信息安全应急响应与风险评估及加固

日程信息安全应急体系风险评估方法和实施流程安全加固方法和实施流程应急规划计划流程技术基础信息网络重要信息系统应急规划应急计划类型（1/2）：计划目的范围业务连续性计划提供在从严重破坏中恢复时保持必要的业务运行的流程涉及到业务过程，并由于其对业务过程的支持而涉及到IT业务恢复/再继续计划提供灾难发生后立即恢复业务运行的流程涉及到业务过程；并不关注IT；仅限据其对业务过程的支持而涉及到IT运行连续性计划提供在30天之内在备用站点保持机构必要的战略功能的能力涉及到被认为是最关键的机构使命子集；通常在总部级制定；不关注IT支持连续性计划提供恢复主应用或通用支撑系统的流程和能力同IT应急计划；涉及到IT系统破坏；不关注业务过程应急计划类型（2/2）：计划目的范围危机沟通计划提供将状态报告分发给员工和公众的流程涉及到和人员及公众的沟通,不关注IT计算机事件响应计划为检测、响应恶意计算机事件，并限制其后果提供战略关注于对影响系统和/或网络的事件的信息安全响应灾难恢复计划为帮助在备用站点实现能力恢复提供详细流程经常关注IT,限于会带来长时间破坏影响的主要破坏拥有者应急计划提供经过协调的流程，从而在应对物理威胁时,将生命损失和伤害降到最低，并保护财产免遭损害关注针对特定设施的特殊人员和财产；而不是基于业务过程或IT系统功能•数据、应用和操作系统的备份与异地存储•关键系统组建或能力的冗余•系统配置和要求文档•在系统组件间以及主备点间互操作，以加快系统恢复•适当规模的电源管理系统和环境控制•人员队伍保障常见的考虑事项包括日程信息安全应急体系风险评估方法和实施流程安全加固方法和实施流程什么是风险•风险就是不利事件发生的可能性。•风险管理是评估风险、采取步骤将风险消减到可接受的水平并且维持这一风险级别的过程。•人们会意识到针对其利益的各种威胁，并采取预防措施进行防范或将其影响减到最小。什么是风险•风险是一种不确定性。•风险三要素：–资产价值–威胁–脆弱性风险管理模型所有者威胁威胁机构风险弱点措施信息资产采用可能知道可能引入新消除导致降低希望最小化作用于有价值希望滥用或破坏提升作用于利用增加风险处理图示：风险评估安全风险管理模型安全风险管理模型弱点风险威胁信息资产网御神州风险评估措施网御神州安全加固风险评估要素及属性弱点/脆弱性威胁信息资产风险风险评估要素资产价值发生的可能性严重程度风险值的高低属性属性属性属性项目概述-参考标准•GB/T20984-2007信息安全技术信息安全风险评估规范•GB/T22019-2008信息安全技术信息系统安全等级保护基本要求•GB/T22020-2008信息安全技术信息系统安全等级保护定级指南•GB/T19716-2005信息技术信息安全管理实用规则•ISO/IEC27001:2005信息安全技术信息安全管理体系要求•ISO/IEC17799:2005信息安全技术信息安全管理实用规则•相关技术及管理最佳实践风险评估的定位13推进网络与信息安全体系指导DO:实施安全技术要求实施安全管理要求CHECK:安全风险评估ACTION:安全实施安全建设PLAN:安全方针、目标安全要求业务目标业务安全实施风险管理14建立核心安全体系识别风险和确定安全需求安全意识和知识培训实施适合的安全策略和控制措施监督并审查安全策略和措施的有效性风险评估关系模型15安全措施脆弱性威胁风险残余风险拥有暴露增加导出未控制可能诱发安全措施业务战略弱点安全需求威胁风险残余风险安全事件依赖增加导出未控制可能诱发资产资产价值成本利用演变残留被满足ISO13335安全风险评估模型16风险安全措施信息资产威胁弱点安全需求降低增加增加利用暴露价值拥有抗击增加引出被满足ISO15408安全风险评估模型17所有者攻击者对策弱点风险威胁资产对抗性、动态性风险评估参考标准18框架主要参照标准强度描述第一级第二级第三级安全策略框架安全组织框架安全运作框架ISO17799，ISO15408，SP800－