1、平安域划分及策略制平安域划分及策略制定定1 平安域设计原理3 平安改造2 平安策略及标准目录平安域设计原理思路、方法平安域的定义 网络平安域：指同一系统内根据信息的性质、使用主体、平安目标和策略等元素的不同来划分的不同逻辑子网或网络，每一个逻辑区域内部有一样的平安保护需求、互相信任、具有一样的平安访问控制和边界控制策略，且一样的网络平安域共享一样的平安策略。平安域：平安域是由在同一工作环境中、具有一样或相似的平安保护需求和保护策略、相互信任、相互关联或相互作用的IT要素的集合。平安域设计原理 以业务为中心，以业务平安为根本出发点 基于业务数据流、数据处理活动 从各种业务功能、管理、控制功能出发
2、，梳理其数据流、刻画构成数据流的各种数据处理活动/行为，分析数据流、数据处理活动的平安需求；基于业务信息系统的构造，根据目标和平安需求进展平安域防护策略设计和优化；基于业务系统外部环境、总体平安防护策略要求进展防护标准设计。平安需求平安策略平安域划分防护标准平安域设计原理 平安需求来自于三个方面 政策、法规、标准及标准：SOX、COSO、ITIL、等保、27001等等 系统风险控制：风险评估 业务属性平安：来自于？业务数据流程平安域设计原理 业务属性平安要求分析业务数据流程管理/控制数据流程业务数据处理活动业务功能管理/控制功能业务数据流程管理/控制数据处理活动数据流数据处理活动业务层面管理/
3、控制层面技术层面调研评估思路平安域设计原理 业务需求平安分析的根本单元：数据处理活动 数据处理活动模型：用户角色、访问策略、过程、数据/信息ProcessInformationProcessAInformationProcessBUserUsers 1Users 2Fig.aFig.bIatf_app_h_9_0091ProcessInformationProcessAInformationProcessBUserUsers 1Users 2Fig.aFig.bProcessInformationInformationProcessAInformationInformationProcessB
4、UserUsers 1Users 2Fig.aFig.bIatf_app_h_9_0091平安域设计原理 功能类型 业务功能 管理功能 控制功能 信息系统中的数据类型 业务/用户数据 管理数据 控制数据 信息系统 业务功能、管理功能、控制功能 业务数据、管理数据、控制数据平安域设计原理 功能和数据的分布分析平安域设计原理 平安需求分析步骤 信息系统刻画平安域设计原理 平安需求分析步骤 信息系统刻画 信息系统分析平安域设计原理 平安需求分析步骤 信息系统刻画 信息系统分析 平安需求分析平安域设计原理 信息系统模型支支 撑撑 域域网网 络络 域域计算域计算域用户域用户域平安域根本类型平安域设计原理
5、 平安域细分 何处入手？网络域？计算域？用户域？支撑域？平安域划分的依据？如何把握分寸？数据应用系统终端网络平安域设计原理 平安域划分依据 导致平安需求、平安策略差异化的因素考虑。一般包括现状构造、威胁、目标要求等。不同的平安域根本类型具有不同的差异化因素。思路：构造、功能、数据流、数据处理活动、威胁 平安域划分要求 平安域单元层次 功能简单、边界清晰、便于定级和防护及策略部署；平安域集合的层次 标准及优化网络构造、应用构造、系统构造；便于进展纵深和有效防护；便于进展数据流业务隔离和控制；便于标准和优化平安域的边界通信；系统层次 清晰刻画系统边界；覆盖了系统内的所有IT要素；符合管理组织架构。
6、平安域设计原理 计算域设计 依据 保障业务平安，优化构造 系统构造：Browser/WEB/APP/DB、Client/APP/DB、Agent/Broker/Server、Peer/Proxy/Peer、B/S、C/S、Peer/Peer 层此模型平安域设计原理 实际的系统构造 一般是这些应用构造的集合体 计算域子域平安域设计原理 用户域 依据？功能，数据，用户主体，位置分析功能功能本地本地远程远程内部用户内部用户第三方用户第三方用户内部用户内部用户第三方用户第三方用户业务业务本地内部业务远程内部业务管理管理本地内部管理本地第三方管理远程内部管理平安域设计原理 支撑域 依据？功能和效劳，平安
