6.3: 信息安全工具
- Page ID
- 172367
为了确保信息的机密性、完整性和可用性，组织可以从各种工具中进行选择。 这些工具中的每一个都可以作为总体信息安全策略的一部分使用，下一节将对此进行讨论。
身份验证
识别人最常见的方法是通过外表，但是我们如何识别坐在电脑屏幕后面或自动柜员机旁的人呢？ 身份验证工具用于确保访问信息的人确实是他们自称的真实身份。
身份验证可以通过以下三个因素中的一个或多个来识别某人来完成：他们知道的东西、他们拥有的东西或他们的身份。 例如，当今最常见的身份验证形式是用户 ID 和密码。 在这种情况下，身份验证是通过确认用户知道的内容（他们的 ID 和密码）来完成的。 但是这种形式的身份验证很容易受到破坏（参见侧边栏），有时需要更强的身份验证形式。 仅通过某人拥有的物品（例如钥匙或卡片）来识别某人也可能出现问题。 当识别令牌丢失或被盗时，身份很容易被盗。 最后一个因素，就是你的本质，更难妥协。 该因素通过身体特征（例如眼部扫描或指纹）来识别用户。 通过某人的身体特征识别某人被称为生物识别技术。
对用户进行身份验证的一种更安全的方法是进行多因素身份验证。 将上面列出的两个或多个因素结合起来，会使某人更难虚假陈述自己。 例如，使用 RSA SecurID 令牌。 RSA 设备是你拥有的，每六十秒钟就会生成一个新的访问码。 要使用 RSA 设备登录信息资源，您需要将您知道的内容（四位数 PIN）与该设备的代码相结合。 正确进行身份验证的唯一方法是知道代码和拥有 RSA 设备。
访问控制
用户通过身份验证后，下一步是确保他们可以访问相应的信息资源。 这是通过使用访问控制来完成的。 访问控制决定哪些用户有权读取、修改、添加和/或删除信息。 存在几种不同的访问控制模型。 这里我们将讨论两个问题：访问控制列表 (ACL) 和基于角色的访问控制 (RBAC)。
对于组织希望管理的每项信息资源，可以创建一个能够采取特定操作的用户列表。 这是访问控制列表或 ACL。 为每个用户分配了特定的权能，例如读取、写入、删除或添加。 只有具备这些能力的用户才能执行这些功能。 如果用户不在列表中，他们甚至无法知道信息资源的存在。
ACL 易于理解和维护。 但是，它们有几个缺点。 主要缺点是每个信息资源都是单独管理的。 如果安全管理员想要在大量信息资源中添加或删除用户，这并不容易。 随着用户和资源数量的增加，ACL 变得越来越难以维护。 这导致了访问控制方法的改进，称为基于角色的访问控制或 RBAC。 使用 RBAC，不是向特定用户授予对信息资源的访问权限，而是为用户分配角色，然后为这些角色分配访问权限。 这允许管理员分别管理用户和角色，简化了管理，进而提高了安全性。
加密
组织通常需要通过互联网传输信息或通过外部媒体（例如USB）传输信息。 在这些情况下，即使有适当的身份验证和访问控制，未经授权的人员也可以访问数据。 加密是在传输或存储数据时对数据进行编码的过程，只有经过授权的个人才能读取数据。 这种编码由计算机程序完成，该程序对需要传输的纯文本进行编码；然后，接收方接收密文并对其进行解码（解密）。 要做到这一点，发送方和接收方需要就编码方法达成一致，这样双方才能正常通信。 双方共享加密密钥，使他们能够对彼此的消息进行编码和解码。 这称为对称密钥加密。 这种类型的加密是有问题的，因为密钥在两个不同的地方可用。
对称密钥加密的替代方法是公钥加密。 在公钥加密中，使用两个密钥：公钥和私钥。 要发送加密消息，您需要获取公钥，对消息进行编码，然后发送。 然后，接收者使用私钥对其进行解码。 可以将公钥提供给希望向收件人发送消息的任何人。 每个用户都需要一个私钥和一个公钥来保护消息。 私钥是解密使用公钥发送的内容所必需的。
侧边栏：密码安全
密码的安全性取决于其防范暴力猜测的优势。 强密码可减少整体安全漏洞，因为犯罪分子更难猜测。
密码策略和技术已经演变为应对安全威胁，从短密码到长密码，从单因素身份验证到多因素身份验证。 现在，大多数公司对用户创建密码以及如何进行身份验证都有特定的要求。
以下是各组织应制定的一些更常见的政策。
- 需要复杂的密码，难以猜测。 例如，一个好的密码策略要求至少使用八个字符，以及至少一个大写字母、一个特殊字符和一个数字。
