安全审核评估和风险分析第13部分安全审计绪论、审计过程.ppt
《安全审核评估和风险分析第13部分安全审计绪论、审计过程.ppt》由会员分享,可在线阅读,更多相关《安全审核评估和风险分析第13部分安全审计绪论、审计过程.ppt(66页珍藏版)》请在三一文库上搜索。
1、安全审核与风险分析,第一单元 安全审核入门,学习目标,明确安全审核人员的主要职责 了解风险评估 掌握风险评估的各个阶段 了解差距分析 掌握资源等级的划分 掌握如何计划实施安全审核 了解获得管理者支持的重要性 掌握获得客户反馈的方法,审核人员的工作,制定安全策略-任何一个管理规范的网络都需要制定一系列的安全策略 。 风险评估 明确审核企业性质 阅读书面安全策略 评价已经存在的管理和控制体系 实施风险分析 提交审核报告 ,审核人员的职责和前瞻性,从安全管理者的角度考虑 需要从防火墙内部进行监测,关注内部网络服务器和主机是否有异常情况。,安全管理者还要从防火墙外部进行渗透以查看防火墙的规则配置是否有
2、漏洞,判断黑客是否能穿透防火墙进而控制网络主机。,审核人员的职责和前瞻性,从安全顾问的角度考虑 从黑客的角度和不知情的审核者的角度对网络进行测试 从一个内部知情人的角度来评估网络安全 合并两方面测试中得到的信息,作综合评价后进行更深层次的审核 内部威胁分析 攻击者并不一定都是黑客和外部人员。 若将存放重要资料的服务器暴露在内部网络的公共区,内部使用者就可能直接对其进行攻击。 使用多层防火墙机制可以很好地解决这个问题。 在内部网络中,另外建立一个防火墙,分割一般使用者和重要资料服务器的网段。严格限制其出入的传输,强化资料存取的安全性。,审核人员的职责和前瞻性,风险评估,风险评估是指定位网络资源和
3、明确攻击发生的可能性。 风险评估是一种“差距分析”,可以显示出安全策略和实际发生攻击之间的差距。 信息安全风险评估是指依据有关信息安全技术与管理标准,对信息系统及由其处理、传输和存储的信息的机密性、完整性和可用性等安全属性进行评价的过程。,风险评估的准备 风险评估的准备过程是组织机构进行风险评估的基础,是整个风险评估过程有效性的保证。 确定风险评估的目标。 ,风险评估,风险评估的依据 1、政策法规:中办发200327号文件和国信办文件 2、国际标准:如BS7799-1 信息安全管理实施细则 BS7799-2 信息安全管理体系规范等 3、国家标准或正在审批的讨论稿,如GB 17859-1999
4、计算机信息系统安全保护等级划分准则和信息安全风险评估指南等 4、行业通用标准等其它标准,风险评估,风险评估的原则 可控性原则 完整性原则 最小影响原则 保密原则,风险评估,风险结果的判定 风险等级的划分 控制措施的选择 残余风险的评价,风险评估,1.仔细检查书面安全策略 “road map”或“framework” 2.对资源进行分析、分类和排序 -找出网络中最重要的资源,风险评估的步骤,风险评估的步骤,3.通常遭受攻击的资源,风险评估的步骤,下表列出了一些通常遭受攻击的网络资源 :,风险评估的步骤,每个部门都有自己的数据库,但人力资源、财务和研发部门的 数据通常比其它部门的更重要一些。,风险
5、评估的步骤,4.考虑商业需求 为企业需求制定安全策略,应当考虑一些特殊的部门和个体。目标是提高各部门的工作效率并使他们的数据更安全。,风险评估的步骤,5.评估已有的边界和内部安全 边界安全指网络间区分彼此的能力,防火墙是定义安全边界的第一道屏障。 内部安全是指网络管理员监测和打击未授权的网络活动的能力。 通过对现有安全机制的评估确认网络可以从外部攻击中尽快恢复。,风险评估的步骤,6.使用已有的管理和控制结构 在审核过程中,可以使用网络中已有的管理和控制结构。 基于网络的管理结构 基于主机的管理结构 两种管理结构各有优劣,可以根据不同的管理任务进行选择。,简单查询体系结构,用户代理体系结构,风险
