windows系统安全策略

第一篇：windows系统安全策略

Windows 系统安全设置策略

１．服务器的物理安全

２．administrator账号更名、禁用Guest账号

３．更改文件夹和打印共享默认everyone组权限

４．设置密码复杂性要求，设置密码有效期

５．设置屏保密码

６．设置分区格式为NTFS格式

７．开启系统安全策略（帐户策略、本地策略）

８．关闭TerminalServices和IIS服务

９．关闭不必要的服务端口

常用服务列表c:windowssystem32driversetcservices

网上邻居>属性>本地连接>属性>internet 协议(tcp/ip)>属性>高级>选项>tcp/ip筛选>属性 打

开tcp/ip筛选，添加需要的tcp,udp,协议即可。

10．不显示上次登录的用户帐户名

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsNTCurrentVersionWinlogonDontDisplayLastUserName=1

11．禁止建立IPC$空连接

HKEY_LOCAL_MACHINESystemCurrentControlSetControlLSARestrictAnonymous=1

12．下载最新的Service Pack和漏洞补丁

13．禁用磁盘默认共享

HKEY_LOCAL_MACHINESystemCurrentControlSetServiceslanmanserverparametersAutoShareServerREG_DWORD=0x0

14．禁用ADMIN共享

HKEY_LOCAL_MACHINESystemCurrentControlSetServiceslanmanserverparametersAutoShareWks REG_DWORD=0x0

15．限制IPC$共享

HKEY_LOCAL_MACHINESystemCurrentControlSetControlLSARestrictAnonymousREG_DWORD=0x0 匿名用户无法列举本机用户列表

REG_DWORD=0x1 匿名用户无法连接本机IPC$共享（不建议使用该值，否则造成某些服务无

法启动如Sql Server）

16．禁用445端口

[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesNetBTParameters]

“SMBDeviceEnabled”=dword:00000000

17．禁止网页修改注册表

管理工具-> 服务-> Remote Registry Service-> “已禁用”

18．安装并运行防病毒软件、定期升级

19．敏感文件存放不同的文件服务器上，定期备份数据。

20．打开审核策略

21．使用文件加密系统EFS

Windows2000 强大的加密系统能够给磁盘，文件夹，文件加上一层安全保护。这样可以防止别人把你的硬盘挂到别的机器上以读出里面的数据。记住要给文件夹也使用EFS,而不仅仅是单个的文件.有关EFS的具体信息可以查看

22．关机时清除掉页面文件

编辑注册表 HKLMSYSTEMCurrentControlSetControlSession ManagerMemory Management把ClearPageFileAtShutdown的值设置成1。

第二篇：信息安全策略

信息安全策略

是一个有效的信息安全项目的基础。从信息安全领域中发生的事件来看，信息安全策略的核心地位变得越来越明显。例如，没有安全策略，系统管理员将不能安全的安装防火墙。策略规定了所允许的访问控制、协议以及怎样记录与安全有关的事件。尽管信息安全策略是廉价的实施控制方式，但它们也是最难实施的。策略花费的仅仅是创建、批准、交流所用的时间和精力，以及员工把策略整合形成日常行为规范所用的时间和精力。即使是雇佣外部顾问来辅助制定策略，与其它控制方法（特别是技术控制）相比，其花费也是较小的。策略的制定需要达成下述目标：减少风险，遵从法律和规则，确保组织运作的连续性、信息完整性和机密性。

信息安全策略应主要依靠组织所处理和使用的信息特性推动制定。组织为高层主管、董事会成员、战略伙伴以及员工提供了内部信息系统，对信息系统中信息特性的理解，能为策略制定提供有用的依据。应当重视对信息系统了解深刻的员工，所提出的组织当前信息的主要特性，具体包括：什么信息是敏感的、什么信息是有价值的以及什么信息是关键的。

在制定一整套信息安全策略时，应当参考一份近期的风险评估或信息审计，以便清楚了解组织当前的信息安全需求。对曾出现的安全事件的总结，也是一份有价值的资料。也需要召开相关人员会议，比如首席信息官、物理安全主管、信息安全主管、内部审计主管和人力资源主管等。

