의 3 종류의 보안 컨트롤(전문가는 설명)

보안 컨트롤 재생 기초적인 역할을 형성하는 작업 사이버 보안 전문가들을 보호하기 위해 취하는 조직입니다.

기술,관리 및 물리를 포함한 세 가지 주요 IT 보안 제어 유형이 있습니다. 보안 제어를 구현하기위한 주요 목표는 예방 적,형사 적,시정 적,보상 적 또는 억지력으로 작용할 수 있습니다. 통제는 또한 사회 공학 인식 훈련이나 정책의 경우와 마찬가지로 사람들을 보호하기 위해 사용됩니다.

부족의 보안 통치 기밀성,무결성 및 가용성은 정보에 위험이 있습니다. 이러한 위험은 또한 조직 내의 사람과 자산의 안전까지 확대됩니다.

이 기사에서는 보안 제어가 무엇이며 각 유형 간의 차이점을 설명하려고합니다. 다음으로,나는 각 컨트롤이 길을 따라 예제를 달성하기위한 목표를 논의 할 것이다.결국 사이버 보안의 기본 보안 제어에 대해 더 잘 이해하게 될 것입니다.

자세히보기:2021 년 무시할 수없는 10 가지 사이버 보안 동향

기사 탐색

• 보안 제어 란 무엇입니까?
• 보안 제어의 목표는 무엇입니까?
• 의 기초를 이해하기 위험&위협
• 기술 컨트롤
• 관리 컨트롤
• 실제 컨트롤
• 예방 컨트롤
• 탐정 컨트롤
• 교정 컨트롤
• 억제 컨트롤
• 보상 제어
• 을 수행하 보안 관리 평가

보안은 무엇입니까?

보안 컨트롤 대책 또는 보호용 기회를 감소시키는 위협이 악용하고 취약합니다.

예를 들어,구현하는 회사 전체의 보안 인식 교육의 위험을 최소화하는 사회적 공격에서의 네트워크,사람과 정보 시스템입니다.위험을 줄이는 행위는 위험 완화라고도합니다.

는 동안 그는 것은 불가능하기 위해 다음 방지,모든 위협 완화 방법을 추구한 위험을 줄이기 위해 가능성을 감소시키는 위협이 악용하고 취약합니다.

위험 완화에 의해 달성을 구현하는 다른 유형의 보안 통제에 따라

• 목표의 대책 또는 보호 수단입니다.
• 위험을 최소화해야하는 수준입니다.
• 위협이 가할 수있는 피해의 심각도.

보안 제어의 목표는 무엇입니까?

앞서 언급했듯이 보안 제어를 구현하는 전반적인 목적은 조직의 위험을 줄이는 데 도움이되는 것입니다.즉,보안 제어 구현의 주요 목표는 보안 사고의 영향을 방지하거나 줄이는 것입니다.

보안 통제의 효과적인 구현은 보안 사건과 관련하여 그 분류를 기반으로합니다.

일반적인 분류 형식은 아래와 함께 해당 description:

• 예방 컨트롤하지 못하도록 사건에서 발생합니다.
• 형사 통제가 발생한 후 사건을 탐지하려고 시도합니다.
• 시정 통제는 사건의 영향을 되돌리려고 시도합니다.
• 억지력 통제는 사건을 일으키는 개인을 낙담 시키려고 시도합니다.
• 보상 컨트롤은 기본 컨트롤이 가능하지 않을 때 사용되는 대체 컨트롤입니다.

나열된 컨트롤을 구현하는 것은 중요하지 않습니다.

예를 들어,조직의 높은 우선순위에서 위험을 줄이는 일반적으로 위험 프로파일에 보여 잠재적인 비용의 부정적인 영향을 미치는 위험 및 인적 자원을 구현하는 데 필요한 제어(s).

레이어링 보안 컨트롤

레이어는 접근 방식을 결합하는 여러 보안 컨트롤을 개발하는 것이라고 defense-in-depth strategy.

Defense-in-depth 는 사이버 보안에 사용되는 일반적인 전략으로 여러 계층의 컨트롤이 구현됩니다.

