信息安全管理中的安全软件开发生命周期中的维护与改善

考虑到现代机构面临威胁的易变性和持久性，维护和改善阶段虽然处于后期，但也许是最为重要的。当今的信息安全系统需要不断的监控、测试、改善、更新和修复。传统的应用程序系统是在软件开发生命周期框架内开发的，并非用来预测在正常操作进程中面临的恶意攻击。在安全方面，建立稳定和可靠的的系统实际是一场防御战。由于新的威胁不断产生，原有的威胁不断演化，机构的信息安全框架就需要不断地适应这样的变化，以预防各种威胁成功地渗透到敏感数据之中。

信息安全项目一经实施，就需要受到控制和正确的管理，以及依靠已经建立的程序保持先进性。如果计划不能做到根据内外环境变化及时调整，就有必要重新开始生产周期。CISO衡量信息安全组是否能及时适应和维护机构的信息安全， 或者说安全软件开发生命周期的宏观进程是否必须重新开发新的完全不同的信息安全框架。如果机构信息安全项目能够应对变化，那么它就会是低成本、高效率的。值得注意的是，即使一项信息安全项目是合理、成熟的，但那些维护和改善进程会反映安全软件开发生命周期的全过程，只是范围不同罢了。

当明确了不足和弱点时，维护、扩展和增强计划就遵循安全软件开发生命周期的步骤了。因此，对于维护来说，步骤包括了调研、分析、设计和实施。

当设计一个系统管理模型来管理和控制系统时，就用维护模型来补充系统管理模型以及把机构精力集中在系统维护上。图2-10给出了维护信息安全的一个推荐解决方案。该图提出了后面我们将讨论的维护框架，该维护模型包括了5个主题域或范围：

外部监控图2-10显示的外部监控的目标是跟踪新的威胁、威胁手段、漏洞和攻击，从而产生有效且及时的防御。

内部监控内部监控的主要目的是保持对机构的网络、信息系统和信息安全防御的状态要非常熟悉。相关情况必须被及时传达和记录，特别是连接到外部网络的信息系统部分的情况。

计划和风险评估计划和风险评估的主要目标是对信息安全项目的整体保持谨慎的态度。它可通过验证和对进行中的大幅降低风险的信息安全项目的。 

2-10维护模型

划取得局部实现。风险评估组也会验证和记录lT工程和信息安全工程提出的风险。此外，它还会验证和记录下当前环境中潜在的风险。

漏洞评估与纠正漏洞评估与纠正的主要目的是对具体的、有记录的漏洞进行验证并作出及时的纠正。它通过以下途径实现：

使用漏洞评估程序安全收集网络（内部和面向公众的）、平台（服务器、桌面和处理控制）、拨号调制解调器及无线网络系统的情况；

记录后台信息以及为已发现的漏洞提供经测试过的纠正程序；

跟踪、传达，并向管理层报告有关已发现漏洞的详细情况以及对其纠正的成败。

就绪与审查就绪与审查的主要目的是确保信息安全项目按设计执行，也希望其随时间变化不断提高。

脆弱性评估指对信息安全系统和相关的非安全领域系统中当前存在的漏洞的物理与逻辑上的评估。此类分析通常由渗透测试来完成。在渗透测试时，安全人员模仿或执行具体且受控的攻击，根据已发现的漏洞来危及或破坏自己的系统。此种测试一般在与机构外部的网络连接时使用，因为安全人员希望从攻击者的立场来找出机构系统的漏洞。渗透测试通常由一些顾问或在外联络的人执行， 这些人一般就是那些白帽黑客、民族黑客、老虎团队或者是红色团队。他们称谓是什么并不要紧，关键的是他们所做的。不用黑客的眼光审视自己系统的信息安全管理者都不能为信息安全计划做好准备。渗透测试中最优秀的程序和工具以及其他漏洞评估的方法就是使用黑客们使用的程序和工具。庆幸的是，很多入侵检测系统都能探测到这些工具的信号并向信息安全管理发出警告。

SecSDLC维护必须解决的问题之一就是选择系统管理模型。要协助信息安全部门有效地执行安全计划的管理和控制，就必须采用系统管理模型。一般来说，系统管理模型其实是一个对特殊活动或业务工作管理结构化的框架。以下所讨论的框架即是对ISO网络管理模型的修改。

ISO网络管理模型提供了覆盖5个领域的网络和系统操作与管理的构架：
    *故障管理

*配置和变更管理账户和审计管理

*性能管理

*安全项目管理

在原始形式中，ISO模型并不直接用于信息安全计划的管理，但是可以对其修改以适应多数信息安全计划中的各种管理任务。安全管理涉及的5种领域的ISO 模型将在接下来的部分中进行讨论。

故障管理在ISO模型中，故障管理指系统中故障的跟踪、诊断和解决。信息安全故障管理指在采用的信息安全架构中识别并解决故障，故障管理的另一方面是反映和解决用户的难处。

配置和变更管理配置管理是对安全计划中各个部分的管理。变更管理则是对策略、操作和信息安全计划各个部分的变更管理。配置和变更管理操作都强调做出技术和非技术的改善。技术的改善影响到支持硬件、软件和数据部分的安全的技术实施；而非技术改善则影响到程序和人。

账户和审计管理账户管理反映系统特殊部分的使用。在网络中，这种反映很容易知道哪些用户在使用哪些资源。但在安全方面，哪些资源正被占用是很容易知道的，而谁在使用就很难了解了。这样看来，账户的管理与执行的管理（稍后讨论）相重叠，使用账户管理来决定系统使用的最佳方案，并将其作为升级和提高的指标。

审计是审查系统使用的过程而不是检查它的性能，审计更适合确定系统是否错用或渎职是否发生。

性能管理由于许多信息安全技术控制在普通IT处理器上执行，他们与大多数基于计算机的技术一样受到相同因素的影响。因此，监控安全系统及其IT基础设施的性能以便确定它们是否如期望那样有效（或效率高），这一点是很重要的。

一些信息安全控制系统（如用来发现互联网资源不合理利用的互联网使用监控器）就作为监控设备运行。

安全项目管理信息安全项目一旦展开，就应对其进行控制和管理。ISO5类领域框架为管理模型提供了一些结构，但它强调各个领域的覆盖，而不是对管理的真正实施加以引导。要在信息安全计划中实现真正的管理，一个正式的管理标

准可以提供所需的进程和程序。它可以建立予早在本章前面就描述过的BS7799/IS017799模型或NIST模型基础之上。