为了确定哪些部分需要进一步注意，应收集组织当前所有相关的策略文件，例如计算机操作策略、应用系统开发策略、人力资源策略、物理安全策略。也可以参考国际标准、行业标准来获得指导。

资料收集阶段的工作非常重要，很多时候因为工作量和实施难度被简化操作。资料收集不全，调研不够充分会导致新建的信息安全策略无法与组织的真正需求一致。也无法确保策略中的要求与管理目标相一致。如果提出一套与组织文化明显不一致的策略，更是一件很尴尬的事情。

在制定策略之前，对现状进行彻底调研的另一个作用是要弄清楚内部信息系统体系结构。信息安全策略应当与已有的信息系统结构相一致，并对其完全支持。这一点不是针对信息安全体系结构，而是针对信息系统体系结构。信息安全策略一般在信息系统体系结构确立以后制定，以保障信息安全体系实施、运行。例如，互联网访问控制策略可使安全体系结构具体化，也有利于选择和实施恰当的防火墙产品。

收集完上面所提到的材料后，也就是调研阶段完成后，开始根据前期的调研资料制定信息安全策略文档初稿。初稿完成后，应当寻找直接相关人员对其进行小范围的评审。对反馈意见进行修改后，逐渐的扩大评审的范围。当所有的支持部门做出修改后，交由信息安全管理委员会评审。

信息安全策略的制定过程有很高的政策性和个性，反复的评审过程能够让策略更加清晰、简洁，更容易落地，为此在评审的过程中需要调动参与积极性，而不是抵触。

评审过程的最后一步一般由总经理、总裁、首席执行官签名。在人员合同中应当表明能予遵守并且这是继续雇佣的条件。也应当发放到内部服务器、网页以及一些宣传版面上的显眼位置，并附有高层管理者的签名，以表明信息安全策略文档

得到高层领导强有力的支持。如果让首席执行官签名不现实，由首席信息官签名也可以。要注意仅有信息安全部门主管或同级的部门主管签名，一般不足以表明高层管理者的同意和支持。虽然获得高层管理者的同意很难实施，但经验表明，高层的支持对策略的实施落地是非常重要的。

一般来说，在信息安全策略文件评审过程中，会得到组织内部各方多次评审和修订，其中最为重要的是信息安全管理委员会。信息安全委员会一般由信息部门人员组成，参与者一般包括以下部门的成员：信息安全、内部审计、物理安全、信息系统、人力资源、法律、财政和会计部。这样一个委员会本质上是监督信息安全部门的工作，负责筛选提炼已提交的策略，以便在整个组织内更好的实施落地。如果组织内还没有信息安全管理委员会，在制定信息安全策略的时候正是建立管理委员会的好时机，或由组织内已存在的同职能部门担任职责。

虽然制定了新的安全策略，还必须有一个适当的实施过程，如果这些策略不能得到实施，将起不到任何作用，不能得到执行的策略，可能比完全没有策略更糟糕，因为这样会教会员工作假和质疑组织内部执行力，这也可能麻痹管理者认为信息安全为题已经处理虽然现实是另外一回事。

管理层常以为员工行为当然以组织利益为重，这是一个欠考虑的想法。虽然策略不可能影响员工的个人价值观，但管理层可以运用策略给员工提供机会，引导他们和组织的利益一致。策略告诉员工组织对他们的期望是什么。

新策略发布前，应在内部信息技术部门或审计部门内讨论如果具体实施。新策略的执行可能会遇到多样化的问题。可以通过绩效评估和相应奖惩制度来保证策略的执行有效性。发现和惩罚违反策略的员工并不是目的。如果大量的人都不遵守，这就表明策略和相关的意识提升是无效的。在此情形下，需要寻找更有效的方式实施，或修改策略，以便更好的反映组织文化。

