信息安全应急响应与风险评估及加固PPT.ppt

单击此处编辑母版标题样式,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,信息安全应急响应与风险评估及加固,日程,信息安全应急体系,风险评估方法和实施流程,安全加固方法和实施流程,应急规划,计 划,流 程,技 术,基础信息网络,重要信息系统,应急规划,3,应急计划类型（,1/2,）：,计 划,目 的,范 围,业务连续性计划,提供在从严重破坏中恢复时保持必要的业务运行的流程,涉及到业务过程，并由于其对业务过程的支持而涉及到,IT,业务恢复,/,再继续计划,提供灾难发生后立即恢复业务运行的流程,涉及到业务过程；并不关注,IT,；仅限据其对业务过程的支持而涉及到,IT,运行连续性计划,提供在,30,天之内在备用站点保持机构必要的战略功能的能力,涉及到被认为是最关键的机构使命子集；通常在总部级制定；不关注,IT,支持连续性计划,提供恢复主应用或通用支撑系统的流程和能力,同,IT,应急计划；涉及到,IT,系统破坏；不关注业务过程,4,应急计划类型（,2/2,）：,计 划,目 的,范 围,危机沟通计划,提供将状态报告分发给员工和公众的流程,涉及到和人员及公众的沟通,不关注,IT,计算机事件响应计划,为检测、响应恶意计算机事件，并限制其后果提供战略,关注于对影响系统和,/,或网络的事件的信息安全响应,灾难恢复计划,为帮助在备用站点实现能力恢复提供详细流程,经常关注,IT,限于会带来长时间破坏影响的主要破坏,拥有者应急计划,提供经过协调的流程，从而在应对物理威胁时,将生命损失和伤害降到最低，并保护财产免遭损害,关注针对特定设施的特殊人员和财产；而不是基于业务过程或,IT,系统功能,5,数据、应用和操作系统的备份与异地存储,关键系统组建或能力的冗余,系统配置和要求文档,在系统组件间以及主备点间互操作，以加快系统恢复,适当规模的电源管理系统和环境控制,人员队伍保障,常见的考虑事项包括,6,日程,信息安全应急体系,风险评估方法和实施流程,安全加固方法和实施流程,什么是风险,风险就是不利事件发生的可能性。,风险管理是评估风险、采取步骤将风险消减到可接受的水平并且维持这一风险级别的过程。,人们会意识到针对其利益的各种威胁，并采取预防措施进行防范或将其影响减到最小。,8,什么是风险,风险是一种不确定性。,风险三要素：,资产价值,威胁,脆弱性,9,风险管理模型,网御神州,风险评估,网御神州,安全加固,风险评估要素及属性,弱点,/,脆弱性,威胁,信息资产,风险,风险,评估,要素,资产价值,发生的可能性,严重程度,风险值的高低,属性,属性,属性,属性,项目概述,-,参考标准,GB/T 20984-2007,信息安全技术 信息安全风险评估规范,GB/T 22019-2008,信息安全技术 信息系统安全等级保护基本要求,GB/T 22020-2008,信息安全技术 信息系统安全等级保护定级指南,GB/T 19716-2005,信息技术 信息安全管理实用规则,ISO/IEC 27001:2005,信息安全技术 信息安全管理体系要求,ISO/IEC 17799:2005,信息安全技术 信息安全管理实用规则,相关技术及管理最佳实践,12,风险评估的定位,13,推进,网络与信息安全体系,指导,DO:,实施安全技术要求,实施安全管理要求,CHECK:,安全风险评估,ACTION:,安全实施,安全建设,PLAN,:,安全方针、目标,安全要求,业务,目标,业务,安全,实施风险管理,14,建立核心安全体系,识别风险和确定安全需求,安全意识和知识培训,实施适合的安全策略和控制措施,监督并审查安全策略和措施的有效性,风险评估关系模型,15,安全措施,抗击,脆弱性,威胁,风险,残余风险,拥有,暴露,降低,增加,增加,增加,导出,未被满足,未控制,可能诱发,安全措施,抗击,业务战略,弱点,安全需求,威胁,风险,残余风险,安全事件,依赖,降低,增加,增加,增加,导出,未被满足,未控制,可能诱发,资产,资产价值,成本,利用,演变,残留,被满足,ISO13335,安全风险评估模型,16,风险,安全措施,信息资产,威胁,弱点,安全需求,降低,增加,增加,利用,暴露,价值,拥有,抗击,增加,引出,被满足,ISO15408,安全风险评估模型,17,所 