53ITIL、COBIT满足安全管理需要的基本要求通过良好定义过程来提高安全管理能力对安全管理能力进行计划和跟踪安全技术框架物理安全GA/T390《等级保护通用技术要求》相当于该标准基本要求相当于该标准较高要求相当于该标准严格要求网络与通讯安全为保证网络对业务的支撑能力应采取的基本措施通过良好定义过程来提高网络的安全管理能力对网络安全管理能力进行计划和跟踪主机与平台安全GAT388等级保护操作系统技术要求相当于该标准中的系统审核保护级相当于该标准中安全标记保护级相当于该标准中的结构化保护级数据库系统安全TCSEC中的《可信数据库安全要求》相当于该标准C1相当于该标准中C2相当于该标准中B1应用系统、数据安全ISO15408(CC)在内部管理环境下的安全保障要求在复杂管理环境下的安全保障要求在强对抗环境下的安全保障要求整体框架IATF信息保障技术框架；GB18336框架主要参照标准强度描述第一级第二级第三级安全策略框架安全组织框架安全运作框架ISO17799，ISO15408，SP800－53ITIL、COBIT满足安全管理需要的基本要求通过良好定义过程来提高安全管理能力对安全管理能力进行计划和跟踪安全技术框架物理安全GA/T390《等级保护通用技术要求》相当于该标准基本要求相当于该标准较高要求相当于该标准严格要求网络与通讯安全为保证网络对业务的支撑能力应采取的基本措施通过良好定义过程来提高网络的安全管理能力对网络安全管理能力进行计划和跟踪主机与平台安全GAT388等级保护操作系统技术要求相当于该标准中的系统审核保护级相当于该标准中安全标记保护级相当于该标准中的结构化保护级数据库系统安全TCSEC中的《可信数据库安全要求》相当于该标准C1相当于该标准中C2相当于该标准中B1应用系统、数据安全ISO15408(CC)在内部管理环境下的安全保障要求在复杂管理环境下的安全保障要求在强对抗环境下的安全保障要求整体框架IATF信息保障技术框架；GB18336风险评估的主要内容19资产调查IT设备弱点评估安全威胁评估工具扫描弱点网络架构安全评估业务系统安全评估渗透测试主机弱点人工评估操作系统弱点评估数据库弱点评估网络配置弱点评估安全设备弱点评估业务分析安全管理评估风险分析风险评估实施流程20信息资产调查/业务分析弱点评估威胁评估现有安全措施评估风险评估安全需求风险评估-评估准备•资产识别与赋值准则•脆弱性识别与赋值准则•威胁识别与赋值准则•已有措施识别和有效性判断准则•风险计算准则风险评估的技术•调研•访谈•资料文档确认•配置记录审查•扫描评估•渗透测试风险评估-资产识别•资产识别•资产分类•资产赋值风险评估-资产识别•我们都有哪些信息资产？（清单）•他们都在什么地方？（物理逻辑位置）•都是谁在管理？（责任人）•他们整体状况如何？（关联性）风险评估-脆弱性评估•技术脆弱性–网络扫描–手工检查•管理脆弱性–顾问访谈–记录审查日程信息安全应急体系风险评估方法和实施流程安全加固方法和实施流程安全加固的主要内容27安装安全补丁安全配置安全机制文件系统用户管理网络及服务其它配置文件加密通信数字签名日志/备份访问控制安全设备策略定制资料文档现状记录及备份安全加固内容举例28加固对象操作系统加固项目说明UNIX系统及类UNIX系统SolarisHP-UXAIXlinuxFreeBSDOpenBSDSCO补丁从厂家网站或者可信任站点下载系统的补丁包，不同的操作系统版本以及运行不同的服务，都可能造成需要安装的补丁包不同，所以必须选择适合本机的补丁包安装。文件系统UNIX文件系统的权限配置项目繁多，要求也很严格，不适当的配置可能造成用户非法取得操作系统超级用户的控制权，从而完全控制操作系统。配置文件UNIX配置文件功能有点类似微软的注册表，UNIX对操作系统配置基本上都是通过各种配置文件来完成，不合理的配置文件可能造成用户非法取得操作系统超级用户的控制权，从而完全控制操作系统。