을 결합하여 컨트롤으로 여러 층의 보안을 보장 하나의 층이 실패하는 경우를 방해하는 위협이 다른 층을 방지하는 데 도움이 될 것입니다에 위반의 시스템입니다.

각 계층의 보안을 작동을 방해하는 위협을 요구하는 사이버 보안 프로그램에 투자하는 여러 기술 및 프로세스를 방지하는 시스템이나 사람들이 손상되지 않게 됩니다.

예를 들어,엔드 포인트 감지 및 대응 솔루션은 위대한 막기에는 바이러스와 악성 코드 감염에서는 컴퓨터와 서버에 있습니다.

그러나 끝점 검색 되어 있지 않은 로그에 트래픽을 모니터링 네트워크처럼 씨엠립 또는 검출하고 방지하는 공격에 실시간처럼 IPS.

의 기초를 이해하기 위험&위협

하기 전에 우리는 다이빙으로 통제 유형,그것의 중요한 첫 번째 이해하는 사이버 위험과 위협하는 데 도움을 완화.

위험

사이버 보안의 위험은 위협이 취약점을 악용하여 손실을 초래할 가능성입니다. 손실은 정보,재정적,평판 손상,심지어 고객의 신뢰에 해를 끼칠 수 있습니다.

위협

위협은 모든 이벤트는 잠재력을 손상시키 기밀성,무결성 및 가용성(CIA)의 정보입니다.위협은 조직 외부와 인터넷에 연결된 세계 어느 곳에서나 발생합니다. 액세스 권한이 너무 많은 불만을 가진 직원이나 악의적 인 내부자와 같은 내부자도 기업에 위협이됩니다.내부자 위협이 항상 악의적 인 것은 아닙니다. 예를 들어,직원을 클릭하면 피싱메일 멀웨어를 설치하는 것을 의미하지 않 직원하기위한 것입니다.

마지막으로,위협할 수도 있습의 형태로 자연재해나 인공 위험과 같은 새로운 변종 악성 코드.

취약점

취약점은 약점 또는 결함이에서 소프트웨어,하드웨어 또는 조직의 프로세스,이에 의해 손상 위협과될 수 있습에서 보안 사건입니다.

보안 사고

보안 사고는 발생하는 실제 또는 잠재적으로 위태롭게 기밀성,무결성 또는 사용 정보 시스템 또는 정보 시스템을 프로세스,상점,또는 전송 또는 그 위반을 구성하거나 임박한 위협의 위반의 보안 정책 보안 절차,또는 수락 가능 사용 정책입니다.

이제 기본 위험 개념을 더 잘 이해 했으므로 보안 제어가 어떻게 구현되는지 살펴 보겠습니다.

의 기술 보안 관

가장 기본적인 수준에서,기술 컨트롤으로도 알려진 로직 컨트롤을 사용하는 기술을 줄이 취약점에서 하드웨어 및 소프트웨어입니다. 이러한 자산을 보호하기 위해 자동화 된 소프트웨어 도구가 설치 및 구성됩니다.

기술적 통제의 예는 다음과 같습니다:

• 암호화
• 바이러스 및 항 악성 소프트웨어
• 방화벽
• 보안 정보와 이벤트 관리(씨엠립)
• 침입 탐지 시스템(ID)및 침입 탐지 시스템(IPS)

기술 컨트롤 형식 및 구현 방법

아래 두 가지 일반적인 예술의 통제 유형

• ACL(액세스 제어 목록)–네트워크 트래픽을 필터에서 컨트롤 할 수 있는 송신 또는 수신 트래픽이다. Acl 에서 일반적 라우터 또는 방화벽,그러나 구성할 수도 있습에 어떤 장치에서 실행되는 네트워크에서 호스트 네트워크 장비 및 서버입니다.
• 구성 규칙-정보가 통과 할 때 시스템의 실행을 안내하는 교육용 코드. 네트워크 장비 공급 업체는 ACL 개체의 작동을 관리하는 독점적 인 구성 규칙을 가지고 있습니다.

보안 관리 컨트롤

보안 관리 컨트롤 참조하는 정책,절차,또는 지침을 정의하는 인력거나 비즈니스 관행에 따라 조직의 보안을 목표입니다.

