行政管理职责

操作管理职责

配置管理

保证级别

物理安全

安全资源配置

网络和资源可用性

预防措施

补丁管理

事件管理

恢复策略

灾难恢复

业务连续性计划和实践

可靠性

调查

个人安全问题

运营部门的角色

组织的威胁：机密数据泄漏、资产失盗、数据受损、服务中断以及对物理或逻辑环境的破坏

运营安全设计配置、性能、容错、安全性以及问责和验证管理，确保适当的操作标准于合规性要求得到满足

行政管理

处理人员问题：

职责分离（确保一个独立行动的人通过任何方法都无法危及到公司的安全，防御性控制）和岗位轮换（很多人执行过一个岗位的任务，检测性控制）

最小特权和“知其所需”，存在共生关系

网络管理员责任：确保网络和资源的高可用及性能

安全管理员：

确保安全不会被忽视或处于较低的优先级
实现和维护安全设备与软件
执行安全评估
创建和维护用户资料，实现和维护访问控制机制
配置和维护强制性控制环境中的安全标签
管理口令策略
检查审计日志

可问责性

用户访问资源的权限必须被限制和适当地加以控制，以确保过度的特权没有机会对公司及其资源造成损害。用户的访问尝试和活动需要被适当地监控、审计和记录

阀值级别（clipping level）：定义阀值，允许一定的错误

保证级别

操作保证：产品的架构、嵌入的特征和功能

生命周期保证：设计规范、阀值级别配置、单元和集成测试、配置管理以及可信分发

运营责任

运营安全：安全措施和对策，以保护资源、信息于驻留信息和资源的硬件，目标是降低非授权访问或滥用造成损失的可能性

负责处理反复发生问题、不寻常或无法解释的事件、不定期的初始程序加载、偏离标准以及网络上其他奇怪或异常的条件

不寻常或无法解释的事件集中监控和事件管理解决方案
偏离标准标准的设定与计算服务级别和他们如何被测定有关
不定期的初始程序加载（重启）将操作系统内核加载到计算的主存中，网络运营团队负责重启事故，若违背系统安全性，由安全操作小组处理

配置管理

系统控制是安全运营的一部分。

1.可信恢复

当一个操作系统或应用程序崩溃或司机时，不应让系统处于任何类型的不安全状态。

操作系统对重启故障的响应

系统重启
紧急系统重启动内核或者介质故障，低特权用户进程企图访问受限制的内存段引起的
系统冷启动常规措施不能将系统恢复到更一致的状态时

1.系统崩溃后

进入单用户或安全模式

修复问题并恢复文件

确认关键的文件和操作

2.安全关注

引导顺序应当不能重新配置

不应避开在系统日志中写入动作

应当禁止系统被迫关闭

应禁止输入变更路线

2.输入与输出控制

输入到系统中数据格式正确并经确认，确保数据不是恶意的
事务是原子性的，可防止检验时间/使用时间攻击
在线交易必须记录在案并添加时间标记
添加防御措施来确保输出安全到达目的地

3.系统强化

物理安全-保安、关卡、围墙、带刺铁丝网、照明、上锁的门
开发标准加固镜像（GM），确定系统镜像的所有用户需要的应用和服务，开发安全配置，漏洞扫描

4.系统远程安全访问

VPN双因素验证
不得以明文传输命令和数据
VPN使用SSH
在本地管理关键系统
只允许少数管理员执行远程功能

物理安全

1.设施访问控制

锁机械锁、弹簧锁、密码锁

2.人员访问控制

生物测定学系统、智能卡或存储卡、账户/PIN/密码、身份验证
混入问题（piggybacking）

3.外部边界保护机制

控制人和车流量
针对不同安全区域的各种保护级别
阻止强行闯入的缓冲和延迟机制
限制和控制进入点
访问控制机制锁和钥匙、电子卡访问系统、员工意识
物理屏障栅栏、大门、墙、门、窗、受保护的通风口、车辆障碍
入侵检测周边传感器、内部传感器、通报机制
评估保安 CCTV摄像头
响应保安、当地执法机构
威慑标志、照明、环境设计

