微软产品为信息安全等级保护 保驾护航

2. SEC213 微软产品为信息安全等级保护保驾护航

3. 主题 BRS - Microsoft安全解决方案框架 1 安全等级保护促进企业安全建设 2 微软技术支持企业提高安全等级 3 行业安全解决方案研讨 4 服务与支持 5 Sources: World Bank and IMF

4. Microsoft安全愿景

5. IT系统面临的威胁不断增加 • Local Area Networks • First PC virus • Boot sector viruses • Create notorietyor cause havoc • Slow propagation • 16-bit DOS • Internet Era • Macro viruses • Script viruses • Key loggers • Create notorietyor cause havoc • Faster propagation • 32-bit Windows • Hyper jacking • Peer to Peer • Social engineering • Application attacks • Financial motivation • Targeted attacks • Network device attacks • 64-bit Windows • Broadbandprevalent • Spyware, Spam • Phishing • Botnets & Rootkits • War Driving • Financial motivation • Internet wide impact • 32-bit Windows 1986–1995 1995–2000 2000–2007 2007+

6. Major sections cover • Software Vulnerability Disclosures • Software Vulnerability Exploits • Malicious Software and Potentially Unwanted Software • Privacy and Security Breach Notifications • www.microsoft.com/sir

7. National Interest Personal Gain Personal Fame Curiosity 威胁演变趋势 Increasingly Sophisticated MalwareAnti-malware alone is not sufficient Exponential Growth of IDsIdentity and access management challenging Largest segment by $ spent on defense Number of variants from over 7,000 malware families (1H07) B2C Spy B2E Largest areaby $ lost B2B mobility Number of Digital IDs Internet Fastest growing segment Thief client/server mainframe Pre-1980s 1980s 1990s 2000s Source: Microsoft Security Intelligence Report (January – June 2007) Trespasser Crime On The Rise Attacks Getting More SophisticatedTraditional defenses are inadequate Largest area by volume Author User • Examples • Spyware • Rootkits • Application attacks • Phishing/Social engineering Vandal GUI Applications Drivers O/S Hardware Script-Kiddy Amateur Expert Specialist Physical

8. 复杂的安全技术环境 Anti-Virus Security Software Patch Security Appliance Network Device System Integrator

9. 现今企业业务面临的难题 威胁 当前应对方案 业务愿景 种类和数量同时增加 新产品不断问世 • 法规遵从和一致性带来的压力逐日增大 • 无处不在、更加频繁的互通与协作 • 保护和访问需求日益急迫 • 明智IT选择；降低预算 集成性松散 复杂程度增加 利益所驱使 总体成本过高 安全治理无法与企业需求以及新生机会同步发展

10. 安全管理的需求 Fragmentation ofsecurity technology Threats moredangerous Difficult to use,deploy and manage • More advanced • Application-oriented • More frequent • Profit motivated • Too many point products • Poor interoperability • Lack of integration • Multiple consoles • Uncoordinated event reporting & analysis • Cost and complexity SIMPLIFIED SECURITY SOLUTION REQUIREMENTS INTEGRATED COMPREHENSIVE

11. Microsoft安全战略 Infrastructure Optimization Microsoft Windows VistaSecurity Whitepapers Learning Paths forSecurity Professionals Microsoft SecurityAssessment Toolkit Microsoft SecurityIntelligence Report Microsoft IT Showcase SecurityReadiness Security Tools & Papers Educationand Training Perspective Guidance

12. 构建信任栈 Core Security Components Identity Claims Authentication Authorization Access Control Mechanisms Audit “I+4A” Trusted Stack Trusted Data Trusted People Trusted Software Integrated Protection Trusted Hardware SDL and SD3 Defensein Depth Threat Mitigation Secure Foundation

13. 信息安全体系框架

14. 信息安全体系框架 安全防护机制 安全监测机制 安全响应机制 管理体系 框架 安全风险管理体系 评估安全风险 制定安全策略 实施安全策略 审核策略有效性 组织体系 框架 安全筹划指导委员会 安全风险管理小组 信息安全组/信息技术组 技术体系 框架 物理防护 网络防护 物理监测 网络监测 预警/报警/审计 主机防护 数据保护 主机监测 应用监测 系统备份与恢复 信息安全基础设施

