SP 800-53中文翻译

所需积分/C币:44 2015-03-10 22:49:03 599KB PDF
收藏 收藏
举报

工控安全 访问控制 安全实施指南 鉴别机制 国际标准 工业制造 工控系统 工业物联网 美国标准 NIST标准 规定规范
特别出版物 推荐的联邦信息系统安全控制措施 用,应采用手动 信息系统自动地终止临时的和非常时期的帐户在指定:对每一类帐户组织定义 的时间周期之 信息系统自动地停止非活动的帐户在指定:组织定义的时间周期之后 组织利用自动的机制来确保帐户的创建、修改、使失效和终止活动被审计,并 且在需要的时候,通知适当的人 AC-3强制访问控制( ACCESS ENFORCEMENT) 制:信息系统根据应用策略执行指定的系统访问控制授杈、 附加指导:组织釆用访问控制策略(如:基于身份的策略,基于角色的策略,基于 规则的簧略〕和相关的访问执行机制(如:访问控制列表,访问控制许可,密码学) 实现信息系统中的用户(或者用户进程)与对象(包括设备,文件,纪律,进程, 程序,淢)间的访问控制。为了给系统提供更好的信息安全,除了在信息系统层面 实现访问控制外,还要在必要时在应用层实现强制访问机制。如果采用对储存信息 加密作为强制访问机制,应使用与FIPS140-2一致的密码学算法 附加指导:强制访问控制机制绝对不可以对ICS的正棠运行产生负面影响。NIST SP800-82中提供了ICS访问控制指南 特别推荐与指南:可以采用的一般的访问控制方式包括:基 于角色的访问控制 服务器, ,拨号和无线等 ()在中使用基于角色的访问控制的优点是可以减少设备维护个人访问控制 权限的负担。 2)一般的产品上都集成了服务器的功能,这样可以使得远程配置更容 易,但同时也带来了凤险。 (3)在很多的网络中都使用了,它可以限制不必要的流量泛洪。 (4)拨号调制解调器在网络中使用的也很多,主要用于当远程终端设备发生故 障时的技术支持请求,拨号软件和设备应满足如下条件:具有回叫能力,可 以存储来电者的信息;“猫”要有使用密码;可以识别不同位置的“猫” 远程访问软件的用户名和口令要唯一;“猫”在不用时要拔掉 (5)在网络中采用无线访问方式是基于风险的决定,使用无线设备存在如下要 求:安装天线时要实地考察,避免攻击者可以利用地形使用定向天线;无线 访问要具有等认证功能;无线接入点和数据服务器要在和网络相连但 是不同的网络中;无线接入点要有 无线设备应是 域中不同的 中国电力科学研究院信息安全研究所 特别出版物 推荐的联邦信息系统安全控制措施 单元;通信要具备加密和完整性保护 增强控制: 信息系统保证只有授权人(安全管理员)可以访问(在硬件、软件或者部件上 配置的)安全功能和信息 増强附加指导:明确的授权人包括:安全管理员,系统与网络管理员,其他特许用 户。特许用户指那些对系统控制,监视和管理功能有访问权利的人,比如:系统管 理员,信息系统安全官员,维护者,系统程序员 増强附加指昰:特权用户对专有功能的访问也应该根据设备(远程终端和现场设 备)来限制 增强控制: 棖据被认可的组织程序,对将影响设备,人员和环境安全性的专有功能要求 双重授权。 増强附加指导:当为了保障人员和环境安全需要采取紧急相应时(例如安全阀), 组织可以不采用双重批准机制 AC-4信息流强制访问控制( INFORMATI ON FLOW ENF ORCEMENT) 控制:信息系统根据应用策略执行指定的系统中和互联系统间的信息流授权。 附加指导:信息流控制只针对信息系统中和信息系统间的信息流动,而不考虑之后 对这些信息的访问。流控制的例子包括:禁止控制信息以明文方式进入互联冈,屏 蔽声称来自组织内部的外部流量,只传递由内部网络代理发往互联网的网络请求 组织采用信息流控制策略和执行机制来控制信息系统内部和互连的网终间的指定源 与目标(如:网络,个人,设备)间的信息流。流控基于信息和信息路径的特征 强制流控的具体实例可以在边界保护设备上找到,这些设备使用规则或建立配置项 来限制信息系统服务或者实现包过滤功能。相关的安全控制:SC-7 增强控制: 信息系统釆用外部信息、源和目的对象列表作为流控基础来实施强制信息流控 制 増强附加指导:强制信息流控制采用外部列表控制某种类型的信息流, 信息系统釆用受保护的处理域(堿类型强制)作为流控决定的基础。 