1、把握信息安全2007年3月19日北京啟明星辰信息技術有限公司首席戰略官 潘柱廷第1頁，共31頁。提問哪位同學準備了問題來參加今天的活動？有幾個問題？都是些什么問題？第2頁，共31頁。提問今天哪位同學帶了記錄的工具？紙筆、電腦、錄音筆、照相機、手機哪位同學事先通過各種方式了解過啟明星辰這個公司Website, BBS, 從朋友那里哪位同學事先特意了解過IDS，或者認為自己對IDS有相當的了解第3頁，共31頁。提問據我所知上周一，各位同學訪問了一個防火墻廠商。那么請問：“什么是防火墻？”“防火墻是什么？”第4頁，共31頁。第5頁，共31頁。EDIF風箏模型-IT多態模型第6頁，共31頁。三觀論實現

2、層運營層技術人員過程決策層宏觀微觀中觀第7頁，共31頁。問題什么是信息安全？到底要解決那些問題？怎么實施信息安全建設？第8頁，共31頁。問題什么是信息安全？通過回答最根本的問題，幫助我們探究事物的本原。到底要解決那些問題？明確工作的目標和要求，從一個大的廣泛的概念中尋找自身的定位。怎么實施信息安全建設？通過回答最實際的問題，幫助我們獲得需要的實效。第9頁，共31頁。安全的三個相對性原則安全是潛在的安全沒有絕對，沒有100%實踐安全相對性的三個原則風險原則適合商業機構生存原則適合強力機構保鏢原則適合涉密機構第10頁，共31頁。風險管理風險管理的理念從90年代開始，已經逐步成為引導信息安全技術應用

3、的核心理念風險的定義對目標有所影響的某件事情發生的可能性摘自AS/NZS4360第11頁，共31頁。ISO13335中的風險管理的關系圖第12頁，共31頁。ISO13335以風險為核心的安全模型風險防護措施信息資產威脅漏洞防護需求降低增加增加利用暴露價值擁有抗擊增加引出被滿足一般風險評估的理論基礎第13頁，共31頁。國信辦報告中的風險要素關系圖第14頁，共31頁。德國ITBPM第15頁，共31頁。最精簡的風險管理要素第16頁，共31頁。業務資產保障措施威脅安全三要素第17頁，共31頁。17信息安全保障框架資產清單面向網絡拓撲基于安全域/業務域基于業務流分析 第18頁，共31頁。信息安全保障框架

4、脆弱性管理告警管理事件管理預警管理威脅管理 第19頁，共31頁。信息安全保障框架通過S3-PPT方法展開保障措施第20頁，共31頁。IT中最通行和樸素的層次模型第21頁，共31頁。技術功能是T3-PDR的衍生第22頁，共31頁。保障框架-措施第23頁，共31頁。產品的框架分析IDS應用審計防火墻SAN防垃圾安全管理中心Scanner遠程數據熱備IPS防病毒加密機雙因子PKIUTM第24頁，共31頁。多角度地理解的IT產品表示層功能層數據層不要僅僅從功能去理解一個IT產品可能的角度：數據結構、數據流功能、服務Portal、C/S、B/S部署結構應用用例 第25頁，共31頁。產品分析示例IDS防火

5、墻IPSUTM第26頁，共31頁。產品分析示例轉發能力檢測能力防火墻轉發能力檢測能力UTM/IPS轉發能力檢測能力IDS第27頁，共31頁。產品分析示例防火墻UTM/IPSIDS部署在高帶寬的網關位置部署在低帶寬的網關位置部署在任何需要監控的位置像高速公路收費站，像大院門好像部署在規則簡單的小門好像保安監控的攝像頭一樣，部署在重要的區域和關口第28頁，共31頁。三法則Q3-WWHR3-ASTP3-CSPV3-MMMS3-PPTT3-PDRL3-POEA3-CIA三問題：什么/為什么/怎么風險三要素：資產業務/保障措施/威脅產品三形態：部件產品/服務/平臺三觀論：宏觀/中觀/微觀保障：人員組織/過程/技術技術：防護/檢測/響