建站
咨詢
售后
建站咨詢
新聞中心
- 14.1. 定義安全策略
- 14.2. 防火墻或者包過濾
-
- 14.2.1. nftables Behavior
- 14.2.2. Moving from iptables to nftables
-
14.2.3. Syntax of
nft - 14.2.4. 每次啟動時加載規(guī)則
- 14.3. 監(jiān)督：預防，檢測，威懾
-
-
14.3.1. 使用
logcheck監(jiān)視日志 - 14.3.2. 監(jiān)視行為
- 14.3.3. Avoiding Intrusion
- 14.3.4. 偵測變化
- 14.3.5. 偵測入侵（IDS/NIDS）
-
14.3.1. 使用
- 14.4. AppArmor 簡介
-
- 14.4.1. 原理
- 14.4.2. Enabling AppArmor and managing AppArmor profiles
- 14.4.3. 創(chuàng)建新的配置文件
- 14.5. SELinux 簡介
-
- 14.5.1. 原理
- 14.5.2. 設(shè)置 SELinux
- 14.5.3. 管理 SELinux 系統(tǒng)
- 14.5.4. 適應規(guī)則
- 14.6. 其他安全相關(guān)事項
-
- 14.6.1. 網(wǎng)頁應用程序的內(nèi)在風險
- 14.6.2. 知道預期什么
- 14.6.3. 明智地選擇軟件
- 14.6.4. 將機器作為整體管理
- 14.6.5. 用戶是參與者
- 14.6.6. 物理安全
- 14.6.7. 法律責任
- 14.7. 處理被攻陷的機器
-
- 14.7.1. 探測并觀察黑客入侵
- 14.7.2. 把服務(wù)器下線
- 14.7.3. 保留所有可以作為證據(jù)的東西
- 14.7.4. 重新安裝
- 14.7.5. 法醫(yī)分析
- 14.7.6. 重構(gòu)攻擊場景
一個信息系統(tǒng)根據(jù)其使用環(huán)境的不同可能具有不同等級的重要性。某些情況下，對公司性命攸關(guān)。因此，必須保護其免受各種風險。評估這些風險，定義并執(zhí)行保護措施總稱為“安全過程”。
14.1. 定義安全策略
注意 本章所涉及范圍
安全是一個很廣泛并且敏感的題目，很難在一個章節(jié)的課程中來明確全面地表述。此處只劃定幾個重點，介紹一些可以用于安全領(lǐng)域的工具和方法。更深層次的讀物，作品，書籍比比皆是。一本很好的入門書籍是
Linux 服務(wù)器安全（由 O'Reilly 出版）。 “安全”是一個涵蓋很寬泛的概念，工具和方法，沒有哪個是萬用的。在其中做出選擇，需要確切的知道你的目標是什么。保護系統(tǒng)從回答幾個問題開始。急匆匆的實施隨機的工具會把安全風險轉(zhuǎn)移到錯誤的方向。 因此，首要的事情是確定目標。從下面的問題開始，是逐漸確定目標的好方法：
- 什么 是要保護的？要保護計算機還是要保護數(shù)據(jù)，其策略是不同的。如果是后者，還要知道保護哪些數(shù)據(jù)。
- 我們試圖 防止什么？機密數(shù)據(jù)泄露？意外數(shù)據(jù)丟失？服務(wù)中斷而導致的收入損失？
- 同樣，試圖防止 誰？防范正常用戶的輸入和防止有預謀的攻擊者，其安全措施是大不相同的。
術(shù)語“風險”通常用來涉及這三個因素的綜合：保護什么，防止發(fā)生什么，誰會讓它發(fā)生。三個問題的答案就塑造了風險。針對這種風險模型，就可以構(gòu)建安全策略，并通過具體行動實施策略。
注意 永久質(zhì)疑
Bruce Schneier，是一個安全事務(wù)（不僅僅是計算機安全）方面的世界級專家，曾將安全最重要神秘的面紗概括為一句箴言：“安全是一個過程，而非產(chǎn)品”。需要保護的東西會隨著時間而改變。威脅和對付潛在攻擊者的方法也是如此。即使安全策略被完美的設(shè)計和實施，也不應該躺在功勞簿上。引入了新的風險組件，則必須引入相應的對策。 額外的限制也值得考慮，它們可以限制可用策略的范圍。我們想要在多大程度上保護一個系統(tǒng)？這個問題會對實施策略產(chǎn)生重大影響。答案常常僅僅以金錢成本來定義，但是也應該考慮其他因素，例如強加給系統(tǒng)用戶的不便或者性能降低程度。 一旦風險成型，就可以考慮開始設(shè)計實際的風險策略了。
注意 極端策略
某些情況下，保護系統(tǒng)所要做的行動是極其簡單的。 譬如，如果要保護的系統(tǒng)只是一個每天結(jié)束時加幾個數(shù)據(jù)的二手電腦，那么不采取特殊措施來保護它也是合理的。系統(tǒng)本身的價值很低。而數(shù)據(jù)不儲存在電腦上，數(shù)據(jù)的價值幾乎沒有。滲透到該系統(tǒng)的潛在攻擊者只會得到一個笨拙的計算器。保護這樣一個系統(tǒng)的成本很可能比破壞導致的成本還要大。 另一方面，我們想最充分的保護機密數(shù)據(jù)，超過其他任何考慮。這種情況，一種恰當?shù)淖龇赡苁峭耆贇н@些數(shù)據(jù)（安全刪除文件，將硬盤粉碎成位元，然后將這些位元溶解到酸中，等等）。如果有額外的需求，數(shù)據(jù)必須存儲以便將來使用（雖然不是馬上可用），同時要考慮成本因素，那么可以將這些數(shù)據(jù)存儲在白金合金板上，再存到世界山脈下面的防彈沙坑里，每一個都保密并且有重兵把守… Extreme though these examples may seem, they would, nevertheless, be an adequate response to defined risks, insofar as they are the outcome of a thought process that takes into account the goals to reach and the constraints to fulfill. When coming from a reasoned decision, no security policy is less respectable than any other. 多數(shù)情況下，信息系統(tǒng)可以分割成一致獨立的子系統(tǒng)。每個子系統(tǒng)有自身的需求和限制，這樣可以單獨評估每個風險和設(shè)計安全策略。一個需要謹記的原則是簡短明晰的周界要比漫長而曲折的前沿容易定義。網(wǎng)絡(luò)結(jié)構(gòu)也應相應設(shè)計：敏感服務(wù)應集中在少數(shù)幾個機器上，而且這些機器只能通過極少數(shù)檢查點訪問；保護這些檢查點要比隔離所有敏感機器與外部世界簡單。在這些點上，網(wǎng)絡(luò)過濾器（包括防火墻）的作用就顯而易見了。過濾器可以用專門的硬件，但是更為簡單和復雜的解決方案是使用軟件防火墻，例如在 Linux 內(nèi)核中集成的。
網(wǎng)站名稱：【Debian管理員手冊】第?14?章?安全
本文URL：http://www.dlmjj.cn/article/dppodip.html
