安全域划分及策略制定课件.ppt

单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,单击此处编辑母版标题样式,2011,绿盟科技,,,,,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,单击此处编辑母版标题样式,*,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,单击此处编辑母版标题样式,*,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,单击此处编辑母版标题样式,*,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,单击此处编辑母版标题样式,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,*,*,平安域划分及策略制定,平安域划分及策略制定平安域划分及策略制定1 平安域设计原理3 平安改造2 平安策略及标准目录,平安域划分及策略制定平安域划分及策略制定平安域划分及策略制定,1,1 平安域设计原理,3 平安改造,2 平安策略及标准,目录,1 平安域设计原理3 平安改造2 平安策略及标准目录,平安域设计原理,思路、方法,平安域设计原理思路、方法,平安域的定义,网络平安域：指同一系统内根据信息的性质、使用主体、平安目标和策略等元素的不同来划分的不同逻辑子网或网络，每一个逻辑区域内部有一样的平安保护需求、互相信任、具有一样的平安访问控制和边界控制策略，且一样的网络平安域共享一样的平安策略。

平安域：平安域是由在同一工作环境中、具有一样或相似的平安保护需求和保护策略、相互信任、相互关联或相互作用的IT要素的集合平安域的定义网络平安域：指同一系统内根据信息的性质、使用主体,4,平安域设计原理,以业务为中心，以业务平安为根本出发点,基于业务数据流、数据处理活动,从各种业务功能、管理、控制功能出发，梳理其数据流、刻画构成数据流的各种数据处理活动/行为，分析数据流、数据处理活动的平安需求；,基于业务信息系统的构造，根据目标和平安需求进展平安域防护策略设计和优化；,基于业务系统外部环境、总体平安防护策略要求进展防护标准设计平安需求平安策略平安域划分防护标准,平安域设计原理以业务为中心，以业务平安为根本出发点,5,平安域设计原理,平安需求来自于三个方面,政策、法规、标准及标准：SOX、COSO、ITIL、等保、27001等等,系统风险控制：风险评估,业务属性平安：来自于？,平安域设计原理平安需求来自于三个方面,6,业务数据,流程,平安域设计原理,业务属性平安要求分析,业务数据,流程,管理,/,控制,数据流程,业务数据,处理活动,业务功能,管理,/,控制,功能,业务数据,流程,管理,/,控制,数据处理活动,数据流,数据处理活动,业务,层面,管理,/,控制,层面,技术,层面,业务数据平安域设计原理业务属性平安要求分析业务数据管理/控制,7,调研评估思路,调研评估思路,平安域设计原理,业务需求平安分析的根本单元：数据处理活动,数据处理活动模型：,用户角色、访问策略、过程、数据/信息,平安域设计原理业务需求平安分析的根本单元：数据处理活动,9,平安域设计原理,功能类型,业务功能,管理功能,控制功能,信息系统中的数据类型,业务,/,用户数据,管理数据,控制数据,信息系统,业务功能、管理功能、控制功能,业务数据、管理数据、控制数据,平安域设计原理功能类型,10,平安域设计原理,功能和数据的分布分析,平安域设计原理功能和数据的分布分析,11,平安域设计原理,平安需求分析步骤,信息系统刻画,平安域设计原理平安需求分析步骤,12,平安域设计原理,平安需求分析步骤,信息系统刻画,信息系统分析,平安域设计原理平安需求分析步骤,13,平安域设计原理,平安需求分析步骤,信息系统刻画,信息系统分析,平安需求分析,平安域设计原理平安需求分析步骤,14,平安域设计原理,信息系统模型,支 撑 域,网 络 域,计算域,用户域,平安域根本类型,平安域设计原理信息系统模型支 撑 域网 络 域计算域用户域平,15,平安域设计原理,平安域细分,何处入手？,网络域？计算域？用户域？支撑域？,平安域划分的依据？,如何把握分寸？,数据,应用,系统,终端,网络,平安域设计原理平安域细分平安域划分的依据？数据应用系统终端网,16,平安域设计原理,平安域划分依据,导致平安需求、平安策略差异化的因素考虑。

