系統(tǒng)運(yùn)營中的風(fēng)險(xiǎn)管理課件

系統(tǒng)運(yùn)行中風(fēng)險(xiǎn)管理李改成lgc@系統(tǒng)運(yùn)營中的風(fēng)險(xiǎn)管理課件第1頁主要內(nèi)容資源配置和優(yōu)化系統(tǒng)切換日常運(yùn)行管理例程、日常操作備份和恢復(fù)數(shù)據(jù)備份、數(shù)據(jù)恢復(fù)、安全恢復(fù)災(zāi)難恢復(fù)災(zāi)難恢復(fù)層次恢復(fù)指標(biāo)成本-效益分析安全事件管理流程安全事件管理工具審計(jì)、安全警報(bào)、審計(jì)日志事件分析關(guān)聯(lián)安全事件匯報(bào)風(fēng)險(xiǎn)實(shí)時(shí)控制基于范例推理系統(tǒng)運(yùn)營中的風(fēng)險(xiǎn)管理課件第2頁TPCTPC(TransactionProcessingPerformanceCouncil，事務(wù)處理性能委員會(huì))制訂商務(wù)應(yīng)用基準(zhǔn)程序(Benchmark)標(biāo)準(zhǔn)規(guī)范、性能和價(jià)格度量，并管理測試結(jié)果公布。TPC－C是在線事務(wù)處理(OLTP)基準(zhǔn)程序。在使用時(shí)，考查基準(zhǔn)程序是否符合企業(yè)真實(shí)業(yè)務(wù)流程和運(yùn)作模式。當(dāng)一樣主機(jī)用在不一樣系統(tǒng)中時(shí)，tpC值可能有相當(dāng)大改變。選擇主機(jī)主機(jī)系統(tǒng)應(yīng)該具備與業(yè)務(wù)規(guī)模和特點(diǎn)相適應(yīng)處理能力。主機(jī)系統(tǒng)處理要求應(yīng)與每筆業(yè)務(wù)所消耗主機(jī)CPU處理能力和系統(tǒng)要求到達(dá)單位時(shí)間內(nèi)交易筆數(shù)相關(guān)。因?yàn)槟撤N特殊情況出現(xiàn)，可能造成突發(fā)性業(yè)務(wù)尖峰，為了防止因?yàn)闃I(yè)務(wù)出現(xiàn)突發(fā)尖峰造成系統(tǒng)瓦解，我們需要對(duì)資源占用作出對(duì)應(yīng)控制。系統(tǒng)運(yùn)營中的風(fēng)險(xiǎn)管理課件第3頁冗余為實(shí)現(xiàn)運(yùn)行過程中安全恢復(fù)，需要建立一個(gè)可靠并經(jīng)過驗(yàn)證系統(tǒng)基礎(chǔ)結(jié)構(gòu)，系統(tǒng)每一級(jí)部件都一定要有冗余。對(duì)于關(guān)鍵IT應(yīng)用來講，管理層應(yīng)有規(guī)律地評(píng)定不間斷電源電池和發(fā)電機(jī)需求。對(duì)主機(jī)房電源要有完整雙回路備份機(jī)制,不間斷電源（UPS），確保關(guān)鍵IT應(yīng)用不受電源失效或波動(dòng)影響。主機(jī)、網(wǎng)絡(luò)設(shè)備、前置機(jī)等關(guān)鍵易損件是否有備份.硬件如多CPU和硬盤鏡像并行服務(wù)器、廉價(jià)磁盤冗余陣列(RAIDs)。經(jīng)過通信端口備份，可提升網(wǎng)絡(luò)響應(yīng)速度，實(shí)現(xiàn)網(wǎng)絡(luò)容錯(cuò)和恢復(fù)。操作系統(tǒng)、中間件、數(shù)據(jù)庫系統(tǒng)和應(yīng)用系統(tǒng)應(yīng)能提供安全恢復(fù)機(jī)制，比如，數(shù)據(jù)庫日志和鎖定。應(yīng)用備用系統(tǒng) 普通來說，可實(shí)現(xiàn)服務(wù)級(jí)別要低。比如，當(dāng)電子終端不可用時(shí)，使用手工壓卡機(jī)進(jìn)行信用卡交易。這是應(yīng)用級(jí)冗余例子。不一樣層次使用不一樣機(jī)制，用于不一樣目標(biāo)。冗余磁盤不能預(yù)防惡意程序員刪除賬戶文件備份不能阻止它插入越來越多錯(cuò)誤，更不能保護(hù)數(shù)據(jù)機(jī)密性。系統(tǒng)運(yùn)營中的風(fēng)險(xiǎn)管理課件第4頁系統(tǒng)選擇標(biāo)準(zhǔn)系統(tǒng)配置考量標(biāo)準(zhǔn)一是性能和容量方面要求，對(duì)資源性能、應(yīng)用規(guī)模和工作量需求方面數(shù)據(jù)進(jìn)行搜集、分析和匯報(bào)，相關(guān)硬件和軟件性能/價(jià)格比改變。跟蹤全部IT資源分配成本，包含但不限于此：硬件、外圍設(shè)、線路、應(yīng)用開發(fā)和支持、行政管理開銷、?外部賣主服務(wù)成本、維護(hù)系統(tǒng)選擇分析不一樣成本分類性能和關(guān)于成本效益外部基準(zhǔn)，方便允許與行業(yè)預(yù)期或可選擇服務(wù)起源進(jìn)行比較。同時(shí)注意不應(yīng)過于依賴于同一個(gè)供給商。關(guān)鍵系統(tǒng)如芯片、操作系統(tǒng)、主要應(yīng)用軟件國產(chǎn)化問題。十五期間，中科院計(jì)算所將在通用CPU設(shè)計(jì)上取得重大突破，表明Linux操作系統(tǒng)在銀行應(yīng)用也是可行。當(dāng)前關(guān)鍵問題是組織力量開發(fā)與IBM企業(yè)軟件相當(dāng)大型應(yīng)用軟件。系統(tǒng)運(yùn)營中的風(fēng)險(xiǎn)管理課件第5頁提升主機(jī)利用效率IT虛擬化技術(shù)可到達(dá)多操作系統(tǒng)平臺(tái)上集成虛擬化：在關(guān)鍵自動(dòng)化規(guī)則比如可用性、安全、優(yōu)化和預(yù)先配置之間進(jìn)行協(xié)調(diào)，依據(jù)應(yīng)用優(yōu)先級(jí)自動(dòng)分配資源，確保需求到達(dá)峰值時(shí)應(yīng)用服務(wù)水平。在年底止算業(yè)務(wù)高峰期，只需一個(gè)簡單命令，就能夠把其它設(shè)備聚合成一臺(tái)超大設(shè)備，集中全部資源，全方面應(yīng)對(duì)峰值業(yè)務(wù)。而在平時(shí)，則可把閑置資源用于人事系統(tǒng)、辦公系統(tǒng)等。能夠?qū)⒂脩糍Y源利用率從平均20%提升到50%，并降低30%-40%管理時(shí)間。更主要是，即使某個(gè)部分出現(xiàn)故障，適應(yīng)性IT系統(tǒng)也能自動(dòng)調(diào)用資源，接管對(duì)應(yīng)計(jì)算，防止因故障而宕機(jī)，實(shí)現(xiàn)不間斷穩(wěn)定業(yè)務(wù)運(yùn)行。

