創(chuàng)建事件管理的過程映射-國(guó)家互聯(lián)網(wǎng)應(yīng)急中心

1、創(chuàng)建事件管理的過程映射,CERT 協(xié)調(diào)中心網(wǎng)絡(luò)連接系統(tǒng)的可生存性軟件工程學(xué)院卡內(nèi)基.梅隆大學(xué),演講概要,引言縱覽過程映射時(shí)間管理的過程映射前景,引言,項(xiàng)目說明項(xiàng)目小組成員項(xiàng)目研究方法項(xiàng)目需求相關(guān)工作計(jì)算機(jī)安全事件響應(yīng)小組（CSIRT）映射項(xiàng)目的歷史和基本原理用計(jì)算機(jī)安全事件響應(yīng)小組（CSIRT）過程映射“過程”現(xiàn)狀,項(xiàng)目說明,計(jì)算機(jī)緊急事務(wù)響應(yīng)小組（CERT） 計(jì)算機(jī)安全事件響應(yīng)小組（CSIRT） 將要完成的新

2、的工作小組的開發(fā)包括對(duì)計(jì)算機(jī)安全事件響應(yīng)小組（CSIRT）的評(píng)估方法的開發(fā)該方法以及產(chǎn)生的評(píng)估設(shè)備將有助于小組評(píng)估在下列過程中自身的事件管理的表現(xiàn)：保護(hù)，準(zhǔn)備，探測(cè)，篩選和響應(yīng)。該項(xiàng)目一般稱作計(jì)算機(jī)安全事件響應(yīng)小組（CSIRT） 評(píng)估項(xiàng)目。,項(xiàng)目小組成員,計(jì)算機(jī)緊急事務(wù)響應(yīng)小組（CERT） 計(jì)算機(jī)安全事件響應(yīng)小組（CSIRT） 開發(fā)小組成員Georgia KillcreceRobin RuefleMark Zajicek可

3、存在性企業(yè)管理小組成員Chris AlbertsAudrey Dorofee,項(xiàng)目研究方法,該項(xiàng)目將關(guān)注一個(gè)組織的事件管理功能，從風(fēng)險(xiǎn)分析前景到?jīng)Q策所需的全套過程這些過程中可能存在的風(fēng)險(xiǎn)如果過程失敗帶來的沖擊轉(zhuǎn)移失敗采用的減緩戰(zhàn)略在這些信息的基礎(chǔ)上，企業(yè)可以開發(fā)出一套評(píng)測(cè)或評(píng)估自己事件管理能力的準(zhǔn)則或需求來。,項(xiàng)目需求,遵守或適用于國(guó)防部計(jì)算機(jī)網(wǎng)絡(luò)防御服務(wù)(CNDS)標(biāo)準(zhǔn) 與企業(yè)安全管理(ESM)結(jié)合，項(xiàng)目開發(fā)包含在軟件

4、工程學(xué)院的網(wǎng)絡(luò)系統(tǒng)可存在性（NSS）計(jì)劃中。,CNDS 標(biāo)準(zhǔn)－1,美國(guó)國(guó)防部下達(dá)了指示和指令，藉此所有國(guó)防部部門必須建立并提供計(jì)算機(jī)網(wǎng)絡(luò)防御服務(wù)CND服務(wù)是建立在具有實(shí)用功能的框架周邊的，而通常這是屬于計(jì)算機(jī)安全事件響應(yīng)小組（CSIRT）小組的任務(wù)這些功能滲透到各個(gè)領(lǐng)域，如：保護(hù)，探測(cè)，響應(yīng)和維護(hù)。,CNDS 標(biāo)準(zhǔn)2,DOD CNDS的證明和鑒定方法的主要目標(biāo)是通過標(biāo)準(zhǔn)評(píng)估方法增強(qiáng)國(guó)防部信息系統(tǒng)計(jì)算機(jī)網(wǎng)絡(luò)的可存在性。第二個(gè)目標(biāo)是通