一般包括现状构造、威胁、目标要求等不同的平安域根本类型具有不同的差异化因素思路：构造、功能、数据流、数据处理活动、威胁,平安域设计原理平安域划分依据,17,平安域划分要求,平安域单元层次,功能简单、边界清晰、便于定级和防护及策略部署；,平安域集合的层次,标准及优化网络构造、应用构造、系统构造；,便于进展纵深和有效防护；,便于进展数据流业务隔离和控制；,便于标准和优化平安域的边界通信；,系统层次,清晰刻画系统边界；,覆盖了系统内的所有IT要素；,符合管理组织架构平安域划分要求,18,平安域设计原理,计算域设计,依据,保障业务平安，优化构造,系统构造：,Browser/WEB/APP/DB、Client/APP/DB、Agent/Broker/Server、Peer/Proxy/Peer、B/S、C/S、Peer/Peer,层此模型,平安域设计原理计算域设计层此模型,19,平安域设计原理,实际的系统构造,一般是这些应用构造的集合体,计算域子域,平安域设计原理实际的系统构造计算域子域,20,平安域设计原理,用户域,依据？,功能，数据，用户主体，位置,分析,功能,本地,远程,内部用户,第三方用户,内部用户,第三方用户,业务,本地内部业务,远程内部业务,管理,本地内部管理,本地第三方管理,远程内部管理,平安域设计原理用户域分析功能本地远程内部用户第三方用户内部用,21,平安域设计原理,支撑域,依据？功能和效劳，平安呢？合规呢？,运行维护中心或系统管理中心OMC/SMC、网络管理中心NMC、平安效劳中心SOC,平安、合规需求，细分的依据,CA、平安保护、监测与相应局部对等等,平安域设计原理支撑域,22,平安域设计原理,网络域,依据？构造？层次？,平安域设计原理网络域,23,平安域设计原理,分布式系统,平安域设计原理分布式系统,24,平安策略及标准,平安策略及标准 平安管理审计制度,平安策略及标准平安策略及标准 平安管理审计制度,平安策略制定与参考模型,思路,识别和分析目标环境,识别和分析平安威胁,确定平安需求平安效劳及其强度,规划平安保护策略,规划平安防护标准,平安策略制定与参考模型思路,26,平安模型,PPDRRF,IAARC,WPDRR,平安模型PPDRRFIAARCWPDRR,27,网络平安防护体系,系统平安防护体系,应用平安防护体系,数据平安防护体系,平安技术体系,平安组织方面,平安管理方面,平安管理体系,平安技术体系,网络平安防护体系平安技术体系平安组织方面平安管理体系平安技术,28,平安技术体系,身份鉴别,访问控制,平安审计,系统保护,入侵防范,恶意代码防范,系统资源控制,构造平安,网络访问控制,拨号访问控制,网络平安审计,边界完整性检查,网络入侵防范,恶意代码防范,网络设备防护,数据完整性,数据保密性,数据备份和恢复,身份鉴别,访问控制,平安审计,通信完整性,通信保密性,抗抵赖,软件容错,资源控制,代码平安,网络平安防护体系,系统平安防护体系,应用平安防护体系,数据平安防护体系,平安技术体系身份鉴别构造平安数据完整性身份鉴别网络平安防护体,29,典型平安技术机制,平安预警,平安评估：平安评估效劳、漏洞扫描设备,平安防护,身份认证：双因素动态口令认证,访问控制：防火墙、ACL,防病毒,终端管理：网络准控、补丁管理,平安加固,抗拒绝效劳,平安监控,入侵监测：NIDS、HIDS,日志审计：系统日志审计系统、行为审计系统,应急恢复,灾备中心：数据备份系统,应急预案及措施,典型平安技术机制平安预警,30,典型平安技术机制,层次,鉴别认证,访问控制,内容安全,冗余恢复,审计响应,物理层,身份证件,生物认证,物理隔离,门禁系统,监视系统,存储介质安全,电力系统,消防系统,磁带机,磁盘阵列,链路,维护日志,操作日志,击键记录,网络层,Radius,强密码,双因素认证,PKI,IP,地址规划,VLAN,防火墙,VPN,ACL,NAT,权限控制,终端安全接入,隔离网闸,VPN,SSH,路由认证,HA,路由备份,入侵检测,设备日志,日志管理,流量监控,弱点评估,系统层,强密码,双因素认证,单点登录,生物认证,PKI,系统加固,权限控制,AD,域,防病毒,补丁管理,安全定制,双机热备,集群,系统日志,日志管理,弱点评估,应用层,AAAA,双因素认证,单点登录,生物认证,PKI,代理服务器,应用程序加固,权限控制,防病毒,内容过滤,邮件过滤,数据加密,数字签名,安全定制,应用数据容灾备份,业务连续性管理,应用程序日志,日志管理,弱点评估,典型平安技术机制层次鉴别认证访问控制内容安全冗余恢复审计响应,31,描述内容,目标环境,平安域的环境，功能,威胁,威胁类型及强度、发生的频度，以及影响,平安策略及标准,平安域的防护策略,平安技术及措施,平安防护策略及标准,描述内容平安防护策略及标准,安全域,子域,项,内容,网络域,互联网接入域,目标环境,互联网接入域一般对外与,Internet,相连，对内与网络核心域相连。