另有一些策略实施的建议：

在组织内部网站或一些媒体发布策略—新策略应发布在组织内部网站上，加入相关链接让用户能很快定位感兴趣的材料。

制定自我评估调查表—在新的策略实施时，制定评估表，填写实施情况，就能明确哪些部门没有遵守好、哪些地方需要额外加强控制。

制定遵守信息安全策略的员工协议表——应当编辑一个反映员工该如何遵守信息安全策略的法律协议表，或直接体现在员工合同中。

建立考察机制检查员工是否理解策略——调查员工是否理解安全策略文档中的重点。通过考试确定是否要增加培训和通告。

基础信息安全培训课程——培训课程通过录像或培训软件存档。不同策略对象可能要不同的培训课程。

分配策略落实负责人——按部门或实际情况分配负责人，落实责任。

第三篇：管理信息系统安全策略

管理信息系统安全策略

对于企业竞争来说，资料的保密和安全是非常重要的。资料的保密和安全涉及以下几个方面：

1、资料自身的完整性和规范性；

2、资料存储的安全性；

3、资料的维护（更新）和引用（查阅）的管理手续（即流程）的规范性及权力限定的严谨性。

用一句通俗的话来归纳，在企业中，只有通过授权的人（岗位）才可使用（包括维护和引用）相关的资料，严禁未经过授权的人（岗位）非法使用资料。而对于（计算机）管理信息系统应用来说，资料包括基础（技术）数据和业务数据。首选要求数据（即资料）要具有良好的共享性，其次要求流程（即业务）处理具有连贯性。

基于上述两者之间的需求，要求（计算机）管理信息系统本身应具有下列基本功能：

1、保证企业资料的完整性和一致性（关系数据库本身功能可解决）；

2、资料存储的安全可靠性（可通过配置高性能的数据库服务器、备份及加强服务器的保安管理可解决）；

3、通过强有力的权限管理功能，将企业所有的数据根据实际情况定义出所有者（机构）。同时授权（控制）每个人（岗位）的功能模块（业务操作）使用权限，所能查阅及维护的数据的范围（即能查阅哪些机构的数据，在软件系统中表现为数据表中的记录行），以及查阅及维护数据的哪些明细属性（在软件系统中表现为数据表的列）；

4、结合企业运作的实际情况和未来需要，可定义出各业务之间的工作（操作）流程。

第四篇：Windows系统的重要文件一览表

演讲稿 工作总结 调研报告 讲话稿 事迹材料 心得体会 策划方案

Windows系统的重要文件一览表

├—WINDOWS │ ├—system32（存放Windows的系统文件和硬件驱动程序）│ │ ├—config（用户配置信息和密码信息）

│ │ │ └—systemprofile（系统配置信息，用于恢复系统）│ │ ├—drivers（用来存放硬件驱动文件，不建议删除）│ │ ├—spool（用来存放系统打印文件。包括打印的色彩、打印预存等）

│ │ ├—wbem（存放WMI测试程序，用于查看和更改公共信息模型类、实例和方法等。请勿删除）

│ │ ├—IME（用来存放系统输入法文件，类似WINDOWS下的IME文件夹）

│ │ ├—CatRoot（计算机启动测试信息目录，包括了计算机启动时检测的硬软件信息）

│ │ ├—Com（用来存放组件服务文件）

│ │ ├—ReinstallBackups（电脑中硬件的驱动程序备份）│ │ ├—DllCache（用来存放系统缓存文件。当系统文件被替换时，文件保护机制会复制这个文件

下的文件去覆盖非系统文件）│ │ ├—GroupPolicy（组策略文件夹）│ │

│ ├—system（系统文件夹，用来存放系统虚拟设备文件）

精心收集

精心编辑

精致阅读

如需请下载！

演讲稿 工作总结 调研报告 讲话稿 事迹材料 心得体会 策划方案

│ ├—$NtUninstall$（每给系统打一个补丁，系统就会自动创建这样的一个目录，可删除）

│ ├—security（系统安全文件夹，用来存放系统重要的数据文件）│ ├—srchasst（搜索助手文件夹，用来存放系统搜索助手文件，与msagent文件夹类似）

│ ├—repair（系统修复文件夹，用来存放修复系统时所需的配置文件）

│ ├—Downloaded Program Files（下载程序文件夹，用来存放扩展IE功能的ActiveX等插件）

│ ├—inf（用来存放INF文件。INF文件最常见的应用是为硬件设备提供驱动程序服务，不建议删除其中文件）│ ├—Help（Windows帮助文件）

│ ├—Config（系统配置文件夹，用来存放系统的一些临时配置的文件）

│ ├—msagent（微软助手文件夹，存放动态的卡通形象，协助你更好地使用系统。若觉的没有必要，可直接删除）│ ├—Cursors（鼠标指针文件夹）

│ ├—Media（声音文件夹，开关机等wav文件存放于此）│ ├—Mui（多语言包文件夹，用来存放多国语言文件。简体中文系统中这个文件夹默认是空的，但不建议删除此文件夹）