系統(tǒng)運(yùn)營中的風(fēng)險(xiǎn)管理課件第6頁網(wǎng)絡(luò)配置網(wǎng)絡(luò)負(fù)擔(dān)是影響系統(tǒng)成敗一個(gè)重要因素。線路檢查可供客戶使用容量，采取必要措施保證接入線路通暢，并采用適當(dāng)備份和負(fù)載均衡技術(shù)，保證客戶服務(wù)可用性。網(wǎng)絡(luò)設(shè)備全部關(guān)鍵網(wǎng)絡(luò)設(shè)備如交換機(jī)、路由器等均采用雙機(jī)冗余熱備份措施采用優(yōu)先級(jí)隊(duì)列、數(shù)據(jù)壓縮等技術(shù)靈活有效地利用帶寬。密碼加速設(shè)備 解決對(duì)CPU資源過量需求安全協(xié)議所造成性能問題。系統(tǒng)運(yùn)營中的風(fēng)險(xiǎn)管理課件第7頁日常管理例程人員管理和溝通在聘用前進(jìn)行詳細(xì)考查，確定有沒有犯罪統(tǒng)計(jì)，確保雇員、協(xié)議工和第三方用戶了解其本身責(zé)任，適合角色定位，降低偷竊、欺詐或誤用設(shè)施帶來風(fēng)險(xiǎn)。確保全部雇員、協(xié)議工和第三方用戶都意識(shí)到信息安全威脅、利害關(guān)系、責(zé)任和義務(wù)。加強(qiáng)對(duì)從業(yè)人員，尤其是一線員工業(yè)務(wù)培訓(xùn)，促使員工熟練掌握各業(yè)務(wù)步驟操作規(guī)范，降低或防止出現(xiàn)操作失誤。明確解聘責(zé)任，要求返還資產(chǎn)，去除訪問權(quán)限，確保雇員、協(xié)議工和第三方用戶按照既定方式離職或變更職位。系統(tǒng)運(yùn)營中的風(fēng)險(xiǎn)管理課件第8頁日常管理例程另一個(gè)問題是當(dāng)風(fēng)險(xiǎn)含有政治上敏感性時(shí)，直接了當(dāng)?shù)乇砻麽槍?duì)內(nèi)部員工安全控制會(huì)刺激他們作為主人翁尊嚴(yán)，可能需要一些遮掩方法。經(jīng)常，內(nèi)部控制辦法需要以降低錯(cuò)誤和保護(hù)員工面目被引入。比如，銀行經(jīng)理愿意使用雙重保險(xiǎn)鎖，因?yàn)檫@會(huì)降低他們家人被綁架勒索危險(xiǎn)，一樣，大額交易雙重署名會(huì)減輕他們責(zé)任壓力。不過，并不是在任何情況下都能到達(dá)這么共識(shí)。經(jīng)過操作員要循環(huán)輪班，采取渡假和休假并維護(hù)資格。操作人員更換期間，經(jīng)過要求活動(dòng)、狀態(tài)更新和相關(guān)當(dāng)前責(zé)任匯報(bào)正式移交，建立一個(gè)處理連續(xù)性程序。另外，應(yīng)存在一個(gè)程序，來確認(rèn)、調(diào)查、審批與標(biāo)準(zhǔn)工作時(shí)間安排背離。系統(tǒng)運(yùn)營中的風(fēng)險(xiǎn)管理課件第9頁日常操作操作規(guī)程處理信息系統(tǒng)運(yùn)行以完成業(yè)務(wù)目標(biāo)政策和程序，包含系統(tǒng)啟停、動(dòng)態(tài)調(diào)整、定時(shí)數(shù)據(jù)清理、開啟、關(guān)機(jī)、工作負(fù)載計(jì)劃安排等。操作規(guī)程最初時(shí)間安排以及這些時(shí)間安排變更，應(yīng)被適當(dāng)?shù)厥跈?quán)。經(jīng)過歸檔、定時(shí)地測試以及依據(jù)需要進(jìn)行調(diào)整，IT管理層應(yīng)確保操作人員對(duì)開啟程序和其它操作任務(wù)足夠熟悉和自信。管理模式和管理辦法應(yīng)伴隨業(yè)務(wù)改變和客觀環(huán)境需要進(jìn)行調(diào)整、補(bǔ)充和完善。針對(duì)不一樣安全崗位操作管理對(duì)主要設(shè)施設(shè)備接觸、檢驗(yàn)、維修和應(yīng)急處理，應(yīng)有明確權(quán)限界定、責(zé)任劃分和操作流程。網(wǎng)點(diǎn)正當(dāng)性管理、網(wǎng)絡(luò)隔離、網(wǎng)絡(luò)運(yùn)行監(jiān)控管理、網(wǎng)絡(luò)信道安全管理、網(wǎng)絡(luò)設(shè)備設(shè)施安全管理等內(nèi)容操作系統(tǒng)安全管理主要包含系統(tǒng)管理員級(jí)別劃分、訪問權(quán)限控制管理、日常維護(hù)安全管理、故障診療及處理、審計(jì)跟蹤等幾方面內(nèi)容系統(tǒng)運(yùn)營中的風(fēng)險(xiǎn)管理課件第10頁日常操作數(shù)據(jù)庫訪問控制管理、數(shù)據(jù)備份管理、數(shù)據(jù)使用授權(quán)管理、數(shù)據(jù)存放時(shí)限管理、數(shù)據(jù)密級(jí)管理等操作安全管理是主要包含操作權(quán)限管理、操作規(guī)范管理、操作責(zé)任管理、操作監(jiān)督管理和誤操作恢復(fù)管理等內(nèi)容管理和維護(hù)失效和例外跟蹤統(tǒng)計(jì)系統(tǒng)維護(hù)方面問題，方便標(biāo)識(shí)需要額外關(guān)注地方，內(nèi)容包含對(duì)正常管理及維護(hù)程序例外情況描述，其中包含該例外情況出現(xiàn)原因和連續(xù)時(shí)間。對(duì)系統(tǒng)運(yùn)行過程中出現(xiàn)故障，能從系統(tǒng)軟件、應(yīng)用軟件等不一樣層次提供故障碼。尤其是應(yīng)用系統(tǒng)應(yīng)該提供故障點(diǎn)、診療信息以及故障庫等。每個(gè)安全應(yīng)用必須包括建立適當(dāng)安全參數(shù)，實(shí)現(xiàn)這些參數(shù)，監(jiān)視和分析運(yùn)行結(jié)果并調(diào)整這些參數(shù)。系統(tǒng)運(yùn)營中的風(fēng)險(xiǎn)管理課件第11頁數(shù)據(jù)備份數(shù)據(jù)類型從數(shù)據(jù)用途角度普通可將數(shù)據(jù)分為系統(tǒng)數(shù)據(jù)、基礎(chǔ)數(shù)據(jù)、應(yīng)用數(shù)據(jù)、暫時(shí)數(shù)據(jù)；依據(jù)數(shù)據(jù)存貯與管理方式又可分為數(shù)據(jù)庫數(shù)據(jù)、非數(shù)據(jù)庫數(shù)據(jù)。(1)系統(tǒng)數(shù)據(jù)（SYSTEMDATA）系統(tǒng)數(shù)據(jù)主要是指操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)和應(yīng)用系統(tǒng)執(zhí)行程序。系統(tǒng)數(shù)據(jù)在系統(tǒng)安裝后基本上不再變動(dòng)，只有在操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)版本升級(jí)或應(yīng)用程序調(diào)整時(shí)才發(fā)生改變。系統(tǒng)數(shù)據(jù)普通都有標(biāo)準(zhǔn)安裝介質(zhì)（軟盤、磁帶、光盤）。(2)基礎(chǔ)數(shù)據(jù)（INFRASTRUCTUREDATA）基礎(chǔ)數(shù)據(jù)主要是指確保應(yīng)用系統(tǒng)正常運(yùn)行所使用系統(tǒng)目錄、用戶目錄、系統(tǒng)配置文件、網(wǎng)絡(luò)配置文件、應(yīng)用配置文件、存取權(quán)限控制等?；A(chǔ)數(shù)據(jù)隨應(yīng)用系統(tǒng)運(yùn)行環(huán)境改變而改變，普通作為系統(tǒng)檔案進(jìn)行保留。(3)應(yīng)用數(shù)據(jù)（APPLICATIONDATA）應(yīng)用數(shù)據(jù)主要是指應(yīng)用系統(tǒng)全部業(yè)務(wù)數(shù)據(jù)，對(duì)數(shù)據(jù)安全性、準(zhǔn)確性、完整性要求很高而且改變頻繁系統(tǒng)運(yùn)營中的風(fēng)險(xiǎn)管理課件第12頁數(shù)據(jù)類型(4)暫時(shí)數(shù)據(jù)（TEMPORARYDATA）主要是指操作系統(tǒng)、數(shù)據(jù)庫產(chǎn)生系統(tǒng)日志和應(yīng)用程序在執(zhí)行過程中產(chǎn)生各種用于打印、傳輸暫時(shí)文件，隨系統(tǒng)運(yùn)行和業(yè)務(wù)發(fā)生而改變。暫時(shí)數(shù)據(jù)對(duì)業(yè)務(wù)數(shù)據(jù)完整性影響不大，增大后需要定時(shí)進(jìn)行清理。