安全风险管理指南
第 6 章：实施控制和评定计划有效性
本页内容
概述本章解释 Microsoft 安全风险管理流程的最后两个阶段：实施控制和评定计划有效性。 顾名思义，“实施控制”阶段是指缓解风险责任人根据决策支持流程中产生的控制解决方案列表制定并执行计划，以降低“评估风险”阶段确定的风险。 本章提供了说明性指导的链接，在组织的缓解风险责任人解决各种风险时可能有所帮助。 “评定计划有效性”阶段是一个持续进行的流程。在这个阶段中，安全风险管理小组定期验证之前阶段中实施的控制是否实际达到预期的保护程度。 此阶段的另一个步骤是预测组织在安全风险管理方面的整体进度。 本章介绍了“安全风险记分卡”的概念，可用它来追踪组织的实施状况。 最后，本章还解释了观察计算环境变化的重要性，如系统和应用程序的添加和删除，或者新威胁和漏洞的出现。 三种类型的变化可能要求组织立即采取行动，以防范新风险或不断变化的风险。 实施控制在这个阶段中，缓解风险责任人部署前一阶段指定的控制。 在 Microsoft 安全风险管理流程的此阶段，一个重要成功因素是：在实施控制解决方案时，缓解风险责任人寻求一种全局方法。 他们制定计划以获得并部署缓解风险解决方案时，应考虑整个信息技术 (IT) 系统、所有业务单元甚至整个企业。 本章的“组织控制措施”部分提供了说明性指导的链接，在组织制定计划以实施控制解决方案时可能有所帮助。 本部分按照纵深防御模型组织，以便您轻松找到解决特殊类型问题的指导。 实施控制阶段所需的信息输入“实施控制”阶段只需要来自实施决策支持阶段的一种信息输入：需要实施的控制解决方案的优先级列表。 如果您按照第 5 章“实施决策支持”中描述的过程执行操作，安全风险管理小组已记录此信息，并将其发现提交给安全筹划指导委员会。 实施控制阶段中的参与者此阶段的参与者主要为缓解风险责任人，然而，他们也可以从安全风险管理小组获得一些帮助。 “实施控制”阶段涉及第 3 章“安全风险管理概述”中定义的以下角色：
以下列表概括了具体的责任：
作为一种最佳做法，安全风险管理小组应为每个确定风险指定一名安全技术专家。 单联系点可降低安全风险管理小组发出不一致消息的风险，并提供贯穿整个部署流程的一个清晰的约定模型。 为实施控制阶段提供的工具本指南未包括与“实施控制”阶段相关的工具。 实施控制阶段需要提供的输出结果在 Microsoft 安全风险管理流程的此阶段，您将制定计划以实施在“实施决策支持”阶段指定的控制解决方案。 下表概括了这些关键要素；本章的后续部分也对其进行了总结。 表 6.1：实施控制阶段需要提供的输出结果
组织控制解决方案前一章的重点为实施决策支持流程。 此阶段的分析结果是安全筹划指导委员会关于组织如何响应之前的“评估风险”阶段确定的风险的决策。 可能接受某些风险或将其转移给第三方；对于要解决的风险，创建控制解决方案的优先级列表。 下一个步骤是创建按明确的时间表实施控制的行动计划。 这些计划应该清楚而精确，并且应为每个计划指定适当的人员或小组负责实施。 采用有效的项目管理方法来追踪进度并确保项目目标的按时完成。 注：Microsoft 解决方案框架 (MSF) 可帮您成功地实施在此阶段制定的行动计划。 MSF 旨在帮助组织按时提交高质量技术解决方案并符合预算，是一个适合技术项目的详细且严格的方法，并基于 Microsoft 提供的一组明确的原则、模型、准则、概念、指导以及经证实的做法。 有关详细信息，请参阅 www.microsoft.com/technet/itsolutions/techguide/msf/default.mspx。 在项目的此阶段有几个关键的成功决定因素：
实施控制的职员应在一份报告或一系列报告中记录他们的进度，并随后将报告递交给安全风险管理小组和安全筹划指导委员会。 Microsoft Security Guidance Center (SGC) 是一个详尽而有条理的文档库，涉及各种安全主题。其站点为 www.microsoft.com/security/guidance/default.mspx。 该站点上的指导可帮助您的组织实施优先级列表中的选定控制。 注：本节许多内容摘自 Microsoft Security Content Overview 网站，网站地址为：http://go.microsoft.com/fwlink/?LinkId=20263。请参看此站点以了解 Microsoft 最新的说明性安全指导。 