│ ├—java（存放Java运行的组件及其程序文件。不建议删除其中文件）

精心收集

精心编辑

精致阅读

如需请下载！

演讲稿 工作总结 调研报告 讲话稿 事迹材料 心得体会 策划方案

│ ├—Web │ │ ├—Wall*****（存放桌面壁纸的文件夹）│ │

│ ├—addins（系统附加文件夹，用来存放系统附加功能的文件）│ ├—Connection Wizard（连接向导文件夹，用来存放“Internet连接向导”的相关文件）

│ ├—Driver Cache（驱动缓存文件夹，用来存放系统已知硬件的驱动文件）

│ │ └—i386（Windows操作系统自带的已知硬件驱动文件，可删除以节省空间）

│ ├—TEMP（系统临时文件夹，其中内容可以全部删除）│ ├—twain_32（扫描仪相关）

│ ├—AppPatch（应用程序修补备份文件夹，用来存放应用程序的修补文件）

│ ├—Debug（系统调试文件夹，用来存放系统运行过程中调试模块的日志文件）

│ ├—Resources（系统资源文件夹，用来存放系统SHELL资源文件，就是我们在桌面上所看到的主题）

│ │ └—Themes（桌面主题都存放于此，可删除无用主题）│ ├—WinSxS（存储各个版本的Windows XP组件，减少因为DLL文件而引起的配置问题）│ ├—ime（输入法信息）

精心收集

精心编辑

精致阅读

如需请下载！

演讲稿 工作总结 调研报告 讲话稿 事迹材料 心得体会 策划方案

│ ├—PCHealth（用来存放协调、配置和管理计算机正常运行的文件）

│ │ └—HelpCtr（帮助和支持）

│ │ ├—Binaries（我们常用的msconfig就在这里哟）│ ├—Offline Web Pages（脱机浏览文件存放于此）

│ ├—Prefetch（预读取文件夹，用来存放系统已访问过的文件的预读信息(此信息是系统在访问时自动生成的新信息)，以加快文件的访问速度，其扩展名为“PF”。可以将此文件夹中的文件删除）│ ├—ShellNew │ ├—Fonts（字体文件夹。要安装某种字体只需将字体文件复制到该目录下即可）

│ ├—pss（用来备份系统启动配置文件的，一般对“Boot.ini”、“System.ini”和“Win.ini”三个文件进行备份，扩展名为“backup”。如果系统原有的这三个文件损坏的话，可以从这里进行恢复。不建议删除）

│ ├—Registration（注册文件夹，用来存放用于系统COM＋或者其他组件注册的相关文件。不建议删除这里的文件）

│ └—Downloaded Installations（存放一些使用Windows Installer技术的安装程序，主要用来对程序进行修复等操作）├—Documents and Settings │ ├—Default User │ │ ├—Application Data（通用应用程序数据文件夹。此处存放着

精心收集

精心编辑

精致阅读

如需请下载！

演讲稿 工作总结 调研报告 讲话稿 事迹材料 心得体会 策划方案

已经安装的一些应用程序的专用数据）│ │ ├—桌面

│ │ ├—Favorites（收藏夹）│ │ ├—NetHood（网络共享目录）│ │ ├—My Documents（我的文档）│ │ ├—PrintHood（打印共享目录）│ │ ├—Recent（最近打开的文档）│ │ ├—SendTo（鼠标右键的发送到）│ │ ├—「开始」菜单

│ │ ├—Templates（模板文件夹，可能有Word、Excel等的模板文件）

│ │ └—Local Settings │ │ ├—Application Data │ │ └—Temp（临时文件目录。在系统和软件的运行过程中产生的临时文件就存放在于此。需定期清理）