4.入侵检测系统

机电系统磁力开关、体积、电路变化
光电系统光束变化
被动红外热波变化
声学检测系统声音
邻近检测保护特殊物理

5.巡逻警卫和保安

6. 安全狗

7.对物理访问进行审计

安全资源配置

配置：为用户或用户群提供一种或多种信息所需的一系列活动，配置的核心是要以安全方式提供这些服务

1.资产清单

跟踪硬件

可视、可触、条形码

ISO/PAS 28000:2007 保护供应链

资产监控=跟踪现有设备+识别区域内的未知设备

跟踪软件

应用白名单

应用母盘

执行最低权限原则

自动扫描定期扫描网络中的每台设备，以确保其仅运行适当配置和经过批准的软件

2.配置管理

变更控制过程

1.请求一个变更

2.变更的批准

3.变更的文档

4.测试和提交

5.实现

6.提交变更文档报告给管理层

变更控制文档化

变更的情况：

新计算机的安装

新应用程序的安装

不同配置的实现

补丁和更新的文档

新技术的集成

策略、措施和标准的更新

新规章和需求的实现

网络或系统问题的标识和修复实现

不同网络配置的实现

网络集成新的网络互联设备

公司被另一家收购或兼并

3.配置云资产

IaaS
PaaS
SaaS

网络和资源的可用性

设备备份解决方案+可用性解决方案

准备进行“热交换”的冗余硬件
容错技术
服务级别协定（SLA）
确保信息可用性-制订稳健的操作措施

1.平均故障间隔时间（MTBF）

一台设备可靠运行的估计时间，用于了解特定设备何时需要维修或更换

2.平均修复时间（MTTR）

修复一台设备并使其重新投入生产预计所需的时间

MTBF+MTTR决定制造厂商在新系统上投入多大的成本

3.单点失败

定义：如果一台设备出现故障，会给一段或整个网络造成的负面影响

解决单点失败的技术：

独立磁盘冗余阵列RAID（Redundant Array of Independent Disks ）

热切换：在系统运行时更换驱动器

条带化技术：将数据分开，写到若干驱动器上，提高读取性能，不影响写入性能

镜像

奇偶校验：容错服务

RAID级别

直接访问存储设备（Direct Access Storage Device，DASD）
大规模非活动磁盘阵列（Massive Array of Inactive Disks ，MAID）中型存储设备，数百TB数据
独立冗余磁带阵列（Redundant Array of Independent Tapes ，RAIT）使用磁带，适合大型数据
存储区域网络（SAN）高速专用网络+存储专用交换机

集群（Clustering）
网格计算适用于财务建模、天气、地震模拟

4.备份

备份=软件备份+硬件备份

层次存储（Hierarchical Storage Management ，HSM）

5.应急计划

保持关键系统可用以及确保操作和处理不会中断所需的活动
保留3份应急计划文档：在现场保留原件和一份副本、受保护、防火的异地场所保留一份副本
应急计划=BCP，BCP考虑的是组织的存活能力，确保关键功能在灾难发生后仍能运行；应急计划处理小型事故，包括电源中断、服务器故障、互联网通信连接中断或软件错误

预防措施

流程：

1.了解风险

2.使用正确的风险控制

3.正确地使用控制

4.管理你的配置

5.评估操作

1.防火墙

定期评估防火墙防御的有效性

2.入侵检测与预防系统

IDS检测和报告可疑的入侵，IPS检测、报告和制止疑似入侵

误报和漏报

系统基线化

3.反恶意软件

检测和消除恶意软件（病毒、蠕虫和木马），有效率90%-99.9%

4.补丁管理

补丁：为删除软件的漏洞或缺陷，或为他提供新的特征或功能的软件升级

非托管的修补

补丁管理的风险点：

资格证书

配置管理

带宽利用率

服务可用性

集中式补丁管理最佳安全实践

集中式补丁管理的实现方式：

代理

无代理

被动式

沙箱虚拟化技术
容器技术 Docker

5.蜜罐技术

使用蜜罐，提供何时的诱饵，分析攻击

事故管理流程

事故响应团队（来自人力、法律、行政管理、通信、物理/安全部门、IS安全部门和IT部门）：

虚拟团队
永久团队
虚拟和永久团队的混合体，核心成员永久团队，其他成员虚拟团队

事故响应策略由安全部门和法律部门管理，事件管理流程：

检测 SIEM 处理误报和漏报
响应收集更多资料（审核日志、视频捕捉、活动的用户账户、系统活动）
缓解知道发生了什么，你认为接下来会发生什么，阻止事件产生进一步的损害
报告

