工程設(shè)計(jì)仿真網(wǎng)絡(luò)環(huán)境

工程設(shè)計(jì)仿真網(wǎng)絡(luò)環(huán)境

信息安全技術(shù)架構(gòu)研究

中物院信息安全技術(shù)中心姜建國(guó)研究意義和應(yīng)用前景涉密內(nèi)網(wǎng)雖然與因特網(wǎng)物理隔離，仍同樣面臨著漏洞、蠕蟲、病毒、木馬和后門等威脅。

目前，我院各所已建或擬建的工程設(shè)計(jì)仿真網(wǎng)絡(luò)是處理復(fù)雜設(shè)計(jì)、計(jì)算及仿真業(yè)務(wù)的計(jì)算機(jī)網(wǎng)絡(luò),正在成為我院武器工程研制的關(guān)鍵基礎(chǔ)設(shè)施，應(yīng)用范圍也不斷深入和拓寬，建立相關(guān)信息安全保障體系成為必備條件之一。

工程設(shè)計(jì)仿真網(wǎng)絡(luò)環(huán)境有自身的特點(diǎn)，應(yīng)用類別多，軟硬件環(huán)境復(fù)雜，異構(gòu)、海量、集成，高密級(jí)等。信息安全問題自身的復(fù)雜性使得單一功能性產(chǎn)品不勝負(fù)荷，如何從整體、從頂層設(shè)計(jì)、從體系的高度來考慮信息和信息系統(tǒng)的保障，是我們急需解決的問題。從體系高度來探討整體性信息安全技術(shù)架構(gòu)，對(duì)于為工程設(shè)計(jì)仿真環(huán)境的安全保障提供整體解決方案和技術(shù)路線，解決目前簡(jiǎn)單堆砌安全產(chǎn)品帶來的安全隱患，從而切實(shí)保障信息與信息系統(tǒng)的安全，具有重要的科學(xué)意義和現(xiàn)實(shí)意義。

面向工程設(shè)計(jì)仿真環(huán)境的信息安全技術(shù)架構(gòu)及其系統(tǒng)的研究實(shí)現(xiàn)，主要構(gòu)建高度可信的信任系統(tǒng)、高效的行為監(jiān)控系統(tǒng)以及相應(yīng)的數(shù)據(jù)保護(hù)系統(tǒng)等。對(duì)于有效防范涉密網(wǎng)絡(luò)的安全威脅，為實(shí)現(xiàn)網(wǎng)絡(luò)化設(shè)計(jì)、制造和數(shù)字軍工提供安全保障，具有重大的工程意義，并可以在我院的各類工程設(shè)計(jì)仿真網(wǎng)絡(luò)和各單位的內(nèi)部科研辦公網(wǎng)絡(luò)提供借鑒和示范。

國(guó)內(nèi)外研究現(xiàn)狀分析

90年代后期到現(xiàn)在，人們也開始認(rèn)識(shí)到安全的概念已經(jīng)不局限于信息的保護(hù)，人們需要的是對(duì)整個(gè)信息和信息系統(tǒng)的保護(hù)和防御，包括了保護(hù)、檢測(cè)、反應(yīng)和恢復(fù)能力。于是出現(xiàn)了信息保障的概念。美國(guó)國(guó)家安全局制定的《信息保障技術(shù)框架》（IATF）則是這個(gè)時(shí)代的一個(gè)典型標(biāo)志?！缎畔⒈Ｕ霞夹g(shù)框架》（IATF）的主要內(nèi)容可以歸納為“三保衛(wèi)一支持”，即：保衛(wèi)網(wǎng)絡(luò)和基礎(chǔ)設(shè)施，保衛(wèi)邊界，保衛(wèi)計(jì)算環(huán)境，支持必要的安全基礎(chǔ)設(shè)施。國(guó)家主管部門適時(shí)推出相應(yīng)戰(zhàn)略舉措。我國(guó)從國(guó)家層面提出了加強(qiáng)信息安全保障的意見（中辦發(fā)[2003]27號(hào)），中辦27號(hào)文提出了信息安全保障戰(zhàn)略方針是積極防御和綜合防范。

