导图社区 操作安全总结
- 47
- 2
- 1
- 举报
操作安全总结
这是一篇关于操作安全总结的思维导图，内容包括安全操作规程是指工人操作机器设备和调整仪器仪表时必须遵守的规章和程序。
编辑于2022-07-12 22:29:26- 生命周期…
- 操作安全
- 操作人员…
- 操作保障
- 网络和资…
- 相似推荐
- 大纲
操作安全
操作安全概述
涉及运行环境的持续维护和每天的日常事务
需要确保系统长期维持在符合要求的安全状态
操作安全PDR模型
防止问题（Prevent）
发现问题（Detect）
更正问题（Correct）
操作安全原则：
适度关注
采取合理的防范保护措施
所有者（企业高管）需提供相关的安全资源
适度努力
在日常工作中尽到责任
操作和管理员进行具体的执行操作， 通常受所有者指派
控制措施
指导型控制
对信息系统相关活动提出要求和建议，如安全策略、 安全标准、安全基线、安全规程
只有在机构范围内得到认同并严格执行的调价下才能起到应有的作用
防御型控制
防止有害事件的发生
包括：
逻辑和物理访问控制系统
存储介质的管理
职务分离
员工培训（Training）和意识培养（Awareness）
测试、认证（Certification）和认可（Accreditation）
质量保证体系（Quality Assurance System）
检测型控制
检测有害事件的发生
包括：
审计跟踪（Audit Trails）和日志（Logs）
完整性校验（Integrity Check）
防病毒系统（Antivirus System）
系统性能监控
内部控制审计
安全检查列表
职务轮换、强制休假
矫正/恢复型控制
在有害事件发生后响应和恢复
包括：
强化安全控制措施
数据备份和恢复
业务应急计划
事件处理机制
消防系统
其他类型
威慑性控制
应用控制
事务控制
输入控制
处理控制
输出控制
变更控制
测试控制
操作人员管理
原则
最小特权 （Least privilege）
管理员给用户授权不能被授予完成工作 所需的访问权限之外的权限
知所必须 （Need-ti-Know）
应该被授予完成其工作所需的访问权限
用户知晓完成工作所必须的权限，不能越权操作
职务分离 （separation of duties）
将一个关键任务分成多个不同的部分， 每个部分由不同的人执行
共谋 （collusion）
进行欺诈需要多个人共谋
工作轮换 （job rotation）
一个担任某个职位的时间不能过长
目的： a）避免过度控制造成欺诈的便利； b）继任人员可能发现前任问题形成制约
由不止一个人能够完成该职位所规定的工作； 提供人员的备份和冗余。
强制休假 （Mandatory vacation）
具有强制性，在休假期间对休假人员 进行审计以便发现可能存在的问题
强制假期具有突然性，使欺诈者没有时间来掩盖欺诈痕迹。
欺诈者为了避免他人发现其行为，可能长期主动放弃休假
操作人员角色分离
将操作人员分割为分离角色。
分割角色原因：
不同安全相关任务所需技能不同
将管理员任务分成多个角色依附于不同信任级别
组织将所有安全相关功能委托给一个角色或人员的需要
安全管理员
主要任务
实现和维护安全设备和软件
执行安全评估
创建和维护用户资料、实现和维护访问控制机制
配置i和维护强制性访问控制i环境中的安全标签
为用户设置初始口令
检查审计日志
可信设施管理
TCSEC的B2到A1级别中的一项重要保证需求
涉及到用于安全系统配置、管理和运作的规程， 角色、功能（命令、程序、接口）、特权和数据库
可信设施管理包括两项关键的需求
B2级要求管理员和操作员功能的分离
B3要求熊管理员的安全相关和非安全相关的功能分离
分离功能的目的
确保认为错误、过时和系统故障造成的负面安全影响 不会影响到管理功能和数据库
控制台日志审计
日志提供可问责性
内容包括：
日志记录内容：
时间、人员、内容等
日志保护：
控制台日志的保存时间，建议将日志长期保存在只读介质中
日志利用：
使用日志处理软件生成特权命令和代码使用情况的统计报表
人工检查日志需要进一步喝茶的特权命令和代码的使用情况
询问操作主管人员检查控制台日志的情况
日志使用管理
授权使用和授权时间使用
保证级别
操作保障 （Operational Assurance）
关注产品的体系结构、嵌入的特征和功能。在产品评估中， 产品具有使用户持续获得所需安全的产品特性
