最新Information-Security.doc
《最新Information-Security.doc》由会员分享,可在线阅读,更多相关《最新Information-Security.doc(99页珍藏版)》请在得力文库 - 分享文档赚钱的网站上搜索。
1、Four short words sum up what has lifted most successful individuals above the crowd: a little bit more.-author-dateInformation-SecurityTowards An Information Security Framework For建立信息安全框架对于面向服务架构和Jacqui切迪商业信息技术约翰内斯堡大学南非约翰内斯堡jacquicuj.ac.za抽象的面向服务架构支持分布式在异构环境中发生的商业交易在松散的连接服务。确保安全这是具有挑战性的环境基础设施。有目前各种
2、方法来解决信息安全,每个国家都有它的好处和困难自己的一套。此外,组织可以采用供应商为基础的信息安全框架,以协助他们执行适当的信息安全控制。不幸的是,没有标准信息安全框架,已被采纳面向服务的体系结构。本文的信息安全面临的挑战分析面向服务的体系结构。信息安全组件为服务导向架构环境的建议。这些组件共同制定了从服务面向建筑的设计原理,在ISO / IEC 27002:2005标准等服务导向架构治理框架。信息安全框架可以协助在确定组织的信息安全控制面向服务的体系结构,对准当前的ISO /符合IEC27002:2005标准。关键词服务导向架构,设计原则,治理,信息安全框架导言传统的信息技术(IT)的环境是
3、能够解决复杂问题的有效途径。信息安全控制,以确保已经制定组织之间的安全交易。管制措施,例如Kerberos票证,X.509证书,访问控制列表的(ACL的),防火墙,加密和消息机制摘要发达,成熟,他们的地址识别,认证信息安全服务,授权,保密性,完整性和不可抵赖性。不幸的是,他们往往以何种方式限制随着组织机构进行商业交易被锁定到一个开展业务1具体办法。面向服务架构(SOA)2建立了一个建筑模型3来实施业务流程,提供更多的灵活性和敏捷性。这是一个范式组织和利用分布式功能,可不同所有制下的域控制,实现使用的技术栈品种。虽然一个SOA可实现使用不同的技术,网络服务技术4是常用的。这些服务Marijke库
4、切信息技术研究院约翰内斯堡大学南非约翰内斯堡marijkecuj.ac.za为商业交易提供互操作性和灵活性,如果松耦合的设计原则,抽象等,发现性,组成和服务纳入合同遵循5。他们可以提供竞争优势为组织看作是一个负担,而不是一个解决办法。服务可以重复使用,降低开发成本,或结合其他服务,以创建复合应用程序。然而,以这种方式实现的服务利用开放的标准,运用不同的信息安全环境;是平台无关的;公开信息的安全控制客户;可以交叉领域;而且容易信息安全的威胁。他们经常暴露的局限性对现有信息的安全性实现6。对于例如,所有用户凭据存储在一个库,如轻量级目录访问协议(LDAP)3。传统应用咨询本库来验证用户。如果一个服
5、务被调用从另一个域,这仓库不能提供身份验证。为了克服这种限制,更多的区别SOA的信息安全需要采取的方法17 3。不管采用该方法,SOA的信息安全应该是政策为基础,并提供端至端保护有关的认证,授权,加密和完整的信息。本文的目的是分析所面临的挑战希望在各组织进行安全交易面向服务的方式。此外,SOA的信息安全框架,它可以帮助组织在开发服务导向的信息安全交易,进行了讨论并提出。本文的结构如下:SOA的设计原则我们接下来讨论。这些设计原则有负对信息安全,从而导致挑战SOA的信息安全,介绍了第三节。要确定SOA的信息安全组件信息安全框架,提供了一个第四节分析了ISO / IEC 27002:2005标准,
6、以及其他SOA治理框架。信息安全组件第五节所述,共同发展是从挑战的讨论,在ISO / IEC 27002:2005标准,其他SOA治理框架。该框架第六部分介绍和讨论。第七节结论纸张。978-1-4244-5495-2/10 / $ 26.00 0.2010电机及电子学工程师联合会二。SOA设计原理一个SOA的成功取决于在多大程度上它的设计原则是适用于服务的发展3。这些原则构成了面向服务的本质,为发展服务是逻辑的指引,互操作和灵活。设计原则是列入如果是服务合同,松散耦合,抽象,可重用性,自治,无国籍,发现性和组成31。应用传统的信息安全机制如何抑制设计原则可以应用于服务交易。这些原则在现今的讨论
7、3专注于信息安全隐患。该服务合同是讨论下一步。A.服务合同一个是公共服务合同,技术文件表达了交战规则,以及要求和约束必须坚持服务相互作用5。不同于传统的平台相关资讯环境中,所有的客户端是已知的和配置事前,SOA服务消费者事先不知道,可主办的其他领域和平台。为了让服务消费者,以确保他们的信息正确,信息安全机制需要抽取参与的平台和相关规则需要提供了一个服务合同。这将确保消费者能申请所需的安全机制和控制的邮件当他们消耗了服务方法3。服务合同是分开的基本逻辑。如果服务合同的目的是正确的,它可以用于,不同环境下不绑定到特定的业务流程。据说该服务合同,以促进松散耦合,下面讨论。二松散耦合的服务松散耦合是指
