免费注册 查看新帖 |

Chinaunix

  平台 论坛 博客 文库
最近访问板块 发新帖
楼主: cryboy2001

[系统安全] IT安全,你准备好了吗? [复制链接]

论坛徽章:
0
发表于 2015-01-11 11:00 |显示全部楼层
本帖最后由 xbokx 于 2015-01-11 12:58 编辑

看了下前面朋友的一些分享,8楼和14楼也说明了很多
我是一位安全爱好者,从事这方面工作时间没多久,只能谈下自己对这方面的认识。

首先我想说下安全这个词,就文学方面讲,安全这个词性很多既可以是动词、名词,也可以是形容词、副词,可以感受安全所具有的内在含义也相当广泛
既然楼主也谈到了IT安全,安全是个整体的概念不能分而谈之,不管你做安全哪个领域,如果不了解其他领域,安全工作是不可能做好的

1.之前在中国移动从事网络安全运维、设计工作,关于工作方面由于信息安全问题不便多说。
谈一下自己对工作方面理解,网络安全运维看似只是对网络安全设备的有效管理,其实需要你对周边环境 比如系统安全、服务器等等,审计以及其他部门综合来考量
安全的工作最难点也是你需要从中找到平衡点

2.至于要什么知识、技能,不用多说  既然安全是个整体的概念,或多或少也需要你去了解整个IT相关知识:计算机组成原理、架构,OS,数据结构,数据库,编程语言,网络原理、协议栈,甚至经常会用到的脚本语言和各种工具
但除此之外只可为小将耶,亦不能成为真正黑客,即科学家   正如诸葛亮所言,要成为真正的将帅,还需观天时、懂地理 通晓天地万物  比如社会工程 心理学、工程学建筑等等
数学、物理才是万科之王

3. 学习是一个漫长的过程,如同你的成长经历  
每个人从菜鸟成为老鸟都会经历这个过程,有的人用的时间长、有的时间短,其间有很多因素决定这些
智商有部分在于先天,这个无法决定; 后期需要你去训练、培养,还有就是学习方法,做到科学、客观、有计划的学习  自然会看到效率


最后送大家一些话:读书破万卷,下笔如有神
                         学无止境.......
安全是个挑战自我的领域,你的心有多大,舞台就有多大

论坛徽章:
0
发表于 2015-01-11 11:25 |显示全部楼层
一个公司的安全,我认为安全大体可分为两方面,内网和外网安全。好多公司都把安全的主要精力关注在外网,从而忽视内网安全的重要性,例如内网员工PC机的安全问题,员工的计算机水平参差不齐,有的甚至连杀毒软件都不知道安装,其实往往那些黑客们都是通过一个突破口,来撕开整张“内网”,还有就是除了内网的PC机,就是员工的U盘问题,我们单位明确规定,生活和工作U盘要分开。索尼影业被入侵也许就是一个最好的例子,证明内网安全也同样重要。说到外网安全,无非就是系统安全,应用程序安全。系统安全问题,例如前一阵,爆出的linux的bash漏洞问题,他的影响性之广,后果之严重,都是无法想像的。只能时刻关注这些问题,第一时间打上补丁,才能确保系统的安全。说到应用程序,例如我们公司主要就是web服务为主,用的是nginx,都说linux比windows安全,在我看来都一样,没有绝对的安全,现在的网络环境特别恶劣,在网上学习一点教程,弄点工具,就能攻击一个很普通的网站,所以安全问题不是几句话就能说清的,最后如果再来一套非常NB的防火墙,和非常给力的抗DDOS攻击的硬件的话,这样的网站应该会生存很久。

论坛徽章:
0
发表于 2015-01-11 14:48 |显示全部楼层
就目前国内工作看,IT安全的工作主要分为三类:
1.信息安全:主要会涉及审计、规划设计、运维、web安全、物理安全安防等 一切更新加固的工作  
这项工作要求全面,考验个人综合能力、管理协调、沟通各方面能力 适合锻炼人    本人便从事这方面工作
就目前形势来看,以后可能还会引入社会工程等方面工作,也归为此类

