Transcript Document 7147856

ISMS
Information Security
Management System
‫استانداردهای مدیریت امنیت اطالعات‬
‫‪ ‬استاندارد ‪BS7799‬‬
‫‪ ‬استاندارد ‪ISO/IEC 17799‬‬
‫‪ ‬استاندارد ‪ISO/IEC TR 13335‬‬
‫طرح ها وبرنامه های امنیتی مورد نیاز‬
‫‪‬‬
‫‪‬‬
‫‪‬‬
‫‪‬‬
‫‪‬‬
‫‪‬‬
‫اهداف‪،‬راهبردها و سیاست های امنیتی فن آوری اطالعات سازمان‬
‫طرح امنیت فن آوری اطالعات سازمان‬
‫طرح ارزیابی مخاطرات امنیتی فن آوری اطالعات سازمان‬
‫طرح پشتیبانی حوادث امنیتی فن آوری اطالعات سازمان‬
‫طرح تداوم عملکرد و ترمیم خرابی های فن آوری اطالعات‬
‫سازمان‬
‫برنامه آگاهی رسانی‪،‬تربیت نیروی انسانی و آموزش امنیت فن‬
‫آوری اطالعات سازمان‬
‫چارجوب پیشنهادی برای تدوین اهداف‪،‬راهبردها‬
‫و سیاست های امنیتی‬
‫‪ ‬اهداف امنیت شبکه‬
‫‪ ‬راهبردهای تأمین امنیت شبکه‬
‫‪ ‬تشکیالت تأمین امنیت شبکه‬
‫‪ ‬سیاست های امنیتی شبکه‬
‫سرمایه های مرتبط با شبکه‬
‫‪‬‬
‫سخت افزارها‬
‫‪‬‬
‫نرم افزارها‬
‫‪‬‬
‫اطالعات‬
‫‪‬‬
‫ارتباطات‬
‫‪‬‬
‫کاربران‬
‫اهداف امنیت شبکه‬
‫‪ ‬اهداف کوتاه مدت امنیت شبکه‬
‫‪ ‬اهداف میان مدت امنیت شبکه‬
‫اهداف کوتاه مدت امنیت شبکه‬
‫‪ ‬جلوگیری از حمالت و دسترسی غیر مجاز‪،‬علیه سرمایه‬
‫های شبکه‬
‫‪ ‬مهار خسارت های ناشی از ناامنی موجود در شبکه‬
‫‪ ‬کاهش رخنه پذیری های سرمایه های شبکه‬
‫اهداف میان مدت امنیت شبکه‬
‫‪‬‬
‫‪‬‬
‫‪‬‬
‫‪‬‬
‫تأمین صحت عملکرد‪،‬قابلیت دسترسی و محافظت فیزیکی برای‬
‫سخت افزارها‪،‬متناسب با حساسیت آنها‬
‫تأمین صحت عملکرد‪،‬قابلیت دسترسی برای نرم افزارها‪ ،‬متناسب با‬
‫حساسیت آنها‬
‫تأمین محرمانگی‪،‬صحت وقابلیت دسترسی برای اطالعات‪،‬ارتباطات‬
‫‪،‬متناسب با حیث محرمانگی‬
‫تأمین قابلیت تشخیص هویت‪،‬حدود اختیارات و پاسخ گویی‪،‬حریم‬
‫خصوصی و آگاهی رسانی امنیتی برای کاربران شبکه‪،‬متناسبت با‬
‫طبقه بندی اطالعات قابل دسترس و نوع کاربران‬
‫سرمایه ها‬
‫اهداف‬
‫محرمانگی(‪)Confidentiality‬‬
‫صحت(‪)Integrity‬‬
‫قابلیت دسترسی(‪)Availability‬‬
‫محافظت فیزیکی( ‪Physical‬‬
‫‪)Protection‬‬
‫تشخیص‬
‫هویت(‪)Authenticity‬‬
‫حدود اختیارات(‪)Authority‬‬
‫پاسخ گویی(‪)Accountability‬‬
‫حریم خصوصی(‪)Privacy‬‬
‫آگاهی رسانی( ‪Security‬‬
