A rede é o lifeline para o infrastructure computando. O sistema de telefone que fornece comunicações de voz dá forma a uma rede de telefones interconectados. Os desktops conectam aos usuários e ao Internet mais grande através da rede de área local. Os clientes, os sócios, e os empregados contatam a companhia através da rede. A maioria de uma comunicação interna ocorre provavelmente através das redes da voz e de dados. As políticas da segurança devem atender à segurança de uma comunicação da rede. Dirigindo-se aos riscos e às defesas de encontro a eles, as redes podem funcionar mais firmemente.
O sistema de telefone dentro de uma organização cruza frequentemente os limites de transmissões de dados da voz e dos. O computador desktop pode interagir com os sistemas de telefone modernos para recuperar o correio de voz, para deixar mensagens para outras, e para administrar o sistema. Como com as áreas de interesse precedentes, acesso físico se controlado. Os confinamentes operacionais—tais como números de identificação pessoal (PINO) para usuários—e configurações padrão devem fornecer um ambiente mais seguro. Um aspecto frequentemente esquecido da segurança do sistema de telefone é a provisão do telecontrole seletor- nas potencialidades que suportam a administração do sistema de telefone e o acesso de rede.
Diversos interesses para o sistema de telefone são esboçados nesta política da segurança da companhia Z:
· O acesso físico à ferragem do sistema de telefone e aos terminais da configuração de sistema é restringido para phone administradores e pessoal da companhia do telefone.
|
|
· A ferragem do sistema de telefone deve existir em uma área fixada que requeira métodos de acesso especializados através das chaves ou dos cartões eletrônicos.
· Os pinos do defeito para usuários novos devem aleatòria ser escolhidos.
· Ao estabelecer um cliente do correio de voz, evite de usar os pinos que podem fàcilmente ser supostos, como um número da extensão, o sobrenome do usuário, ou a outra informação identifiable.
· Seletor- nos modem usados para a administração do sistema de telefone deve ser protegido com senhas.
· O acesso de rede através seletor- nos modem deve authenticated e registrado através de um authentication centralizado e sistema do relatório.
· Os modem significados para seletor- no devem ser programados para impedir potencialidades do dial-out.
· A instalação de modem novos deve ser coordenada através do telefone e da ELA grupo a fim fornecer o infrastructure necessário da segurança e da rede para manter a segurança.
· A linha de telefone exames deve ocorrer regularmente para verificar a funcionalidade de modem existentes e para identificar modem desautorizados.
Esta política da segurança dirige-se ao sistema de telefone rather extensivamente. Uma política detalhada da segurança faz exame na consideração de todos os aspectos de uma organização e não os focaliza somente no ambiente computando. Todos os aspectos da segurança em uma organização são relacionados; uma avaria na segurança de uma área fornece o acesso apesar das medidas de segurança de outra. Uma fraqueza na política da segurança do sistema de telefone pôde permitir que um intruder desautorizado alcance recursos do sistema e da rede mesmo se outras medidas de segurança do sistema e da rede estão no lugar.
A rede de dados deve ser estendida as mesmas características da segurança que a rede da voz. A ferragem da rede e das telecomunicações tal como routers, interruptores, e linhas da rede (ISDN, DSL, T1, e assim por diante) deve fisicamente ser fixada para evitar o rompimento acidental ou intencional de serviços de rede. Além dos aspectos físicos, a rede requer um grau elevado de segurança e de diligence manter esse nível. O primeiro tier da proteção é geralmente um guarda-fogo no ponto de acesso do Internet. As réguas e os filtros do guarda-fogo do específico devem ser definidos basearam nas necessidades do acesso de rede da organização. Um razoavelmente seguro, mas um um tanto restritivo, guideline é o método da exceção. Isto dita uma régua global para negar o acesso a tudo primeiramente, e faz então exceções para aqueles serviços de rede julgados necessários.
Após o guarda-fogo, a arquitetura e a organização de rede devem também ser consideradas para proteger e isolar a informação enquanto viaja no fio da rede. A ferragem da rede deve ser protegida dos ataques da rede e a configuração desautorizada tenta.
A companhia Z tem uma rede diversa que separe usuários da rede computando desktop normal. O ponto de acesso do Internet é protegido por um guarda-fogo. A parcela da rede de dados de sua política da segurança lê como segue:
· Os guarda-fogos são usados proteger as redes internas em uma forma restritiva.
· Filtrar e réguas no guarda-fogo suportam conexões que parte dos empregados de modo a para não restringir sua abilidade de usar o Internet.
· Filtrar e réguas no guarda-fogo permitem somente conexões entrantes ao web server da companhia, aos usuários do correio, e aos usuários conhecidos (DNS).
· A rede da sustentação de cliente existe em um network number e em uma relação diferentes do que a rede administrativa e incorporada, e com poucas limitações a fim suportar os serviços requeridos dessa organização.
· Todo o acesso ao equipamento da rede, de onde suportado, será protegido através non-opta por senhas.
· O equipamento controlado da rede, including guarda-fogos, os routers, os interruptores, os modem, e outros dispositivos de uma comunicação, são configurarados para permitir que o acesso administrativo somente de um número pequeno de sistemas administrativos, a fim protegê-los das mudanças de configuração desautorizadas.
· Todas as mudanças de configuração ao equipamento da rede devem ser registradas para a referência.
· No evento de ataques da rede, os administradores da rede devem notificar o departamento de segurança incorporado, caso que a intervenção legal é requerida.
· O equipamento da rede deve ser configurarado para permitir somente aqueles protocolos no uso pela organização, incapacitando todas características restantes.
· A resposta aos incidents deve ocorrer na seguinte maneira:
1. Tentativa de identificar a causa.
2. No evento do rompimento da rede e na perda do serviço do ataque, os administradores da rede devem tentar identificar a fonte do ataque. As réguas do guarda-fogo devem ser modificadas para controlar os efeitos, se possível.
3. Restaure o serviço à companhia tão rapidamente como possível ao tentar preservar a evidência da edição.
4. Em cima da definição de um incident, os formulários do incident devem ser enchidos para fora e submetido ao gerente do grupo da rede.
5. A análise do incident deve ser discutida em uma reunião de grupo para identificar fraquezas na organização e para ajudá-las impedir as edições futuras.
· Para proteger de encontro à falha de equipamento, a ferragem de reposição da rede deve estar disponível.
· Para facilitar a facilidade da recolocação e da segurança da configuração do equipamento da rede, a informação da configuração deve ser mantida nos usuários administrativos.
· Onde possível, o equipamento da rede deve ser configurarado para carregar e download sua configuração dos usuários administrativos, a fim preservar a integridade e a confiabilidade da configuração.
· O equipamento da rede que não é controlado através do SNMP deve ter esse protocolo incapacitado. O SNMP (Simple Network Management Protocol) permite que os administradores v e modifiquem os ajustes e a configuração para um dispositivo com quase nenhum controle do authentication e de acesso.
· Se usando o SNMP para a gerência do dispositivo, o acesso do SNMP deve ser restringido aos usuários administrativos.
O equipamento da rede apresenta um jogo complexo das exigências da segurança que devem ser esboçadas na política da segurança. Isto permite uma instalação segura e um grau mantido de segurança. A política da segurança incorpora a orientação e a configuração físicas para defender de encontro a acesso e a gerência desautorizados do dispositivo. As limitações do authentication e do acesso são executadas, as.well.as a confiabilidade nos métodos da configuração. Os serviços fornecidos pelo equipamento são costurados às necessidades da organização, permitindo que um jogo sabido de interesses da segurança seja identificado e resolvido
Online: 403 users browsing the articles directory
|
|