https://newera17031.activehosted.com/index.php?action=social&chash=b5f1e8fb36cd7fbeb7988e8639ac79e9.3134&nosocial=1
https://newera17031.activehosted.com/index.php?action=social&chash=b5f1e8fb36cd7fbeb7988e8639ac79e9.3134&nosocial=1

觀點

企業安全管理系列三 安全體系設計邏輯:安全四階(Security 4 D''s)

2005 / 02 / 03
文/徐子文
企業安全管理系列三   安全體系設計邏輯:安全四階(Security 4 D

在開始之前,筆者先帶各位讀者回到古時候的場景。
古代防護有一套
在古代,為了抵禦外侮,有錢的領主都會想辦法建立城堡。城堡有高大的城牆,牆上面有兵士巡邏。有些還在城牆上建有敵樓,用來觀測遠方敵情。一些更重要的軍事堡壘或是交通要衝之地,在附近山脊或是前線重要隘口會設置瞭望塔或是烽火臺,用來做前進觀測敵情以及聯絡之用。城牆外,有些會挖護城河,用來防止地道攻擊,也避免近距離的攀城攻擊。如果現況不許可,可能是沒錢、地勢限制或者是附近沒有足夠水源,通常替代的方法就是在城牆外會有一片開闊之地。有些重要的城池還會有內外城牆之分。
城堡對外的出入就是經過長長的城門。城門通常有好幾個,在中國的習俗中,每一個城門的預定用途都不一樣,所以守城官兵對當地活動很容易觀測。城門除了厚重的大門外,有些還在裡面設機關,前後端可能會加上急降式柵門,用意是來困住入侵者。城門依時開啟和關閉,城門官兵必要時會檢驗證件。超過開放時間若要緊急開啟,要有守城將軍的親令。當然,若是持有特別通關「金牌」,就不一樣了。
一般而言,在通過城門前會有一告示牌,除了是一些治安公告之外,並要求行旅人士下馬通過城門。城門通道前會有一絆馬索,若是有人「飆馬」入城門,準叫他跌個四腳朝天。城牆外草叢裡,入夜之後會拉起一線線的串鈴,若是有人潛行想要靠近城牆,不小心就會碰到發出鈴聲,而驚動了守城官兵。城牆內,入夜會有巡夜人,除了看有沒有宵小祟動,也兼報時和安全警覺意識的宣導,他們的標準用語是:「緊閉門戶,提防宵小!」、「天乾物燥,小心火燭!」。
以上就是古早以前的實體安全防護體系。看上去是超級古意,像在看三國演義或是武俠小說,不過當時的這套安全體系可是要高度的文明、科技和管理才能做的到的。經過了時間的推移,其實我們現在的實體安全和資訊安全所用的方法原則,和當時也沒有太大的差別,唯一有變的就是使用的科技不同罷了。 運用安全四階




