免费注册 查看新帖 |

Chinaunix

  平台 论坛 博客 文库
最近访问板块 发新帖
楼主: cryboy2001

[系统安全] IT安全,你准备好了吗? [复制链接]

论坛徽章:
0
发表于 2015-01-27 11:26 |显示全部楼层
to407 发表于 2015-01-27 10:43
回复 109# securitypluscn


看到两位讨论这个问题,有点意思,就进来插一腿。我个人觉得,应急预案肯定是需要的,但不应该是那种出了事层层上报,然后等待... ,应急预案本身就应该包含每个人应该做什么,而不是去等待领导指示。为了防止推诿扯皮的现象,应该把职与责分开。

论坛徽章:
0
发表于 2015-01-27 11:51 |显示全部楼层
dengbao2001 发表于 2015-01-16 13:56
360也算后起之秀了

不要太在意这个公司的老板之前做过什么事情,重要的是现在他在做什么,而且他现在 ...


看到这句话,深有感触。人性是一个很难琢磨的东西,浪子回头毕竟是少数。我通过3721开始知道了某老板,到了360年代,也帮别人处理过某些问题,虽然次数不多,但我总结出来一条:严格来讲,浪子回头不适用于某老板

只是借用一下贵地发个感叹,别介意  -

论坛徽章:
0
发表于 2015-01-27 13:48 |显示全部楼层
MS今天是最后一天了,还来得及。我有收藏书的癖好

1、在贵公司IT建设中,网络安全方面主要采用哪些措施,效果如何?
从题目来看,似乎只是讨论网络安全方面的措施,说来说去不外乎就是一些常见的,例如防火墙、入侵检测、ACL、各种代理、各种过滤等等,这些都没啥好讨论的。我觉得最重要的不是这些具体的技术细节,而是IT策略和对应的基础架构。这就象盖房子一样,地基做好了,后面的事情就很轻松了。举个例子,如果公司的IT的政策是所有的硬件、信息、数据属于公司的资产;遵守权限最小化原则;公司范围内的IT资源都是可信的,外面的都是不可信的。OK,根据这个政策采取对应的基础架构,采用对应的防护措施,例如,公司的IT设施全面受IT控制,公司网内无需特别的ACL,任何的数据在进入公司之前必须扫描过滤。。。 一套好的IT策略、好的基础架构当然会带来好的效果。
如果扩展到信息安全的范筹来讲,则建立一套合适的信息安全管理体系是非常重要的。世上没有绝对安全的IT系统,但是一套合适的安全管理体系可以把风险控制在适当的、可接受的水平。

2、你认为要成为安全方面的专业人员,要具备什么方面的知识?
要想成为安全方面的专家的话,要掌握的东西就很多了,从软件方面的数据结构、算法、软件工程,到网络方面的TCP/IP协议、IP路由与交换、无线网络,再到通信原理、密码学,再到信息安全管理体系、风险管理理论,等等好多东西要学习,难度很大。

3、你曾经在IT安全方面是如何学习的,或有什么计划要如何加强自己安全方面的知识?
在掌握了计算机专业知识后,再从CISSP和ISO27000入手会比较合适。

论坛徽章:
2
辰龙
日期:2015-01-11 00:34:002015年亚洲杯之巴勒斯坦
日期:2015-01-28 10:35:37
发表于 2015-01-27 14:29 |显示全部楼层
本帖最后由 securitypluscn 于 2015-01-28 12:07 编辑

回复 110# to407

“这种预案没有任何的可操作性。”
能否提供一些可操作性的预案让我们参考一下下

“ 。。。系统垮掉,需要 failover到备库 ,这个决定谁能做?。。。”
这个问题问的好! 答案在应急预案中白纸黑字的写着呢?“项目责任人应立即核查突发事件的影响程度和范围,检查有关备用设备的运行状况。如备用设备可用,将系统切换至备用设备。”

“...那么一线的工程师是不敢做决定的...”
这就对了,恭喜你已经掌握了信息安全管理的本质。每一个信息安全决策都是商业决策而不是技术决策!一线工程师在没有正式授权的情况下是不应该自己做决定的。这种授权可以来自两方面,上级领导或是公司相关文件。这些文件包括政策,标准,流程等等。。这就是为什么工程师在面对安全突发事件时要依据流程处理。走流程实际在客观上也是工程师对自己的保护,防止互相推卸责任。






   

论坛徽章:
2
辰龙
日期:2015-01-11 00:34:002015年亚洲杯之巴勒斯坦
日期:2015-01-28 10:35:37
发表于 2015-01-27 15:00 |显示全部楼层
回复 111# airfy

欢迎插腿!

预案经过反复测试和演练后,实际操作起来会很快。应为它本身就是为了对突发事件能够进行快速反应而设计的。

预案并不是“出了事层层上报,然后等待... “。预案中写的很清楚: “发生网络与信息系统突发事件后,突发事件涉及的应用部门应先进行必要处置” 。应急预案本身已经包含了每个相关责任人应该做什么。




   

论坛徽章:
0
发表于 2015-01-27 16:18 |显示全部楼层
securitypluscn 发表于 2015-01-27 15:00
回复 111# airfy

欢迎插腿!