│ │ └—Temporary Internet Files（Internet临时文件夹。需定期清理）

│ ├—All Users（所有用户文件夹，这里的更改对所有用户有效）│ └—Administrator（系统管理员帐户的文件夹）├—Program Files │ ├—Common Files（共享的应用程序文件存放于此）│ ├—Internet Explorer（IE浏览器）

精心收集

精心编辑

精致阅读

如需请下载！

演讲稿 工作总结 调研报告 讲话稿 事迹材料 心得体会 策划方案

│ ├—ComPlus Applications（COM+ 组件的配置和跟踪，一般为空）│ ├—Windows Media Player（WINDOWS媒体播放器）│ ├—WindowsUpdate（用于Windows的升级，可删除）│ ├—InstallShield Installation Information │ ├—Uninstall Information（存放软件反安装信息，删除后可能导致部分软件无法卸载）

├—wmpub（windows media service的目录）├—boot（一键还原等软件的文件夹）├—Inetpub（IIS文件夹）

├—Downloads(Flashget默认下载文件夹)├—System Volume Information(系统还原文件夹)└—TDdownload（迅雷默认下载文件夹）

Debug文件夹

这是系统调试文件夹，用来存放系统运行过程中调试模块的日志文件，以便管理员根据这些日志文件来发现计算机所存在的问题。其中“UserMode”文件夹下存放的是当前用户的调试日志文件。

ime文件夹

这是输入法文件夹，用来存放系统默认安装的输入法文件。Windows操作系统已经内嵌了东亚国家的输入法，如日语，韩文等，从理论上

精心收集

精心编辑

精致阅读

如需请下载！

演讲稿 工作总结 调研报告 讲话稿 事迹材料 心得体会 策划方案

可以将用不到的一些其他语言输入法删除掉，但不建议这样做，因为这样有可能会导致输入法系统出现不稳定的情况，严重影响简体中文输入法的正常使用。CHSIME：简体中文输入法； CHTIME：繁体中文输入法； IMEJP：日文输入法； IMEJP98：日文98输入法；

IMJP8_1：微软IME标准2002的8.1版本输入法； IMKR6_1：朝鲜语（IME2002）6.1版本输入法； SHARE：东亚语系共享文件夹。

Fonts文件夹

这是字体文件夹，用来存放系统将会用到的字体文件。用户自己新安装的字体也会被存放在这个文件夹下的。其中英文的字体类型比较多，而简体中文字体文件只包括仿宋体、黑体、楷体、宋体和新宋体四个类型，即计算机编码中的GB2312。可以将其中一些不常使用的英文字体删除。

Installer文件夹

这里用来存放MSI文件或者程序安装所需要的临时文件。MSI文件是

精心收集

精心编辑

精致阅读

如需请下载！

演讲稿 工作总结 调研报告 讲话稿 事迹材料 心得体会 策划方案

Windows 系统的安装包，右击文件在右键菜单中可以选择安装或者卸载程序。有的程序在卸载时必须使用到MSI文件，所以不建议删除此文件夹内的文件。

system32文件夹

这是32位系统文件夹，用来存放系统重要文件的，同时一些应用程序在安装时也会将其相应的支持文件复制到这个文件夹里来，因此强烈反对删除此文件夹下文件或此文件夹的做法。由于此文件夹下的文件和此文件夹众多，我们只列举一些具有代表性的文件夹

