安全第三级修炼2-沉阳

安全第三级修炼面向成熟大型机构已经建立了相对比较成熟的安全保障体系欲求安全程度、保障能力上台阶潘柱廷　　启明星辰首席战略官　　　中国计算机学会常务理事1安全第三级修炼未防护非体系化防护体系化防护效益防护第一级修炼部署基本防护事件处理应对第二级修炼安全体系结构风险管理业务连续与应急合规管理第三级修炼安全运营体系高持威胁防御灾难预见预防有效性效益性1谈安全 方案 气瓶 现场处置方案 .pdf气瓶 现场处置方案 .doc见习基地管理方案.doc关于群访事件的化解方案建筑工地扬尘治理专项方案下载 涉及到的方方面面加密强认证防火墙入侵检测国家战略攻击检测渗透测试组织体系 制度 关于办公室下班关闭电源制度矿山事故隐患举报和奖励制度制度下载人事管理制度doc盘点制度下载 /规则多功能网关UTM工作流审计管理平台风险评估等级保护体系结构规划/ 计划 项目进度计划表范例计划下载计划下载计划下载课程教学计划下载 云模式项目管理监控/预警冗余/备份应急响应合规性要求首席安全官安全专家三观论宏观/中观/微观量化/指标化合作/外包管理理念涉密系统安全病毒/蠕虫分布式拒绝服务攻击办公安全网上银行骨干网网站安全ERP服务器安全火灾/水灾设备故障内部人员作案网络渗透网络嗅探核心业务电磁泄漏终端安全文档安全误操作垃圾信息安全事件漏洞/脆弱性黑客业务逻辑卫星通讯业务大集中数据中心线路中断1梳理手上的牌涉密系统安全病毒/蠕虫分布式拒绝服务攻击办公安全网上银行骨干网网站安全ERP服务器安全火灾/水灾设备故障内部人员作案网络渗透网络嗅探核心业务电磁泄漏终端安全文档安全误操作垃圾信息安全事件漏洞/脆弱性黑客业务逻辑卫星通讯业务大集中数据中心线路中断1梳理手中的加密强认证防火墙入侵检测国家战略攻击检测渗透测试组织体系制度/规则多功能网关UTM工作流审计管理平台风险评估等级保护体系结构规划/计划云模式项目管理监控/预警冗余/备份应急响应合规性要求首席安全官安全专家三观论宏观/中观/微观量化/指标化合作/外包管理理念1涉密系统安全病毒/蠕虫分布式拒绝服务攻击办公安全网上银行骨干网网站安全ERP服务器安全火灾/水灾设备故障内部人员作案网络渗透网络嗅探核心业务电磁泄漏终端安全文档安全误操作垃圾信息安全事件漏洞/脆弱性黑客业务逻辑卫星通讯业务大集中数据中心线路中断梳理手上的牌加密强认证防火墙入侵检测国家战略攻击检测渗透测试组织体系制度/规则多功能网关UTM工作流审计管理平台风险评估等级保护体系结构规划/计划云模式项目管理监控/预警冗余/备份应急响应合规性要求首席安全官安全专家三观论宏观/中观/微观量化/指标化合作/外包管理理念1安全三要素——AST业务Asset威胁Threat保障Safeguard1风险管理思想&风险AST1资产威胁措施最精简的风险管理３要素1安全体系结构思想作用于风险AST1不变的三类信息安全核心技术基于密码技术的认证加密等技术措施基于攻防技术的检测技术措施基于风险管理思想的体系化方法和措施1安全体系结构思想作用于风险AST网络结构层次结构…1安全域、网络结构1常见的体系架构层次形态1安全体系结构思想作用于风险AST1从第二级到第三级第2级—体系化防护风险管理风险三要素:业务-威胁-保障业务连续与应急应急保障体系合规管理等级保护行业条例安全体系结构1安全第三级修炼未防护非体系化防护体系化防护效益防护第一级修炼部署基本防护事件处理应对第二级修炼安全体系结构风险管理业务连续与应急合规管理第三级修炼安全运营体系高持威胁防御灾难预见预防有效性效益性1现状、挑战、趋势业务发展趋势：服务型趋向资源共享、集约（云）移动计算、无线基于业务价值…威胁和挑战：APT攻击漫延性危害安全措施的副作用…现有保障能力基本就绪：基本 管理制度 档案管理制度下载食品安全管理制度下载三类维修管理制度下载财务管理制度免费下载安全设施管理制度下载 