(5)數(shù)據(jù)庫數(shù)據(jù)（DATABASEDATA）是指經(jīng)過數(shù)據(jù)庫管理系統(tǒng)（DBMS）來進(jìn)行存取和管理數(shù)據(jù)。(6)非數(shù)據(jù)庫數(shù)據(jù)（NON-DATABASEDATA）是指經(jīng)過文件管理系統(tǒng)等非數(shù)據(jù)庫管理系統(tǒng)來進(jìn)行存取和管理數(shù)據(jù)。(7)孤立數(shù)據(jù)（ORPHANDATA）是指從最終一次應(yīng)用數(shù)據(jù)備份后到事件發(fā)生、系統(tǒng)運(yùn)行停頓前未備份數(shù)據(jù)。這部分?jǐn)?shù)據(jù)通常需要經(jīng)過人工等方法重新錄入到系統(tǒng)中。普通情況下，孤立數(shù)據(jù)越多，系統(tǒng)恢復(fù)時(shí)間就越長，業(yè)務(wù)停頓時(shí)間也就越長。孤立數(shù)據(jù)多少與數(shù)據(jù)備份周期有很大關(guān)系。(8)遺失數(shù)據(jù)（LOSTDATA）是指無法恢復(fù)或填補(bǔ)數(shù)據(jù)。系統(tǒng)運(yùn)營中的風(fēng)險(xiǎn)管理課件第13頁數(shù)據(jù)類型特點(diǎn)系統(tǒng)運(yùn)營中的風(fēng)險(xiǎn)管理課件第14頁數(shù)據(jù)備份策略依據(jù)采取數(shù)據(jù)備份技術(shù)和數(shù)據(jù)備份方式能夠?qū)?shù)據(jù)備份策略分為以下幾類:(1)定時(shí)備份指按一定時(shí)間間隔（普通為一天）將系統(tǒng)某一時(shí)刻數(shù)據(jù)備份到磁帶等介質(zhì)上。對(duì)不一樣數(shù)據(jù)類型應(yīng)依據(jù)其易變性采取不一樣備份周期。(2)定時(shí)備份＋關(guān)鍵數(shù)據(jù)備份除對(duì)數(shù)據(jù)作定時(shí)備份之外，還更新數(shù)據(jù)日志或流水等關(guān)鍵數(shù)據(jù)及時(shí)地備份下來傳送到安全地方，關(guān)鍵數(shù)據(jù)備份時(shí)間間隔比定時(shí)備份要短，也能夠是實(shí)時(shí)備份。數(shù)據(jù)庫管理系統(tǒng)普通支持此種策略，能夠用歸檔／備份工具作定時(shí)備份（如informix０級(jí)備份），同時(shí)采取日志備份工具對(duì)日志作及時(shí)備份（如informix邏輯日志連續(xù)備份）。系統(tǒng)運(yùn)營中的風(fēng)險(xiǎn)管理課件第15頁數(shù)據(jù)備份策略此方式孤立數(shù)據(jù)較定時(shí)備份方式要少得多。不過，數(shù)據(jù)恢復(fù)時(shí)間依然較長。有時(shí)仍需要依靠紙質(zhì)憑證或其它介質(zhì)來恢復(fù)孤立數(shù)據(jù)。(3)關(guān)鍵數(shù)據(jù)備份連續(xù)恢復(fù)在備份系統(tǒng)中，裝有運(yùn)行系統(tǒng)數(shù)據(jù)影像拷貝，關(guān)鍵數(shù)據(jù)及時(shí)地抽取后，馬上在備份系統(tǒng)上更新數(shù)據(jù)庫。因?yàn)閭浞葜行囊褜?shù)據(jù)恢復(fù)到最近狀態(tài)，數(shù)據(jù)組織形式與運(yùn)行系統(tǒng)相同，因而恢復(fù)時(shí)間將縮短很多。在此策略中，投資較大，需要數(shù)據(jù)備份主機(jī)或后備運(yùn)行主機(jī)，假如采取數(shù)據(jù)通信方式傳送關(guān)鍵數(shù)據(jù)，還有一定通信費(fèi)用支出。另外，在此策略中，孤立數(shù)據(jù)與定時(shí)備份＋關(guān)鍵數(shù)據(jù)備份策略一樣多。系統(tǒng)運(yùn)營中的風(fēng)險(xiǎn)管理課件第16頁數(shù)據(jù)備份策略(4)實(shí)時(shí)備份異步更新數(shù)據(jù)更新操作日志在被統(tǒng)計(jì)進(jìn)運(yùn)行系統(tǒng)日志同時(shí)，經(jīng)過數(shù)據(jù)通信線路傳送到災(zāi)難備份系統(tǒng)，并馬上對(duì)備份系統(tǒng)數(shù)據(jù)影像拷貝進(jìn)行更新。因?yàn)閿?shù)據(jù)更新操作被及時(shí)追加到災(zāi)難備份系統(tǒng)，因而，孤立數(shù)據(jù)極少，另外備份數(shù)據(jù)組織形式與運(yùn)行系統(tǒng)相同，所以恢復(fù)時(shí)間很短，主要是追補(bǔ)孤立數(shù)據(jù)和網(wǎng)絡(luò)切換時(shí)間。支持此策略技術(shù)普通有遠(yuǎn)程磁盤鏡像異步方式、遠(yuǎn)程數(shù)據(jù)庫復(fù)制異步方式和網(wǎng)絡(luò)數(shù)據(jù)鏡像異步方式，如IBMES/9000XRC,IBMAS/400MIMIX,EMCSRDF異步方式,INFORMIXHDR異步方式,UNISYSRDB異步方式等。系統(tǒng)運(yùn)營中的風(fēng)險(xiǎn)管理課件第17頁數(shù)據(jù)備份策略(5)實(shí)時(shí)備份同時(shí)更新數(shù)據(jù)更新操作同時(shí)在運(yùn)行系統(tǒng)和備份系統(tǒng)進(jìn)行，運(yùn)行系統(tǒng)數(shù)據(jù)更新操作首先經(jīng)過高速數(shù)據(jù)通信線路傳送到備份系統(tǒng)，寫入備份系統(tǒng)磁盤，運(yùn)行系統(tǒng)在收到備份系統(tǒng)完成數(shù)據(jù)更新操作確實(shí)認(rèn)之后，寫入當(dāng)?shù)卮疟P。因?yàn)閿?shù)據(jù)更新操作同時(shí)寫入備份系統(tǒng)，因而，孤立數(shù)據(jù)極少，基本無需追補(bǔ)。因?yàn)閭浞菹到y(tǒng)處于熱備份狀態(tài)，所以災(zāi)難發(fā)生后恢復(fù)時(shí)間極短，主要是網(wǎng)絡(luò)切換時(shí)間。此策略投資和運(yùn)行費(fèi)用最高，因?yàn)樾枰咚贁?shù)據(jù)通信線路，在當(dāng)前通信技術(shù)條件下，只能限于同城范圍，且通信費(fèi)用很高。另外，此方式下，數(shù)據(jù)備份對(duì)運(yùn)行系統(tǒng)性能可能會(huì)有一定影響。支持此策略技術(shù)普通有遠(yuǎn)程磁盤鏡像同時(shí)方式、遠(yuǎn)程數(shù)據(jù)庫復(fù)制同時(shí)方式和網(wǎng)絡(luò)數(shù)據(jù)鏡像同時(shí)方式，如IBMES/9000PPRC,IBMRS/6000HAGEO,EMCSRDF同時(shí)方式,INFORMIXHDR同時(shí)方式等。系統(tǒng)運(yùn)營中的風(fēng)險(xiǎn)管理課件第18頁數(shù)據(jù)恢復(fù)數(shù)據(jù)恢復(fù)普通按系統(tǒng)數(shù)據(jù)

基礎(chǔ)數(shù)據(jù)