本节的其他部分围绕 Microsoft 的纵深防御模型（在下文中说明）组织。 与其他组织使用的公用模型类似，Microsoft 的多层模型将控制组织为几个广泛的类别。 每部分中的信息包括说明性指导的建议和链接，以及说明保护网络各层的控制的白皮书。 说明性指导为计划和部署端到端解决方案提供步进式帮助。 该指导已在客户环境中进行全面地测试和验证。 白皮书和文章通常为产品功能或一个总体解决方案中的组件提供好的技术参考，它们可能不提供说明性指导中包含的深层信息。 注：下图中的“物理安全”项目在本章中没有介绍有关该主题的资源的相应部分；Microsoft 尚未发布关于此主题的详细指导。  图 6.2 纵深防御模型 网络防护一个精心设计和正确实施的网络体系结构可提供高可用、安全、可扩展、易管理和可靠的服务。 组织中可能有多个网络，应对它们逐一评估以确保它们都得到了适当的安全保护，或确保已保护了高价值网络免受未被保护的网络的影响。 实施内部网络防御包括正确的网络设计、无线网络安全，并可能使用 Internet 协议安全 (IPSec) 以确保只有受信任的计算机能够访问重要的网络资源。 说明性指导有关使用防火墙保护网络的说明性指导，请参阅 Windows Server System Reference Architecture Enterprise Design for Firewalls，它是 Windows Server System Reference Architecture 的一部分，其站点为 www.microsoft.com/technet/ 有关其他说明性指导，请参阅 Improving Web Application Security: Threats and Countermeasures 中的第 15 章“Securing Your Network”，其站点为 http://msdn.microsoft.com/library/default.asp?url=/library/en-us 有关使用 EAP 和数字证书实施安全无线 LAN (WLAN) 的说明性指导，请参阅 Securing Wireless LANs: A Windows Server 2003 Certificate Services Solution，其站点为 http://go.microsoft.com/fwlink/?LinkId=14843。 有关使用 PEAP 和密码实施安全无线 LAN (WLAN) 的说明性指导，请参阅 Securing Wireless LANs (WLANs) with PEAP and Passwords，其站点为：http//go.microsoft.com/fwlink/?LinkId=23459。 有关使用网络分段提高安全和性能的说明性指导，请参阅 Windows Server System Reference Architecture: Enterprise Design，它是 Windows Server System Reference Architecture 的一部分，其站点为 www.microsoft.com/technet/itsolutions/techguide 白皮书和文章有关 IPSec 部署的信息可在 Microsoft Windows Server 2003 Deployment Kit 中包含的“Deploying Network Services”一卷的第 6 章“Overview of IPSec Deployment”中找到，其站点为：www.microsoft.com/technet/prodtechnol 有关使用 IPSec 的其他信息可在“Using Microsoft Windows IPSec to Help Secure an Internal Corporate Network Server”白皮书中找到，其站点为 www.microsoft.com/downloads/details.aspx?FamilyID=a774012a-ac25-4a1d-8851-b7a09e3f1dc9&DisplayLang=en。 有关网络分段以及坚固网络设计可解决的问题的更广泛讨论，请参阅“Enterprise Design for Switches and Routers”，它是 Windows Server System Reference Architecture 的一部分，其站点为 www.microsoft.com/technet/itsolutions/techguide 有关可用的不同类型的防火墙及其常用方法的概述，请参阅“Firewalls”，其站点为 www.microsoft.com/technet/security/topics/network/firewall.mspx。 在下面的白皮书中，您可以了解关于网络访问隔离控制的详细信息：
