計算機信息防護系統

iso27001金商信息平安專家本章內容23政府商業個人生活金融信息平安現狀4黑客攻擊猖獗5網絡內部、外部泄密拒絕效勞攻擊特洛伊木馬黑客攻擊計算機病毒后門、隱蔽通道蠕蟲平安事件每年都有上千家政府網站被攻擊平安影響任何網絡都可能遭受入侵6系統的定義：系統是由相互作用和相互依賴的假設干局部結合成的具特定功能的整體。系統一般包括以下因素：1、一種產品或者組件，如計算機、所有的外部設備等；

2、操作系統、通信系統和其他相關的設備、軟件，構成了一個組織的根本結構；

3、多個應用系統或軟件〔財務、人事、業務等〕

4、it部門的員工

5、內部用戶和管理層

6、客戶和其他外部用戶

7、周圍環境，包括媒體、競爭者、上層管理機構。7信息平安管理體系信息平安管理覆蓋的內容非常廣泛，涉及到信息和網絡系統的各個層面，以及生命周期的各個階段。不同方面的管理內容彼此之間存在著一定的關聯性，它們共同構成一個全面的有機整體，以使管理措施保障到達信息平安的目，這個有機整體被稱為信息平安管理體系。89物理層面網絡層面系統層面應用層面管理層面安全管理制度業務處理流程

