信息安全战 摘要

信息安全技术按照其所在的信息系统层次可分为物理安全技术、基础架构安全（网络、主机和终端）、应用安全技术、数据安全技术、身份和访问管理五大种类。

 

物理安全

1. 机房物理安全

    1.1 物理环境的防护

    1.2 计算机机房的场地安全

    1.3 操作室的场地安全

2. 视频监控安全

    2.1 公众安全

    2.2 机场/海港/铁路

    2.3 零售店

    2.4 金融机构

3. 机房物理安全的工作及应用

    3.1 市政管理监控

    3.2 交通管理监控

    3.3 公共场所监控

    3.4 人流统计

    3.5 重要部门监控

    3.6 高危设施的监控

 

基础架构安全

1. 网络及边界安全

    1.1 网络架构安全

    1.2 网络安全技术

    1.3 网络/安全设备的设置/维护

2. 主机系统安全

    2.1 网络层安全防护

    2.2 应用层安全防护

    2.3 内容安全防护

    2.4 安全管理

3. 终端安全

    3.1 终端基础安全

    3.2 终端数据安全

    3.3 安全配置管理

    3.4 终端系统维护 

 

应用安全技术

1. 应用开发生命周期

    对于应用而言，无论是开发人员、测试人员、质量管理人员还是项目经理、企业高层，都会对其功能和性能投入更多的关注，而忽略了应用安全意识。

    对需求分析、设计人员而言，是否将产品的安全性考虑到产品的需求设计中；

    对开发人员而言，在应用中实现了身份认证等安全功能，除了考虑到应用的安全性，还须掌握应用安全编程规范技术；

    对测试人员而言，需保证产品已具备安全性，并且借助工具或平台自动化的扫描应用的安全隐患，得出全面的安全性报告；

    对于质量管理人员而言，产品的质量过关不等于产品已经安全、可靠，他们和测试人员一样，对其进行汇总和分析。

2. 业务流程安全

    2.1 确定安全目标

    2.2 创建应用业务流程概述

    2.3 分解业务流程和应用程序

    2.4 确定威胁

    2.5 确定漏洞

3. 应用开发环境安全

    3.1 需求阶段

    3.2 设计阶段

    3.3 实施阶段

    3.4 应用系统维护安全管理

    3.5 软件编码规范

4. Web应用安全

    4.1 Web应用安全扫描

    4.2 渗透测试

    4.3 应用防火墙/应用保护系统

 

数据安全技术

1. 数据生命周期安全

    首要条件是有完善的数据备份和恢复策略来保证数据的安全性，在此基础上，可按照四个阶段进行。

    1.1 对企业数据进行分类

    1.2 对存储硬件结构进行分层

    1.3 根据数据类型决定存放策略

    1.4 数据的有效保管和检索

2. 数据泄漏保护

    2.1 基于主机的数据泄漏安全保护

    2.2 基于网络的数据泄漏安全保护

3. 数据加密

    3.1 服务器/网关级加密

    3.2 客户端/桌面级加密

    3.3 移动终端加密(Windows Mobile 6 and BlackBerry)

4. 数据归档

    4.1 确定哪些数据需要归档

    4.2 制定数据归档的遵从要求

    4.3 归档产品是否提供保存和删除需求

    4.4 数据整合和自动化的程序

    4.5 互操作性和异构性的程度

    4.6 归档技术、存储介质和工具的使用寿命

    4.7 结合实际制订备份策略

    4.8 追踪和汇报特点

5. 灾难备份及恢复

    5.1 灾难恢复等级的划分

    5.2 灾难恢复策略的制定和实现

 

身份和访问安全

1. 集中用户管理（组织管理、账号管理、用户审批管理、用户验证方式管理、角色管理、账号策略检查）

2. 用户目录（企业用户目录、信任凭证信息安全存储、目录整合与数据同步、目录复制与恢复）

3. 信任凭证管理（信任凭证策略管理、信任凭证的自动生成、信任凭证的信息安全传送、信任凭证的同步、信任凭证撤销）

4. 集中访问认证

    4.1 功能组件能够以统一的方式对企业用户访问应用和平台进行身份验证

    4.2 统一认证服务能够与现有企业的应用和平台进行整合

    4.3 通过统一集中认证服务提高应用身份验证的灵活性和强健性，不必单独增强各个企业应用的认证功能

5. 单点登录

    在分布计算环境中，用户每天要登录到很多不同的系统和应用中。每个系统都有自己的认证过程，要求用户输入不同的用户名、口令等。用户需要进入的系统越多，出错的概率和安全问题出现的可能性就越多。单点登录（eTrust Single Sign-On）使用户进行单一认证成为可能。一旦获得认证，用户可以立即访问所有被授权的系统，包括C/S系统和基于Web的系统。系统或安全管理员可以实施安全控制，但不会改变或影响用户登录。

6. 访问策略

    以集中的方式对企业用户访问应用或平台资源的权限策略进行管理。可以根据业务信息安全要求，对用户的访问策略进行设置，包括访问主体、对象资源、访问时间等。可实现将访问授权策略的数据进行存储和管理，也可实现统一管理企业的应用和平台系统的访问策略。

7. 访问授权

    自动化的自助功能，包括密码重置、用户供给、业务工作流程的支持、自动化授权、基于角色和策略的访问权限分配、账户撤销和安全报警等都能够帮助企业节约时间以及实现其安全保障需求。

转载于:https://www.cnblogs.com/wemzhugo/p/3345984.html