搜索

[13194] 2018-09-17_一个人的安全部之企业信息安全建设规划

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2018-09-17_一个人的安全部之企业信息安全建设规划 一 个 人 的 安 全 部 之 企 业 信 息 安 全 建 设 规 划 原 创   l i o n g 0 3   F r e e B u f   2 0 1 8 - 0 9 - 1 7 一 、 前 言 一 、 前 言 先 简 单 自 我 介 绍 一 下 ， 其 实 ， 我 是 一 个 安 全 工 程 师 。 也 是 一 个 人 的 先 简 单 自 我 介 绍 一 下 ， 其 实 ， 我 是 一 个 安 全 工 程 师 。 也 是 一 个 人 的 “ 安 全 部 安 全 部 ” ， 现 在 某 创 业 型 企 业 。 。 。 ， 现 在 某 创 业 型 企 业 。 。 。 近 期 给 某 企 业 做 了 一 份 信 息 安 全 建 设 规 划 方 案 ， 但 已 经 用 不 上 了 ， 因 此 突 然 想 如 果 就 这 样 了 了 ， 还 不 如 拿 出 来 近 期 给 某 企 业 做 了 一 份 信 息 安 全 建 设 规 划 方 案 ， 但 已 经 用 不 上 了 ， 因 此 突 然 想 如 果 就 这 样 了 了 ， 还 不 如 拿 出 来 分 享 。 。 。 分 享 。 。 。 目 录 架 构 目 录 架 构
二 、 设 计 思 路 二 、 设 计 思 路 信 息 安 全 规 划 ， 根 据 一 些 驱 动 因 素 进 行 思 考 ， 设 计 思 路 ： 注 ： 注 ： 安 全 规 划 思 路 ， 主 要 是 用 于 安 全 建 设 的 一 个 指 导 思 想 ， 在 实 际 安 全 建 设 工 作 中 ， 初 级 阶 段 也 可 能 包 括 安 全 深 度 感 知 、 自 主 可 控 的 建 设 的 内 容 。 信 息 安 全 是 由 多 方 面 组 成 ， 主 要 工 作 需 要 防 范 威 胁 发 生 的 可 能 ， 以 及 采 取 风 险 降 低 措 施 ， 因 此 安 全 工 作 开 展 涉 及 多 方 面 的 内 容 ： 三 、 阶 段 规 划 实 施 三 、 阶 段 规 划 实 施 在 规 划 实 施 前 ， 会 先 进 行 安 全 现 状 了 解 ， 主 要 是 通 过 对 主 机 、 应 用 系 统 、 数 据 、 终 端 、 网 络 进 行 访 谈 和 抽 查 ， 发 现 一 些 大 致 和 企 业 共 性 的 问 题 。 主 要 是 从 资 产 信 息 收 集 ， 然 后 分 析 主 机 、 应 用 、 网 络 、 数 据 、 终 端 方 面 存 在 的 一 些 安 全 问 题 ， 由 于 此 次 企 业 的 生 产 服 务 器 均 在 云 上 ， 因 此 也 就 未 考 虑 物 理 机 房 的 安 全 。 通 过 前 期 的 现 状 分 析 ， 安 全 建 设 采 用 分 期 建 设 ， 主 要 是 根 据 工 作 开 展 的 紧 迫 性 和 易 操 作 性 进 行 分 期 规 划 。 安 全 建 设 采 用 分 期 建 设 ， 主 要 是 根 据 工 作 开 展 的 紧 迫 性 和 易 操 作 性 进 行 分 期 规 划 。
3 . 1   一 期 建 设 主 要 任 务 一 期 建 设 主 要 任 务 信 息 安 全 建 设 一 期 信 息 安 全 建 设 一 期 中 进 行 安 全 技 术 检 查 以 及 行 业 安 全 预 警 跟 踪 ， 尽 量 及 时 发 现 安 全 脆 弱 性 并 加 固 指 导 ， 为 后 期 安 全 建 设 提 供 指 导 依 据 。 工 作 开 展 计 划 先 防 范 风 险 属 性 由 外 向 内 ， 影 响 严 重 程 度 由 高 向 低 进 行 时 间 安 排 。 3 . 2   二 期 建 设 主 要 任 务 二 期 建 设 主 要 任 务 在 信 息 安 全 建 设 一 期 的 基 础 上 开 展 二 期 建 设 计 划 ， 主 要 针 对 内 网 安 全 、 加 强 人 员 信 息 安 全 意 识 、 建 立 安 全 预 警 和 安 全 管 理 体 系 初 级 文 件 等 工 作 。
