1、等级化保护与风险评估介绍,网御神州科技（北京）有限公司 南方大区 李震手机：13856937143邮箱：L,目录,1.等级化保护介绍,3.安全加固介绍,2.风险评估介绍,目录,1.等级化保护介绍,3.安全加固介绍,2.风险评估介绍,什么是等级化保护？,信息网络安全管理工作要坚持从实际出发、保障重点的原则，区分不同情况，分级、分类、分阶段进行信息网络安全建设和管理。按照计算机信息系统安全保护等级划分准则规定的规定，我国实行五级信息安全等级保护。,等级保护的政策文件,2003年9月中办国办颁发关于加强信息安全保障工作的意见中办发200327号,2005年9月国信办文件 关于转发电子政务信息安全等级
2、保护实施指南的通知 国信办200425号,2006年1月四部委会签 关于印发信息安全等级保护管理办法的通知 公通字20067号,2005年 公安部标准基本要求定级指南实施指南测评准则,2004年11月四部委会签关于信息安全等级保护工作的实施意见公通字200466号,云南云南省人民政府第130号令,浙江浙江省人民政府令,北京北京政府第9号令,国家级政策文件,国家级技术标准,国家级政策文件,地方政策文件,等级保护基本需求,政策要求符合等级保护的要求系统定级系统符合基本要求中相应级别的指标符合测评准则中的要求实际需求适应客户实际情况适应业务特性与安全要求的差异性可工程化实施,基本安全要求中的各级指标
3、,某级系统,物理安全,技术要求,管理要求,基本要求,网络安全,主机安全,应用安全,数据安全,安全管理机构,安全管理制度,人员安全管理,系统建设管理,系统运维管理,面临的挑战,8,等级保护的生命周期,信息系统等级保护实施生命周期内的主要活动,规划设计阶段,10,信息系统安全等级,专控保护级,强制保护级,监督保护级,指导保护级,自主保护级,安全保护能力强度,信息系统等级,11,等级保护实施过程,等级保护标准的作用,实行信息安全等级保护制度，能够充分调动国家、法人和其他组织及公民的积极性，发挥各方面的作用，达到有效保护的目的，增强安全保护的整体性、针对性和实效性，使信息系统安全建设更加突出重点、统一
4、规范、科学合理，对促进我国信息安全的发展将起到重要.,等级保护标准的目的,为信息安全管理提供建议，供那些在其机构中负有安全责任的人使用。它旨在为一个机构提供用来制定安全标准、实施有效的安全管理时的通用要素，并得以使跨机构的交易得到互信。,等级化安全体系理念关键要素,分等级的保护对象分域的深度安全防护体系化的安全保障适度的保护强度,分等级的保护对象,依据信息系统的重要程度划分系统的安全等级,明确信息安全保护的重点。,分域的深度安全防护,依据业务需求和安全需求划分信息系统网络的安全域，对信息系统进行分层、分域的深度防护。,适度的保护强度,依据信息系统的安全等级，采取不同的安全保护措施，使信息系统达
5、到适度的安全保障。,目录,1.等级化保护介绍,3.安全加固介绍,2.风险评估介绍,风险评估简介风险评估流程项目过程案例介绍,目 录,面临的问题,困扰是什么？问题在哪里？问题的问题？（原因）那么多的问题？问题的解决？（单个、系统）,最终目标-信息安全体系,实现组织安全目标和使命,风险评估-差距分析,4,0003,0002,0001,000,没有任何事情比解决错误的问题和建立错误的系统更没有效率的了,风险的定义,人为或自然的威胁利用信息系统及其管理体系中存在的脆弱性导致安全事件及其对组织造成的影响。-信息安全评估指南risk:the potential that a given threat wi
6、ll exploit vulnerabilities of an asset or group of assets and thereby cause harm to the organization.-ISO13335 Part 1:Concepts and models for IT Security,资产（Asset）,资产是企业、机构直接赋予了价值因而需要保护的东西。资产是企业、机构直接赋予了价值因而需要保护的东西。信息资产是指组织的信息系统、其提供的服务以及处理的数据。资产的根本属性是：价值（C、I、A值）,脆弱性（Vulnerability）,脆弱性是资产本身存在的，它可以被威胁利
7、用、引起资产或商业目标的损害。脆弱性包括物理环境、组织、过程、人员、管理、配置、硬件、软件和信息等各种资产的脆弱性。脆弱性的根本属性是：严重程度（脆弱性被利用后对资产的损害程度、脆弱性被利用的难易程度、脆弱性的流行程度）,威胁（Threat）,威胁是对组织的资产引起不期望事件而造成的损害的潜在可能性。宏观来说，威胁可以分为人为威胁（故意、非故意）和环境威胁2种。威胁的根本属性是：出现的频率,风险（Risk）,风险是一种潜在可能性，是指某个威胁利用脆弱性引起某项资产或一组资产的损害，从而直接地或间接地引起企业或机构的损害。,风险计算,风险值=资产价值威胁值弱点严重程度,风险评估国际标准,ISO1
