1、微軟安全級別策略1微軟風險管理流程已過期的風險風險陳述文檔Top 103. 計劃 5. 控制2. 分析1. 確認風險陳述4. 跟蹤微軟IT操作框架(Microsoft Operation Framework)Condition-consequence risk statements help to clearly articulate risk2為了得到每個風險可能造成的危害的量化結果基于可能性(Probability)和影響(Impact)可能性：該風險發(fā)生的幾率影響：該風險發(fā)生后的損失或影響probability x impact = exposureExample: 75% x $500

2、,000 = $375,000目的是可以比較各風險，以得到風險處理的優(yōu)先級計算風險的危害性(Exposure)3風險管理策略減少風險 Example: Minimize the probability (likelihood of the condition)Example: Minimize the impact (level of the consequence)風險轉移Example: Move to different hardware Example: Subcontract to a third party風險規(guī)避Example: Dont undertake certain pr

3、ojectsExample: Rely on proven, not cutting-edge, technology4微軟安全響應中心位于Redmond的160人的微軟安全響應中心(MSRC Microsoft Security Response Center)目標：幫助微軟用戶安全的使用微軟系統和網絡既是管理員又是黑客Subcontract to 3rd party (Foundstone, ISS)制定嚴格的安全規(guī)范和操作手則風險評估5微軟安全通告的級別微軟安全通告級別Critical 緊急該缺陷可能導致無需用戶操作的互聯網蠕蟲病毒的傳播Important 重要該缺陷可能導致用戶數據的機

4、密性、完整性、或有效性受到傷害，或導致相關處理流程資源的完整性或有效性受到傷害Moderate. Exploitability is mitigated to a significant degree by factors such as default configuration, auditing, or difficulty of exploitationLow. A vulnerability whose exploitation is extremely difficult, or whose impact is minimal.微軟安全策略的目標開發(fā)安全的產品(Get Secure

5、)使用戶能方便的保持安全(Stay Secure)6微軟建議的安全流程設計與開發(fā)信息安全策略制定詳細的信息安全規(guī)范信息安全規(guī)范的有效實施管理員培訓和普通用戶的教育持續(xù)不間斷的安全管理風險評估的標準與風險管理流程緊急處理機制災難恢復機制自動安全通告機制7中國企業(yè)所常有的安全問題沒有實施嚴格的賬號和口令管理，或者需管理的賬號和口令太多沒有實時監(jiān)測惡意的攻擊行為不清楚系統的完整狀況難以快速部署軟件更新(Hot-fix)及服務包(Service Pack)內部用戶任意安裝軟件，或隨意修改系統配置“有法不依，執(zhí)法不嚴”8我們的建議系統安全的前提是管理安全統一的信息安全風險評估的管理體制與管理方法Exam

6、ple: independent security group inside Microsoft R&D, including Microsoft employee & 3rd party統一的信息安全風險評估的技術標準及相關工作流程統一的建議性的信息安全管理策略和管理方法“有法必依，執(zhí)法必嚴”9謝謝！10微軟Windows安全目標提供穩(wěn)定的、健壯的、基于對象的系統安全模型是Windows系統架構中的基礎模塊安全必須考慮在前，很難事后添加滿足DoD C2安全認證的要求滿足商業(yè)用戶的要求多用戶能安全的使用和共享系統資源進程、內存、設備、文件、網絡11Windows & SecurityScena

7、rioRisksSolutionsMobile Users Encrypted (EFS) PPTP, IPSEC, L2TP Lost/Stolen LaptopDial-up AttacksE-commerceFalse Identity/ImpostorTheft data/moneyTransaction modification Public Key Infrastructure (PKI) Integrated CA SSL/TLSHome Office PPTP, IPSEC, L2TP NTLMv2, Kerberos, PKI SSL/TLS, S/MIMEOn-wire I

8、nternet AttacksDial-up AttacksFalse Identity/ImpostorLAN / WANFalse Identity/ImpostorPassword Sharing/GuessingAdds/Moves/Changes Kerberos, NTLMv2 Smart Cards, Biometrics Group Policy, Delegated AdminApplicationsFalse Identity/ImpostorPassword passingPath of least resistance codingMalicious Code (Tro

9、jan horse) Kerberos, NTLMv2, Smart Cards Impersonation, Auditing SSPI, CryptoAPI Code Signing and PolicyPublic Key Infrastructure (PKI)Integrated CAIPSEC, L2TP, SSL/TSL, S/MIMEExtranetsFalse Identity/ImpostorData TheftOn-wire Internet Attacks Active Directory Integration Delegated Administration Auditing I