安全產(chǎn)品從功能性產(chǎn)品向體系化產(chǎn)品的轉(zhuǎn)化成為必然。安全廠商已經(jīng)開始把握新形勢(shì)下的網(wǎng)絡(luò)安全問題和用戶的最新需求，正在開發(fā)相應(yīng)的架構(gòu)體系產(chǎn)品。但是國(guó)內(nèi)信息安全研究和市場(chǎng)發(fā)展的重點(diǎn)主要在于因特網(wǎng)、電子政務(wù)、金融、軍事指揮自動(dòng)化等領(lǐng)域，而由于工程設(shè)計(jì)仿真網(wǎng)絡(luò)環(huán)境的復(fù)雜性和特殊性，不可能有現(xiàn)成的產(chǎn)品或解決方案能夠滿足需求。我們必須結(jié)合實(shí)際網(wǎng)絡(luò)環(huán)境特點(diǎn)，在掌握先進(jìn)、成熟的國(guó)內(nèi)外技術(shù)的基礎(chǔ)上大膽探索、適時(shí)跟蹤、面向?qū)嶋H應(yīng)用、加強(qiáng)合作交流，通過集成創(chuàng)新，設(shè)計(jì)實(shí)現(xiàn)能夠滿足需求的安全信任平臺(tái)，并在此基礎(chǔ)上構(gòu)建網(wǎng)絡(luò)安全保障體系。

研究目標(biāo)預(yù)期通過集成創(chuàng)新和相關(guān)研究，實(shí)現(xiàn)下列目標(biāo)：a）提出適用于工程設(shè)計(jì)仿真網(wǎng)絡(luò)的信息安全技術(shù)架構(gòu)和相關(guān)網(wǎng)絡(luò)信任模型。根據(jù)IATF的思想，在統(tǒng)一安全策略的基礎(chǔ)上，由安全支撐基礎(chǔ)設(shè)施支持下的三重保障結(jié)構(gòu)構(gòu)成架構(gòu)體系（可信的應(yīng)用操作平臺(tái)、安全的服務(wù)資源邊界保護(hù)和全程網(wǎng)絡(luò)通信保護(hù)），并提出適用的信任模型。

b）建成一個(gè)面向工程設(shè)計(jì)仿真環(huán)境、基于網(wǎng)絡(luò)信任平臺(tái)、重點(diǎn)解決行為監(jiān)控和數(shù)據(jù)保護(hù)關(guān)鍵技術(shù)的信息安全架構(gòu)原型系統(tǒng)。

研究?jī)?nèi)容

根據(jù)應(yīng)用需求和研究目標(biāo)，將對(duì)以下一些研究方向進(jìn)行深入研究：

工程設(shè)計(jì)仿真網(wǎng)絡(luò)信任體系研究。

研究適合于工程仿真網(wǎng)絡(luò)的可擴(kuò)展的信任體系模型；研究適合于封閉內(nèi)部網(wǎng)的公鑰體制及應(yīng)用；研究基于密碼技術(shù)的信任管理系統(tǒng)，實(shí)現(xiàn)身份認(rèn)證、授權(quán)管理、責(zé)任認(rèn)定等功能；行為監(jiān)控技術(shù)研究。

研究基于行為模式的監(jiān)控策略表示；

研究與工程仿真網(wǎng)絡(luò)物理結(jié)構(gòu)和邏輯結(jié)構(gòu)相適應(yīng)的行為監(jiān)控體系結(jié)構(gòu)；研究用戶行為的監(jiān)控方法和技術(shù)；研究基于行為監(jiān)控的數(shù)據(jù)保護(hù)方法；

數(shù)據(jù)保護(hù)技術(shù)研究。研究工程設(shè)計(jì)仿真網(wǎng)絡(luò)數(shù)據(jù)保護(hù)體系結(jié)構(gòu)；

研究工程設(shè)計(jì)仿真網(wǎng)絡(luò)中數(shù)據(jù)安全存儲(chǔ)和安全傳輸技術(shù)解決方案。

關(guān)鍵技術(shù)

針對(duì)應(yīng)用特點(diǎn)，將現(xiàn)有產(chǎn)品和技術(shù)有機(jī)結(jié)合，形成一個(gè)整體解決方案和技術(shù)體系，在網(wǎng)絡(luò)信任基礎(chǔ)平臺(tái)上實(shí)現(xiàn)行為監(jiān)控、數(shù)據(jù)保護(hù)等功能。