信息系统釆用动态安全策略机制作为流控决定的基础。 中国电力科学研究院信息安全研究所 特别出版物 推荐的联邦信息系统安全控制措施 AC-5职责分开 控制:信息系统通过分配存取授权来实施职责分离 附加指导:组织根据需要建立适当的职责分离来消除在个人职责方面的利益冲突 存在信息系统方面的访问控制软件来防止用户有所有可能的授权或对信息进行访问 而在没有同谋的情况下可以进行欺骗性的行为。职责分离的例子包抬:任务功能 和截然不同的信息系统支持功能应在不同的人魚色之间分开不同的人完成信息 系统文持功能例如系统管理,系统变成,质量保证测试,配置管理和网络安全和 管理访问控制功能的安全人员不能赋予审计功能。 附加指导:在某些情况下,组织认为实施责任分离是不合适或者不可取的(例如 组织只有一个人来执行所有的角色或者并不区分角色),组织应记录下不采用措 施的原因,在系统安全计划中记录合适的补偿安全措施,并加以实施。相关的安全 措施 增强控制:无 AC-6最小特权 控制:信息系统针对特定任务的执行实施最受限制的杈利特权或用户所需要的访问 控制(或代表用户的让程)。 附加指导:组织针对特定的职责和信息系统(包括特定的端口、协议和服务),利 用最八特权的概念,依照必要的风险评估来充分地降低组织的运行、组织的资产和 个人的风险 附加指导:在某些情况下,组织认为实施最小特权是不合适或者不可取的(例如 组织只有一个人来执行所有的角色或者并不区分角色),组织应记录下不采用措 施的原因,在系统安全计划中记录合适的补偿安全措施,并加以实施。相关的安全 措施 增强控制:无 AC-7失败的登陆尝试 控制:当一个用户在一个指定:组织定义的时间段连续无效的全图访问,信息系 统执行指定:组织定义的数的的限制。信息系统自动地选择:锁定帐户节点直 中国电力科学研究院信息安全研究所 特别出版物 推荐的联邦信息系统安全控制措施 到由管理员解锁,锁定帐户节点针对指定:组织定义的时间段,根据指定:组织 定义的延迟算法到下一次登陆提示的延迟当超过不成功登陆尝试的最大值时 附加指导:为了防止DoS攻击,信息系统自动执行锁定。但是这种锁定往往是暂时的, 在系统规定的一段时间之后自动释放。 附加指导:在某些情况下,组织认为实施自动锁定是不合适或者不可取的(或者 产生负面影响,影响安全性,可靠性),组织应记录下不采用措施的原因,在系统 安全计划中记录合适的补偿安全措施,并加以实施。例如,根据风险评估,账户或 者节点不能锁定,那么当连续非法登陆次数超过组织规定的门限值时,记录所有 不成功的登陆企图,并向安全人员发出警告 増强控制: 当登陆尝试次数超过系统规定最大值时,信息系统自动锁定帐户节点,直到管 理员来解锁 AC-8系统使用提示 控制:信息系统显示经过批准的、校准过的通告信息,在允许系统访问通知有影响 力的用户之前;可以监控、记录系统使用,并且可审计;禁止未授权的侠用 系统,否则接受刑事和民事惩罚;便用系统表明同意监控和记录。通告信息提供 了适当的秘密和安全通知(基于相关的保密和安全策略),并保持在屏幕上,直到 用户采取了明确的行动来登陆信息系统。 附加指导:保密与安全策略与法规,执行规定,命令,策略,规则,标准和指南相 致。当有用户登录信息系统时,系统的通知消息可以警告条的形式呈现出来。对 公共的可访问系统:在授权访问之前,相对于显示信息,系统使用信息是可用的; 这里不涉及监控、记录或审计,因为这些系统的秘密的装置通常禁止那些活动; 通知公共用户系统信息,包括系统授权使用描述。 附加指导:在某些情况下,组织认为实施系统使用通知是不合适或者不可取的(或 者产生负面影响,影响安全性,可靠性),组织应记录下不采用措施的原因,在系 统安全计划中记录合适的补偿安全措施,并加以实施。例如,物理通知可以张贴在 ICS机构中。相关的安全措施:PL-2。 控制加强:无。 AC-9以前登陆提示 中国电力科学研究院信息安全研究所 特别出版物 推荐的联邦信息系统安全控制措施 垄制:信息系统提示用户,成功登陆、上次登陆的时间,上次登陆的地点、自上次 成功登陆后不成功登陆的次数。 附加指导:无 控制加强:无。 AC-10并发会话控制 控制:信息系统限制任何用户并发会话数为指定:组织定义的会话数 附加指导:无。 附加指导:一些或者组件可能不允许并行会话受到限制。