第一章:了解网络安全的原则

以前的 12345 第二页 下一个

请注意　在美国行政命令12958(可用http://www.whitehouse.gov/news/releases/2003/03/20030325 - 11. - html)指出,美国政府机密信息进行分类分为三个层次:(1)机密,(2)秘密,和(3)绝密。

组织分类模型

表1 - 3提供了一个组织数据分类模型的一个例子。

数据分类特征

表1 - 4提供了一些数据可以分类的特征。

在确定一个分类方法,定义你需要多少分类水平。太多的分类水平可以证明很难管理,而太少的分类水平缺乏所需的粒度分类广泛的数据。作为记录您的分类方法的一部分,你也应该指出谁负责确保数据分类使用定义的安全水平。

请注意　某些情况下需要机密数据的释放。这样的场合包括遵守法庭秩序的需要,在处理某些政府机构时,当信息的发布是由高级管理命令。

角色分类

不同组织的成员必须承担不同的角色,以确保适当的保护机密数据。这些角色包括以下的例子:

• 老板

  • 最初决定了分类的水平

  • 定期回顾记录程序分类数据

  • 给监护人的责任保护数据

• 托管人

  • 保持最新的分类数据的备份

  • 验证备份的完整性

  • 从备份恢复数据按需选用

  • 遵循政策指导方针,保持特定的数据

• 用户

  • 访问和使用数据按照一个既定的安全政策

  • 采取合理的措施保护他或她能够访问的数据

  • 只使用数据组织的目的

控制在一个安全的解决方案

刚才提到,实际上的工作获得数据的责任托管人。然而,如果应用安全只有通过技术手段,结果不会是非常有效的。具体地说,因为大部分来自网络内部的攻击都不是技术攻击,非技术缓解策略必须阻止他们。思科定义了三个安全控制包含在一个更全面的安全解决方案:

• 管理控制主要以策略为中心的。例子包括以下几点:

  • 日常安全意识培训

  • 明确定义的安全策略

  • 一个变更管理系统,通知适当的政党体系的变化

  • 日志配置更改

  • 正确地筛选员工(例如,执行刑事背景调查)

• 物理控制帮助保护数据的环境和防止潜在的攻击者容易有物理访问数据。物理控制的例子

  • 安全系统监控入侵者

  • 物理安全的障碍(例如,锁着的门)

  • 气候保护系统,保持适当的温度和湿度,除了报警人员在发生火灾

  • 保安人员来保护数据

• 技术的控制使用各种硬件和软件技术来保护数据。技术控制的例子包括以下几点:

  • 安全设备(例如,防火墙、入侵防御、终止和VPN设备)

  • 授权应用程序(例如,半径或TACACS +服务器,一次性密码(OTP),以及生物识别安全扫描仪)

请注意　因为这本书的重点是Cisco-based安全解决方案,大多数的缓解策略提出了利用技术控制。

个人管理、物理和技术控制可以进一步分为以下控件类型之一:

• 预防:预防控制试图防止访问数据或一个系统。

• 威慑:一种威慑控制试图防止安全事故,影响潜在攻击者发动攻击。

• 侦探:一个侦探控制可以检测当访问数据或系统发生。

有趣的是,每个类别的控制(管理、物理和技术)包含组件这些类型的控件(预防、威慑和侦探)。例如,一个特定的侦探控制可能是下列之一:

• 行政控制,比如日志条目所需的安全策略

• 身体控制,比如警报听起来当一个特定的门打开

• 技术控制,如ip设备生成警报

应对安全事件

许多威慑控制可能会显示警告,如“违者将被起诉的法律的最大程度。“然而,攻击者成功地起诉,诉讼律师通常需要以下元素提供了一个有效的论点:

• 动机动机:一个描述为什么攻击者犯了法。例如,他不满的员工吗?此外,潜在的动机可以是有价值的定义在一个调查。具体地说,一项调查可能开始与那些有动机进行攻击。

• 意味着:所有的安全控制以保护数据或计算机系统,您需要确定被告了意味着(例如,技术技能)来进行攻击。

• 机会:被告是否有问题机会提交问被告被攻击可用提交的攻击。例如,如果被告声称已经在一场球赛的时候攻击,如果证人可以验证这句话,它不太可能,被告确实提交攻击。

起诉计算机犯罪的另一个挑战来自于数据的脆弱性。例如,一个时间戳可以很容易地改变文件没有检测。为了防止这样的证据篡改,必须遵循严格的政策和程序进行数据处理。例如,调查工作完成之前在计算机系统上,一个策略可能需要多个副本的硬盘。一个或多个主副本可以锁定,副本也可以给国防为他们的调查和起诉。

