信息安全系統(tǒng)保障框架

構(gòu)造積極防御的安全保障框架

一、對當前信息安全系統(tǒng)

的反思

當前大部分信息安全系統(tǒng)主要是由防火墻、入侵監(jiān)測和病毒防范等組成常規(guī)的安全手段只能是在網(wǎng)絡(luò)層（IP）設(shè)防，在外圍對非法用戶和越權(quán)訪問進行封堵，以達到防止外部攻擊的目的對訪問者源端不加控制操作系統(tǒng)的不安全導致應(yīng)用系統(tǒng)的各種漏洞層出不窮，無法從根本上解決封堵的辦法是捕捉黑客攻擊和病毒入侵的行為特征，其特征是已發(fā)生過的滯后信息

惡意用戶的攻擊手段變化多端,防護者只能:防火墻越砌越高入侵檢測越做越復雜惡意代碼庫越做越大導致：誤報率增多，安全投入不斷增加維護與管理更加復雜和難以實施信息系統(tǒng)的使用效率大大降低對新的攻擊入侵毫無防御能力（如沖擊波）反思：老三樣、堵漏洞、作高墻、防外攻、防不勝防

產(chǎn)生安全事故的技術(shù)原因：PC機軟、硬件結(jié)構(gòu)簡化，導致資源可任意使用，尤其是執(zhí)行代碼可修改，惡意程序可以被植入病毒程序利用PC操作系統(tǒng)對執(zhí)行代碼不檢查一致性弱點，將病毒代碼嵌入到執(zhí)行代碼程序，實現(xiàn)病毒傳播黑客利用被攻擊系統(tǒng)的漏洞竊取超級用戶權(quán)限，肆意進行破壞更為嚴重的是對合法的用戶沒有進行嚴格的訪問控制，可以進行越權(quán)訪問，造成不安全事故如果從終端操作平臺實施高等級防范，這些不安全因素將從終端源頭被控制。這種情況在工作流程相對固定的重要信息系統(tǒng)顯得更為重要而可行。在電子政務(wù)的內(nèi)外網(wǎng)中政務(wù)內(nèi)網(wǎng)與政務(wù)外網(wǎng)物理隔離，政務(wù)外網(wǎng)與Internet邏輯隔離要處理的工作流程都是預先設(shè)計好的操作使用的角色是確定的應(yīng)用范圍和邊界都是明確的這類工作流程相對固定的生產(chǎn)系統(tǒng)與Internet網(wǎng)是有隔離措施的，外部網(wǎng)絡(luò)的用戶很難侵入到內(nèi)部網(wǎng)絡(luò)來

，其最大的威脅是來自內(nèi)部人員的竊密和破壞。

據(jù)統(tǒng)計，80%的信息安全事故為內(nèi)部人員和內(nèi)外勾結(jié)所為，而且呈上升的趨勢。因此我們應(yīng)該以“防內(nèi)為主、內(nèi)外兼防”的模式，從提高使用節(jié)點自身的安全著手，構(gòu)筑積極、綜合的安全防護系統(tǒng)。應(yīng)該：強機制、高可信、控使用、防內(nèi)外，積極防御二、、可可信信賴賴計計算算環(huán)環(huán)境境為了了解解決決PC機結(jié)結(jié)構(gòu)構(gòu)上上的的不不安安全全，，從從根根本本上上提提高高其其安安全全性性，，在在世世界界范范圍圍內(nèi)內(nèi)推推行行可可信信計計算算技技術(shù)術(shù)1999年由由Compaq、HP、IBM、Intel和Microsoft牽頭頭組組織織TCPA(TrustedComputingPlatformAlliance)，目目前前已已發(fā)發(fā)展展成成員員190家，，遍遍布布全全球球各各大大洲洲主主力力廠廠商商TCPA專注注于于從從計計算算平平臺臺體體系系結(jié)結(jié)構(gòu)構(gòu)上上增增強強其其安安全全性性，，2001年1月發(fā)發(fā)布布了了標標準準規(guī)規(guī)范范（（v1.1），，2003年3月改改組組為為TCG(TrustedComputingGroup)其目目的的是是在在計計算算和和通通信信系系統(tǒng)統(tǒng)中中廣廣泛泛使使用用基基于于硬硬件件安安全全模模塊塊支支持持下下的的可可信信計計算算平平臺臺，，以以提提高高整整體體的的安安全全性性。?？尚判庞嬘嬎闼憬K終端端基基于于可可信信賴賴平平臺臺模模塊塊（（TPM）,以密密碼碼技技術(shù)術(shù)為為支支持持、、安安全全操操作作系系統(tǒng)統(tǒng)為為核核心心（（如如圖圖1所示示））安全應(yīng)用組件安全操作系統(tǒng)安全操作系統(tǒng)內(nèi)核密碼模塊協(xié)議棧主板可信賴BIOSTPM(密碼模塊芯片)圖1：可信賴計算平臺具有有以以下下功功能能：：確保保用用戶戶唯唯一一身身份份、、權(quán)權(quán)限限、、工工作作空空間間的的完完整整性性/可用用性性確保保存存儲儲、、處處理理、、傳傳輸輸?shù)牡臋C機密密性性/完整整性性確保保硬硬件件環(huán)環(huán)境境配配置置、、操操作作系系統(tǒng)統(tǒng)內(nèi)內(nèi)核核、、服服務(wù)務(wù)及及應(yīng)應(yīng)用用程程序序的的完完整整性性確保保密密鑰鑰操操作作和和存存儲儲的的安安全全確保保系系統(tǒng)統(tǒng)具具有有免免疫疫能能力力，，從從根根本本上上防防止止病病毒毒和和黑黑客客安全全操操作作系系統(tǒng)統(tǒng)是是可可信信計計算算終終端端平平臺臺的的核核心心和和基基礎(chǔ)礎(chǔ)，，沒沒有有安安全全的的操操作作系系統(tǒng)統(tǒng)，，就就沒沒有有安安全全的的應(yīng)應(yīng)用用，，也也不不能能使使TPM發(fā)揮應(yīng)應(yīng)有的的作用用三、安安全技技術(shù)保保障框框架對工作作流程程相對對固定定的重重要信信息系系統(tǒng)主要由由應(yīng)用用操作作、共共享服服務(wù)和和網(wǎng)絡(luò)絡(luò)通信信三個個環(huán)節(jié)節(jié)組成成。如如果信信息系系統(tǒng)中中每一一個使使用者者都通通過可可信終終端認認證和和授權(quán)權(quán)，其其操作作都是是符合合規(guī)定定的，，網(wǎng)絡(luò)絡(luò)上也也不會會被竊竊聽和和插入入，那那么就就不會會產(chǎn)生生攻擊擊性共共享服服務(wù)資資源的的事故故，就就能保保證整整個信信息系系統(tǒng)的的安全全可信終終端確確保用用戶的的合法法性和和資源源的一一致性性，使使用戶戶只能能按照照規(guī)定定的權(quán)權(quán)限和和訪問問控制制規(guī)則則進行行操作作，能能做到到什么么樣權(quán)權(quán)限級級別的的人只只能做做與其其身份份規(guī)定定的訪訪問操操作，，只要要控制制規(guī)則則是合合理的的，那那么整整個信信息系系統(tǒng)資資源訪訪問過過程是是安全全的。。可信信終端端奠定定了系系統(tǒng)安安全的的基礎(chǔ)礎(chǔ)應(yīng)用安安全邊邊界設(shè)設(shè)備（（如VPN安全網(wǎng)網(wǎng)關(guān)等等）保保護共共享服服務(wù)資資源，，其具具有身身份認認證和和安全全審計計功能能，將將共享享服務(wù)務(wù)器（（如數(shù)數(shù)據(jù)庫庫服務(wù)務(wù)器、、WEB服務(wù)器器、郵郵件服服務(wù)器器等））與非非法訪訪問者者隔離離，防防止意意外的的非授授權(quán)用用戶的的訪問問（如如非法法接入入的非非可信信終端端）。。這樣樣共享享服務(wù)務(wù)端主主要增增強其其可靠靠性，，如雙雙機備備份、、容錯錯、災(zāi)災(zāi)難恢恢復等等，而而不必必作繁繁重的的訪問問控制制，從從而減減輕服服務(wù)器器的壓壓力，，以防防拒絕絕服務(wù)務(wù)攻擊擊采用IPSec實現(xiàn)網(wǎng)網(wǎng)絡(luò)通通信全全程安安全保保密。。IPSec工作在在操作作系統(tǒng)統(tǒng)內(nèi)核核，速速度快快，幾幾乎可可以達達到線線速處處理，，可以以實現(xiàn)現(xiàn)源到到目的的端的的全程程通信信安全全保護護，確確保傳傳輸連連接的的真實實性和和數(shù)據(jù)據(jù)的機機密性性、一一致性性，防止止非法法的竊竊聽和和插入入綜上所所述，，可信信的應(yīng)應(yīng)用操操作平平臺、、安全全的共共享服服務(wù)資資源邊邊界保保護和和全程程安全全保護護的網(wǎng)網(wǎng)絡(luò)通通信，，構(gòu)成成了工工作流流程相相對固固定的的生產(chǎn)產(chǎn)系統(tǒng)統(tǒng)的信信息安安全保保障框框架。。（如如圖2所示））圖2：工作流程相對固定的生產(chǎn)系統(tǒng)安全解決方案全程IPSec