2.底层系统安全:主要逆向病毒、木马等分析、破解等  负责相关信息分析、收集  
这项工作要求对专业知识了解透彻、清晰,对系统架构认识很深

3.安全产品:负责安全产品开发,软件、硬件等   
这方面主要是与开发工作相关,需要严格按照安全开发标准流程进行
有很多产品为何漏洞颇多也是因为没有在设计之初有考虑安全因素,没有严格的安全编码;当然开发是个综合问题,会涉及商业因素,其中很多因素也非开发团队所能掌控

论坛徽章:
40
水瓶座
日期:2013-08-15 11:26:422015年辞旧岁徽章
日期:2015-03-03 16:54:152015年亚洲杯之乌兹别克斯坦
日期:2015-03-27 14:01:172015年亚洲杯之约旦
日期:2015-03-31 15:06:442015亚冠之首尔
日期:2015-06-16 23:24:37IT运维版块每日发帖之星
日期:2015-07-01 22:20:002015亚冠之德黑兰石油
日期:2015-07-08 09:32:07IT运维版块每日发帖之星
日期:2015-08-29 06:20:00IT运维版块每日发帖之星
日期:2015-08-29 06:20:00IT运维版块每日发帖之星
日期:2015-10-10 06:20:00IT运维版块每日发帖之星
日期:2015-10-11 06:20:00IT运维版块每日发帖之星
日期:2015-11-10 06:20:00
发表于 2015-01-11 17:30 |显示全部楼层
牛X 这个考试看上去很难的样子 而且还要有工作年限的要求的样子~

securitypluscn 发表于 2015-01-11 00:33
回复 13# dengbao2001

我正在备考CISSP

论坛徽章:
2
辰龙
日期:2015-01-11 00:34:002015年亚洲杯之巴勒斯坦
日期:2015-01-28 10:35:37
发表于 2015-01-12 00:42 |显示全部楼层
本帖最后由 securitypluscn 于 2015-01-12 08:10 编辑
forgaoqiang 发表于 2015-01-11 17:30
牛X 这个考试看上去很难的样子 而且还要有工作年限的要求的样子~

难是因为它考的知识范围广。 从企业架构到物理安全,面面俱到。 昨天在看物理安全一章的时候才知道传统钥匙门锁有两种开法。一种是“挑”PICK,另一种是”蹦“BUMP。基本上没有开不开的,只是时间的问题。

论坛徽章:
2
辰龙
日期:2015-01-11 00:34:002015年亚洲杯之巴勒斯坦
日期:2015-01-28 10:35:37
发表于 2015-01-12 08:40 |显示全部楼层
本帖最后由 securitypluscn 于 2015-01-19 13:36 编辑

回复 1# cryboy2001
1、在贵公司IT建设中,网络安全方面主要采用哪些措施,效果如何?

我们公司的IT安全是从上至下贯彻执行的,ISO27000 和COBIT认证。 公司整体IT安全是由商业运维部负责运行和维护。

2、你认为要成为安全方面的专业人员,要具备什么方面的知识?

要成为安全方面的专业人员,我认为i要具备以下方面的知识。

技术知识:
网络系统和安全协议
安全软件的应用
安全管理知识:
发展和撰写安全策略
安全策略的落实和监督
安全程序的最佳实践方法

我认为信息安全专业人员大体可分为两种,信息安全技术人员和信息安全管理人员。对于一个信息安全技术人员来说技术知识要求高,但也需要相关的安全管理知识。信息安全管理人员则相反,要求有很高的安全管理知识,技术知识虽不可少,但要求不深。有不少安全管理人员并非技术出身。

3、你曾经在IT安全方面是如何学习的,或有什么计划要如何加强自己安全方面的知识?

以前考过SECURITY+,我打算通过以下几个方面来加强自己的安全方面的知识。

首先是IT安全管理知识。正在考CISSP,我发现IT安全管理其实就是风险管理在IT领域的延伸。CISSP包括10个知识领域,没有一个领域不涉及到风险评估和风险控制的。计划两年后系统学习和研究IT风险管理理论,DREAM BIG!