5、過增加CND服務(wù)的成熟性以及加深對(duì)它的理解來確保保護(hù)服務(wù)具有更高的品質(zhì)。國(guó)防部評(píng)估方法通過利用大量關(guān)鍵成功因數(shù)來評(píng)估任務(wù)的效能，運(yùn)轉(zhuǎn)的性能和功能的完善性。,企業(yè)安全管理：基本原則,動(dòng)員企業(yè)范圍內(nèi)所有力量，以協(xié)同合作的方式構(gòu)建和維護(hù)安全狀態(tài)利用關(guān)鍵成功因數(shù)（CSFs）確定關(guān)鍵任務(wù)需求構(gòu)建CSFss需要關(guān)鍵資產(chǎn)的保護(hù)保護(hù)關(guān)鍵資產(chǎn)＝迎合他們的安全需求（利用定義的方法）部署保護(hù)關(guān)鍵資產(chǎn)的方法并且構(gòu)建關(guān)鍵成功因數(shù),定義企業(yè)安全管理,企業(yè)

6、安全管理（ESM）要回答的問題怎樣實(shí)現(xiàn)和維護(hù)一個(gè)安全的狀態(tài)，以便支持建立企業(yè)關(guān)鍵成功因數(shù)？增加企業(yè)在面對(duì)安全事故時(shí)的恢復(fù)能力？確保組織在一個(gè)可以接受安全水平下運(yùn)作？增強(qiáng)運(yùn)作優(yōu)勢(shì)？企業(yè)安全管理是在企業(yè)層面上，致力于企業(yè)關(guān)鍵資產(chǎn)的保護(hù)和有效的安全過程管理,企業(yè)安全管理：焦點(diǎn),企業(yè)安全管理的焦點(diǎn)集中在資產(chǎn)和過程的交互資產(chǎn)由企業(yè)評(píng)估并且必須設(shè)立任務(wù)來保護(hù)企業(yè)安全管理過程作用于這些資產(chǎn)上保證確保它們的安全需求的確定、完善、評(píng)估及控

7、制,企業(yè)安全管理：組成,新興的框架：定義創(chuàng)建和維護(hù)安全狀態(tài)所需的核心能力一種動(dòng)員或者是制度化的方法：定義這些核心能力所必需的協(xié)同合作工具、技巧和方法：用于優(yōu)化核心能力，達(dá)到組這期望的安全狀態(tài),動(dòng)員構(gòu)建和維護(hù)企業(yè)安全,框架功能范圍－1,辨識(shí)并使用關(guān)鍵成功因數(shù)來確定組織間的優(yōu)先級(jí)企業(yè)安全管理，制定并加強(qiáng)政策，同時(shí)頒布顯著的倡議風(fēng)險(xiǎn)管理，明確組織的風(fēng)險(xiǎn)容差并且控制關(guān)鍵資產(chǎn)的風(fēng)險(xiǎn)審計(jì)，依靠建立的準(zhǔn)則評(píng)估組織當(dāng)前狀態(tài),框架功能范圍－2,

8、項(xiàng)目管理，辨識(shí)、遵循并且成功的管理項(xiàng)目相關(guān)的企業(yè)安全過程管理，制定并改進(jìn)企業(yè)安全過程的以及貫徹安全保障的IT過程的界定IT措施，提供一個(gè)健壯、柔性的基礎(chǔ)構(gòu)造從而保護(hù)關(guān)鍵資產(chǎn)和傳遞安全保障服務(wù)安全保障措施，制定安全保障控制環(huán)節(jié)，確保他們被切實(shí)有效的貫徹,企業(yè)安全管理與事件管理的整合,事件管理是行動(dòng)計(jì)劃的發(fā)展，它是一份響應(yīng)計(jì)劃：它與存在的過程和組織結(jié)構(gòu)集成在一起它可以增強(qiáng)和改進(jìn)客戶的能力確保高效的管理計(jì)算機(jī)安全事件它是保護(hù)和鞏固

