ITPub博客

首页 > Linux操作系统 > Linux操作系统 > 使用风险管理来平衡功能性和安全性(转)

使用风险管理来平衡功能性和安全性(转)

原创 Linux操作系统 作者:ilg 时间:2019-06-11 10:48:07 0 删除 编辑
使用风险管理来平衡功能性和安全性(转)

  管理一个网络是要在安全、用户功能性和速度之间求得一个平衡。为了证明某种功能性上的减少是有必要的(比如关闭ActiveX),你必须证明这样做能够更好地保护公司财产,并为用户提供一个更安全的环境。

  任何规模的公司都可以并应该使用风险管理的原则来确定风险、漏洞,并采取行动。在很多公司里,IT预算最近被压缩得很厉害。你要求你的员工要谨慎地进行IT方面的开支:确定安全风险并研究消除或减轻这种风险会对公司有怎样的影响。

  风险管理的基础(在本文中)是安全风险评估。风险评估有三个步骤:确定网络价值,定义危险和发现漏洞。

  风险评估流程

  很多人对于漏洞评估感到非常痛苦。我的建议是从实用的角度来考虑。

  确定网络价值

  当评估你公司的网络财产,记住既要考虑有形资产也要包括无形资产。考虑如下这样一些问题:

  * 网络方面的故障会在多大程度上影响收入?

  * 恢复网络所需要的人工开支?

  * 重新创建你网络上的信息存储需要多少开支并付出怎样的代价?

  * 如果你的网络安全受到威胁,会有什么样的财务损失?

  定义危险

  你的网络和里面的数据面临着来自环境、以及内部的和外部的危险。你必须定义好每一种类型的危险,并尽你所能发现尽可能多的危险。

  绝大部分的管理员都能够认识到环境的危险,他们不会把数据中心放在容易洪水泛滥的区域或者把重要的服务器放在一个喷淋装置下面。来自内部的危险也得到了同样的重视。这些类型的危险很常见,而且容易被确认。

  在确定外部危险时,确定谁能够未经授权就访问并获得机密的数据--无论是病人的病历还是信用卡的号码。也许某一个竞争者正在试图获取有关你客户的信息,或者一个黑客试图修改或者调整你的数据,从而破坏数据的完整性或可靠性。

  评估漏洞

  漏洞是你所发现的那些危险发生的可能性。为每一个你所发现的危险定义漏洞级别。

  * 这种危险出现的可能性有多大?

  * 这种危险会带来怎样的影响?

  执行方案

  风险管理的最后一个步骤是实施一个安全解决方案。你的解决方案应该包括一些主要的工作,比如:对用户或管理员进行培训,重新设计网络,或者在安全硬件上进行一次投资。也许你的解决方案可能只非常简单,比如关闭在容易遭到攻击的系统上不需要的服务,或者实施一个需要的服务。当你考虑对你的网络进行风险评估,你可能会发现一个例子是非常有帮助的,这样你就可以了解风险评估在网络安全中的作用。

  让我们来假设一下,一个跨国汽车维修公司的安全管理员决定进行一次网络安全评估。维修店的网络主要用于保存员工的工作时间和工作状况以及顾客修车的相关信息。只在收发电子邮件和获取网络信息的时候才连入互联网。这家修理店的风险评估很可能是这样的:

  确定网络价值:如果网络不存在了,机器一样能够把汽车装配起来,而黑客也不会知道某一个顾客的轮胎出了什么问题。但是,没有网络,一个站点每一天就会需要多花四个小时来计算工作时间和工作状况。

  定义危险:除了环境的和来自内部的危险,最可能出现的危险是来自偶然经过的黑客。

  找到漏洞:网络很容易受到来自敌对网络通信和电子邮件炸弹、病毒的攻击。

  解决方案:简单的、低成本的方法是对工作站采用反病毒解决方案,并在工作站上限制ActiveX、Java和脚本的使用。同时,限制发往外界的http、https和DNS请求,以及在网络边界的SMTP。内部的通信应该只包含已定制的通信,返回的DNS询问以及SMTP。

  总结

  如果解决方案在你的工作职责范围以内,那么就采取行动吧。如果解决方案需要支出费用,把这个问题提交给能够决定网络维护费用支出的人,但是一定要确保你已经仔细考虑过了整个计划。不要指望一个经理会同意实施一个百万美元的计划来保护价值5万美元的数据和硬件。

  风险管理是设计并保护一个网络安全的重要部分。在进行风险管理的时候,你可能会发现你的网络没有得到应有的保护,你需要额外的硬件、软件或者管理员,以及用户培训来保护你的网络。起码你的分析能够向管理层证明你正勤奋地保护着你的网络。

  

本文来自:http://www.linuxpk.com/30819.html

-->linux电子图书免费下载和技术讨论基地

·上一篇:身份管理:保证用户安全的关键

·下一篇:利用网络负载平衡对抗Dos
 
     最新更新
·注册表备份和恢复

·低级格式化的主要作用

·如何防范恶意网站

·常见文件扩展名和它们的说明

·专家:警惕骇客骗局,严守企业信息

·PGPforWindows介紹基本设定(2)

·解剖安全帐号管理器(SAM)结构

·“恶作剧之王”揭秘

·绿色警戒

·黑客反击战

·网络四大攻击方法及安全现状描述

·可攻击3种浏览器代码流于互联网

·黑客最新的兴趣点,下个目标会是谁?

·“僵尸”——垃圾邮件的主要传播源

·Lebreat蠕虫惊现3变种

·POSTFIX反病毒反垃圾Ų…

·在FreeBSD上用PHP实现在线添加FTP用户

·简单让你在FreeBSDADSL上…

·安全版本:OpenBSD入门技巧解析

·Internet连接共享上网完全攻略

·关于ADSL上网网速常识

·静态缓存和动态缓存的比较

·最友好的SQL注入防御方法

·令网站提速的7大秘方

·网络基础知识大全

·路由基本知识

·端口映射的几种实现方法

·VLAN经典诠释

·问题分析与解决——ADSL错误代码

·问题分析——关于2条E1的线路绑定


关于我们 | 联系方式 | 广告合作 | 诚聘英才 | 网站地图 | 网址大全 | 友情链接 | 免费注册

Copyright © 2004 - 2007 All Rights Reserved

来自 “ ITPUB博客 ” ,链接:http://blog.itpub.net/14102/viewspace-117490/,如需转载,请注明出处,否则将追究法律责任。

请登录后发表评论 登录
全部评论

注册时间:2002-06-18

  • 博文量
    1456
  • 访问量
    1080602