主机防御主机可分为两种类型：客户端和服务器。 有效地保护这两种主机的安全要求您在加强级别和可用性级别这两者之间找到一个平衡点。 尽管存在例外，但通常一台计算机的可用性降低时，其安全性提高。 主机防御可能包括禁用服务、删除特定的用户权限、使操作系统保持最新以及使用防病毒和分布式防火墙产品。 说明性指导Microsoft Patch Management 网站提供帮助组织更有效地测试、部署和支持软件更新的工具和指南。 请参阅：www.microsoft.com/technet/security/topics/patch/default.mspx。 Step-by-Step Guide to Securing Windows XP Professional with Service Pack 2 in Small and Medium Businesses 位于 http://go.microsoft.com/fwlink/?linkid=19453。 有关保护 Microsoft® Windows® XP 的说明性指导，请参阅 Windows XP Security Guide，其站点为 http://go.microsoft.com/fwlink/?LinkId=14839。 有关保护 Microsoft Windows Server 2003 的说明性指导，请参阅 Windows Server 2003 Security Guide，其站点为 http://go.microsoft.com/fwlink/?LinkId=14845。 Threats and Countermeasures Guide: Security Settings in Windows Server 2003 and Windows XP 是关于 Windows Server 2003 和 Windows XP 中包括的主要安全设置和功能的参考指南。 它旨在提供关于使用 Windows Server 2003 Security Guide 的详细背景信息。其站点为 http://go.microsoft.com/fwlink/?LinkId=15159。 有关保护 Windows 2000 服务器的说明性指导，请参阅 Windows 2000 Security Hardening Guide，其站点为 www.microsoft.com/downloads/details.aspx? 白皮书和文章Microsoft 服务器级操作系统和应用程序使用各种网络协议相互之间以及与访问它们的客户端计算机之间通信，包括许多传输控制协议 (TCP) 和用户数据报协议 (UDP) 端口。 其中许多协议在 Microsoft 知识库 (KB) 文章 832017“Port Requirements for Microsoft Windows Server System”中有说明，其站点为 http://support.microsoft.com/?kbid=832017。 “Frequently Asked Questions About Antivirus Software”是一篇简短文章，提供防病毒软件的高级概述以及关于如何获得、安装和维护此类产品的建议。 其站点为 www.microsoft.com/security/protect/antivirus.asp。 “Frequently Asked Questions About Internet Firewalls”说明使用防火墙的重要性、何时适合在最终用户计算机上安装防火墙软件以及如何解决与使用此类软件有关的最常见问题。 其站点为 www.microsoft.com/security/protect/firewall.asp。 应用程序防御应用程序防御对安全模型而言非常重要。 应用程序存在于整个系统的环境中，所以在评估应用程序安全性时，应考虑到整个环境的安全性。 在生产环境下运行每个应用程序之前，都应对其安全性进行彻底的测试。 