業務應用系統數據庫應用系統

身份鑒別機制強制訪問控制防火墻入侵檢測系統物理設備安全環境安全信息安全體系信息系統平安體系結構信息平安管理體系定義定義：信息平安管理體系〔InformationSecurityManagementSystem，ISMS〕是組織在整體或特定范圍內建立的信息平安方針和目標，以及完成這些目標所用的方法和手段所構成的體系；信息平安管理體系是信息平安管理活動的直接結果，表示為方針、原那么、目標、方法、方案、活動、程序、過程和資源的集合。10建立信息平安管理體系的意義11組織建立、實施與保持ISMS將會產生如下作用：強化員工的信息平安意識，標準組織信息平安行為；促使管理層貫徹信息平安保障體系；對組織的關鍵信息資產進行全面系統的保護，維持競爭優勢；在信息系統受到侵襲時，確保業務持續開展并將損失降到最低程度；使組織的生意伙伴和客戶對組織充滿信心；如果通過體系認證，說明體系符合標準，證明組織有能力保障重要信息，可以提高組織的知名度與信任度。12信息平安管理體系標準ISO27001是建立和維護信息平安管理體系的標準，它要求應該通過這樣的過程來建立ISMS框架：確定體系范圍，制定信息平安側率，明確管理職責，通過風險評估確定控制目標和控制方式。ISO27001非常強調信息平安管理過程中文件化的工作，ISMS的文件體系應該包括平安策略、適用性聲明〔選擇和未選擇的控制目標和控制措施〕、實施平安控制所需的程序文件、ISMS管理和操作程序，以及組織圍繞ISMS開展的所有活動的證明材料。13信息平安管理的根本原那么一、總體原那么1、主要領導負責原那么2、標準定級原那么3、以人為本原那么4、適度平安原那么5、全面防范、突出重點原那么6、系統、動態原那么7、控制社會影響原那么。14主要領導負責原那么15標準定級原那么16以人為本原那么17適度平安原那么平安需求的不斷增加和現實資源的局限性是平安決策處于兩難境地，恰當地平衡平安投入與效果是從全局上處置好平安管理工作的出發點。18全面防范、突出重點的原那么19系統、動態原那么信息平安管理工作的系統特征突出。要按照系統工程的要求，注意各方面、各層次、各時期的相互協調、匹配和銜接，以便表達系統集成效果和前期投入的效益。同時，信息平安又是一種狀態和動態反響過程，隨著平安利益和系統脆弱性時空分布的變化，威脅程度的提高，系統環境的變化以及人員對系統平安認識的深化等，應及時地將現有的平安策略、風險接受程度和保護措施進行復查、修改、調整以至提升平安管理等級。20控制社會影響原那么對平安事件的處理應有授權者適時披露并發布準確一致的有關信息，防止帶來不良的社會影響。21分權制衡策略減少未授權的修改或濫用系統資源的時機，對特定職能或責任領域的管理能力實施別離、獨立審計，防止操作權力過分集中。22最小特權策略任何實體〔如用戶、管理員、進程、應用或系統〕僅享有該實體需要完成其任務所必需的特權，不應享有任何多余的特權。2324普遍參與策略不管信息系統的平安等級如何，要求信息系統所涉及的人員普遍參與并與社會相關方面協同、協調，共同保障信息系統平安。25信息平安管理的目標如下：26信息平安管理內容27流程規范性整體協調性執行落實性變更可控性責任性持續改進型計劃性合規性信息安全管理內容信息平安管理的根本任務28信息平安方針與策略信息平安方針和策略主要包括對信息平安進行總體性指導和規劃的管理過程。這些過程包括：平安方針和策略、資金投入管理和信息平安規劃等。29平安方針和策略方針和策略屬于一般管理中的策略管理。方針和策略是信息平安保障工作的整體性指導和要求。平安方針和策略需要有相應的制定、審核和改進過程。30資金投入管理信息平安保障工作需要有足夠的資金支撐。但從另一個方面來講，絕對的平安是無法實現的，因此，需要考慮資金投入和經濟效益之間的平衡。31信息平安規劃信息平安保障工作是一項涉及面較廣的工作，同時也是一項持續的、長期的工作。因此，信息平安保障工作需要有長期、中期、短期的方案。32信息平安人員和組織人員和組織管理是信息平安管理的根本過程。人員和組織是執行信息平安保障工作的主體。33在人員和組織管理方面，最根本的管理包括：1、保障有足夠的人力資源從事信息平安保障工作；2、確保人員有明確的角色和責任；3、保證從業人員經過了適當的信息平安教育和培訓，有足夠的平安意識。4、機構中的信息平安相關人員能夠在有效的組織結構下展開工作。34基于信息系統各個層次的平安管理信息系統是有層次的。因此在信息系統的平安保護中也存在層次的特點，對應各個層次也有相應的信息平安管理工作。基于信息系統的各個層次，可相應在如下層次中開展信息平安管理：環境和設備平安、網絡和通信平安、主機和系統平安、應用和業務平安、數據平安。35環境和設備平安也稱為物理平安。在這類平安管理過程中，主要是涉及信息系統和信息工作所在的環境平安，以及信息設備方面的平安。另外，文檔和介質是存儲數據的特殊載體，因此，也應當對其進行適度的管理。物理平安是上層平安的根底。36網絡和通信平安網絡系統和通信系統使得信息系統可以覆蓋各個地理位置和業務場所。網絡和通信平安，特別是全程全網的平安是信息平安保障工作的關鍵環節。37主機和系統平安主機及主機上的操作系統、數據庫管理系統以及各種支撐系統等，是承載業務系統的根底平臺。主機和系統是信息系統威脅的主要目標之一。38應用和業務平安應用和業務系統是最終實現各項業務工作的上層系統。對相應應用系統的平安管理要與具體的業務特點相結合。39數據平安數據平安在信息平安中占有非常重要的地位。數據的保密性、數據的完整性、數據內容的真實性和可靠性等平安特性的要求在業務中都非常突出。40基于信息系統生命周期的平安管理信息系統是由生命周期的。信息平安保障也涉及到信息系統生命周期的各個階段。信息系統生命周期可以劃分為兩個階段：1、系統投入前的工程設計和開發階段；2、系統的運行和維護階段。41信息系統平安和信息系統本身的三同步1、同步規劃2、同步建設3、同步運行42工程工程平安管理在信息系統投入運行前，信息系統平安的能力、強度、脆弱性、可改進的潛力等方面有相當的局部已經確定和定型。因此，對于一個信息系統，不應當在系統建設完成后再考慮信息平安問題，而應當從系統建設的初期開始，在建設的整個過程中同步考慮。43日常運行于維護的平安管理一個信息系統及其信息平安系統建設完成后，其平安工作并沒有結束。真正的平安效果需要通過日常運行中的平安管理來實現，工程過程中奠定的信息平安根底需要通過管理手段加以發揮。44配置管理和變更管理配置管理和變更管理是任何形式的管理中不可或缺的管理過程。在信息平安管理中，這兩方面管理的作用尤為突出。1、配置管理：從信息平安管理的角度看，應當對被保護的資產以及相應的保護措施進行配置描述，并應當對各個配置描述進行持續的跟蹤管理。2、變更管理：人員、設備、流程等各個方面的變化，都可能導致信息平安風險的變化，因此，要對信息系統中重要的變更進行管理。需要建立正規的變更流程來控制變更可能導致的風險。45文檔化和流程標準化文檔化是信息平安管理工作的重要局部。