論微軟產(chǎn)品在企業(yè)IT的實(shí)施

從整體安全論微軟產(chǎn)品在企業(yè)IT的實(shí)施裔云天RichardYiMBA,CISSP開(kāi)發(fā)合作部微軟中國(guó)有限公司日程安排1.IT面臨的挑戰(zhàn)2.安全部署微軟產(chǎn)品3.案例研究4.問(wèn)題和討論

IT預(yù)算IT系統(tǒng)復(fù)雜性和成本

IT增強(qiáng)可用性降低運(yùn)營(yíng)成本加快響應(yīng)速度增強(qiáng)安全性IT面臨的壓力和挑戰(zhàn)

商業(yè)價(jià)值成本效率服務(wù)水準(zhǔn)政府政策應(yīng)用失敗操作錯(cuò)誤平臺(tái)GartnerSecurityConferencepresentation"OperationZeroDowntime",D.Scott,May2002IT運(yùn)營(yíng)是

重要的系統(tǒng)更改的任意性系統(tǒng)容量的要求40%忘記了某些事情缺少操作規(guī)程備份錯(cuò)誤/安全40%硬件,操作系統(tǒng),設(shè)備…..20%更^IT的安全挑戰(zhàn)和目標(biāo)保密性

非授權(quán)用戶(hù)不能非法訪(fǎng)問(wèn)數(shù)據(jù)完整性

非授權(quán)用戶(hù)不能非法篡改數(shù)據(jù)可用性

非授權(quán)用戶(hù)不能非法改變系統(tǒng)資源狀態(tài)而使合法用戶(hù)不能訪(fǎng)問(wèn)數(shù)據(jù)安全保密性完整性可用性收入損失聲譽(yù)受到損害數(shù)據(jù)丟失或安全

受到威脅投資者的信心

受到重創(chuàng)法律后果業(yè)務(wù)流程中斷客戶(hù)的信心

受到打擊違反安全性所造成的影響CSI/FBI2003調(diào)查

實(shí)施各項(xiàng)安全措施的成本不低，但卻是出安全事件后減輕影響的成本的一小部分。投資改善安全性的好處減少與系統(tǒng)和應(yīng)用程序不可用性關(guān)聯(lián)的停機(jī)時(shí)間和成本減少與低效的安全更新部署關(guān)聯(lián)的人力成本減少由于病毒或違反信息安全性所引起的數(shù)據(jù)丟失增強(qiáng)對(duì)知識(shí)產(chǎn)權(quán)的保護(hù)第二部分1.IT面臨的挑戰(zhàn)2.安全部署微軟產(chǎn)品3.案例研究4.問(wèn)題和討論

安全部署微軟產(chǎn)品安全部署微軟產(chǎn)品安全管理規(guī)范訪(fǎng)問(wèn)控制安全架構(gòu)法律和道德應(yīng)用安全物理安全加密網(wǎng)絡(luò)安全運(yùn)營(yíng)安全企業(yè)災(zāi)難恢復(fù)計(jì)劃ISO17799安全標(biāo)準(zhǔn)范圍

提供安全覆蓋范圍和安全目標(biāo)的簡(jiǎn)單描述定義

一系列與國(guó)際ISO17799安全標(biāo)準(zhǔn)相關(guān)的信息定義信息安全策略

從管理的角度說(shuō)明企業(yè)面臨的信息安全相關(guān)問(wèn)題并提供總體的解決方向.

ISO17799安全標(biāo)準(zhǔn)企業(yè)安全

企業(yè)管理架構(gòu)并說(shuō)明各管理層在實(shí)施信息安全時(shí)的職責(zé)和義務(wù)資產(chǎn)分類(lèi)和控制

信息資產(chǎn)的保護(hù),包括信息的分類(lèi)和負(fù)責(zé)人

人員安全

企業(yè)員工安全,如與工作職責(zé)有關(guān)的安全培訓(xùn)和知識(shí),安全的認(rèn)知培訓(xùn),安全事件的應(yīng)對(duì)等ISO17799安全標(biāo)準(zhǔn)物理和環(huán)境安全

保護(hù)信息資產(chǎn)的物理安全,免受非法訪(fǎng)問(wèn)和損壞通訊和運(yùn)營(yíng)管理

實(shí)施標(biāo)準(zhǔn)的運(yùn)營(yíng)流程和職責(zé),包括危機(jī)處理和系統(tǒng)更改管理控制等訪(fǎng)問(wèn)控制