9、關(guān)鍵商業(yè)功能和資產(chǎn)的全局策略的一部分,方法與技術(shù),缺乏什么？,計(jì)算機(jī)安全事件響應(yīng)小組（CSIRT）需要一個(gè)構(gòu)架、模型以及一些可以用來確定自己的地位、衡量自己以及將自己與別人對(duì)比的東西一個(gè)可以使他們達(dá)到理想狀態(tài)的改進(jìn)的方法和途徑一個(gè)固有的、有組織的從業(yè)者的團(tuán)體來幫助指導(dǎo)工作,歷史和基本原理,眾多途徑引導(dǎo)我們實(shí)施這個(gè)項(xiàng)目研究實(shí)踐技術(shù)報(bào)告的闡述組織客戶的工作先前的工作計(jì)算機(jī)安全事件響應(yīng)小組（CSIRT）需求工作創(chuàng)建和管理計(jì)算

10、機(jī)安全事件響應(yīng)小組（CSIRT）的方針OCTAVE工作可生存性企業(yè)管理的工作下一步工作計(jì)算機(jī)安全事件響應(yīng)小組（CSIRT）的架構(gòu)和研究方法計(jì)算機(jī)安全事件響應(yīng)小組（CSIRT）的自我評(píng)估計(jì)算機(jī)安全事件響應(yīng)小組（CSIRT）的最佳利用,研究動(dòng)機(jī),需要回答的問題：我從哪里開始，要采取什么樣的步驟來創(chuàng)建計(jì)算機(jī)安全事件響應(yīng)小組（CSIRT）或者事件處理的能力？事件管理發(fā)生在有組織的企業(yè)中的哪里？事件響應(yīng)事件處理事件管理,建立

11、架構(gòu),我們的步驟包括：事件管理過程映射評(píng)估設(shè)備建設(shè)和維護(hù)的架構(gòu)的事件管理能力,過程映射工作文件和表格,集體討論記錄工作流程圖表過程數(shù)據(jù)模板過程接口模板,過程數(shù)據(jù)模板,涉及的領(lǐng)域和數(shù)據(jù)包括：任務(wù)和目標(biāo)過程觸發(fā)器實(shí)施準(zhǔn)則全局政策和規(guī)則輸入和輸出過程需求記錄程序人員技術(shù)其他各式各樣的信息和舉動(dòng),過程接口模板,設(shè)計(jì)的領(lǐng)域和數(shù)據(jù)包括：任務(wù)和目標(biāo)過程觸發(fā)器實(shí)施準(zhǔn)則全局政策和規(guī)則涉及的過程要傳遞或傳達(dá)的目標(biāo)

12、移交需求記錄程序發(fā)送和接收參與者傳遞或傳達(dá)的模式和機(jī)制其他雜散信息,計(jì)算機(jī)安全事件響應(yīng)小組（CSIRT）過程映射項(xiàng)目步驟,集體討論，制定高級(jí)進(jìn)程繼續(xù)集體討論環(huán)節(jié)，通過第一級(jí)和第二級(jí)的工作流程圖表細(xì)化每一個(gè)進(jìn)程整理大量的對(duì)進(jìn)程的回顧、修訂和重新構(gòu)造針對(duì)每一個(gè)高級(jí)進(jìn)程，完善過程數(shù)據(jù)模板和過程接口模板確定每一過程的風(fēng)險(xiǎn)和沖擊（由較小的專題專家組成的團(tuán)隊(duì)完成）在風(fēng)險(xiǎn)和沖擊分析的基礎(chǔ)上設(shè)計(jì)評(píng)估設(shè)備回顧、修訂評(píng)估設(shè)備,現(xiàn)狀,已