‫‪)Awareness‬‬
‫سخت‬
‫افزارها‬
‫اطالعات ارتباطا کاربران‬
‫نرم‬
‫شبکه‬
‫ت‬
‫افزارها‬
‫راهبردهای تأمین امنیت شبکه‬
‫‪ ‬راهبردهای کوتاه مدت‬
‫‪ ‬راهبردهای میان مدت‬
‫راهبردهای کوتاه مدت‬
‫‪ ‬شناسایی و رفع ضعف های امنیتی شبکه‬
‫‪ ‬آگاهی رسانی به کاربران‬
‫‪ ‬کاربران ارتباطات شبکه سازمان با سایر شبکه ها‬
‫راهبردهای میان مدت‬
‫‪ ‬تهیه طرح ها و برنامه های امنیت شبکه‬
‫‪ ‬ایجاد و آماده سازی تشکیالت تأمین امنیت شبکه‬
‫ایجاد و آماده سازی تشکیالت تأمین امنیت شبکه‬
‫‪ ‬ساختار و شرح وظایف تشکیالت مورد نیاز به منظور‬
‫تأمین تداوم امنیت شبکه‬
‫‪ ‬اقدامات الزم به منظور ایجاد تشکیالت‬
‫‪ ‬آموزش های الزم جهت آماده سازی تشکیالت فوق به‬
‫منظور پذیرش مسولیت‬
‫تشکیالت تأمین امنیت شبکه‬
‫‪ ‬اجزاء و ساختار تشکیالت‬
‫‪ ‬شرح وظایف تشکیالت‬
‫اجزاء و ساختار تشکیالت‬
‫‪ ‬در سطح راهبردی و سیاست گذاری‪:‬کمیته راهبری امنیت‬
‫شبکه‬
‫‪ ‬در سطح مدیریت اجرایی‪:‬مدیر امنیت شبکه‬
‫‪ ‬در سطح فنی‪:‬واحد پشتیبانی امنیت شبکه‬
‫شرح وظایف تشکیالت‬
‫کمیته راهبری‬
‫‪‬‬
‫بررسی‪،‬تغییر و تصویب سیاست های امنیتی شبکه‬
‫‪‬‬
‫پیگیری اجرای سیاست های امنیتی از مدیر امنیت شبکه‬
‫‪‬‬
‫تایید طرح ها و برنامه های امنیت شبکه‬
‫‪‬‬
‫بررسی ضرورت تغییر سیاست های امنیتی شبکه‬
‫‪‬‬
‫بررسی‪ ،‬تغییر و تصویب تغییرات سیاست های امنیتی شبکه‬
‫شرح وظایف تشکیالت‬
‫مدیر امنیت شبکه‬
‫‪‬‬
‫‪‬‬
‫‪‬‬
‫‪‬‬
‫‪‬‬
‫‪‬‬
‫تهیه پیشنویس سیاست های امنیتی شبکه و ارائه به کمیته راهبری‬
‫نظارت بر اجرای کامل سیاست های امنیتی‬
‫تهیه طرح ها و برنامه های امنیت شبکه‬
‫مدیریت واحد پشتیبانی امنیت شبکه‬
‫تشخیص ضرورت و پیشنهاد بازنگری و اصالح سیاست های‬
‫امنیتی شبکه‬
‫تهیه پیشنویس تغییرات سیاست های امنیتی شبکه‬
‫شرح وظایف تشکیالت‬
‫واحد پشتیبانی امنیت‬
‫‪ ‬تشخیص و مقابله با تهاجم‬
‫‪ ‬تشخیص و مقابله با ویروس‬
‫‪ ‬تشخیص وپشتیبانی حوادث فیزیکی‬
‫‪ ‬شرح وظایف نظارت و بازرسی امنیتی شبکه‬
‫‪ ‬شرح وظایف مدیریت تغییرات‬
‫‪ ‬شرح وظایف نگهداری امنیت شبکه‬
‫سیاست های امنیتی شبکه‬
‫‪ ‬سیاست های امنیتی سرویس های شبکه‬
‫‪ ‬سیاست های امنیتی سخت افزارها‬
‫‪ ‬سیاست های امنیتی نرم افزارها‬
‫سیاست امنیتی سرویس های شبکه‬
