安全设计逻辑四阶段-讨论贴

人生五十年

安全设计逻辑四阶段-讨论贴
注：红色为原文，灰色为探讨内容及本人想法
安全防御纵深的主要目的是增加预警时间、延迟入侵、使我方反制能力能有效施展运用。而我们建立安全防御纵深的逻辑方式就是利用Security 4D's，由外而内的建立。
一、 吓阻(Deter)
吓阻的目的是让入侵者在面对目标时，会因为风险或代价太大而心生畏惧，因而打消入侵行为。 在前面的故事中就是城内的安全维护体系、治安告示牌、高耸的城墙、守城士兵等等。在现代生活中，最常见的就是法律罚则的规定，标的物的保护严密，警告标志、警卫（察）巡逻、CCTV摄影等使入侵行动不易进行等都是。简单的还有，在进行办公区或是小区等的防窃勤务时，大门警卫或是巡逻人员对陌生人的眼对眼接触，对入侵者是很大的心理吓阻。至于在信息世界中，因为不是实体，我们无法真正的看到入侵者，但是因网络世界具有匿名性，因此歹徒觉得可以恣意妄为，不会被发现。所以法律规范就变的很重要。因为信息对于现代社会极为重要，一些计算机安全事件对社会的影响极大，现在世界各地，政府对信息犯罪都开始采取严格的刑罚，希望能遏阻信息犯罪的歪风。企业中进行安全警觉意识倡导计划是达成吓阻很重要的一个方法。让员工们都知道入侵是不对的，而且有罚则；当知道安全对大家的重要性，他们也会成为公司的「巡夜人」；对有入侵意图的的人（内部或是外部人员）则会因而投鼠忌器，怕被发现，而不敢轻举妄动。
网络世界的确是具备匿名性，目前我国对于网络犯罪的法律不够成熟，标准难定。从技术上说，有多项技术可以起到吓阻作用，蜜灌技术对于一般的攻击者来说可以起到引导攻击方向、记录攻击行为、延缓攻击时间的作用。 实际上四个阶段不是割裂的，而作为安全技术上说也是具备延续性的。贯穿在任一个阶段。安全防护发动员工来阻值入侵的可行性不大，任一个企业每个员工都有自己职责内的，而且作为专业技术专业人员管理的作用要大，其他员工做的技术报障。大家都应该知道杀鸡给猴看的故事吧，但有的时候鸡不一定要是真的才能吓住猴子。
二、 侦测(Detect)
侦测的目的是当入侵发生时，能够及时发现。
以前面的故事为例，就是城外的前进观测所、城墙上的守城士兵、敌楼、城外藏在草地上一线线的串铃和夜巡人。而在我们的生活所看到的就是警卫（察）巡逻、CCTV摄影和警报系统（如：红外线、影像动态侦测、磁簧开关、超音波）等。 而在信息世界中，则有入侵侦测系统和病毒软件等。至于定期于事后看日志，也是一种安全机制，不过那不是预防行为，而算是安全补强行为。若是让大家知道系统管理者或是安全单位会定期审阅日志，对不当存取加以追查，且有相关罚则，此动作则具有「吓阻」功能。
说到这里，大家第一反映的是一个安全技术-IDS，由于IDS技术本身的存在的技术缺陷-漏报和误报，并不能做到95%以上的有效入侵检测。所以还要结合多项技术及制度来弥补，如流量检测，关键部位的重点检查控制等。审计系统在此过程中的重要性是不容置疑的，目前审计有两种类型的产品，一种是以收集log性质为主的审计，这种类型的审计产品只能作为事后追踪的一个依据和分析数据，而且分关联析功能教弱，但对网络的性能影响很小。另一种是以IDS技术有基础，存储关键点流量，事后可回放针对目标的session的安全审计，但这种技术对加密流量以及除http,ftp,telnet以外的协议作用不大。
三、 阻延(Delay)
阻延的目的是使入侵行为困难，必须使用工具，耗费更多的时间和精力，以增加其被发现的机会。
以前面的故事为例，高耸的城墙就具有阻延攀越的功能，绊马索则可以迫使入侵者降低速度。在我们日常生活中所用的钥匙和锁，甚至是保险柜的锁实际上都是一个阻延器具。例如保险柜的规格中有一个是TL-30，它的意义是用一般工具(tool)花30分钟可以打开。记得，只要有足够的时间，这世界上没有不能打开的锁。 在信息系统中最常见的阻延设置就是账户密码的设置。理论上是越复杂越好，六个字符以上无意义的英数交杂再加上特殊符号，而且还定时强制更换最好。但是切记不要复杂到让人记不起来，最后写在键盘后面或甚至是贴在屏幕上，那可是一点效果都没有。另外，加密机制也是一种阻延手段。
阻延在安全技术中的应用就是，在可行性和安全性之间，将每项安全技术的功能发挥到极点，尽量功能扩大化。
四、 禁制(Deny)
禁制的目的就是阻止入侵行为。 @0:以前面的故事为例，坚实的城墙和城门、深广的护城河和强大的守城兵力，就是古时候主要施行禁制功能的凭借。在现代生活中，其实还是没有太大的变化，我们靠的还是坚实的墙壁、大门、防盗窗（一般的铁窗其实只算是阻延工具）、和有能力的警卫和警察。 @0:在信息系统中，防火墙(firewall)、路由器(router)等在一定程度条件下算是禁制工具。而当发生网络攻击时，有一种最简单但是应该算是治标不治本的最后手段就是拔掉网络线。 @0:禁制是整个安全体系的最后一道防线，事实上也是最不容易做好的一部份。在企业安全上主要强调的是预防动作，若是入侵行动能够一直攻到这里，损害几乎是不可避免，所以一旦发现，当下果断的施以立即强力的反制措施是非常重要的。而当损害发生，接下来的动作就是紧急应变的范畴。前一期中在另外一篇论SARS的文章中，笔者已经有稍微和读者聊一下这个题目，有兴趣者可以参考一下。
禁止的依据是通过事先的风险分析，事后的安全总结，配合各安全技术产生的日志以及配合所产生的。最后通过技术（fw,ad）和管理制度（行为禁止）来实现。

天下第二

对于其中的第二点，除了IDS和审计软件以外，不知道目前有什么更好的产品没有？我对这方面很感兴趣