3 . 3   三 期 建 设 主 要 任 务 三 期 建 设 主 要 任 务 在 信 息 安 全 建 设 一 期 、 二 期 的 基 础 上 开 展 三 期 建 设 计 划 ， 主 要 加 强 W E B 安 全 问 题 早 期 发 现 、 系 统 上 线 变 更 、 数 据 防 泄 露 等 安 全 能 力 ， 全 面 提 升 安 全 体 系 管 理 与 审 计 能 力 。 3 . 4   四 期 建 设 主 要 任 务 四 期 建 设 主 要 任 务 在 信 息 安 全 建 设 一 期 、 二 期 和 三 期 的 基 础 上 开 展 四 期 建 设 计 划 ， 主 要 加 强 安 全 体 系 管 理 、 审 计 和 考 核 管 理 ， 更 加 有 效 的 帮 助 软 件 企 业 降 低 安 全 问 题 ， 提 升 对 安 全 问 题 进 行 集 中 发 现 、 管 控 及 处 理 能 力 ， 实 现 安 全 主 动 防 御 以 及 增 强 追 踪 能
力 。 四 四   规 划 内 容 规 划 内 容 4 . 1   建 设 攻 防 实 验 平 台 建 设 攻 防 实 验 平 台 在 企 业 内 部 建 设 一 个 专 业 的 、 私 有 的 网 络 攻 防 实 验 平 台 ， 来 满 足 专 业 网 络 安 全 实 践 、 安 全 防 护 能 力 和 安 全 意 识 提 升 、 跟 踪 最 新 网 络 安 全 技 术 和 提 升 企 业 级 专 业 影 响 力 等 具 体 需 要 。 实 验 平 台 可 承 担 网 络 安 全 相 关 的 技 能 实 训 实 习 、 综 合 实 训 以 及 网 络 安 全 检 测 。 攻 防 实 验 平 台 主 要 能 模 拟 以 下 的 环 境 进 行 各 种 不 同 类 型 的 攻 防 实 验 。 为 更 接 近 一 般 网 络 的 真 实 环 境 ， 与 投 入 因 素 ， 后 续 将 陆 续 增 加 的 攻 防 实 验 平 台 套 件 ， 包 括 安 全 防 护 软 件 、 中 间 件 、 数 据 库 等 。 攻 防 实 验 平 台 可 能 用 到 的 部 分 工 具 攻 防 实 验 平 台 可 能 用 到 的 部 分 工 具 ：
4 . 2   安 全 评 估 与 加 固 安 全 评 估 与 加 固 4 . 2 . 1   主 机 安 全 评 估 与 加 固 主 机 安 全 检 查 ： 主 机 安 全 检 查 ：
主 机 安 全 加 固 ： 主 机 安 全 加 固 ： 对 上 述 范 围 内 的 主 机 操 作 系 统 、 数 据 库 系 统 和 中 间 件 等 进 行 安 全 加 固 指 导 ， 解 答 各 管 理 员 在 加 固 过 程 中 所 遇 的 疑 难 问 题 。 根 据 前 期 安 全 检 查 的 结 果 ， 提 交 针 对 主 机 的 安 全 加 固 方 案 ， 与 相 关 部 门 讨 论 并 认 可 后 协 助 各 部 门 进 行 安 全 加 固 实 施 。 4 . 2 . 2   应 用 安 全 评 估 与 加 固 应 用 安 全 检 查 ： 应 用 安 全 检 查 ：
应 用 安 全 加 固 ： 应 用 安 全 加 固 ： 根 据 前 期 应 用 安 全 检 查 的 结 果 ， 提 交 针 对 应 用 的 安 全 加 固 方 案 ， 与 各 部 门 讨 论 并 认 可 后 由 协 助 各 部 门 进 行 安 全 加 固 实 施 。 4 . 2 . 3   网 络 安 全 评 估 与 加 固 网 络 安 全 检 查 ： 网 络 安 全 检 查 ：
