信息系统安全保障-wenkub.com

【正文】

2023年 2月 上午 1时 47分 :47February 11, 2023  1业余生活要有意义，不要越轨。 01:47:0201:47:0201:47Saturday, February 11, 2023  1知人者智，自知者明。 上午 1时 47分 2秒 上午 1时 47分 01:47:  杨柳散和风，青山澹吾虑。 2023年 2月 11日星期六 上午 1时 47分 2秒 01:47:  1楚塞三湘接，荆门九派通。 01:47:0201:47:0201:472/11/2023 1:47:02 AM  1成功就是日复一日那一点点小小努力的积累。 2023年 2月 上午 1时 47分 :47February 11, 2023  1行动出成果，工作出财富。 01:47:0201:47:0201:47Saturday, February 11, 2023  1乍见翻疑梦，相悲各问年。 实施所选的安全控制措施 依据策略、程序、标准和法律法规，对安全措施的实施状况进行符合性检查 针对检查结果采取应对措施，改进安全状况 典型问题  组织体系：无专职信息安全部门和岗位，安全技术人员较匮乏  管理机制：缺乏各安全相关岗位的职责、缺少有效的操作流程  安全运维：外部单位的运维缺乏有效管理及限制  应急预案：未制定可操作的应急预案，未进行有效的应急演练  教育培训：主要为保密培训，很少进行安全技术人员的技能培训及全面的信息安全意识教育 安全管理体系 —— 典型问题 安全管理体系 —— 风险与成本的平衡 高 高 低 安全事件的损失 安全控制的成本 最小化的总成本 所提供的安全水平 GB/T 93611988《 计算站场地安全要求 》 GB/T 183362023《 信息技术安全性评估准则 》 GB/T 220812023《 信息安全管理实用规则 》 GB/T 222392023《 信息系统安全等级保护基本要求 》 GB/T 209842023《 信息安全风险评估规范 》 相关标准 谢谢！  静夜四无邻，荒居旧业贫。 2023年深圳福利彩票 3305万元巨奖诈骗案  软件开发商员工，编写木马、进入机房，植入木马，修改中奖数据。 系统运维安全 —— 要求 安全技术要求 —— 入侵检测与防护  入侵监控产品的安全规则应符合系统安全策略的要求，能检测到违反规则的行为，入侵监控功能不被旁路；  定期更新入侵监控产品的特征数据库，定期分析入侵监控记录，并根据系统已经存在或潜在的安全漏洞及时调整监控策略；  当检测到入侵行为后应通过电子邮件、声音、短信等方式，及时报告管理员；  只允许授权人员管理入侵监控规则，如定义攻击特征库、设置入侵响应方式等。  某单位网管系统 ：部署的网络管理系统未设置合理的监控指标阈值，部分指标设置过低导致常年报警，系统管理员未进行有效监管，网管系统形同虚设。 典型案例  iPad用户信息泄漏： 2023年 6月 10日黑客团体Goatse Security 破解了 ATT网站的安全漏洞，获得了大约 iPad用户的注册信息，包括 Email地址、 SIM卡串号  浙江省政府门户网站数据库数据被删除： 网站页面代码未对用户输入参数进行合法性检查，存在 SQL注入漏洞，通过网页删除了后台 Oracle数据库所有表单；  2023年本市某单位网站考试报名系统数据泄露 ：可通过 SQL注入绕过密码验证，可直接下载报考人姓名 /照片 /身份证号码 /电话 /住址等隐私信息 应用软件安全 —— 案例 具体安全要求 —— 基本安全功能  具有 身份鉴别 机制，根据应用需求采取适当的鉴别机制来鉴别访问用户的身份，用户身份唯一，并保证鉴别机制不可旁路；  如果采用口令鉴别机制，应采用技术机制保证口令的质量强度；如果采用密码技术的鉴别机制，相关密码技术应符合国家密码管理部门的规定；  具备鉴别失败的处理机制。 应用平台安全 —— 案例 基本目标  Web服务、 应用层服务、 邮件服务等通用应用平台应该根据系统 总体 安全策略进行选择和安全配置，并及时升级补丁包。 操作系统安全 —— 要求 安全技术要求之 —— 数据库安全 数据库 版本更新与漏洞修补 口令质量 用户权限分配 存储过程及函数 开放 安全审计 典型案例  某单位内网核心业务 Oralce数据库 ：管理员密码易猜测 (manager)，内部非授权人员可轻易进入数据库查询本无权访问的业务信息、甚至删除数据。 网络设备安全 —— 案例 具体安全要求（以路由器交换机为例）  保持路由器 /交换机软件版本的更新，修补高风险的漏洞； （软件更新 )  禁止与应用无关的网络服务，关闭与应用无关的网络接口； ( 最少服务 )  对登录的用户进行身份标识和鉴别，身份标识唯一，不反馈鉴别信息；  修改路由器 /交换机默认用户的口令或禁止默认用户访问，用户口令应满足长度和复杂性要求，并对配置口令进行加密保护； （用户管理 ,最小权限 )  当登录连接超时，应自动断开连接，并要求重新鉴别； 网络设备安全 —— 要求 具体安全要求  对能够登录路由器 /交换机的网络地址进行限制，关闭与应用无关的远程访问接口； (访问控制 )  对登录提示信息进行设置，不显示路由器 /交换机型号、引擎版本、部门信息等；  对路由器 /交换机配置进行备份，且对备份文件的读取实施访问控制；  开启路由器 /交换机日志功能，对修改访问控制列表、调整设备配置的操作行为进行审计记录。 网络结构安全 —— 案例 具体安全要求  应对网络边界上部署的网络隔离设备中根据应用需求设置合理的 访问控制 规则，合理开放对外服务  应对系统内部服务器区域进行划分及隔离，在终端计