定義并實(shí)施訪(fǎng)問(wèn)控制策略,限制對(duì)信息和應(yīng)用的使用和訪(fǎng)問(wèn)ISO17799安全標(biāo)準(zhǔn)系統(tǒng)開(kāi)發(fā)和維護(hù)

建立對(duì)新應(yīng)用的安全控制,比如說(shuō)應(yīng)用的發(fā)布,對(duì)現(xiàn)有應(yīng)用的修改等

企業(yè)災(zāi)難恢復(fù)及持續(xù)經(jīng)營(yíng)計(jì)劃

定義并實(shí)施企業(yè)持續(xù)經(jīng)營(yíng)的管理流程,包括如何確定安全威脅和降低風(fēng)險(xiǎn)等政府法律

定義并實(shí)施控制,保證企業(yè)的日常行為符合政府的法律規(guī)范等MS推薦IT服務(wù)模式

技術(shù)利用產(chǎn)品和工具實(shí)現(xiàn)自動(dòng)化流程一致的和可重復(fù)的人權(quán)責(zé)分明，具備相應(yīng)的技能安全環(huán)境未被管理的設(shè)備被管理的客戶(hù)端被管理的服務(wù)器物理安全網(wǎng)絡(luò)主機(jī)應(yīng)用數(shù)據(jù)縱深防御模式IT安全威脅威脅Threats威脅ThreatsThreatsThreats深層防御模型

使用分層的方法：增加攻擊者被檢測(cè)到的風(fēng)險(xiǎn)降低攻擊者的成功幾率OS加固、身份驗(yàn)證、修補(bǔ)程序管理、HIDS防火墻、網(wǎng)絡(luò)訪(fǎng)問(wèn)隔離控制警衛(wèi)、鎖、跟蹤設(shè)備網(wǎng)段、IPSec、NIDS應(yīng)用程序加固、防病毒ACLs、加密、EFS安全文檔、用戶(hù)教育策略、過(guò)程和通告物理安全周邊內(nèi)部網(wǎng)絡(luò)主機(jī)應(yīng)用程序數(shù)據(jù)策略、過(guò)程和通告層介紹我想我會(huì)使

用我的名字

作為密碼。嗨，我需要配置

一個(gè)防火墻。應(yīng)

該阻塞哪些端口？我想我會(huì)撬開(kāi)計(jì)

算機(jī)房的房門(mén)。

這樣做容易得多。他們封鎖了我

最喜愛(ài)的

Web

站點(diǎn)。幸好我

有調(diào)制解調(diào)器。策略、過(guò)程和通告層失守嘿，我也有網(wǎng)絡(luò)

在運(yùn)行。你怎么

配置你的防火墻？我總是想不到一個(gè)好的密碼。你用什么密碼？嗨，你知道

計(jì)算機(jī)機(jī)房

在哪兒?jiǎn)?？喲，調(diào)制解調(diào)器不錯(cuò)啊。那條線(xiàn)的號(hào)碼是多少？策略、過(guò)程和通告層保護(hù)防火墻

配置過(guò)程物理訪(fǎng)問(wèn)

安全策略用戶(hù)信息

保密策略設(shè)備請(qǐng)求

過(guò)程

員工安全培訓(xùn)有助于用戶(hù)支持

安全策略物理安全層介紹

組織的IT基礎(chǔ)結(jié)構(gòu)中的所有資產(chǎn)須受到物理保護(hù)物理安全層失守安裝惡意代碼損壞硬件查看、更改

或刪除文件移除硬件物理安全層保護(hù)鎖門(mén)并安裝報(bào)警器雇傭安全保衛(wèi)人員強(qiáng)制實(shí)施訪(fǎng)問(wèn)過(guò)程監(jiān)視訪(fǎng)問(wèn)情況限制數(shù)據(jù)輸入設(shè)備使用遠(yuǎn)程訪(fǎng)問(wèn)工具增強(qiáng)安全性周邊層介紹商業(yè)伙伴Internet

服務(wù)LAN總部LANInternet

服務(wù)分支機(jī)構(gòu)無(wú)線(xiàn)網(wǎng)絡(luò)LAN網(wǎng)絡(luò)周邊包括到以下方面的連接：Internet分支機(jī)構(gòu)商業(yè)伙伴遠(yuǎn)程用戶(hù)無(wú)線(xiàn)網(wǎng)絡(luò)Internet應(yīng)用程序遠(yuǎn)程用戶(hù)Internet周邊層失守商業(yè)伙伴Internet