此外,验证数据的完整性安全事件发生以来,你应该能够显示链的监护权。一连串的监护权文件已经拥有的数据(即证据)因为发生了安全漏洞。

法律和伦理的影响

一些企业必须遵守严格的政府法规对安全程序。因此,信息安全专业人员应该熟悉一些基本的法律概念。例如,大多数国家法律分类为以下三种类型:

• 刑法适用于已经犯罪,可能导致罚款或监禁的人被判有罪。

• 民法已经提交的地址错误。然而,这些错误不认为是犯罪。民事诉讼可能涉及专利侵权的一个例子。后果的人发现违反民事法律可能包括订单停止非法活动和/或赔偿损失。

• 行政法通常涉及政府机构规定的执行。例如,一个公司盗用退休基金可能会发现违反行政法律。如果一方被发现违反行政法律,后果通常是货币,与政府机构之间的资金划分和受害者。

除了法律限制,信息安全专业人员应该遵守的道德准则。道德准则更多处理别人的意图和行为,而不是行为在技术上是否合法。

虽然伦理问题可能更难以定义,信息安全专业人士有几个正式的行为准则:

• 国际信息系统安全认证协会,公司道德规范

• 计算机伦理学研究所

• 互联网活动板(IAB)

• 公认系统安全原则(GASSP)

法律问题需要考虑

为客户提供网络连接,服务提供者必须意识到潜在的责任问题。例如,如果一个电子商务公司失去了一定的业务,因为服务提供者停机服务提供者可能会发现责任和赔偿损失。

同时,一些国家通过法律规定公司如何处理隐私问题。例如,风险的通知在美国个人数据的行为需要国家之间进行贸易的公司和政府机构提醒任何人的个人资料显示未授权的人看到它。

美国法律法规

水平增加的恐怖活动在互联网上的网络连接和一个不断增加的百分比的世界公民,政府被迫制定规则和法规涵盖了信息安全。作为一个例子,美国政府创建了以下规定,属于信息安全:

• 1999年的《金融服务现代化法案》法案(GLBA):反托拉斯法,不允许银行,保险公司和证券公司结合在一起,分享他们的信息。

• 健康保险流通与责任法案(HIPAA) 2000:提供保证机密的电子转移患者信息安全将不会低于纸质记录病人的转移。

• 2002年萨班斯-奥克斯利法案(SOX)法案:对企业会计丑闻,试图在会计和报告实践增加公众的信任。

• 安全和自由通过加密(安全)的行为:允许任何形式的加密使用的人在美国

• 计算机欺诈和滥用行为:开发以减少恶意计算机黑客,修正案容纳团结和加强美国通过提供适当的工具需要拦截和阻止恐怖主义(美国爱国者)行为。

• 1974年隐私法案》:保护个人的隐私,要求他们提供书面许可信息发布。

• 联邦信息安全管理法案》(FISMA) 2002:需要年度审计的网络安全在美国政府和关联方。

• 1996年的经济间谍法:国家滥用商业秘密是一个联邦犯罪。

国际管辖权问题

对信息安全犯罪起诉的一个独特的法律挑战处理管辖权问题。例如,攻击者在一个国家可以从一台电脑在另一个国家发动袭击目标电脑在另一个国家。国际边界,几乎是交叉诉讼律师可能会带来重大挑战。

幸运的是,政府已经开始合作这样的调查和起诉。例如,组织国家之间分享执法信息包括八国集团,国际刑警组织和欧盟。

了解网络攻击的方法

您可能已经注意到,这本书迄今为止将计算机罪犯称为“攻击者”,而不是“黑客。“这措辞是故意的,因为不是所有的黑客恶意,即使“黑客”经常有负面联想。在本节中,您将获得额外的洞察各种黑客的思维模式和特点。

此外,您将被引入,以各种各样的方法,攻击者可以使用渗透到一个计算机系统。帮助减轻这种攻击,思科建议深度防御的设计哲学,也都是在这一节中,除了保护您的网络的最佳实践的集合。

漏洞

一个脆弱性在一个信息系统是一个弱点,攻击者可能利用获得未授权访问系统或其数据。在某些情况下,后发现一个漏洞,攻击者编写一个程序旨在利用漏洞。这种类型的恶意程序被称为一个利用。

然而,即使一个系统有一个漏洞,漏洞的可能性,有人会使用不同造成破坏。这可能是叫做风险。例如,一个数据中心可能容易受到2020欧洲杯预赛火灾爆发。然而,如果数据中心拥有先进的灭火2020欧洲杯预赛系统和热备份备份在另一个物理位置,数据的风险是最小的。

当你制定计划解决漏洞,考虑不同类型的漏洞。例如,考虑以下大类的漏洞: