安全設(shè)計邏輯四階段-討論貼

人生五十年

安全設(shè)計邏輯四階段-討論貼
注：紅色為原文，灰色為探討內(nèi)容及本人想法
安全防御縱深的主要目的是增加預(yù)警時間、延遲入侵、使我方反制能力能有效施展運用。而我們建立安全防御縱深的邏輯方式就是利用Security 4D's，由外而內(nèi)的建立。
一、 嚇阻(Deter)
嚇阻的目的是讓入侵者在面對目標(biāo)時，會因為風(fēng)險或代價太大而心生畏懼，因而打消入侵行為。 在前面的故事中就是城內(nèi)的安全維護體系、治安告示牌、高聳的城墻、守城士兵等等。在現(xiàn)代生活中，最常見的就是法律罰則的規(guī)定，標(biāo)的物的保護嚴(yán)密，警告標(biāo)志、警衛(wèi)（察）巡邏、CCTV攝影等使入侵行動不易進行等都是。簡單的還有，在進行辦公區(qū)或是小區(qū)等的防竊勤務(wù)時，大門警衛(wèi)或是巡邏人員對陌生人的眼對眼接觸，對入侵者是很大的心理嚇阻。至于在信息世界中，因為不是實體，我們無法真正的看到入侵者，但是因網(wǎng)絡(luò)世界具有匿名性，因此歹徒覺得可以恣意妄為，不會被發(fā)現(xiàn)。所以法律規(guī)范就變的很重要。因為信息對于現(xiàn)代社會極為重要，一些計算機安全事件對社會的影響極大，現(xiàn)在世界各地，政府對信息犯罪都開始采取嚴(yán)格的刑罰，希望能遏阻信息犯罪的歪風(fēng)。企業(yè)中進行安全警覺意識倡導(dǎo)計劃是達(dá)成嚇阻很重要的一個方法。讓員工們都知道入侵是不對的，而且有罰則；當(dāng)知道安全對大家的重要性，他們也會成為公司的「巡夜人」；對有入侵意圖的的人（內(nèi)部或是外部人員）則會因而投鼠忌器，怕被發(fā)現(xiàn)，而不敢輕舉妄動。
網(wǎng)絡(luò)世界的確是具備匿名性，目前我國對于網(wǎng)絡(luò)犯罪的法律不夠成熟，標(biāo)準(zhǔn)難定。從技術(shù)上說，有多項技術(shù)可以起到嚇阻作用，蜜灌技術(shù)對于一般的攻擊者來說可以起到引導(dǎo)攻擊方向、記錄攻擊行為、延緩攻擊時間的作用。 實際上四個階段不是割裂的，而作為安全技術(shù)上說也是具備延續(xù)性的。貫穿在任一個階段。安全防護發(fā)動員工來阻值入侵的可行性不大，任一個企業(yè)每個員工都有自己職責(zé)內(nèi)的，而且作為專業(yè)技術(shù)專業(yè)人員管理的作用要大，其他員工做的技術(shù)報障。大家都應(yīng)該知道殺雞給猴看的故事吧，但有的時候雞不一定要是真的才能嚇住猴子。
二、 偵測(Detect)
偵測的目的是當(dāng)入侵發(fā)生時，能夠及時發(fā)現(xiàn)。
以前面的故事為例，就是城外的前進觀測所、城墻上的守城士兵、敵樓、城外藏在草地上一線線的串鈴和夜巡人。而在我們的生活所看到的就是警衛(wèi)（察）巡邏、CCTV攝影和警報系統(tǒng)（如：紅外線、影像動態(tài)偵測、磁簧開關(guān)、超音波）等。 而在信息世界中，則有入侵偵測系統(tǒng)和病毒軟件等。至于定期于事后看日志，也是一種安全機制，不過那不是預(yù)防行為，而算是安全補強行為。若是讓大家知道系統(tǒng)管理者或是安全單位會定期審閱日志，對不當(dāng)存取加以追查，且有相關(guān)罰則，此動作則具有「嚇阻」功能。
