网络安全笔记：网络安全处理

该部分为本科期间网络安全课程的学习笔记备份。

概述

网络安全处理过程是一个周而复始的连续过程，它包含5个关键的阶段：

评估->策略制定->实施->安全培训->审计

每一阶段的工作对组织的安全都是有价值的，然而只有将这些阶段的工作协调一致才能有效地管理网络安全的事故风险。

评估

评估网络

作用：

1. 确定一个组织的信息资产的价值，识别与这些信息资产有关的威胁及漏洞大小，确定总的风险对该组织的重要性。
2. 评估是十分重要的，如果对一个组织的信息资产当前的风险状态不清楚，就不可能有效地实施合适的安全程序，以保护这些资产。

评估是通过风险管理计划来完成的。一旦识别和量化了风险，就可以选择有效的、代价小的预防措施以降低这些风险。

评估目的

• 确定信息资产的价值;
• 确定对这些信息资产的机密性、完整性、可用性和可审性的威胁;
• 确定该组织当前实际存在的漏洞;
• 识别与该组织信息资产有关的风险;
• 提出改变现状的建议，使风险减少到可接受的水平;
• 提供一个构造合适的安全计划的基础。

评估类型

1. 系统级漏洞评估：检验计算机系统的已知漏洞及基本策略。
2. 网络级风险：评估评估该组织的全部计算机网络及信息基础设施的风险范围。
3. 组织的风险评估：分析整个组织，以识别对其信息资产的直接威胁。识别整个组织处理信息的漏洞对包括电子的和物理的所有形式的信息进行检验。
4. 审计：检验特定的策略以及该组织执行的情况。
5. 入侵测试检验：该组织对一个模拟的入侵反应的能力。这类评估只对具有成熟安全程序的组织进行。

评估方法

三个基本源：组织的员工调查、文本检查以及物理检验

1. 能提供现有安全系统以及组织实施方法的信息的员工，尤其是那些熟练的人员以及管理者是关键的调研对象。
2. 调研提纲(评估目的以及有助于保护该组织的信息资产的问题)应简单、易懂，并且前提是所提供的信息对被调研人没有直接的贡献。要审查现有的与安全有关的策略以及关键的配置文本，包括已完成的和正在草拟的文本。
3. 最后一部分搜集的信息来自于对该组织的各种设施的物理审查。

评估内容

组织的网络；组织的物理安全度量;组织的现有策略和过程;组织已有的预防措施;员工对安全的重视程度;员工的工作负载;员工的工作态度;员工对现有策略的过程的执行情况;组织的经营业务。

网络评估

通常网络提供了对信息和系统最便捷的访问方式。

实施网络评估的具体步骤:

1. 从网络配置图上检查每个连接点，包括服务器、桌面系统、Internet访问、拨号访问、对远程和其他组织的连接。
   • 从网络配置图以及和管理员的讨论中可获得如下信息:网络上的系统数和类型，操作系统及版本，网络拓扑(包括交换、路由、桥接等)，Internet访问点，Internet使用，防火墙的数目、类型和版本，拨号访问点，远程访问类型，广域网拓扑，远程场地的访问点，到其他组织的访问点，Web服务器，FTP服务器以及邮件网关的位置，网络使用的协议，以及网络的控制人员等。
2. 在确定网络结构之后，还要识别网络内的保护机制。
   • 包括在全部Internet访问点上的路由器访问控制表和防火墙规则，用于远程访问的身份鉴别机制，到其他组织访问点的保护机制，用于传送和存储信息的加密机制，用于保护手提计算机的加密机制，在服务器、台式机、邮件系统上的防病毒系统以及服务器安全配置等
3. 如果网络和系统管理员不能提供服务器的安全配置信息，就有必要详细检查这些服务器。
   • 包括口令要求、每个系统的审计配置、当前系统的补丁水平等。
4. 询问网络管理员关于使用的网络管理系统的类型、报警的类型、系统的监控者等信息。
   • 用这些信息来识别使用现有的系统，管理人员是否能发觉攻击。
5. 应对整个系统进行漏洞扫描。应从系统内部和外部两方面来做扫描。
   • 前者是内部网络的一个系统，后者是组织防火墙外部的Internet上的一个系统。扫描的结果可识别外部威胁和内部威胁能看到的漏洞。

物理安全评估

组织建筑物的物理安全是网络安全的一个关键组成。物理安全的检查应包括场地的物理访问控制以及场地的敏感区域的物理访问控制。

策略和过程评估

在评估阶段需要检查的文本包括安全策略、信息策略、灾难恢复策略、事故响应过程、后备策略与过程、员工手册或策略手册、招聘新员工的过程、系统配置指南、防火墙规则、路由器过滤、物理安全策略、软件开发方法、软件移交过程、网络配置图以及组织结构图等。在搜集这些文本基础上检查其相关性、适用性、完全性和正确性。

预防措施评估

预防的两个基本措施：后备系统和灾难恢复计划

员工和管理员评估

员工和管理员的安全意识，人员的技术熟练程度，员工的工作负担，人员的心态，人员执行情况

评估结果

• 对每个风险，应估算在经费、时间、资源、信誉等方面的代价，并提出管理风险的建议。
• 风险的表达可从大到小有序地列出。
• 必须对资源进行分配以及生成调度计划。
• 评估的最后一步是开发一个安全计划。