操作系统保障示例：访问控制机制、特权和用户程序代码分离， 审核和监视能力、隐蔽通道分析，可信恢复
生命周期保障 （life-cycle Assurance）
关注产品的体系结构以及其如何开发和维护
示例：涉及规范、限制级别配置、单元和集成测试、 配置i管理以及可信分发
操作保障
操作责任
操作安全目标：降低可能由非授权访问或滥用早曾损失的可能性
管理层负责雇员的行为和职责；
操作部门的人员负责确保系统受到保护并在预期的方法下运行
操作部门的目标：防止反复发生问题，将硬件和软件故障减低到可接受的级别， 以减少事故或破坏的影响
关注内容：
不寻常或无法解释的事件
偏离标准，偏离标准的安全事件
不定期的初始程序加载（重启），关注无故重启的设备
资产标识和管理，资产管理是指了解整个环境中的一切： 硬件、固件、操作系统、语言运行时环境、应用程序以及不同的库
系统控制：确保指令在正确的上下文中执行
可信恢复：确保故障和操作终端不会破坏系统安全运行所需的机制和规程
输入和输出控制：应用程序的输入和输出有直接的关联关系， 需要监控输入中的任何错误和可疑行为
系统强化：禁用不需要的组件和服务；系统安全配置加固
远程访问安全：
不得以明文方式传送命令和数据，应当使用SSH而不是Telnet
应当在本地而不是远程管理
只允许少数管理员执行这种远程功能
的应对任何管理活动实施强身份验证
禁止任何未授权人员访问
可信恢复
目的：
可信恢复的目的是确保在故障和运作中断情况下维护系统的安全和职能功能
为了实现上述目的，系统应该加入一系列机制使其 在预先定义的故障或中断发生时能够保持安全状态
类型
系统重启
以受控方式关闭系统，重新引导前不一致的数据已得到矫正， 数据结构实际上处于一致状态
紧急系统重启动
以非受控方式关闭系统，重启前数据仍然处于不一致状态， 重启进入维护状态自动执行恢复，将系统带入到一致状态
系统冷启动
自动化恢复机制无法将系统带入到一致状态，由管理员人工介入 将系统从维护模式恢复到一致状态
系统崩溃后采取正确步骤：
进入单用户或安全模式
修复问题并恢复文件
确定关键的文件盒操作
Subtopic
安全关注：
引导顺序(C:、A:、D:)应当不能重新配置
不应避开在系统日志中写入动作
应当禁止系统被迫关闭
应禁止输入变更线路
生命周期保障
配置管理
目的：在系统生命周期中，对系统设计、硬件、软件、固件、 文档、测试、测试装置和测试文档更改进行控制。
特点：
在确定的和受控的环境中进行
不会对系统的特性造成负面影响
有序的和有效地实施变更
配置管理的任务
识别配置：对于自动化数据处理系统的任何更改， 系统呗更改版本的设计和需求都应当识别
控制：对每项更改进行审查和比准来完成
状态记录：记录和报告更改过程中的产品配置
审计：对以完成的功能正确性进行验证， 对系统安全策略的一致性进行验证
变更控制过程
请求发生一个变更
变更的批准
变更的文档
测试和提交
实现
提交变更报告给管理层
变更基线
基线：是用于比较或控制目的的一系列关键的观察结果或数据。
基线体现了配置条目设计和开发中的一个切点，在这个切点之后， 配置没有严格配置控制策略和规程的情况下不得变化。
基线建立：
标识要控制的项
标识基线
制定标识方案
控制、记录和审计配置
介质管理
A sound Communications Plan is essential for the success of our project. This project, with all its intricacies and complexities, will affect a great number of people and entities—some more than others. With this in mind, it is important that all stakeholders be provided with frequent, accurate and timely information updates. This will prevent, as discussed under Project Risks, loose ends, assumptions, miscommunications, unrealistic expectations, etc., that may affect the outcome of the project.