服務(wù)器安全邊界設(shè)備可信客戶端可信客戶端

全程IPSec

安全域一可信客戶端可信客戶端

安全域二安全隔離設(shè)備全程IPSec要實現(xiàn)現(xiàn)上述述終端端、邊邊界和和通信信有效效的保保障，，還需需要授授權(quán)管管理的的管理理中心心以及及可信信配置置的密密碼管管理中中心的的支撐撐從技術(shù)術(shù)層面面上可可以分分為以以下五五個環(huán)環(huán)節(jié)：：應(yīng)用環(huán)環(huán)境安安全應(yīng)用區(qū)區(qū)域邊邊界安安全網(wǎng)絡(luò)和和通信信傳輸輸安全全安全管管理中中心密碼管管理中中心即：兩兩個中中心支支持下下的三三重保保障體體系結(jié)結(jié)構(gòu)對于復復雜系系統(tǒng)：：構(gòu)成三三縱（（公共共區(qū)域域、專專用區(qū)區(qū)域、、涉密密區(qū)域域）三三橫（（應(yīng)用用環(huán)境境、應(yīng)應(yīng)用區(qū)區(qū)域邊邊界、、網(wǎng)絡(luò)絡(luò)通信信）和和兩個個中心心的安安全防防御框框架。。（如如圖3所示））圖3：信息息安全全技術(shù)術(shù)保障障框架架應(yīng)用環(huán)環(huán)境安安全：：包括單單機、、C/S、B/S模式，，采用用身份份認證證、訪訪問控控制、、密碼碼加密密、安安全審審計等等機制制，構(gòu)構(gòu)成可可信應(yīng)應(yīng)用環(huán)環(huán)境應(yīng)用區(qū)區(qū)域邊邊界安安全：：通過部部署邊邊界保保護措措施控控制對對內(nèi)部部局域域網(wǎng)的的訪問問，實實現(xiàn)局局域網(wǎng)網(wǎng)與廣廣域網(wǎng)網(wǎng)之間間的安安全。。采用用安全全網(wǎng)關(guān)關(guān)、防防火墻墻等隔隔離過過濾機機制，，保護護共享享資源源的可可信連連接網(wǎng)絡(luò)和和通信信傳輸輸安全全：包括實實現(xiàn)局局域網(wǎng)網(wǎng)互聯(lián)聯(lián)過程程的安安全，，旨在在確保保通信信的機機密性性、一一致性性和可可用性性。采采用密密碼加加密、、完整整性校校驗和和實體體鑒別別等機機制，，實現(xiàn)現(xiàn)可信信連接接和安安全通通信安全管管理中中心：：提供認認證、、授權(quán)權(quán)、實實施訪訪問控控制策策略等等服服務(wù)務(wù)密碼管管理中中心：：提供互互聯(lián)互互通密密碼配配置、、公鑰鑰證書書和傳傳統(tǒng)的的對稱稱密鑰鑰的管管理，，為信信息系系統(tǒng)提提供密密碼服服務(wù)三種不不同性性質(zhì)的的應(yīng)用用區(qū)域域在各各自采采用相相應(yīng)的的安全全保障障措施施之后后，互互相之之間有有一定定的溝溝通，，需要要采用用安全全隔離離和信信息交交換設(shè)設(shè)備進進行連連接目前我我國信信息安安全建建設(shè)正正處在在一個個關(guān)鍵鍵時期期，我我們必必須把把握住住正確確的研研究方方向，，制定定相應(yīng)應(yīng)的發(fā)發(fā)展戰(zhàn)戰(zhàn)略，，走符符合我我國國國情的的發(fā)展展道路路，利利用國國際先先進技技術(shù)，，開發(fā)發(fā)安全全高效效，具具有自自主知知識產(chǎn)產(chǎn)權(quán)的的信息息安全全產(chǎn)品品，從從而滿滿足我我國各各行各各業(yè)的的迫切切需要要，促促進我我國信信息安安全事事業(yè)的的發(fā)展展。