为什么需要逻辑访问控制ITaudittraining-IntosaiCommunityPortal.PPTVIP

逻辑访问控制 第9讲 目标 描述计算机化的财务系统中逻辑访问控制的重要性 评价逻辑访问控制欠缺带来的风险 区分客户可以用来保护财务系统的特定逻辑访问控制 为什么需要逻辑访问控制? 什么是逻辑访问控制? “一个组织及其使用的软件产品中的措施和方法的系统，目的在于保护计算机资源（数据、程序和终端）不受非授权访问的攻击。” 风险 未授权的公开 未授权的修改 对系统完整性的破坏 攻击者 黑客 员工 离职的员工 感兴趣的组织 供应商与顾问 逻辑访问控制欠缺的影响/后果 审计评价的条件 财务损失 法定义务 市场份额/信用的损失 企业活动的破坏 保护什么? 数据文件 应用 密码文件 系统软件与工具 日志文件 Spooled和临时文件 访问安全框架 访问策略 访问过程与控制 访问策略内容 定义 安全表述 责任 操作系统与应用逻辑访问控制 逻辑访问控制的两个层次 安装：操作系统与工具 应用：特定程序的访问控制 两个层次中责任的分离 安装层次的逻辑访问控制 登录过程和控制 发起访问的登录脚本 控制包括: 不要泄漏客户的身份 不欢迎企图登录的人 最终只告诉用户成功或失败 自动失去连接 禁止屏幕帮助 显示最后一次登录 账户管理 管理信息系统账户的系统策略 账户类型的识别 基于需要知道的访问权限的详细说明 建立、认可账户的要求的过程 来宾账户的监控 IS用户传输/结束的通知 用户鉴别 登录标识符编码 标识符的组成规则 登录应该是唯一的 鉴别的其它方式 磁卡 智能卡 生物鉴别系统 用户鉴别与密码控制 根据用户知道什么、有什么完成鉴别 密码是最常用的 密码控制包括： 密码组成规则 最小/最大长度 生命期 密码历史 鉴别 鉴别因素 用户是什么（生物信息） 用户有什么（ID卡、安全记号等） 用户知道什么（密码、PIN） 密码控制续 密码必威体育官网网址 初始分配 密码加密 离职人员密码 供应商和缺省密码 用户指导 多种因素鉴别 更强的鉴别 –包含两种或多种鉴别的分层次方法 US 政府 –第1级到第4级鉴别 第1级- 最低的保证(不需要身份证明，密码等） 第4级– 最高的保证 (至少两种鉴别因素，只允许“硬”的密码记号) 资源保护 菜单控制和限制 由管理人员决定的用户访问 特殊的控制包括: 限于预先定义的功能 控制的环境 拒绝操作系统提示 文件许可 通常的文件属性： 可读 可写 创建 更新 删除 执行 复制 UNIX文件许可的例子 额外的许可控制 一致性 更强大的文件许可上的特殊控制 审查和更新 其它的逻辑访问控制 并发会话的限制 工作时间限制 对尝试的限制 自动终端超时 特定终端的访问 安全事件的自动记录 检测控制 记录安全事件，比如 登录/登出 对程序、资源和文件的访问 可能记录了很多事件 记录保护 总结、报告工具 IT audit training IT CONTROLS: S9/ * for March 2007 系统与系统不同 IT安全模块中信任的计算机系统(TCSEC, ITSEC和CC) 独立的安全产品 RACF ACF-2 仅在紧急时刻 使用 Page *