(wǎng)絡(luò)與基礎(chǔ)設(shè)施的措施。,27,.,平臺(tái)安全,應(yīng)用是搭建在平臺(tái)上的，因此平臺(tái)是我門(mén)要保護(hù)的的第二個(gè)塹壕。平臺(tái)總體上分網(wǎng)絡(luò)，系統(tǒng)平臺(tái)。,28,.,網(wǎng)絡(luò)平臺(tái)的安全,安全網(wǎng)絡(luò)環(huán)境建設(shè)原則：對(duì)原由系統(tǒng)平滑改造，不對(duì)原系統(tǒng)造成影響。采用不同等級(jí)的安全區(qū)域隔離方式。對(duì)不同等級(jí)間的網(wǎng)絡(luò)連接采用中間件（或防火墻）互聯(lián)，并加入審計(jì)功能。對(duì)接入網(wǎng)絡(luò)和核心網(wǎng)絡(luò)進(jìn)行安全監(jiān)視。內(nèi)部網(wǎng)，(vlan劃分，router、switch設(shè)置，及其本身的安全),29,.,系統(tǒng)平臺(tái),采用最小權(quán)限原則啟動(dòng)服務(wù)。配置各類應(yīng)用服務(wù)自身的安全屬性，及時(shí)升級(jí)各類應(yīng)用服務(wù)的安全補(bǔ)丁。適當(dāng)考慮負(fù)載均衡措施。制定標(biāo)準(zhǔn)的各類操作系統(tǒng)安裝與初始化配置流程制定應(yīng)用軟件的安裝、升級(jí)與卸載規(guī)范,30,.,系統(tǒng)平臺(tái),按權(quán)限等級(jí)劃分不同用戶組，并嚴(yán)格控制目錄及文件的權(quán)限及時(shí)安裝系統(tǒng)補(bǔ)丁和應(yīng)用程序補(bǔ)丁配置操作系統(tǒng)日志功能，并做好日志的統(tǒng)計(jì)分析和安全備份制定服務(wù)器和網(wǎng)絡(luò)設(shè)備的遠(yuǎn)程控制規(guī)范,31,.,windows，Novell，Linux系列,參照WindowsNT和Windows2000系統(tǒng)的標(biāo)準(zhǔn)安全配置方案參照Novell系統(tǒng)的標(biāo)準(zhǔn)安全配置方案參照Linux系統(tǒng)的標(biāo)準(zhǔn)安全配置方案,32,.,sqlserver和orcale自身的安全,參照MsSQLserver，ORECAL數(shù)據(jù)庫(kù)標(biāo)準(zhǔn)安全配置方案,33,.,業(yè)務(wù)安全,業(yè)務(wù)安全包含業(yè)務(wù)系統(tǒng)和業(yè)務(wù)系統(tǒng)開(kāi)發(fā)的安全兩個(gè)部分,34,.,業(yè)務(wù)系統(tǒng)過(guò)程的安全,業(yè)務(wù)系統(tǒng)的保護(hù)主要需要保證業(yè)務(wù)的連續(xù)性和，系統(tǒng)數(shù)據(jù)的安全性根據(jù)具體業(yè)務(wù)，制定相應(yīng)保護(hù)策略,35,.,業(yè)務(wù)系統(tǒng)開(kāi)發(fā)的安全,定制相應(yīng)的軟件開(kāi)發(fā)項(xiàng)目管理制度業(yè)務(wù)開(kāi)發(fā)的安全性測(cè)試,36,.,縱深防御實(shí)施原則,多處設(shè)防：假定對(duì)手可以通過(guò)內(nèi)部人員和外部人員從多點(diǎn)向目標(biāo)攻擊，組織必須在多點(diǎn)布置保護(hù)機(jī)制以便對(duì)抗所有的攻擊方法。這些縱深防御的位置至少包括：計(jì)算環(huán)境、區(qū)域邊界、網(wǎng)絡(luò)與基礎(chǔ)設(shè)施。在每一個(gè)縱深防御的位置，至少要部署保護(hù)、檢測(cè)兩種手段。,37,.,縱深防御實(shí)施原則,分層保護(hù)：即使最好用的安全產(chǎn)品和技術(shù)也存在內(nèi)部缺點(diǎn)。一種有效的對(duì)策是在對(duì)手和它的目標(biāo)之間配備多個(gè)安全機(jī)制。這些機(jī)制中的每一個(gè)都必須是對(duì)手的唯一的障礙。進(jìn)而，每一個(gè)機(jī)制都應(yīng)包括保護(hù)和檢測(cè)兩種手段。這些手段都增加了對(duì)手被檢測(cè)的風(fēng)險(xiǎn)，減少了他們成功的機(jī)會(huì)。最常見(jiàn)的保護(hù)方法是在外部網(wǎng)絡(luò)出口和內(nèi)部邊界配備防火墻和網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)。,38,.,縱深防御實(shí)施原則,配備KMI/PKI：配備強(qiáng)健的密鑰管理和公鑰基礎(chǔ)設(shè)施。這些基礎(chǔ)設(shè)施支持所有的合成一體的信息保障技并能抵抗攻擊。提供支持密鑰、授權(quán)和證書(shū)管理的密碼基礎(chǔ)設(shè)施并部署管理和操作人員身份識(shí)別措施。,39,.,縱深防御實(shí)施原則,配備入侵檢測(cè)系統(tǒng)：配備檢測(cè)入侵、分析和綜合結(jié)果并根據(jù)需要進(jìn)行反應(yīng)的基礎(chǔ)設(shè)施。在縱深防御中，入侵檢測(cè)系統(tǒng)扮演最高的層