有 者,攻 击 者,对 策,弱点,风 险,威 胁,资 产,对抗性、动态性,风险评估参考标准,18,框架,主要参照标准,强度描述,第一级,第二级,第三级,安全策略框架,安全组织框架,安全运作框架,ISO17799,，,ISO15408,，,SP800,53,ITIL,、,COBIT,满足安全管理需要的基本要求,通过良好定义过程来提高安全管理能力,对安全管理能力进行计划和跟踪,安全技术框架,物理安全,GA/T 390,等级保护通用技术要求,相当于该标准基本要求,相当于该标准较高要求,相当于该标准严格要求,网络与通讯安全,为保证网络对业务的支撑能力应采取的基本措施,通过良好定义过程来提高网络的安全管理能力,对网络安全管理能力进行计划和跟踪,主机与平台安全,GA T 388,等级保护操作系统技术要求,相当于该标准中的系统审核保护级,相当于该标准中安全标记保护级,相当于该标准中的结构化保护级,数据库系统安全,TCSEC,中的,可信数据库安全要求,相当于该标准,C1,相当于该标准中,C2,相当于该标准中,B1,应用系统、数据安全,ISO15408(CC),在内部管理环境下的安全保障要求,在复杂管理环境下的安全保障要求,在强对抗环境下的安全保障要求,整体框架,IATF,信息保障技术框架；,GB 18336,框架,主要参照标准,强度描述,第一级,第二级,第三级,安全策略框架,安全组织框架,安全运作框架,ISO17799,，,ISO15408,，,SP800,53,ITIL,、,COBIT,满足安全管理需要的基本要求,通过良好定义过程来提高安全管理能力,对安全管理能力进行计划和跟踪,安全技术框架,物理安全,GA/T 390,等级保护通用技术要求,相当于该标准基本要求,相当于该标准较高要求,相当于该标准严格要求,网络与通讯安全,为保证网络对业务的支撑能力应采取的基本措施,通过良好定义过程来提高网络的安全管理能力,对网络安全管理能力进行计划和跟踪,主机与平台安全,GA T 388,等级保护操作系统技术要求,相当于该标准中的系统审核保护级,相当于该标准中安全标记保护级,相当于该标准中的结构化保护级,数据库系统安全,TCSEC,中的,可信数据库安全要求,相当于该标准,C1,相当于该标准中,C2,相当于该标准中,B1,应用系统、数据安全,ISO15408(CC),在内部管理环境下的安全保障要求,在复杂管理环境下的安全保障要求,在强对抗环境下的安全保障要求,整体框架,IATF,信息保障技术框架；,GB 18336,风险评估的主要内容,19,资产调查,IT,设备弱点评估,安,全,威,胁,评,估,工具扫描弱点,网络架构安全评估,业务系统安全评估,渗透测试,主机弱点人工评估,操作系统弱点评估,数据库弱点评估,网络配置弱点评估,安全设备弱点评估,业,务,分,析,安全管理评估,风险分析,风险评估实施流程,20信息资产调查,/,业务分析,弱点评估,威胁评估,现有安全措施评估,风险评估,安全需求,风险评估,-,评估准备,资产识别与赋值准则,脆弱性识别与赋值准则,威胁识别与赋值准则,已有措施识别和有效性判断准则,风险计算准则,21,风险评估的技术,调研,访谈,资料文档确认,配置记录审查,扫描评估,渗透测试,22,风险评估,-,资产识别,资产识别,资产分类,资产赋值,23,风险评估,-,资产识别,我们都有哪些信息资产？（清单）,他们都在什么地方？（物理逻辑位置）,都是谁在管理？（责任人）,他们整体状况如何？（关联性）,24,风险评估,-,脆弱性评估,技术,脆弱性,网络扫描,手工,检查,管理脆弱性,顾问访谈,记录审查,25,日程,信息安全应急体系,风险评估方法和实施流程,安全加固方法和实施流程,安全加固的主要内容,27,安装安全补丁,安全配置,安全机制,文件系统,用户管理,网络及服务,其它配置文件,加密通信,数字签名,日志,/,备份,访问控制,安全设备策略定制,资料文档,现状记录及备份,安全加固内容举例,28,加固对象,操作系统,加固项目,说明,UNIX,系统,及类,UNIX,系统,Solaris,HP-UX,AIX,linux,FreeBSD,OpenBSD,SCO,补丁,从厂家网站或者可信任站点下载系统的补丁包，不同的操作系统版本以及运行不同的服务，都可能造成需要安装的补丁包不同，所以必须选择适合本机的补丁包安装。