在某些情况下,组 织认为实施并行会话控制是不合适或者不可取的(或者产生负面影响,影响安全性, 可靠性),组织应记录下不采用措施的原因,在系统安全计划中记录合适的补偿安 全措施,并加以实施。例如,物理通知可以张贴在机构中。相关的安全措施 控制加强:无。 AG-11会话锁定 空制:在组织定义的一个特定的静止时期后,信息系统通过发起一个会话锁定来保 持有效来防止对系统的进一步的访问,直到用户使用合适的标识和鉴别程序来重新 建立访问 附加指导:用户能直接发起会话锁定机制。在组织定义的一个特定的静止时期后, 信息系统乜自动地激活会话锁定机铜。会话锁定不是退出信息系统的替代品。组织 定义的静止时期要符合联邦政策,例如,与 备忘录相一致。对于远程访 问和移动设备,组织定义约静止时间应不超过分钟。 附加指导:可能使用会话锁定来阻止对指定工作站节点的访问。对于中 指定的工作站和节点,在组织规定的一段时间之后,自动启动会话锁定机制。在 某些情况下,不推荐采用操作者工作站节点会话锁定。在某些情况下,组织认 为实施会话锁定是不合适或者不可取的(或者产生负面影响,影响妄全性,可靠性) 组织应记录下不采用措施的原因,在系统安全计划中记录合适的补偿安全指施,并 加以实施。例如,对操作者工作站节点的访问可以通过严格的物理安全措施来 限制。会话锁定并不可以取代的系统退出 中提供了中使用 会话锁定的指南。( 附录里面提到了会话锁定的问题,和以上表述 类似)相关的安全指施: 中国电力科学研究院信息安全研究所 特别出版物 推荐的联邦信息系统安全控制措施 痤制加强:无 AC-12会话终止 控制:信息系统自动地终止会话在[指定:组织定义的时间段]静止之后 附加指导:当有用户(或信息系统)企图通过外部非组织控制网络(如:互联网) 访问组织信息系统时,开启远程会话。 附加指导:一些或者组件不可以或者不允许中断会话。在某些情况下,组织 认为实施会话终断是不合适或者不可取的(或者产生负面影响,影响安全性,可靠 性),组织应记录下不采用措施的原因,在系统安全计划中记录合适的补偿安全措 施,并加以实施。相关的安全措施: 増强控制 将自动会话终止应用于本地和远程会话。 AC-13监督与审核一访问控制 控制:组织监督和审核用户关于信息系统访冋控制的执行和使用的行为 附加指导:依照组织的流程,针对对不恰当的行为,组织审核审计记录(例如用户 行为日志)。组织调查任何与系统相关的行为的不寻常的信息,并周期性地审核对 授权的修改。组织更频繁地审核担当重要信息系统角刍和职责用户的行为。审计记 录审核的范围是以FIPS199的信息系统影响等级为根据的。例如,对于低影响系统, 只需要对网终代理或者emai服务器之类的中心点进行频繁的安全日志审核,或者在 有特殊授权的条件下,对某些审计记录进行审核,不然没必要对所有的工作站都进 行频繁的安全日志审核。 NIST SP800-92中提供了关于计算机安全日志管理的相关 指南 附加指导:一些不支持自动机制。在某些情况下,组织认为实施自动监管和 用户行为复审是不合适或者不可取的(或者产生负面影响,影响安全性,可靠性), 组织应记录下不采用措施的原因,在系统安全计划中记录合适的补偿安全指施,并 加以实施。相关的安全措施 控制加强: 1)组织利用自动机制来是审核用户的行为更加方便 中国电力科学研究院信息安全研究所 特别出版物 推荐的联邦信息系统安全控制措施 AC-14无标识与认证的操作许可 控制:组织识别并记录在信息系统上执行没有标识或认证的特定的用户行为 附加指导:组织允许对公共的WE站点或其他公共的可用的信息系统的没有标识和鉴 别的有限的用户活动(例如,从http://www.firstgov.gor访问联邦信息系统)。相 关的安全控制:IA-2 控制加强: (1)组织允许没有标识和鉴别的的行为,只在完成任务目标所必须的的范围内 AC-15自动标识 控制:信息系统使用标准命名惯例标记输出,来识别任何特定的分发、处理或分发 指 附加指导:自动标识指在外部介质(如信息系统的硬件文档输出)上进行标记。这 种外部标记与AC-16中的内部数据结构标签不同。 附加指导:一些不支持自动标记(外部标记)。在某些情况下,组织认为实 施自动标记是不合适或者不可取的(或者产生负面影响,影响安全性,可靠性), 组织应记录下不采用措施的原因,在系统安全计划中记录合适的补偿安全指施,并 加以实施。