实施应用程序防御包括正确的应用程序体系结构，其中包括确保应用程序以最低权限运行，暴露的受攻击面尽可能小。 说明性指导Exchange 2003 Hardening Guide 提供有关保护 Microsoft Exchange 2003 Server 的信息。 其站点为 www.microsoft.com/downloads/details.aspx? Security Operations Guide for Exchange 2000 提供关于保护 Microsoft Exchange 2000 Server 的指导。 其站点为 www.microsoft.com/technet/security/prodtech/mailexch/opsguide/default.mspx。 Improving Web Application Security: Threats and Countermeasures 解决方案指南的第 18 章“Securing Your Database Server”包括有关保护 Microsoft SQL Server 的说明性信息。 其站点为 http://msdn.microsoft.com/ Improving Web Application Security: Threats and Countermeasures 解决方案指南为设计、构建和配置安全的 ASP.NET Web 应用程序提供了一个坚实的基础。 其站点为 http://msdn.microsoft.com/ Building Secure ASP .NET Applications 指南为针对 Windows 2000 和 Microsoft .NET Framework 1.0 设计和构建安全的 ASP.NET 应用程序提供了一个实用的方案驱动型方法。 该指南着重介绍了在分布式 .NET Web 应用程序的各层内或跨这些应用程序层进行的身份验证、授权和安全通信中的几个要素。 其站点为 http://msdn.microsoft.com/library/ 白皮书和文章“Building and Configuring More Secure Web Sites”白皮书提供关于 Microsoft 安全小组在由 eWeek 举办的 2002 OpenHack 4 联机安全竞赛中学习的课程的详细信息。 为竞赛部署的解决方案包括 .NET Framework、Microsoft Windows 2000 Advanced Server、Internet Information Services (IIS) 版本 5.0 以及 SQL Server 2000。 它成功地经受了超过 82,500 次的攻击而未受破坏。 其站点为 http://msdn.microsoft.com/library/en-us/dnnetsec/html/ 数据防御对于大多数组织，数据是最重要的资源。 在客户端级别，数据往往在本地存储，而且可能特别易受攻击。 可以用多种方式保护数据，包括使用加密文件服务 (EFS) 和经常安全地进行备份。 说明性指导有关在 Windows 2000 网络上备份数据的信息，请参阅 Backup and Restore Solution for Windows 2000â�“based Data Centers 指南，其站点为 www.microsoft.com/technet/prodtechnol/windows2000serv/maintain/backuprest 有关如何实施 EFS 的步进式说明，请参阅 Step-by-Step Guide to Encrypting File System (EFS)，其站点为 http://www.microsoft.com/windows2000/techinfo/planning/security/efssteps.asp。 评定计划有效性“评定计划有效性”阶段让安全风险管理小组可以正式记录组织面临的风险的当前状态。 随着企业继续执行风险管理周期，此阶段还有助于说明通过风险管理逐渐使风险降低到可接受水平的进展。 为有助于说明进展，本部分引入作为组织内风险的高级指示器的“安全风险记分卡”概念。 记分卡有助于说明风险管理真正融入 IT 操作。 “集成风险管理”的概念也是确定组织风险成熟度的关键属性，如第 3 章“安全风险管理概述”所述。 评定计划有效性阶段所需的输入下表概括了“评定计划有效性”阶段需要从以前的阶段获得的几项输入：
