《網絡安全原理與實踐》一1.5 建構網絡安全政策

本節書摘來自異步社群《網絡安全原理與實踐》一書中的第1章，第1.5節，作者 【美】saadat malik, ccie #4955，更多章節内容可以通路雲栖社群“異步社群”公衆号檢視

網絡安全原理與實踐

網絡安全政策定義了一個架構，它基于風險評估分析以保護連接配接在網絡上的資産。網絡安全政策對通路連接配接在網絡上的不同資産定義了通路限制和通路規則。它還是使用者和管理者在建立、使用和審計網絡時的資訊來源。

網絡安全政策在範圍上應該是全面和廣泛的。這也就意味着當我們要基于這個政策做安全方案的時候，它應該提供一些摘要性的原則，而不是這個政策的實作的具體細節等内容。這些細節可能一晚上就變了，但是這些細節所反映的一般性原則是保持不變的。

s.garfinkel和g.spafford在practical unix and internet secwrity一書中，定義了一個政策應該完成的3個任務：

闡明保護什麼和為什麼保護它；

規定誰負責提供這種保護；

為解釋和解決任何以後可能出現的沖突打下基礎。

第一點是前面讨論的關于資産确定和風險評估的一個分支。風險評估在本質上就是一個闡明為什麼網絡上的資産需要得到保護的客觀的方法。第二點闡述了由誰來確定網絡上的安全需求都得到了滿足，可以是下面的一個或多個：

網絡的使用者；

網絡管理者和主管；

審計網絡使用的審計員；

擁有網絡和相關資源全部所有權的管理人員。

重要的是第三點，因為對于政策中不包括的問題，它把職責指定到某些特定個人，而不是讓他們任意解釋。

為了使安全政策落到實處，它必須是通過現有的技術可以實作的政策。如果建構了一個非常全面的政策但在技術上卻無法實作，那也毫無用處。

就使用者對網絡資源使用的易用性而言，有兩種類型的安全政策。

許可性的（permissive）——任何沒有明确禁止的都是允許的。

限制性的（restrictive）——任何沒有明确允許的都是禁止的。

從安全的角度來說一個比較好的辦法是，首先部署一個限制性的政策然後基于日後的實際使用再對合法的使用者進行允許操作。無論計劃的多麼周密，許可性的政策總還是會有漏洞存在的。

安全政策需要平衡易用性、網絡性能以及在規則中定義的安全問題。這一點是重要的，因為與那些不太嚴格但不會耗費太多網絡性能的安全政策相比，限制性過高的安全政策會導緻成本增加1。當然，風險分析所确定的最小安全需求在部署安全政策時必須得到滿足。

1譯者注：這裡的成本指代的通常是網絡裝置的資源，例如cpu使用率等。