,文件系统,UNIX,文件系统的权限配置项目繁多，要求也很严格，不适当的配置可能造成用户非法取得操作系统超级用户的控制权，从而完全控制操作系统。,配置文件,UNIX,配置文件功能有点类似微软的注册表，,UNIX,对操作系统配置基本上都是通过各种配置文件来完成，不合理的配置文件可能造成用户非法取得操作系统超级用户的控制权，从而完全控制操作系统。例如：,/etc/inittab,文件是系统加载时首先自动执行的文件，,/etc/hosts,。,equiv,是限制主机信任关系的文件等。,帐号管理,帐号口令是从网络访问,UNIX,系统的基本认证方式，很多系统被入侵都是因为帐号管理不善，设置超级用户密码强度，密码的缺省配置策略,(,例如：密码长度，更换时间，帐号所在组，帐号锁定等多方面,),。有些系统可以配置使用更强的加密算法。,网络及服务,UNIX,有很多缺省打开的服务，这些服务都可能泄露本机信息，或存在未被发现的安全漏洞，关闭不必要的服务，能尽量降低被入侵的可能性。例如,r,系列服务和,rpc,的,rstatd,都出过不止一次远程安全漏洞。,UNIX,缺省的网络配置参数也不尽合理，例如,TCP,序列号随机强度，对,D,。,o,。,S,攻击的抵抗能力等，合理配置网络参数，能优化操作系统性能，提高安全性。,NFS,系统,网络文件系统协议最早是,SUN,公司开发出来的，以实现文件系统共享。,NFS,使用,RPC,服务，其验证方式存在缺陷，,NFS,服务的缺省配置也很不安全，如果必须使用,NFS,系统，一定进行安全的配置。,应用软件,我们建议操作系统安装最小软件包，例如不安装开发包，不安装不必要的库，不安装编绎器等，但很多情况下必须安装一些软件包。,APACHE,或,NETSCAPE ENTERPRISE SERVER,是一般,UNIX,首选的,WEB,服务器，其配置本身就是一项独立的服务邮件和域名服务等都需要进行合理的配置。,审计，日志,做好系统的审计和日志工作，对于事后取证追查，帮助发现问题，都能提供很多必要信息。例如，打开帐号审计功能，记录所有用户执行过的命令。例如实现日志集中管理，避免被入侵主机日志被删除等。,其它,不同的,UNIX,系统有一些特别的安全配置，例如,solaris,有,ASET,，,HP,的高级别安全，,FreeBSD,的,jail,等。,最后工作,建议用户做系统完全备份，并对关键部份做数字签名。,安全加固内容举例,29,微软操作系统,NT 4.0/W2K/WIN2003(workstation,，,server,，,professional,，,advanced server),补丁,微软操作系统对新发现的漏洞修补是使用,Service Pack,及,hotfix,，另外，还需要安装,C2,级安全配置。,文件系统,配置,NTFS,文件系统，,NTFS,可以支持更多更强大的的安全配置，设置需要特殊保护的目录和文件，设置不同目录和文件的权限，移动或删除特别的系统命令文件，增加入侵者操作的难度。,帐号管理,帐号口令是从网络访问,NT/2K,系统的基本认证方式，很多系统被入侵都是因为帐号管理不善，设置超级用户密码强度，密码的缺省配置策略,(,例如：密码长度，更换时间，帐号所在组，帐号可访问资源，帐号锁定等多方面,),，,GUEST,帐号以及加强的密码管理,(SYSKEY),等。,网络及服务,网络和服务是互联网上用户与此服务器接口的部分，网络协议的配置不当，服务进程设置不当，都可能为入侵系统打开方便之门。合理地配置网络及服务将能阻挡,80%,的普通入侵。,注册表,微软操作系统缺省的安装是为了能兼容各种运行环境，因此很多权限设置都很宽，这不符合,最小权限,的基本原则，我们需要根据不同的环境，备份注册表，再人为地更改注册表内容，配置最小权限的稳定运行的系统。例如：不允许远程注册表配置，设置,LSA,尽量减少远程用户可以获取的信息，设置注册表本身的访问控制，禁止空连接，对其它操作系统和,POSIX,的支持，对登录信息的缓存等。