‫‪ ‬سیاست امنیتی سرویس دسترسی به شبکه داخلی‬
‫‪ ‬سیاست امنیتی سرویس دسترسی به شبکه اینترنت‬
‫‪ ‬سیاست امنیتی سرویس ‪Web‬‬
‫‪ ‬سیاست امنیتی سرویس ‪E-mail‬‬
‫‪ ‬سیاست امنیتی سرویس ‪Wireless‬‬
‫‪ ‬سیاست امنیتی سرویس ‪Print Sharing‬‬
‫سیاست امنیتی سخت افزارها‬
‫‪ ‬اولویت بندی سخت افزارهای شبکه سازمان‬
‫‪ ‬سیاست های امنیتی ایستگاه های کاری‬
‫‪ ‬سیاست های امنیتی سرویس دهنده های شبکه‬
‫‪ ‬سیاست های امنیتی تجهیزات زیر ساختار شبکه‬
‫‪ ‬سیاست های امنیتی استفاده از تجهیزات بی سیم‬
‫‪ ‬سیاست های امنیتی سفارش‪،‬خرید‪،‬تست‪،‬نصب و پیکر بندی‬
‫سیاست های امنیتی نرم افزارها‬
‫‪ ‬اولویت بندی های نرم افزارهای شبکه‬
‫‪ ‬سیاست های امنیتی سیستم عامل های مورد استفاده در‬
‫شبکه‬
‫‪ ‬سیاست های امنیتی سفارش‪،‬خرید‪،‬تست‪،‬نصب و پیکر بندی‬
‫‪ ‬سیاست های مدیریت رمز عبور‬
‫چارچوب پیشنهادی برای طرح ارزیابی مخاطرات‬
‫امنیتی شبکه‬
‫‪ ‬مخاطرات امنیتی معماری شبکه‬
‫‪ ‬مخاطرات امنیتی تجهیزات شبکه‬
‫‪ ‬مخاطرات امنیتی مدیریت و نگهداری شبکه‬
‫مخاطرات امنیتی معماری شبکه‬
‫ساختار شبکه‬
‫‪‬‬
‫‪‬‬
‫‪‬‬
‫‪‬‬
‫‪‬‬
‫‪‬‬
‫‪‬‬
‫تجهیزات شبکه‪،‬نوع‪،‬مدل و آدرس ‪IP‬‬
‫نوع و ظرفیت خطوط ارتباطی‬
‫ارتباطات شبکه با سایر شبکه ها در حیطه سازمان‬
‫ارتباطات شبکه با سایر شبکه ها در خارج از حیطه سازمان‬
‫نحوه تامین برق برای تجهیزات و سرویس دهنده ها‬
‫سخت افزارها و نرم افزارهای امنیت شبکه‬
‫‪ Data Flow‬دسترسی کاربران داخلی‬
‫مخاطرات امنیتی معماری شبکه‬
‫ساختار آدرس دهی و مسیر یابی شبکه‬
‫‪ ‬محدوده آدرس های ‪ IP‬مورد استفاده در شبکه‬
‫‪ ‬لیست حوزه های کاری(‪ )Domain‬و گروهای‬
‫کاری(‪)Work Group‬‬
‫مخاطرات امنیتی معماری شبکه‬
‫ساختار دسترسی به شبکه‬
‫‪ ‬دسترسی فیزیکی به شبکه‬
‫‪ ‬دسترسی منطقی به شبکه‬
‫دسترسی فیزیکی به شبکه‬
‫‪ ‬محافظت فیزیکی از تجهیزات و سرویس دهنده‬
‫های مسقر در سایت شبکه سازمان‬
‫‪ ‬محافظت فیزیکی از تجهیزات مسقر در طبقات‬
‫ساختمان‬
‫‪ ‬محافظت فیزیکی از تجهیزات و سرویس دهنده‬
‫مسقر در ادارات مختلف‬
‫های‬
‫‪ ‬محافظت فیزیکی از خطوط ارتباطی شبکه‬
‫دسترسی منطقی به شبکه‬
‫‪ ‬امکان دسترسی غیر مجاز در سطح عادی یا مدیریتی به‬
‫شبکه‬