只有將各種管理方法、管理過程、管理要求等通過文檔的形式明確下來，才能保證信息平安管理工作進一步得到落實和貫徹。業務的運行以及單位自身的正常運營需要通過許多操作過程〔流程〕來具體實現，管理流程的標準化程度可以表達管理的水平。4647風險管理風險管理是根本管理過程之一。信息平安風險管理是整體風險管理的一個有機組成局部，是其在信息化領域的具體表達。在信息平安風險管理過程中，要實施如下工作：1、資產鑒別、分類和評價2、威脅鑒別和評價3、脆弱性評估—評估防護措施的效力和存在的脆弱性4、平安風險評估和評級—綜合資產、威脅、脆弱性的評估和評價，完成最終的風險評估和評級。5、決策并實施風險處理措施—根據風險評估的結果，作出風險處理和控制的相關決策，并投入實施。48業務連續性管理49符合性審核50信息平安管理體系構成1、方針與策略管理2、風險管理3、人員與組織管理4、環境與設備管理5、網絡與通信管理6、主機與系統管理7、應用于業務管理8、數據/文檔/介質9、工程工程管理10、運行維護管理11、業務連續性管理12、合規性管理5152數據/文檔/介質管理方針和策略管理應用與業務管理主機與系統管理網絡與通信管理環境與設備管理風險管理業務連續性管理工程工程管理運行維護管理人員和組織管理合規性管理信息平安管理體系構成方針與策略管理確保企業、組織擁有明確的信息平安方針以及配套的策略和制度，以實現對信息平安工作的支持和承諾，保證信息平安的資金投入。53風險管理信息平安建設不是防止風險的過程，而是管理風險的過程。沒有絕對的平安，風險總是存在的。信息平安體系建設的目標就是把風險控制在可以接受的范圍之內，風險管理同時也是一個動態持續的過程。54人員與組織管理建立組織機構，明確人員崗位職責，提供平安教育和培訓，對第三方人員進行管理，協調信息平安監管部門與行內其他部門之間的關系，保證信息平安工作的人力資源要求，防止由于人員和組織上的錯誤產生信息平安風險。55環境與設備管理控制由于物理環境和硬件設施的不當所產生的風險。管理的內容包括物理環境平安、設備平安、介質平安等。56網絡與通信平安控制、保護網絡和通信系統，防止受到破壞和濫用，防止和降低由于網絡和通信系統的問題對業務系統的損害。57主機與系統管理控制和保護主機及其系統，防止受到破壞和濫用，防止和降低由此對業務系統的損害。58應用與業務管理對各類應用和業務系統進行平安管理，防止受到破壞和濫用。59數據/文檔/介質管理采用數據加密和完整性保護機制，防止數據被竊取和篡改，保護業務數據的平安。60工程工程管理保護信息系統工程過程的平安，確保工程的成果是可靠的平安系統。61運行維護管理保護信息系統在運行期間的平安，并確保系統維護工作的平安。62業務連續性管理通過設計和執行業務連續性方案，確保信息系統在任何災難和攻擊下，都能夠保證業務的連續性。63合規性管理確保信息平安保障工作符合國家法律、法規的要求；并且信息平安方針、規定和標準得到了遵循。6412項信息平安管理類的作用關系1、方針與策略管理：是整個信息平安管理工作的根底和整體指導，對于其他所有的信息平安管理類都有指導和約束的關系。6512項信息平安管理類的作用關系2、人員與組織管理：是要根據方針和策略來執行的信息平安管理工作。6612項信息平安管理類的作用關系6712項信息平安管理類的作用關系4、根據方針與策略，由人員與組織實施信息平安管理工作。在實施中主要從兩個角度來考慮問題，即風險管理和業務連續性管理。6812項信息平安管理類的作用關系5、根據信息系統的生命周期，可以將信息系統分為兩個階段，即工程工程開發階段和運行維護階段。這兩個信息平安管理類表達了信息系統和信息平安工作的生命周期特性。69第二節信息平安管理標準一、BS7799-2/ISO27001二、其他標準70信息平安管理體系標準(SpecificationforInformationSecurityManagementSystem)說明了建立、實施、維護，并持續改進ISMS的要求指導實施者如何利用BS7799-1來建立一個有效的ISMSBSI提供依據BS7799-2所建立ISMS的認證71BS7799-2/ISO27001 建立ISMS〔PLAN〕定義ISMS的范圍和策略識別和評估風險評估現有保證措施準備適用性說明取得管理層對殘留風險的認可，并獲得實施ISMS的授權72BS7799-2/ISO27001 實施ISMS〔DO〕制訂并實施風險處理方案實施平安控制措施實施平安意識和平安教育培訓實施檢測和響應平安機制73BS7799-2/ISO27001 監視和復查ISMS〔CHECK〕實施監視程序和控制定期復審ISMS的效力定期進行ISMS內部審計復查殘留風險和可接受風險的水平74BS7799-2/ISO27001 改進ISMS〔ACT〕對ISMS實施可識別的改進實施糾正和預防措施確保改進成果滿足預期目標75BS7799-2/ISO27001 強調文檔化管理的重要作用，文檔體系包括平安策略適用性聲明實施平安控制的規程文檔ISMS管理和操作規程與ISMS有關的其它文檔76BS7799-2/ISO27001 建立ISMS的過程制訂平安策略確定體系范圍明確管理職責通過平安風險評估確定控制目標和控制措施復查、維護與持續改進77BS7799-2/ISO27001二、其他標準1、PD3000BS7799標準本身是不具有很強的可實施性的，為了指導組織更好地建立ISMS并應對BS7799認證審核的要求，BSIDISC提供了一組有針對性的指導文件，即PD3000系列。782、CC793、ISO/IECTR13335804、SSE-CMM818283第三節信息平安策略一、信息平安策略概述二、制定信息平安策略三、確定信息平安策略保護的對象四、主要信息平安策略五、信息平安策略的執行和維護8485 平安策略包括：總體方針，指導性的戰略綱領文件，說明了企業對于信息平安的看法和立場、信息平安的目標和戰略、信息平安所涉及的范圍、管理組織構架和責任認定、以及對于信息資產的管理方法等內容針對特定問題的具體策略，闡述了企業對于特定平安問題的聲明、立場、適用方法、強制要求、角色、責任認定等內容針對特定系統的具體策略，更為具體和細化，說明了特定系統與信息平安有關的使用和維護規那么等內容86信息平安策略定義信息平安策略是一組經過高級管理層批準，正式發布和實施的綱領性文件，描述了一個企業、組織的高層平安目標，它描述應該做什么，而不是如何去做，一份信息平安策略就像是一份工程管理方案書，這意味著它隱藏了執行的細節。信息平安策略是一種處理平安問題的管理策略的描述。平安策略必須遵循三個根本原那么：確定性、完整性和有效性。87信息平安策略的重要性88制定信息平安策略的時間理想情況下，制定信息平安策略的最正確時間是在發生第一起網絡平安事故之前。89平安員需要了解的幾個問題：90信息平安策略開發流程1、確定信息平安策略的范圍2、風險評估/分析或者審計3、信息平安策略的審查、批準和實施91制定信息平安策略9293嚴格的管理是確保信息平安策略落實的根底