오늘날 많은 조직 구현하는 몇 가지 유형의 등록 프로세스를 소개하는 회사이며 당신에게 제공의 역사는 조직이다.

온보딩 프로세스 중에 조직의 보안 정책을 검토하고 인정하도록 지시받을 수 있습니다.

인정하여 읽고 있는 정책의 조직으로 새로운 고용,당신은 그 책임을 준수하는 회사 정책의 조직입니다.

관리 제어를 구현하기 위해 지속적인 모니터링 및 적용을 위해 추가 보안 제어가 필요합니다.

프로세스는 모니터에 적용하고 있는 관리 제어는 다음과 같습니다:

• 관리 제어:보 컨트롤는 것에 초점을 맞출의 관리 위험의 관리 정보시스템 보안.
• 운영 제어: 주로 구현되고 사람들에 의해 실행되는 보안 제어(시스템과 반대).

예를 들어,보안 정책을 관리하고 통제하지만,그 보안 요구사항을 구현하는 사람들에 의해(작동 제어)그리고 시스템(기술 컨트롤).

조직도 사용이 가능 사용 정책을 지정하는 행위를 포함한 사용자는 방문하지 않은 악성 웹사이트입니다. 모니터링 및 적용 할 보안 컨트롤은 웹 컨텐츠 필터 형태 일 수 있으며 정책과 로그를 동시에 적용 할 수 있습니다.

피싱 공격의 해결은 관리 및 운영 제어의 조합을 사용하는 또 다른 예입니다.

보안 컨트롤을 방해하는 데 도움이 피싱,외 관리의 제어 사용 제한 정책 자체에 포함한 운영 제어 교육과 같은 사용자가 빠지지 않는한 피싱,기술 컨트롤 모니터링하는 이메일과 웹 사이트 사용에 대한 피싱의 흔적 활동입니다.

물리적 보안 컨트롤

실제 컨트롤 구현의 보안 조치에 정의된 구조물에 사용을 억제하는 대한 무단 액세스를 방지하기 위해 민감한 소재입니다.

물리적 컨트롤의 예는 다음과 같습니다:

• 는 폐쇄 회로 감시 카메라
• 모션 또는 열 경보 시스템
• 경비원
• 사진 Id
• 잠겨 있고 죽은 강철문
• Biometrics(을 포함한 지문,음성,얼굴,iris,필기,및 다른 자동화하는 데 사용되는 방법을 인식하는 개인)

예방 컨트롤

의 예를 예방 컨트롤:

• 경화
• 보안 인식 교육
• 경비원
• 변경 Management
• 계정 정책

경화

을 줄이는 프로세스 보안 노출과를 바짝 죄는 보안을 제어합니다.

보안 인식 교육

프로세스를 제공하는 공식 사이버 보안 교육을 직원들에 대한 다양한 정보는 보안 위협과 당신의 회사의 정책 및 절차에 대한 해결니다.

경비원

을 사용 하는 사람에 의해 공공 또는 민간 당사자를 보호하는 조직의 자산입니다. 보안 경비원은 자주로 배치의 첫 번째 라인 방어를 위해 기업에 대한 외부 위협으로,침입과 취약점을 제공하고의 거주자입니다.

변경 관리

회사가 내부 및 외부 프로세스 내에서 변경을 설명하고 구현하는 방법과 예절. 이 포함되어 있을 준비하고 지원하는 직원,설립에 필요한 단계 변경 및 모니터링을 사전 및 사후 변화 활동을 성공적으로 구현합니다.

계정 정책

을 정의하는 정책으로 무엇을 사용자 계정에 액세스한 직원이 자발적으로 즉시 종료 또는 휴.

형사 통제

형사 통제의 예는 다음과 같습니다:

• 로그 모니터링
• SIEM
• 추세 분석
• 보안 감사
• 비디오 Survillance
• 모션 감지

로그 모니터링

로그 모니터링은 진단하는 데 사용되는 방법을 분석 실시 이벤트 또는 저장을 보장하기 위해 데이터의 응용 프로그램 가용성 및 액세의 영향은 변화에서의 상태는 응용 프로그램의 성능을 제공합니다.

