The NIST Cybersecurity Framework Revisited
By Torsten George on March 18, 2015
inShare124
Tweet
In February 2014 the National Institute of Standards and Technology (NIST) issued a new set of cyber security guidelines designed to help critical infrastructure providers better protect themselves against attacks.
The framework was the result of an executive order issued by President Barack Obama in 2013 to establish a set of voluntary cyber security standards for critical infrastructure companies. One year later, has the NIST Cybersecurity Framework had any measurable impact on improving cyber resilience or was it just smoke and mirrors as many opponents predicted at the time?
The NIST Cybersecurity Framework was born out of the realization that cyber-attacks represent one of the most serious economic and national security threats our nation faces. The framework offers:? A set of activities to anticipate and defend against cyber-attacks (the “Core”)
? A set of measurements to assess to what degree an organization has implemented the core activities and benchmark how prepared they are to protect systems against an attack (the “Im plementation Tiers”)
? A “Profile” that can be used to identify opportunities for improving an organization’s cyber security posture by comparing a current profile with a target profile.
In addition, the NIST Cybersecurity Framework includes a comprehensive collection of so-called Informative References, which are specific sections of standards, guidelines, and practices common among critical infrastructure sectors.
By assembling all these data points in a single repository, the government provided a common nomenclature and methodology to help less advanced organizations assess their level of security preparedness and benchmark themselves. In this regard, the NIST Cybersecurity Framework was a good first step towards creating a standardized approach to cyber security. However, it became immediately apparent at the time of its release that the framework required many substantial updates before it could really help improve the nation’s cyber resilience. It’s not surprising that, despite some anecdotal evidence presented to a Senate committee
at a February 4th hearing, there has been no measurable proof that using the framework can help prevent cyber-attacks.
Ultimately, the NIST Cybersecurity Framework provides some valuable building blocks for implementing better cyber security practices, but is not a silver bullet for preventing cyber-attacks and data breaches. It’s important to understand that guidelines and regulations are static by nature and therefore cannot evolve to detect and mitigate morphing threats. Meanwhile, regulatory compliance moves far too slowly to keep up with cyber-attackers. Guidelines can also expose holes