15. 管理体系框架 – 安全风险管理 信息安全体系框架 评估风险 确定企业面临的风险并确定其优先级 实施决策支持 根据成本效益分析评价并确定风险控制方案 实施控制 部署并实施控制解决方案以降低企业面临的风险 评定计划有效性 分析风险管理流程效率，验证控制措施提供了预期的保护程度

16. 信息安全体系框架 管理体系框架 – 安全风险管理 • 评估安全风险 • 规划 • 为成功的风险评估建立基础 • 主要任务 • 评估风险阶段与预算流程相衔接 • 精确确定评估范围 • 获得风险承担者认同 • 设置期望值 • 数据收集 • 从整个组织内的风险承担者收集风险数据 • 确定资产并对其进行分类 • 定义威胁与漏洞 • 评估资产暴露程度 • 评估威胁的可能性 • 确定风险优先级 • 确定了优先级的风险列表

17. 信息安全体系框架 管理体系框架 – 安全风险管理 • 制定安全策略

18. 信息安全体系框架 管理体系框架 – 安全风险管理

19. 信息安全体系框架 管理体系框架 – 安全风险管理 • 制定安全风险记分卡 • 评定控制有效性 • 确保控制措施提供预期的保护效果并持续有效 • 直接测试/自动测试 • 重新评估新的和已更改的资产和安全风险

20. 信息安全体系框架 组织体系框架 安全筹划指导委员会 上级主管 安全风险小组 信息技术组代表 企业负责人 信息安全执行机构 控制方案负责人 风险承担者 信息安全组 信息技术组

21. 信息安全体系框架 组织体系框架 – 任务分工概要

22. 信息安全体系框架 技术体系框架

23. 安全机制 • 保护机制 • 身份识别、访问控制 • 数据过滤 • 加密、安全标记、通信量填充与信息隐蔽 • 文件、数据库、数据库字段 • 数据完整性 – 消息的鉴别 • 数据单元完整性鉴别：通过鉴别码检验数据是否被篡改或假冒 • 数据流完整性鉴别：鉴别码结合时间戳、序列号密码分组链接等技术 • 以抵抗乱序、丢失、重放、插入、或修改等人为攻击或偶然破坏 • 公证、数字签名 • 公证：在两方/多方通信中，提供数据完整性、收发方身份识别和时间同步等服务，如数字证书CA • 数字签名：基于公钥密码的数字签名 • 应用程序安全设计与实现 • 软件安全开发周期（SDLC） • 保证 • 又称为可信功能度 • 是提供对于某个特定安全机制的有效性证明

24. 安全机制 • 检测机制 • 事件检测 • 对所有用户的与安全相关的行为进行监听和记录，以便对系统安全进行审计 • 安全审计 • 在专门的事件检测和系统日志中提取信息，进行分析、存档和报告 • 恢复机制 • 系统与数据备份 • 安全恢复 • 对数据的恢复和对网络计算机系统运行状态的恢复 • 响应机制 • 人和安全风险管理规定及应急制度

25. 安全机制与安全目标

26. 企业信息系统环境构成框架 内部人员 外部人员 企业员工 移动员工 外聘员工 访客 合作企业员工 客户 黑客 合法用户 Internet 非法用户 客户端 系统 设备 软件系统 移动存贮 操作系统 PC 笔记本 手持设备 应用软件 本地数据 光盘 移动硬盘 U盘 企业内部网络系统 应用 系统 业务应用系统 统一沟通系统 门户共享系统 商业智能应用 企业邮箱 文档资源 Web资源 业务数据 数据 资源 音频视频资源 系统 平台 操作系统平台 网络服务平台 数据库平台 电子邮件平台 应用服务平台 集成服务平台 沟通协作平台 管理监控平台