服務(wù)LAN總部LANInternet

服務(wù)遠(yuǎn)程用戶(hù)Internet分支機(jī)構(gòu)無(wú)線(xiàn)網(wǎng)絡(luò)LAN網(wǎng)絡(luò)周邊失守可能導(dǎo)致：成功攻擊公司網(wǎng)絡(luò)成功攻擊遠(yuǎn)程用戶(hù)

來(lái)自商業(yè)伙伴的成功攻擊來(lái)自分支機(jī)構(gòu)的成功攻擊成功攻擊Internet服務(wù)來(lái)自Internet的成功攻擊周邊層保護(hù)商業(yè)伙伴Internet

服務(wù)LAN總部LANInternet

服務(wù)分支機(jī)構(gòu)無(wú)線(xiàn)網(wǎng)絡(luò)LAN遠(yuǎn)程用戶(hù)Internet網(wǎng)絡(luò)周邊保護(hù)包括：防火墻阻塞通信端口端口和IP地址轉(zhuǎn)換虛擬專(zhuān)用網(wǎng)絡(luò)(VPN)隧道協(xié)議VPN隔離內(nèi)部網(wǎng)絡(luò)層介紹銷(xiāo)售無(wú)線(xiàn)網(wǎng)絡(luò)市場(chǎng)推廣財(cái)務(wù)人力資源內(nèi)部網(wǎng)絡(luò)層失守對(duì)系統(tǒng)未經(jīng)

授權(quán)的訪(fǎng)問(wèn)訪(fǎng)問(wèn)所有

網(wǎng)絡(luò)通信對(duì)無(wú)線(xiàn)網(wǎng)絡(luò)未經(jīng)

授權(quán)的訪(fǎng)問(wèn)意外的通信端口通過(guò)網(wǎng)絡(luò)探測(cè)

數(shù)據(jù)包內(nèi)部網(wǎng)絡(luò)層保護(hù)要求互相進(jìn)行身份驗(yàn)證網(wǎng)絡(luò)分段網(wǎng)絡(luò)通信加密即使已分段也要限制通信對(duì)網(wǎng)絡(luò)數(shù)據(jù)包簽名實(shí)施

IPSec

端口篩選器以限制與

服務(wù)器的通信主機(jī)層描述包含網(wǎng)絡(luò)上的各計(jì)算機(jī)系統(tǒng)通常具有特定的作用或功能術(shù)語(yǔ)“主機(jī)”既指客戶(hù)端又指服務(wù)器主機(jī)層失守利用不安全的

操作系統(tǒng)配置利用操作

系統(tǒng)漏洞不受監(jiān)視的訪(fǎng)問(wèn)散布病毒主機(jī)層保護(hù)加固客戶(hù)端和服務(wù)器操作系統(tǒng)禁用不必要的服務(wù)使安全修補(bǔ)程序和

Service

Pack

保持最新監(jiān)視和審核訪(fǎng)問(wèn)和試圖進(jìn)行的訪(fǎng)問(wèn)安裝和維護(hù)防病毒軟件使用防火墻WindowsXPSP2高級(jí)安全技術(shù)網(wǎng)絡(luò)保護(hù)內(nèi)存保護(hù)更安全的電子郵件處理更安全的瀏覽改進(jìn)的計(jì)算機(jī)維護(hù)

在以下網(wǎng)址了解更多有關(guān)WindowsXPServicePack2的信息：.../sp2preview

應(yīng)用程序?qū)咏榻B該層包含客戶(hù)端和服務(wù)器網(wǎng)絡(luò)應(yīng)用程序功能必須得以維護(hù)

客戶(hù)端應(yīng)用程序示例：MicrosoftOutlook、MicrosoftOffice套件

服務(wù)器應(yīng)用程序

示例：Web服務(wù)器、

ExchangeServer、

SQLServer應(yīng)用程序?qū)邮貞?yīng)用程序功能丟失惡意代碼的執(zhí)行超出應(yīng)用程序的運(yùn)行極限–DoS攻擊應(yīng)用程序被移作它用應(yīng)用程序?qū)颖Ｗo(hù)只啟用必需的服務(wù)和功能保護(hù)內(nèi)部開(kāi)發(fā)的應(yīng)用程序安裝所有應(yīng)用程序的安全更新程序安裝和更新防病毒軟件以最低必需權(quán)限運(yùn)行應(yīng)用程序在開(kāi)發(fā)新的應(yīng)用程序時(shí)采用最新的安全做法數(shù)據(jù)層介紹文檔目錄文件應(yīng)用程序文件數(shù)據(jù)層失守文檔目錄文件應(yīng)用程序文件查看、更改或刪除信息詢(xún)問(wèn)目錄文件替換或修改應(yīng)用程序文件數(shù)據(jù)層保護(hù)用