评定计划有效性阶段的参与者“评定计划有效性”阶段的主要参与者为信息安全组的成员。 他们负责生成安全风险记分卡（在下文中解释），验证控制是否已实施并如所预期的一样有效地降低风险，同时监控可能改变组织风险预测的信息系统环境变化。 信息安全组不断地向安全筹划指导委员会提交报告。 此外，缓解风险责任人通过通告计算机应用基础结构的重大更改，并详细介绍发生的任何安全事件，向小组提供帮助。 再重申一次，评定计划有效性流程涉及第 3 章“安全风险管理概述”中定义的以下角色：
以下列表中概括了这些责任。
为评定计划有效性阶段提供的工具此指南中未包括与“评定计划有效性”阶段相关的工具。 评定计划有效性阶段需要提供的输出结果在这个阶段中，安全风险管理小组创建关于组织的持续安全风险预测的报告。 下表概括了这些关键要素；本章的后续部分将详细描述这些要素。 表 6.2：实施决策支持阶段需要提供的输出结果
开发组织的安全风险记分卡安全风险记分是有助于通告组织当前风险状况的重要工具。 它还有助于说明管理风险的进展，是用来说明风险管理的重要性以其对组织价值的必要通信设备。 记分卡应向管理层提供汇总级风险。 它不用于总结针对在评估风险阶段中确定之详细风险的策略性观点。 注：确保您未将安全风险记分卡的概念与在 Microsoft 的其他指南中讨论的 IT 记分卡相混淆。 开发 IT 记分卡是评定一个组织的总体信息系统环境进程的有效方法。 安全风险记分卡在这方面也很有价值，但它的重点在于信息系统环境安全的具体部分。 安全风险记分卡帮助安全风险管理小组突出显示问题区域并随后将 IT 投入集中在这些区域，从而将组织内的风险降低到可接受的程度。 即使记分卡中的要素被评为“高风险”，您也可以依据组织的实际情况选择接受此风险。 然后记分卡可用于在高级别上追踪这些决策，并可在风险管理流程的后续循环中再评估风险决策。 下图为在第 4 章“评估风险”中描述的纵深防御模型层所组织的简单的安全风险记分卡。可根据组织的需要定制记分卡。 例如，一些组织可决定按业务单元或唯一的 IT 环境组织风险。 （IT 环境是共享常用业务用途和所有者的 IT 组合）。如果您的业务是相当分散的，您可能还需要有多个记分卡。 安全风险记分卡可以是更大的 IT “仪表板”中的一部分，仪表板显示整个 IT 运作中的关键度量标准。 在仪表板中评定和通告 IT 度量标准的方法也是 Microsoft 的一个最佳方法。 有关详细信息，请参阅“Measuring IT Health with the IT Scorecard”，其站点为 www.microsoft.com/technet/itsolutions/msit/busint/scoretcs.mspx。 评定控制有效性部署控制之后，需确保这些控制提供预期的保护效果并持续有效，这一点很重要。 例如，如果发现破坏安全的主要根本原因在于虚拟专用网 (VPN) 身份验证机制因在部署时被误配置，从而允许未经身份验证的用户访问公司网络，这简直令人震惊。 如果发现由于网络工程师未按照组织的更改控制流程事先获得许可的情况下重新配置防火墙以允许更多协议，从而使入侵者获得访问内部资源的权限，就更令人震惊。 根据美国政府责任办公室在一些领先的、非联邦组织内进行的信息安全管理研究 (GAO/AIMD-98-68)，直接测试是有效地检查控制措施降低风险的程度的最常见方法。 有多个方法进行这些类型的测试，其中包括漏洞评估工具、手动评估和渗透测试。 在手动评估中，IT 小组的成员验证每个控制措施是否适当以及其是否正确工作。 在检查多个系统时，这可能非常费时乏味又容易出错。 Microsoft 已发布了一个免费的自动漏洞评估工具，称为 Microsoft Baseline Security Analyzer (MBSA)。 MBSA 可以扫描本地及远程系统以确定缺少哪些关键的安全修补程序以及其他重要的安全设置（如果适用）。 有关 MBSA 的详细信息，请参阅 www.microsoft.com/technet/security/tools/mbsahome.mspx。 尽管 MBSA 是免费的且非常有用，很多供应商也提供了其他自动评估工具。 之前提到的其他方法为渗漏测试。 在渗漏测试中，一个或多个人员被授权执行自动和手动测试，以查看他们是否能用各种方法侵入组织的网络。 一些组织利用自己内部的安全专家进行渗漏测试，而另一些组织则聘请专门从事这些测试的外部专家。 