其次是IT安全技术知识。我喜欢LINUX操作系统。正在考红帽的RHCA,计划两年内拿下。虽然以后在工作中实际操作红帽系统的机会越来越少,但我认为学习RHCA可以在技术层次上系统的了解企业信息架构,尤其是企业安全架构,比如高可用。

最后就是自身综合素质的提高,例如语言沟通能力,领导能力。





   

论坛徽章:
26
CU十二周年纪念徽章
日期:2013-10-24 15:41:34技术图书徽章
日期:2014-07-11 16:27:52辰龙
日期:2014-09-04 13:40:43白羊座
日期:2014-09-09 12:51:55双子座
日期:2014-09-26 11:00:042014年中国系统架构师大会
日期:2014-10-14 15:59:00子鼠
日期:2014-10-23 16:48:23巨蟹座
日期:2014-10-27 08:21:10申猴
日期:2014-12-08 10:16:282015年辞旧岁徽章
日期:2015-03-03 16:54:15NBA常规赛纪念章
日期:2015-05-04 22:32:03IT运维版块每日发帖之星
日期:2016-01-29 06:20:00
发表于 2015-01-12 08:46 |显示全部楼层
dengbao2001 发表于 2015-01-09 16:36
安全是相对的概念,需要和企业的现状和需求联系起来,中国大大小小的企业不少,估计跟不少老板谈这个话题, ...


人身的安全,公司一般是采用买保险的方式来处理的,但it上好象还没听说过买保险了,只能靠投入与技术。

论坛徽章:
13
技术图书徽章
日期:2014-04-29 14:15:42IT运维版块每日发帖之星
日期:2015-12-12 06:20:00IT运维版块每日发帖之星
日期:2015-08-30 06:20:00IT运维版块每日发帖之星
日期:2015-08-24 06:20:00IT运维版块每日发帖之星
日期:2015-08-02 06:20:002015年亚洲杯之澳大利亚
日期:2015-04-03 15:03:12申猴
日期:2015-03-20 09:00:292015年迎新春徽章
日期:2015-03-04 09:54:452015年辞旧岁徽章
日期:2015-03-03 16:54:15季节之章:冬
日期:2015-01-20 17:08:47双子座
日期:2014-11-21 16:30:31技术图书徽章
日期:2014-07-11 16:29:08
发表于 2015-01-12 10:50 |显示全部楼层
securitypluscn 发表于 2015-01-11 00:33
回复 13# dengbao2001

我正在备考CISSP



支持你!

论坛徽章:
13
技术图书徽章
日期:2014-04-29 14:15:42IT运维版块每日发帖之星
日期:2015-12-12 06:20:00IT运维版块每日发帖之星
日期:2015-08-30 06:20:00IT运维版块每日发帖之星
日期:2015-08-24 06:20:00IT运维版块每日发帖之星
日期:2015-08-02 06:20:002015年亚洲杯之澳大利亚
日期:2015-04-03 15:03:12申猴
日期:2015-03-20 09:00:292015年迎新春徽章
日期:2015-03-04 09:54:452015年辞旧岁徽章
日期:2015-03-03 16:54:15季节之章:冬
日期:2015-01-20 17:08:47双子座
日期:2014-11-21 16:30:31技术图书徽章
日期:2014-07-11 16:29:08
发表于 2015-01-12 10:53 |显示全部楼层
xfzhi888 发表于 2015-01-09 12:54
有专业的安全顾问公司,来帮忙找找漏洞和安全风险啥的。安全方面目前就搞了个硬件防火墙。互联网访问公司内 ...


兄弟啥类型的单位呀?

请了顾问公司好呀,但是有没有做过入侵方面安全测试?

论坛徽章:
0
发表于 2015-01-12 11:54 |显示全部楼层
没有绝对的安全,安全只是一个相对的概念!
您需要登录后才可以回帖 登录 | 注册

本版积分规则 发表回复

DTCC2020中国数据库技术大会

【架构革新 高效可控】2020年12月21日-23日第十一届中国数据库技术大会将在北京隆重召开。

大会设置2大主会场,20+技术专场,将邀请超百位行业专家,重点围绕数据架构、AI与大数据、传统企业数据库实践和国产开源数据库等内容展开分享和探讨,为广大数据领域从业人士提供一场年度盛会和交流平台。

http://dtcc.it168.com


大会官网>>
  

北京盛拓优讯信息技术有限公司. 版权所有 16024965号-6 北京市公安局海淀分局网监中心备案编号:11010802020122
中国互联网协会会员  联系我们:huangweiwei@it168.com
感谢所有关心和支持过ChinaUnix的朋友们 转载本站内容请注明原作者名及出处

清除 Cookies - ChinaUnix - Archiver - WAP - TOP