策略制定

完成评估后的下一步是制定安全策略和过程。安全策略和过程是确定该组织期望的安全状态以及在实施阶段如何工作。没有策略，就不可能设计实施有效的信息安全程序。

制定的策略与过程

信息策略，安全策略，用户策略，后备策略，账户管理过程，事故处理过程。

1. 选择开发策略的次序：如何选择开发策略的次序，取决于评估阶段对风险的识别
2. 策略的修改

实施

一个组织的策略实施包括技术工具、物理控制、安全人员聘用的选择和实施。在实施中可能需要改变系统配置，这不属于安全部门的控制范围，因此安全程序的实施必须有系统和网络管理员的介入。

检查每个实施和整个环境的关系，以决定如何和其他的控制相协调。例如，物理安全的改变可以降低加密的要求，反之亦然;防火墙的设置可以降低立即校正系统漏洞的要求。

安全报告系统

安全报告系统是一个机制，用于遵守安全部门的跟踪策略和过程，跟踪一个组织内的漏洞的总的状态。可以是人工系统，也可以是自动系统，大多数情况二者兼用。

特点：

1. 使用监控机制
2. 系统漏洞扫描
3. 遵守策略

各种安全机制的实施

1. 身份鉴别系统
2. Internet安全
3. 入侵检测系统
4. 加密

安全机制的实施还应包括物理安全实施机制和安全人员、管理人员的职责等。

加密机制实施注意问题

不论使用什么类型的加密机制，在实施前必须解决的两个主要问题是加密算法和密钥管理。由于加密会降低处理速度和信息流速度，因此对所有信息都进行加密是不合适的。在实施加密机制时，要注意以下问题:

1. 当实施加密时，算法的选择取决于加密的目的。
2. 选择众人熟知的或易于检验的算法也是重要的，这种算法很少有后门，不易破坏所保护的信息。
3. 实施加密机制时还必须包括某种类型的密钥管理。链路加密器实现点对点通信加密，建立的系统必须周期地更换密钥。公钥系统需要给大量用户分发证书，要实现这一点比较困难。
4. 当计划实施这种系统时，一定要包括测试密钥管理系统的时间。通常试验程序只包含有限的用户，但密钥管理系统必须处理整个系统。

安全培训

重要性：

没有员工的介入，一个组织不可能保护其敏感信息。安全意识培训是对员工提供必要的安全知识和信息的机制。

对系统管理员进行培训也是重要的。系统管理员必须掌握最新的黑客攻击技术，了解最新的安全威胁和漏洞补丁。

内容：

安全工作人员要和系统管理员保持紧密的工作关系。

对开发人员的培训不同于一般员工培训，培训课程应包括减少安全漏洞的编程技术以及在开发过程中安全部门的角色等。

没有一个组织的管理者的支持，安全程序就很难实施，因此对经理们的安全培训也是重要的。安全人员的安全知识必须不断更新，以能为组织提供相应的安全服务。

审计

审计是信息安全处理过程的最后一步。它包含三个不同的功能：

1. 策略遵从审计
2. 周期的和新的项目评估
3. 入侵测试

网络安全实施流程

网络安全实施是一项复杂的系统工程。

确定安全需求与安全策略

根据用户单位的性质、目标、任务以及存在的安全威胁确定安全需求与安全策略。

安全策略是针对安全需求而制定的网络系统安全策略。除了通用的安全策略外，各用户单位还要规定适合自己情况的完整的安全需求和安全策略。

一些重要的安全需求：

1. 支持多种信息安全策略
2. 使用开放系统
3. 支持不同安全保护级别
4. 使用公共通信系统

确定安全服务与安全机制

根据制定的安全策略与安全需求确定安全服务与安全机制。

参照国际标准化组织ISO-7498，可以确定以下主要的安全服务。

1. 身份鉴别: 用于确认所声明的身份的有效性;
2. 访问控制: 防止非授权使用资源或以非授权方式使用资源;
3. 数据保密: 数据存储和传输时加密，防止数据窃取、窃听;
4. 数据完整: 防止数据篡改;
5. 防止否认: 防止发送者否认曾经发送过数据或其内容，防止接收者对所收到数据或内容的否认。

为提供上述安全服务，要确立可信功能、安全标记、事件检测、安全审计跟踪和安全恢复等基本安全保护机制。

此外，还要体现加密机制、数字签名机制、访问控制机制、数据完整性机制、鉴别机制、通信业务填充机制、路由控制机制和公证机制等特定安全保护机制。

建立安全体系结构框架

确定了安全服务和安全机制后，根据网络信息系统组成和开放系统互连参考模型，建立安全体系结构框架。

网络信息系统安全体系结构框架将反映网络信息系统安全需求和体系结构的共性，其构成要素是安全特性、系统单元及开放系统互连参考模型结构层次。

安全技术、安全产品选择和安全系统实施

在安全体系结构框架下，遵循有关的信息技术和信息安全标准，折中考虑安全强度和安全代价，选择相应的安全保护等级的技术和产品，并进行安全系统实施。