介质分类
电子（磁盘、CD/DVD、磁带、USB移动存储等）
非电子（纸质、微缩胶片）
介质安全控制
防止未授权访问的控制，通过物理、技术和行政的手段控制
介质存储环境的安全控制
介质的销毁
介质管理员的工作职责
标记介质
日志记录
完整性验证
物理访问保护
环境保护
传输
处置
介质管理要求
追踪（审计日志记录）：
有效实现访问控制
物理方面（保险箱、抽屉、文件柜加锁）
技术方面对能够检索介质库中心校的任何 自动化系统实施访问控制和授权控制
行政方面，说明什么人应如何处理每条信息的规则
追踪（本地和异地）备份版本的数量和位置
对介质变更的历史记录归档
确保环境调价不会危及介质的安全
介质保存周期需要进行明确的规定
定期清理介质
执行安全处置活动
介质库中的介质内部和外部标签
创建日期、保存期限、分类级别、 创建人、销毁日期、名称和版本
电子标注/机器辨识
安全标签
物理标注/人可辨识
颜色标签
标题页
介质处理
包括介质移做它用、废弃，处置过程应确保介质中信息的安全
对象重用：介质重用前要求清楚残留数据
撤销密级：取消或降低介质保密级别的行政措施， 包括清除介质中的保密信息和更换保密标记
数据残留 data remanence
数据以某种形式删除后残存的物理特征， 利用这些特征可以再造被删除的数据
对机密性的威胁
信息提取方法：
键盘攻击，使用功能软件
实验室攻击，使用专业设备
数据清除
操作不当易受到键盘攻击
在受控环境中重用介质前的信息数据消除
数据根除
数据根除不当易受到实验室攻击
根除用于在非受控环境中重用介质前的数据消除
数据处理方法
覆盖（重写）：
使用某种模式重写介质，这种模式设计用于确保 以前保存的数据几乎不可能被恢复
消磁：
破坏磁带或磁盘山表示存储有信心的磁条
数据加密：
加密数据使其没有相应迷药的情况下不可读
介质销毁
最彻底的方法
从物理上销毁介质，销毁钱最好先清除其中的数据
注意：
促销次并不适用于光学介质， 重写也可能无法有效的删除闪存设备中的数据
数据泄密
常见形式
转移信息不恰当
保护不周全的笔记本或磁盘被窃
重新分配前没有清楚介质中的数据
解决方法
技术控制移动存储介质和设备的使用
通过技术措施来实现，如数据加密
网络和资源可用性
保障可用性的手段
准备进行“热交换”的冗余硬件
容错技术。
服务级别协定（SLA）
稳健的操作措施
平均故障间隔时间，MTBF
某一台设备的估计寿命
平均修复时间，MTTR
是指修复一台设备并使其重新投入生产预计所需的时间
单点故障
防止银一台设备出现故障对整个网络造成负面影响
防止单点故障技术
直接访问存储设备，DASD
直接访问 顺序访问
直接访问存储设备时，任何位置可立即到达； 顺序访问存储设备时，需要穿越当前位置与 目标位置之间的距离才能到达目标。
磁带驱动器属于顺序访问存储设备
最小限度的直接访问智能
多轨道磁带设备就属于这类驱动器
将主要数据段的起始位置保存在磁带的特定点上 和磁带驱动器的缓存中，允许磁带驱动器 更迅速的到达某个轨道及轨道上的某个点
廉价磁盘冗余阵列，RAID
属于直接访问存储设备的一种
条带化技术
将数据划分开来，写入若干的驱动器上，提高读取性能、写入性能没有明显提高
奇偶校验技术
具有容错能力的奇偶校验，一个磁盘驱动器发生故障， 可以重建丢失的数据
存在热切换的磁盘
常见的RAID级别为1、3、5
RAID15=RAID1+RAID5
RAID10=RAID1+RAID0
不同的RAID级别
