企业安全设计案例分析.ppt
《企业安全设计案例分析.ppt》由会员分享,可在线阅读,更多相关《企业安全设计案例分析.ppt(65页珍藏版)》请在三一文库上搜索。
1、1,企业网络安全设计:案例分析,2,内容,案例介绍 安全评估 安全方案设计,3,伟达投资,伟达(中国)投资有限公司是一家全球500强的跨国能源集团在华的独资企业,从事太阳能,电力,石油,化工,相关销售等项目等的公司。 伟达(中国)投资有限公司总部设在上海外滩,上海总部有200名员工,并在北京拥有1家分公司,员工约100人。,4,伟达投资的组织结构,上海总部 (200人) 行政部 人力资源部 管理部 公共关系部 固定资产部 采购部 IT总部 市场部 销售部,北京分公司(100人) 行政部 财务部 人力资源部 管理部 销售市场部 IT管理部 太阳能部 质量控制部 法律事务部,5,伟达投资的发展,伟
2、达(中国)公司从1985年成立,经历了一个飞速的发展过程,特别是90年代起收购了多家国内知名的的公司,而且在中国一直与政府及大型能源企业都有全面的合作。公司营业额在5年间增长了10倍,目前在国内的主要大城市都有分公司和代表处,基于上述的业务增长,员工人数也增加了8倍。 但是公司的急速扩张造成了公司IT管理部门的巨大工作压力,公司原有的IT管理构架早已不堪重负。于是在2001年初,公司对伟达(中国)的整个网络系统进行了一次重大升级, 包括增加网络带宽,更换核心设备, 并将整个系统从Windows NT4平台全部迁移到了Windows2000平台并采用了活动目录服务, 以提高整个网络系统的可用性和
3、可管理性。,6,伟达的网络拓扑结构,7,风险,但是,由于太多的日常维护工作而忽略了系统策略及安全政策的制订及执行不力,管理员的日常维护工作又没有标准可循,系统及数据备份也是根本没有考虑到灾难恢复,经常会有一些系统安全问题暴露出来。,8,危机!,该公司网站使用Windows 2000上的IIS作为对外的WEB服务器,该网站WEB服务器负责公司的信息提供和电子商务。在外网上部署了硬件防火墙,只允许到服务器TCP 80端口的访问。 但是在12月21日上午,一个客户发邮件通知公司网站管理员李勇,说该公司网站的首页被人修改,同时被发布到国内的某黑客论坛,介绍入侵的时间和内容。 李勇立刻查看网站服务器,除
4、了网站首页被更改,而且发现任务列表中存在未知可疑进程,并且不能杀死。同时发现网站数据库服务器有人正在拷贝数据! 李勇及时断开数据服务器,利用备份程序及时恢复网站服务器内容,但是没有过了半小时,又出现类似情况,李勇紧急通知IT管理人员王勇,告知该情况,于是王勇联系总部指定的安全服务提供商维康安全有限公司,9,问题!,经过初步安全检查,发现以下问题: 邮件服务器没有防病毒扫描模块; 客户端有W32/MydoomMM邮件病毒问题 路由器密码缺省没有修改过,非常容易被人攻击; 网站服务器系统没有安装最新微软补丁 没有移除不需要的功能组件; 用户访问没有设置复杂密码验证,利用字典攻击,非常容易猜出用户名
5、和密码,同时分厂员工对于网站访问只使用了简单密码验证,容易被人嗅听到密码。 数据库系统SQL 2000 SA用户缺省没有设置密码; 数据库系统SQL 2000 没有安装任何补丁程序,10,亡羊补牢,王勇看到方明的报告非常吃惊,急忙上告公司CIO余鸣,介绍公司网络安全状况,同时提及如果不及时解决公司安全问题,可能会造成非常大的经济和声誉上的影响。 12月22日上午,伟达公司立即召开紧急会议商讨此事, 希望籍此吸取教训,彻底整改,在进行安全风险评估的基础上,全面提高企业网络安全性。,11,用户的目标,“我们做了尽可能多的工作,努力提我们的响应速度,缩短解决问题的时间,但是很多情况下我们总是在问题出
6、现了之后才开始解决,在这种情况下我们很难及时解决问题,每次都会有一天到两天大部份系统不能使用,而且也无法对可能发生的问题做有效的估计”李杰,伟达(中国)的IT服务中心经理抱怨说。 “我们在很多方面的工作都很成功,但是就是由于这些网络上令人讨厌的病毒,造成了我们还是经常收到来自个方面的投诉,显然这不是我们想看到的。我们需要严密的系统和严格的策略来保证我们业务系统的稳定性和可用性”伟达(中国)首席信息官(CIO)余鸣先生如是说。 “我们需要一个可靠、稳定、安全,易于管理和维护的IT解决方案,以及基于此方案的优秀IT服务部门,用以支撑我们公司的运营,以及未来的发展。”公司总裁(CEO)张其军解释。,
7、12,风险评估,13,风险评估的一般过程,只有经过全面的风险评估过程,才能够有针对性地制定安全实施放案,选择合适的安全技术和产品。 在风险评估过程,需要: 收集一切和网络安全相关的信息; 使用安全评测工具进行脆弱点检查; 分析收集到的信息,定义威胁级别。 安全不是最终结果,而是一种过程或者一种状态。安全评估必须按照一定的周期不断进行,才能保证持续的安全。,14,需要搜集的基本信息,企业信息: 企业名称 业务范围 地理分布 员工数量 组织结构 管理模式 预期的增长或重组 网络: 物理拓扑结构 网络设备 逻辑网络划分(活动目录结构) 局域网结构 广域网结构 远程访问 互联网接入 网络协议类型 主要
