CISP0402信息安全工程实践

信息安全工程实践培训机构名称讲师名字课程内容2信息安全工程监理安全工程实施实践知识域知识子域课程名称信息安全工程实践信息安全工程各方职责监理阶段目标ISSE安全工程过程信息系统定义与描述信息系统安全性验证与认可信息系统安全监控与保持信息系统安全需求提取安全措施设计与部署信息安全工程监理模型3知识域：安全工程实施实践知识子域：ISSE安全工程过程了解系统生命周期的概念和组成阶段：概念与需求定义、系统功能设计、系统开发与获取、系统实现与测试、系统维护与废弃理解ISSE的含义：将系统工程思想应用于信息安全领域，在系统生命周期的各阶段充分考虑和实施安全措施理解ISSE阶段划分及各阶段的主要工作内容知识子域：信息系统定义与描述理解信息安全必须与信息系统同步规划理解信息系统用途、架构等特征对安全风险特征的影响知识子域：信息系统安全需求提取理解风险评估结果是安全需求的重要决定因素理解国家政策法规和合同协议等符合性要求是安全需求的重要决定因素4知识域：安全工程实施实践知识子域：安全措施设计与部署理解信息安全必须与信息系统同步实施理解根据安全需求有针对性地设计和部署安全措施的必要性知识子域：信息系统安全性验证与认可理解信息安全措施必须与信息系统同步运行理解风险评估是重要系统验收和投入运行前的必要工作知识子域：信息系统安全监控与保持理解信息安全工作需要覆盖系统全生命周期理解持续的风险评估和风险消控是保障系统安全的必要工作ISSE安全工程过程5系统生命周期就是系统从产生构思到不再使用的整个生命历程概念与需求定义系统功能设计系统开发与获取系统实现与测试系统维护与废弃系统工程SE系统生命周期产生不再使用ISSE安全工程过程信息系统安全工程（InformationSystemSecurityEngineering—ISSE）信息系统定义与描述信息系统安全需求提取安全措施设计与部署信息系统安全性验证与认可信息系统安全监控与保持ISSESE概念与需求定义系统功能设计系统开发与获取系统实现与测试系统维护与废弃6信息系统安全工程ISSE信息系统定义与描述信息系统安全需求提取安全措施设计与部署信息系统安全性验证与认可信息系统安全监控与保持7信息系统定义与描述信息安全是信息化的重要组成部分，信息化是业务发展的重要组成部分，应根据业务目标和信息系统的目标来确定信息安全保障策略安全与业务发展是一个事物的两个方面，它们在一定的阶段和不同的范畴相互独立安全与业务发展的矛盾在人上产生，又在人上统一和化解我们要保障的是业务的安全，不是简单的IT安全信息系统定义与描述9纠正错误认识1.网上银行和校园网BBS都是信息系统，需要得到同样级别的保护2.业务是业务，信息化是信息化，“井水与河水”彼此不干，不相往来3.信息中心不是业务部门4.信息中心只需做到网络不断、主机不停、数据不丢5.信息安全出问题，完全是信息中心的工作失职信息系统定义与描述信息安全工程建设应与信息化工程建设同步规划、同步设计、同步实施、同步验收这是国家的政策要求（国信办【2006】5号文、发改高技【2008】2071号文）这是业界的最佳实践，是规避和解决层出不穷的信息安全问题的最有效方式10信息系统定义与描述信息化建设与信息安全建设脱节的问题，往往是由于对系统缺乏安全方面的认识和了解，没有清晰、完整定义和描述信息系统，因此信息系统的决策层和管理层应树立以下认识：决策层和管理层只有树立良好的安全意识和原则，才能真正实现“高枕无忧”11信息系统定义与描述121.“2071号文”明确提出了电子政务建设项目中的信息安全一票否决制2.“重应用，轻安全”，事前疏于防范，事后追悔莫及3.安全的发展滞后于业务的发展是诸多安全问题涌现的“罪魁祸首”4.方案设计要有安全部分，项目验收要做风险评估信息系统定义与描述一期为了部署网闸，牺牲了四台浪潮服务器,新增购进了2台核心交换部署网闸，需要分别在不同安全级别的网络间建立数据交换区域，原有的设备存储过高密级信息，因此不能利旧，需要再增添存储设备，并且原有设备要进行销毁。