没仔细看,基本上同意你的意见。但是在实际运用中又不能过于教条主义,这时候职责分离的原则就显出好处来了,下面的人尽管放手去做,出了问题领导来承担责任。这需要有好的领导,也要有好的下属,哈哈。

论坛徽章:
9
技术图书徽章
日期:2014-10-14 15:48:13数据库技术版块每日发帖之星
日期:2015-06-04 22:20:00数据库技术版块每日发帖之星
日期:2015-06-10 22:20:00数据库技术版块每日发帖之星
日期:2015-06-11 22:20:00数据库技术版块每日发帖之星
日期:2015-06-13 22:20:00IT运维版块每日发帖之星
日期:2015-09-22 06:20:00IT运维版块每日发帖之星
日期:2015-12-08 06:20:00综合交流区版块每日发帖之星
日期:2016-02-02 06:20:00IT运维版块每日发帖之星
日期:2016-07-25 06:20:00
发表于 2015-01-27 20:13 |显示全部楼层
回复 108# sense565


    不能绕过。

论坛徽章:
9
技术图书徽章
日期:2014-10-14 15:48:13数据库技术版块每日发帖之星
日期:2015-06-04 22:20:00数据库技术版块每日发帖之星
日期:2015-06-10 22:20:00数据库技术版块每日发帖之星
日期:2015-06-11 22:20:00数据库技术版块每日发帖之星
日期:2015-06-13 22:20:00IT运维版块每日发帖之星
日期:2015-09-22 06:20:00IT运维版块每日发帖之星
日期:2015-12-08 06:20:00综合交流区版块每日发帖之星
日期:2016-02-02 06:20:00IT运维版块每日发帖之星
日期:2016-07-25 06:20:00
发表于 2015-01-27 20:51 |显示全部楼层
sense565 发表于 2015-01-26 15:34
回复 105# bbjmmj


我感觉你应该多做一下学习,而不是练习如何吹牛。

我知道你说的所谓“绕过VPN”。前几年我在这里说我用的是PPTP VPN,被一些高端人士耻笑过,他们认为IPSEC才是高大上,我不这么认为,因为我可以很方便地改了PPTP VPN所用的加密程序代码,实现真正的安全。几年后,高大上的IPSEC终于出丑了,问题恰恰出在加密程序代码上。IPSEC本来就不安全,就算代码不出问题,RSA也存在被攻破的可能,就算用它,也该换上安全一点的ECC。当然,即使它改成ECC,我仍然会对加密程序代码做手脚。

IPTABLES不仅可以防范外来攻击,还可以防范内部攻击,比防火墙要靠谱得多。如果你能攻破IPTABLES,互联网就可以关闭了。

论坛徽章:
0
发表于 2015-01-28 11:28 |显示全部楼层
本帖最后由 xbokx 于 2015-01-28 11:42 编辑

回复 118# bbjmmj

汗,人家在讨论信息安全、管理决策  你在讨论VPN iptables
层面都不一样,可能你说的那些东西,人家已经不屑于去看了

你有点像我当初学技术的时候,不过要认识到做安全光有技术还不行,就如要做科学家光懂本行知识还远不够;这样光顾着自己所谓专业技术也深入不到哪去

我仅举一例,说一个信息安全相关的专业名词 思维缓冲区溢出,来源于程序缓冲区溢出;懂的这个并不是表示很厉害,如果你把他其实专业知识累积起来 或者重新以另外角度去审视你的专业知识会有更深入理解安全就是一个自己累积、挑战自我的领域


   

论坛徽章:
9
技术图书徽章
日期:2014-10-14 15:48:13数据库技术版块每日发帖之星
日期:2015-06-04 22:20:00数据库技术版块每日发帖之星
日期:2015-06-10 22:20:00数据库技术版块每日发帖之星
日期:2015-06-11 22:20:00数据库技术版块每日发帖之星
日期:2015-06-13 22:20:00IT运维版块每日发帖之星
日期:2015-09-22 06:20:00IT运维版块每日发帖之星
日期:2015-12-08 06:20:00综合交流区版块每日发帖之星
日期:2016-02-02 06:20:00IT运维版块每日发帖之星
日期:2016-07-25 06:20:00
发表于 2015-01-28 17:27 |显示全部楼层
回复 119# xbokx


你仔细看我前面回帖,我已经先提出了,信息安全不仅限于网络安全,讨论IPTABLES、VPN这些东西,主要是在回复别人。
信息安全并不回避技术,技术条件决定管理决策是常态,这也是信息安全的特点。
信息不安全的首要原因就是行政人员瞎搞。
您需要登录后才可以回帖 登录 | 注册

本版积分规则 发表回复

ITPUB技术栈

ITPUB技术栈:http://z.itpub.net/
ITPUB技术栈是由ITPUB社区打造的垂直于IT领域的知识交流平台,在这里,你既可以是创作者也可以是消费者。如果你的IT生涯丰富多彩,喷薄的个人价值尽可在小栈内体现;如果你渴望找到志同道合的伙伴,拓宽人脉,小栈会是你最好的选择。





点击进入>>
  

北京盛拓优讯信息技术有限公司. 版权所有 16024965号-6 北京市公安局海淀分局网监中心备案编号:11010802020122
中国互联网协会会员  联系我们:huangweiwei@it168.com
感谢所有关心和支持过ChinaUnix的朋友们 转载本站内容请注明原作者名及出处

清除 Cookies - ChinaUnix - Archiver - WAP - TOP