應(yīng)用數(shù)據(jù)次序進(jìn)行。應(yīng)用數(shù)據(jù)恢復(fù)1．已備份應(yīng)用數(shù)據(jù)恢復(fù)：依據(jù)所采取數(shù)據(jù)備份策略制訂對(duì)應(yīng)數(shù)據(jù)恢復(fù)方法。2．孤立數(shù)據(jù)恢復(fù)：人工追帳法 在主機(jī)系統(tǒng)進(jìn)行備份數(shù)據(jù)恢復(fù)之后，直接經(jīng)過原始憑證重新錄入流水批量追帳法將各聯(lián)網(wǎng)方（如網(wǎng)點(diǎn)、前置機(jī)、網(wǎng)間交易對(duì)方等）業(yè)務(wù)流水統(tǒng)計(jì)文件經(jīng)過網(wǎng)絡(luò)傳送到災(zāi)難備份系統(tǒng)，經(jīng)過批量追帳功效批量地、自動(dòng)地錄入系統(tǒng)。3.數(shù)據(jù)完整性和一致性檢驗(yàn)?zāi)軌蛟谌齻€(gè)層次上進(jìn)行：檢驗(yàn)數(shù)據(jù)集在物理上是一致、完整；檢驗(yàn)每個(gè)數(shù)據(jù)庫在邏輯上是一致、完整；檢驗(yàn)全部應(yīng)用數(shù)據(jù)在邏輯上是一致、完整。系統(tǒng)運(yùn)營中的風(fēng)險(xiǎn)管理課件第19頁數(shù)據(jù)完整性和一致性檢驗(yàn)方法一：數(shù)據(jù)庫工具檢驗(yàn)法。方法二：憑證查對(duì)法。方法三：流水比較法。方法四：平衡檢驗(yàn)法。依據(jù)應(yīng)用數(shù)據(jù)之間關(guān)系進(jìn)行數(shù)據(jù)完整性和一致性檢驗(yàn)。比如，經(jīng)過應(yīng)用程序檢驗(yàn)應(yīng)用系統(tǒng)總帳與分戶帳是否平衡、科目余額借貸是否平衡、分戶帳余額與明細(xì)帳余額是否相符、明細(xì)帳逐筆發(fā)生額與余額是否一致等，另外對(duì)當(dāng)日業(yè)務(wù)進(jìn)行試算平衡檢驗(yàn)，檢驗(yàn)借貸發(fā)生額是否平衡、業(yè)務(wù)筆數(shù)、發(fā)生額是否與憑證匯總數(shù)和實(shí)物清點(diǎn)結(jié)果相符等。系統(tǒng)運(yùn)營中的風(fēng)險(xiǎn)管理課件第20頁安全恢復(fù)安全恢復(fù)是指在系統(tǒng)中止運(yùn)行（因?yàn)楦鞣N原因造成，包含硬軟件故障、操作失誤、人為破壞、自然災(zāi)害發(fā)生等）之后恢復(fù)系統(tǒng)運(yùn)行，可分為內(nèi)部恢復(fù)和災(zāi)難恢復(fù)兩大類別?；謴?fù)有兩種形式。第一個(gè)是阻斷攻擊，而且評(píng)定、修復(fù)由攻擊造成任何損害。比如，若攻擊者刪除了一份文件，那么某恢復(fù)機(jī)制應(yīng)能從備份磁帶中恢復(fù)該文件?；謴?fù)功效應(yīng)包含辨識(shí)和修復(fù)攻擊者用以闖進(jìn)系統(tǒng)系統(tǒng)脆弱性。在一些情況下，追究攻擊者責(zé)任也是恢復(fù)一部分。恢復(fù)應(yīng)具備還原正確操作功效。第二種恢復(fù)方式要求攻擊正在發(fā)生時(shí)，系統(tǒng)還應(yīng)能正常運(yùn)作。在任何時(shí)候這種系統(tǒng)都不會(huì)在功效上犯錯(cuò)，而只會(huì)將不主要功效禁用。系統(tǒng)運(yùn)營中的風(fēng)險(xiǎn)管理課件第21頁安全恢復(fù)當(dāng)多個(gè)網(wǎng)絡(luò)被管理員設(shè)置為一樣優(yōu)先級(jí)時(shí)，可實(shí)現(xiàn)并行數(shù)據(jù)通道，同時(shí)在這些網(wǎng)絡(luò)上傳送數(shù)據(jù)，提升數(shù)據(jù)傳輸速度；當(dāng)優(yōu)先級(jí)高網(wǎng)絡(luò)出現(xiàn)故障時(shí)，將應(yīng)用轉(zhuǎn)移到優(yōu)先級(jí)低網(wǎng)絡(luò)，然后以一定時(shí)間間隔檢驗(yàn)高優(yōu)先級(jí)網(wǎng)絡(luò)是否已經(jīng)恢復(fù)。當(dāng)高優(yōu)先級(jí)網(wǎng)絡(luò)恢復(fù)運(yùn)行后，自動(dòng)將應(yīng)用系統(tǒng)切換回高優(yōu)先級(jí)網(wǎng)絡(luò)系統(tǒng)恢復(fù)是系統(tǒng)安全敏感時(shí)期，操作系統(tǒng)缺乏對(duì)應(yīng)安全防護(hù)，輕易留下隱患或被做手腳。整個(gè)恢復(fù)過程必須得到嚴(yán)格監(jiān)控和統(tǒng)計(jì)，恢復(fù)完成后必須進(jìn)行安全審核。系統(tǒng)運(yùn)營中的風(fēng)險(xiǎn)管理課件第22頁系統(tǒng)修復(fù)修復(fù)熱修復(fù)是指即時(shí)修改錯(cuò)誤，然后將修正版本公布。熱修復(fù)即使能夠馬上產(chǎn)生效果，不過可能對(duì)系統(tǒng)安全性帶來一定影響。常規(guī)修復(fù)處理不是十分嚴(yán)重錯(cuò)誤，普通都是累積到一定程度才發(fā)行出去。修復(fù)錯(cuò)誤所采取辦法應(yīng)該和最初系統(tǒng)設(shè)計(jì)采取一樣安全流程。任何新設(shè)計(jì)都應(yīng)該考慮模塊化、設(shè)計(jì)基本標(biāo)準(zhǔn)、文檔等問題，并進(jìn)行相關(guān)測試。修復(fù)管理必須由專門指定應(yīng)用軟件維護(hù)人員，依照軟件維護(hù)管理制度，按照嚴(yán)格程序?qū)嵤┸浖S護(hù)，處理運(yùn)行過程中出現(xiàn)問題。對(duì)優(yōu)化后或新增投入生產(chǎn)軟件進(jìn)行測試，并經(jīng)過安全可信渠道對(duì)這些軟件進(jìn)行分發(fā)和安裝。尤其地，對(duì)于系統(tǒng)供給商或服務(wù)商進(jìn)行遠(yuǎn)程在線診療和調(diào)試必須有嚴(yán)格管理規(guī)程。系統(tǒng)運(yùn)營中的風(fēng)險(xiǎn)管理課件第23頁災(zāi)難恢復(fù)災(zāi)難恢復(fù)是一個(gè)在發(fā)生信息系統(tǒng)災(zāi)難后，在遠(yuǎn)離災(zāi)難現(xiàn)場地方重新組織系統(tǒng)運(yùn)行和恢復(fù)營業(yè)過程?！吨饕畔⑾到y(tǒng)災(zāi)難恢復(fù)指南》災(zāi)難備份中心是一個(gè)擁有災(zāi)難備份系統(tǒng)與場地，配置了專職人員，建立并制訂了一系列運(yùn)行管理制度、數(shù)據(jù)備份策略和災(zāi)難恢復(fù)處理流程，負(fù)責(zé)負(fù)擔(dān)災(zāi)難恢復(fù)任務(wù)機(jī)構(gòu)。真正災(zāi)難備份必須滿足三個(gè)要素：一是系統(tǒng)中部件、數(shù)據(jù)都含有冗余性，即一個(gè)系統(tǒng)發(fā)生故障，另一個(gè)系統(tǒng)能夠保持?jǐn)?shù)據(jù)傳送順暢；二是含有長距離性，因?yàn)闉?zāi)害總是在一定范圍內(nèi)發(fā)生，因而保持足夠長距離才能確保數(shù)據(jù)不會(huì)被同一個(gè)災(zāi)害全部破壞；三是災(zāi)難備份系統(tǒng)追求全方位數(shù)據(jù)復(fù)制。上述三要素也稱為“3R”（Redundance、Remote、Replication）系統(tǒng)運(yùn)營中的風(fēng)險(xiǎn)管理課件第24頁災(zāi)難恢復(fù)層次系統(tǒng)運(yùn)營中的風(fēng)險(xiǎn)管理課件第25頁災(zāi)難恢復(fù)層次系統(tǒng)運(yùn)營中的風(fēng)險(xiǎn)管理課件第26頁災(zāi)難恢復(fù)層次選擇按照一定次序，問詢一系列與商業(yè)災(zāi)備需求相關(guān)問題，經(jīng)過這些問題，能夠確定災(zāi)備方案基本環(huán)境、基礎(chǔ)構(gòu)件及期望恢復(fù)時(shí)間。部分問題答案給出需要基于風(fēng)險(xiǎn)評(píng)定和商業(yè)影響分析。