也有很多选项需要根据不同用户需求来制定，例如：当安全策略因为某些因素,(,磁盘满,),而不能运作时，是否强制系统停止运行。,共享,共享是向网络上的用户开放对本机的资源访问权限，不合理的配置以及系统的缺省共享配置，都可能造成远程用户对系统的文件，打印机等资源的非法访问和操作。我们需要删除不必要的共享，合理配置共享的访问控制列表。,应用软件,安装最小的软件包，不安装不必要的应用软件。但是很多情况应用软件提供不可缺少的服务，这时我们就必须安全地配置它们。,IE,被微软绑定为操作系统的一部分，,IE,的安全直接影响到系统的安全。我们需要升级,IE,的版本，安装,IE,的补丁，设置,IE,的安全级别，及各项安全相关配置,outlook,，,powerpoint,及其它等多种软件都可能存在安全问题，需要安装补丁程序。,IIS,提供,WWW,的服务，,IIS,的缺省配置，目录设置，权限设置，安全设置等多方面配置不当也是系统安全的巨大隐患。,IIS,的加固本身就可以成为一项独立的服务内容。,审计，日志,做好系统的审计和日志工作，对于事后取证追查，帮助发现问题，都能提供很多必要信息,其它,其它方面视不同环境而定，例如需要删除多余的系统安装包，安装主机防病毒软件，等多项操作。,最后工作,重新制作新的系统紧急恢复盘,(ERD),，建议用户做系统完全备份，并对关键部份做数字签名。,安全加固内容举例,加固对象,操作系统,加固项目,说明,IIS,服务,Microsoft,Windows,系统,默认站点,关闭并删除 默认站点.默认FTP站点默认Web站点管理Web站点.,目录配置,建立自己的站点，与系统不在一个分区如：D:ABDE建立E:Logfiles 目录，以后建立站点时的日志文件均位于此目录，确保此目录上的访问控制权限是：Administrators（完全控制）System（完全控制）,默认,IIS,目录,IISHelp,C:winnthelpiishelp,IISAdmin C:system32inetsrviisadmin,MSADC C:Program FilesCommon FilesSystemmsadc,删除 C:inetpub,映射和扩展,IIS被预先配置为支持常用的文件名扩展如.asp 和.shtm 文件。IIS 接收到这些类型 的文件请求时，该调用由 DLL 处理如果您不使用其中的某些扩展或功能，则应删除该映射，,虚拟目录,权限设置,在iis里把所有的目录,不包括asp等文件的目录,比如img,image,pic,upload等等这些目录,里面一般是没有asp文件的目录的执行许可设置为无,这样就算你用的程序被发现了新的漏洞,传了马上来了,它也执行不了,!,日志审计,用 W3C 扩展日志记录格式,，,启用操作系统组策略中的审核功能，对关键事件进行审核记录；启用IIS、FTP服务器等服务本身的日志功能；并对所有日志存放的默认位置进行更改同时作好文件夹权限设置！安装自动备份工具，定时对上述日志进行异地备份，起码是在其他分区的隐蔽位置进行备份，并对备份目录设置好权限（仅管理员可访问）。准备一款日志分析工具，以便随时可用。特别关注任何服务的重启、访问敏感的扩展存储过程等事件。,网站备份,可使用IIS的备份功能，将设定好的IIS配置全部备份下来，这样就可以随时恢复,安全加固流程,31,1,准备工作，提交加固申请,一人操作，一人记录，尽量防止可能出现的误操作。,2,收集系统信息,加固之前收集所有的系统，信息和用户服务需求，收集所有应用和服务软件信息，做好加固前预备工作。,3,做好备份工作，必要时进行加固测试,系统加固之前，先对系统做完全备份。加固过程可能存在任何不可遇见的风险，当加固失败时，可以恢复到加固前状态。,4,加固系统,按照系统加固核对表，逐项按顺序执行操作。,5,复查配置,对加固后的系统，全部复查一次所作加固内容，确保正确无误。,6,系统运行确认,/,应急恢复,当出现不可预料的后果时，首先使用备份恢复系统提供服务，同时安全专家小组取得联系，寻求帮助，解决问题。,谢谢大家！,32,4/28/2025,