① CatRoot：用来存放计算机启动测试信息的目录，包括了计算机启动时检测的硬软件信息。

② Com：用来存放组件服务文件，运行其的“comexp.msc”就会打开组件服务控制台。

③ DllCache：用来存放系统缓存文件，当系统本来的文件被替换时，文件保护机制会复制这个文件

夹下的备份系统文件去覆盖非系统文件。你可以用“SFC /SCANNOW”命令格式扫描一下系统文件，然后就可以将其下的所有文件全部删除了。

④ Drivers：用来存放硬件驱动文件。如果删除其中的文件，会导致

精心收集

精心编辑

精致阅读

如需请下载！

演讲稿 工作总结 调研报告 讲话稿 事迹材料 心得体会 策划方案

硬件失去驱动而无效。

⑤ IME：用来存放系统输入法文件，类似上去的IME文件夹。⑥ oobe：用来存放系统的激活信息。

⑦ Restore：用来存放系统还原文件。双击运行“rstrui.exe”文件，就会调用系统还原功能。

⑧ Setup：用来存放系统安装文件。

⑨ spool：用来存放系统打印文件。包括了打印的色彩、打印预存等。⑩ wbem：用来存放WMI测试程序。

精心收集

精心编辑

精致阅读

如需请下载！

第五篇：工业网络安全策略

工业网络安全策略

随着新一年的到来，发电厂和大型电力企业对网络安全的重视程度也迈上了一个新的台阶。NERC CIP（北美电力保障组织，关键基础设施保护）条例的生效意味着电力供应和输配电部门必须采取明确的安全防范措施，以确保持续供电。一旦有人违反了条例中的要求，就会被处以巨额罚款。

而许多行业外人士也正在密切关注电力行业的动态。他们期望自己的行业中也能够出现类似的法规，而且是越早越好。在过去的一、两年中，工业网络安全经历了迅猛的发展。大约一年前，美国中央情报局（CIA）的一份报告中记录了这样一起事件：一项勒索行动中，一部放置在海外的设备被网络黑客成功破坏。严重黑客攻击（如图所示）的性质，已经从单纯的娱乐，扩展到了犯罪、恐怖主义、甚至国家赞助的间谍活动。我们必须采取适当而有力的防御措施来应对黑客攻击行为的不断升级。

NERC CIP条例自2002年颁布以来，经常有人将其执行效果与那部在执行上充满混乱的Sarbanes-Oxley(SOX)法案相比较。艾默生电力和水力部门的SCADA及安全业务发展经理Eric Casteel承认，两者在执行效果上有相似之处。他说：“SOX法案颁布之后，相关的指导很少而且对该法案的理解差异很大。NERC CIP标准颁布之后，情况也是如此。有些客户正在走高质量线路，并希望采取最佳做法，以求在审查中获得‘A’。而有些客户则只想拿一个‘C’了事。更有些工厂的相关人员还会以‘我们不属于关键资产’为理由进行搪塞。如果他们的工厂没有停电启动设施，同时也不是重要的兆瓦级发电站，那么他们就可能以此作为理由。但是从整体来看，一组电网的整体安全性仅等同于其中最薄弱部分的安全性。在这种情况下，标准条例监管机构会对这些企业下达强制命令：每个发电、传输和配送部门，不论是否属于关键资产部门，都必须履行这些条例。”

黑客能够以各种手段和动机闯入你的系统。他们的特征具有普遍性，但也有特别之处。

要抵御业余爱好者的入侵并不困难，但是若想抵御训练有素和有目的的恐怖、犯罪分子入侵就全然不是那么回事了。

从何入手？

如果你是从事电力或其他行业工作的，那么你应该如何在你的DCS（集散控制系统）、SCADA（监控与数据采集系统）、或其它工业控制网络中实施基本的网络安全措施呢？通常在一个项目开始之前，应该首先对当前的情况进行一次评估，尤其要对网络中的所有设备做一次清查。你需要弄清楚设备是怎样连接的，以及设备上运行着何种软件。如果你希望找出黑客从外部进入系统的方式并建立起适当的屏障，那么这就是你要做的第一件事。

“用户对他们系统的实际架构和连接方式的认识往往非常肤浅，”西门子能源与自动化集团过程自动化系统市场营销经理Todd Stauffer说道，“很多设备通过直接或间接的方式连接到控制网络中，而生产过程负责人几乎无法控制它们。因此，相关人员首先要做的事情之一，就是确认系统的实际架构。应该说，实际架构很可能与他们想象中的大相径庭。可以肯定的是，相关人员在确认系统架构的过程中几乎总会发现意想不到的连接。”

艾默生过程管理的数据管理解决方案高级顾问David Rehbein，在Microsoft任职期间，从事了很多年网络评估工作。他也认为进行评估是关键的第一步。“在系统清查过程中，你可以发觉网络上的每个IP地址，一些IP地址往往是在无人知晓的情况下悄然出现的。有些人连进网络、在上面放了点东西，却忘了告诉管理员(IT)。于是，你的系统上就有了一个非法客户端或服务器。如果你对它的存在一无所知，那么你就无法知道它是否打了正确的安全补丁。你更无法知道它是否安全，有没有运行查毒软件。

