一、 控制层面主要安全威协与应对原则
网络设备的控制层面的实质还是运行的一个操作系统,既然是一个操作系统,那么,其它操作系统可能遇到的安全威胁网络设备都有可能遇到;总结起来有如下几个方面:
1、 系统自身的缺陷:操作系统作为一个复杂系统,不论在发布之前多么仔细的进行测试,总会有缺陷产生的。出现缺陷后的唯一办法就是尽快给系统要上补丁。 Cisco IOS/Catos与其它通用操作系统
网络安全 & 数据安全:资讯、技术、法规、趋势……
一、 控制层面主要安全威协与应对原则
网络设备的控制层面的实质还是运行的一个操作系统,既然是一个操作系统,那么,其它操作系统可能遇到的安全威胁网络设备都有可能遇到;总结起来有如下几个方面:
1、 系统自身的缺陷:操作系统作为一个复杂系统,不论在发布之前多么仔细的进行测试,总会有缺陷产生的。出现缺陷后的唯一办法就是尽快给系统要上补丁。 Cisco IOS/Catos与其它通用操作系统
为了给日益红火的安全服务、风险评估、等级保护学习者提供一个好的交流、沟通、学习场所,调整此前的QQ群4、5,由信息与网络安全综合讨论为:
·56111717(安全服务、信息安全风险评估)
·127198276(等级保护学习、讨论区)
此前的5个群:
·综合讨论 1:75140776
·综合讨论 2:1255197
·综合讨论 3:53651293
·西安专用群:53210718
·IT运维群:122365553
欢迎推荐安全服务、风险评估的朋友加入!
欢迎加入等级保护群并提供等保所需产品!
欢迎加入,欢迎讨论。
引言
随着Internet的进一步普及和发展,企业和机构所面临的威胁也越来越多。由于黑客攻击手法层出不穷和技术水平的不断提高。许多企业和机构拥有了先进而昂贵的信息安全设备,传统的老三样“防火墙”“防病毒”“IDS”,各种新贵“反垃圾邮件防火墙”“WEB应用防火墙”以及“上网行为管理”等等,但安全事件依旧频发。究竟是产品不给力还是忽略了什么,才会有这么多安全隐患?
“人”与“设备”的缝隙
信息安全是一个动态的过程,依靠固定的安全设备是很难解决全部问题的,“人”才是信息安全过程的关键。只有“人”充分把握每一个不安全因素,才可能把安全设备之间的缝隙填平,在各种安全隐患发作之前把它们一网打尽。但在这当中“人”的专业信息安全水平和技术力量往往成为最大的限制因素。所以,许多企业尽管拥有了先进而昂贵的信息安全设备,但“设备”和“人”往往无法配合,容易造成安全隐患,等于在安全体系埋下了一枚随时可能被引爆的“炸弹”。
…
McAfee的Foundstone是不错的远程脆弱性评估工具,只是对于中文用户,安装配置稍微麻烦点。游侠在这里提一下安装时候的一些基本条件和注意事项。
Foundstone安装要求:
·Windows Server 2003 English Edition
·Microsoft SQL Server 2005
·操作系统和数据库的最新补丁
至于内存,512M也能跑
摘要:分析了电力二次系统所面临的风险,简要阐述了电力二次系统安全防护相关规定,介绍了风险评估在国内电力二次系统安全建设中的应用。《电力二次系统安全防护规定》对电力二次系统的安全建设提出了具体的建设目标,本文结合风险评估,对电力二次系统安全防护建设中的关键点进行了分析,提出一些意见。
关键词: 电力二次系统 风险评估 安全
引言
电监会5号令《电力二次系统安全防护规定》和电监安
by amxku
2009-01-07
http://www.amxku.net
一个朋友要这些东西,顺便发出来,希望能有所帮助。个人拙见,有不妥之处还望斧正。仅以此文献给我伟大的妈妈!