无论由谁进行测试，信息安全组应负责管理此流程并追踪结果。 尽管渗漏测试是一个有效的方法，但它通常并不显示较广范围的漏洞，因为它没有适当实施的漏洞评估那么全面。 因此，建议您将任何渗漏测试作为其他方法的补充。 注：有关渗漏测试的详细信息，请参看由 Microsoft 安全小组成员 Ben Smith、David LeBlanc 和 Kevin Lam 编写的 Assessing Network Security 一书 (Microsoft Press, 2004)。 您也可以通过其他方法验证其符合性。 信息安全组应鼓励组织中的任何个人递交反馈， 或者，小组可制定一个更正式的流程，要求各个业务单元定期递交符合性报告。 作为其安全事件响应流程的一部分，信息安全组应建立自己的报告，并在报告中记录问题的症状、暴露的数据、受到威胁的系统以及入侵方式。 许多事情都可能是安全事件的原因，包括蠕虫和病毒等恶意代码、意外地违反政策的内部用户、故意暴露敏感信息的内部用户、为竞争者或外国政府等组织工作的外部入侵者以及自然灾害。 还应记录信息安全组为抑制安全事件而采取的步骤。 还可以用其他方法追踪信息安全组的有效性，如：
重新评估新的和已更改的资产和安全风险为了更有效率，安全风险管理需要是一个在组织内持续进行的流程，而非一个暂时的项目。 按照第 4 章“评估风险”中说明的流程定期地再评估环境，是开始周期更新的第一个步骤。 它可能看上去明显，但安全风险管理小组应重复利用并更新在最初的风险管理项目中开发的资产、漏洞、控制措施及其他知识产权的列表。 小组可以通过关注组织的运作环境变化，从而最有效地利用其资源。 如果自上次审查以来资产没有变化，无需再次进行详细审查。 小组可以通过收集有关影响组织之信息系统的变化的及时准确信息，来确定将其资源集中在什么问题上。 应该仔细审查的内部事件包括新计算机软件或硬件的安装、内部新开发的应用程序、企业重组、企业合并和收购、以及组织各部分的多样化。 审查当前风险的列表以确定是否发生了任何变化，这也是比较谨慎的做法。 此外，检查安全审核日志可能加深对要调查的新领域的了解。 小组应对发生在组织之外但可能影响信息安全的变化保持警惕。 一些示例包括：
总结在实施控制阶段，缓解风险责任人部署安全筹划指导委员会在实施决策支持阶段中选择的控制解决方案。 缓解风险责任人还向安全风险管理小组提供有关控制解决方案之部署的进程的报告。 Microsoft 安全风险管理流程的第四个阶段主要以持续活动为中心，并将继续进行此持续活动，直到安全风险管理小组通过开始新的安全评估来发起新一轮流程。 这些持续活动包括解释尚在计划阶段的信息系统环境之改变的详细报告、记录即将开始的信息系统环境之改变以及解释影响信息系统环境的非计划安全事件。 本阶段还包括安全风险管理小组的报告，报告总结总结控制解决方案降低风险的程度、并显示之前确定的威胁如何因新威胁、新漏洞，或因组织信息系统环境改变而改变的报告。 最后，本阶段还包括建立和维护描述组织之当前风险配置的安全风险记分卡。 指南总结本指南介绍 Microsoft 的安全风险管理方法。 这是一个积极有效的方法，可以帮助各种规模的组织响应可能对其业务成功造成挑战的安全风险。 正式的风险管理流程让企业可以以最具有成本经济效益的方式运行，它允许可接受水平的业务风险，并向组织提供一个持续的、条理清晰的步骤来组织和优先处理有限资源以管理风险。 在您采用适当的、具有成本效益的控制措施将风险降低到可接受水平时，您将认识到使用安全风险管理的优势。 可接受风险的定义以及管理风险的方法，因各个组织而异。 没有正确或错误的答案，目前有许多风险管理模型在使用之中。 每个模型均具有平衡准确性、资源、时间、复杂性和主观性的平衡点。 投资于具有固定框架和明确角色和责任的风险管理流程，使组织可以确定优先级，规划以缓解威胁，以及解决业务面临的下一个威胁或漏洞。 Microsoft 安全管理流程采用行业标准在一个循环的四阶段流程中提供一个已建立的风险管理模型之混合，从而在成本和效益之间获得平衡。 在风险评估流程中，定性步骤迅速地确定最重要的风险。 量化流程以仔细定义的角色和责任为基础。 此方法提供详细的信息，使您全面了解最重要的风险。 风险评估流程中的定性和定量步骤共同提供一个基础，让您可以按照智能业务流程做出关于风险和缓解措施的可靠决策。 您已阅读整个指南，可以开始执行流程；返回第 4 章“评估风险”开始执行。
|
本文内容
|