6、评估阶段,黑客在入侵攻击网络系统的过程中不外乎三个步骤:扫描侦查、渗透和控制网络系统。 安全审核人员进行审核时也有三个阶段:侦查阶段、渗透阶段、控制阶段。 安全审核人员不同于黑客。,风险评估阶段,侦查阶段-扫描和测试系统的有效安全性。 对网络进行侦查意味着要定位出网络资源的使用的具体情况,包括IP地址、开放端口、网络拓扑等。 实施分析要求对系统逐个检测。 侦查阶段的分析工作通常需要大量的时间。,风险评估阶段,渗透阶段-渗透测试 渗透测试是指在获取用户授权后,通过真实模拟黑客使用的工具、分析方法来进行实际的漏洞发现和利用的安全测试方法。 在渗透测试中,将检查各种系统的漏洞,并试图使下列元素无效:
7、 加密 密码 访问列表,风险评估阶段,控制阶段-控制演示 控制-表明一个黑客可以控制网络资源、创建帐号、修改日志、行使管理员的权限。 审核人员从不试图控制网络主机,只是通过演示其可以控制网络主机来证明现有网络存在的问题。 在提交报告时,必须提出如何防止黑客获得网络和主机的控制权的建议。,差距分析,风险评估中常用的方法有三种: 计算系统综合风险 差距分析法 量化风险,差距分析法模型,差距分析,差距分析,差距分析法在运用中通常包括五个步骤 1.调研目标系统状况 2.确定信息系统安全要求 3.评估信息系统安全现状 4.对信息安全风险进行差距分析和风险计算 5.用户根据安全风险评估的结果进行风险控制,
8、形成满足其信息 系统安全要求的信息系统安全保障能力,划分资产风险等级,对各个资产进行风险等级的划分,划分的标准如下表 : 可以采用按照风险数值排序的方法,也可以采用区间划分的方法将风险划分为不同的优先等级,包括将可接受风险与不可接受风险的划分 。,安全审核需注意的事项,安全审核的要素 安全审核涉及四个基本要素: 1控制目标 2安全漏洞 3控制措施 4. 控制测试,安全标准,安全标准 1ISO 7498-2 2英国标准7799(BS 7799) 3Common Criteria(CC),获得最高管理者支持,任何一个组织,推行任何一套安全管理体系,首先都必须获得最高管理者的支持。 在安全审核初期,
9、最高管理者的支持可以表现在以下方面: 第一,在财务方面提供必要的投资。 第二,配备必要充足的人力资源、分配一定的工作时间于工作的推动上。,获取客户信息的反馈,来自客户的反馈信息是衡量业绩的重要指标之一,可以被用来评价网络安全管理体系的总体有效性。 对一个机构进行一次安全审核后要及时地与被审核机构进行及时的沟通,以了解安全审核的效果。 获得客户反馈的信息,了解到工作中存在哪些不足,针对不同企业或机构采取不同的审核方式。,第二单元 审 核 过 程,学习目标,掌握有效检查书面安全策略的方法 了解资源的划分 明确业务焦点 明确如何使用现有的管理控制结构 掌握基于网络和基于主机的脆弱性发现和分析工具的配
10、置 掌握如何实施网络级和主机级的安全扫描 了解路由器和防火墙的安全配置 确定电话服务系统/集成系统的安全等级 熟悉安全审核的步骤,检查书面安全策略,通过对各种策略文档进行阅读和分析,获得整个策略文档体系的概貌,并评价策略文档体系能否满足安全工作的要求。 查看是否有“风险分析”项目。 查看IT任务陈述。 查看是否有如何实施安全策略以及如何处理破坏行为或不正当行为的说明。 查看是否有全面的“备份和恢复”或“业务连续性”计划。,检查书面安全策略,为什么要有安全策略 安全策略的主要目标就是为获取、管理和审查计算机资源提供一个准绳。 一个强大的安全策略是合理且成功地应用安全工具的先决条件。没有明确的规则
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 安全 审核 评估 风险 分析 13 部分 审计 绪论 过程
链接地址:https://www.31doc.com/p-2814985.html