建站
咨詢
售后
建站咨詢
新聞中心
預(yù)算、時(shí)間以及人員限制要求公司有選擇性地進(jìn)行信息安全人力物力的投入。你如何確定哪些地方需要重點(diǎn)進(jìn)行安全改進(jìn)呢？具有成熟安全項(xiàng)目的企業(yè)可能有一套正式的風(fēng)險(xiǎn)管理過程，來協(xié)助完成這項(xiàng)工作。而另一方面，中型企業(yè)，他們的決定則更需要有策略性。
創(chuàng)新互聯(lián)公司是一家從事企業(yè)網(wǎng)站建設(shè)、成都做網(wǎng)站、網(wǎng)站設(shè)計(jì)、行業(yè)門戶網(wǎng)站建設(shè)、網(wǎng)頁設(shè)計(jì)制作的專業(yè)網(wǎng)站制作公司，擁有經(jīng)驗(yàn)豐富的網(wǎng)站建設(shè)工程師和網(wǎng)頁設(shè)計(jì)人員，具備各種規(guī)模與類型網(wǎng)站建設(shè)的實(shí)力，在網(wǎng)站建設(shè)領(lǐng)域樹立了自己獨(dú)特的設(shè)計(jì)風(fēng)格。自公司成立以來曾獨(dú)立設(shè)計(jì)制作的站點(diǎn)上千家。
下面是評(píng)估安全狀態(tài)的五個(gè)步驟，它們已經(jīng)協(xié)助許多中型企業(yè)進(jìn)行了評(píng)估工作：
1、確定關(guān)鍵數(shù)據(jù)流：對(duì)于企業(yè)來說，了解哪些數(shù)據(jù)是敏感數(shù)據(jù)并不容易。然而，解決這一挑戰(zhàn)有助于你更好地理解企業(yè)的業(yè)務(wù)過程和優(yōu)先事項(xiàng)。同時(shí)你也可以會(huì)見關(guān)鍵人物并聽取他們的意見；他們?nèi)蘸笠矔?huì)支持你的安全改進(jìn)工作。在與他們交談時(shí)，要向他們了解數(shù)據(jù)從哪來，到哪去，哪個(gè)基礎(chǔ)設(shè)施組件將會(huì)處理這些數(shù)據(jù)。此外，也要了解需要公司進(jìn)行數(shù)據(jù)保護(hù)的所有規(guī)則遵從要求或者合同要求。
2、了解用戶的交互：在上一個(gè)步驟中你確定的人群是怎樣使用數(shù)據(jù)的？同時(shí)還要注意個(gè)人的訪問權(quán)限，我們需要完成以下工作：哪些人只讀取數(shù)據(jù)，哪些人需要有改變數(shù)據(jù)的權(quán)限？這將影響到執(zhí)行訪問控制的授權(quán)工作。此外，弄清人們?cè)诠緝?nèi)部，以及與合作伙伴和客戶之間是如何分享數(shù)據(jù)的——脆弱的數(shù)據(jù)共享實(shí)踐已經(jīng)導(dǎo)致了許多數(shù)據(jù)泄漏事件。在這個(gè)階段，還要評(píng)估存在哪些變化控制，以防止人們對(duì)基礎(chǔ)設(shè)施以及其上的數(shù)據(jù)進(jìn)行未授權(quán)的修改。
3、檢查網(wǎng)絡(luò)周邊：當(dāng)你對(duì)數(shù)據(jù)流和用戶的交互有了清楚的了解之后，還需要研究網(wǎng)絡(luò)的出口路徑和入口路徑。哪些地方抵抗攻擊的能力最差？用來監(jiān)測(cè)和阻止未授權(quán)訪問的機(jī)制有哪些？如果一個(gè)外圍組件（譬如說防火墻）未能阻止攻擊，你的整個(gè)系統(tǒng)環(huán)境會(huì)不會(huì)門戶大開呢？檢查你的互聯(lián)網(wǎng)連接和那些連向合作伙伴和客戶的直接鏈接。在這個(gè)階段的評(píng)估過程中，有線和無線網(wǎng)絡(luò)都要檢查。
4、評(píng)估服務(wù)器和工作站：在了解了你的網(wǎng)絡(luò)周邊的強(qiáng)弱點(diǎn)之后，請(qǐng)查看一下網(wǎng)絡(luò)周邊的內(nèi)部系統(tǒng)。你需要查找可以被攻擊者用來破解主機(jī)、盜竊數(shù)據(jù)的缺失補(bǔ)丁或者配置錯(cuò)誤。從外部組件可以訪問的服務(wù)器開始。然后再檢查你的內(nèi)部服務(wù)器。不要忘記評(píng)估你的臺(tái)式電腦和筆記本電腦的安全狀態(tài)，因?yàn)橐钥蛻舳塑浖ū热鐬g覽器和其插件）為目標(biāo)的攻擊很容易成功。
5、查看應(yīng)用程序：最后，考慮一下第三方以及內(nèi)部用戶可訪問的自定義應(yīng)用程序中可能存在的漏洞?？梢宰尮粽咂平鈶?yīng)用程序的安全機(jī)制，從而進(jìn)行未授權(quán)訪問的漏洞有哪些？要特別注意基于網(wǎng)絡(luò)的應(yīng)用程序，近年來它們一直是攻擊者喜歡的目標(biāo)。解決應(yīng)用程序級(jí)別問題并不簡(jiǎn)單，這也是我們不從這一步開始的原因。然而，重要的是要認(rèn)識(shí)到與易受攻擊的應(yīng)用程序相關(guān)的風(fēng)險(xiǎn)，以便對(duì)自己的安全狀態(tài)有一個(gè)完整的評(píng)估。
你不必在完成上面列出的所有的步驟之后才開始解決你發(fā)現(xiàn)的弱點(diǎn)。只要你確定了關(guān)鍵的風(fēng)險(xiǎn)，請(qǐng)盡可能好的解決它們，然后再繼續(xù)評(píng)估。人們很容易在第一個(gè)階段卡殼，因?yàn)樗麄冊(cè)噲D用完美的方式解決所有的問題?？梢钥紤]那些對(duì)當(dāng)前而言足夠好的狀態(tài)，然后繼續(xù)你的評(píng)估，以確定其他需要立即關(guān)注的關(guān)鍵地方。
業(yè)界有一句老話：安全是一個(gè)過程。你完成了所有的評(píng)估步驟并確定了適當(dāng)?shù)娘L(fēng)險(xiǎn)之后，請(qǐng)?jiān)俅沃貜?fù)這個(gè)過程。重復(fù)的次數(shù)越多，你會(huì)感到你所遇到的風(fēng)險(xiǎn)越容易管理。
【編輯推薦】
- 完全解密企業(yè)信息安全風(fēng)險(xiǎn)評(píng)估
- 企業(yè)如何在復(fù)雜環(huán)境中降低安全風(fēng)險(xiǎn)
當(dāng)前文章：五步評(píng)估你的安全狀態(tài)
本文鏈接：http://www.dlmjj.cn/article/dpsphei.html