RAID 0：条带化结构 RAID 0：以条带形式将RAID组的数据均匀分布在各个硬盘中，因此具有很高的数据传输率。它没有数据冗余，尽管不占用CPU资源，但并不能算是真正的RAID结构。RAID 0只是单纯地提高性能，并没有为数据的可靠性提供保证，而且其中的一个磁盘失效将影响到所有数据。因此，RAID 0不能应用于数据安全性要求高的场合。  RAID0 RAID 1：镜象结构 RAID 1：它是通过磁盘数据镜像实现数据冗余，在成对的独立磁盘上产生互为备份的数据，100%的数据冗余。当原始数据繁忙时，可直接从镜像拷贝中读取数据，因此RAID 1可以提高读取性能。RAID 1的成本比较高，其硬盘空间利用率只有1/2。当一个磁盘失效时，系统可以自动切换到镜像磁盘上读写，而不需要重组失效的数据，提供了很高的数据安全性和可用性。最小磁盘数2个。  RAID 1 RAID2：带海明码校验 RAID 2：将数据条块化地分布于不同的硬盘上，使用称为“加重平均纠错码（海明码）”的编码技术来提供错误检查及恢复。这种编码技术需要RAID中第1个、第2个、第4个……第2的n次幂个硬盘都是校验盘。RAID2的硬盘利用率很低，目前基本不再使用。  RAID 2 RAID3：带奇偶校验码的并行传送 RAID 3：它同RAID 2类似，都是将数据条块化分布于不同的硬盘上，区别在于RAID 3使用简单的奇偶校验，并用单块磁盘存放奇偶校验信息。如果一块磁盘失效，奇偶盘及其他数据盘可以重新产生数据；如果奇偶盘失效则不影响数据使用。RAID 3数据分布式存储在连续的硬盘上，具有较高的读速率，适合大文件连续操作的应用，但有数据盘故障时，每次读操作时都需要进行校验计算，读性能大幅度下降。最小磁盘数3个。  RAID 3 RAID4：带共享校验码的独立磁盘结构 RAID 4：RAID 4同样也将数据条块化并分布于不同的磁盘上，但条块单位为块。不同于RAID3的是，RAID 4使用一块磁盘作为奇偶校验盘，每次写操作都需要访问奇偶盘，这时奇偶校验盘会成为瓶颈，因此RAID 4在商业环境中也很少使用。  RAID 4 RAID5：分布式奇偶校验的独立磁盘结构 RAID5：RAID5实际是由RAID3所衍生而来的技术。而RAID3可以看作是RAID0的一种扩展，它也是把数据分块存放在各个硬盘中的，不过为了增加数据的安全性，RAID3又另外接一块硬盘存放数据奇偶校验信息，由于在存取的时候要进行数据的奇偶校验，所以RAID3的工作速度比RAID0要慢一些，如果存储数据的硬盘发生损坏，可利用校验盘上的校验信息恢复数据，不过如果校验盘也损坏，就无法恢复数据了。RAID5则针对RAID所存在的安全隐患，将数据奇偶校验信息均匀分布在各数据硬盘上，硬盘同时保存数据和校验信息，这样就不用担心校验盘损坏所带来的数据安全问题，RAID 5是最常用的RAID方式之一。最小磁盘数3个。  RAID 5 RAID6：带有两种分布存储的奇偶校验的独立磁盘结构 RAID 6：与RAID 5相比，RAID 6增加了第二个独立的奇偶校验信息块，能够允许两个硬盘同时失效，数据的可靠性非常高。但目前RAID 6还没有统一的标准，各家公司的实现方式都有所不同。相较于RAID5，磁盘的利用率更低，且出现硬盘失效时，RAID重建时对系统性能影响更大、重建时间，因此实际应用比较少。最少磁盘数4个。  RAID 6 RAID7：优化的高速数据传送磁盘结构 RAID 7：这是一种新的RAID标准，其自身带有智能化实时操作系统和用于存储管理的软件工具，可完全独立于主机运行，不占用主机CPU资源。