另外一些問題則需要運(yùn)行部門基于其IT基礎(chǔ)架構(gòu)給出答案。這些問題可歸納為以下幾個(gè)方面內(nèi)容：災(zāi)難類型需要考慮哪些災(zāi)難？怎樣災(zāi)難？會(huì)使業(yè)務(wù)中止多久？在某一風(fēng)險(xiǎn)發(fā)生可能性極小時(shí)，即使造成損失極大，也可能屬于可接收風(fēng)險(xiǎn)范圍。需要注意是，該接收程度是與時(shí)俱進(jìn)。在“911”事件發(fā)生后，業(yè)界已經(jīng)將低概率事件逐步納入防護(hù)范圍。恢復(fù)程度系統(tǒng)運(yùn)營中的風(fēng)險(xiǎn)管理課件第27頁災(zāi)難恢復(fù)層次選擇要確保數(shù)據(jù)完整性(無數(shù)據(jù)丟失)、一致性(數(shù)據(jù)正確且可用）。哪個(gè)或哪些應(yīng)用需要恢復(fù)？需要恢復(fù)每條統(tǒng)計(jì)和交易嗎？能夠使用上星期或昨天數(shù)據(jù)嗎？需要恢復(fù)一切嗎？有不相關(guān)文件嗎？什么是正當(dāng)隱含要求？有少數(shù)一組人輸入交易嗎？他們能夠重新輸入災(zāi)難期間丟失交易嗎？這些交易十分主要而不允許丟失嗎？恢復(fù)速度災(zāi)難發(fā)生后需要多久來開啟及運(yùn)行系統(tǒng)？能否承受數(shù)天或數(shù)分鐘等候？可用技術(shù)結(jié)合考慮所選技術(shù)在當(dāng)?shù)赜蜻m用性、實(shí)現(xiàn)條件以及在實(shí)施時(shí)是否受一些現(xiàn)有條件制約?；诰嚯x、平臺(tái)等問題答案，剔除不符合要求方案。系統(tǒng)運(yùn)營中的風(fēng)險(xiǎn)管理課件第28頁災(zāi)難恢復(fù)層次選擇目前已知幾種數(shù)據(jù)實(shí)時(shí)備份技術(shù)，一方面不能實(shí)現(xiàn)異種機(jī)之間互為備份，且大多數(shù)不能實(shí)現(xiàn)一對(duì)多備份；其次要求高速率通信線路，一般需要T1級(jí)(1.5Mbps)甚至更高速率線路，且對(duì)線路可靠性要求很高方案總體成本實(shí)現(xiàn)災(zāi)難備份需要多少投資？不實(shí)現(xiàn)災(zāi)難備份會(huì)損失多少錢？為了達(dá)到成本要求，方案可能不能采取最先進(jìn)有效技術(shù)，并同時(shí)降低對(duì)恢復(fù)速度、范圍、災(zāi)難覆蓋面等方面要求。出于成本考慮，仍有銀行只是進(jìn)行系統(tǒng)冷備份，經(jīng)過電話撥號(hào)或人工傳遞進(jìn)行異地?cái)?shù)據(jù)保存，或租用其他大銀行災(zāi)難備份中心來保護(hù)數(shù)據(jù)。業(yè)務(wù)連續(xù)性要求越來越高，但同時(shí)又要考慮成本因素，所以采用實(shí)時(shí)備份技術(shù)、采用外包方式將成為今后災(zāi)難備份中心發(fā)展主要趨勢。系統(tǒng)運(yùn)營中的風(fēng)險(xiǎn)管理課件第29頁基于業(yè)務(wù)選擇業(yè)務(wù)恢復(fù)范圍比如優(yōu)先恢復(fù)哪些業(yè)務(wù)服務(wù)。它是連接技術(shù)方案選型及業(yè)務(wù)服務(wù)恢復(fù)承諾目標(biāo)之間關(guān)鍵可衡量指標(biāo)，而且決定性地影響著實(shí)施此方案投資額度。經(jīng)過對(duì)可量化和不可量化損失綜合考慮，得出各種關(guān)鍵業(yè)務(wù)流程因?yàn)闉?zāi)難受損可容忍程度及損失決議依據(jù)。表達(dá)在IT系統(tǒng)上，是三個(gè)指標(biāo)：數(shù)據(jù)恢復(fù)點(diǎn)目標(biāo)（RECOVERYPOINTOBJECTIVE）：表達(dá)為該流程在災(zāi)難發(fā)生后，恢復(fù)運(yùn)轉(zhuǎn)時(shí)數(shù)據(jù)丟失可容忍程度；恢復(fù)時(shí)間目標(biāo)（RECOVERYTIMEOBJECTIVE）：表達(dá)為該流程在災(zāi)難發(fā)生后，需要恢復(fù)緊迫性，也即多久能夠得到恢復(fù)問題；網(wǎng)絡(luò)恢復(fù)目標(biāo)（NETWORKRECOVERYOBJECTIVE）：即營業(yè)網(wǎng)點(diǎn)什么時(shí)候才能經(jīng)過備份網(wǎng)絡(luò)與數(shù)據(jù)中心重新恢復(fù)通信指標(biāo)；依據(jù)計(jì)算機(jī)應(yīng)用系統(tǒng)實(shí)時(shí)性要求及一旦停頓造成損失，可將其劃分為關(guān)鍵應(yīng)用系統(tǒng)、主要應(yīng)用系統(tǒng)、普通應(yīng)用系統(tǒng)。系統(tǒng)運(yùn)營中的風(fēng)險(xiǎn)管理課件第30頁關(guān)鍵應(yīng)用系統(tǒng)：系統(tǒng)特點(diǎn)業(yè)務(wù)數(shù)據(jù)集中存放，所聯(lián)接網(wǎng)點(diǎn)及處理業(yè)務(wù)較多，對(duì)確保整個(gè)企業(yè)正常運(yùn)轉(zhuǎn)至關(guān)主要，一旦業(yè)務(wù)中止，將會(huì)嚴(yán)重地影響整個(gè)企業(yè)正常運(yùn)作。一旦在特殊時(shí)期中止如月末、年末、業(yè)務(wù)量高峰期，則不但會(huì)造成巨大經(jīng)濟(jì)損失，而且有可能要負(fù)擔(dān)潛在法律責(zé)任。允許停頓時(shí)間分析：從停機(jī)算起，RTO<8小時(shí)，RPO在15分鐘以內(nèi)對(duì)于面向客戶關(guān)鍵應(yīng)用系統(tǒng)，周末、中午、夜晚可容忍機(jī)算機(jī)應(yīng)用系統(tǒng)停頓時(shí)間能夠稍長，業(yè)務(wù)量高峰期、月末、季末、年末應(yīng)用系統(tǒng)停頓時(shí)間要求短。對(duì)于區(qū)域性災(zāi)難如地震、機(jī)房火災(zāi)、公共數(shù)據(jù)網(wǎng)大面積癱瘓等，客戶心理上輕易承受，所以允許信息系統(tǒng)停頓時(shí)間相對(duì)較長，而對(duì)因?yàn)槠髽I(yè)本身原因如系統(tǒng)故障造成計(jì)算機(jī)應(yīng)用系統(tǒng)頻繁停頓，客戶心理上比較難于接收，允許停頓時(shí)間相對(duì)較短。系統(tǒng)運(yùn)營中的風(fēng)險(xiǎn)管理課件第31頁其它應(yīng)用系統(tǒng)主要應(yīng)用系統(tǒng)：業(yè)務(wù)中止將對(duì)整個(gè)企業(yè)正常、有效運(yùn)轉(zhuǎn)產(chǎn)生較嚴(yán)重影響。如企業(yè)信息網(wǎng)絡(luò)系統(tǒng)、審計(jì)系統(tǒng)等。允許停頓時(shí)間分析：從停機(jī)算起，RTO<72小時(shí)，RPO從停機(jī)那一天開始普通應(yīng)用系統(tǒng)業(yè)務(wù)中止將不會(huì)立刻對(duì)整個(gè)企業(yè)正常運(yùn)轉(zhuǎn)產(chǎn)生嚴(yán)重影響，可容忍在數(shù)天或數(shù)周內(nèi)恢復(fù)。比如：檔案處理系統(tǒng)、OA系統(tǒng)等。