8、网络流量 防火墙和入侵检测系统,主机: 服务器数量,名称,用途,分布 服务器操作系统及版本 用户身份验证方式 工作站数量,用途和分布 工作站操作系统及版本 操作系统补丁部署 防病毒部署 主机防火墙 计算机安全管理 安全管理: 企业安全策略和声明 物理安全管理 员工安全培训 安全响应机制 安全需求和满足程度,15,使用MBSA,16,评价风险,17,使用安全评测工具,安全评测工具通过内置的已知漏洞和风险库,对指定的系统进行全面的扫描 安全评测工具可以快速定位漏洞和风险 MBSA(Microsoft Baseline Security Analyzer,基准安全分析器)是微软提供的系统安全分析及解
9、决工具。 MBSA可以对本机或者网络上的Windows NT/2000/XP的系统进行安全性检测,还可以检测其它的一些微软产品,诸如SQL7.0/2000、5.01以上版本的Internet Explorer、IIS4.0/5.0/5.1和Office2000/XP,并给出相应的解决方法。,18,整理结果:服务器端,19,整理结果:工作站端,20,书写安全评估报告,安全评估报告应该包含的部分: 文档版本,完成时间,撰写和审核者; 安全评估说明:安全审核的目的,客户,安全顾问提供者; 审核目标:审核范围和审核对象; 审核过程:审核工作开始和结束时间,审核使用的工具和手段,参与者; 审核结果客户基
10、本信息; 审核结果客户网络拓扑结构; 审核结果客户服务器信息; 审核结果客户工作站信息; 审核结果按照严重级别排列的威胁; 安全现状综合评价 安全建议 术语,21,安全方案设计,22,定义企业安全策略,企业安全策略定义企业网络安全的目标和范围,即安全策略所要求保护的信息资产的组成和安全策略所适用的范围。 企业安全策略作为行为标准,定义信息系统中用户的行为和动作是否可以接受。每一条具体的策略都由政策、目的、范围、定义遵守和违背政策、违背策略的惩罚和结果等有关的部分组成。这些策略会被作为整个企业的政策分发到企业的所有组织,并且企业内所有员工被强制要求必须内遵守。,23,Internet访问策略,该
11、策略用来明确每位员工在Internet访问活动中应该担负的责任,并不对企业造成危害。 所有被允许能够进行Internet访问的员工必须在该文档上签名,然后才能给予访问权限。 组成部分: 1、定义什么是Internet访问行为 2、定义责任 3、定义用户可以做什么,不可以做什么 4、如果用户违反该策略,相关部门会采取的行动,24,安全管理,在制定安全策略的基础上,企业内部应该成立安全管理小组,包含相关人员,全面负责安全管理,主要职责包括: 安全策略制定和推广 进行定期的安全审核 安全事件响应 安全技术选择和产品选购 员工安全培训 取得行政和资金上的支持 内部和外部信息交流,25,安全风险分析,根
12、据安全评估阶段提供的安全问题列表,按照严重级别进行排序,然后进行分析,步骤包括: 分析安全问题面临的风险; 查找安全问题之间的关联性; 寻求解决方案。,26,服务器安全问题(1),27,服务器安全问题(2),28,服务器安全问题(3),29,工作站安全问题,30,安全设计,31,物理安全,物理安全是整体安全策略的基石。保护企业服务器所在地点的物理安全是首要任务。 保护范围包括在办公楼内的服务器机房或整个数据中心。还应该注意进入办公楼的入口。如果有人随便可以进入办公楼内,那么他们即使无法登录到网络,也会有许多机会发起攻击。攻击包括: 拒绝服务(例如,将一台膝上型电脑插入网络作为一个 DHCP 服
13、务器,或者切断服务器电源) 数据窃取(例如,偷窃膝上型电脑或嗅探内部网络的数据包) 运行恶意代码(例如在内部启动蠕虫程序,散播病毒) 窃取关键的安全信息(例如备份磁带、操作手册和网络图,员工通信录),32,防止信息泄露,攻击者总是要挖空心思找到有关企业网络环境的信息。信息本身有时非常有用,但有的时候,它也是获取进一步信息和资源的一种手段。 防范信息收集的关键是限制外界对您的资源进行未经授权的访问。确保这种防范效果的方法包括(但是不限于): 确保网络上只有那些已标识的特定设备能够建立远程访问连接。 在通过外部防火墙直接连接 Internet 的计算机上关闭TCP/IP 上的 NetBIOS,包括
14、端口 135、137、139 和 445。 对于Web服务器,在防火墙或者服务器上仅启用端口 80 和 443。 审查企业对外网站上的信息以确保: 该站点上使用的电子邮件地址不是管理员帐户。 没有透露网络技术 审查员工向新闻组和论坛张贴的内容,避免暴露企业内部信息,包括管理员在技术论坛上求助技术问题。 审查为一般公众提供的信息有没有您的 IP 地址和域名注册信息。 确保攻击者无法通过对DNS服务器执行区域传输。通过转储 DNS 中的所有记录,攻击者可以清楚地发现最易于攻击的计算机。 减少服务器暴露的技术细节,修改Web服务,SMTP服务的旗标。,33,规划网络安全,将企业网络划分和定义为以下几
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 企业 安全 设计 案例 分析
链接地址:https://www.31doc.com/p-2782781.html