13、經(jīng)完成了頂級(jí)和第二級(jí)的工作流程圖表、過程數(shù)據(jù)模板、過程接口模板。已經(jīng)建立了評(píng)估設(shè)備技術(shù)報(bào)告正在進(jìn)行評(píng)估測(cè)試正在進(jìn)行,演講概要,引言縱覽過程映射時(shí)間管理的過程映射前景,俯瞰過程映射,它是什么？怎樣將它應(yīng)用于計(jì)算機(jī)安全事件響應(yīng)小組（CSIRT）的運(yùn)作中去？,什么是過程映射？－1,過程映射定義了一套完成確定任務(wù)所需的活動(dòng)。過程映射關(guān)注活動(dòng)間的相互依賴、相互關(guān)聯(lián)以及它們的順序,什么是過程映射－2,過程映射包括：目標(biāo)和目的過程

14、和活動(dòng)輸入和輸出角色和責(zé)任限制授權(quán)者技術(shù)支持程序和文獻(xiàn)接口或傳遞方法相互關(guān)系和依賴性,什么是過程映射－3,1,2,3,4,5,6,什么是過程映射？－4,它是商業(yè)過程的一個(gè)部分重新構(gòu)造辨識(shí)關(guān)鍵商業(yè)過程映射當(dāng)前過程重新構(gòu)思該過程一個(gè)過程將被重新構(gòu)造，以便提高效率或效能變更規(guī)模了解它的強(qiáng)項(xiàng)和弱項(xiàng)實(shí)現(xiàn)其他改進(jìn),對(duì)計(jì)算機(jī)安全事件響應(yīng)小組（CSIRT） 運(yùn)作的好處,映射計(jì)算機(jī)安全事件響應(yīng)小組（CSIRT） 過程使

15、得全面的了解當(dāng)前狀態(tài)成為可能 完整性 優(yōu)點(diǎn)和缺點(diǎn) 接口 角色和責(zé)任 依賴性確定成功貫徹計(jì)算機(jī)安全事件響應(yīng)小組（CSIRT）的使命所面臨的風(fēng)險(xiǎn)幫助關(guān)于改進(jìn)計(jì)算機(jī)安全事件響應(yīng)小組（CSIRT）運(yùn)作的決策,怎樣將它應(yīng)用于計(jì)算機(jī)安全事件響應(yīng)小組（CSIRT）的運(yùn)作？－1,通過與一個(gè)成功的計(jì)算機(jī)安全事件響應(yīng)小組（CSIRT）的實(shí)例的“標(biāo)準(zhǔn)化”模型進(jìn)行比較來映射你的計(jì)算機(jī)安全事件響應(yīng)小組（CSIRT）過程確定優(yōu)點(diǎn)、缺點(diǎn)、風(fēng)險(xiǎn)和補(bǔ)償因

16、數(shù)過程、技術(shù)、人員接口和移交環(huán)境因數(shù)運(yùn)作思路把它作為將來改進(jìn)的基礎(chǔ),怎樣將它應(yīng)用于計(jì)算機(jī)安全事件響應(yīng)小組（CSIRT）的運(yùn)作？－2,同樣可以用于幫助測(cè)定一個(gè)組織現(xiàn)有的計(jì)算機(jī)安全事件響應(yīng)小組（CSIRT）過程這將有助于確定當(dāng)前空白，從而有助于關(guān)注計(jì)算機(jī)安全事件響應(yīng)小組（CSIRT）的發(fā)展和改進(jìn)組織也同亞可以使用我們的概念和過程來完成滿足自己需求的映射,演講概要,引言縱覽過程映射時(shí)間管理的過程映射前景,針對(duì)事件管理的過程

17、映射,針對(duì)事件管理的計(jì)算機(jī)緊急事務(wù)響應(yīng)小組（CERT） 計(jì)算機(jī)安全事件響應(yīng)小組（CSIRT）開發(fā)團(tuán)隊(duì)過程映射假設(shè)和規(guī)則過程組元的綜述準(zhǔn)備\改進(jìn)\維護(hù)保護(hù)探測(cè)篩選回應(yīng)第一級(jí)過程綜述對(duì)過程映射進(jìn)行風(fēng)險(xiǎn)分析,假設(shè)和規(guī)則,關(guān)注最佳實(shí)施一般實(shí)施不例外你可以總是想起一個(gè)例外或者特殊場(chǎng)合我們盡力排除這些類型的過程,過程組元的綜述,準(zhǔn)備\改進(jìn)\維護(hù)保護(hù)探測(cè)篩選回應(yīng),事件響應(yīng),準(zhǔn)備/改進(jìn)/維護(hù) 計(jì)算機(jī)安全事件響應(yīng)小組（

18、CSIRT）,輸入包括：計(jì)算機(jī)安全事件響應(yīng)小組（CSIRT）過程的要求計(jì)算機(jī)安全事件響應(yīng)小組（CSIRT）過程的需要過程包括：調(diào)整規(guī)劃 確定計(jì)算機(jī)安全事件響應(yīng)小組（CSIRT）過程的要求 建立計(jì)算機(jī)安全事件響應(yīng)小組（CSIRT）的洞察力 獲得計(jì)算機(jī)安全事件響應(yīng)小組（CSIRT）的資金和贊助調(diào)整實(shí)施 開發(fā)計(jì)算機(jī)安全事件響應(yīng)小組（CSIRT）的政策、過程和計(jì)劃 建立計(jì)算機(jī)安全事件響應(yīng)小組（CSIRT）事件處理準(zhǔn)

19、則 補(bǔ)充制定的計(jì)算機(jī)安全事件響應(yīng)小組（CSIRT）所需資源（人員，設(shè)備和基礎(chǔ)構(gòu)造）評(píng)估計(jì)算機(jī)安全事件響應(yīng)小組（CSIRT）的能力決策計(jì)算機(jī)安全事件響應(yīng)小組（CSIRT）過程的修改補(bǔ)充計(jì)算機(jī)安全事件響應(yīng)小組（CSIRT）過程的能力,PC配備，維護(hù)以及計(jì)算機(jī)安全事件響應(yīng)小組（CSIRT）過程的改進(jìn),保護(hù)基礎(chǔ)構(gòu)造,輸入包括組織策略相關(guān)法律和狀態(tài)標(biāo)準(zhǔn)，計(jì)量和最佳實(shí)踐過程包括確定基礎(chǔ)構(gòu)造保護(hù)和可生存性的需求根據(jù)需求鞏固和保障

20、基礎(chǔ)構(gòu)造，同時(shí)根據(jù)需要不斷進(jìn)行變化和改進(jìn)監(jiān)測(cè)、評(píng)價(jià)和分析基礎(chǔ)構(gòu)造的可存在性（比如監(jiān)測(cè)網(wǎng)絡(luò)活動(dòng)和物理接入，實(shí)施周期性的風(fēng)險(xiǎn)評(píng)估）在遇到問題、事件時(shí)系統(tǒng)的修復(fù)和恢復(fù),示范準(zhǔn)則－1,ISO17799/英國(guó)標(biāo)準(zhǔn)協(xié)會(huì)7799第二部分信息系統(tǒng)和技術(shù)控制目標(biāo)”(COBIT)。信息技術(shù)基礎(chǔ)架構(gòu)庫(kù)(ITIL)美國(guó)國(guó)家標(biāo)準(zhǔn)和技術(shù)學(xué)會(huì)(NIST)（800系列特別報(bào)告書）；聯(lián)邦信息處理標(biāo)準(zhǔn)199（ISC）2CISSP知識(shí)體系（,國(guó)際信息系統(tǒng)安全認(rèn)證

21、協(xié)會(huì)；信息系統(tǒng)安全認(rèn)證）聯(lián)邦金融機(jī)構(gòu)檢查委員會(huì)(FFIEC)手冊(cè)。,示范準(zhǔn)則－2,信息系統(tǒng)安全聯(lián)盟和“普遍接受的信息安全原則”。（ISSA，GAISP)IT管理研究所（ITGI）資源國(guó)家計(jì)算機(jī)頂級(jí)任務(wù)強(qiáng)度報(bào)告（草案）信息安全論壇最佳實(shí)踐軟件工作學(xué)院（SEI）工組體系包括CMM(軟件能力成熟度模型)和CMMI（CMM的改進(jìn)模型），OCTAVE，SKIP(安全知識(shí)的實(shí)作),計(jì)算機(jī)緊急事務(wù)響應(yīng)小組（CERT） 安全實(shí)踐,探測(cè),反饋過