RAID 7可以看作是一种存储计算机（Storage Computer），它与其他RAID标准有明显区别。 除了以上的各种标准，还可以结合多种RAID规范来构筑所需的RAID阵列，例如RAID 10，用户一般可以通过灵活配置磁盘阵列来获得更加符合其要求的磁盘存储系统。 RAID10和RAID0+1：高可靠性与高效磁盘结构 RAID 10:是将镜像和条带进行两级组合的级别，第一级是RAID1镜像对，第二级为RAID 0，这种组合提高了读/写速率，并可用允许硬盘损坏，因此RAID10也是一种应用比较广泛的RAID级别。但是RAID10和RAID1一样只有1/2的磁盘利用率。最小硬盘数4个。  RAID 10 RAID 0+1:也是将条带和镜像进行两级组合的RAID级别，第一级是RAID 0，第二级为RAID 1。一般来说，RAID 0+1的失效概率要比RAID 10大，不过无硬盘故障下，RAID 0+1的读取速度要比RAID 10快。  RAID 0+1 RAID30：专用奇偶位阵列条带 RAID-30：象RAID-0一样，跨磁盘抽取数据；象RAID-3一样，使用专用奇偶位。RAID-30提供容错能力，并支持更大的卷尺寸。象RAID-10一样，RAID-30也提供高可靠性，因为即使有两个物理磁盘驱动器失效（每个阵列中一个），数据仍然可用。RAID-30最小要求有6个驱动器，它最适合非交互的应用程序，如视频流、图形和图象处理等。这些应用程序顺序处理大型文件，而且要求高可用性和高速度。 RAID50：分布奇偶位阵列条带 RAID50：象RAID-0一样，跨磁盘抽取数据；象RAID-5一样，使用分布式奇偶位。RAID-50提供数据可靠性，优秀的整体性能，并支持更大的卷尺寸。象RAID-10和RAID-30一样，即使两个物理磁盘发生故障（每个阵列中一个），也不会有数据丢失。RAID-50最少需要6个驱动器，它最适合需要高可靠性存储、高读取速度、高数据传输性能的应用。这些应用括事务处理和有许多用户存取小文件的办公应用程序。最小硬盘数6个。  RAID 50
RAID0：条带化
RAID1：镜像结构
RAID2：汉明码奇偶校验
RAID3：字节级奇偶校验
RAID4：分组级奇偶校验
RAID5：间插奇偶校验
RAID6：第二奇偶校验数据（双奇偶校验）
RAID10：条带化和镜像
大规模非活动磁盘阵列，MAID
支持数百兆兆位的数据，但主要执行写操作
独立冗余磁带阵列（RAIT）
使用磁带驱动器，而非磁盘驱动器
保存大量数据时，磁带驱动器成本较低
相对于磁盘，他的速度更慢
存储区域网络，SAN
存储区域网络包含大量存储设备，他们由一个 高速专用网络和存储专用交换机连接起来
SAN主要适用于追踪兆兆字节的数据且愿意投资的技术型公司
SAN提供冗余、容错、可靠性和备份能力
群集（clustering）
类似于如破能够与服务器的容错服务器技术
能够实现可用性，负载均衡、冗余和故障切换功能
群集也成服务器农场
网络计算（grid computing）
另外一种负载均衡的大规模并行计算方法
网格计算不适合于需要保密的计算机，更加适合于 财务建模、天气建模和地震建模等项目
备份
层次存储管理（HSM）
提供持续的在线备份功能。
将磁盘技术与更低廉的、更缓慢的光盘或磁带库结合起来
TFTP服务器常用保存网络设备的配置设置
完全备份、增量备份、差异备份
应急计划