相关的安全措施 控制加强:无 AC-16自动标签 控制:信息系统在存储、处理和传输中进行适当的标识信总。 附加指导:自动标签指在信息系统内部,对内部数据结构(如:记录,文件)进行 标签。如下情况下需要进行自动标签:访问控需要;根据特定的分发、处 理或分发指令和信息系统安全策略的需要 附加指导:一些不支持自动标记(内部标记)。在某些情况下,组织认为实 施自动标记是不合适或者不可取的(或者产生负面影响,影响安全性,可靠性), 组织应记录下不采用指施的原因,在系统安全计划中记录合适的补偿安全指施,并 加以实施。相关的安全措施 中国电力科学研究院信息安全研究所 特别出版物 推荐的联邦信息系统安全控制措施 痤制加强:无 AC-17远程访问 控制:组织授权、监督和控制所有对信息系统的远程访问 附加指导:远程访问是指用户(或信息系统)通过外部非组织控制网终(如:互联 网)对组织信息系统进行访问。远程访问包括拨号、宽带和无线。远程访问控制只 应用于信息系统,不用于公共的务器或针对公共访问设计的特定系统。组织 通过拨号连接限制访问(例如基于请求源限制访问)或防止遭受未授权的连接或授 杈连接的破坏(例如使用虚拟私有网络技术)。 中提供了远程电力 认证方面的指南。如果采用基于令牌的加密访问控制,并且将联邦指南证书作为 身份令牌,那么这种访问控制系统就与 和 和相一致了。 中提供了关于基于的技术相关的指南。相关的安全控制为: 附加指导:只有在必要的情况下,并且已经得到了批准和认证,才可以使用 部件(控制中心,现场)的远端访问。组织应考虑远程用户访问的多因素认证。 中提供了远程访问的指南。 特别推荐与指南:远程访问采用加密的协议,并且采用多因素认 证。可以通过企业网内的系统与控制网络进行通信,但是要在控制网终防火墙上实 现双因素认证。 控制加强: 组织利用自动机制来是监督和控制远程访问方式更加容易 増强附加指导:一些不支持远端访问控制。如果有特殊情况,组织认为实施 白动标记是不合适或者不可取的(或者产生负面影响,影响安全性,可靠性),组 织应记录下不采用措施的原因,在系统安全计划中记录合适的补偿安全措施,并加 以实施。相关的安全措施 组织利用加密来保护远程访问会话的机密性 増强附加指导:总是分别支持可用性,完整性和加密性。因此,密码学的使 用应该是在深思熟虑之后。任何由于使用密码学而产生的潜在因素都绝不应该对 的正常操作产生影响。如果有特殊情况,组织认为使用密码学是不合适或者不可取 的(或者产生负面影响,影响安全性,可靠性),组织应记录下不采用措施的原因, 在系统安全计划中记录合适的补偿安全措施,并加以实施。相关的安全措施 组织通过一些可管理约访问控制点来控制所有的远程访问 组织只对强制操作需求提供特许功能的远程访问,并在信息系统的安全计划中 中国电力科学研究院信息安全研究所

...展开详情
试读 84P SP 800-53中文翻译
立即下载 低至0.43元/次 身份认证VIP会员低至7折
    一个资源只可评论一次,评论内容不能少于5个字
    mayura 不错,非常有用!
    2016-10-11
    回复
    上传资源赚积分,得勋章
    最新推荐
    SP 800-53中文翻译 44积分/C币 立即下载
    1/84
    SP 800-53中文翻译第1页
    SP 800-53中文翻译第2页
    SP 800-53中文翻译第3页
    SP 800-53中文翻译第4页
    SP 800-53中文翻译第5页
    SP 800-53中文翻译第6页
    SP 800-53中文翻译第7页
    SP 800-53中文翻译第8页
    SP 800-53中文翻译第9页
    SP 800-53中文翻译第10页
    SP 800-53中文翻译第11页
    SP 800-53中文翻译第12页
    SP 800-53中文翻译第13页
    SP 800-53中文翻译第14页
    SP 800-53中文翻译第15页
    SP 800-53中文翻译第16页
    SP 800-53中文翻译第17页
    SP 800-53中文翻译第18页
    SP 800-53中文翻译第19页
    SP 800-53中文翻译第20页

    试读已结束,剩余64页未读...

    44积分/C币 立即下载 >