in proposed measures, which attackers can use as a blueprint for their attack strategy. Ultimately, proper security measures and best practices are just one part of the solution. One of the biggest challenges for organizations is managing the sheer volume, velocity, and complexity of data feeds that must be analyzed, normalized, and prioritized to even stand a chance of detecting a cyber-attack. The Target breach was a good example. Although the best-of-breed technology in place was able to detect the intrusion early on, the alerts were buried in a sea of data which prevented the security team from connecting the dots and responding in a timely fashion. Instead, a third-party reported
the stolen data being posted on the Internet and exposed the breach.
Without data automation it can take months and even years to perform big data risk analysis and piece together an actionable security assessment. Findings ways to use technology to overcome the lack of human resources needed to extract intelligence from security feeds and respond in a timely fashion should remain a focal point for organizations.
In this context, the NIST Cybersecurity Framework is an important building block, but still just the first step towards implementing operationalized defenses against cyber security risks.
Related: NIST Releases Cyber Security Framework for Critical Industries
网络安全部架构及职责 1职责 网络安全部是xxx公司进行安全管理的最高权力组织，其主要任务包括评审网络安全方针，确保对安全措施的选择进行指导，协调控制措施的实施，对重大变更进行决策，审查网络安全事故等。 2网络安全工作主管领导 1)贯彻执行公司及政府主管部门有关网络安全管理方 面的方针、政策及各项工作要求；审定网络安全的发 展规划、有关规定和重大决策；组织协调公司网络安 全管理方面的重大问题，定期上报网络安全工作报告。3网络安全实施小组 1)接受上级领导和网络安全工作领导小组的领导指挥， 落实和下达网络安全工作任务。 2)负责组织和协调突发事件的处理工作，检查公司网络 安全工作落实情况，保证公司网络安全。 3)加强对网络信息的监控，收集网上突发事件信息，掌 握突发事件动态，并按流程及时向领导小组和相关部 门报告。
4)参与网络安全有关的项目。 5)每月对当月安全状况向网络安全领导小组提交网络 安全专题报告。 6)发生突发网络安全事件时，负责向部门领导及时提交 正式安全事故分析报告。 7)对业务网络进行安全管理，包括监控、审计、风险、 运维等方面。 8)对网络及业务系统的运行状况、系统性能、系统升级、 漏洞修复等设置多种报警形式。 4与外部各方的联系 xxx公司需要通过各种方式建立与外部各方的网络安全渠道，为管理层提供网络安全解决方案，参与安全事故的调查，解答员工工作遇到的实际问题并及时提供预防性的安全建议。 5外部各方的定义 外部各方是指与xxx公司业务相关的外部机构以及人员，具体包括： 1)xxx公司的上级单位； 2)网络安全工作的主管机构或部门； 3)与xxx公司业务相关的政府部门； 4)公众用户；
1 智慧城市安全体系框架 智慧城市安全体系框架以安全保障措施为视角，从智慧城市安全战略保障、智慧城市安全技术保障、智慧城市安全管理保障、智慧城市安全建设运营保障和智慧城市安全基础支撑五个方面给出了智慧城市安全要素，如图1所示。 图1 智慧城市安全体系框架 a)智慧城市安全战略保障 智慧城市安全战略保障要素包括国家法律法规、政策文件及标准规范。通过智慧城市安全战略保障可以指导和约束智慧城市的安全管理、技术与建设运营活动。 b)智慧城市安全管理保障 智慧城市安全管理保障是实现智慧城市协调管理、协同运作、信息融合和开放共享的关键。本标准参考了信息安全管理体系并结合智慧城市特征，梳理出智慧城市安全管理要素，包括决策规划、组织管理、协调监督、评价改进。 c)智慧城市安全技术保障