各計算機使用機構、企業和單位應建立相應的網絡平安管理方法，加強內部管理，建立適宜的網絡平安管理系統，加強用戶管理和授權管理，建立平安審計和跟蹤體系，提高整體網絡平安意識。94嚴格的法律法規是網絡平安的堅強后盾

95信息平安策略的設計范圍一個合理的信息平安策略體系包括三個不同層次的策略文檔：1、總體平安策略2、針對特定問題的具體策略3、針對特定系統的具體策略96總體平安策略文檔闡述指導性的戰略綱領文件，說明了企業對與信息平安的看法和立場、信息平安的目標和戰略、信息平安所涉及的范圍、管理組織架構和責任認定以及對與信息資產的管理方法等內容。97針對特定問題的具體策略文檔闡述了企業對于特定平安問題的聲明、立場、適用方法、強制要求、角色、責任的認定等內容，例如：針對Internet訪問操作、計算機和網絡病毒防治、口令的使用和管理等特定問題，制定用針對性的平安策略。98針對特定系統的具體策略文檔99信息平安策略的15個制定范圍1、物理平安策略2、網絡平安策略3、數據加密策略4、數據備份策略5、病毒防護策略6、系統平安策略7、身份認證及授權策略8、災難恢復策略9、事故處理、緊急響應策略10、平安教育策略11、口令管理策略12、補丁管理策略13、系統變更控制策略14、商業伙伴、客戶關系策略15、復查審計策略100101信息平安策略物理平安策略物理平安策略包括環境平安、設備平安、媒體平安、信息資產的物理分布、人員的訪問控制、審計紀錄、異常情況的追查等。102網絡平安策略103數據加密策略數據加密策略包括加密算法、適用范圍、密鑰交換和管理等。104數據備份策略數據備份策略包括適用范圍、備份方式、備份數據的平安儲存、備份周期、負責人等。105病毒防護策略病毒防護策略包括防病毒軟件的安裝、配置、對軟盤使用、網絡下載等作出的規定。106系統平安策略系統平安策略包括WWW訪問控制策略、數據庫系統平安策略、郵件系統平安策略、應用效勞器系統平安策略、個人桌面系統平安策略、其他業務相關系統平安策略等。107身份認證及授權策略身份認證及授權策略包括認證及授權機制、方式、審計記錄等。108災難恢復策略災難恢復策略包括責任人員、恢復機制、方式、歸檔管理、硬件、軟件等。109事故處理、緊急響應策略110平安教育策略平安教育策略包括平安策略的發布宣傳、執行效果的監督、平安技能的培訓、平安意識的教育等。111口令管理策略口令管理策略包括口令管理方式、口令設置規那么、口令適應規那么等。112補丁管理規那么補丁管理規那么包括系統補丁的更新、測試、安裝等。113系統變更控制策略系統變更控制策略包括設備、軟件配置、數據變更管理、一致性管理等。114商業伙伴、客戶關系策略商業伙伴、客戶關系策略包括合同條款平安策略、客戶效勞平安建議等。115復查審計策略116有效的信息平安策略的特點1、得到大局部需求支持并同時能夠維護企業利益；2、清晰，無須借助過多的需求文檔描述；3、提供框架結構和要求以進行用戶培訓、引導接受培訓的人員確定在構建平安計算環境的最重要因素。117完整信息平安策略的覆蓋范圍SANS模型策略列表：1、可接受的加密控制；2、可接受的使用控制；3、模擬/ISDN線路和撥入訪問控制；4、防病毒流程；5、應用程序提供上〔ASP〕控制；6、引入評估控制；7、審核和風險評估；8、自動轉發電子郵件控制；9、數據庫信任編碼；10、Extranet訪問控制；11、敏感信息控制；12、InternetDNS設備控制；13、實驗室管理；14、口令保護；15、遠程訪問和VPN平安控制16、路由器平安管理；17、效勞器平安管理；18、第三方網絡連接協議；19、無線通信控制；118可接受的加密控制有助于保證企業應用的加密方法，已經通過了公共評估并業界已經證明是有效的。他能夠解決合法性問題，尤其是考慮到出口法律條款時。119可接受的使用控制定義了什么是企業計算資源的可接收使用和不可接受使用的狀態，這些企業計算資源包括隱私、秘密信息、版權、主動提供的通訊、防止硬件盜竊、自由言論和相關問題等。該特定策略能夠擴展AUP的應用。120模擬/ISDN線路和撥入訪問控制有助于保護系統免受撥入訪問而導致的系統入侵以及撥出訪問而產生的系統泄密等問題。還可以通過與業務案例緊密聯系的批準流程和嚴格的運算要求，控制預定和調制解調器線路的人員。此外，平安策略還定義了包括含撥入訪問的流程、正確賦予類似訪問權限的規那么以及不使用撥入訪問的情況。121防病毒流程該流程提供了防病毒和相關問題，如垃圾郵件、郵件鏈、可執行的電子郵件附件等，未知可下栽的原地址、感染的軟盤、可寫的文件共享和非頻繁的備份操作等建議。雖然文檔中的信息僅作為指導使用〔建議僅是推薦使用，并不具有強制性〕，但是許多企業然希望將其作為平安策略使用〔所有要求都是在企業內部必須采用的〕。122應用程序提供上〔ASP〕控制當企業需要恰當地將工程運作放在企業外部進行主機托管時，那么可以定義確定大量敏感信息的規那么。與之相關的文檔定義了根本平安標準，是作為企業外部主機托管的ASP所必需考慮遵循的要求。123引入評估控制定義了企業如何從認可的企業接受計算機相關設備。提供替換、重新映像或審核系統與網絡組件并重新建立Internet連接的指南。124審核和風險評估通過增強平安小組的處理能力，在任何企業所有的計算機系統或組件中進行平安性審核和風險評估。125自動轉發電子郵件控制禁止未授權向外部系統轉發電子郵件。126數據庫信任編碼指定程序所使用的用戶名和口令登錄數據庫，并且應該平安保存并可由程序源代碼外部調用。127Extranet訪問控制定義了第三方如何訪問企業Internet的要求。需要企業評估第三方平安性和業務案例以確認系統訪問。128敏感信息控制定義敏感信息級別，如“限制〞、“秘密〞、“僅供內部使用〞和“公開〞等。為每個級別定義了適當的格式的數據存儲和分發。129InternetDMZ設備控制建立部署在企業專用網絡在非嚴格要求區域〔Demilita-rizedZone,DMZ〕所有設備所必須滿足的標準。130實驗室管理對于具有開發實驗室的企業來講，必須制定寬松的策略以進行開發工作。