22、程注意事件 支持成員注意不同尋常的活動(dòng) 外部資源報(bào)告活動(dòng)或者事件或者共享建議和警告接收信息前攝過程 檢測(cè)指示器 監(jiān)測(cè)網(wǎng)絡(luò)和主機(jī) 前攝弱點(diǎn)評(píng)估 公共監(jiān)測(cè)/技術(shù)監(jiān)視分析指示器將顯著的信息送去篩選,D 探測(cè)事件,篩選,輸入探測(cè)過程中產(chǎn)生的事件信息探測(cè)過程中指示器的分析過程包括分類事件事件優(yōu)先級(jí)設(shè)定分派事件關(guān)閉事件,T 篩選事件,響應(yīng),輸入包括事件信息事故信息過程包括接收信息分析信息計(jì)劃響應(yīng)策略

23、事件整理和響應(yīng)（整理技巧，管理和在需要或適當(dāng)時(shí)刻作出合理的響應(yīng)）關(guān)閉事件（可能包括：文檔，存檔，核查，通知）,R 響應(yīng)事件,R1 技術(shù)發(fā)布響應(yīng),關(guān)閉事件,決策點(diǎn)包括決定是否核查決定是否、怎散布信息決定是否、怎樣存檔和記錄信心,R4 關(guān)閉事件,下一步,開發(fā)缺口分析設(shè)備幫助記錄組織關(guān)于事件管理過程的現(xiàn)狀對(duì)事件管理過程進(jìn)行風(fēng)險(xiǎn)分析確定過程通常失敗模式確定通常的減輕戰(zhàn)略來預(yù)防失敗,風(fēng)險(xiǎn)評(píng)估過程,評(píng)估結(jié)果示例,探測(cè)的通常失敗模式,用

24、戶沒有注意到不尋常或者可疑的活動(dòng)用戶注意到了不尋?；蛘呖梢傻幕顒?dòng)，但沒有向計(jì)算機(jī)安全事件響應(yīng)小組（CSIRT）報(bào)告事件報(bào)告從用戶向CRIST移交時(shí)失敗事件報(bào)告從用戶向CRIST移交時(shí)延誤,IT人員沒有通過前攝監(jiān)測(cè)探測(cè)到不尋?；蛘呖梢傻幕顒?dòng)事件報(bào)告從IT人員向CRIST移交時(shí)失敗事件報(bào)告從IT人員向CRIST移交時(shí)延誤計(jì)算機(jī)安全事件響應(yīng)小組（CSIRT）關(guān)閉了一個(gè)本應(yīng)送往篩選的事件,演講概要,引言縱覽過程映射時(shí)間管理的過程

25、映射前景,項(xiàng)目前景,對(duì)評(píng)價(jià)/評(píng)估設(shè)備進(jìn)行指導(dǎo)性評(píng)估開發(fā)技術(shù)報(bào)告（可能的標(biāo)題）針對(duì)事件管理創(chuàng)建過程映射創(chuàng)建計(jì)算機(jī)安全事件響應(yīng)小組（CSIRT）評(píng)估過程評(píng)價(jià)計(jì)算機(jī)安全事件響應(yīng)小組（CSIRT）過程和運(yùn)作－指導(dǎo)性研究將結(jié)果與過程資料結(jié)合開發(fā)新的工作創(chuàng)建和管理計(jì)算機(jī)安全事件響應(yīng)小組（CSIRT）的構(gòu)架響應(yīng)的附屬：模板、清單、仿真、表格和過程計(jì)劃,你怎樣加入？,我們?cè)趯ふ液献骰锇?，回顧和評(píng)價(jià)我們的過程映射草案以及產(chǎn)生的技術(shù)報(bào)告