सिस्टम के लिए सुरक्षा नीति को परिभाषित करना

Question

सुरक्षा पर अधिकांश साहित्य तंत्र और कार्यान्वयन पर कसरत शुरू करने से पहले सुरक्षा नीति को परिभाषित करने के महत्व के बारे में वार्तालाप करते हैं। हालांकि यह तार्किक लगता है, यह स्पष्ट रूप से अस्पष्ट है कि सुरक्षा नीति को परिभाषित करने का वास्तव में क्या मतलब है।

यहाँ किसी को भी एक सुरक्षा नीति को परिभाषित करने में किसी भी अनुभव हुआ है, और यदि ऐसा है तो:

1) इस तरह के एक परिभाषा के परिणाम क्या है? वितरित प्रणाली कहने के लिए ऐसी नीति का रूप है, एक दस्तावेज जिसमें सिस्टम की सुरक्षा आवश्यकताओं (क्या अनुमति है और क्या नहीं है) पर बयानों की श्रृंखला शामिल है?

2) क्या पॉलिसी मशीन को पठनीय रूप ले सकती है (यदि यह समझ में आता है) और यदि ऐसा है तो इसका उपयोग कैसे किया जा सकता है?

3) कोई ऐसी नीति कैसे बनाए रखता है? क्या पॉलिसी सिस्टम पर प्रलेखन (बाकी सभी दस्तावेज के साथ) के रूप में रखी जाती है?

4) कोड में नीति दस्तावेज़ के संदर्भों को संदर्भित करना आवश्यक है?

ब्रायन

Answer 1

आप एक सुरक्षा नीति डिजाइन करने के लिए है, तो क्यों उपयोगकर्ताओं और अनुमतियों के बारे में सोच भी नहीं?

तो, मान लीजिए कि आपके पास कुछ एपीआई है। उन उपयोगकर्ताओं की कुछ व्यवस्था पर विचार करें जो उन्हें विभाजित करते हैं कि वे क्या करना चाहते हैं और उन्हें न्यूनतम अनुमतियों को करने की आवश्यकता है। तो अगर किसी को केवल डेटाबेस से दस्तावेज पढ़ना पड़ता है, तो एपीआई स्वयं उपयोगकर्ता को कुछ और करने नहीं देगा।

कल्पना कीजिए कि यह एक वेब JSON API है। उपयोगकर्ता एक बटन क्लिक करता है और जेएस एक अनुरोध को संसाधित करता है, और इसे भेजता है। आम तौर पर यह ठीक काम करता है, लेकिन अगर कोई अनुरोध को टैंप करता है, तो सर्वर बस कुछ त्रुटि कोड देता है क्योंकि यह केवल कुछ क्रियाओं को श्वेतसूची में डाल रहा है जो उपयोगकर्ता कर सकते हैं।

तो मुझे लगता है कि यह सब उपयोगकर्ताओं और अनुमतियों के लिए उबलता है।

Answer 2

आपको मानक सुरक्षा नीतियों में से एक लेना चाहिए और वहां से काम करना चाहिए। पीसीआई अनुपालन (भुगतान कार्ड उद्योग) सबसे आम है। यह बहुत अच्छी तरह से सोचा जाता है और कुछ मुलायम धब्बे को छोड़कर, आम तौर पर अच्छा होता है। मैंने Microsoft सक्रिय निर्देशिका परिभाषा या लिनक्स iptables नियमों की एक श्रृंखला को छोड़कर मशीन पठनीय नीति के बारे में कभी नहीं सुना है।

https://www.pcisecuritystandards.org/security_standards/pci_dss.shtml

संपादित करें: एसई लिनक्स भी नीतियों

चेक आउट:

http://en.wikipedia.org/wiki/Security-Enhanced_Linux

Answer 3

ओपन वेब अनुप्रयोग सुरक्षा परियोजना OWASP एक भाषा-नास्तिक परियोजना सुरक्षा के बारे में शिक्षित और प्रदान करना है सॉफ्टवेयर का परीक्षण और समर्थन करने के लिए उपकरण। हालांकि यह वेब केंद्रित है, कई मूल विचार व्यापक रूप से लागू होते हैं। वेबसाइट दोनों सॉफ्टवेयर इंजीनियरों के साथ-साथ प्रबंधन की दिशा में तैयार है।

Answer 4

जब लोग "सुरक्षा नीति" के बारे में बात करते हैं, तो वे दो अलग-अलग प्रकार की सुरक्षा नीति का जिक्र कर रहे हैं।