8、3335 1-5ISO17799NIST SP 800-26 IT系统安全自评估指南,我国风险评估相关背景,2006年7月19日全国信息安全标准化委员会主任办公会上讨论通过了信息安全技术 信息安全风险评估规范(报批稿),目前已进入报批程序。,2003年8月26日中办国办颁发关于加强信息安全保障工作的意见中办发200327号,2004年信息安全风险评估指南 信息安全风险管理指南,2005年由国务院信息办组织八个部门开展风险评估试点工作,2003年8月-12月国家信息中心组建成立“信息安全风险评估课题组”对四个地区(北京、广州、深圳和上海)，十几个行业的50多家单位进行了深入细致的调查与研究,20
9、06年1月国信办印发关于开展信息安全风险评估工作的意见国信办综20069号,调查研究阶段,标准草案编制阶段,全国试点工作阶段,2007年从2007年起还将对“8+2”系统开始实行制度化风险评估工作。,标准报批阶段,正式推广阶段,目 录,问题风险评估流程项目过程案例介绍,风险评估的流程,评估准备资产识别威胁分析脆弱性分析已有安全措施风险计算风险控制措施建议,风险评估-评估准备,资产识别与赋值准则脆弱性识别与赋值准则威胁识别与赋值准则已有措施识别和有效性判断准则风险计算准则,风险评估-资产识别,我们都有哪些信息资产？（清单）他们都在什么地方？（物理逻辑位置）都是谁在管理？（责任人）他们整体状况如何
10、？（关联性）,风险评估-脆弱性评估,技术脆弱性网络扫描手工检查管理脆弱性顾问访谈记录审查,风险评估-威胁评估,风险评估-威胁评估方法,IDS记录分析行业统计报告顾问访谈,目 录,问题风险评估流程项目过程案例介绍,项目实施,威胁和风险评估,风险评估报告,30 Days,10 Days,前期准备阶段,技术脆弱性评估,资产调查,第一阶段,第二阶段,第三阶段,第四阶段,20 Days,管理脆弱性评估,30 Days,项目提交成果,提交的交付成果：中间文档+最终交付件,中间文档：安全评估访谈记录安全评估扫描记录安全评估人工评估记录渗透测试过程记录安全评估CHECKLIST安全评估申请单和方案渗透测试申请
11、单和方案培训电子版教材项目启动会会议纪要项目周例会会议纪要项目研讨会会议纪要项目阶段会会议纪要项目总结会会议纪要项目周报质量控制文档：服务成果评审记录单服务过程评审记录单,最终交付件：信息资产估价报告主机扫描报告主机人工评估记录单和报告网络设备和架构评估报告业务系统评估报告渗透测试报告威胁评估报告风险综合评估报告风险控制建议,目 录,问题风险评估流程项目过程案例介绍,项目成果,输出共174个报告和过程文档,项目成果-资产评估阶段,交易系统,交易网络,监察系统,开发测试系统,行情系统,中心数据库,网上业务平台,外部网站,安全基础架构,办公系统,办公网络,业务管理系统,根据业务功能不同，将XX的信
12、息系统分为12个：,交易系统,交易主机1,交易主机2,本地备份交易主机,远程备份交易主机,交易主机管理终端,应用服务,网络基础架构,操作系统,数据库系统,12个系统分类依据|业务,业务系统细分：构成主机,主机进一步细分为具体进行评估实施的对象,项目成果-系统运行图,梳理系统间的访问，明确系统间的访问关系，特制定系统运行图每幅图重点体现系统边界、访问端口和服务器IP信息为了后期网络隔离打下基础系统运行图主要体现网络、协议、应用各层面的关系，描述XXX内部各系统的关系,系统运行图,项目成果-渗透测试,测试场景：XXX外网接入渗透测试XXX内网接入渗透测试XXX外部业务单位接入渗透测试XXX接入渗透
13、测试XXX接入渗透测试,验证信息安全防御能力-“木桶原理”,项目成果-安全建议,根据测试结果提出的安全建议网络层：实施两网隔离针对不同VLAN实施更严格的访问控制系统层：修改系统默认配置实施防病毒和木马措施应用层：源代码安全审计制定程序开发的安全规范增强程序编码的安全性,目录,1.等级化保护介绍,3.安全加固介绍,2.风险评估介绍,安全加固的原因,漏洞风险Windows默认部署应用程序开发存在的问题业务流程安全风险,问题的解决,网络OSDB中间件应用程序业务流程降低信息系统本身的安全漏洞是安全问题最有效的根本解决办法,安全加固,安全加固目的,减少系统本身的脆弱性增强系统抗攻击能力优化系统性能提高系统恢复能力加强系统审计追踪能力,安全加固的手段,加固技术最小化安装、定制安装补丁、启用自身安全机制；操作系统加固补丁管理、帐户管理、文件安全、访问控制、日志审计；数据库加固补丁管理、帐户管理、访问控制、日志审计、传输加密；应用程序加固最小化权限运行、最小帐户权限连接数据库、安全编程；,网络安全加固目的,保障网络系统高效、优质运行，满足业务系统的需求防止网络系统遭受外部和内部的攻击和滥用，避免和降低由于网络系统的问题对业务系统造成损害的风险屏蔽系统和应用的安全弱点协助系统和应用进行访问控制和安全审计,谢谢大家！,
