信息安全--(四)网络安全体系与安全模型(二)

其他安全模型

■纵深防御模型:①安全保护②安全监测③实时响应④恢复

■分层防护模型:参考OSI模型,对保护对象进行层次化保护。

■等级保护模型:将信息系统划分成不同安全保护等级,采取相 应的保护措施。

■网络生存模型:系统遭受入侵,网络信息系统仍然能够持续提 供必要服务的能力。遵循"3R"策略,抵抗 (Resistance)、 识 别 (Recognition)、 和恢复 (Recovery)。

网络安全原则

■ (1)系统性和动态性原则。强调系统的整体安全性,即"木桶原则"。网络安全策略根据网络系统的 安全环境和攻击适时而变。

■ (2)纵深防护与协作性原则。各种网络安全技术之间应该互相补充,互相配合。网络安全体系应该包 括安全评估、安全防护、安全监测、安全应急响应体制。

■ (3)网络安全风险和分级保护原则。网络安全体系要正确处理需求、风险与代价的关系,做到安全性 与可用性相容,做到组织上可执行。分级保护是指根据网络资产的安全级别,采用合适的网络防范措施来保护网络资产,做到适度防护。

■ (4)标准化与一致性原则。

■ (5)技术与管理相结合原则。

■ (6)安全第一,预防为主原则。

■ (7)安全与发展同步,业务与安全等同。

■ (8)人机物融合和产业发展原则。

网络安全体系架构

网络安全组织

■ 网络安全组织结构主要包括领导层、管理层、执行层以及外部协作层等。

|-------|---------------------------------------------------------------------------------------------------------|
| 层次 | 内容 |
| 领导层 | 由各部门的领导组成,主要职责: · 协调各部门的工作;审查与批准网络系统安全策略; · 审查与批准网络安全项目实施计划与预算;网络安全工作人员考察和录用。 |
| 管理层 | 由安全负责人和中层管理人员组成,主要职责: ·制订网络系统安全策略;制订安全项目实施计划与预算;制订安全工作的工作流程; ·监督安全项目的实施;监督日常维护中的安全;监督安全事件的应急处理。 |
| 执行层 | 由业务人员、技术人员、系统管理员、项目工程人员等组成,主要职责: · 实现网络系统安全策略;执行网络系统安全规章制度;遵循安全工作的工作流程; · 负责各个系统或网络设备的安全运行;负责系统的日常安全维护。 |
| 外部协作层 | 由组织外的安全专家或合作伙伴组成,其职责主要有: · 定期介绍计算机系统和信息安全的最新发展趋势;计算机系统和信息安全的管理培训; ·新的信息技术安全风险分析;网络系统建设和改造安全建议;网络安全事件协调。 |

安全管理

■ 网络安全管理体系涉及五个方面内容:管理目标、管理手段、管理主体、管理依据、管理资源。 管理目标: (大)政治、经济、文化、国防安全等,(小)网络系统的保密、可用、可控等。

■ 管理手段:包括安全评估、安全监管、应急响应、安全协调、安全标准和规范、保密检查、认证和访 问控制等;

■ 管理主体:大的方面包括国家网络安全职能部门,小的方面主要是网络管理员、单位负责人等;

■ 管理依据:行政法规、法律、部门规章制度、技术规范等;

■ 管理资源:包括安全设备、管理人员、安全经费、时间等。

■ 人员安全。目标是降低误操作、偷窃、诈骗或滥用等人为造成的网络安全风险。在人员安全工作安排方面,遵循三个原则:多人负责原则、任期有限原则、职责分离原则。

网络安全等级保护2.0

■ 等级保护分为五个:第一级(用户自主保护级)、第二级(系统审计保护级)、第三级(安全标记保护级)、第四级(结构化保护级)、第五级(访问验证保护级)。

■ 根据信息系统按照重要性和受破坏后的危害性进行定级,二级和三级居多。

等保项目流程

等保标准化

等保2.0变化

■ ①扩大了对象方位,将云计算、移动互联、物联网、工业控制系统等列入标准范围,构成了"网络安全 通用要求+新型应用的网络安全扩展要求"的要求内容。

■ ②提出了在"安全通信网络""安全区域边界""安全计算环境"和"安全管理中心"支持下的三重防护体系架构。

■ ③等级保护2.0新标准强化了可信计算技术使用的要求,各级增加了"可信验证"控制点。其中一级要 求设备的系统引导程序、系统程序等进行可信验证;二级增加重要配置参数和应用程序进行可信验证,并将验证结果形成审计记录送至安全管理中心;三级增加应用程序的关键执行环节进行动态可信验证; 四级增加应用程序的所有执行环节进行动态可信验证。

等保新增内容

云计算:

· 云服务商侧的云计算平台(不应低于云租户保护等级)

· 云服务客户(云租户)侧的业务系统

·大型云计算平台的运营、运维系统

移动互联网:

· 移动终端、移动应用、无线网络、相关有线网络 业务系统

物联网:

· 感知、网络传输和处理应用

工业控制系统:

· 现场采集/执行、现场控制和过程监控系统

· 生产管理系统

大数据:

· 安全责任主体相同的大数据、大数据平台和 应用(原则上不低于三级)

相关推荐
码农12138号3 小时前
BUUCTF在线评测-练习场-WebCTF习题[GXYCTF2019]BabyUpload1-flag获取、解析
web安全·网络安全·文件上传漏洞·buuctf·解析漏洞
Johny_Zhao3 小时前
Docker + CentOS 部署 Zookeeper 集群 + Kubernetes Operator 自动化运维方案
linux·网络安全·docker·信息安全·zookeeper·kubernetes·云计算·系统运维
诗句藏于尽头5 小时前
完成ssl不安全警告
网络协议·安全·ssl
独行soc9 小时前
#渗透测试#批量漏洞挖掘#HSC Mailinspector 任意文件读取漏洞(CVE-2024-34470)
linux·科技·安全·网络安全·面试·渗透测试
Me4神秘10 小时前
Linux国产与国外进度对垒
linux·服务器·安全
Me4神秘11 小时前
电信、移动、联通、广电跨运营商网速慢原因
网络
老K(郭云开)11 小时前
谷歌浏览器安全输入控件-allWebSafeInput控件
安全
Whoisshutiao11 小时前
网安-XSS-pikachu
前端·安全·网络安全
数通Dinner12 小时前
RSTP 拓扑收敛机制
网络·网络协议·tcp/ip·算法·信息与通信
还是奇怪12 小时前
Linux - 安全排查 2
linux·运维·安全