如何針對(duì)工程設(shè)計(jì)仿真網(wǎng)絡(luò)的環(huán)境和應(yīng)用特點(diǎn)，結(jié)合相關(guān)技術(shù)，提出適用的信任模型和認(rèn)證授權(quán)機(jī)制。

研究并實(shí)現(xiàn)一個(gè)可擴(kuò)展的、分布式的策略框架系統(tǒng)，在異構(gòu)互連的復(fù)雜系統(tǒng)的情況下，管理、發(fā)現(xiàn)和協(xié)商安全策略，以便管理、控制和發(fā)布統(tǒng)一的安全策略。

研究并開發(fā)在異構(gòu)環(huán)境中有一定通用性的安全中間件（安全構(gòu)件）。

技術(shù)路線

針對(duì)工程設(shè)計(jì)仿真網(wǎng)絡(luò)與外部網(wǎng)絡(luò)物理隔離、各個(gè)子網(wǎng)絡(luò)具有明確物理邊界，以及可以采用秘密的或安全的密碼傳輸通道等特點(diǎn)，擬建立由信任體系支撐、統(tǒng)一安全策略管理下的信息安全技術(shù)架構(gòu)。這種體系架構(gòu)以可信終端（例如新一代可信計(jì)算機(jī)）為末端設(shè)施，與已部署的、將部署的主要安全設(shè)施（如防火墻、入侵檢測(cè)等）密切協(xié)同，實(shí)現(xiàn)對(duì)訪問主體行為和被訪問客體屬性狀態(tài)的有效監(jiān)視和/或控制，達(dá)到數(shù)據(jù)保護(hù)、網(wǎng)絡(luò)運(yùn)行有序和安全保密的目的。針對(duì)工程設(shè)計(jì)仿真網(wǎng)絡(luò)的特點(diǎn)，項(xiàng)目擬綜合應(yīng)用CPK/PKI技術(shù)、多因子身份鑒別技術(shù)、基于屬性的權(quán)限管理技術(shù)，完成基于統(tǒng)一安全策略的實(shí)體身份鑒別與權(quán)限管理，從而建立起工程設(shè)計(jì)仿真網(wǎng)絡(luò)信任體系的基礎(chǔ)平臺(tái)。