8、那些代码模块一个独立的另一个5。一个模块可以被改变没有它影响其他模块的操作。传统应用程序的模块组成,它可以包括信息与应用程序代码的安全控制。因此,有紧代码与安全控制范围内使用一奇异的安全上下文。对于松散耦合的信息安全,服务合同必须是通用足以保护任何安全上下文的数量作为服务合同援引不同的安全环境不同消费者,跨平台无关的领域。信息服务中的合同金额可能曝光过度或根据公开信息的安全控制。这涉及到的抽象级别,用于发展服务合同,讨论下一步。C.服务抽象服务抽象是确保内的详细程度服务合同相当于暴露的详细程度服务消费者3。松散耦合的服务保留抽象。抽象层次负面影响信息安全作为一个抽象水平低导致过度暴露信息安全控
9、制,从而导致服务攻击。结果高的抽象水平不足曝光的信息安全控制,从而导致消费者信息安全方面作出的假设1。例如,一个用户可能能够部署一个方法没有适当的身份验证。虽然管理和控制的抽象程度是困难的,类型资讯揭露的信息也可以产生负面影响安全性。抽象规定的数量和类型的信息揭露和公布。通过实现这一点,再利用的潜力,下面讨论,最大化。D.服务重用服务指的是代码的可重用性,可用于更不是一个目的,并形成骨干,为服务方向是建立5。这是因为很难保证重用可重复使用的服务必须能适应各种环境;通用足以容纳不同类型的消费者;提供了一个服务合同,很有弹性,并允许多用户同时访问3。因此,再利用不能孤立地看待松散的耦合和抽象。通过
10、限制和抽象服务之间的依赖关系他们的基本逻辑可以被重用为其他环境。对于例如,安全服务,提供审计日志可以这样做对于任何应用程序。代码可重用的服务是独立的单位,可适用于不同的安全上下文。这些服务展览自主行为,讨论下一步。大肠杆菌服务自主权服务是自治能力的服务,以维持一高层次的控制他们的基本业务逻辑实现3。自治是非常适合的服务单独部署,尽管服务,其中的一部分一个组合,开展相互依存关系,自主降低1。实现自主性的影响信息安全。它可能难以自主服务本质上相互信任。接口不说明是否在一个服务的行为可预测的方式。无国籍,讨论下一步,可能会受到自主权。楼服务无国籍无国籍是指服务不跟踪交易或会话信息5。这种设计原则意味
11、着国家包括安全方面的数据信息,是维持在一个消息的SOAP标头。因此,如果消费者接触到正确的函数集,正确的状态相关信息,安全上下文可发现在SOAP标头。服务可发现,讨论未来,确保消费者只能访问为他们预定的功能集。七,服务发现能力服务可发现意味着,服务元数据准确界定,明确记载,集中存储,方便,轻松地搜索,并清楚理解1 3。一个服务合同,在注册表中存储,提供了一个界面,面对消费者。有信息安全影响考虑,如暴露信息安全控制和对消费者的机制。数量的面对消费者的信息需要被控制。对消费者类型的不同,接口供只有消费者,不应透露。迄今为止设计原则讨论的所有支持服务组成3,讨论下一步。阁下服务组合服务组合是组装的服
12、务功能,规模较小的单位组成的逻辑来解决更大的问题3。在所有其他设计原则的应用方式,影响服务组合。服务组合,服务合同必须有足够的灵活性;服务必须是松散耦合;隐藏的组成细节有利;服务必须重复使用,高度自治的水平是必需的;状态信息保存在SOAP头和准确定义对发现的目的元数据是有益的。因此,所有信息安全的影响等设计讨论原则,适用于服务组合。此外,不同的安全环境结合起来,以反映服务业务流程是困难的。设计原则,对发展中国家产生负面影响安全服务1。 挑战,讨论下1 8。三。SOA的信息安全挑战要充分利用与服务相关联的好处,方向,就必须运用SOA设计原则设计服务。除了传统的信息安全,必须认真考虑考虑确保SOA
13、信息安全,因为这些设计原则可以创建一个挑战SOA的7 3 9。从前面的讨论的挑战与设计相关的服务合同和各自的服务确定为:。开发一个通用的服务合同,公开一个公开的接口界面,保护和登记册;。信息安全机制需要机可读,政策为基础和平台无关提供跨域安全服务的互动;。的管理和信息安全控制如果服务是由其他部署机制信息安全与未知的领域要求;。松散耦合的抽象程度和需要进行管理和控制,以确保有足够的元数据量都包含在一个服务合同;。信息安全水平的要求和类型需要的内容,以确保特定的消息上下文必须确定;。建立信息安全要求,是足够灵活,针对不同情况下被重用关于国家安全的信息上下文可以审计;。建立信任的组成部分;虽然一个S
14、OA有可能改变的方式其中应用软件的开发和部署,有信息安全的挑战,必须加以克服。了解这些挑战,能积极作出贡献开发一个SOA的信息安全框架。该下一节评估当前信息安全传统的IT环境的做法和基于SOA的环境,对发展中国家建立这样一个基线一个框架。四。SOA的信息安全评价SOA的信息安全SOA中扮演一个重要组成部分治理。图1说明了层治理需要一个传统的IT环境和SOA环境。在图1中,一个SOA环境是一个扩展了传统的IT环境中,传统的约束信息安全服务。不同于传统的环境,它有固定的边界,是平台独立和提出了一个奇异的安全上下文,服务跨边界部署的,是平台独立的,应对多种环境。为此,一个额外的层SOA治理,如图1所
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 最新 Information Security
限制150内