SIEM

정보 보안 및 이벤트 관리(SIEM)은의 도구와 서비스를 제공하는 전체적인 관점은 조직의 정보 보안에 의해 운영에서 로그를 다양한 시스템입니다.

추세 분석

연습의 정보를 수집하는 패턴을 식별하는 정보를 수집에서는 응용 프로그램의 로그 출력. 추세 분석의 출력은 일반적으로 그래프 또는 테이블 형태입니다.

보안 감사

측정에 초점을 맞추는 사이버 보안 표준,지침 및 절차; 뿐만 아니라 이러한 컨트롤의 구현으로. 보안 감사는 일반적으로 훈련 된 제 3 자 기관 또는 외부 감사를 준비하기 위해 내부 리소스에 의해 수행됩니다.

비디오 감시

는 시스템을 캡처 할 수있는 디지털 이미지 및 동영상할 수 있는 압축 저장하거나 전송을 통해 통신 네트워크를 위해 시설 내 또는 원격 모니터링합니다.

모션 감지

는 장치가 센서를 감지하는 인근니다. 이러한 장치는 종종 통합으로 구성 요소의 보안 시스템을 자동으로 수행하는 작업 또는 경고 모니터링 분석가의 검출 운동입니다.

교정 컨트롤

의 예 교정 컨트롤은 다음과 같습니다:

• IPS
• 백업 및 복구 시스템

IPS

네트워크 보안 기술는 모니터 네트워크 트래픽 이상을 검출하기에 있습니다. IPS 보안 시스템은 네트워크 트래픽을 가로 채고 패킷을 삭제하거나 연결을 재설정하여 악의적 인 활동을 신속하게 방지 할 수 있습니다.

백업 및 복구 시스템

백업 및 복구 시스템을 만드는 과정과 복사본을 저장하는 데 사용할 수 있는 데이터 조직을 보호하기 위해 데이터 손실을 방지할 수 있습니다.

억지력 통제

억지력 통제는 고의적 인 공격의 가능성을 줄이며 일반적으로 유형 개체 또는 사람의 형태입니다.

의 예를 억제 컨트롤은 다음과 같습니다:

• 케이블 잠금
• 하드웨어 잠금
• 비디오 감시&경비원

사이의 차이점은 무엇 예방 및 형사 컨트롤?

는 예방적 제어하도록 설계를 구현하기 전에는 위협 및 이벤트 감소 및/또는 방지하는 가능성과 잠재적인 영향을 성공적인 위협의 이벤트입니다.

형사 컨트롤은 오류를 감지하고 이미 발생한 정보 시스템에 대한 공격을 찾도록 설계되었습니다.

형사 제어 출력의 일상적인 분석은 예방 제어를 더욱 향상시키기 위해 입력을 제공합니다. 지속적인 분석의 목표는 처음부터 발생하는 오류 및 불규칙성을 방지하는 것입니다.

보상 제어

는 다른 방법은 장소에 넣어 요구 사항을 충족에 대한 보안을 측정할 수 없는 쉽게 구현해 재무,인프라,또는 단순히 비실용적인 구현에 존재하는 시간입니다.

보상 제어야 한 다음 기준을 충족

• 만나 원문의 의도를 제어 요구 사항
• 을 제공하는 비슷한 수준의 보증

의 예에는 보상 포함 컨트롤:

• 시간 기반 Totp(One Time-Password)-현재 시간을 인증 요소 중 하나로 사용하는 알고리즘에 의해 생성 된 임시 암호입니다. 인증이 완전히 전달 될 때까지 totp 와 함께 새로운 고용을 제공하는 것은 보상 제어의 예입니다.
• 암호화-데이터베이스 보안 응용 프로그램,전자 메일 암호화 및 기타 도구. 조직은 PCI 평가에서 모든 전자 데이터를 암호화 할 수 없습니다. 보상하기 위해 다른 기존 도구를 사용하여 암호화를 구현할 수 있습니다.

을 수행하 보안 관리 평가

보안 관한 평가는 중요한 구성 요소를 측정하의 상태와 성능을 조직의 보안을 제어합니다.