主要技技術(shù)關(guān)關(guān)鍵設(shè)設(shè)計(jì)思思路（1））工程程設(shè)計(jì)計(jì)仿真真網(wǎng)絡(luò)絡(luò)的信信任模模型在一個(gè)個(gè)有邊邊界、、有中中心、、存在在秘密密通道道的內(nèi)部環(huán)境中中，規(guī)規(guī)模化化的密密鑰管管理是是可以以用簡(jiǎn)簡(jiǎn)化的的方法法來實(shí)實(shí)現(xiàn)的的，用以建立真真正的的信任任系統(tǒng)統(tǒng)。實(shí)施網(wǎng)網(wǎng)絡(luò)信信任體體系的的基礎(chǔ)礎(chǔ)就是是構(gòu)建建身份份認(rèn)證證體系系，需需要建建立數(shù)數(shù)字證證書認(rèn)認(rèn)證中中心，，即CA中心，，負(fù)責(zé)責(zé)網(wǎng)絡(luò)絡(luò)上的的身份份證、、工作作證的的管理理。由于我我院工工程設(shè)設(shè)計(jì)仿仿真網(wǎng)網(wǎng)絡(luò)是是一個(gè)個(gè)高密密級(jí)的的有組組織的的封閉閉內(nèi)網(wǎng)網(wǎng)，根根據(jù)其其自上上而下下的管管理特特性，，采用用單CA信任模模型是是實(shí)現(xiàn)現(xiàn)最簡(jiǎn)簡(jiǎn)單也也最有有效的的模型型。通通過這這種主主管方方的單單層管管理結(jié)結(jié)構(gòu),可以以建立立用戶戶和管管理中中心的的直接接級(jí)信信任關(guān)關(guān)系,管理理、維維護(hù)、、操作作十分分簡(jiǎn)便便。CA中心的的實(shí)現(xiàn)現(xiàn)采用用集中中式管管理模模式，，由主主管部部門頒頒發(fā)證證書。。證書的的功能能要求求：要要滿足足提供供包括括身份份認(rèn)證證、授授權(quán)管管理、、責(zé)任任認(rèn)定定三個(gè)個(gè)層次次的安安全服服務(wù)的的網(wǎng)絡(luò)絡(luò)信任任體系系建設(shè)設(shè)的要要求。。據(jù)了解解，2004年年7月月，美美軍開開始使使用一一種計(jì)計(jì)算機(jī)機(jī)身份份證，，每名名從事事計(jì)算算機(jī)網(wǎng)網(wǎng)絡(luò)工工作的的人員員，都都要領(lǐng)領(lǐng)取一一種身身份證證，內(nèi)內(nèi)置含含有姓姓名、、軍銜銜、指指紋、、序列列號(hào)等等信息息的計(jì)計(jì)算機(jī)機(jī)芯片片，CA中心實(shí)體A1實(shí)體A2實(shí)體A3網(wǎng)絡(luò)工作人人員只只有將將身份份證插插入計(jì)計(jì)算機(jī)機(jī)終端端設(shè)備備，才才能訪訪問和和使用用網(wǎng)上上授權(quán)權(quán)文件件。此此外，，系統(tǒng)統(tǒng)可以以跟蹤蹤登錄錄人員員，了了解他他們使使用的的文件件內(nèi)容容、性性質(zhì)。。（2））安全全支撐撐基礎(chǔ)礎(chǔ)設(shè)施施CA中心：結(jié)合應(yīng)應(yīng)用網(wǎng)網(wǎng)絡(luò)特特點(diǎn)，，基于于CPK或PKI技術(shù)構(gòu)構(gòu)建。。頒發(fā)發(fā)網(wǎng)絡(luò)絡(luò)身份份證/工作作證。。信任管管理系系統(tǒng)：網(wǎng)絡(luò)中中的每每個(gè)用用戶都都持有有CA中心頒頒發(fā)的的證書書，以以此為為基礎(chǔ)礎(chǔ)可以以設(shè)計(jì)計(jì)實(shí)現(xiàn)現(xiàn)相應(yīng)應(yīng)的網(wǎng)網(wǎng)絡(luò)安安全信信任管管理系系統(tǒng)，，實(shí)現(xiàn)現(xiàn)身份份認(rèn)證證、授授權(quán)管管理和和責(zé)任任認(rèn)定定。鑒別管理授權(quán)與權(quán)限管理資源映射監(jiān)控審計(jì)安全服務(wù)數(shù)據(jù)信任管理系統(tǒng)用戶網(wǎng)絡(luò)傳輸平臺(tái)安全策略管理系統(tǒng)安全策策略管管理系系統(tǒng):一個(gè)集集成化化的防防衛(wèi)體體系，，遵循循P2DR模型，，支持持分布布式結(jié)結(jié)構(gòu)，，通過過多種種技術(shù)術(shù)手段段的融融合幫幫助組組織有有效達(dá)達(dá)成在在物理理、鏈鏈路、、操作作、網(wǎng)網(wǎng)絡(luò)、、設(shè)備備、系系統(tǒng)、、應(yīng)用用、數(shù)數(shù)據(jù)及及人員員等方方面的的安全全策略略集中中定制制、自自動(dòng)分分發(fā)和和自動(dòng)動(dòng)實(shí)現(xiàn)現(xiàn)，安全策策略較較之證證書可可以實(shí)實(shí)現(xiàn)更更細(xì)粒粒度的的訪問問控制制，比比如證證書可可以通通過授授權(quán)，，控制制進(jìn)入入信任任域或或服務(wù)務(wù)器，，而通通過域域策略略或服服務(wù)器器策略略可以以控制制對(duì)設(shè)設(shè)備或或文件件資源源的訪訪問。。