27. 信息安全体系框架 技术体系框架 物理安全 网络安全 信息安全基础设施 技术体系框架 防火墙 网络访问保护 企业目录服务 路由器 机械防护 内容控制 虚拟专网 安全策略/规则 入侵检测系统 健康策略 安全配置 访问控制 入侵检测 公钥基础设施 安全日制 病毒防范 主机安全 安全更新 强制策略 服务器安全 客户端 安全 安全审计/预警 电磁防护 代理/反向代理/发布 高可用性 安全更新 恶意软件防护 主机入侵检测 安全审计 安全配置 操作系统 应用服务器 邮件服务器 信任与联盟 备份/恢复 温度湿度 数据库系统 Web服务器 …… 应用安全 身份认证 输入验证 敏感数据 数据加密 安全 开发 周期 应用安全性设计 应用授权 参数操作 会话管理 配置管理 应用日志 异常管理 门禁 身份认证 数据安全 访问控制 加密/签名 信息权限控制 数据通信安全 安全网络协议 …

28. 纵深防御策略 • 增加攻击者被发现的风险 • 针对被监测到的威胁的快速反应 Policies, Procedures, & Awareness Physical Security ACLs, RBAC, encryption, backup/restore Data Application Application hardening, antivirus OS hardening, authentication, patch management, HIDS, HIPS Host Internal Network Network segments, IPSec, NIDS Firewalls, Network Access Quarantine Control Perimeter Guards, locks, tracking devices Security documents, user education

29. 安全栈技术层面的交互性 • Integrated security eases defense in depth architecture deployment • Adoption of open standards allows cross platform integration Management System System Center, Active Directory GPO Data BitLocker, EFS, RMS, SharePoint, SQL User Active Directory and Identity Lifecycle Mgr Application SDL process, IIS, Visual Studio, and .NET Device Forefront Client Security, Exchange MSFP Internal Network Network Access Protection, IPSec Perimeter Forefront Edge and Server Security, NAP

30. Services Encrypting File System (EFS) Forefront Stirling Management BitLocker™ Information Protection Identity & AccessManagement SystemsManagement Microsoft深度安全防御解决方案框架 一个被妥善管理的安全基础架构是成功的关键！ Edge Edge Server Applications Server Applications Network Access Protection (NAP) Client and Server OS Client and Server OS Certificate Lifecycle Management Active Directory Federation Services (ADFS) Mobile Device Manager 2008 TWC Data Protection Manager Configuration Manager 2007 SDL Operations Manager 2007

31. TPM VMK FVEK DATA or OS Volume(s) BitLocker™ 驱动器加密 USB Key(Recovery or Non-TPM) • Protects against offline attacks that • attempt to compromise the integrity of the system • attempt to circumvent OS controls to read data • Two aspects • Encrypts the entire volume (OS or Data) • Uses a Trusted Platform Module (TPM) to verify the integrity of early start-up components TPM+PIN TPM+USB Active (System) Startup Partition 123456-789012-345678- Recovery Password(48 Digits)

32. Restricted Network 网络接入防护(NAP)How it works Policy Servers e.g. Patch, Antivirus 3 1 2 Not policy-compliant 4 Fix Up Servers e.g. Patch MicrosoftNPS Windows Client Policy-compliant DHCP, VPN, Switch/Router Client requests access to network and presents current health state 1 5 Corporate Network DHCP, VPN, or Switch/Router relays health status to Microsoft Network Policy Server (NPS) via Remote Authentication Dial-In User Service (RADIUS) 2 Network Policy Server (NPS) validates against IT-defined health policy 3 If not policy-compliant, client is put in a restricted VLAN and given access to fix up resources to download patches, configurations, signatures (Repeat 1 - 4) 4 5 If policy-compliant, client is granted full access to corporate network

33. FCS与基础架构的集成Architecture

34. 终端服务网关 Internet Corp LAN DMZ Terminal Server Internal Firewall External Firewall Home RDP/3389 HTTPS / 443 Terminal Server Internet Hotel Terminal Services Gateway Server Email Server Business Partner/ Client Site

35. IAG 安全访问网关 • Customizable Enterprise Security • SSL VPN access to internal applications • Microsoft, third-party, and custom apps supported • Granular access control rules • Support for multiple authentication mechanisms

