下载掌阅APP，畅读海量书库
立即打开
复杂信息系统因其广度和深度的特性，其安全体系的建设和安全防护措施的落实不可能一步到位，需要循序渐进。在安全体系建设之初，需要确认目标系统的防护重点。确认防护重点需要结合安全风险评估资产识别结果和脆弱性识别结果，将具有高价值和高脆弱性的资产评定为优先防护对象。一般来说，与核心业务相关的机房、服务器、网络设备和存储的核心数据等都是防护的重点。在确定了重点防护对象后，需要比较企业当前的安全防护水平与预期需要达到的安全防护水平，或者比较与业界最佳实践的网络安全防护水平之间的差距。
考虑攻击者的攻击水平和网络安全整体水平的不断发展，信息系统安全建设应从反入侵的视角，针对攻击活动中的每一步进行安全防护建设。如攻击者的活动进行到了某一步，安全防护体系要阻止其进入下一步，或者使其不能带着完全的进攻能力进入下一步并全身而退，这就是纵深防御。典型的纵深防御技术需求如图3-6所示。
图3-6 典型的纵深防御技术需求
第一层为业务安全域抽象划分。复杂信息系统中同一个安全域的设备并不一定在同一个物理地点，但对安全等级的要求相同，因此可共享相同的访问控制策略。本层的作用是抑制安全事件爆发，将安全事件控制在一个安全域中，不会直接扩散到全网。
第二层是基于数据链路层的隔离。数据链路层使用VPC、VXLAN和VLAN技术等，相当于在安全域的基础上对一组服务器以更细的粒度再建一道屏障，进一步抑制单个服务器被攻陷后受害源扩大的问题。
第三层是协议端口状态过滤，这是绝大多数防火墙设备的防护场景。如服务器未关闭不必要的服务和端口，但防火墙屏蔽了这些服务和端口，攻击者也就无法利用了。本质上，第三层防御手段尽可能地限制了攻击者的访问通道，大幅减小了可用的攻击面，以此延缓甚至阻止攻击活动。
第四层是业务应用层，也是实际生产工作中涉及问题最多的一层，应用层通常是暴露在互联网上的攻击面，这一层主要解决认证鉴权，防SQL注入、跨站脚本攻击、文件上传漏洞攻击之类的应用层漏洞。
应用层上方是容器层、操作系统防御层及内核空间防御层。如服务器上的应用程序存在漏洞并被攻击者利用，可在此处阻止漏洞被成功利用后再跳转到系统权限。
复杂系统的脆弱性评估和差距分析可从技术脆弱性评估和差距分析、管理脆弱性评估和差距分析两个方面来考虑。其中，技术从系统的5个层次依次分析其功能和拓扑，管理方面从技术管理和组织管理进行分析讨论。表3-9所示为复杂系统的脆弱性评估和差距分析。
表3-9 复杂系统的脆弱性评估和差距分析
企业可根据自身信息系统的具体情况，对各个层次的典型安全问题、安全技术需求和安全管理需求进行分析。典型的安全需求分析对应关系如图3-7所示。
图3-7 典型的安全需求分析对应关系
安全技术需求方面主要结合现有的软硬件设施，从保护各层次安全所需的技术手段、安全设备、技术可行性等综合分析，各安全层次技术需求分析主要考虑以下几个方面。
1.物理层
物理层安全是指对信息系统涉及的主机房、辅助机房、办公环境等进行物理安全保护。具体关注内容包括物理位置选择、物理访问控制、防盗窃和防破坏、防雷击、防火、防水和防潮、防静电、温湿度控制、电力供应和电磁防护等。
2.网络层
网络层安全是指对信息系统涉及的通信网络、网络边界、网络区域和网络设备等进行安全保护。具体关注内容包括通信过程数据完整性、保密性和可靠性，以及设备和线路冗余、区域网络的边界保护、区域划分、身份认证、访问控制、安全审计、入侵防范、恶意代码防范、网络设备自身保护和网络管理等。
3.主机层
主机层安全是指对信息系统涉及的服务器和工作站进行主机系统安全保护。具体关注内容包括操作系统或数据库管理系统的选择、安装和安全配置、主机入侵防范、恶意代码防范、资源使用和运行情况监控等。其中，安全配置细分为身份鉴别、访问控制、安全审计等方面的配置内容。
4.应用层
应用层安全主要是对信息系统涉及的应用系统进行安全保护。具体关注内容包括应用系统实现身份鉴别、访问控制、安全审计、剩余信息保护、通信完整性、通信保密性、抗抵赖、软件容错和资源控制等功能。
5.数据层
数据层安全主要对信息系统中业务数据的传输、存储和备份恢复进行安全保护。具体关注内容包括数据备份系统、冗余备用设备，以及备份恢复相关技术设施等。
在安全管理方面，与技术层对应的也分物理层安全、网络层安全、主机层安全、应用层安全和数据层安全。在各层次都涉及安全管理机构、安全管理制度、人员安全管理、系统建设安全管理和系统运维安全管理等几个方面，各安全层次所要求的管理需求主要考虑以下几个方面。
1.物理层
物理层安全管理需求具体关注的内容包括机房管理制度，人员、系统、终端出入登记审批管理办法，规范人员录用、离岗过程管理办法等。
2.网络层
网络层管理需求具体关注的内容包括入侵和攻击防范制度、安全域划分策略、密码设备管理办法、加密策略、网络访问控制管理办法等。
3.主机层
主机层管理需求具体关注的内容包括入侵和攻击防范管理制度和策略、系统和终端接入管理办法、安全加固规程、系统加固与恢复方法、病毒防杀规程、存储介质管理办法、数据存储和清除管理制度、应用系统主机管理办法等。
4.应用层
应用层管理需求具体关注的内容包括应用系统管理办法、应用软件审计、权限管理办法等功能。
5.数据层
数据层管理需求具体关注的内容包括密码设备管理、加密策略、存储介质管理办法、数据存储和清除管理、数据库管理、数据库管理权限、安全审计、数据库备份、应急恢复管理办法等。