例如：/etc/inittab文件是系统加载时首先自动执行的文件，/etc/hosts。equiv是限制主机信任关系的文件等。帐号管理帐号口令是从网络访问UNIX系统的基本认证方式，很多系统被入侵都是因为帐号管理不善，设置超级用户密码强度，密码的缺省配置策略(例如：密码长度，更换时间，帐号所在组，帐号锁定等多方面)。有些系统可以配置使用更强的加密算法。网络及服务UNIX有很多缺省打开的服务，这些服务都可能泄露本机信息，或存在未被发现的安全漏洞，关闭不必要的服务，能尽量降低被入侵的可能性。例如r系列服务和rpc的rstatd都出过不止一次远程安全漏洞。UNIX缺省的网络配置参数也不尽合理，例如TCP序列号随机强度，对D。o。S攻击的抵抗能力等，合理配置网络参数，能优化操作系统性能，提高安全性。NFS系统网络文件系统协议最早是SUN公司开发出来的，以实现文件系统共享。NFS使用RPC服务，其验证方式存在缺陷，NFS服务的缺省配置也很不安全，如果必须使用NFS系统，一定进行安全的配置。应用软件我们建议操作系统安装最小软件包，例如不安装开发包，不安装不必要的库，不安装编绎器等，但很多情况下必须安装一些软件包。APACHE或NETSCAPEENTERPRISESERVER是一般UNIX首选的WEB服务器，其配置本身就是一项独立的服务邮件和域名服务等都需要进行合理的配置。审计，日志做好系统的审计和日志工作，对于事后取证追查，帮助发现问题，都能提供很多必要信息。例如，打开帐号审计功能，记录所有用户执行过的命令。例如实现日志集中管理，避免被入侵主机日志被删除等。其它不同的UNIX系统有一些特别的安全配置，例如solaris有ASET，HP的高级别安全，FreeBSD的jail等。最后工作建议用户做系统完全备份，并对关键部份做数字签名。安全加固内容举例29微软操作系统NT4.0/W2K/WIN2003(workstation，server，professional，advancedserver)补丁微软操作系统对新发现的漏洞修补是使用ServicePack及hotfix，另外，还需要安装C2级安全配置。文件系统配置NTFS文件系统，NTFS可以支持更多更强大的的安全配置，设置需要特殊保护的目录和文件，设置不同目录和文件的权限，移动或删除特别的系统命令文件，增加入侵者操作的难度。帐号管理帐号口令是从网络访问NT/2K系统的基本认证方式，很多系统被入侵都是因为帐号管理不善，设置超级用户密码强度，密码的缺省配置策略(例如：密码长度，更换时间，帐号所在组，帐号可访问资源，帐号锁定等多方面)，GUEST帐号以及加强的密码管理(SYSKEY)等。网络及服务网络和服务是互联网上用户与此服务器接口的部分，网络协议的配置不当，服务进程设置不当，都可能为入侵系统打开方便之门。合理地配置网络及服务将能阻挡80%的普通入侵。注册表微软操作系统缺省的安装是为了能兼容各种运行环境，因此很多权限设置都很宽，这不符合最小权限的基本原则，我们需要根据不同的环境，备份注册表，再人为地更改注册表内容，配置最小权限的稳定运行的系统。例如：不允许远程注册表配置，设置LSA尽量减少远程用户可以获取的信息，设置注册表本身的访问控制，禁止空连接，对其它操作系统和POSIX的支持，对登录信息的缓存等。也有很多选项需要根据不同用户需求来制定，例如：当安全策略因为某些因素(磁盘满)而不能运作时，是否强制系统停止运行。共享共享是向网络上的用户开放对本机的资源访问权限，不合理的配置以及系统的缺省共享配置，都可能造成远程用户对系统的文件，打印机等资源的非法访问和操作。我们需要删除不必要的共享，合理配置共享的访问控制列表。应用软件安装最小的软件包，不安装不必要的应用软件。但是很多情况应用软件提供不可缺少的服务，这时我们就必须安全地配置它们。IE被微软绑定为操作系统的一部分，IE的安全直接影响到系统的安全。我们需要升级IE的版本，安装IE的补丁，设置IE的安全级别，及各项安全相关配置outlook，pow