智慧城市安全技术保障以建立城市纵深防御体系为目标，从物联感知层、网络通信层、计算与存储层、数据及服务融合层以及智慧应用层五个层次采用多种安全防御手段实现对系统的防护、检测、响应和恢复，以应对智慧城市安全技术风险。智慧城市安全技术保障的功能要素包括防护、检测、响应和恢复。 ——物联感知层安全涉及了关键信息基础设施领域，例如，天气、水、电、气、交通、建筑等重要控制系统中感知设备和执行设备的安全。 ?感知设备安全是保证智慧城市应用于实现基础设施、环境、设备和人员的识别和信息采集与监控的设备，保证信息采集安全，实时为上层提供准确感知数据。 ?执行设备安全是保证应用于智慧城市的基础设施、环境、设备和人员等要素管理和控制过程的执行设备按照既定的指令提供正常的功能。 ——网络通信层安全包含了互联网、电信网、卫星通信网络以及多网融合的网络设施和通信传输的安全，还包含了智慧城市用户网络接入安全。 ——计算与存储层安全包括计算资源安全、软件资源安全以及存储安全。 ?计算资源安全是指可提供数据计算能力物理的计算机、服务器设备和虚拟化安全。 ?软件资源安全是指可为上层数据和应用提供公共服务能力的基础软件，包括操作系统、数据库系统、中间件和资源管理软件等的安全。 ?存储资源安全是指可提供物理和虚拟的数据存储和数据保护能力的服务器安全。 ——数据及服务融合层安全包含了数据内容安全、数据融合安全和服务融合安全。 ?数据内容安全是指不同行业数据信息内容本身的安全。 ?数据融合安全是指数据融合过程中从数据采集与汇聚、数据整合与处理、数据挖掘与分析、数据管理与治理过程的安全。 ?服务融合安全是指支撑智慧城市应用的基础技术服务在融合过程中包括服务聚集、服务管理、服务整合和服务使用的安全。 ——智慧应用层安全包含了智慧城市中多领域和产业的应用系统的安全、应用软件、网站安全、应用开发安全等。 d)智慧城市安全建设运营保障 智慧城市安全建设运营保障是指对智慧城市关键信息基础设施中系统和网络、城市信息资产、智慧城市公共基础信息平台以及业务安全工程建设以及运行状态的监测与维护。确保在智慧城市建设运营过程中智慧城市基础设施、智慧城市信息平台、应用系统及其运行环境和状态发生变化时，
信息安全整体架构设计 1.信息安全目标 信息安全涉及到信息的保密性(Confidentiality)、完整性(Integrity)、可用性(Availability)。 基于以上的需求分析，我们认为网络系统可以实现以下安全目标： 保护网络系统的可用性 保护网络系统服务的连续性 防范网络资源的非法访问及非授权访问 防范入侵者的恶意攻击与破坏 保护信息通过网上传输过程中的机密性、完整性 防范病毒的侵害 实现网络的安全管理 2.信息安全保障体系 2.1 信息安全保障体系基本框架 通过人、管理和技术手段三大要素，构成动态的信息与网络安全保障体系框架WPDRR模型，实现系统的安全保障。WPDRR是指：预警（Warning）、保护
（Protection）、检测（Detection）、反应（Reaction）、恢复（Recovery），五个环节具有时间关系和动态闭环反馈关系。 安全保障是综合的、相互关联的，不仅仅是技术问题，而是人、管理和技术三大要素的结合。 支持系统安全的技术也不是单一的技术，它包括多个方面的内容。在整体的安全策略的控制和指导下，综合运用防护工具（如：防火墙、VPN加密等手段），利用检测工具（如：安全评估、入侵检测等系统）了解和评估系统的安全状态，通过适当的反应将系统调整到“最高安全”和“最低风险”的状态，并通过备份容错手段来保证系统在受到破坏后的迅速恢复，通过监控系统来实现对非法网络使用的追查。 信息安全体系基本框架示意图 预警：利用远程安全评估系统提供的模拟攻击技术来检查系统存在的、可能被利用的脆弱环节，收集和测试网络与信息的安全风险所在，并以直观的方式进行报告，提供解决方案的建议，在经过分析后，了解网络的风险变化趋势和严重风险点，从而有效降低网络的总体风险，保护关键业务和数据。 保护：保护通常是通过采用成熟的信息安全技术及方法来实现网络与信息的安全，主要有防火墙、授权、加密、认证等。 检测：通过检测和监控网络以及系统，来发现新的威胁和弱点，强制执行安全策略。在这个过程中采用入侵检测、恶意代码过滤等等这样一些技术，形成动态检测的制度，建立报告协调机制，提高检测的实时性。 反应：在检测到安全漏洞和安全事件之后必须及时做出正确的响应，从而把系统调整到安全状态。为此需要相应的报警、跟踪、处理系统，其中处理包括封
《网络安全技术》考试题库 1. 计算机网络安全所面临的威胁分为哪几类？从人的角度，威胁网络安全的因素有哪些？ 答：计算机网络安全所面临的威胁主要可分为两大类：一是对网络中信息的威胁，二是对网络中设备的威胁(2分)。从人的因素考虑，影响网络安全的因素包括：（1）人为的无意失误。(1分) （2）人为的恶意攻击。一种是主动攻击，另一种是被动攻击。(1分) （3）网络软件的漏洞和“后门”。 (1分) 2．网络攻击和防御分别包括哪些内容？ 答:网络攻击：网络扫描、监听、入侵、后门、隐身； 网络防御：操作系统安全配置、加密技术、防火墙技术、入侵检测技术。 4.分析TCP/IP协议，说明各层可能受到的威胁及防御方法。 答：网络层：IP欺骗欺骗攻击，保护措施：防火墙过滤、打补丁；传输层：应用层：邮件炸弹、病毒、木马等，防御方法：认证、病毒扫描、安全教育等。6．请分析网络安全的层次体系。 答：从层次体系上，可以将网络安全分成四个层次上的安全：物理安全、逻辑安全、操作系统安全和联网安全。 7.请分析信息安全的层次体系。 答：信息安全从总体上可以分成5个层次：安全的密码算法，安全协议，网络安全，系统安全以及应用安全。 10.请说明“冰河”木马的工作方式。 答：病毒通过修改系统注册表，通过执行文本文件的双击打开操作，驻留病毒程序，伺机实现远端控制目的。 【应用题】 1.简述防范远程攻击的技术措施。 答：防范远程攻击的主要技术措施有防火墙技术、数据加密技术和入侵检测技术等。(2分) （1）防火墙技术。用来保护计算机网络免受非授权人员的骚扰和黑客的入侵。(1分) （2）数据加密技术。数据加密技术已经成为所有通信安全的基石。(1分) （3）入侵检测技术。是一种防范远程攻击的重要技术手段，能够对潜在的入侵动作做出记录，并且能够预测攻击的后果。(1分) 2.防范远程攻击的管理措施有那些？ 答：防范远程攻击的管理措施： (1) 使用系统最高的安全级别。高安全等级的系统是防范远程攻击的首选。(2分) (2) 加强内部管理。为对付内部产生的黑客行为，要在安全管理方面采取措施。(2分) (3) 修补系统的漏洞。任何系统都是有漏洞的，应当及时堵上已知的漏洞并及时发现未知的漏洞。(1分) 3.简述远程攻击的主要手段。 答：远程攻击的手段主要有： （1）缓冲区溢出攻击。(1分) （2）口令破解。又称口令攻击，口令是网络安全防护的第一道防线。(1分) （3）网络侦听。是指在计算机网络接口处截获网上计算机之间通信的数据。(1分) （4）拒绝服务攻击。是一种简单的破坏性攻击。(1分) （5）欺骗攻击。(1分) 4. 简述端口扫描技术的原理。 答：端口扫描向目标主机的TCP/IP服务端口发送探测数据包，并记录目标主机的响应(1分)。通过分析响应来判断服务端口是打开还是关闭，就可以得知端口提供的服务或信息(1分)。端口扫描也可以通过捕获本地主机或服务器的注入/流出IP数据包来监视本地主机运行情况(1分)。