允許停頓時(shí)間分析：從停機(jī)算起，RTO<168小時(shí)，RPO48小時(shí)以內(nèi)系統(tǒng)運(yùn)營中的風(fēng)險(xiǎn)管理課件第32頁成本-效益分析系統(tǒng)運(yùn)營中的風(fēng)險(xiǎn)管理課件第33頁成本-效益分析系統(tǒng)運(yùn)營中的風(fēng)險(xiǎn)管理課件第34頁系統(tǒng)運(yùn)營中的風(fēng)險(xiǎn)管理課件第35頁系統(tǒng)運(yùn)營中的風(fēng)險(xiǎn)管理課件第36頁安全事件管理面向客戶，定義運(yùn)行服務(wù)水平響應(yīng)時(shí)間，經(jīng)過業(yè)務(wù)界面對(duì)所提供服務(wù)進(jìn)行必要說明，明確開啟服務(wù)正當(dāng)渠道與路徑，以及意外事故匯報(bào)方式、聯(lián)絡(luò)方法等。責(zé)任定義應(yīng)該充分揭示交易過程中客戶可能面臨風(fēng)險(xiǎn)，說明已采取風(fēng)險(xiǎn)控制方法和各方應(yīng)負(fù)擔(dān)責(zé)任。事件指沒有包含在服務(wù)標(biāo)準(zhǔn)運(yùn)作之內(nèi)，而且造成（或可能造成）中止服務(wù)或降低服務(wù)質(zhì)量意外事件或突發(fā)事件，其起源包含網(wǎng)點(diǎn)故障、監(jiān)控報(bào)警和最終客戶投訴。受理在實(shí)際運(yùn)行中，服務(wù)臺(tái)與相關(guān)技術(shù)支持機(jī)構(gòu)一起，維護(hù)IT部門提供給最終用戶各種IT服務(wù)，為客戶提供一個(gè)唯一IT支持接觸點(diǎn)，以最快、對(duì)業(yè)務(wù)影響最小基礎(chǔ)上實(shí)現(xiàn)IT問題處理。服務(wù)臺(tái)提供包含Web，電話，電子郵件，等各種接口。用戶能夠使用這各種接口中任何一個(gè)與服務(wù)中心取得聯(lián)絡(luò)。系統(tǒng)運(yùn)營中的風(fēng)險(xiǎn)管理課件第37頁安全事件管理調(diào)派服務(wù)臺(tái)能夠接收并統(tǒng)計(jì)全部由用戶提交上來各種服務(wù)請(qǐng)求，按照要求服務(wù)規(guī)范和服務(wù)準(zhǔn)則，分清楚問題種類，按照問題類型、發(fā)生時(shí)間、地點(diǎn)以及當(dāng)前支持人員任務(wù)隊(duì)列長度，判斷緊急程度關(guān)聯(lián)對(duì)應(yīng)服務(wù)水平，分配最適當(dāng)人員負(fù)責(zé)。行動(dòng)確保安全事件有所屬，也有所管理。依據(jù)事先制訂監(jiān)控政策、安全政策、系統(tǒng)配置、響應(yīng)計(jì)劃等執(zhí)行控制辦法?？赡苄袆?dòng)包含：聯(lián)絡(luò)執(zhí)法機(jī)關(guān)、監(jiān)督可疑用戶、取消可疑用戶權(quán)限、調(diào)用更強(qiáng)保護(hù)機(jī)制，去掉或恢復(fù)故障網(wǎng)絡(luò)或系統(tǒng)某個(gè)組成部件。在響應(yīng)計(jì)劃中，IT管理層應(yīng)定義并實(shí)施問題逐步升級(jí)程序，確保確認(rèn)問題以最有效、及時(shí)方式加以處理。在許多情況中，不協(xié)調(diào)響應(yīng)可能使情況變得更壞。為進(jìn)行安全事件處理，關(guān)注開發(fā)和實(shí)施一個(gè)有效和久遠(yuǎn)風(fēng)險(xiǎn)處置計(jì)劃是非常主要。匯報(bào)依據(jù)監(jiān)管要求和組織策略，通報(bào)事件處理過程和結(jié)果。重大事件提交匯報(bào)：事實(shí)描述、攻擊伎倆或漏洞、采取辦法和提議。系統(tǒng)運(yùn)營中的風(fēng)險(xiǎn)管理課件第38頁信息安全管理工具監(jiān)控分析管理層次價(jià)值搜集數(shù)據(jù)數(shù)據(jù)規(guī)范化、融合和關(guān)聯(lián)信息業(yè)務(wù)價(jià)值映射和優(yōu)先級(jí)管理可行信息知識(shí)信息安全管理工具層次和價(jià)值系統(tǒng)運(yùn)營中的風(fēng)險(xiǎn)管理課件第39頁審計(jì)安全審計(jì)追蹤對(duì)確保任何網(wǎng)絡(luò)安全都起了主要作用。它能夠用來檢測一個(gè)安全策略正確性，確認(rèn)與安全策略一致性，幫助分析攻擊，而且搜集用于起訴攻擊者證據(jù)。包含審計(jì)在內(nèi)大多數(shù)監(jiān)視活動(dòng)都產(chǎn)生結(jié)果數(shù)據(jù)，這種結(jié)果數(shù)據(jù)能夠直接發(fā)揮作用，或者統(tǒng)計(jì)在案供以后分析和深入采取行動(dòng)。當(dāng)前還沒有任何一個(gè)可行方法來徹底處理正當(dāng)用戶在經(jīng)過身份認(rèn)證后濫用特權(quán)問題，但審計(jì)追蹤仍是確保數(shù)據(jù)庫安全不可缺一道主要防線。審計(jì)是一個(gè)監(jiān)視辦法，跟蹤統(tǒng)計(jì)相關(guān)數(shù)據(jù)訪問活動(dòng)，尤其是有可能破壞系統(tǒng)安全性事件安全審計(jì)統(tǒng)計(jì)了任何可疑事件，也能夠統(tǒng)計(jì)許多日常事件，如建立和終止連接，使用安全機(jī)制和訪問敏感資源，包含用戶登錄、更換密鑰、授權(quán)、更改口令等。安全審計(jì)依賴于事件匯報(bào)功效和日志控制功效。同類或不一樣類系統(tǒng)都能夠檢測到被審計(jì)事件，并由系統(tǒng)中安全審計(jì)追蹤日志來維護(hù)。由系統(tǒng)安全策略決定對(duì)什么樣事件開啟審計(jì)，選擇依據(jù)是事件安全相關(guān)度；它還決定審計(jì)閾值，即對(duì)含有何種操作結(jié)果事件進(jìn)行記載。比如，對(duì)“用戶登錄”事件，安全閾值能夠設(shè)置為“成功”、“失敗”、“違法”等。事件信息起源可能有：日志文件、網(wǎng)絡(luò)活動(dòng)、系統(tǒng)信息和服務(wù)臺(tái)。系統(tǒng)運(yùn)營中的風(fēng)險(xiǎn)管理課件第40頁安全警報(bào)一個(gè)與安全相關(guān)事件會(huì)觸發(fā)一個(gè)安全警報(bào)，原理上，任何網(wǎng)絡(luò)或系統(tǒng)部件都能夠檢測出該事件。安全警報(bào)匯報(bào)功效標(biāo)準(zhǔn)ISO/IEC10164-1描述了安全警報(bào)調(diào)用所傳遞信息。受管信息定義ISO/IEC101652中詳細(xì)說明了交換中所使用正確抽象語法。

管理系統(tǒng)

事件類型安全警報(bào)產(chǎn)生安全警報(bào)檢測事件受管對(duì)象受管系統(tǒng)響應(yīng)（可選）通知圖3安全警報(bào)匯報(bào)過程系統(tǒng)運(yùn)營中的風(fēng)險(xiǎn)管理課件第41頁安全警報(bào)安全警報(bào)匯報(bào)中傳遞參數(shù)分為三類：ISO/IEC9595，事件匯報(bào)通用參數(shù)：包含調(diào)用標(biāo)識(shí)符、模式、受管對(duì)象類、受管對(duì)象實(shí)例、事件類型、事件時(shí)間和當(dāng)前時(shí)間ISO/IEC10164-４，管理警報(bào)通用參數(shù)：包含通知標(biāo)識(shí)符、相關(guān)通知、額外信息和額外文本等；安全警報(bào)特有參數(shù)：包含安全警報(bào)原因、安全警報(bào)嚴(yán)重性、安全警報(bào)檢測器、使用服務(wù)用戶和服務(wù)提供者等。事件類型和安全警報(bào)原因組合表明了警報(bào)原因，可能組合值有：完整性破壞：指出未授權(quán)修改、插入或刪除數(shù)據(jù)事件。