實體安全與硬件防護技術(shù)

1、主講：黎培興主講：黎培興 博士博士二零零二年九月二零零二年九月第五課：第二章第二章實體安全與硬件防護技術(shù)第二章實體安全與硬件防護技術(shù)第二章實體安全與硬件防護技術(shù)n2.1實體安全技術(shù)概述實體安全技術(shù)概述n2.2計算機房場地環(huán)境的安全防護計算機房場地環(huán)境的安全防護n2.3安全管理安全管理n2.4電磁防護電磁防護n2.5硬件防護硬件防護第二章實體安全與硬件防護技術(shù)第二章實體安全與硬件防護技術(shù)本章學習目標n（1）了解實體安全的定義、目的和內(nèi)容。）了解實體安全的定義、目的和內(nèi)容。n（2）掌握計算機房場地環(huán)境的安全要求。）掌握計算機房場地環(huán)境的安全要求。包括機房建筑和結(jié)構(gòu)要求、三度要求、防靜包括機房建筑和

2、結(jié)構(gòu)要求、三度要求、防靜電措施、供電要求、接地與防雷、防火、防電措施、供電要求、接地與防雷、防火、防水等的技術(shù)、方法與措施。水等的技術(shù)、方法與措施。n（3）掌握安全管理技術(shù)的內(nèi)容和方法。）掌握安全管理技術(shù)的內(nèi)容和方法。n（4）理解電磁防護和硬件防護的基本方法。）理解電磁防護和硬件防護的基本方法。第二章實體安全與硬件防護技術(shù)第二章實體安全與硬件防護技術(shù)2.1實體安全技術(shù)概述n2.1.1影響實體安全的主要因素影響實體安全的主要因素n2.1.2實體安全的內(nèi)容實體安全的內(nèi)容返回本章首頁返回本章首頁第二章實體安全與硬件防護技術(shù)第二章實體安全與硬件防護技術(shù)2.1.1影響實體安全的主要因素 影響計算機網(wǎng)絡(luò)實

3、體安全的主要因素如下：影響計算機網(wǎng)絡(luò)實體安全的主要因素如下：n1）計算機及其網(wǎng)絡(luò)系統(tǒng)自身存在的脆弱性）計算機及其網(wǎng)絡(luò)系統(tǒng)自身存在的脆弱性因素。因素。 n2）各種自然災害導致的安全問題。）各種自然災害導致的安全問題。n3）由于人為的錯誤操作及各種計算機犯罪）由于人為的錯誤操作及各種計算機犯罪導致的安全問題。導致的安全問題。返回本節(jié)返回本節(jié)第二章實體安全與硬件防護技術(shù)第二章實體安全與硬件防護技術(shù)2.1.2實體安全的內(nèi)容n（1）環(huán)境安全）環(huán)境安全 n（2）設(shè)備安全）設(shè)備安全 n（3）存儲媒體安全）存儲媒體安全 n（4）硬件防護）硬件防護 返回本節(jié)返回本節(jié)第二章實體安全與硬件防護技術(shù)第二章實體安全與硬

4、件防護技術(shù)2.2計算機房場地環(huán)境的安全防護n2.2.1計算機房場地的安全要求n2.2.2設(shè)備防盜n2.2.3機房的三度要求n2.2.4 防靜電措施n2.2.5電源n2.2.6接地與防雷n2.2.7計算機場地的防火、防水措施返回本章首頁返回本章首頁第二章實體安全與硬件防護技術(shù)第二章實體安全與硬件防護技術(shù)2.2.1計算機房場地的安全要求機房建筑和結(jié)構(gòu)從安全的角度，還應該考慮：機房建筑和結(jié)構(gòu)從安全的角度，還應該考慮：n1）電梯和樓梯不能直接進入機房。）電梯和樓梯不能直接進入機房。n2）建筑物周圍應有足夠亮度照明設(shè)施和防止非法進入設(shè)施。）建筑物周圍應有足夠亮度照明設(shè)施和防止非法進入設(shè)施。3）外部容易接