了解你的连接

独立的控制系统很容易保护，但这样的系统已经很少存在了。如果管理员要了解工厂当前的情况，那么他获取信息的最简单方法就是查看控制系统。这样的话，控制系统就要连接到公司的网络中，而公司网络毫无疑问是连接互联网的。如果这类连接没有得到很好的保护，那么就可能成为了一个主要的突破口。控制系统与公司网络结合得越全面，潜在的突破口就越多。这就是所谓的攻击面积。

Rehbein回顾了一个他在微软工作时参与的项目：“我们一天就完成了第一次评估，因为那是一个非常简单的连接。他们没有把工厂网络连接到其他地方，能够进入该网络的唯一方式是进到建筑内部。与这种情况形成鲜明对比的是：有些人希望和客户或是位于瑞士的公司IT部门分享项目清单或者目前的生产水平。这就需要直接的互联网连接，这也为其他任何人进入你的系统打开了方便之门。

出于商业目的的连接会可能会招来更多潜在的攻击，这给操作人员和控制系统带来了更多的压力。霍尼韦尔过程解决方案开放系统服务的全球项目经理Shawn Gold担心各企业正在失去自行处理问题的能力。日益依赖外部支持就意味着增加突破口。“任何与外部世界的连接都是有风险的，”他警告说，“但是为了获得有帮助的服务和资源，你又必须连接到外部，这在当今的经济环境下更是如此。你可能已经记录了所有的连接，这是一件好事。但也会有潜在的未被记录的连接，或为应对紧急情况而特设的连接，可能造成安全风险。因此你必须知道在紧急情况下该做些什么，以及在遇到困难时，如何保护自己。”

监控软件

除了连接之外，你还需要知道网络上有什么软件。这一点至关重要的，主要的原因有两个：一些软件存在可以被黑客利用的漏洞；编写不良的程序可能会引起内部问题。

“每次增加软件的同时，你也增加了被攻击范围。” 霍尼韦尔过程解决方案的全球安全架构师Kevin Staggs建议道，“你安装的一些不必要的软件可能会与其他一些必要的控制软件形成冲突，导致系统失灵。有些故障甚至是你无法看到的。有时候，软件在编写时的错误会造成内存溢出。我们发现一个反病毒系统补丁里有内存溢出，而运行该程序的控制系统在出现内存不足前大约能运行35天。到那时候，系统就会出现严重的减速或者显示警告，而操作人员会不知所措。”

Staggs补充说，这些有问题的程序可以产生和黑客引入的恶意软件同样的后果。如果软件没有被你的控制系统供应商完全核实，那么就可能导致隐性冲突。他建议：“你应该遵循一个非常良好的变化执行过程。在你执行一个变化之前，务必先检查其基本的性能；在执行

变化之后，立刻再检查一次，并观察一段时间。如果你严谨到这种程度，应该就能够侦测到任何可能发生的问题。”

当你了解了自己网络的情况之后，如果出现了问题，你就会知道是否需要处理它了。西门子的Stauffer提到，白帽（white hat）组织发布了他们在公用软件平台上发现的漏洞，敦促供应商修正它们，并警告说：“他们没有意识到，他们的这一举动是在为系统添乱，当传统系统的漏洞被公布在互联网上供所有人浏览的时候，相关人员不得不去做那些他们原先不准备做的事情。这足以告诉黑客，对于一个给定的系统应该从何着手实施攻击。你还打算通过隐藏漏洞以保证安全吗？忘了它吧。你的系统弱点早已经被公布在网上了。”

咨询你的供应商

你可以采取的一个最简单方法，就是向最初为你打造系统的供应商进行咨询。大多数公司会提供指导、案例研究、最佳做法以及根据积累的经验得出的其他意见。

网络安全还包含了许多方面，但在此处讨论并不合适。人事政策，外部管理收购，实体安全，纵深防御等等，都会对网络安全策略产生影响。许多组织和公司为工业系统提供了网络安全资源。如果你希望对此作深入研究，那么最好看一下这篇文章的边栏。你应该始终牢记，没有解决一切的答案，也没有绝对的安全。你能够指望的最好情况是你的保护等级强于攻击者的攻击力度。