‫‪ ‬امکان دسترسی غیر مجاز از طریق ‪ Remote Access‬در‬
‫سطح عادی یا مدیریتی به شبکه‬
‫مخاطرات امنیتی تجهیزات شبکه‬
‫‪ ‬سوییچ ها(‪)Switch‬‬
‫‪ ‬مسیر یاب ها(‪)Router‬‬
‫مخاطرات امنیتی مدیریت و نگهداری شبکه‬
‫‪ ‬تشکیالت و روش های مدیریت و نگهداری شبکه‬
‫‪ ‬ابزارها و مکانیزم های مدیریت شبکه‬
‫چارچوب پیشنهادی برای طرح امنیت شبکه‬
‫‪ ‬اهداف و روش های تامین امنیت در طرح امنیت شبکه‬
‫‪ ‬معماری‪،‬ساختار و مشخصات سیستم امنیتی شبکه‬
‫‪ ‬تخمین هزینه و اجرای طرح امنیت شبکه‬
‫اهداف و روش های تامین امنیت در طرح امنیت‬
‫شبکه‬
‫‪ ‬ساختار شبکه‬
‫‪ ‬اهداف طرح امنیت شبکه‬
‫‪ ‬روش های تامین امنیت در طرح امنیت شبکه‬
‫روش های تامین امنیت شبکه‬
‫تمهیدات مورد نیاز‬
‫اهداف طرح امنیت‬
‫روش های تامین‬
‫اهداف‬
‫محرمانگی اطالعات و‬
‫ارتباطات مدیریتی‬
‫•ایمن سازی ارتباطات مدیریتی •استفاده از پروتکل های امن‬
‫مدیریتی‬
‫•جداسازی ارتباطات‬
‫•ایجاد زیر ساخت مستفل برای‬
‫مدیریتی‪،‬بویژه ارتباطات‬
‫مدیریت امنیت شبکه‬
‫مدیریت شبکه‪،‬بویژه مدیریت‬
‫امنیت شبکه‬
‫صحت عملکرد تجهیزات شبکه‬
‫پیکربندی امن تجهیزات‬
‫ارائه دستورالعمل های‬
‫پیکربندی امن تجهیزات‬
‫صحت عملکرد سرویس دهنده‬
‫ها‬
‫•پیکربندی امن سیستم عامل‬
‫سرویس دهنده‬
‫•پیکربندی امن نرم افزارها‬
‫سرویس‬
‫•ارائه دستورالعمل های‬
‫پیکربندی امن سیستم عامل‬
‫سرویس دهنده ها‬
‫•ارائه دستورالعمل های‬
‫پیکربندی امن نرم افزارها‬
‫سرویس های شبکه‬
‫روش های تامین امنیت شبکه‬
‫اهداف طرح امنیت‬
‫روش های تامین اهداف‬
‫تمهیدات مورد نیاز‬
‫تشخیص هویت کاربران‬
‫مدیریتی‬
‫• ‪ Authentication‬کاربران‬
‫مدیریت‬
‫استفاده از ‪ AAA Server‬و‬
‫مکانیزم های تشخیص هویت‬
‫نرم افزارهای مدیریتی شبکه‬
‫تشخیص هویت کاربران محلی‬
‫‪ Authentication‬کاربران‬
‫محلی‬
‫استفاده از تصدیق هویت‬
‫‪ Domain Controller‬یا‬
‫‪ AAA‬مستقل‬
‫تشخیص هویت کاربران راه‬
‫دور‬
‫‪ Authentication‬کاربران راه استفاده از قابلیت ‪Remote‬‬
‫‪ Access Server‬یا ‪AAA‬‬
‫دور‬
‫‪ Server‬مستقل‬
‫معماری‪،‬ساختار و مشخصات سیستم امنیتی‬
‫شبکه‬
‫‪ ‬معماری امنیت شبکه‬
‫‪ ‬ساختار شماتیک طرح امنیت شبکه‬
‫‪ ‬مشخصات فنی ابزارهای امنیت شبکه‬
