为系统定义安全策略

Question

大多数关于安全的文献都谈到了在开始制定机制和实现之前定义安全策略的重要性。虽然这似乎是合乎逻辑的，但定义安全策略的真正含义却相当不清楚。

在座的任何人都有定义安全策略的经验吗?如果有：

1)这种定义的结果是什么？例如，对于分布式系统，这种策略的形式是包含关于系统的安全需求(允许和不允许的)的一系列声明的文档吗？

2)策略是否可以采用机器可读的形式(如果有意义)，如果是的话，如何使用？

3)如何维持这样的政策？策略是否作为文档(与所有其他文档一样)维护在系统上？

4)是否有必要在代码中引用策略文档？

布赖恩

Answer 1

您应该采用一种标准的安全策略，并从那里开始工作。最常见的是PCI合规性(支付卡行业)。这是经过深思熟虑的，除了一些弱点，总体上是好的。除了Microsoft Active Directory定义或一系列Linux iptables规则之外，我从未听说过机器可读策略。

https://www.pcisecuritystandards.org/security_standards/pci_dss.shtml

编辑：

查看SE Linux策略：

http://en.wikipedia.org/wiki/Security-Enhanced_Linux

Answer 2

Open Web应用程序安全项目OWASP是一个独立于语言的项目，旨在培训有关安全的知识，并提供测试和支持软件的工具。虽然它是以网络为中心的，但许多核心思想都是广泛适用的。该网站既面向软件工程师，也面向管理层。

Answer 3

当人们谈论“安全策略”时，他们可能指的是两种不同类型的安全策略。

其中一个是高级的，通常由管理人员定义。此安全策略的主要读者是人类。它是一份文档，定义了管理层心目中的安全目标、背景、期望和要求。在这个策略中使用的语言可能很模糊，但它是应用程序上下文中安全的基本“法则”。参与其中的每个人都应该遵循这样的政策。

1)这种策略的结果是来自管理层的明确定义的安全要求。有了这些策略，参与其中的每个人都可以理解管理层的期望，并在必要时做出与安全相关的判断。

2)由于此类安全策略的主要读者是人类，并且语句通常非常通用，因此它可能不是机器可读的形式。但是，可能有两个基于策略定义文档，即安全指南、过程和手册。它们在如何实际实现安全性方面的细节层级递增。例如，可以将安全策略中定义的要求实现为用于不同操作系统的强化手册，以便管理员和工程师可以有效地执行强化任务，而无需花费太多时间来解释管理人员的想法。然后，可以将强化手册转变为一组机器可读的配置(例如，锁定帐户之前的最小密码长度、最大失败登录计数等)，从而自动化强化任务。

3)文件应向所有相关人员开放，并由管理层定期审查。

4)实际上，可能很难做出这样的引用。安全策略可能会不时更新，如果策略更改只影响某些参数，则您可能不希望重新编译程序。但是，在开发文档中引用该策略是很好的。

另一种类型的“安全策略”可能只是指安全程序中的那些参数集。我发现一些安全程序真的喜欢使用“策略”这个词来使它们的配置更有条理、更有结构。但不管怎样，这些“安全策略”实际上只是安全程序要遵循的值和/或说明。例如，Windows有自己的“安全策略”集，供用户配置审计日志、用户权限等。这种类型的“安全策略”(程序的参数)实际上是基于上面提到的第一类“安全策略”(来自管理的要求)定义的。

我可能在这方面写得太多了。希望能有所帮助。