不支持Flash

网络安全审计急需“细粒度报告”

http://www.sina.com.cn 2008年03月18日 09:49  计世网

  【计世网 独家】(文/吕明)针对业务系统的信息安全治理日益成为业务安全防护的重点,这就需要网络安全审计报告的帮助。然而,什么样的审计报告才能真正满足这一需求呢?

  目前,给企业造成的严重攻击中70%是来自于组织中的内部人员,只要攻击者发现了业务系统的漏洞,往往业务系统网络就会被攻破。而随着攻击手段的演变,传统方式对保障业务系统的安全越来越力不从心。因此,针对业务系统的信息安全治理成为业务安全防护的重点。

  但是,决策部门如何寻找治理业务系统的决策依据呢?决策部门如何定夺治理业务系统的先后顺序、重要紧急程度呢?决策部门如何寻找制定内部合规性的依据呢?针对信息系统的审计报告就承载着这些重要的职能!审计报告正是业务审计系统价值的具体体现,它起到为制定决策提供重要依据的作用。

  针对业务的审计需要报告的细粒度

  从用户需求角度看,需要报告细粒度

  事实上,一项针对业务系统的审计产品的评价手段有很多。理论上讲,有从审计精度入手做评价的,也有从审计行为的广度入手做评价的。但无论怎样,我们认为用审计行为的结果——报告来评价是比较科学的。以银行的业务为例,银行的业务主要有银行传统业务、银行中间业务、电子银行业务三大类业务。第一类业务是银行传统业务,主要包括会计业务,即主要受理对公业务、面向工商客户、以转账业务为主(比如各种票证)等; 出纳业务,包括受理现金业务等; 对私业务(储蓄) 业务以及授信(信贷)业务等,包括工商客户和个人客户贷款的发放和收回,逾期、呆账、呆滞账务的处理和追溯等。第二类是银行的中间业务,包括代收电信公司的各类费用; 代付企业的工资、基金购买、银行承兑等; 第三类是电子银行业务,主要包括网上银行、电话银行等。他们都是将银行作为资金结算的中心,作为电子商务中资金流的一方。所有的这些业务都有大量的后台IT信息系统作为支撑,需要有强有力的审计报告进行业务审计。

  再比如,能源行业主要的业务系统包括: 综合管理信息系统、办公自动化系统、电力营销管理系统、生产监控管理信息系统、资产管理系统、电力地理信息系统、企业资源计划管理系统等。同样,这些业务的IT系统十分复杂和重要。为此,用户存在着对这些业务系统审计的需求。如果一项针对业务的审计系统能够对这些业务有充分的理解,并且通过对这些业务的理解,能以科学合理的方式呈现到审计行为的结果——报告当中来,我们才有理由相信,针对业务的审计系统是“值得信赖”的,这样的报告才能达到管理业务的目的,这个审计系统在纷繁复杂的业务系统才算发挥了审计的作用。

  从技术角度看,需要报告细粒度

  业务网络审计系统是基于应用层内容识别技术衍生出的一种强化IT风险管理的应用模式,它需要对应用层的协议、网络行为等信息进行解析、识别、判断、纪录和呈现,以达到监控违规网络行为、降低IT操作风险的目的。显然,一个针对业务系统的审计必须承担鉴证、保护和证明三个方面的作用。从技术角度看,审计系统需要审计的信息量大,采集的数据量多,比如对基本网络应用协议审计,如HTTP、POP3、SMTP、FTP、TELNET、NETBIOS、TDS、TNS、DB2、INFORMIX等进行详细的实时监控、审计,并可以对操作过程进行回放,对各类如Oracle、DB2、Sybase、Informix、MS SQL Server等数据库操作也需要审计; 同时,对一些OA操作进行审计。在这些庞杂的信息量下,如果系统呈现的信息缺失、失真或错误,往往会给用户轻则带来决策失误,重则带来安全事件无法追究的窘境。由于报告成为了取证、追查、建立制度的重要依据,报告应该越细越好。

 [1] [2] [下一页]

本文导航:
·网络安全审计急需“细粒度报告”
·网络安全审计急需“细粒度报告”(2)

发表评论 _COUNT_条
Powered By Google
·《对话城市》直播中国 ·新浪特许频道免责公告 ·诚招合作伙伴 ·企业邮箱畅通无阻
不支持Flash
不支持Flash