另外外，安安全策策略可可以更更加靈靈活，，由安安全管管理員員負(fù)責(zé)責(zé)，修修改比比較方方便。（3））行為為監(jiān)控控管理理系統(tǒng)統(tǒng)監(jiān)控體體系結(jié)結(jié)構(gòu)：按照行行政或或業(yè)務(wù)務(wù)隸屬屬關(guān)系系，將將工程程設(shè)計(jì)計(jì)仿真真網(wǎng)絡(luò)絡(luò)劃分分成多多個(gè)監(jiān)監(jiān)管域域，，形成成一種種樹型型監(jiān)控控體系系結(jié)構(gòu)構(gòu),如如圖。監(jiān)管中中心是是行為為監(jiān)控控的管管理中中心，，對(duì)重重要的的管理理操作作采用用口令令分割割、權(quán)權(quán)限分分割等等技術(shù)術(shù)，將將單個(gè)個(gè)管理理員的的管理理權(quán)限限限制制到最最小和和必需需的程程度，，防止止單個(gè)個(gè)管理理員的的違法法操作作對(duì)系系統(tǒng)造造成重重大損損失。。監(jiān)管管中心心體系系結(jié)構(gòu)構(gòu)如圖圖所示示。(4)數(shù)數(shù)據(jù)保保護(hù)數(shù)據(jù)保保護(hù)的的層次次結(jié)構(gòu)構(gòu)：第一層層次是是通過過物理理安全全措施施，實(shí)實(shí)現(xiàn)對(duì)對(duì)存儲(chǔ)儲(chǔ)介質(zhì)質(zhì)物理理安全全。通通過管管理策策略與與技術(shù)術(shù)手段段相結(jié)結(jié)合，，實(shí)現(xiàn)現(xiàn)對(duì)存存儲(chǔ)介介質(zhì)的的訪問問控制制。第第二層層次是是依據(jù)據(jù)相關(guān)關(guān)的密密碼算算法實(shí)實(shí)現(xiàn)數(shù)數(shù)據(jù)存存儲(chǔ)的的安全全保護(hù)護(hù)和數(shù)數(shù)據(jù)傳傳輸過過程中中的安安全，，如圖圖。(特別別需要要針對(duì)對(duì)移動(dòng)動(dòng)存儲(chǔ)儲(chǔ)介質(zhì)質(zhì)進(jìn)行行保護(hù)護(hù)）數(shù)據(jù)保護(hù)護(hù)體系結(jié)結(jié)構(gòu)：與網(wǎng)絡(luò)行行為監(jiān)控控體系結(jié)結(jié)構(gòu)合并并為網(wǎng)絡(luò)絡(luò)監(jiān)管體體系結(jié)構(gòu)構(gòu)，包括數(shù)據(jù)據(jù)保護(hù)中中心與網(wǎng)網(wǎng)絡(luò)行為為監(jiān)控中中心實(shí)際際合并為為網(wǎng)絡(luò)監(jiān)監(jiān)管中心心。數(shù)據(jù)安全全存儲(chǔ)和和安全傳傳輸方法法：通過過建立的的仿真網(wǎng)網(wǎng)絡(luò)信任任體系提提供的相相應(yīng)密碼碼算法和和認(rèn)證機(jī)機(jī)制，實(shí)實(shí)現(xiàn)數(shù)據(jù)據(jù)加密存存儲(chǔ)和加加密傳輸輸，如圖圖。數(shù)據(jù)加密密存儲(chǔ)和和加密傳傳輸如圖圖所示的的三大模模塊組成成。被監(jiān)監(jiān)管機(jī)代代理模塊塊、數(shù)據(jù)據(jù)服務(wù)器器代理模模塊和通通信模塊塊。被監(jiān)管機(jī)機(jī)代理模模塊接收收應(yīng)用程程序?qū)?shù)數(shù)據(jù)庫(kù)接接口函數(shù)數(shù)的調(diào)用用，將這這些調(diào)用用向數(shù)據(jù)據(jù)服務(wù)器器代理進(jìn)進(jìn)行轉(zhuǎn)發(fā)發(fā)，并接接收數(shù)據(jù)據(jù)服務(wù)器器代理送送回的執(zhí)執(zhí)行結(jié)果果，返回回給應(yīng)用用程序。。數(shù)據(jù)服務(wù)務(wù)器代理理模塊判判斷被監(jiān)監(jiān)管計(jì)算算機(jī)有訪訪問權(quán)限限后為被被監(jiān)管機(jī)機(jī)代理模模塊提供供訪問密密文數(shù)據(jù)據(jù)庫(kù)的服服務(wù)。通信模塊塊完成數(shù)數(shù)據(jù)中心心與被監(jiān)監(jiān)管計(jì)算算機(jī)之間間的加密密傳輸。。被監(jiān)管機(jī)機(jī)代理模模塊被監(jiān)管機(jī)機(jī)端通信模模塊數(shù)據(jù)服務(wù)