結(jié)束束語語9、靜靜夜夜四四無無鄰鄰，，荒荒居居舊舊業(yè)業(yè)貧貧。。。。12月月-2212月月-22Wednesday,December28,202210、雨中黃葉樹樹，燈下白頭頭人。。20:28:3620:28:3620:2812/28/20228:28:36PM11、以以我我獨獨沈沈久久，，愧愧君君相相見見頻頻。。。。12月月-2220:28:3620:28Dec-2228-Dec-2212、故故人人江江海海別別，，幾幾度度隔隔山山川川。。。。20:28:3620:28:3620:28Wednesday,December28,202213、乍見翻疑夢夢，相悲各問問年。。12月-2212月-2220:28:3620:28:36December28,202214、他鄉(xiāng)鄉(xiāng)生白白發(fā)，，舊國國見青青山。。。28十十二二月20228:28:36下下午20:28:3612月月-2215、比不了了得就不不比，得得不到的的就不要要。。。十二月228:28下午午12月-2220:28December28,202216、行動出出成果，，工作出出財富。。。2022/12/2820:28:3620:28:3628December202217、做前，能夠夠環(huán)視四周；；做時，你只只能或者最好好沿著以腳為為起點的射線線向前。。8:28:36下午8:28下下午20:28:3612月-229、沒有有失敗敗，只只有暫暫時停停止成成功??！。12月月-2212月月-22Wednesday,December28,202210、很很多多事事情情努努力力了了未未必必有有結(jié)結(jié)果果，，但但是是不不努努力力卻卻什什么么改改變變也也沒沒有有。。。。20:28:3620:28:3620:2812/28/20228:28:36PM11、成功功就是是日復復一日日那一一點點點小小小努力力的積積累。。。12月月-2220:28:3620:28Dec-2228-Dec-2212、世間成事事，不求其其絕對圓滿滿，留一份份不足，可可得無限完完美。。20:28:3620:28:3620:28Wednesday,December28,202213、不知香積寺寺，數(shù)里入云云峰。。12月-2212月-2220:28:3620:28:36December28,202214、意意志志堅堅強強的的人人能能把把世世界界放放在在手手中中像像泥泥塊塊一一樣樣任任意意揉揉捏捏。。28十十二二月月20228:28:36下下午午20:28:3612月月-2215、楚塞塞三湘湘接，，荊門門九派派通。。。。十二月月228:28下下午午12月月-2220:28December28,202216、少年年十五五二十十時，，步行行奪得得胡馬馬騎。。。2022/12/2820:28:3620:28:3628December202217、空山新雨雨后，天氣氣晚來秋。。。8:28:36下下午8:28下下午20:28:3612月-229、楊柳散和風風，青山澹吾吾慮。。12月-2212月-22Wednesday,December28,202210、閱讀一切好好書如同和過過去最杰出的的人談話。20:28:3620:28:3620:2812/28/20228:28:36PM11、越是是沒有有本領(lǐng)領(lǐng)的就就越加加自命命不凡