- 定期更改密码。 用户必须定期更改密码。 用户应每六十到九十天更改一次密码，确保任何可能被盗或猜到的密码都不会被用来对付公司。
- 培训员工不要泄露密码。 窃取密码的主要方法之一是通过询问用户或管理员来弄清楚密码。 当攻击者致电服务台或安全管理员并假装自己是登录时遇到问题的特定授权用户时，就会发生假装。 然后，通过提供有关授权用户的一些个人信息，攻击者说服安全人员重置密码并告诉他密码是什么。 欺骗员工泄露密码的另一种方法是通过电子邮件网络钓鱼。
- 培训员工不要点击链接。 当用户收到看起来好像来自可信来源（例如银行或雇主）的电子邮件时，就会发生网络钓鱼。 在电子邮件中，要求用户单击链接并登录到模仿真实网站的网站并输入他们的ID和密码，然后攻击者捕获这些ID和密码。
备份
信息安全的另一个重要工具是为整个组织制定全面的备份计划。 不仅应备份公司服务器上的数据，还应备份整个组织中使用的单台计算机。 一个好的备份计划应该包括几个组成部分。
- 全面了解组织信息资源。 该组织实际掌握了哪些信息？ 它存储在哪里？ 有些数据可能存储在组织的服务器上，其他数据可能存储在用户的硬盘上，有些存储在云中，还有一些存储在第三方网站上。 组织应全面清点所有需要备份的信息，并确定备份这些信息的最佳方法。
- 定期备份所有数据。 备份频率应基于数据对公司的重要性以及公司替换任何丢失数据的能力。 关键数据应每天备份，而不太重要的数据可以每周备份一次。
- 备份数据集的异地存储。 如果所有备份数据与数据的原始副本存储在同一个设施中，那么单个事件，例如地震、火灾或龙卷风，就会同时消耗原始数据和备份数据！ 备份计划的一部分必须将数据存储在异地位置，这一点至关重要。
- 测试数据恢复。 通常，应通过恢复部分数据来测试备份。 这将确保该过程正常运行，并使组织对备份计划充满信心。
除了这些考虑因素外，组织还应检查其运营情况，以确定停机会对其业务产生什么影响。 如果他们的信息技术长期不可用，会对业务产生什么影响？
与备份相关的其他概念包括：
- 通用电源 (UPS )。 UPS 是一种为系统关键组件提供备用电池的设备，允许它们更长时间地保持在线状态和/或允许 IT 人员使用适当的程序将其关闭，以防止因电源故障而可能造成的数据丢失。
- 备用或 “热门” 站点。 一些组织选择使用备用站点，让他们的关键数据副本始终保持最新。 当主站点出现故障时，备用站点会立即联机，这样几乎没有停机时间。
随着信息成为战略资产，整个行业都围绕着实施正确备份策略所需的技术如雨后春笋般涌现。 公司可以与服务提供商签订合同，以备份其所有数据，或者购买大量的在线存储空间然后自己做。 现在，大多数大型企业都使用存储区域网络和存档系统等技术。
防火墙
组织应使用另一种方法来提高其网络的安全性，即防火墙。 防火墙可以作为硬件或软件存在（或两者兼而有之）。 硬件防火墙是一种连接到网络的设备，它根据一组规则过滤数据包。 软件防火墙在操作系统上运行，并在数据包到达计算机时将其拦截。 防火墙通过阻止来自组织网络外部的不符合严格标准的数据包来保护所有公司的服务器和计算机。 也可以配置防火墙来限制离开组织的数据包。 这样做可能是为了消除员工在公司计算机上观看YouTube视频或使用Facebook的可能性。
一些组织可能会选择实施多个防火墙作为其网络安全配置的一部分，从而在部分安全的网络中创建一个或多个部分。 网络的这一部分被称为非军事区，借用了军方的 “非军事区” 一词。 在这里，组织可以放置需要更广泛访问但仍需要保护的资源。
入侵检测系统
出于安全目的可以放置在网络上的另一个设备是入侵检测系统或 IDS。 IDS 不会增加任何额外的安全性；相反，它提供了识别网络是否受到攻击的功能。 可以将 IDS 配置为监视特定类型的活动，然后在该活动发生时向安全人员发出警报。 IDS 还可以记录网络上各种类型的流量，以供日后分析。 IDS 是任何良好的安全设置的重要组成部分。
侧边栏：虚拟专用网络
使用防火墙和其他安全技术，组织可以通过使外部世界看不见其许多信息资源来有效地保护这些资源。 但是，如果在家工作的员工需要访问其中的一些资源，该怎么办？ 如果聘请顾问从远程位置处理企业内部网络会怎样？ 在这些情况下，需要虚拟专用网络 (VPN)。
VPN 允许企业网络之外的用户绕过防火墙并从外部访问内部网络。 软件和安全措施相结合，使组织可以有限地访问其网络，同时确保整体安全。
