有关安全性的大多数文献都谈到在开始研究机制和实现之前定义安全策略的重要性。尽管这看起来合乎逻辑，但对于定义安全策略的真正含义还不清楚。
这里有没有人在定义安全策略方面有过经验，如果有的话:
1)这样定义的结果是什么？这样的策略(例如分布式系统)的形式是否是包含一系列有关系统安全性要求(允许和不允许的声明)的文档？
2)策略可以采用机器可读的形式(如果有意义)，并且如果可以使用，该策略如何使用？
3)如何维持这项政策？策略是否作为文档(与所有其他文档一样)保留在系统上？
4)是否有必要在代码中引用策略文件？
布赖恩
最佳答案
您应该采用一种标准的安全策略并从那里开始工作。最常见的一种是PCI合规性(支付卡行业)。经过深思熟虑，除了一些柔和的地方，总体来说还不错。除了Microsoft Active Directory定义或一系列Linux iptables规则外，我从未听说过机器可读的策略。
https://www.pcisecuritystandards.org/security_standards/pci_dss.shtml
编辑:
还可以查看SE Linux策略:
http://en.wikipedia.org/wiki/Security-Enhanced_Linux
关于security - 定义系统的安全策略，我们在Stack Overflow上找到一个类似的问题：https://stackoverflow.com/questions/3334237/