《BOSS系统安全框架.doc》由会员分享，可在线阅读，更多相关《BOSS系统安全框架.doc（85页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。
1、- 中国移动通信集团中国移动通信集团 BOSS 系统安全框架系统安全框架 中国移动通信集团公司 二零零二年十二月 - 目录目录 第一部分 概述和介绍.5 1概述.5 1.1目的和范围.5 1.2读者和应用范围.5 1.3安全要素和原则.5 1.4参考标准和资料.6 2系统安全框架模型描述.7 第二部分 系统安全管理框架.9 3系统安全策略.9 3.1系统安全策略概述.9 3.1.1系统安全最高方针文件.9 3.1.2编制与评审.10 3.2策略结构描述.11 3.2.1策略文档结构图.11 3.2.2最高方针.11 3.2.3安全体系框架.11 3.2.4规范.12 3.2.5管理制度、规定和
2、标准.12 3.2.6基层文档.12 3.3系统安全保证.12 3.3.1管理体系的安全保证.13 3.3.2产品的安全保证.13 3.3.3工程过程的安全保证.13 3.3.4安全保证技术手段.14 3.3.5其它安全保证.14 4系统安全组织管理.15 4.1系统安全组织概述.15 4.2角色和责任.15 4.3第三方管理.18 4.4人员安全.19 4.5宣传、教育和培训.19 4.6与外界的安全合作.20 5系统安全运作管理.22 5.1系统安全生命周期.22 5.2信息资产鉴别和分类.23 5.3系统安全风险评估.24 5.4系统的安全规划和接收.25 5.5维护管理.25 5.5.
3、1物理和环境安全.25 5.5.2信息备份.26 - 5.5.3操作者日志.26 5.5.4差错记录.27 5.6意外和灾难恢复/入侵事件处理 .27 5.7运作的技术化和产品化.28 5.7.1系统安全管理平台.28 5.7.2系统安全管理协议.28 第三部分 系统安全技术框架.29 6系统安全技术框架.29 6.1IAARC 框架图示.29 6.2Identification & Authentication 鉴别和认证.30 6.2.1技术特点.30 6.2.2与其它要素的关系.30 6.2.3典型技术和产品代表.30 6.3Access Control 访问控制.31 6.3.1技术特
4、点.31 6.3.2与其它要素的关系.32 6.3.3典型技术和产品代表.32 6.4Content Security 内容安全.33 6.4.1技术特点.33 6.4.2与其它要素的关系.33 6.4.3典型技术和产品代表.33 6.5Redundant & Recovery 冗余和恢复.34 6.5.1技术特点.34 6.5.2与其它要素的关系.34 6.5.3典型技术和产品代表.34 6.6Audit&Response 审计和响应.35 6.6.1技术特点.35 6.6.2与其它要素的关系.35 6.6.3典型技术和产品代表.35 7鉴别和认证框架.37 7.1鉴别的对象和粒度.37 7
5、.2用户鉴别机制.38 7.2.1基于所知的 I&A.38 7.2.2基于所持的 I&A.39 7.2.3基于所具有的 I&A.39 7.2.4Single Sign-on.40 7.3PKI 体系.40 7.4I&A 系统的应用.40 7.4.1管理.40 7.4.2维护.41 7.4.3混合的鉴别认证体系.41 8访问控制框架.42 8.1访问控制与授权.42 - 8.2访问控制的准则.42 8.2.1基于鉴别的访问控制.42 8.2.2基于角色的访问控制.42 8.2.3地点.43 8.2.4时间.43 8.2.5交易限制.43 8.2.6服务限制.43 8.2.7通用访问模式.43 8
6、.3访问控制策略.44 8.4用户访问管理.44 8.5用户职责.45 8.6网络访问控制.46 8.6.1使用网络服务的方针.46 8.6.2合理化网络拓扑.46 8.6.3网络设备安全.47 8.6.4网络的隔离.48 8.6.5网络接入安全.50 8.7操作系统访问控制.51 8.8应用访问控制.53 8.8.1基于 Web 应用的访问控制.53 8.9移动计算和远程工作.53 8.10访问控制的部署.54 8.10.1需要全面布置访问控制.54 8.10.2需要充分实现 RM 机制.54 8.10.3在网络层面上的访问控制部署.54 8.10.4在主机和操作系统层面上的访问控制部署.5
7、5 8.10.5在应用系统层面上的访问控制部署.55 9审计和响应框架.56 9.1一般安全目标.56 9.1.1个体的可审计性.56 9.1.2入侵检测.56 9.1.3事件定位与跟踪.56 9.1.4问题分析.57 9.2日志和审计.57 9.2.1法律方面的考虑.57 9.2.2键盘操作监控.57 9.2.3审计的对象.57 9.2.4事件日志.58 9.2.5监控系统的使用.58 9.2.6时间同步.59 9.3BOSS 系统日志审计体系.61 9.3.1日志系统总体框架.61 9.3.2集中式的日志系统.65 9.4入侵检测.66 - 9.4.1不同的部署类型.66 9.4.2不同类型的发现机制.67 9.4.3入侵检测的动态响应机制.69 9.5BOSS 系统的监控管理.69 9.5.1监控管理系统的用途.69 9.5.2监控管理系统的架构.70 9.5.3入侵检测系统的部署原则.71 9.6用户行为监控系统.71 9.6.1用户行为监控系统特性要求.71 9.6.2用户行为监控系统部署原则.72 9.7系统弱点扫描.72 10冗余和恢复框架.74 10.1冗余和恢复的关键要素.