在安全體系設計中,有一個非常重要的概念應用,那就是安全四階(Security 4D''s)。分別為:嚇阻(Deter)、偵測(Detect)、阻延(Delay)、禁制(Deny)四階段。這基本邏輯同時適用於實體安全和資訊安全管理系統上。
不過在正式談Security 4''D之前,我們必須先稍微提一下風險評估的步驟:一般而言,安全專家們會對保護目標進行瞭解並分類(選定標的物),依目標可能會遭受的威脅加以辨識(辨識威脅),並分析目前目標物己身所暴露在威脅時之弱點,和目標物的緊要性來評估其風險等級(評估風險等級),以決定相對應的保護作為(決定保護措施)。
為了有效的運用有限資源,及達成實用效果,並且參照現地的限制(如地形、地物、活動狀況,甚至是企業文化),以決定恰當的步驟。對於這些安全專家們,最常用的方式,同時也證明比較有效的,就是建立所謂的「安全防禦縱深」(Security in Depth)。
安全防禦縱深的主要目的是增加預警時間、延遲入侵、使我方反制能力能有效施展運用。而我們建立安全防禦縱深的邏輯方式就是利用Security 4D''s,由外而內的建立。
一、 嚇阻(Deter):
嚇阻的目的是讓入侵者在面對目標時,會因為風險或代價太大而心生畏懼,因而打消入侵行為。
在前面的故事中就是城內的安全維護體系、治安告示牌、高聳的城牆、守城士兵等等。在現代生活中,最常見的就是法律罰則的規定,標的物的保護嚴密,警告標誌、警衛(察)巡邏、CCTV攝影等使入侵行動不易進行等都是。簡單的還有,在進行辦公區或是社區等的防竊勤務時,大門警衛或是巡邏人員對陌生人的眼對眼接觸,對入侵者是很大的心理嚇阻。
至於在資訊世界中,因為不是實體,我們無法真正的看到入侵者,但是因網路世界具有匿名性,因此歹徒覺得可以恣意妄為,不會被發現。所以法律規範就變得很重要。因為資訊對於現代社會極為重要,一些電腦安全事件對社會的影響極大,現在世界各地,政府對資訊犯罪都開始採取嚴格的刑罰,希望能遏阻資訊犯罪的歪風。
企業中進行安全警覺意識宣導計畫是達成嚇阻很重要的一個方法。讓員工們都知道入侵是不對的,而且有罰則;當知道安全對大家的重要性,他們也會成為公司的「巡夜人」;而有入侵意圖的人(內部或是外部人員)則會因而投鼠忌器,怕被發現,而不敢輕舉妄動。
二、 偵測(Detect):
偵測的目的是當入侵發生時,能夠及時發現。
以前面的故事為例,就是城外的前進觀測所、城牆上的守城士兵、敵樓、城外藏在草地上一線線的串鈴和夜巡人。而在我們的生活中所看到的就是警衛(察)巡邏、CCTV攝影和警報系統(如:紅外線、影像動態偵測、磁簧開關、超音波)等。
而在資訊世界中,則有入侵偵測系統(IDS)和病毒軟體等。至於定期於事後看日誌,也是一種安全機制,不過那不是預防行為,而算是安全補強行為。若是讓大家知道系統管理者或是安全單位會定期審閱日誌,對不當存取加以追查,且有相關罰則,此動作則具有「嚇阻」功能。
三、 阻延(Delay):
阻延的目的是使入侵行為困難,必須使用工具,耗費更多的時間和精力,以增加其被發現的機會。
以前面的故事為例,高聳的城牆就具有阻延攀越的功能,絆馬索則可以迫使入侵者降低速度。在我們日常生活中所用的鑰匙和鎖,甚至是保險櫃的鎖實際上都是一個阻延器具。例如保險櫃的規格中有一個是TL-30,它的意義是用一般工具(tool)花30分鐘可以打開。記住,只要有足夠的時間,這世界上沒有不能打開的鎖。
在資訊系統中最常見的阻延設置就是帳戶密碼的設置。理論上是越複雜越好,六個字元以上無意義的英數交雜再加上特殊符號,而且還定時強制更換最好。但是切記不要複雜到讓人記不起來,最後寫在鍵盤後面或甚至是貼在螢幕上,那可是一點效果都沒有。另外,加密機制也是一種阻延手段。
四、 禁制(Deny):
禁制的目的就是阻止入侵行為。
以前面的故事為例,堅實的城牆和城門、深廣的護城河和強大的守城兵力,就是古時候主要施行禁制功能的憑藉。在現代生活中,其實還是沒有太大的變化,我們靠的還是堅實的牆壁、大門、防盜窗(一般的鐵窗其實只算是阻延工具)、和有能力的警衛和警察。
在資訊系統中,防火牆(firewall)、路由器(router)等在一定程度條件下算是禁制工具。而當發生網路攻擊時,有一種最簡單但是應該算是治標不治本的最後手段就是拔掉網路線。
禁制是整個安全體系的最後一道防線,事實上也是最不容易做好的一部份。在企業安全上主要強調的是預防動作,若是入侵行動能夠一直攻到這裡,損害幾乎是不可避免。所以一旦發現,當下果斷的施以立即強力的反制措施是非常重要的。而當損害發生,接下來的動作就是緊急應變的範疇。《資安人》第三期中在另外一篇論SARS的文章中,筆者已經有稍微和讀者聊一下這個題目,有興趣者可以參考一下。
Security 4D''s是一種思考邏輯順序,其最重要意義是在建立防禦縱深,將保護目標置於中心安全部位。
對我們安全專業人員而言,讓入侵事件無法發生,或在發生初期就被化解,則是整個安全體系建立、維護和努力的目標。