报告要包含的信息

事件摘要

指示

相关事件

采取的行动

所有证据的监管链

影响评估

事件处理者的身份与评论

接下来要采取的步骤

恢复恢复组织完全可靠的功能
修复决定永久措施，确定攻击的指示IOA和损害的指示IOC，在以后实时检测攻击
学习发生了什么？学到了什么？下一次如何做的更好？

事故和事件的区别：事件=可被观察、验证和记录在案的消极事情，事故=给公司及其安全状况造成负面影响的一系列事件

灾难恢复

MTD最高可承受的停机时间

RPO恢复点目标：最大可容忍的数据丢失量，用时间衡量

RTO恢复时间目标：业务流程在灾难发生后必须恢复到指定服务级别的最长时间，假设有一段可接受的停产时间RTO

WRT工作恢复时间：恢复数据，测试流程以及使所有事情“活”过来进行生产的时间

关系：MTD=RPO+WRT

预防性措施和恢复战略的区别：

预防性措施的目的是降低公司经历灾难的可能性，如果灾难发生，减轻灾难造成的破坏程度

1.业务流程恢复

需要的角色
需要的资源
输入和输出机制
工作流程步骤
需要的完成时间
与其他流程的连接

2.设施恢复

破坏的3种类型：

非灾难
灾难
大灾难

应对灾难的解决方法：软硬件还原、文件还原

异地租用设施

冗余场所（redundant site）
完备场所（hot site）

优点：几个小时即可使用，高度可用性，短期解决方案，年度检查

缺点：非常昂贵，软硬件选择有限

基本完备场所（wram site）

优点：比较便宜，成本较低，使用较长时间

缺点：不能立即投入使用，不能立即获得运作所需的资源

基础场所（cold）
互惠协议

3.供给和技术恢复

BCP包含的（软硬件）备份解决方案：

网络和计算机设备
语音和数据通信资源
人力资源
设备和人力的运送
环境问题（HVAC）
数据和人员安全问题
供给（纸张、表格、线缆）
文档记录

软件托管

4.选择软件备份设施

文档
人力资源

5.终端用户环境

6.数据备份选择方案

完全备份归档为清0，
差量备份：对完全备份后发生改变的文件进行备份
增量备份：对完全备份或差量备份以后改变的文件进行备份归档位清0

7.电子备份解决方案

磁盘映像（disk duplexing）
电子传送（electronic vaulting）：在文件发生改变时定期批量传送备份数据
远程日志（remote journaling）：离线数据传输，实时只将日志或事务处理日志传送到异地设施
磁带传送：数据备份到磁带上，由人运输到异地设施

恢复成本的停机成本之间的平衡：

8.高可用性（HA）

设施
冷、暖、热、冗余、移动、互惠站点
冗余、容错
存储
RAID、SAN、镜像、磁盘映像、云
服务器
集群、负载平衡
数据
磁带、备份、电子传送、在线复制
业务流程
人员

保险

转移风险
网络保险
业务中断保险

恢复和还原

BCP团队：

破坏评估团队

破环评估流程：

确定灾难的成因

确定进一步破坏的可能性

标识受到影响的业务功能和领域

标识关键资源的可用程度

标识必须立即替换的资源

估计需要多久才能恢复关键功能

如果还原过程超过了事先估计的MTD值，那么应立即声明为灾难，并且立即启动BCP

法律团队
媒体关系团队
恢复团队
重新部署团队-组织员工搬入新设施
重建团队-负责备用站点投入运行
救援团队-负责恢复原始站点

应转移最不关键的功能

安全团队
网络团队-重构网络和系统

BCP团队的流程

提出连续性规划策略声明
执行BIA
确定和实现预防性控制
指定恢复战略

实用目标的关键信息

责任
权威
优先级别
实现与测试

调查

1.取证

数字取证
网络取证
电子数据发现
取证计算
数字证据

2.动机、机会和方式（Motive，Oppotunity，And Means）

motive who and why
oppotunity when and where
means abilities to criminal

3.计算机犯罪

罗卡交换原则

4.事故调查员

5.取证调查过程

标识
保存
收集
分析
呈现
决定

原始介质创建两个副本主镜像和工作镜像
文件和目录摘要
保护证据的保管链（电子证据易修改）

证据的分析

6.法庭上可接受的证据

证据的生命周期：收集和标识、存储、保管和运输、法庭出示、将证据返还给受害者或所有者
证据类型：书面、口头、计算机生成的、视觉或听觉
证据的特性：真实、完整、充足和可靠

