|
3. 计算机安全的三大防线
防线（line of defenses）是指用于控制和限制对计算机系统资源的访问和使用的机制。这种机制对使用系统的行为和系统的内容施加直接或间接的影响。安全防线根据在使用中的优先级可分为三类：第一道防线、第二道防线和最后防线。第一道防线总是优先于第二道和最后防线进行部署。如果第一道防线由于某种原因无法落实或生效，第二道防线应该发挥作用。如果第二道防线由于某种原因无法落实或生效，最后防线应该发挥作用。以下是各道防线的例子。
第一道防线
- 防止有害行为的政策和流程。
- 内部控制，尤其是预防有害业务操作的控制手段。
- 防止非法访问和使用计算机资源的口令和身份识别码。
- 防止网络入侵的防火墙。
- 预防错误、疏漏、违法行为（如欺诈、盗窃）和系统入侵的职务划分（separation of duties）。
- 防止非法访问（如冒充、模仿）的身份识别技术。
- 对员工进行防护技术和流程知识的教育、培训和普及。
- 防止非法进出的物理保安手段（如锁匙、警卫）。
- 防止电子欺骗的网络监控。
- 防止伪劣、冲突和残缺的质量保证体系。
- 防止篡改、滥用和入侵的系统安全管理员。
- 防止数据丢失和拒绝服务的容错（如磁盘镜像和磁盘阵列技术）和冗余（设备备份）技术。
- 安放物品的安全容器。
- 使用虚假数据和系统防止攻击的陷阱技术。
- 防止非法程序修改的程序修改控制手段。
- 防止非法入侵的回叫技术。
- 防止数据丢失的备份文件。
- 限制登录连接尝试次数。
- 防止财产损失、侵害和非法进入的隔离护栏。
- 防止错误数据的完整性验证软件。
- 防止病毒和其它形式攻击的系统隔离技术。
- 防止非法用户访问或合法用户越权访问多用户系统的最低安全要求。
- 防止侵害系统及其完整性的多人控制流程。
第二道防线
- 发现非法操作（如添加、修改和删除）的审计和日志。
- 监视非法操作。
- 发现有害攻击的攻击探测软件。
- 发现计算机系统系统安全缺陷的入侵测试。
- 诸如墙壁和天花板等防止非法进入的外围设施。
最后防线
- 发现设计和编程错误的软件测试。
- 灾难（自然的和人为的）保险。
- 留意有问题的员工。
- 安放物品的安全容器。
- 防止数据丢失的备份。
- 防止在正式发布前使用系统的配置管理。
- 发现伪劣质量的质量检查测试。
- 在不测事件和状况下使用的应急计划。
- 员工对异常事件的警惕性。
|