安全警報(bào)原因可能值是：復(fù)制信息、信息丟失、信息修改檢測、次序混亂信息和不希望信息；違規(guī)操作：指明不能取得信息、違法行為或一些服務(wù)不正確調(diào)用事件。安全警報(bào)可能原因是：拒絕服務(wù)，超出服務(wù)，過程犯錯(cuò)和未陳說原因；系統(tǒng)運(yùn)營中的風(fēng)險(xiǎn)管理課件第42頁安全警報(bào)物理侵入：指明對(duì)物理資源有可疑攻擊事件。安全警報(bào)原因可能值是：損害電纜、入侵檢測和未陳說原因；安全服務(wù)或機(jī)制侵犯：指明一個(gè)安全服務(wù)或機(jī)制檢測到潛在攻擊事件。安全警報(bào)原因可能值是：認(rèn)證失敗、破壞機(jī)密性、非否定失敗、為授權(quán)訪問企圖和未陳說原因。時(shí)間區(qū)域侵犯：指明在不希望或禁止時(shí)間里發(fā)生一些事事件。安全警報(bào)原因可能值是：延遲消息(接到信息時(shí)間比預(yù)定時(shí)間要晚），密鑰過期（使用過期密鑰）和上班時(shí)間外活動(dòng)（在不希望時(shí)間里使用資源）。安全警報(bào)安全參數(shù)指明了由初始受管客體發(fā)覺警報(bào)意義，可能值是：不確定：系統(tǒng)完整性是未知；危險(xiǎn)：安全性被損害危及到系統(tǒng)安全。系統(tǒng)可能不能再正常運(yùn)轉(zhuǎn)來支持安全策略。比如，未授權(quán)修改或與安全相關(guān)敏感信息，如系統(tǒng)口令，或違反物理安全；系統(tǒng)運(yùn)營中的風(fēng)險(xiǎn)管理課件第43頁安全匯報(bào)主要：檢測到違反安全，而且主要信息或機(jī)制已經(jīng)遭到損害；次要：檢測到違反安全，而且不太主要信息或機(jī)制已經(jīng)遭到損害；警告：不相信系統(tǒng)安全性受到威脅。安全審計(jì)功效標(biāo)準(zhǔn)另外定義了兩個(gè)特殊通知，分別與服務(wù)匯報(bào)和使用匯報(bào)對(duì)應(yīng)。服務(wù)匯報(bào)表明了與一些服務(wù)提供、拒絕或恢復(fù)相關(guān)事件。使用匯報(bào)用于有安全意義日志統(tǒng)計(jì)信息。傳遞參數(shù)和這些事件類型基本上與安全警報(bào)匯報(bào)中使用一樣。服務(wù)匯報(bào)事件類型中定義了一個(gè)額外參數(shù)，稱為服務(wù)匯報(bào)原因，用于表明匯報(bào)原因。這個(gè)參數(shù)是一個(gè)ＡＳＮ．１對(duì)象標(biāo)識(shí)符，也就是說任何人能夠定義并注冊(cè)其值。該標(biāo)準(zhǔn)還定義了一些通用值：服務(wù)請(qǐng)求、拒絕服務(wù)、來自服務(wù)回答、服務(wù)失敗、服務(wù)恢復(fù)和其它原因。系統(tǒng)運(yùn)營中的風(fēng)險(xiǎn)管理課件第44頁審計(jì)日志日志內(nèi)容應(yīng)該設(shè)計(jì)成有利于了解在突發(fā)事件期間出現(xiàn)了什么，并探測出趨勢和可能發(fā)生改變。日志應(yīng)該按與所用策略和規(guī)則相一致標(biāo)準(zhǔn)進(jìn)行管理。一個(gè)關(guān)鍵問題是怎樣操作日志：哪種日志應(yīng)該放在日志文件中，數(shù)據(jù)應(yīng)該怎樣表述，方便從日志中得出正確審計(jì)結(jié)論。日志必須是可靠和受到保護(hù)，能抗篡改或偶然破壞。日志應(yīng)該封存以阻止不可探測任何修改，還應(yīng)該在法律保護(hù)期間內(nèi)歸檔。日志須包含內(nèi)容是：事件所包括主體和客體、時(shí)間、事件結(jié)果（成功、失敗、違法、報(bào)警等）。系統(tǒng)運(yùn)營中的風(fēng)險(xiǎn)管理課件第45頁安全事件分析分析可能有兩個(gè)不一樣目標(biāo)第一個(gè)目標(biāo)是檢測對(duì)某個(gè)安全策略任何攻擊；包含基于狀態(tài)審計(jì)和基于狀態(tài)轉(zhuǎn)換審計(jì)。前者決定系統(tǒng)某個(gè)狀態(tài)是否是未授權(quán)狀態(tài)；后者檢驗(yàn)系統(tǒng)當(dāng)前狀態(tài)和被引發(fā)狀態(tài)轉(zhuǎn)換來決定結(jié)果是否會(huì)將系統(tǒng)置于未授權(quán)狀態(tài)。第二個(gè)是檢測已知企圖違反安全規(guī)則操作，能夠經(jīng)過命令特定次序或系統(tǒng)狀態(tài)特征來尋找并發(fā)覺針對(duì)安全攻擊。分析器通常運(yùn)行于一個(gè)單獨(dú)系統(tǒng)中，使用分析引擎判斷是否是一個(gè)風(fēng)險(xiǎn)事件，安全事件可利用歷史事件數(shù)據(jù)、系統(tǒng)配置數(shù)據(jù)、完整性工具和其它系統(tǒng)信息來檢測。信息可能有多個(gè)層次視角，必須將多個(gè)日志文件信息進(jìn)行關(guān)聯(lián)系統(tǒng)運(yùn)營中的風(fēng)險(xiǎn)管理課件第46頁安全事件分析即使通常是對(duì)相同類型事件進(jìn)行多事件統(tǒng)計(jì)，但也能夠依據(jù)日志統(tǒng)計(jì)和事件（融和）統(tǒng)計(jì)對(duì)不一樣類型多個(gè)統(tǒng)計(jì)進(jìn)行分析。對(duì)相同類型多個(gè)統(tǒng)計(jì)分析經(jīng)常使用統(tǒng)計(jì)或趨勢分析技術(shù)。建立開放風(fēng)險(xiǎn)數(shù)據(jù)集接口進(jìn)行數(shù)據(jù)分析前提是擁有足夠長時(shí)間和范圍內(nèi)風(fēng)險(xiǎn)數(shù)據(jù)。風(fēng)險(xiǎn)管理工具必須建立開放風(fēng)險(xiǎn)數(shù)據(jù)集接口，取得定時(shí)更新外部損失數(shù)據(jù)，同時(shí)實(shí)現(xiàn)從數(shù)據(jù)訪問、數(shù)據(jù)遷移和提升數(shù)據(jù)質(zhì)量到分析應(yīng)用無縫連接，實(shí)現(xiàn)信息集成、交換和共享。格式化數(shù)據(jù)依據(jù)其起源進(jìn)行不一樣格式化，經(jīng)過規(guī)范化處理確保后續(xù)融合和關(guān)聯(lián)功效能以相同方式處理數(shù)據(jù)。數(shù)據(jù)聚合獲取規(guī)范化數(shù)據(jù)，并可按依據(jù)起源、資產(chǎn)價(jià)值或業(yè)務(wù)職能等類別對(duì)其進(jìn)行組織。然后將其復(fù)制到多個(gè)類別之中，讓更高層應(yīng)用來處理。系統(tǒng)運(yùn)營中的風(fēng)險(xiǎn)管理課件第47頁關(guān)聯(lián)作為商業(yè)智能技術(shù)一部分，關(guān)聯(lián)經(jīng)過分析數(shù)據(jù)來識(shí)別新模式，重新定義安全預(yù)警引擎，并能有效管理潛在和新出現(xiàn)風(fēng)險(xiǎn)過程。詳細(xì)說來，安全關(guān)聯(lián)含有規(guī)則關(guān)聯(lián)、統(tǒng)計(jì)關(guān)聯(lián)和異常關(guān)聯(lián)：規(guī)則關(guān)聯(lián)可將預(yù)先打包轉(zhuǎn)換事件數(shù)據(jù)提供給數(shù)據(jù)不一樣“視圖”。比如，規(guī)則能夠按照與某個(gè)詳細(xì)交易操作、某一類交易和某個(gè)地理地點(diǎn)等準(zhǔn)則相關(guān)全部事件對(duì)數(shù)據(jù)進(jìn)行詳審。