36. Forefront Forefront Forefront Forefront Forefront Forefront Forefront保障安全协作与沟通 • ISA Server • Block application level attacks • Provide secure remote access for mobile workforce IM and Documents IM and Documents Live Communication Server SharePoint Server Live Communication Server Message Traffic ISA Server2006 ISA Server2006 E-mail E-mail SMTPServer Exchange IMC server Exchangemailbox server • Forefront • Block inbound Viruses and Spam • Keep viruses off internal application servers • Help keep sensitive data from being sent out

37. 系统化的解决方案 • Secure the Platform – • Desktop/Mobile/Server 2008 • Secure the Data – • RMS, EFS, BitLocker (Plus features in Office, SharePoint, etc.) • Secure the Network – • NAP • Secure the Wireless – • Server 2008 • Secure the Edge – • ISA/IAG • Secure the Communications – • Forefront Server, OCS, Exchange • Secure the Desktops and Servers – • Forefront Client Security

38. 主题 BRS - Microsoft安全解决方案框架 1 安全等级保护促进企业安全建设 2 微软技术支持企业提高安全等级 3 行业安全解决方案研讨 4 服务与支持 5 Sources: World Bank and IMF

39. 《关于信息安全等级保护 工作的实施意见 》 《计算机系统安全管理条例》 《计算机信息系统安全等级划分准则》 《《国家信息化领导小组关于加强信息安全保障工作的意见》 《信息安全等级保护管理办法》 • 1994年颁布 • 提倡对计算机系统实施信息安全等级保护管理 • 1999年发布 • 信息安全等级保护要求的中国化 • 信息安全等级保护制度的技术基础 • 2003年，中办发27号文 • 规定信息安全等级保护是一项信息化建设领域的基本国策 • 信息安全等级保护方面的十大基本要求 • 2004年四部委联合颁布，公通字66号文 • 规定信息安全等级保护实施的目标、原则、策略、步骤和计划 • 2007年，公安部颁布 • 对信息安全等级保护实践的管理要求 • 定级、检查监督和责任 1 信息安全等级保护制度的发展历程

40. 2 对信息安全等级保护的理解 安全等级的含义：差异程度 业务价值等级和安全保障等级 适度安全的“度”的标尺 与以前的安全建设有何不同

41. 2.1 等级含义：差异的程度 部委 办公网 机要网 业务网 数据集中 • 系统规模有差异 • 业务重要性有差异 • 数据处理能力有差异 • 数据存储保护有差异 • 系统运维管理有差异 • 系统的影响力有差异 • 系统建设成本有差异 • 面临安全风险有差异 省 业务和价值的角度判断 办公网 机要网 业务网 数据集中 市县 办公网 机要网 业务网 有差异就应该确定差异的程度——等级，区别对待 宗旨：保护国家重要的信息基础设施和信息系统

42. 2.2 业务价值等级和安全保障等级 业务价值和影响程度——等级 安全保障能力要求 不是一一对应 • GB17859 • 1）安全要求第一级： • 身份鉴别、自主访问控制、完整性 2）安全要求第二级： 增加：审计和残余信息保护 3）安全要求第三级： 增加：标记和强制访问控制 …… 政策要求： 27号文：纲领性文件，信息安全等级保护为安全国策 66号文：四部委关于等级保护实施的计划 43号文：公安部的信息安全等级保护管理办法

43. 2.3 适度安全的“度” 承载业务应用 承载的业务流程 产生价值 产生安全需求 需要均衡： 适度安全 ＝适度风险 实实在在的安全投入 实实在在收益 平衡点 似乎矛盾 信息系统 期望尽可能 少的安全投入 期望尽可能 多的收益

44. 2.3 适度安全的“度”：等级是度的标尺 投入、收益、 风险间的均衡 净收益＝总收益－投入－风险： 收益是“价值等级” 安全需求对应安全技术和安全管理要求： 安全保障等级 投入少，则风险增大 一定的安全等级对应：相应的安全要求（投入）、收益（保障功效）、残余风险（容忍的底线）