7.监视、搜素和查封

8.访谈和审讯

义务和后果

1.Due care vs Due diligence

2.职责场景

个人信息
黑客入侵

3.第三方风险

外包
云

4.合同协议

外包协议
硬件供应
系统的维护和支持
系统租赁协议
咨询服务协议
网站开发和支持
保密协议
信心安全管理协议
软件开发协议
软件许可

5.采购和供应商流程

RFP（Request for Proposal）定义需求、评估供应商的活动和过程，合同谈判、采购以及接收所需的解决方案

合规性

GRC 治理、风险和合规
个人安全

All In One - 第7章安全运营相关推荐

《数据分析变革：大数据时代精准决策之道》一第1章了解运营型分析
本节书摘来异步社区<数据分析变革:大数据时代精准决策之道>一书中的第1章,第1.1节,作者: [美]Bill Franks(比尔•弗兰克斯)译者: 张建辉 , 车皓阳 , 刘静如 , 范欢 ...
《数据分析变革：大数据时代精准决策之道》一第1章了解运营型分析1.1 定义运营型分析...
本节书摘来自异步社区<数据分析变革:大数据时代精准决策之道>一书中的第1章,第1.1节,作者[美]Bill Franks(比尔•弗兰克斯),更多章节内容可以访问云栖社区"异步社区 ...
华为数字化转型之道实践篇第九章数字化运营：实现业务运营模式升级
第九章数字化运营:实现业务运营模式升级业务运营是为了帮助企业基于自身业务战略,更好地达成企业经营与运营目标,这中间包含业务沿着流程周而复始地运转,以及在作业过程中识别并推动问题解决等过程. 而数字 ...
Cissp-【第7章安全运营】-2021-3-15（707页-821页）
1.运营部门的角色 2.角色及相关任务 3.可问责性 4.阈值级别 5.保证级别 6.锁的分类 7.CCTV产品由不同组件构成 8.平均故障间隔时间 9.平均修复时间 10.提高资源可用型的技术 11 ...
【CISSP备考】第七章-安全运营
安全运营管理应用安全运营概念安全运营实践的主要目的是保护资产,包括信息.系统.设备和设施. 知其所需和最小特权任何安全IT环境需要准许的两个标准原则分别是知其所需和最小特权原则.这两个原则通过限 ...
CISSP 第十一章安全运营
安全运营 11.1 运营部门的角色 11.2 行政管理 11.2.1 安全和网络人员 11.2.2 可问责性 11.2.3 阈值级别 11.3 保证级别 11.4 运营责任 11.4.1 不寻常与无法 ...
【数分书单】业务学习《从零开始做运营入门篇》第一/二/三章小结
<从零开始做运营入门篇>by 张亮第一章关于运营的一些实话实说 1 苦逼的运营产品两兄弟运营需要积累,实力的积累,经验的积累,对用户了解程度的积累,对数据敏感程度的积累:长期磨练出 ...
python数据分析-《Python数据分析与数据化运营》电子版
2019-01-04更新说明,更新到"3.13 本章小结"部分. ---------------------- 前言为什么要写这本书读者对象如何阅读本书勘误和支持致谢 ...
【新书速递】流量运营教科书
在互联网时代,流量运营是企业的核心运营内容之一,包括流量获取和流量转化两个环节.前者负责把外部流量引入企业内部,后者负责转化流量并达成企业目标.<电商流量数据化运营>内容侧重于前者,通过数 ...

All In One - 第7章 安全运营

安全资源配置

1.资产清单

跟踪硬件

跟踪软件

2.配置管理

3.配置云资产

网络和资源的可用性

1.平均故障间隔时间（MTBF）

2.平均修复时间（MTTR）

3.单点失败

4.备份

5.应急计划

预防措施

1.防火墙

2.入侵检测与预防系统

3.反恶意软件

4.补丁管理

5.蜜罐技术

事故管理流程

灾难恢复

保险

恢复和还原

调查

1.取证

2.动机、机会和方式（Motive，Oppotunity，And Means）

3.计算机犯罪

4.事故调查员

5.取证调查过程

6.法庭上可接受的证据

7.监视、搜素和查封

8.访谈和审讯

义务和后果

1.Due care vs Due diligence

2.职责场景

3.第三方风险

4.合同协议

5.采购和供应商流程

合规性

All In One - 第7章 安全运营相关推荐

最新文章

热门文章

All In One - 第7章安全运营

All In One - 第7章安全运营相关推荐