建立专门的数据交换区域，需要再部署2台交换设备13信息系统定义与描述二期为了部署网络准入，牺牲了一期部署的核心交换网络准入控制产品使用802.1X协议做网络层的访问控制和认证，因此认证机制和效果比较理想部署该产品的前提是交换机支持802.1X协议由于一期部署的交换设备没有考虑该因素，并不支持802.1X，因此刚部署的交换机需要再次更换14信息系统定义与描述三期为了部署网络行为管理，机房从新布线部分网络行为管理产品由于缺乏整体设计考虑，导致一套产品出现了4个1U的硬件（行为管理硬件、断电保护硬件、服务器等），加之网络是双链路，于是一个产品就需要8U的机柜位置，导致整个机房的布线、电源需要重新调整15信息系统定义与描述IPS行为管理防毒墙F5防火墙网络准入网闸流量管理明年还要串什么一期为了部署网闸，牺牲了四台浪潮服务器,新增购进了2台核心交换二期为了部署网络准入，牺牲了一期部署的核心交换三期为了部署网络行为管理，机房从新布线明年的四期规划正在制定，还未实现……16信息系统定义与描述信息系统用途、架构等特征对安全风险特征的影响任何系统都是有风险的同样一项IT技术应用在不同的业务系统中，其风险程度不一定相同，甚至千差万别同等的应用系统，采用不同的技术架构，其安全风险也是不同的17信息系统定义与描述18高风险低风险网上银行系统和某公司的内部办公系统，同样采用Oracle数据库，但是两个系统面临的安全风险是完全不同的信息系统定义与描述同样部署在省级单位的税务综合征管系统数据库，在A省采用汇聚交换机，集中管理方式；在B省采用直连核心交换机，分散管理方式。两种不同的部署方式，也使得其面临的风险迥异A省B省19信息系统定义与描述综上，从信息安全工程/保障的角度定义或描述信息系统时，应以保障业务安全的思想为基础，清楚认识业务安全风险以及为业务提供服务/支撑的信息系统的安全风险，从而科学、全面地认识信息系统及其安全属性。20信息系统安全工程ISSE信息系统定义与描述信息系统安全需求提取安全措施设计与部署信息系统安全性验证与认可信息系统安全监控与保持21信息系统安全需求提取风险评估结果是安全需求的重要决定因素一切工程皆有需求信息安全工程的需求并不是工程的起点信息安全工程的需求应从风险评估结果分析中得出需求与风险的一致性越强，则需求越准确因此信息安全工程应从风险着手，制定需求，这也符合信息安全保障（IA）的思想22信息系统安全需求提取案例1某部委每年开展信息安全风险评估工作，定期根据评估结果确定信息安全工程建设项目。风险评估结果解决方式市、省、国均可实现网络层未授权的互访部署防火墙产品未授权访问过程没有监控和审计措施部署IDS产品没有能力识别未授权访问所使用恶意程序或代码部署防病毒产品边界防护体系建设23信息系统安全需求提取案例1某部委每年开展信息安全风险评估工作，定期根据评估结果确定信息安全工程建设项目。风险评估结果解决方式私自修改主机、网络设备配置参数部署网络和主机设备的安全审计产品内外网混用、私接网线部署网络准入控制产品非法拷贝、篡改数据库数据部署数据库审计内部防范体系建设24信息系统安全需求提取案例22008年某单位部署完成网络准入系统，有效降低了终端的安全风险。降低了内网安全风险25信息系统安全需求提取案例22008年某单位部署完成网络准入系统，有效降低了内网终端的安全风险。2009年开展风险评估，提出应用层安全防护能力薄弱是其最主要风险识别了主要风险在于外网，并且是应用层次26信息系统安全需求提取案例22008年某单位部署完成网络准入系统，有效降低了内网终端的安全风险。2009年开展风险评估，提出应用层安全防护能力薄弱是其最主要风险2010年开展安全项目建设，却部署了桌面防护系统建设内容和效果却没有解决外网应用层的隐患，反而放在了内部安全防范和审计上，导致效率低下、重复投资，资源浪费。