45. 2.4 与以前安全建设的不同之处：必备的要素 工程建设方案 多了约束 与前不同 目标更明确，也是约束 符合等级保护要求 工程建设目标 目标：等级保护 宗旨：保护重要的信息 基础设施和信息系统 解决方案（设计） 原则 方针 等级保护目标 等级目标 工程任务计划 原则 方针 时间 任务 • 运营体系 • 安全 监控体系 • 应急 处理 • 优化 • 安全 产业 • 组织体系 • 领导 • 管理 责任制 • 分层与集中 • 技术体系 • 密码 • 信任 体系 • 防护 • 检测 • 灾备 • 策略体系 • 法制 • 标准化 • 资金 保证 定级与体系架构 适“度”更精细 流程 组织 组织 策略 项目管理 运营 技术 质量 范围 产品符合等级 产品选型要求 风险 成本 部署与配置 工程进度和监理 检测 防护 工程变更管理 响应 恢复 工程建设标准 标准化基石：GB17859系列，通用技术、 网络、操作系统、DBMS、安全管理 效果符合等级 等级测评 施工 技术 认证与 认可 备案 等级 测评 政策与法规基石：27号文、66号文、公通字7号文 验收 工程预算和决算

46. 2.4 与以前安全建设的不同之处 等级保护带来了哪些变化？必须明确目标、人、技术、流程的差异程度 • 定级：为差异确定级别，更清晰界定差异的程度 • 价值和影响：业务应用价值和影响是定级的依据 • 转换：将信息安全控制层面的差异转换为业务层面的差异 目标：级别－界定差异的程度 • 价值和影响：对个体、社会和国家的价值和影响的差异程度 • 业务风险：信息安全风险是业务风险的一部分 • 机构管理风险：信息安全风险是机构管理风险的一部分 业务价值影响：旗帜鲜明强调与业务的关系 • 人：个体安全意识和技能有等级；团队和组织有等级 • 技术：产品有等级；系统安全保障技术有等级 • 流程：协调管理能力、面向“客户”的能力有等级 具备等级的对象 内部安全建设和外部监管相结合 • 适度：安全投入（保障能力）、收益（价值的保持）、风险均衡 • 安全投入的“度”：安全技术和安全管理要求有明确的等级 • 收益的“度”：价值和影响的保持具有等级 • 风险的“度”：安全投入和收益的综合体 适度安全 • 政策合规：符合国家和行业等级保护管理规定 • 标准合规：符合等级保护标准要求 • 级别合规：符合确定等级的政策和标准要求 合规性 等级保护是“带着镣铐的舞蹈” 进一步精细化差异程度 等级保护将适度安全 的“度”进一步明确化

47. 3 信息安全等级保护实施的主要活动 ISO20000和ISO17799 符合安全要求的产品与集成 系统安全等级和保护安全等级要求 风险评估和决策 安全检查和测评 监管 • 1-2级备案 • 3级以上备案、定期检查 • 应急处理 集成 运维 定级和规划 认证 认可 评估 采购 风险管理 保密局：《涉及国家秘密的计算机信息系统集成资质管理办法（试行）》 公安：《计算机信息系统安全等级保护管理办法》、《计算机信息系统安全保护管理条例》 《北京市国家机关重大信息安全事件报告制度》(试行)

48. 信息系统安全等级保护实施流程 MSF MOF 信息系统安全等级保护实施的基本流程 微软安全风险管理准则（SRMD）

49. 3 信息安全等级保护实施的主要活动 安全调查与风险评估 等级保护定级咨询 等级保护体系设计 安全规划 方案设计 安全组织体系建设 安全技术体系建设 安全组织与职责设计 安全等级域划分与边界保护 安全培训与资质认证 防病毒、补丁和终端管理平台 安全运行与监管中心 安全策略体系建设 统一安全监控与审计平台 标准理解与策略制定 设备安全配置与加固 安全策略部署与配置 统一身份认证与授权管理平台 安全运行体系建设 事件和预警管理流程 数据备份与冗灾平台 安全巡检与日常操作 业务应用系统安全改造 安全评估与优化 网络与应用加密服务平台 等级测评、认证与认可 定级阶段 规划与设计 集成与 运维阶段 52

50. 4 大型机构信息安全等级保护的贯彻落实 大型机构信息安全等级保护的特点和难点 安全等级合规性管理 安全等级域划分和管理 安全集中监管 安全运维管理 安全等级解决方案