說到這里，大家第一反映的是一個安全技術(shù)-IDS，由于IDS技術(shù)本身的存在的技術(shù)缺陷-漏報和誤報，并不能做到95%以上的有效入侵檢測。所以還要結(jié)合多項技術(shù)及制度來彌補，如流量檢測，關(guān)鍵部位的重點檢查控制等。審計系統(tǒng)在此過程中的重要性是不容置疑的，目前審計有兩種類型的產(chǎn)品，一種是以收集log性質(zhì)為主的審計，這種類型的審計產(chǎn)品只能作為事后追蹤的一個依據(jù)和分析數(shù)據(jù)，而且分關(guān)聯(lián)析功能教弱，但對網(wǎng)絡(luò)的性能影響很小。另一種是以IDS技術(shù)有基礎(chǔ)，存儲關(guān)鍵點流量，事后可回放針對目標(biāo)的session的安全審計，但這種技術(shù)對加密流量以及除http,ftp,telnet以外的協(xié)議作用不大。
三、 阻延(Delay)
阻延的目的是使入侵行為困難，必須使用工具，耗費更多的時間和精力，以增加其被發(fā)現(xiàn)的機會。
以前面的故事為例，高聳的城墻就具有阻延攀越的功能，絆馬索則可以迫使入侵者降低速度。在我們?nèi)粘Ｉ�活中所用的鑰匙和鎖，甚至是保險柜的鎖實際上都是一個阻延器具。例如保險柜的規(guī)格中有一個是TL-30，它的意義是用一般工具(tool)花30分鐘可以打開。記得，只要有足夠的時間，這世界上沒有不能打開的鎖。 在信息系統(tǒng)中最常見的阻延設(shè)置就是賬戶密碼的設(shè)置。理論上是越復(fù)雜越好，六個字符以上無意義的英數(shù)交雜再加上特殊符號，而且還定時強制更換最好。但是切記不要復(fù)雜到讓人記不起來，最后寫在鍵盤后面或甚至是貼在屏幕上，那可是一點效果都沒有。另外，加密機制也是一種阻延手段。
阻延在安全技術(shù)中的應(yīng)用就是，在可行性和安全性之間，將每項安全技術(shù)的功能發(fā)揮到極點，盡量功能擴大化。
四、 禁制(Deny)
禁制的目的就是阻止入侵行為。 @0:以前面的故事為例，堅實的城墻和城門、深廣的護城河和強大的守城兵力，就是古時候主要施行禁制功能的憑借。在現(xiàn)代生活中，其實還是沒有太大的變化，我們靠的還是堅實的墻壁、大門、防盜窗（一般的鐵窗其實只算是阻延工具）、和有能力的警衛(wèi)和警察。 @0:在信息系統(tǒng)中，防火墻(firewall)、路由器(router)等在一定程度條件下算是禁制工具。而當(dāng)發(fā)生網(wǎng)絡(luò)攻擊時，有一種最簡單但是應(yīng)該算是治標(biāo)不治本的最后手段就是拔掉網(wǎng)絡(luò)線。 @0:禁制是整個安全體系的最后一道防線，事實上也是最不容易做好的一部份。在企業(yè)安全上主要強調(diào)的是預(yù)防動作，若是入侵行動能夠一直攻到這里，損害幾乎是不可避免，所以一旦發(fā)現(xiàn)，當(dāng)下果斷的施以立即強力的反制措施是非常重要的。而當(dāng)損害發(fā)生，接下來的動作就是緊急應(yīng)變的范疇。前一期中在另外一篇論SARS的文章中，筆者已經(jīng)有稍微和讀者聊一下這個題目，有興趣者可以參考一下。
禁止的依據(jù)是通過事先的風(fēng)險分析，事后的安全總結(jié)，配合各安全技術(shù)產(chǎn)生的日志以及配合所產(chǎn)生的。最后通過技術(shù)（fw,ad）和管理制度（行為禁止）來實現(xiàn)。

天下第二

對于其中的第二點，除了IDS和審計軟件以外，不知道目前有什么更好的產(chǎn)品沒有？我對這方面很感興趣