檢測搜尋已知不安全狀態(tài)，等系統(tǒng)進(jìn)入該狀態(tài)后就匯報(bào)可能發(fā)生了一次入侵。將系統(tǒng)漏洞知識(shí)結(jié)合到一個(gè)規(guī)則集中，使用教授系統(tǒng)來分析數(shù)據(jù)并利用規(guī)則集，判定一系列運(yùn)行中指令是否違反了站點(diǎn)安全策略。規(guī)則：假如我們從一個(gè)防火墻接收到一個(gè)針對(duì)該DNS服務(wù)器偵察企圖(DNS版本檢驗(yàn)或其它連接請(qǐng)求)，則假如我們從一個(gè)IDS接收到一個(gè)或多個(gè)針對(duì)同一個(gè)DNS服務(wù)器入侵企圖，則向操作員發(fā)出一個(gè)通知。統(tǒng)計(jì)關(guān)聯(lián)按資產(chǎn)或資產(chǎn)組將規(guī)范化安全事件歸類為不一樣安全事件類型–事件類型范圍包含偵察攻擊、病毒攻擊、拒絕服務(wù)攻擊–等等。對(duì)于每種資產(chǎn)，系統(tǒng)可連續(xù)計(jì)算出一個(gè)威脅分?jǐn)?shù)，也就是經(jīng)過將事件嚴(yán)重程度與資產(chǎn)價(jià)值相加來確定對(duì)安全事件總體衡量。系統(tǒng)運(yùn)營中的風(fēng)險(xiǎn)管理課件第48頁異常關(guān)聯(lián)異常關(guān)聯(lián)依賴于事件管理系統(tǒng)所創(chuàng)建被測量事件數(shù)據(jù)庫，以及從該數(shù)據(jù)庫“學(xué)習(xí)模式”中搜集一組“基線”數(shù)據(jù)。“基線”快照普通會(huì)運(yùn)行幾個(gè)星期，然后與當(dāng)前事件進(jìn)行比較，以確定是否正在發(fā)生與基線不一樣異常情況。未來，要想為不停改變IT環(huán)境和商業(yè)交易環(huán)境創(chuàng)造價(jià)值，基線捕捉功效就必須在啟發(fā)式穩(wěn)態(tài)模式下工作?；谀Ｊ筋A(yù)測異常檢測方法，前提條件是事件序列不是隨機(jī)發(fā)生，而是服從某種可區(qū)分模式，其特點(diǎn)是考慮了事件序列之間相互聯(lián)絡(luò)。域值度量預(yù)期中最少有m個(gè)事件最多有n個(gè)事件發(fā)生，則被認(rèn)為發(fā)生了異常確定閾值使得模型使用變得復(fù)雜，要考慮不一樣級(jí)別復(fù)雜性和用戶特征、地域特征。統(tǒng)計(jì)動(dòng)差分析器知道平均偏差和標(biāo)準(zhǔn)偏差，假如值超出了這些動(dòng)差期望間隔，則該值所代表動(dòng)作就被認(rèn)定為異常。比閾值模型提供了更大靈活性。系統(tǒng)運(yùn)營中的風(fēng)險(xiǎn)管理課件第49頁安全事件匯報(bào)通告器主要功效是發(fā)給系統(tǒng)安全責(zé)任人一條相信系統(tǒng)風(fēng)險(xiǎn)發(fā)生匯報(bào)。在較低層次上，系統(tǒng)應(yīng)提供交互式、多維數(shù)據(jù)可視化功效。依據(jù)諸如“對(duì)機(jī)構(gòu)影響”和“攻擊可能性”等簡單而有效視圖，使企業(yè)能更輕松地依據(jù)本身獨(dú)特需求來安排糾正辦法優(yōu)先級(jí)。企業(yè)中各個(gè)部門人員所關(guān)注視圖各不相同，比如，IT機(jī)構(gòu)安全管理員能夠處理防火墻、IDS檢測器和網(wǎng)絡(luò)路由器等所產(chǎn)生安全事件，但他們卻不應(yīng)該訪問與財(cái)務(wù)統(tǒng)計(jì)和客戶統(tǒng)計(jì)相關(guān)數(shù)據(jù)，以及其它機(jī)密商業(yè)交易數(shù)據(jù)。系統(tǒng)應(yīng)能夠依據(jù)需要靈活查看任意聚合級(jí)別信息或詳細(xì)信息，確保用戶操作員只看到與他們工作相關(guān)事件。這首先是企業(yè)機(jī)密性需要，同時(shí)也使他們不受受到數(shù)據(jù)泛濫影響。信息匯報(bào)方式：系統(tǒng)運(yùn)營中的風(fēng)險(xiǎn)管理課件第50頁安全事件匯報(bào)文本顯示方式：基于名字、時(shí)間或其它特征搜索事件；超文本顯示方式：顯示日志統(tǒng)計(jì)，使用超文本連接鄂來表示統(tǒng)計(jì)之間相關(guān)關(guān)系關(guān)系數(shù)據(jù)庫閱讀方式：向數(shù)據(jù)庫發(fā)起查詢，數(shù)據(jù)庫在返回查詢結(jié)果前執(zhí)行相關(guān)分析以時(shí)間次序列舉感興趣事件圖示方式：節(jié)點(diǎn)代表實(shí)體，相關(guān)性表示不一樣實(shí)體間聯(lián)絡(luò)。一個(gè)設(shè)計(jì)良好圖形顯示使得風(fēng)險(xiǎn)管理系統(tǒng)可把信息轉(zhuǎn)變?yōu)橐环子陬I(lǐng)會(huì)圖像，允許用戶判斷正在遭受何種攻擊，也能夠向相關(guān)人員發(fā)送電子郵件或在相關(guān)日志文件中統(tǒng)計(jì)條目。切片方式：得出影響給定客體日志事件和客體最小集。切片是一個(gè)程序調(diào)試技術(shù)，能分析提取出影響給定變量指令最小值。系統(tǒng)運(yùn)營中的風(fēng)險(xiǎn)管理課件第51頁取證使用事件管理系統(tǒng)審計(jì)員使用焦點(diǎn)審計(jì)瀏覽工具，把文件作為初始焦點(diǎn)。圖邊顯示了進(jìn)程怎樣改變文件以及怎樣改變。審計(jì)員判定那些可能引發(fā)不可預(yù)期改變進(jìn)程，即可疑進(jìn)程，一直追溯到能夠判定攻擊者怎樣得到系統(tǒng)訪問權(quán)限。審計(jì)員獲知攻擊者ＵＩＤ，使用對(duì)應(yīng)ＵＩＤ審計(jì)統(tǒng)計(jì)頁面，并檢驗(yàn)頁面中全部可疑行為。他也能使用可視框架工具畫出進(jìn)程產(chǎn)生次序。一旦審計(jì)員發(fā)覺入侵點(diǎn)，審計(jì)員就能發(fā)覺系統(tǒng)弱點(diǎn)并模擬攻擊者方法恢復(fù)出攻擊者行為。最終，使用相關(guān)用具產(chǎn)生短片描述攻擊者是怎樣進(jìn)行攻擊，方便在訴訟時(shí)作為證據(jù)使用。外部調(diào)查在一些復(fù)雜程度更高網(wǎng)絡(luò)犯罪案例中，專門服務(wù)企業(yè)資深安全教授經(jīng)常飾演“福爾摩斯”角色，在調(diào)查犯罪過程中飾演主要角色。他們能從一些蛛絲馬跡中尋找出事情真相:在線支付IP、非法轉(zhuǎn)賬銀行卡卡號(hào)、巨額刷卡消費(fèi)行為、ATM取款機(jī)上攝像頭監(jiān)控等。系統(tǒng)運(yùn)營中的風(fēng)險(xiǎn)管理課件第52頁風(fēng)險(xiǎn)實(shí)時(shí)控制當(dāng)前，信息安全管理工具需要實(shí)現(xiàn)一些新特征是，含有“學(xué)習(xí)”功效，適應(yīng)安全系統(tǒng)動(dòng)態(tài)改變，可提供經(jīng)過實(shí)踐檢驗(yàn)降低風(fēng)險(xiǎn)辦法，而且與用于修復(fù)和補(bǔ)救任何系統(tǒng)相集成，使風(fēng)險(xiǎn)事件響應(yīng)更靠近“實(shí)時(shí)”。響應(yīng)包含斷開網(wǎng)絡(luò)、增加日志統(tǒng)計(jì)級(jí)別，給出處理方案等?；诜独评恚–BR）能夠依據(jù)記憶或范例庫中找到一個(gè)與新問題相同范例，然后把該范例中相關(guān)信息和知識(shí)復(fù)用到新問題求解之中，是實(shí)現(xiàn)實(shí)時(shí)控制較為有效技術(shù)。