端口扫描只能对接收到的数据进行分析，帮助我们发现目标主机的某些内在的弱点，而不会提供进入一个系统的详细步骤。 (2分) 5. 缓冲区溢出攻击的原理是什么？ 答：缓冲区溢出攻击指的是一种系统攻击的手段，通过往程序的缓冲区写超出其长度的内容，造成缓冲区的溢出，从而破坏程序的堆栈，使程序转而执行其他指令，以达到攻击的目的。(3分) 缓冲区溢出攻击最常见的方法是通过使某个特殊程序的缓冲区溢出转而执行一个Shell，通过Shell的权限可以执行高级的命令。如果这个特殊程序具有System 权限，攻击成功者就能获得一个具有Shell权限的Shell，就可以对系统为所欲为了。(2分) 7.简述暴力攻击的原理。 答：使用穷举法破译密码等信息的一种方法，如：字典攻击、破解操作系统密码、破解邮箱密码、破解软件密码等。 9.简述缓冲区溢出的攻击原理。 答：当目标系统收到了超过其可接收的最大信息量时，会发生缓冲区溢出。易造成目标系统的程序修改，由此产生系统后门。 10.简述拒绝服务的种类和原理。 答：拒绝服务攻击主要是计算机网络带宽攻击和连通性攻击。通过耗用有限计算机资源，使得目标主机无法提供正常网络服务。 11.简述DDoS的特点及常用攻击手段。 答：攻击计算机控制着多台主机，对目标主机实施攻击，大量瞬时网络流量阻塞网络，使得目标主机瘫痪。12.留后门的原则是什么？ 答：原则就是让管理员看不到有任何特别的地方。13.列举后门的三种程序，并阐述其原理和防御方法。 答：1）远程开启TELNET服务（RTCS.VBE）工具软）件，防御方法：注意对开启服务的监护；2）建立WEB和TELNET服务（WNC.EXE），防御方法：注意对开启服务的监护；3）让禁用的GUEST用户具有管理权限（PSU.EXE 修改注册表），防御方法：监护系统注册表。 14.简述木马由来及木马和后门的差异。 答：木马是一种可以驻留在对方服务器系统中的程序（服务器端、客户端），其功能是通过客户端控制驻留在对方服务器中的服务器端。木马功能较强，具有远程控制功能，后门功能单一，只提供登录使用。 16.简述两种通过UNICODE漏洞，进行攻击的方式。
The NIST Cybersecurity Framework Revisited By Torsten George on March 18, 2015 inShare124 Tweet In February 2014 the National Institute of Standards and Technology (NIST) issued a new set of cyber security guidelines designed to help critical infrastructure providers better protect themselves against attacks. The framework was the result of an executive order issued by President Barack Obama in 2013 to establish a set of voluntary cyber security standards for critical infrastructure companies. One year later, has the NIST Cybersecurity Framework had any measurable impact on improving cyber resilience or was it just smoke and mirrors as many opponents predicted at the time? The NIST Cybersecurity Framework was born out of the realization that cyber-attacks represent one of the most serious economic and national security threats our nation faces. The framework offers:? A set of activities to anticipate and defend against cyber-attacks (the “Core”)
我所理解的网络安全架构 网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不因偶然的或者恶意的原因而遭受到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断。网络安全从其本质上来讲就是网络上的信息安全。从广义来说，凡是涉及到网络上信息的保密性、完整性、可用性、真实性和可控性的相关技术和理论都是网络安全的研究领域。(一) 网络安全应具有以下五个方面的特征保密性：信息不泄露给非授权用户、实体或过程，或供其利用的特性。完整性：数据未经授权不能进行改变的特性。即信息在存储或传输过程中保持不被修改、不被破坏和丢失的特性。可用性：可被授权实体访问并按需求使用的特性。即当需要时能否存取所需的信息。例如网络环境下拒绝服务、破坏网络和有关系统的正常运行等都属于对可用性的攻击；可控性：对信息的传播及内容具有控制能力。可审查性：出现的安全问题时提供依据与手段(二) 影响网络安全性的因素网络结构因素：网络基本拓扑结构有3种：星型、总线型和环型。一个单位在建立自己的内部网之前，各部门可能已建造了自己的局域网，所采用的拓扑结构也可能完全不同。在建造内部网时，为了实现异构网络间信息的通信，往往要牺牲一些安全机制的设置和实现，从而提出更高的网络开放性要求。网络协议因素：在建造内部网时，用户为了节省开支，必然会保护原有的网络基础设施。另外，网络公司为生存的需要，对网络协议的兼容性要求越来越高，使众多厂商的协议能互联、兼容和相互通信。这在给用户和厂商带来利益的同时，也带来了安全隐患。如在一种协议下传送的有害程序能很快传遍整个网络。地域因素：由于内部网Intranet既可以是LAN 也可能是WAN(内部网指的是它不是一个公用网络，而是一个专用网络)，网络往往跨越城际，甚至国际。地理位置复杂，通信线路质量难以保证，这会造成信息在传输过程中的损坏和丢失，也给一些”黑客”造成可乘之机。用户因素：企业建造自己的内部网是为了加快信息交流，更好地适应市场需求。建立之后，用户的范围必将从企业员工扩大到客户和想了解企业情况的人。用户的增加，也给网络的安全性带来了威胁，因为这里可能就有商业间谍或“黑客”主机因素：建立内部网时，使原来的各局域网、单机互联，增