你的网络安全实施资源

我们需要利用多种资源，或者说通过适当的纵深防御控制来“保障”过程控制系统的安全。譬如获取管理支持，进行评估，确定风险因素，选择修复方案，在获取管理支持后对适当的技术、程序和安全意识作高效整合并开展培训计划。总之，请千万记得获取管理支持。

网络安全的学习方式是多种多样的，要根据具体的过程而定。但是，最佳出发点无疑是先回顾并深入理解以下内容：

1.NERC CIP（北美电力保障组织，关键基础设施保护）条例：这套重要的网络安全标准对大型电力系统组织有着深远的影响。它还牵扯到其他涉及过程控制的领域，如航空、铁路、废水处理、天然气、炼油、化工和制造业。因为这些领域在国际上也被公认是关键的基础设施。NERC CIP是第一部具有制裁力的网络安全标准。不符合该标准的情况一经发现，可能被处以高达每天100万美元的罚款。由于该标准被界定为一套大型关键基础设施保护标准，其他用到SCADA和DCS的领域也正在对它进行审核。NERC CIP标准可在获得。该标准需要结合具体的情况解释执行，遵守标准的方式不止一种。

2.美国爱达荷国家实验室的国家SCADA系统试验平台和DHS控制系统安全计划：这项计划提供了许多关于安全意识、安全评估和安全架构方面的细节。它涉及的范围非常广泛，其中，我们特别推荐的一项是控制系统的网络安全获取语言，相应链接为：www.xiexiebang.com/isasp99。

5.传统的IT解决方案，譬如信息及相关技术的控制目标(CObIT)，ISO 27005和ISO 17799标准：许多现有的IT控制和安全框架能够在工业控制系统环境内提供基本的操作。传统IT业务系统和过程控制系统的连接往往要考虑到效率和成本控制。因此，最好的做法是对特定的IT和过程控制系统进行优势互补。关键问题是如何划定连接系统与独立操作系统之间的界限？寻找这一答案对相关组织和行业来说无疑是个挑战，却有着特别的意义。www.xiexiebang.com；www.xiexiebang.com。

许多组织为SCADA系统特别制定了标准，包括：ISA，ISO，IEC，API，AGA，ChemITC，DHS CSSP，PCSF，CIGRE，NSTB，IEEE，EPRI，I3P，NERC和NIST。Control Engineering将继续通过其网络安全博客，以实践和应用的方式解读这些标准，从而为解决所有基础设施普遍面临的安全挑战助一臂之力。

纵深防御的一个关键参考

由David Kuipers和Mark Fabro撰写的 《控制系统的网络安全：纵深防御策略》（2006年5月）一文被看作是工业网络安全方面的经典之作。Fabro是Lofty Perch总裁兼首席安全科学家，并曾经与美国DHS和INL（爱达荷国家实验室）开展过广泛的合作。关于撰写这篇报告，他这样说道：

“随着DHS的控制系统安全计划(CSSP)在私营部门密切开展，其中一个主要的想法是探讨如何在以前独立的大型系统内建立有效的网络安全。考虑到其中一些‘专用’技术的‘年龄’和操作上的差别，我们无法用当代的网络安全解决方案对它们进行合并。这些资产所有者和经营者已经告诉我们，诸如IDS(入侵检测系统)和防火墙之类的措施在起到积极效果的同时，又不会对操作造成任何影响。资产所有者需要一种平衡的安全策略，既不会打乱他们的系统，又能够减少网络风险。”

“纵深防御模型工作的理念是：针对控制架构中不同层次采用与其相适的安全水平等级，并将各层次的安全元素结合在一起构成一个全面的安全防御态势。编写这本实践指南主要是为了指导读者一些在控制系统环境中处理较常见的漏洞，以及如何部署适当的安全解决方案以帮助弥补这些漏洞。该计划的目标是综合CSSP收集的来自利益相关者的反馈，深入研究如何满足他们的需求，并建立指导以备相关部门进行评估。最终的指导经过寻求它的利益相关者核实和审查，必定能够产生非常积极的影响。目前，我们推荐的做法是对那些经过论证确实能对控制系统架构起到保护作用的方法作深入分析，尽量在提升安全性的同时不降低原有性能。”