提供多個策略定義相關的標準并提出附加要求，如指定一名與管理員單一聯系的人員。131口令保護設定口令管理標準，如最長的口令有效時間、全球口令數據庫、創立健壯口令的規那么以及禁止口令共享和泄漏。132遠程訪問和VPN平安控制規定了所有類型個人執行遠程訪問的各種形式。總體來講，擴展了所有相關的內不策略覆蓋遠程訪問。該策略提供了更多用于虛擬個人網絡(VPN)的規那么，例如，要求所有活動的網絡流量都要通過VPN傳輸，而不是同時通過VPN和不平安的網絡連接傳輸。133路由器平安控制該策略為企業設定路由器配置標準，如包過濾規那么以防止網絡欺詐、簡單的網絡管理協議〔SNMP〕通信和“無侵入〞信號等。134效勞器平安管理建立效勞器配置和注冊的標準，如禁止不必要的設備、強制設備注冊、定期不定修復與其他效勞器的信任限制和效勞其硬件的物理平安等。135第三方網絡連接協議該協議是企業與提供相應網絡連接的第三方之間的合同。136無線通訊控制定義企業內部部署未注冊無線訪問控制點的最少加密標準和限制。137確定信息平安策略保護的對象一、信息系統的硬件與軟件二、信息系統的數據三、人員138信息系統的硬件與軟件保護硬件和軟件是支撐商業運行的平臺，它們應該受到策略保護。所以擁有一份完整的清單是非常重要的。1、硬件：CPU、主板、鍵盤、顯示器、工作站、個人電腦、打印機、磁盤驅動器、通信線路、終端效勞器、路由器、診斷設備等；2、軟件：源程序、目標程序、工具程序、診斷程序、操作系統、通信程序等。139信息系統的數據保護編寫策略的時候，有許多關于數據處理的事情是必須考慮的。策略必須考慮到數據是如何處理的，怎么保證數據的完整性和保密性。除此之外，還必須考慮到如何監測數據的處理。數據是組織的命脈，所以必須有完整的機制來監測它在整個系統中的活動。140人員保護首先，重點應該放在誰在什么情況下能夠訪問資源。策略對那些需要訪問的人授權直接訪問的權力，對那些不該訪問的人，策略那么要限制他們訪問。接下來要考慮的就是強制執行制度和對未授權訪問的的懲罰制度。如：公司的運作由法律保護嗎？對違反策略的員工有什么樣的紀律上的處分？在法律上又能做些什么？141主要信息平安策略一、口令策略：1、效勞器口令的管理2、用戶口令的管理142網絡效勞器口令的管理1、效勞器的口令，由部門負責人和系統管理員商定確定，必須兩人同是在場確定；2、效勞器的口令須部門負責人在場時，由系統管理員記錄封存；3、口令要定期更換〔視網絡具體情況〕，更換后系統管理員要銷毀原記錄，將新口令記錄封存；4、如發現口令有泄密現象，系統管理員要立即報告部門負責人，有關部門負責人報告平安部門，同時，要盡量保護好現場并記錄，須接到上一級主管批示后再更換口令。143用戶口令的管理1、對于要求設定口令的用戶，由用戶方指定負責人與系統管理員商定口令，由系統管理員登記并請用戶負責人確認〔簽字或通知〕之后系統管理員設定口令，并保存用戶檔案；2、在用戶由于責任人更換或忘記口令時要求查詢口令或要求更換口令的情況下，須向網絡效勞管理部門提交申請單，由部門負責人或系統管理員核實后，對用戶檔案作更新記載；3、如果網絡提供用戶自我更新口令的功能，用戶應自己定期更換口令，并設專人負責保密和維護工作。144創立口令時應防止的幾個問題145創立有效口令的通用規那么146計算機病毒和惡意代碼防治策略病毒防護策略必須具備以下準那么：1、拒絕訪問能力2、病毒檢測能力3、控制病毒傳播的能力4、去除能力5、恢復能力6、替代操作147拒絕訪問能力來歷不明的入侵軟件〔尤其是網絡傳過來的〕不得進入系統。148病毒檢測能力病毒總是有可能進入系統的，系統中設置檢測病毒機制是非常必要的。除了檢測類病毒外，能否檢測未知病毒是一個重要指標。149控制病毒傳播的能力沒有一種方法可以檢測出所有的病毒，一旦病毒進入了系統，應不讓病毒在系統中到處傳播。系統一定要有控制病毒傳播的能力。150去除能力如果病毒突破了系統防護，即使它的傳播受到了控制，也要有相應的措施將它去除掉。對于類病毒，可以使用專殺軟件；對于未知類病毒，在發現后使用軟件工具對他進行分析，盡快編寫出消毒軟件。當然，如果有后備文件，也可使用它直接覆蓋受感染文件，但一定要查清病毒的來源。151恢復能力有可能在去除病毒以前，病毒就破壞了系統中的數據，系統應提供一種高效的方法來恢復這些數據。152替代操作153平安教育與培訓策略154最終用戶策略1、數據和應用所有權：2、硬件的使用：3、互聯網的使用：4、加固最終用戶：賬戶管理、補丁管理、事件報告等制度5、時時更新6、強制執行155簡單的平安培訓策略156可接受使用策略AUP在完成了大局部策略的編制工作后，需要對其進行總結和提煉，產生的成果文檔被稱為AUP。AUP以終端用戶作為閱讀對象，具有簡短而突出重點的特點，被看作是一份信息平安策略的“快速入門〞文件。157AUP通常包含以下主要內容158信息平安策略的執行當平安策略編寫和批準發布之后，應當建立保障手段確保平安策略被有效遵守和執行，責任聲明和懲罰制度是最重要的保障手段，它應該明確闡述違反平安策略的行為將要承擔什么樣的責任，接受哪些責任追究。所有制定好的平安策略、可接受使用策略以及保障策略執行的制度，都要通過教育和培訓，傳達給所有網絡和信息系統用戶。159信息平安策略的維護160161162引言影響計算機網絡實體平安的主要因素如下：163物理平安包括：環境平安、電源系統平安、設備平安和通信線路平安。164物理環境平安的內容1)環境平安：應具備消防報警、平安照明、不間斷供電、溫濕度控制系統和防盜報警。2)電源系統平安：電源平安主要包括電力能源供給、輸電線路平安、保持電源的穩定性等。3)設備平安：要保證硬件設備隨時處于良好的工作狀態，建立健全使用管理規章制度，建立設備運行日志。同時要注意保護存儲媒體的平安性，包括存儲媒體自身和數據的平安。4)通信線路平安：包括防止電磁信息的泄漏、線路截獲，以及抗電磁干擾。165物理環境平安的內容166167168表3-1計算機機房平安要求(十：要求，—：有要求或增加要求)機房平安要求169如何減少無關人員進入機房的時機是計算機機房設計時首先要考慮的問題。