美国联邦使用网络安全框架（CSF）的方法 本文主要介绍了NIST于2020年3月发布的最终版NISTIR 8170《联邦机构使用网络安全框架（CSF）的方法》（Approaches for Federal Agencies to Use the Cybersecurity Framework）报告的内容。 关键词： CSF（网络安全框架）；NIST（国家标准与技术研究所）；NISTIR （NIST机构间报告，NIST Interagency Reports）；FISMA（联邦信息安全管理法案，Federal Information Security Management Act）；RMF（风险管理框架，Risk Management Framework）；ERM（企业风险管理，Enterprise Risk Management）；核心（Core）；概要（Profile）；实现层（Implementation Tiers）； 本文目录 一、关键的NIST风险管理指南 （一）关键指南及其关系 （二）CSF（网络安全框架） （三）NIST SP800-37风险管理框架（RMF）
（四）NIST SP800-39管理信息安全风险（五）其它术语约定 二、联邦网络安全方法概述 三、联邦网络安全风险管理方法 （一）集成企业和网络安全风险管理（二）管理网络安全需求 （三）整合并协调网络安全和采购流程（四）评估组织网络安全 （五）管理网络安全计划 （六）维护对网络安全风险的全面了解（七）报告网络安全风险 （八）为裁剪流程提供输入信息 一、基础背景与术语约定 （一）关键指南及其关系
如有你有帮助，请购买下载，谢谢！（水平有限，翻译粗糙，仅供参考） 为改善关键基础设施网络安全框架 Version 1.0 国家标准与技术研究所 February 12, 2014
Table of Contents Executive Summary (1) 1.0 Framework Introduction (3) 2.0 Framework Basics (7) 3.0 How to Use the Framework (13) Appendix A: Framework Core (18) Appendix B: Glossary (37) Appendix C: Acronyms (39) List of Figures Figure 1: Framework Core Structure (7) Figure 2: Notional Information and Decision Flows within an Organization (12) List of Tables Table 1: Function and Category Unique Identifiers (19) Table 2: Framework Core (20)
执行摘要 美国的国家安全和经济安全取决于关键基础设施的可靠运作的。网络安全威胁攻击日益复 杂和关键基础设施系统的连接，把国家的安全，经济，风险公众安全和健康。类似的财务 和声誉风险，网络安全风险影响到公司的底线。它可以驱动多达费用及影响收入。它可能 会损害一个组织的创新，以获得并保持客户的能力。 为了更好地解决这些风险，总统于2013年2月12日，其中规定“[I] t是美国的政策，加 强国家的安全和弹性颁布行政命令13636，”改善关键基础设施的网络安全。“关键基础 设施和维护，鼓励高效，创新，和经济繁荣，同时促进安全，保安，商业机密，隐私和公 民自由。“在制定这项政策的网络环境，执行命令为自愿风险的发展需要基于网络安全框 架 - 一套行业标准和最佳实践，帮助企业管理网络安全风险。由此产生的框架，通过政府 和私营部门之间的合作创建的，使用共同的语言，无需放置额外的监管要求，对企业在根 据业务需要具有成本效益的方式处理和管理网络安全风险。 该框架着重于使用业务驱动因素，以指导网络安全的活动，并考虑网络安全风险，组织风 险管理程序的一部分。该框架由三部分组成：核心框架，该框架配置文件和框架实施层级。该框架的核心是一套网络安全的活动，成果，和翔实的参考资料是通用的重要基础设施行业，为发展个人组织档案的详细指导。通过使用配置文件中，该框架将帮助组织调整其网 络安全的活动，其业务需求，风险承受能力和资源。各层提供一个机制，组织查看和了解 他们的方法来管理网络安全风险的特性。 该行政命令还要求该框架包括一个方法来保护个人隐私和公民自由时，重要的基础设施组 织开展网络安全的活动。虽然流程和现有的需求会有所不同，该框架能够帮助组织整合的 隐私和公民自由的全面网络安全计划的一部分。 该框架使组织 - 无论大小，网络安全风险程度，或网络安全的复杂性 - 原则和风险管理的最佳实践应用到改善关键基础设施的安全性和弹性。该框架提供了组织和结构到今天的多种 途径，以网络安全组装标准，准则和做法，如今正在有效地业。此外，因为它引用了全球 公认的标准，网络安全，该框架还可以用于由位于美国以外的组织，可以作为一个典范加 强关键基础设施的网络安全国际合作。 该框架是不是一个尺寸适合所有人的方法来管理网络安全风险的关键基础设施。组织将继 续有独特的风险 - 不同的威胁，不同的弱点，不同的风险承受能力 - 以及他们如何实施该框
（水平有限，翻译粗糙，仅供参考） 为改善关键基础设施网络安全框架 Version 1.0 国家标准与技术研究所 February12, 2014
TableofContents ExecutiveSummary (1) 1.0 Framework Introduction (3) 2.0 FrameworkBasics (7) 3.0 HowtoUsetheFramework (13) AppendixA:FrameworkCore (18) AppendixB:Glossary (37) AppendixC:Acronyms (39) ListofFigures Figure1:FrameworkCoreStructure (7) Figure2:NotionalInformationandDecisionFlowswithinanOrganization (12) ListofTables Table1:FunctionandCategoryUniqueIdentifiers (19) Table2:FrameworkCore (20)