उनमें से एक उच्च स्तर वाले हैं, आमतौर पर प्रबंधन द्वारा परिभाषित किया जाता है। यह सुरक्षा नीति के प्राथमिक पाठक मानव हैं। यह प्रबंधन का दिमाग में लक्ष्य, संदर्भ, अपेक्षाओं और सुरक्षा की आवश्यकताओं को परिभाषित करने वाला एक दस्तावेज़ है।इस नीति के अंदर उपयोग की जाने वाली भाषाएं अस्पष्ट हो सकती हैं, लेकिन यह लागू संदर्भ में सुरक्षा का प्राथमिक "कानून" है। शामिल सभी को ऐसी नीति का पालन करना चाहिए।

1) ऐसी नीति का नतीजा प्रबंधन से स्पष्ट रूप से परिभाषित सुरक्षा आवश्यकताओं है। इस नीतियों के साथ, शामिल सभी लोग प्रबंधन की अपेक्षा को समझ सकते हैं और आवश्यक होने पर सुरक्षा-संबंधित निर्णय ले सकते हैं।

2) चूंकि ऐसी सुरक्षा नीतियों के प्राथमिक पाठक मानव हैं, और बयान आम तौर पर बहुत सामान्य होते हैं, यह मशीन पठनीय रूप में नहीं हो सकता है। हालांकि, पॉलिसी पर आधारभूत परिभाषा, अर्थात् सुरक्षा दिशानिर्देश, प्रक्रियाओं और मैनुअल के आधार पर परिभाषित कुछ दस्तावेज हो सकते हैं। वे वास्तव में सुरक्षा को कैसे लागू किया जाना चाहिए इस बारे में विवरण के स्तर को बढ़ाने के क्रम में हैं। उदाहरण के लिए, सुरक्षा नीति में परिभाषित आवश्यकताओं को विभिन्न ओएस के लिए सख्त मैनुअल में महसूस किया जा सकता है, ताकि प्रशासक और इंजीनियरों प्रबंधन के विचारों को समझने में बहुत अधिक समय व्यतीत किए बिना कड़ी मेहनत कर सकें। सख्त मैनुअल को मशीन पठनीय कॉन्फ़िगरेशन के सेट में बदल दिया जा सकता है (उदाहरण के लिए खाता पासवर्ड लॉक करने से पहले न्यूनतम पासवर्ड लंबाई, अधिकतम विफलता लॉगिन गिनती) आदि सख्त कार्यों को स्वचालित करना।

3) दस्तावेज़ शामिल सभी के लिए सुलभ किया जाना चाहिए, और प्रबंधन द्वारा नियमित रूप से समीक्षा की जानी चाहिए।

4) व्यावहारिक रूप से ऐसे संदर्भ बनाना मुश्किल हो सकता है। सुरक्षा नीतियों को समय-समय पर अपडेट किया जा सकता है, और यदि संभवतः नीति कुछ बदलावों को प्रभावित करती है तो आप शायद अपने प्रोग्राम को पुन: संकलित नहीं करना चाहेंगे। हालांकि, डिजाइन सीपीसी जैसे विकास दस्तावेजों में नीति का संदर्भ देना अच्छा है।

एक और प्रकार की "सुरक्षा नीतियां" केवल पैरामीटर के उन सेटों को संदर्भित कर सकती हैं जो सुरक्षा कार्यक्रम हैं। मैंने पाया कि कुछ सुरक्षा कार्यक्रम वास्तव में अपनी नीतियों को अधिक संगठित और संरचनाओं को बनाने के लिए "नीति" शब्द का उपयोग करना पसंद करते हैं। लेकिन वैसे भी, ये "सुरक्षा नीतियां" वास्तव में केवल मूल्यों और/या सुरक्षा कार्यक्रमों के पालन के लिए निर्देश हैं। उदाहरण के लिए, विंडोज के पास ऑडिट लॉगिंग, उपयोगकर्ता अधिकार आदि को कॉन्फ़िगर करने के लिए उपयोगकर्ता के लिए "सुरक्षा नीतियां" का अपना सेट है। इस प्रकार की "सुरक्षा नीतियां" (प्रोग्राम के लिए पैरामीटर) वास्तव में पहली प्रकार की "सुरक्षा नीतियों" के आधार पर परिभाषित की जाती है। (प्रबंधन से आवश्यकताओं) ऊपर वर्णित अनुसार।

मैं इस पर बहुत अधिक लिख रहा हूं। आशा करता हूँ की ये काम करेगा।