計算機機房最好不要安排在底層或頂層，這是因為底層一般較潮濕，而頂層有漏雨、穿窗而入的危險。在較大的樓層內，計算機機房應靠近樓梯的一邊。

外來人員進入手續。

計算機機房所在建筑物的結構平安。機房防盜要求

170視頻監視系統是一種更為可靠的防盜設備，能對計算機網絡系統的外圍環境、操作環境進行實時全程監控。對重要的機房，還應采取特別的防盜措施，如值班守衛、出入口安裝金屬探測裝置等。

在需要保護的重要設備、存儲媒體和硬件上貼上特殊標簽〔如磁性標簽〕，當有人非法攜帶這些重要設備或物品外出時，檢測器就會發出報警信號。將每臺重要的設備通過光纖電纜串接起來，并使光束沿光纖傳輸，如果光束傳輸受阻，那么自動報警。

機房三度要求

171溫度、濕度和潔凈度并稱為三度，為保證計算機網絡系統的正常運行，對機房內的三度都有明確的要求。為使機房內的三度到達規定的要求，空調系統、去濕機、除塵器是必不可少的設備。重要的計算機系統安放處還應配備專用的空調系統，它比公用的空調系統在加濕、除塵等方面有更高的要求。

溫度：機房溫度一般應控制在18～22℃

濕度：相對濕度一般控制在40％～60％為宜

潔凈度：塵埃顆粒直徑<0.5μm，含塵量<1萬顆/升172供電系統平安173

電源是計算機網絡系統的命脈，電源系統的穩定可靠是計算機網絡系統正常運行的先決條件。電源系統電壓的波動、浪涌電流和突然斷電等意外情況的發生還可能引起計算機系統存儲信息的喪失、存儲設備的損壞等情況的發生，電源系統的平安是計算機系統物理平安的一個重要組成局部。

GB/T2887-2000將供電方式分為三類:一類供電：需要建立不間斷供電系統。二類供電：需要建立帶備用的供電系統。三類供電：按一般用戶供電考慮。

防靜電措施

174

機房的內裝修材料一般應防止使用掛毯、地毯等吸塵、容易產生靜電的材料，而應采用乙烯材料。為了防靜電，機房一般要安裝防靜電地板。機房內應保持一定濕度，特別是在枯燥季節應適當增加空氣濕度，以免因枯燥而產生靜電。

接地與防雷要求

175

接地與防雷是保護計算機網絡系統和工作場所平安的重要平安措施。接地是指整個計算機系統中各處電位均以大地電位為零參考電位。接地可以為計算機系統的數字電路提供一個穩定的0V參考電位，從而可以保證設備和人身的平安，同時也是防止電磁信息泄漏的有效手段。

要求良好接地的設備有：各種計算機外圍設備、多相位變壓器的中性線、電纜外套管、電子報警系統、隔離變壓器、電源和信號濾波器、通信設備等。

計算機房的接地系統要按計算機系統本身和場地的各種地線系統的設計要求進行具體實施。

硬件設備的維護和管理

176

1．硬件設備的使用管理1〕要根據硬件設備的具體配置情況，制定切實可行的硬件設備的操作使用規程，并嚴格按操作規程進行操作。2〕建立設備使用情況日志，并嚴格登記使用過程的情況。3〕建立硬件設備故障情況登記表，詳細記錄故障性質和修復情況。4〕堅持對設備進行例行維護和保養，并指定專人負責。2．常用硬件設備的維護和保養

定期檢查供電系統的各種保護裝置及地線是否正常

對設備的物理訪問權限限制在最小范圍內電磁兼容和電磁輻射的防護

177

計算機網絡系統的各種設備都屬于電子設備，在工作時都不可防止地會向外輻射電磁波，同時也會受到其他電子設備的電磁波干擾，當電磁干擾到達一定的程度就會影響設備的正常工作。電磁輻射泄密的危險。