执行摘要 美国的国家安全和经济安全取决于关键基础设施的可靠运作的。网络安全威胁攻击日益复 杂和关键基础设施系统的连接，把国家的安全，经济，风险公众安全和健康。类似的财务 和声誉风险，网络安全风险影响到公司的底线。它可以驱动多达费用及影响收入。它可能 会损害一个组织的创新，以获得并保持客户的能力。 为了更好地解决这些风险，总统于2013年2月12日，其中规定“[I] t是美国的政策，加 强国家的安全和弹性颁布行政命令13636，”改善关键基础设施的网络安全。“关键基础 设施和维护，鼓励高效，创新，和经济繁荣，同时促进安全，保安，商业机密，隐私和公 民自由。“在制定这项政策的网络环境，执行命令为自愿风险的发展需要基于网络安全框 架 - 一套行业标准和最佳实践，帮助企业管理网络安全风险。由此产生的框架，通过政府 和私营部门之间的合作创建的，使用共同的语言，无需放置额外的监管要求，对企业在根 据业务需要具有成本效益的方式处理和管理网络安全风险。 该框架着重于使用业务驱动因素，以指导网络安全的活动，并考虑网络安全风险，组织风 险管理程序的一部分。该框架由三部分组成：核心框架，该框架配置文件和框架实施层级。该框架的核心是一套网络安全的活动，成果，和翔实的参考资料是通用的重要基础设施行业，为发展个人组织档案的详细指导。通过使用配置文件中，该框架将帮助组织调整其网 络安全的活动，其业务需求，风险承受能力和资源。各层提供一个机制，组织查看和了解 他们的方法来管理网络安全风险的特性。 该行政命令还要求该框架包括一个方法来保护个人隐私和公民自由时，重要的基础设施组 织开展网络安全的活动。虽然流程和现有的需求会有所不同，该框架能够帮助组织整合的 隐私和公民自由的全面网络安全计划的一部分。 该框架使组织 - 无论大小，网络安全风险程度，或网络安全的复杂性 - 原则和风险管理的最佳实践应用到改善关键基础设施的安全性和弹性。该框架提供了组织和结构到今天的多种 途径，以网络安全组装标准，准则和做法，如今正在有效地业。此外，因为它引用了全球 公认的标准，网络安全，该框架还可以用于由位于美国以外的组织，可以作为一个典范加 强关键基础设施的网络安全国际合作。 该框架是不是一个尺寸适合所有人的方法来管理网络安全风险的关键基础设施。组织将继
第1章 【思考题】 1.1 OSI安全体系结构是一个框架，它提供了一种系统化的方式来定义安全需求，并描述满足这些需求的方法。该文档定义了安全攻击、机制和服务，以及这些类别之间的关系。 1.2被动攻击与窃听或监视传输有关。电子邮件、文件传输和客户机/服务器交换是可以监视的传输示例。主动攻击包括修改传输的数据和试图未经授权访问计算机系统。 1.3被动攻击：发布消息内容和流量分析。主动攻击：伪装、重播、修改消息和拒绝服务。 1.4认证：保证通信实体是其声称的实体。 访问控制：防止未经授权使用资源（即，此服务控制谁可以访问资源，在什么条件下可以进行访问，以及允许访问资源的人做什么）。 数据保密：保护数据不被未经授权的泄露。 数据完整性：确保接收到的数据与授权实体发送的数据完全一致（即不包含修改、插入、删除或重播）。不可否认性：提供保护，以防止参与通信的实体之一拒绝参与全部或部分通信。 可用性服务：系统或系统资源的属性，根据系统的性能规范，经授权的系统实体可根据需要访问和使用（即，如果系统在用户请求时根据系统设计提供服务，则系统可用）。 【习题】 1.1系统必须在主机系统和交易传输期间对个人识别号保密。它必须保护账户记录和个人交易的完整性。东道国制度的有效性对银行的经济福祉很重要，但对其受托责任却不重要。个人取款机的可用性不那么令人担忧。 1.2系统对个人交易的完整性要求不高，因为偶尔丢失通话记录或账单记录不会造成持续损害。然而，控制程序和配置记录的完整性是至关重要的。没有这些，交换功能将被破坏，最重要的属性-可用性-将被破坏。电话交换系统还必须保护个人通话的机密性，防止一个来电者偷听另一个来电。 1.3 a.如果系统用于发布公司专有材料，则必须确保保密性。 b.如果系统被用于法律或法规，则必须确保其完整性。 c.如果该系统用于出版日报，则必须确保其可用性。 1.4 a.在其Web服务器上管理公共信息的组织确定不存在保密性损失（即保密性要求不适用）、完整性损失的中度潜在影响和可用性损失的中度潜在影响。 B.管理极为敏感的调查信息的执法机构确定，保密损失的潜在影响高，诚信损失的潜在影响中等，可用性损失的潜在影响中等。 c.管理日常行政信息（非隐私相关信息）的金融机构确定，保密性损失的潜在影响较低，完整性损失的潜在影响较低，可用性损失的潜在影响较低。 d.承包组织内部的管理层确定： （i）对于敏感合同信息，保密损失的潜在影响是中等的，保密损失的潜在影响是 完整性中等，可用性丧失的潜在影响较低；（ii）日常行政信息 e、电厂管理层确定：（i）对于由监控与数据采集系统采集的传感器数据，不存在保密性丧失、完整性丧失和可用性丧失的潜在影响；以及（ii）对于系统正在处理的行政信息，保密性丧失的潜在影响很小，完整性丧失的潜在影响很小，可用性丧失的潜在影响很小。
网络信息安全体系架构 一、安全保障体系的总体架构 网络信息安全涉及立法、技术、管理等许多方面, 包括网络信息系统本身的安全问题, 以及信息、数据的安全问题。信息安全也有物理的和逻辑的技术措施, 网络信息安全体系就是从实体安全、平台安全、数据安全、通信安全、应用安全、运行安全、管理安全等层面上进行综合的分析和管理。安全保障体系总体架构如下图所示： 安全保障体系架构图 二、安全保障体系层次 按照计算机网络系统体系结构，我们将安全保障体系分为7个层面： （1）实体安全 实体安全包含机房安全、设施安全、动力安全、等方面。其中， 机房安全涉及到：场地安全、机房环境/温度/湿度/电磁/噪声/防尘/
静电/振动、建筑/防火/防雷/围墙/门禁；设施安全如：设备可靠性、通讯线路安全性、辐射控制与防泄露等；动力包括电源、空调等。这几方面的检测优化实施过程按照国家相关标准和公安部颁发实体安全标准实施。 （2）平台安全 平台安全包括：操作系统漏洞检测与修复（Unix系统、Windows 系统、网络协议）；网络基础设施漏洞检测与修复（路由器、交换机、防火墙）；通用基础应用程序漏洞检测与修复（数据库、Web/ftp/mail/DNS/其它各种系统守护进程）；网络安全产品部署（防火墙、入侵检测、脆弱性扫描和防病毒产品）；整体网络系统平台安全综合测试、模拟入侵与安全优化。 （3）数据安全 数据安全包括：介质与载体安全保护；数据访问控制（系统数据访问控制检查、标识与鉴别）；数据完整性；数据可用性；数据监控和审计；数据存储与备份安全。 （4）通信安全 既通信及线路安全。为保障系统之间通信的安全采取的措施有：通信线路和网络基础设施安全性测试与优化；安装网络加密设施；设置通信加密软件；设置身份鉴别机制；设置并测试安全通道；测试各项网络协议运行漏洞等方面。 （5）应用安全 应用安全包括：业务软件的程序安全性测试(bug分析)；业务交