基本技术保障措施建设有一个保障体系在运行业务威胁保障1从第二级到第三级第2级—体系化防护风险管理风险三要素:业务-威胁-保障业务连续与应急应急保障体系合规管理等级保护行业条例安全体系结构第3级—效益防护高持威胁防御APT检测与防御防止被“点穴”灾难预见预防宏观态势感知预防漫延和爆发式灾难有效性、效益性安全体系有效安全资源效益性强安全运营体系1将运营思想落实到风险AST业务的安全映像运营安全保障的多维运营威胁的对手运营业务Asset威胁Threat保障Safeguard1“流”的思维流的思维运营效益性1业务流1业务流@网络结构1业务的映像运营举例业务价值数据敏感数据、重要数据关键业务活动应用系统应用、存储、交换系统和设备系统主机、网络、终端、存储人员业务价值评估价值映射统计分析动态变化跟踪1空间、流服务网络客户端管控存储物理层网络层系统层应用层数据层知识层价值层空间分布虚实层次jordanpanjordanpanJPNetworking@Connect-SpaceConnect-Space≈Distribution*Hierarchy1所谓攻防就是流(过程)对抗资产威胁措施注：此图中的坐标轴不代表程度环境来源对象内因空间路径系统层次时序生命周期事件影响可能性…环境用例系统脆弱性空间分布时序逻辑流程属主生命周期QoS需求性能可管理需求…环境针对的威胁针对的漏洞X-Based安全机制空间分布时序应激反应生命周期评测属性…1威胁流举例：APT攻击图攻击图（示意）检测攻击过程包含路径和时序攻击过程的大部分是貌似正常操作的不是所有的异常操作都能立即被检测不能保证被检测到的异常在APT过程的开始或早期…1威胁场景/威胁用例/广义威胁威胁的环境Environment：前提、假设、条件等威胁的来源Agent：包括攻击者、误用者、故障源、自然（灾害）等威胁的对象Object：攻击目标和破坏对象，也就是要被保护的对象威胁的内因——脆弱性Vulnerability：自身保护不当的地方威胁的过程Process威胁的途径Route：指威胁必须通过才能实现的一些部分。比如，要通过网络、要在物理上接近设备、要欺骗人等等。威胁的时序Sequence：威胁要实现所必经的步骤和顺序。与威胁的途径是一个从空间上，一个从时间上表达。也可以将这两个因素结合起来表达威胁的过程。威胁的结果——事件Event/Incident：威胁具体实现之后所造成的结果威胁的可能性：威胁产生结果变成事件的概率。威胁的影响范围：威胁产生结果后的影响大小。以及影响进一步扩散的特性。1技术和方法落实在时空上CyberSpace的三个维簇在空间上落实空间问题的基本就是网络拓扑业务流、数据流落地在空间上业务价值影响事件影响和蔓延安全措施有效范围演练设计……生命周期访问时序时间知识业务知识威胁知识环境知识…空间业务流、数据流地理分布拓扑分布系统调用层网络 协议 离婚协议模板下载合伙人协议 下载渠道分销协议免费下载敬业协议下载授课协议下载 层虚拟层次…1威胁运营举例：以事件为抓手以事件分析和处置作为抓手落实过往3-5年至今后的持续事件分析措施高端分析团队事件报告制度事件报告、处置、应急体系技术保障——日志审计类工作应用日志（邮件、访问、业务等）主机日志、终端日志、运维日志(4A堡垒机)网络审计、原始网络流留存分析、系统快照留存分析安全日志(SOC、IDS、FW日志、防病毒日志等)1从事件入手到保障体系经过事件分析，提炼出：事件发生的因由了解哪些措施有效，哪些无效明确哪些措施是亟待落实的从而进一步在信息安全保障体系上做到精益性、有效性的提升1从事件入手到威胁场景研用美国2009年5月白宫发布的《网络空间政策评估》中14条中期计划的第6条：开发一个威胁场景和度量的库据说美爱因斯坦计划已经积累了1600+威胁场景威胁场景的应用安全防护体系设计的有效确认安全产品针对性设计应急演练、渗透测试、人员培训APT攻击和防御设计高水平、可积累、可共享学习1运营+结构@AST1纲要原则：安全三要素（业务-威胁-保障）结构：业务结构、保障结构运营：业务运营+威胁运营+保障运营流思维：面向业务价值保护、威胁结构和威胁用例以事件为抓手深度事件分析高级事件分析、日志审计类技术保障提升保障体系有效性升华到“威胁场景”高度安全第三级修炼1