電磁輻射防護的措施：

(1)一類是對傳導發射的防護，主要采取對電源線和信號線加裝性能良好的濾波器，減小傳輸阻抗和導線間的交叉耦合；

(2)對輻射的防護可分為：1)采用各種電磁屏蔽措施，如對設備的金屬屏蔽和各種接插件的屏蔽，同時對機房的下水管、暖氣管和金屬門窗進行屏蔽和隔離；2)干擾的防護措施，即在計算機系統工作的同時，利用干擾裝置產生一種與計算機系統輻射相關的偽噪聲向空間輻射來掩蓋計算機系統的工作頻率和信息特征。

信息存儲媒體的平安管理178

計算機網絡系統的信息要存儲在某種媒體上，常用的存儲媒體有：硬盤、磁盤、磁帶、打印紙、光盤等。

179

距離大于最大長度限制的系統之間，不采用光纖線通信；或加強復制器的平安，如用加壓電纜、警報系統和加強警衛等措施。Modem的平安性。數據鏈路層加密機制能夠提供數據在廣域網傳輸時的保密性和完整性保護，防止數據在傳輸過程中被竊取和篡改。相關的標準：1、國家有關鏈路加密機所使用的密碼協議、密碼算法、密鑰管理的規定；2、遠程用戶平安接入協議RADIUS 180鏈路加密方式在物理層〔OSI最底層〕加密，加密設備不但對數據報文正文加密，而且把路由信息、協議信息等全部加密。181缺點網絡中每個物理鏈路都必須加密，網絡開銷大需要公共網絡提供者配合網絡結點中的數據是明文182

加解密過程示意圖加密和解密算法的操作通常都是在一組密鑰的控制下進行的,分別稱為加密密鑰(EncryptionKey)

和解密密鑰(DecryptionKey)183明文明文密文加密算法解密算法加密密鑰解密密鑰184鏈路層鏈路/物理層〔1—2〕網絡層加密傳輸/網絡層〔3—4〕應用層加密應用層〔5—7〕鏈路層通信加密實現(一)185節點〔發方〕加密解密節點〔交換中心〕加密解密節點〔收方〕數據〔明文〕密鑰A密鑰A〔明文〕數據密文密文密文三種加密方式比較186遠程撥號平安協議187188AAA是認證、授權和統計〔Authentication,AuthorizationandAccounting〕的簡稱。它提供了一個用來對這三種平安功能進行配置的一致性框架。AAA的配置實際上是對網絡平安的一種管理。這里的網絡平安主要指訪問控制。包括：－哪些用戶可以訪問網絡效勞器？－具有訪問權的用戶可以得到哪些效勞？－如何對正在使用網絡資源的用戶進行記賬？189190191訪問控制授權認證內容平安：病毒掃描、URL掃描、HTTP過濾加密路由器平安管理地址翻譯均衡負載日志記帳、審計報警192包過濾：根據規那么有選擇地讓數據包在網絡內外進行交換可以在一臺機器上提供對整個網絡的保護不識別數據包中的用戶信息和文件信息數據包頭部信息IP源地址和目標地址協議〔TCP、UDP或ICMP包〕TCP/UDP源和目標接口ICMP信息類型數據包要到達的端口和要出去的端口193包過濾判斷依據：根據數據包的目的地址根據數據包的源地址根據數據包的傳送協議幾種包過濾系統用過濾路由器進行包過濾用雙宿主主機進行包過濾用堡壘主機進行包過濾194195Internet內部網外部網InternetR內部網外部網路由器子網過濾結構在主機過濾結構中增加一層參數網絡的平安機制，使內部網與外部網之間有兩層隔斷。196InternetR內部路由器外部網外部路由器內部網R堡壘主機參數網絡包過濾的優點：一個包過濾路由器即可保護整個網絡不需要用戶軟件支撐，不需要對用戶作特別培訓包過濾產品比較容易獲得包過濾的缺點：包過濾規那么配置比較困難對包過濾規那么配置的測試比較麻煩包過濾功能有種種局限性197198InternetR內部網代理效勞器路由器InternetR內部網外部網外網段(非軍事區)內網段路由器代理效勞器代理的優點：允許用戶“直接〞訪問因特網適合進行日志管理代理的缺點：代理效勞落后于非代理效勞不同的代理效勞要求不同的效勞器代理效勞一般要求對客戶或程序進行修改代理效勞不適合某些效勞代理效勞不能保護用戶不受協議本身缺陷的限制199應用層網關(ApplicationGateway)建立在網絡應用層上基于主機的協議過濾、轉發器，在用戶和應用協議層之間提供訪問控制。代理效勞與應用層網關的特點易于記錄和控制所有進出通信對用戶不透明，提供的效勞有限200Internet應用程序網關用戶擊鍵應用程序輸入擊鍵轉發應用程序轉發主機入侵檢測計算機病毒防治201什么是入侵檢測系統