信息安全整体架构设计 信息安全目标 信息安全涉及到信息的保密性(Confidentiality)、完整性(Integrity)、可用性(Availability)。 基于以上的需求分析，我们认为网络系统可以实现以下安全目标：?保护网络系统的可用性 ?保护网络系统服务的连续性 ?防范网络资源的非法访问及非授权访问 ?防范入侵者的恶意攻击及破坏 ?保护信息通过网上传输过程中的机密性、完整性 ?防范病毒的侵害 ?实现网络的安全管理 信息安全保障体系 信息安全保障体系基本框架 通过人、管理和技术手段三大要素，构成动态的信息及网络安全保障体系框架WPDRR模型，实现系统的安全保障。WPDRR是指：预警（Warning）、保护（Protection）、检测（Detection）、反应（Reaction）、恢复（Recovery），五个环节具有时间关系和动态闭环反馈关系。 安全保障是综合的、相互关联的，不仅仅是技术问题，而是人、管理和技术三大要素的结合。
支持系统安全的技术也不是单一的技术，它包括多个方面的内容。在整体的安全策略的控制和指导下，综合运用防护工具（如：防火墙、VPN加密等手段），利用检测工具（如：安全评估、入侵检测等系统）了解和评估系统的安全状态，通过适当的反应将系统调整到“最高安全”和“最低风险”的状态，并通过备份容错手段来保证系统在受到破坏后的迅速恢复，通过监控系统来实现对非法网络使用的追查。 信息安全体系基本框架示意图 预警：利用远程安全评估系统提供的模拟攻击技术来检查系统存在的、可能被利用的脆弱环节，收集和测试网络及信息的安全风险所在，并以直观的方式进行报告，提供解决方案的建议，在经过分析后，了解网络的风险变化趋势和严重风险点，从而有效降低网络的总体风险，保护关键业务和数据。 保护：保护通常是通过采用成熟的信息安全技术及方法来实现网络及信息的安全，主要有防火墙、授权、加密、认证等。 检测：通过检测和监控网络以及系统，来发现新的威胁和弱点，强制执行安全策略。在这个过程中采用入侵检测、恶意代码过滤等等
提升关键基础设施网络安全框架（美国） V1.1 2018年4月16日 核心内容：包括5大功能模块、22类、108子类 功能缩写功能类别缩写类别 ID 标识ID.AM 资产管理 ID.BE 业务环境 ID.GV 治理 ID.RA 风险评估 ID.RM 风险管理战略 ID.SC 供应链风险管理 PR 防护PR.AC 身份管理和接入控制 PR.AT 意识和培训 PR.DS 数据安全 PR.IP 信息保护 PR.MA 维护 PR.PT 防护技术 DE 监测DE.AE 异常和事件 DE.CM 持续安全监控 DE.DP 检测流程 RS 响应RS.RP 响应计划 RS.CO 沟通 RS.MI 缓解 RS.IM 提升 RC 恢复RC.RP 恢复计划 RC.IM 提升 RC.CO 沟通
功能类别子类别 ID 标识ID.AM 资产管理 1）该组织内的设备和系统都有清单 2）该组织内的软件平台和应用都有清单 3）制作该组织内的通信和数据流图 4）编制外部信息系统目录 5）基于资源所处层级、重要性和商业价值将各类资源 （包括：硬件、设备、数据、时间、员工、软件等）按 优先级列表 6）建立责任体系，包括全体员工队伍和第三方利益相 关方（如：供应商、客户、合作伙伴等） ID.BE 业务环境 1)定义和描述该组织在供应链中的任务 2)定义和描述该组织在关键基础设施及其行业中的地位 3)建立和描述该组织使命、目标和活动的优先事项 4)建立关键服务交付的依赖性和关键功能 5)建立所有操作状态（比如：胁迫/攻击状态，恢复状态， 正常操作状态）支持关键服务交付的弹性（Resilience） 要求 ID.GV 治理 1）建立和传达组织网络安全政策 2）将内部角色和外部合作伙伴的网络安全角色和责任 协调一致 3）理解和执行有关网络安全的法律法规要求，包括隐 私和公民自由义务 4）解决网络安全风险的治理和风险管理流程 ID.RA 风险评估 1）识别并记录资产漏洞（vulnerabilities） 2）网络威胁情报来自信息共享论坛和来源处（sources） 3）定义和记录内外部威胁 4）确定潜在的业务影响和可能性 5）威胁、漏洞、相似性和影响被用于确定风险 6）定义风险响应并确定其优先级 ID.RM 风险管理战略 1）组织利益相关者建立、管理、同意风险管理过程。 2）确定并明确表达组织风险承受能力 3）组织对风险承受能力的决定取决于它在关键基础设 施中的作用和行业特定风险分析。 ID.SC 供应链风险管 理 1）组织利益相关者识别、评估、管理、同意网络供应 链风险管理流程 2）使用网络供应链风险评估流程对供应商和第三方合 作伙伴的信息系统、组件和服务进行评估、识别和确定 优先级。 3）为实现组织的网络安全和网络供应链风险管理计划
龙源期刊网 https://www.doczj.com/doc/461735175.html, 网络安全架构 作者：李怡明李丞 来源：《硅谷》2012年第03期 摘要：中国互联网近年来飞速发展，普及率达到38.4%。已稳居世界第一网民大国的地位。互联网正对社会、经济、文化等各个领域产生巨大影响。2011年12月21日“泄密门”事件，再次敲响网络安全的警钟。网络攻击和入侵都是根据网络模型不同层次的特点展开的，网络防护也应针对每个部位的不同特点，将网络传输、系统安全和代码安全等网络技术有机的结合起来，再通过以往的网络防护经验，逐层填补可能产生的网络漏洞，清除存在的网络隐患，建立一套完整的网络防护体系，以保障网络信息的安全。 关键词：网络信息安全；网络隐患及网络攻击；网络安全措施 中图分类号：TP393.08 文献标识码：A 文章编号：1671－7597（2012）0210023－02 2011年12月21日，CSDN（1）600万用户数据遭到泄露，大量用户信息被公布在网上，进而又有报道称众多知名网站都存在保存信息不当的问题，最终还涉及到电子商务及银行业。这次“泄密门”事件，再次敲响了网络安全的警钟，中国网络信息安全问题引起了专家学者高度关注。 1 网络安全现状 中国互联网近年来飞速发展，截至2011年年底，网民规模已经超过5亿，互联网普及率达到38.4%，已稳居世界第一网民大国的地位。互联网正对中国社会、经济、文化等各个领域产生巨大影响。 网络的覆盖范围之广，涉及层面之深导致其所形成的网络环境异常复杂，使安全防护工作难以开展，形成很多安全隐患，时常遭到恶意攻击。根据《28次全国互联网络发展状况统计 报告》数据显示：2011年上半年，遇到过病毒或木马攻击的网民达到2.17亿，比例为 44.7%；有过账号或密码被盗经历的网民达到1.21亿人，占24.9%，较2010年增加3.1个百分点。再比如某公司网站被黑、某政府部门的网站被入侵等事件已经无法再做详细统计，不过通过一些展示黑客“成果”的网站的更新速度，我们可以看出，提升网络安全的级别迫在眉睫。 现在的网络入侵等一系列威胁和破坏网络安全的行为，从一开始单纯的、希望通过这种不寻常的方式展示自己高超的网络技术，到现在这些行为已经转变成以追求利益为目的，并开始形成有组织、有计划的非法商业活动，甚至出现了“拿钱办事”的打手行径。这些群体的存在给网络安全带来了巨大的威胁，也使网民对网络安全的信心产生动摇。