27信息系统安全需求提取案例3某单位委托中国信息安全测评中心对其信息安全设计方案进行评审，希望能够在网络鲁棒性、安全性和产品选用的正确性等方面给出评审意见其信息安全设计方案中的内容全部是对即将建设系统的愿景描述中国信息安全测评中心认为无法满足其评审需求28信息系统安全需求提取案例3原因分析：缺少对现有网络风险的描述，没有有效的需求提取与分析，无法找出有效的评审依据或基线，因此无法做到对方案的评审，或者提出的意见是协助其夯实风险识别的过程。29信息系统安全需求提取合理性符合性安全工程建设的需求从哪里来？30信息系统安全需求提取风险评估机制的引入，解决了工程建设需求合理性的问题，符合性的问题如何来解决？国家政策法规和合同协议等符合性要求也是安全需求的重要决定因素31信息系统安全需求提取案例某单位因业务需求，欲实现机密级网络与非涉密业务专网非涉密数据的双向交换。政策要求：机密级网络应与非涉密网络物理隔离在机密级网络中划分秘密级的数据交换区（对网络进行降密处理），在非涉密业务专网建立专门的数据接收区，两区域都只处理非涉密数据网络方案设计中描述的需求是秘密级网络与非涉密业务专网进行非涉密数据的可控数据交换，成功通过专家评审政策法规既是紧箍咒，也是保护伞，既要严格遵守又要合理运用。32信息系统安全工程ISSE信息系统定义与描述信息系统安全需求提取安全措施设计与部署信息系统安全性验证与认可信息系统安全监控与保持33安全措施设计与部署信息安全建设必须与信息系统建设同步实施安全是信息系统建设过程的重要组成部分，忽视了安全的信息化建设是不完整的信息系统建设与信息安全建设同步实施可以避免重复投资，增强效益34安全措施设计与部署案例1某单位在信息化建设立项阶段，高举风险评估、等级保护大旗，提出“以风险评估为依据、以等级保护为基准”，保障信息化建设的安全性，却在预算中没有风险评估经费；在需求书中明确了边界防护安全需求，却没有后续的安全设计。访谈其管理人员得到回答：“安全只是保障信息化经费能够充足的一种手段”安全不能只停留在立项报告、风险评估报告和需求书中，不是为了通过评审和立项需要而做的“假把式”35安全措施设计与部署案例2某部委开展网络改造建设项目，实施方案中安排首先完成网络割接，之后进行防火墙部署和配置，再后进行VLAN划分，导致系统频繁出现网络中断，疲于应急。安全建设是信息化建设的重要保障和基础，不能分割置之36安全措施设计与部署案例3某部委开展应用系统建设项目，由于在开发过程中没有使用必要的安全控制措施（安全编程、数据正确性处理），导致系统出现诸多注入、溢出等漏洞，危害系统安全。信息化建设中必须引入必要的安全控制手段和措施安全手段和措施必须与信息化建设同步落实到位37安全措施设计与部署案例4某单位网络扩容和安全建设项目，首先更换了交换机设备，欲再使用802.1X认证技术部署网络准入产品，发现新增交换机无法匹配网络准入产品的认证机制，于是再次更换全部楼层交换，问题得到解决。这表面上是产品的普适性问题，根源是信息化建设在设计、部署过程缺乏统一的安全考虑。信息系统建设与信息安全建设同步实施可以避免重复投资，增强效益38安全措施设计与部署根据安全需求有针对性地设计和部署安全措施是非常必要的安全设计要依据安全需求安全设计要具备可行性和一定的前瞻性安全措施部署和实施要依据安全设计部署过程应重点关注变更环节达到风险—需求—设计—实施的一致性和协调性39安全措施设计与部署案例1某单位提出安全建设的需求是加强网络边界的防护，集成单位根据需求，制定的设计方案中包含有数据库审计产品、桌面防护系统、SOC系统等，没有实现边界防护的目标，却实现了内部防范与审计。安全设计要依据安全需求40安全措施设计与部署案例2某行业欲解决病毒防治问题，在部署了防病毒软件后，提出建立病毒爆发事前预警机制，于是开展了部署