‫‪ ‬جریان اطالعات در طرح امنیت شبکه‬
‫معماری پیشنهادی برای تأمین امنیت شبکه‬
‫امنیت کاربردها‬
‫امنیت سیستم ها‬
‫امنیت ارتباطات شبکه‬
‫امنیت زیر ساخت شبکه‬
‫امنیت ارتباطات شبکه‬
Firewall
Network Based Intrusion Detection & Prevention
System

Network Based Intrusion Detection System (N-IDS)
Network Based Antivirus Software
Authentication Authorization & Analyzer Software
Log Server & Log Analyzer Software
Monitoring Software






)‫امنیت سیستم ها(سرویس دهنده ها‬
Host Based Intrusion Detection System (H-IDS) 
Server Based Antivirus Software 
Log Server & Log Analyzer Software 
Vulnerability Scanner 
)‫امنیت سیستم ها(ایستگاه ها‬
Client Based Antivirus Software (C-AV) 
Log Server & Log Analyzer Software 
Vulnerability Scanner 
)‫امنیت کاربردها(نرم افزار سرویس ها‬
Host Based Intrusion Detection System (H-IDS) 
Server Based Antivirus Software (S-AV) 
Log Server & Log Analyzer Software 
Vulnerability Scanner 
E-Mail Content Filter (E-mail Server) 
‫مشخصات فنی ابزارهای امنیت شبکه‬
‫‪ ‬مشخصات فنی فایروال‬
‫‪ ‬مشخصات فنی سیستم ضد ویروس‬
‫‪ ‬مشخصات فنی سیستم تشخیص و مقابله با تهاجم‬
‫‪ ‬مشخصات فنی دروازه های امنیتی‬
‫تخمین هزینه و اجرای طرح امنیت شبکه‬
‫‪ ‬لیست و تخمین هزینه طرح امنیت شبکه‬
‫‪ ‬اجرای طرح امنیت شبکه‬
‫چارچوب پیشنهادی برای طرح پشتیبانی حوادث‬
‫شبکه‬
‫‪ ‬ساختار تیم پشتیبانی حوادث‬
‫‪ ‬متدولوژی پشتیبانی حوادث‬
‫‪ ‬الگوی پشتیبانی حوادث‬
‫متدولوژی پشتیبانی حوادث‬
‫فعالیت های‬
‫بعد از‬
‫ترمیم‬
‫محدود سازی‪،‬ریشه‬
‫تشخیص و تحلیل‬
‫کنی و ترمیم‬
‫آماده سازی‬
‫آماده سازی‬
‫فعالیت های‬
‫بعد از‬
‫ترمیم‬
‫محدود سازی‪،‬ریشه‬
‫تشخیص و تحلیل‬
‫کنی و ترمیم‬
‫آماده سازی‬
‫تشخیص و تحلیل‬
‫فعالیت های‬
‫بعد از‬
‫ترمیم‬
‫محدود سازی‪،‬ریشه‬
‫تشخیص و تحلیل‬
‫کنی و ترمیم‬
‫آماده سازی‬
‫محدود سازی‪،‬ریشه کنی و ترمیم‬
‫فعالیت های‬
‫بعد از‬
‫ترمیم‬
‫محدود سازی‪،‬ریشه‬
‫تشخیص و تحلیل‬
‫کنی و ترمیم‬
‫آماده سازی‬
‫فعالیت های بعد از ترمیم‬
‫فعالیت های‬
‫بعد از‬
‫ترمیم‬
‫محدود سازی‪،‬ریشه‬
‫تشخیص و تحلیل‬
‫کنی و ترمیم‬
‫آماده سازی‬