信息安全体系结构课 后答案
第一章概述 1.比较体系结构的各种定义，并说明这些定义之间的异同点，指出其共性要素。 一个体系结构应该包括一组组件以及组件之间的联系。 ANSI/IEEE STD 1471-2000使用的体系结构的定义是：一个系统的基本组织，通过组件、组件之间和组件与环境之间的关系以及管理其设计和演变的原则具体体现。 IEEE的体系结构计划研究组指出，体系结构可以被认为是“组件+连接关系+约束规则”。 “组件”等同于“元素”，“组件之间和组件与环境之间的关系”等价于“关系/连接关系”。 2.分析体系结构的六种基本模式各自的优缺点，描述最常用的四种结构的特点。 六种基本模型各自的优缺点： （1）管道和过滤器：在这种模式下，每个组件具有输入和输出的数据流集合，整个系统可以被看成多个过滤器复合形成的数据处理组件。如： shell编程，编译器。 （2）数据抽象和面向对象：在这种模式下，数据和数据上的操作被封装成抽象数据类型或者对象。系统由大量对象组成，在物理上，对象之间通过 函数或者过程调用相互作用；在逻辑上，对象之间通过集成、复合等方 式实现设计的复用。
（3）事件驱动：在这种模式下，系统提供事件的创建和发布的机制，对象产生事件，对象通过向系统注册关注这个事件并由此触发出相应的行为或 者产生新的事件。如：GUI的模型。 （4）分层次：这种模式将系统功能和组件分成不同的功能层次，一般而言，只有最上层的组件和功能可以被系统外的使用者访问，只有相邻的层次 之间才能够有函数调用。如：ISO的开放系统互联参考模型。 （5）知识库：这种模型使用一个中心数据结构表示系统的当前状态，一组相互独立的组件在中心数据库上进行操作。如：传统的数据库模型。（6）解释器：这种模式提供面向领域的一组指令，系统解释这种语言，产生相应的行为，用户使用这种指令完成复杂的操作。 最常用的四种结构的特点： 严格的层次结构：系统可以被清楚地分解成不同的层次功能。 事件驱动的结构：适用于对互操作性、特别是异构环境下的互操作性要求高的情况。 知识库的结构：适用于以大量数据为核心的系统。 基于解释器的结构：适用于应用系统和用户的交互非常复杂的情况。 3.比较信息安全体系结构的各种定义，并说明这些定义之间的异同点。 信息系统的安全体系结构是系统信息安全功能定义、设计、实施和验证的基础。该体系结构应该在反映整个信息系统安全策略的基础上，描述该系统安全组件及其相关组件相互间的逻辑关系与功能分配。
中文版为改善关键基础设施网络安全框架
（水平有限，翻译粗糙，仅供参考） 为改善关键基础设施网络安全框架 Version 1.0 国家标准与技术研究所 February 12, 2014
Table of Contents 执行摘要 (4) 1.0框架简介 (6) 2.0基本框架 (10) 3.0如何使用框架 (17) 附录A：核心框架 (21) 表2：框架核心 (20) 附录B：词汇表 (37) 附录C：缩略语 (39) List of Figures Figure 1: Framework Core Structure (7) Figure 2: Notional Information and Decision Flows within an Organization (12) List of Tables Table 1: Function and Category Unique Identifiers (19) Table 2: Framework Core (20)
执行摘要 美国的国家安全和经济安全取决于关键基础设施的可靠运作的。网络安全威胁攻击日益复杂和关键基础设施系统的连接，把国家的安全，经济，风险公众安全和健康。类似的财务和声誉风险，网络安全风险影响到公司的底线。它可以驱动多达费用及影响收入。它可能会损害一个组织的创新，以获得并保持客户的能力。 为了更好地解决这些风险，总统于2013年2月12日，其中规定“[I] t是美国的政策，加强国家的安全和弹性颁布行政命令13636，”改善关键基础设施的网络安全。“关键基础设施和维护，鼓励高效，创新，和经济繁荣，同时促进安全，保安，商业机密，隐私和公民自由。“在制定这项政策的网络环境，执行命令为自愿风险的发展需要基于网络安全框架 - 一套行业标准和最佳实践，帮助企业管理网络安全风险。由此产生的框架，通过政府和私营部门之间的合作创建的，使用共同的语言，无需放置额外的监管要求，对企业在根据业务需要具有成本效益的方式处理和管理网络安全风险。 该框架着重于使用业务驱动因素，以指导网络安全的活动，并考虑网络安全风险，组织风险管理程序的一部分。该框架由三部分组成：核心框架，该框架配置文件和框架实施层级。该框架的核心是一套网络安全的活动，成果，和翔实的参考资料是通用的重要基础设施行业，为发展个人组织档案的详细指导。通过使用配置文件中，该框架将帮助组织调整其网络安全的活动，其业务需求，风险承受能力和资源。各层提供一个机制，组织查看和了解他们的方法来管理网络安全风险的特性。 该行政命令还要求该框架包括一个方法来保护个人隐私和公民自由时，重要的基础设施组织开展网络安全的活动。虽然流程和现有的需求会有所不同，该框架能够帮助组织整合的隐私和公民自由的全面网络安全计划的一部分。 该框架使组织 - 无论大小，网络安全风险程度，或网络安全的复杂性 - 原则和风险管理的最佳实践应用到改善关键基础设施的安全性和弹性。该框架提供了组织和结构到今天的多种途径，以网络安全组装标准，准则和做法，如今正在有效地业。此外，因为它引用了全球公认的标准，网络安全，该框架还可以用于由位于美国以外的组织，可以作为一个典范加强关键基础设施的网络安全国际合作。