一、项目启动
1.双方召开项目启动会议,确定各自接口负责人。
==工作输出
1.《业务安全评估相关成员列表》(包括双方人员)
2.《报告蓝图》
==备注
1.务必请指定业务实施负责人作为项目接口和协调人;列出人员的电话号码和电子邮件帐号以备联络。
近期去给某个客户进行公司业务的讲解,在会议室休息的间隙,我打开笔记本的无线网卡,发现了1个AP,并且没有安全验证机制,于是——就连上了。
后来继续讨论的时候,和用户提到这个问题,用户说不是吧?某个工程师在我笔记本电脑上试了某个内部的FTP,能连上,能下载。我说我只要能连进来,就能做很多事情……
于是,20分钟后,就连上了内网的3个内部系统的数据库,里面理所当然的包括很多不适合公开的
等级保护的基本概念
信息系统安全等级保护是指对信息安全实行等级化保护和等级化管理。
根据信息系统应用业务重要程度及其实际安全需求,实行分级、分类、分阶段实施保护,保障信息安全和系统安全正常运行,维护国家利益、公共利益和社会稳定。
等级保护的核心是对信息系统特别是对业务应用系统安全分等级、按标准进行建设、管理和监督。国家对信息安全等级保护工作运用法律和技术规范逐级
在风险评估过程中,可以采用多种操作方法,包括基于知识(Knowledge-based)的分析方法、基于模型(Model-based)的分析方法、定性(Qualitative)分析和定量(Quantitative)分析,无论何种方法,共同的目标都是找出组织信息资产面临的风险及其影响,以及目前安全水平与组织安全需求之间的差距。
基于知识的分析方法
在基线风险评估时,组织可
定量风险评估
在定量风险评估中,目标是试图为在风险评估与成本效益分析期间收集的各个组成部分计算客观数字值。 例如,您用替换成本、生产率损失成本、品牌名誉成本以及其他直接和间接商业价值来估计各个企业资产的真实价值。 计算资产暴露程度、控制成本以及在风险管理流程中确定的所有其他值时,尽量具有相同的客观性。
注:本节在一个较高层次介绍定量风险分析中的部分步骤,不是对使用安全风险管理项目中方法的说明性指导。
此方法有一些固有的难以克服的明显缺点。 首先,没有正式且严格的方法来有效计算资产和控制措施的价值。 换言之,尽管该方法可以向您提供更多详细资料,但财务价值实际上掩盖了数字是估计而来这一事实。 如何可以精确且正确地计算高度公开的安全事件可能对您品牌造成的影响? 如果可行,您可以检查历史数据,但通常情况下是不行。
…
随着网络安全产品、技术的不断发展,越来越多的管理者发现,若想对自己的业务、资产、风险有一个直观清晰的了解,对自己的信息基础设施安全性有一个清晰的认识,最有效的方法便是对整个组织系统做一次全面的风险评估。
笔者认为,聘请外部专业风险评估公司进行对自身的风险评估是比较切实有效的途径。这种公司起初并不清楚用户的系统,因此在评估时不会有偏见,而且它可以从攻击者的角度来全面考察用户信息系统的安全性,可以客观地发现系统漏洞、资产威胁、管理等一系列安全隐患。而用若是采用内部员工进行风险评估,由于对内部流程和操作太过熟悉以至于他们可能很容易地混淆技术风险和运行风险,且出现要么更多的关注业务流程带来的风险,要么过多的关注技术细节带来的风险。总之,专业风险评估公司能够努力屏蔽“不识庐山真面目,只缘身在此山中”的影响,较为容易地找到问题的症结所在。那么,应该选择什么样的外部公司进行风险评估呢?
…
为规范信息安全等级保护管理,提高信息安全保障能力和水平,2007年,公安部、国家保密局、国家密码管理局、国务院信息化工作办公室联合制定并发布《信息安全等级保护管理办法》。国家电网公司积极落实各项要求,将浙江省电力公司等四个单位作为系统内开展信息系统安全等级保护工作的试点,探索统筹开展信息系统安全等级保护测评、信息安全产品评测的工作模式……
前一段信息与网络安全行业的知名网站ChinaCISSP论坛曾经有个议题:风险评估是不是作秀。
议题的说明:
--------------------------------
辩题:风险评估是不是作秀?
正方观点:是作秀,因为风险评估主观和不确定因素过重,其结果要么被认为是不正确的,要么只是为已有的结论寻找依据而已。
反方观点:不是作秀,风险评估有科学理……
关于加强国家电子政务工程建设项目
信息安全风险评估工作的通知
中央和国家机关各部委,国务院各直属机构、办事机构、事业单位,各省、自治区、直辖市及计划单列市、新疆生产建设兵团发展改革委、公安厅、保密局:
为了贯彻落实《国家信息化领导小组关于加强信息安全保障工作的意见》(中办发[2003]27号),加强基础信息网络和重要信息系统安全保障,按照《国家电子政务工程建设项目管理暂行办法》(
一、 前言
风险评估的极端重要性已经越来越被用户认同。在2000-2001年,大多数用户的安全评估需求主要集中于系统脆弱性评估和渗透性测试;在2001-2002年,多数用户的安全评估需求已经侧重于整个管理体系的评估和对特定应用系统的评估;从2002年开始,许多行业用户对全面风险评估提出了要求。
二、 标准与理论
我们在风险评估实践中,主要参考了BS 7799(ISO/IEC 17799)、ISO/IEC 15408-1999(等同GB/T 18336-2001)、ISO/IEC 13335、SSE-CMM等标准。另外,我们也参考了GB 17859-1999《计算机信息系统安全保护等级划分准则》、中国信息安全产品测评认证中心《信息系统安全保障等级评估准则》、公安部《信息系统安全等级保护评估指南》、GB9361-88《计算机场地安全要求》,以及CAV公共漏洞和暴露标准、CRAMM/OCTAVE/ …等标准和法规。
…