互联网接入域一般由路由器、交换机、防火墙等网络设备组成其内部一般有接入计算域威胁,主要面临着病毒、蠕虫、黑客攻击、,DDoS,攻击等威胁及网络组件、通信链路故障，威胁能力极高安全策略及规范,安全需求主要是保证通信设备、链路的可靠性，防止恶意代码的渗入、阻断黑客的入侵,DDoS,防护和保护通信的可用性和完整性，以及业务数据的完整性必须采取的安全措施：,1,）,.,2),建议采取的安全措施：,3,）,.,外联网接入域,目标环境,威胁,安全策略及规范,平安防护策略及标准,安全域子域项内容网络域互联网接入域目标环境互联网接入域一般对,域,子域,防护技术体系,防护内容,网络域,互联网接入域,预警,漏洞扫描、安全评估,防护,部署抗,DDOS,攻击系统，以抵御来自互联网的,DDoS,攻击，抗,DDoS,设备应双机冗余备份应在接入路由器上启用访问控制列表（,ACL,）功能，进行数据流过滤仅允许合法的数据流通过ACL,控制策略应细化到,IP,地址和服务端口接入路由器应双机冗余备份部署基于状态检测的防火墙进行访问控制安全策略设置中，只允许特定的管理维护数据流通过防火墙，通信流控制要细化到通信的,IP,地址和服务端口，并且除允许的业务通信外，严格禁止其他通信。

防火墙应采用双机热备方式，并与网络核心域内的防火墙形成“双重异构”将重要主机和设备的,IP,地址、,MAC,地址、交换机端口进行绑定，并对网络设备设置管理,IP,地址链路、设备冗余与备份,安全加固,帐号管理,防病毒、补丁管理,监控,日志审计、入侵监测、行为审计,应急恢复,数据备份与恢复,平安防护策略及标准,域子域防护技术体系防护内容网络域互联网接入域预警漏洞扫描、安,平安管理体系,平安管理体系,35,平安管理体系,明确平安域的管理组织、管理人员及其平安职责！,在平安域内部执行统一的平安管理和维护策略！,在平安域内部落实具体的管理制度和流程！,平安管理体系明确平安域的管理组织、管理人员及其平安职责！在平,36,平安审计标准与方案举例,平安审计标准与方案举例,37,平安域改造,改造方案、改造实施,平安域改造改造方案、改造实施,制定平安改造方案设计,整理需求,整理平安需求、汇总所需的平安效劳,总体设计,将平安效劳在信息系统内部、外部进展分配,平安支撑域设计,详细设计,运维支撑域、网管支撑域、网络域、计算域、用户域设。