网 络 设 备 安 全 加 固 ： 网 络 设 备 安 全 加 固 ： 根 据 前 期 网 络 设 备 安 全 检 查 的 结 果 ， 提 交 针 对 网 络 设 备 的 安 全 加 固 方 案 ， 与 各 部 门 讨 论 并 认 可 后 由 协 助 各 部 门 进 行 安 全 加 固 实 施 。 4 . 3   渗 透 测 试 渗 透 测 试 4 . 3 . 1   渗 透 测 试 类 别 Ø   根 据 测 试 者 在 测 试 前 掌 握 被 测 对 象 的 信 息 多 少 可 分 为 ： 根 据 测 试 者 在 测 试 前 掌 握 被 测 对 象 的 信 息 多 少 可 分 为 ： ·   黑 盒 测 试 ： 渗 透 测 试 操 作 人 员 完 全 处 于 对 系 统 一 无 所 知 的 状 态 ， 通 常 这 类 测 试 的 最 初 信 息 来 自 于 D N S 、 W e b 、 E m a i l 及 各 种 公 开 对 外 的 服 务 器 ， 主 要 是 模 拟 来 自 互 联 网 的 攻 击 者 。 ·   白 盒 测 试 ： 测 试 者 可 以 通 过 正 常 渠 道 向 被 测 者 要 求 ， 取 得 各 种 包 括 网 络 拓 扑 、 员 工 资 料 甚 至 网 站 或 其 他 程 序 的 代 码 片 断 等 资 料 ， 这 类 测 试 的 目 的 是 模 拟 组 织 内 部 雇 员 的 越 权 操 作 。 ·   灰 盒 测 试 ： 对 测 试 目 标 有 一 定 的 了 解 ， 主 要 是 模 拟 离 职 的 员 工 或 合 作 伙 伴 ， 他 们 对 组 织 的 结 构 比 较 了 解 ，
但 不 在 公 司 内 部 ， 没 有 访 问 权 限 。 Ø   根 据 渗 透 者 所 处 的 位 置 可 以 分 为 ： 根 据 渗 透 者 所 处 的 位 置 可 以 分 为 ： ·   内 网 测 试 ： 渗 透 测 试 人 员 由 内 部 网 络 发 起 测 试 ， 这 类 测 试 能 够 模 拟 组 织 内 部 违 规 操 作 者 的 行 为 。 最 主 要 的 “ 优 势 ” 是 绕 过 了 防 火 墙 的 保 护 。 ·   外 网 测 试 ： 渗 透 测 试 人 员 完 全 处 于 外 部 网 络 （ 例 如 拨 号 、 A D S L 或 外 部 光 纤 ） ， 模 拟 从 组 织 外 部 发 起 的 攻 击 行 为 ， 模 拟 可 能 来 自 于 对 组 织 内 部 信 息 一 无 所 知 的 攻 击 者 ， 或 者 对 组 织 内 部 信 息 一 清 二 楚 的 攻 击 者 。 Ø   根 据 渗 透 内 容 深 度 和 广 度 可 以 分 为 ： 根 据 渗 透 内 容 深 度 和 广 度 可 以 分 为 ： ·   普 通 渗 透 测 试 ： 仅 对 特 定 业 务 系 统 的 W E B 站 点 进 行 模 拟 黑 客 攻 击 ， 使 用 黑 客 工 具 、 测 试 工 具 、 特 制 s h e l l 工 具 ， 自 动 化 、 手 工 测 试 单 个 W E B 站 点 的 安 全 隐 患 ； ·   深 入 渗 透 测 试 ： 以 特 定 业 务 系 统 的 W E B 站 点 为 起 点 ， （ 1 ） 横 向 测 试 同 网 段 的 相 应 W E B 站 点 安 全 性 ， 重 点 在 于 核 查 攻 破 单 个 站 点 后 ， 对 同 网 段 的 W E B 站 点 整 体 危 害 。 （ 2 ） 纵 向 测 试 ， 从 外 网 跳 转 攻 击 到 内 网 ， 或 者 内 部 不 同 子 网 间 跳 转 攻 击 ， 重 点 在 于 测 试 边 界 防 火 墙 、 防 护 措 施 的 有 效 性 ， 尽 力 获 取 内 部 有 价 值 的 信 息 。 4 . 3 . 2   W E B 网 站 渗 透 测 试 网 站 渗 透 测 试 4 . 3 . 2 . 1   渗 透 测 试 范 围 针 对 W E B 网 站 进 行 渗 透 测 试 ， 重 要 网 站 系 统 每 半 年 做 一 次 渗 透 测 试 ， 普 通 网 站 系 统 每 年 做 一 次 渗 透 测 试 ， 选 择 一 个 网 站 为 始 点 进 行 深 度 渗 透 测 试 。 4 . 3 . 2 . 2   渗 透 测 试 内 容 W E B 网 站 渗 透 测 试 内 容 主 要 以 O W A S P   T O 1 0 与 常 见 重 大 W E B 漏 洞 为 主 ， 如 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理