EFS

對(duì)文件進(jìn)行加密聯(lián)合使用訪(fǎng)問(wèn)控制列表和加密從默認(rèn)位置移動(dòng)文件定期執(zhí)行數(shù)據(jù)備份用

Windows

Rights

Management

Services

保護(hù)文檔和電子郵件使用

NTFS

實(shí)現(xiàn)文件和文件夾級(jí)別的安全性安全性最佳做法遵循深層防御模型努力實(shí)現(xiàn)在設(shè)計(jì)上安全的系統(tǒng)應(yīng)用最低權(quán)限準(zhǔn)則從經(jīng)驗(yàn)中學(xué)習(xí)運(yùn)用監(jiān)視和審核培訓(xùn)用戶(hù)注意安全問(wèn)題制定和測(cè)試事件應(yīng)對(duì)計(jì)劃和過(guò)程安全性檢查列表創(chuàng)建安全策略和過(guò)程文檔訂閱安全性警告電子郵件了解修補(bǔ)程序管理的最新信息維護(hù)定期備份和還原過(guò)程捕捉攻擊者的心思10條永恒的安全法則，第1部分1如果攻擊者可以說(shuō)服您在計(jì)算機(jī)上運(yùn)行他的程序，則計(jì)算機(jī)便不再屬于您2如果攻擊者能夠在您的計(jì)算機(jī)上更改操作系統(tǒng)，則計(jì)算機(jī)便不再屬于您3如果攻擊者能夠不受限制地實(shí)地訪(fǎng)問(wèn)您的計(jì)算機(jī)，則計(jì)算機(jī)便不再屬于您4如果您允許攻擊者上載程序到您的Web站點(diǎn)，則Web站點(diǎn)便不再屬于您5強(qiáng)大的安全性敵不過(guò)脆弱的密碼10條永恒的安全法則，第2部分6計(jì)算機(jī)的安全性?xún)H等同于管理員的可靠性7加密數(shù)據(jù)的安全性?xún)H等同于解密密鑰的安全性8使用過(guò)時(shí)的防病毒軟件比根本沒(méi)有防病毒軟件略好一點(diǎn)9絕對(duì)的匿名無(wú)論在現(xiàn)實(shí)中還是在Web中都不切實(shí)際10技術(shù)不是萬(wàn)靈藥MicrosoftBaselineSecurityAnalyzer(MBSA)v1.2VirusCleanerToolsSystemsManagementServer(SMS)2003SoftwareUpdateServices(SUS)SP1InternetSecurityandAcceleration(ISA)Server2004StandardEditionWindowsXPServicePack2PatchingTechnologyImprovements(MSI3.0)SystemsManagementServer2003SP1MicrosoftOperationsManager2005WindowsmalicioussoftwareremovaltoolWindowsServer2003ServicePack1WindowsUpdateServicesISAServer2004EnterpriseEditionWindowsRightsManagementServicesSP1WindowsAntiSpywareSystemCenter2005WindowsServer2003“R2”VisualStudio2005VulnerabilityAssessmentandRemediationActiveProtectionTechnologiesAntivirusPrior2004Future2005微軟安全產(chǎn)品時(shí)間表資源第三部分1.IT面臨的挑戰(zhàn)2.安全部署微軟產(chǎn)品3.案例研究4.問(wèn)題和討論

案例研究–銀行/保險(xiǎn)業(yè)案例建立一個(gè)名為“e-bank”的數(shù)據(jù)中心,希望建立基于微軟產(chǎn)品和技術(shù)的安全架構(gòu),保證系統(tǒng)的安全性,高可用性和可靠性,系統(tǒng)包括電子郵件系統(tǒng),網(wǎng)上銀行,遠(yuǎn)程訪(fǎng)問(wèn)等設(shè)計(jì)簡(jiǎn)介利用WSSRA(WindowsServerSystemReferenceArchitecture)Exchange/FirewallCluster/MultipleISPconnectionServerpatchmanagement/hardening/MonitoringChangemanagementBusinessContinuityplan好處BetterProductivityGuaranteedSystemUp-timeDeliveringmoreservicewiththesamebudget案例研究–銀行/保險(xiǎn)業(yè)BranchNetworkCorporateandRegionalFacilitiesRe