참고 다음의 정의에 보안 관리 평가:

시험 및/또는 평가의 관리,운영 및 기술적 보안 컨트롤 정보 시스템을 정도를 확인 컨트롤은 제대로 구현,운영으로 의도,그리고 생성을 원하는 결과에 대하여 회의 보안 요구사항에 대한 시스템입니다.

의 테스트 보안 컨트롤은 중요한 구성 요소의 전반적인 거버넌스 조직의 정보 보안 관리 시스템입니다.

에 따라 조직의 유형,규제 요구 사항에 일관적이고 지속적인 평가인 반면,비 공공 기관은 없을 개최하여 규제 요구 사항입니다.

오늘날,그것은뿐만 아니라 최상의 방법을 모니터링은 보안 컨트롤하지만,필요한 요구 사항을 유지하기 위해 시스템이 안전하고 무료 대상에서 연습을 해커의 보고,침투하는 모든 네트워크가 있는 약한 보안서의 경계와 내부적으로 합니다.

일반적인 보안 평가

의 예 안전 평가를 포함한다:

• 위험 평가
• 취약성 평가
• 침투 테스트

위험 평가

위험 평가를 포함한 많은 단계의 근간을 형성의 전반적인 위험 관리 계획입니다.

위험 평가가 중요하기 때문에 그들은 그를 식별하는 데 사용되는 자산 또는 지역에는 현재 가장 높은 위험,취약점,또는 노출하는 기업입니다. 그런 다음 해당 자산에 영향을 줄 수있는 위험을 식별합니다.

취약성 평가

취약성 평가를 참조 프로세스의 식별하는 위험과 취약점을 컴퓨터 네트워크,시스템,하드웨어,응용 프로그램 및 다른 부속의 그것 생태계입니다.

취약성 평가는 중요한 구성 요소의 취약성 관리 및 위험 관리 라이프 사이클 도움,보호 시스템 및 데이터에 대한 무단 액세스하고 데이터 유출.

취약성 평가는 일반적으로 레버리지와 같은 도구를 취약점 검 위협을 식별하고 결함을 조직 내의 IT 인프라를 나타내는 잠재적인 취약점이나 위험에 노출을 지원합니다.

침투 테스트

침투 테스트 방법은 테스트를 위한 웹 응용 프로그램,네트워크,또는 컴퓨터 시스템을 식별 보안 취약점을 악용될 수 있습니다.

기본 목표 보안에 대한 전체적으로 무단 침입을 막는 당사자에 액세스,변경 또는 활용하는 네트워크 또는 시스템입니다. 그것은 나쁜 배우가 할 일을 목표로합니다.

주요한 이유는 침투 테스트를 매우 중요하다는 조직의 보안은 그들이 도움이 직원을 처리하는 방법에 대해 알아 봅 모든 유형의 휴식에서 악성 entity.

펜 테스트는 조직의 보안 정책이 진정으로 효과적인지 여부를 조사하는 방법으로 작용합니다. 그들은 조직을위한 일종의 소방 훈련 역할을합니다.

침투 테스트 솔루션을 제공할 수도 있습 도움이 될 것입니다 조직을 방지하고 공격을 감지 하지만 또한 추방 등 침입자의 시스템에서는 효율적인 방법입니다.

결론

이 문서에서,우리는 검사는 세 가지 기본적인 보안 통제 기술적,관리적 및 물리적입니다.

억지력,시정 및 보상과 같은 다양한 중요한 하위 컨트롤에 대한 검토도 검토되었습니다.

지만 중요한 것은 보안 전문가를 이해의 정의 제어,그들은 해야 합니다 또한 것을 인식하의 궁극적인 목표를 구현하는 컨트롤이 강화 조직의 방어하기 위해서 위험을 줄일 수 있습니다.정보 보안은 가장 가치있는 자산을 방어하고 보호하기 위해 지속적인 모니터링이 필요한 프로그램으로 취급되어야합니다.

남아 경계를 통합하여 제어에 나열된 이 문서에서,당신은 갖춘 것을 지원하고의 성공에 기여 조직의 위험 관리 프로그램입니다.