BCP说明如何在灾难发生后保证组织机构的正常运行
应急计划则处理不能成为灾难的小型事故
邮件和传真安全
电子邮件安全
对消息进行数字签名的电子邮件保护程序 （可靠加密PGP）
PKI公钥基础设施
加密协议
VPN技术
电子邮件工作原理
简单邮件传输协议，SMTP， 工作在TCP协议之上
sendmail是最常见的UNIX SMTP服务器软件，Microsoft Exchange邮件服务器，Novell的GroupWise
POP协议
邮局协议是一种迟迟接收和发出消息的Internet邮件服务器协议
与SMTP协同工作
IMAP协议
提供与POP同类型的功能
IMAP可以在服务器上长期保留
电子邮件中继
邮件服务器启动适当的反垃圾邮件特性
合理的配置电子邮件中继器
传真安全
传真加密器，一种批量数据链路加密机制
攻击和测试
黑客和攻击方法
操作系统指纹识别
端口扫描
漏洞扫描
浏览，入侵者用于获得未经授权访问的信息的常用技巧
肩窥
安全培训和意识教育
网络嗅探
采用加密的安全协议
会话劫持
用户之间采用相互身份验证的协议，如IPSEC和Kerberos
Loki，常见的一种隐蔽通道
口令破解
强口令策略
后门
杀毒软件和IDS，源代码审计
拒绝服务攻击
连接限制和流量牵引
中间人攻击
采用数字签名和互相认证身份技术可以防止这类攻击
邮件轰炸
采用电子邮件过滤和真确配置电子邮件中继功能防范
战争拨号器
一种蛮力攻击，采用严格访问控制控制调制解调器的访问
死亡之ping
发送大量的ICMP包
协议加固和安全补丁
伪造登录页面
主机IDS用户检测这种攻击
泪滴攻击
发送畸形的分片数据包
给系统安装补丁，检测过滤这些数据包
流量分析
通过监控流量模式而查找信息的方法
脆弱性测试
执行脆弱性测试izhiqian，管理层需要指定一份书面协议。明确测试内容和范围
脆弱性发现方法
人工测试，检查标准实践和措施中存在的脆弱性。
物理测试，包括审查设施和周边保护机制
系统和网络测试，采用自动化工具
渗透测试
应所有者的要求模拟攻击一个网络及其系统的过程
渗透测试类型屈居于组织机构、它的安全目标和管理层的目标
渗透测试报告应该提交给管理层
应签署授权测试范围的授权书
步骤
发现，搜集和收集目标的相关信息
枚举，之心端口扫描和资源标识方法
脆弱性映射，在确定的系统和资源中标识脆弱性
利用，尝试利用脆弱性进行未授权访问
向管理层报告，想管理层提交报告和安全建议
分类
黑盒测试，零了解，渗透团队在不了了解测试目标的情况下测试
灰盒测试，在了解一些与测试目标相关的信息上测试
白盒测试，了解目标的本质的基础上测试
其他脆弱性
内核缺陷
确保为环境中的操作系统及时安装补丁
缓冲区溢出
良好的编程实践和开发人员教育、源代码扫描器、 改良编程库以及防止缓冲溢出的强类型语言
符号链接
必须编写程序和特定的脚本，确保无法绕开文件的完整性漏洞
文件描述符攻击
良好的编程实践和开发人员教育、源代码扫描器、 改良编程库以及防止缓冲溢出的强类型语言
静态条件
良好的编程实践和开发人员教育、源代码扫描器、 改良编程库以及防止缓冲溢出的强类型语言
文件和目录许可
文件完整性检查器
事后检查
定期检查安全脆弱性，并进行处理
操作安全控制
访问控制类型
Subtopic
Subtopic
Subtopic
账户安全
特权账户
资产管理
运维流程
配置管理
变更管理
事件管理
问题管理
补丁管理
应急响应
备份技术
可信恢复
介质管理
安全服务
安全加固
漏洞管理
渗透测试
安全检查