入侵檢測系統是一套監控計算機系統或網絡系統中發生的事件，根據規那么進行平安審計的軟件或硬件系統。202入侵檢測的開展歷史

1980年，JamesAnderson最早提出入侵檢測概念1987年，D．E．Denning首次給出了一個入侵檢測的抽象模型，并將入侵檢測作為一種新的平安防御措施提出。1988年，Morris蠕蟲事件直接刺激了IDS的研究1988年，創立了基于主機的系統,有IDES，Haystack等1989年，提出基于網絡的IDS系統,有NSM，NADIR，DIDS等203入侵檢測的開展歷史〔續〕204為什么需要IDS？205入侵檢測的任務-1206入侵檢測的任務-2通過事先發現風險來阻止入侵事件的發生，提前發現試圖攻擊或濫用網絡系統的人員。檢測其它平安工具沒有發現的網絡工具事件。提供有效的審計信息，詳細記錄黑客的入侵過程，從而幫助管理員發現網絡的脆弱性。207入侵檢測的任務-3網絡中可被入侵者利用的資源在一些大型的網絡中，管理員沒有時間跟蹤系統漏洞并且安裝相應的系統補丁程序。用戶和管理員在配置和使用系統中的失誤。對于一些存在平安漏洞的效勞、協議和軟件，用戶有時候不得不使用。208IDS(IntrusionDetectionSystems)入侵檢測系統Promiscuous混雜模式Signatures特征Alerts警告Anomaly異常Console控制臺Sensor傳感器209入侵檢測系統分類Host-BasedIDS(HIDS)Network-BasedIDSStack-BasedIDS210Host-BasedIDS(HIDS)基于主機的入侵檢測系統系統安裝在主機上面，對本主機進行平安檢測211HIDS優缺點HIDS優點性能價格比高細膩性，審計內容全面視野集中適用于加密及交換環境HIDS缺點額外產生的平安問題HIDS依賴性強如果主機數目多，代價過大不能監控網絡上的情況212Network-BasedIDS(NIDS)基于網絡的入侵檢測系統系統安裝在比較重要的網段內213NIDS優缺點NIDS優點檢測范圍廣無需改變主機配置和性能獨立性和操作系統無關性安裝方便NIDS缺點不能檢測不同網段的網絡包很難檢測復雜的需要大量計算的攻擊協同工作能力弱難以處理加密的會話214215入侵檢測系統構件216事件產生器(Eventgenerators)事件產生器的目的是從整個計算環境中獲得事件，并向系統的其他局部提供此事件。217事件分析器(Eventanalyzers)事件分析器分析得到的數據，并產生分析結果。218事件分析器(Eventanalyzers)事件分析器分析得到的數據，并產生分析結果。219響應單元(Responseunits)響應單元那么是對分析結果作出作出反響的功能單元，它可以作出切斷連接、改變文件屬性等強烈反響,甚至發動對攻擊者的還擊，也可以只是簡單的報警。220事件數據庫(Eventdatabases)事件數據庫是存放各種中間和最終數據的地方的統稱，它可以是復雜的數據庫，也可以是簡單的文本文件。221

入侵檢測系統部署方式222SwitchIDSSensorMonitoredServersConsole通過端口鏡像實現〔SPAN/PortMonitor〕檢測器部署位置223檢測器部署示意圖224Internet部署一部署二部署三部署四225226檢測器放在主要的網絡中樞監控大量的網絡數據，可提高檢測黑客攻擊的可能性可通過授權用戶的權利周界來發現為授權用戶的行為227檢測器放在平安級別高的子網對非常重要的系統和資源的入侵檢測228檢測方法按照分析方法異常檢測模型〔AnomalyDetection):首先總結正常操作應該具有的特征〔用戶輪廓〕，當用戶活動與正常行為有重大偏離時即被認為是入侵誤用檢測模型〔MisuseDetection)：收集非正常操作的行為特征，建立相關的特征庫，當監測的用戶或系統行為與庫中的記錄相匹配時，系統就認為這種行為是入侵229入侵檢測系統框架結構

230事件分析器事件發生器響應單元事件數據庫事件更新規則提取規則歷史活動狀態更新處理意見規則設計與修改基于主機的檢測威脅特權濫用關鍵數據的訪問及修改平安配置的變化231232InternetNIDS基于網絡入侵檢測系統工作原理網絡效勞器1數據包=包頭信息+有效數據局部客戶端網絡效勞器2X檢測內容：包頭信息+有效數據局部基于網絡的檢測威脅非授權訪問數據/資源的竊取拒絕效勞233基于網絡的入侵檢測的好處威懾外部人員檢測自動響應及報告234兩類IDS監測軟件網絡IDS偵測速度快隱蔽性好視野更寬較少的監測器占資源少主機IDS視野集中易于用戶自定義保護更加周密對網絡流量不敏感

235基于主機入侵檢測系統的部署在基于網絡的入侵檢測系統部署并配置完成后，基于主機的入侵檢測系統的部署可以給系統提高高級別的保護。基于主機的入侵檢測系統主要安裝在關鍵主機上，這樣可以減少規劃部署的花費，使管理的精力集中在最重要最需要保護的主機上。236237238入侵檢測系統優點239入侵檢測系統的局限性入侵檢測系統無法彌補平安防御系統中的平安缺陷和漏洞。對于高負載的網絡或主機，很難實現對網絡入侵的實時檢測、報警和迅速的進行攻擊響應。基于知識的入侵檢測系統很難檢測到未知的攻擊行為，也就是說，檢測具有一定的后滯性，而對于的報警，一些沒有明顯特征的攻擊行為也很難檢測到，或需要付出提高誤警報率的代價才能夠正確檢測。240計算機病毒防治241計算機病毒的特征自我復制能力感染性潛伏性觸發性破壞性242243引起網絡病毒感染的主要原因在于網絡用戶自身。

病毒攻擊的操作系統MicrosoftDOSMicrosoftWindows95/98/MEMicrosoftWindowsNT/2000/XPUnix(Linux)其他操作系統244計算機病毒的分類

按寄生方式分為引導型、病毒文件型病毒和復合型病毒引導型病毒是指寄生在磁盤引導區或主引導區的計算機病毒。此種病毒利用系統引導時,不對主引導區的內容