网络安全理论与技术(第七讲)

《网络安全理论与技术(第七讲)》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、网络安全理论与技术张卫东西安电子科技大学通信工程学院信息工程系E-mail:xd_zwd@yahoo.com.cn1第五章网络安全处理5.1评估5.2策略制定5.3实施545.4安全培训5.5审计5.6网络安全实施流程2网络安全处理过程网络安全处理过程是一个周而复始的连续过程，它包含5个关键的阶段，如下图所示。每一阶段的工作对组织的安全都是有价值的，然而只有将这些阶段的工作协调一致才能有效地管理网络安全的事故风险。网络安全处理过程3第五章网络安全处理515.1评估5.2策略制定5.3实施545.4安全培训5.5审计5.6网络安全实施流程4“居安思危，思则有备，有备无患，敢以此规。”---

2、《左传》安全风险评估同样蕴涵了这一思想。55.1评估网络评估的作用是：确定一个组织的信息资产的价值，识别与这些信息资产有关的威胁及漏洞大小，确定总的风险对该组织的重要性。评估是十分重要的，如果对一个组织的信息资产当前的风险状态不清楚，就不可能有效地实施合适的安全程序，以保护这些资产。评估是通过风险管理计划来完成的。一旦识别和量化了风险，就可以选择有效的、代价小的预防措施以降低这些风险。61.评估目的归纳起来，网络信息安全评估有以下一些目的：¾确定信息资产的价值；¾确定对这些信息资产的机密性、完整性、可用性和可审性的威胁；¾确定该组织当前实际存在的漏洞；¾识别与该组织信息资产有关的风险；¾

3、提出改变现状的建议，使风险减少到可接受的水平；¾提供一个构造合适的安全计划的基础。72.评估类型通常有5个通用的评估类型：系统级漏洞评估检验计算机系统的已知漏洞及基本策略。网络级风险评估评估该组织的全部计算机网络及信息基础设施的风险范围。组织的风险评估分析整个组织，以识别对其信息资产的直接威胁。识别整个组织处理信息的漏洞对包括电子的和物理的所有形式的信息进行检验。审计检验特定的策略以及该组织执行的情况。入侵测试检验该组织对一个模拟的入侵反应的能力。这类评估只对具有成熟安全程序的组织进行。83.评估方法在评估时，需要从3个基本源搜集信息，即对组织的员工调查、文本检查以及物理检验。∑能提供现

4、有安全系统以及组织实施方法的信息的员工，尤其是那些熟练的人员以及管理者是关键的调研对象。∑调研提纲（评估目的以及有助于保护该组织的信息资产的问题）应简单、易懂，并且前提是所提供的信息对被调研人没有直接的贡献。要审查现有的与安全有关的策略以及关键的配置文本，包括已完成的和正在草拟的文本。∑最后一部分搜集的信息来自于对该组织的各种设施的物理审查。94.评估内容归纳起来，对该组织的评估包括以下内容：组织的网络；组织的物理安全度量；组织的现有策略和过程；组织已有的预防措施；员工对安全的重视程度；员工的工作负载；员工的工作态度；员工对现有策略的过程的执行情况；组织的经营业务。105.1.1网络评估

5、通常网络提供了对信息和系统最便捷的访问方式。实施网络评估的具体步骤如下：①从网络配置图上检查每个连接点，包括服务器、桌面系统、Internet访问、拨号访问、对远程和其他组织的连接。从网络配置图以及和管理员的讨论中可获得如下信息：网络上的系统数和类型，操作系统及版本，网络拓扑（包括交换、路由、桥接等），Internet访问点，Internet使用，防火墙的数目、类型和版本，拨号访问点，远程访问类型，广域网拓扑，远程场地的访问点，到其他组织的访问点，Web服务器，FTP服务器以及邮件网关的位置，网络使用的协议，以及网络的控制人员等。11②在确定网络结构之后，还要识别网络内的保护机制，包括在

6、全部Internet访问点上的路由器访问控制表和防火墙规则，用于远程访问的身份鉴别机制，到其他组织访问点的保护机制，用于传送和存储信息的加密机制，用于保护手提计算机的加密机制，在服务器、台式机、邮件系统上的防病毒系统以及服务器安全配置等。③如果网络和系统管理员不能提供服务器的安全配置信息，就有必要详细检查这些服务器，包括口令要求、每个系统的审计配置、当前系统的补丁水平等。12④询问网络管理员关于使用的网络管理系统的类型、报警的类型、系统的监控者等信息。用这些信息来识别使用现有的系统，管理人员是否能发觉攻击。⑤最后，应对整个系统进行漏洞扫描。应从系统内部和外部两方面来做扫描。前者是内部网络

7、的一个系统，后者是组织防火墙外部的Internet上的一个系统。扫描的结果可识别外部威胁和内部威胁能看到的漏洞。135.1.2物理安全评估¢组织建筑物的物理安全是网络安全的一个关键组成。物理安全的检查应包括场地的物理访问控制以及场地的敏感区域的物理访问控制。145.1.3策略和过程评估¢在评估阶段需要检查的文本包括安全策略、信息策略、灾难恢复策略、事故响应过程、后备策略与过程、员工手册或策略手册、招聘新员工的过程、系统配置指南、防火