物理安全
组织可以在全球范围内实施最佳身份验证方案，开发最佳访问控制，并安装防火墙和入侵防御。 尽管如此，如果不实施物理安全，其安全性就无法完成。 物理安全是对存储和传输信息资源的实际硬件和网络组件的保护。 为了实现物理安全，组织必须识别所有易受攻击的资源，并确保这些资源不会被物理篡改或被盗。 这些措施包括以下内容。
- 锁着的门：看似显而易见，但是如果入侵者可以走进并物理移走计算设备，那么世界上所有的安全措施都毫无用处。 应将高价值信息资产保护在访问受限的地点。
- 物理入侵检测：应通过使用安全摄像头和其他手段对高价值信息资产进行监控，以检测对其所在物理位置的未经授权的访问。
- 安全设备：应锁定设备以防止其被盗。 一名员工的硬盘可能包含您的所有客户信息，因此必须对其进行保护。
- 环境监控：组织的服务器和其他高价值设备应始终保存在受监控的房间中，以监测温度、湿度和气流。 当这些因素超出指定范围时，服务器故障的风险就会增加。
- 员工培训：盗贼窃取公司信息的最常见方式之一是在员工出差时偷走员工的笔记本电脑。 员工应接受培训，确保他们不在办公室时保护其设备。
安全策略
除了上面列出的技术控制措施外，组织还需要实施安全策略作为一种管理控制形式。 实际上，这些策略实际上应该是制定总体安全计划的起点。 良好的信息安全政策规定了员工使用公司信息资源的指导方针。 如果员工违反政策，它为公司提供了追索权。
安全政策应以上文讨论的信息安全三合会为指导。 它应制定指导方针和流程，供员工在访问所有资源时遵守，以维护三个类别的完整性：机密性、完整性和可用性。
政策要求合规并需要强制执行；不遵守政策将导致纪律处分。 SANS Institute 的信息安全政策页面（2020）列出了许多不同类型安全策略的模板。 安全策略的一个示例是应如何管理远程访问，可在此处找到。
安全政策还应涉及适用于该组织的任何政府或行业法规。 例如，如果该组织是一所大学，则必须知道《家庭教育权利和隐私法》（FERPA），该法案限制谁有权访问学生信息。 医疗保健组织有义务遵守多项法规，例如《健康保险便携性和责任法案》（HIPAA）。
侧边栏：移动安全
随着智能手机和平板电脑等移动设备的激增，组织必须做好准备，解决这些设备使用的独特安全问题。 组织必须考虑的第一个问题是是否允许在工作场所使用移动设备。
许多员工已经有了这些设备，所以问题就变成了：我们是否应该允许员工自带设备并在工作活动中使用它们？ 还是我们应该向员工提供设备？ 制定自带设备（“自带设备”）政策可以让员工更充分地融入工作，提高员工的满意度和工作效率。 在许多情况下，阻止员工在工作场所拥有自己的智能手机或iPad几乎是不可能的。 如果组织向其员工提供设备，则可以更好地控制设备的使用，但也会面临管理（代价高昂）混乱的可能性。
移动设备可能给组织带来许多独特的安全挑战。 最大的担忧之一可能是知识产权的盗窃。 对于有恶意意图的员工来说，通过USB端口将移动设备连接到计算机或无线连接到公司网络并下载机密数据将是一个简单的过程。 使用内置摄像头秘密拍摄高质量的照片也很容易。
当员工有权在其设备上访问和保存公司数据时，就会出现另一种安全威胁：该设备现在成为盗贼的目标。 盗窃移动设备（在本例中包括笔记本电脑）是数据窃贼使用的主要方法之一。
那么，可以做些什么来保护移动设备呢？ 它将从关于其使用的良好政策开始。 具体准则应包括密码政策、远程访问、摄像头使用、录音等。
除了策略之外，组织还可以使用几种不同的工具来缓解其中的一些风险。 例如，如果设备被盗或丢失，地理定位软件可以帮助组织找到它。 在某些情况下，安装远程数据删除软件甚至可能是有意义的，如果数据存在安全风险，该软件将从设备中删除数据。
可用性
在寻求保护信息资源时，组织必须在安全需求与用户有效访问和使用这些资源的需求之间取得平衡。 如果系统的安全措施使其难以使用，那么用户就会找到绕过安全的方法，这可能会使系统比没有安全措施时更容易受到攻击！ 以密码策略为例。 如果组织需要一个包含多个特殊字符的非常长的密码，则员工可能会将其写下来然后放在抽屉里，因为密码无法记住。
参考资料：
安全策略模板。 检索于 2020 年 9 月 6 日，摘自 SANS 研究所的信息安全 www.sans.org/信息安全政策/