7、呢？合规呢？运行维护中心或系统管理中心OMC/SMC、网络管理中心NMC、平安效劳中心SOC 平安、合规需求，细分的依据CA、平安保护、监测与相应局部对等等平安域设计原理 网络域 依据？构造？层次？平安域设计原理 分布式系统平安策略及标准平安策略及标准 平安管理审计制度平安策略制定与参考模型思路识别和分析目标环境识别和分析平安威胁确定平安需求平安效劳及其强度规划平安保护策略规划平安防护标准 平安模型PPDRRFIAARCWPDRR网络平安防护体系系统平安防护体系应用平安防护体系数据平安防护体系平安技术体系平安技术体系平安组织方面平安管理方面平安管理体系平安管理体系平安技术体系平安技术体系身份鉴
8、别访问控制平安审计系统保护入侵防范恶意代码防范系统资源控制构造平安网络访问控制拨号访问控制网络平安审计边界完整性检查网络入侵防范恶意代码防范网络设备防护数据完整性数据保密性数据备份和恢复身份鉴别访问控制平安审计通信完整性通信保密性抗抵赖软件容错资源控制代码平安网络平安防护体系系统平安防护体系应用平安防护体系数据平安防护体系典型平安技术机制l平安预警l平安评估：平安评估效劳、漏洞扫描设备l平安防护l身份认证：双因素动态口令认证l访问控制：防火墙、ACLl防病毒l终端管理：网络准控、补丁管理l平安加固l抗拒绝效劳l平安监控l入侵监测：NIDS、HIDSl日志审计：系统日志审计系统、行为审计系统l应
9、急恢复l灾备中心：数据备份系统l应急预案及措施典型平安技术机制层次鉴别认证鉴别认证访问控制访问控制内容安全内容安全冗余恢复冗余恢复审计响应审计响应物理层物理层身份证件生物认证物理隔离门禁系统监视系统存储介质安全电力系统消防系统磁带机磁盘阵列链路维护日志操作日志击键记录网络层网络层Radius强密码双因素认证PKIIP地址规划VLAN防火墙VPNACLNAT权限控制终端安全接入隔离网闸VPNSSH路由认证HA路由备份入侵检测设备日志日志管理流量监控弱点评估系统层系统层强密码双因素认证单点登录生物认证PKI系统加固权限控制AD域防病毒补丁管理安全定制双机热备集群系统日志日志管理弱点评估应用层应用层
10、AAAA双因素认证单点登录生物认证PKI代理服务器应用程序加固权限控制防病毒内容过滤邮件过滤数据加密数字签名安全定制应用数据容灾备份业务连续性管理应用程序日志日志管理弱点评估 描述内容 目标环境 平安域的环境，功能 威胁 威胁类型及强度、发生的频度，以及影响 平安策略及标准 平安域的防护策略 平安技术及措施平安防护策略及标准安全域子域项内容网络域互联网接入域目标环境互联网接入域一般对外与Internet相连，对内与网络核心域相连。互联网接入域一般由路由器、交换机、防火墙等网络设备组成。其内部一般有接入计算域。威胁主要面临着病毒、蠕虫、黑客攻击、DDoS攻击等威胁及网络组件、通信链路故障，威胁能
11、力极高。安全策略及规范安全需求主要是保证通信设备、链路的可靠性，防止恶意代码的渗入、阻断黑客的入侵DDoS防护和保护通信的可用性和完整性，以及业务数据的完整性。必须采取的安全措施：1）.2)建议采取的安全措施：3）.外联网接入域目标环境威胁安全策略及规范平安防护策略及标准域子域防护技术体系防护内容网络域互联网接入域预警漏洞扫描、安全评估防护部署抗DDOS攻击系统，以抵御来自互联网的DDoS攻击，抗DDoS设备应双机冗余备份。应在接入路由器上启用访问控制列表（ACL）功能，进行数据流过滤。仅允许合法的数据流通过。ACL控制策略应细化到IP地址和服务端口。接入路由器应双机冗余备份。部署基于状态检测
12、的防火墙进行访问控制。安全策略设置中，只允许特定的管理维护数据流通过防火墙，通信流控制要细化到通信的IP地址和服务端口，并且除允许的业务通信外，严格禁止其他通信。防火墙应采用双机热备方式，并与网络核心域内的防火墙形成“双重异构”。将重要主机和设备的IP地址、MAC地址、交换机端口进行绑定，并对网络设备设置管理IP地址。链路、设备冗余与备份安全加固帐号管理防病毒、补丁管理监控日志审计、入侵监测、行为审计应急恢复数据备份与恢复平安防护策略及标准平安管理体系平安管理体系明确平安域的管理组织、管理人员及其平安职责！在平安域内部执行统一的平安管理和维护策略！在平安域内部落实具体的管理制度和流程！平安审计标准与方案举例平安域改造改造方案、改造实施制定平安改造方案设计 整理需求 整理平安需求、汇总所需的平安效劳 总体设计 将平安效劳在信息系统内部、外部进展分配 平安支撑域设计 详细设计 运维支撑域、网管支撑域、网络域、计算域、用户域设计 落实到具体产品、技术、效劳平安改造实施 制定实施步骤和活动 5W 平安策略完善 通过技术手段进展预检验 遗漏、错误 风险躲避 回退 应急 实施 逐条验证 记录回忆回忆 平安域的设计原理 平安防护策略及标准 实施过程Q&A谢谢！谢谢