5、近的進出口，而周邊應有物理屏障和監(jiān)視報警）外部容易接近的進出口，而周邊應有物理屏障和監(jiān)視報警系統(tǒng)，窗口應采取防范措施，必要時安裝自動報警設(shè)備。系統(tǒng)，窗口應采取防范措施，必要時安裝自動報警設(shè)備。n4）機房進出口須設(shè)置應急電話。）機房進出口須設(shè)置應急電話。n5）機房供電系統(tǒng)應將動力照明用電與計算機系統(tǒng)供電線路分）機房供電系統(tǒng)應將動力照明用電與計算機系統(tǒng)供電線路分開，機房及疏散通道應配備應急照明裝置。開，機房及疏散通道應配備應急照明裝置。n6）計算機中心周圍）計算機中心周圍100m內(nèi)不能有危險建筑物。內(nèi)不能有危險建筑物。n7）進出機房時要更衣、換鞋，機房的門窗應考慮封閉性能。）進出機房時要更衣、換鞋

6、，機房的門窗應考慮封閉性能。n8）照明應達到規(guī)定標準。）照明應達到規(guī)定標準。 返回本節(jié)返回本節(jié)第二章實體安全與硬件防護技術(shù)第二章實體安全與硬件防護技術(shù)2.2.2設(shè)備防盜n早期的防盜，采取增加質(zhì)量和膠粘的方法，即早期的防盜，采取增加質(zhì)量和膠粘的方法，即將設(shè)備長久固定或粘接在一個地點。將設(shè)備長久固定或粘接在一個地點。 n 視頻監(jiān)視系統(tǒng)是一種更為可靠的防護設(shè)備，能視頻監(jiān)視系統(tǒng)是一種更為可靠的防護設(shè)備，能對系統(tǒng)運行的外圍環(huán)境、操作環(huán)境實施監(jiān)控對系統(tǒng)運行的外圍環(huán)境、操作環(huán)境實施監(jiān)控（視）。對重要的機房，還應采取特別的防盜（視）。對重要的機房，還應采取特別的防盜措施，如值班守衛(wèi)，出入口安裝金屬防護裝置措施

7、，如值班守衛(wèi)，出入口安裝金屬防護裝置保護安全門、窗戶。保護安全門、窗戶。返回本節(jié)返回本節(jié)第二章實體安全與硬件防護技術(shù)第二章實體安全與硬件防護技術(shù)2.2.3機房的三度要求n1溫度溫度 n2濕度濕度 n3潔凈度潔凈度 返回本節(jié)返回本節(jié)第二章實體安全與硬件防護技術(shù)第二章實體安全與硬件防護技術(shù)2.2.4 防靜電措施n靜電是由物體間的相互磨擦、接觸而產(chǎn)生的。靜靜電是由物體間的相互磨擦、接觸而產(chǎn)生的。靜電產(chǎn)生后，由于它不能泄放而保留在物體內(nèi)，產(chǎn)電產(chǎn)生后，由于它不能泄放而保留在物體內(nèi)，產(chǎn)生很高的電位（能量不大），而靜電放電時發(fā)生生很高的電位（能量不大），而靜電放電時發(fā)生火花，造成火災或損壞芯片。計算機信息系

8、統(tǒng)的火花，造成火災或損壞芯片。計算機信息系統(tǒng)的各個關(guān)鍵電路，諸如各個關(guān)鍵電路，諸如CPU、ROM、RAM等大都采等大都采用用MOS工藝的大規(guī)模集成電路，對靜電極為敏感，工藝的大規(guī)模集成電路，對靜電極為敏感，容易因靜電而損壞。這種損壞可能是不知不覺造容易因靜電而損壞。這種損壞可能是不知不覺造成的。成的。n機房內(nèi)一般應采用乙烯材料裝修，避免使用掛毯、機房內(nèi)一般應采用乙烯材料裝修，避免使用掛毯、地毯等吸塵、容易產(chǎn)生靜電的材料。地毯等吸塵、容易產(chǎn)生靜電的材料。 返回本節(jié)返回本節(jié)第二章實體安全與硬件防護技術(shù)第二章實體安全與硬件防護技術(shù)2.2.5電源 1電源線干擾n有六類電源線干擾：中斷、異常中斷、電壓瞬

9、變、沖擊、噪聲、突然失效事件。 2保護裝置n電源保護裝置有金屬氧化物可變電阻（MOV）、硅雪崩二極管（SAZD）、氣體放電管（GDT）、濾波器、電壓調(diào)整變壓器（VRT）和不間斷電源（UPS）等。第二章實體安全與硬件防護技術(shù)第二章實體安全與硬件防護技術(shù) 3緊急情況供電n重要的計算機房應配置御防電壓不足（電源下跌）的設(shè)備，這種設(shè)備有如下兩種：n（1）UPS n（2）應急電源 4調(diào)整電壓和緊急開關(guān)n電源電壓波動超過設(shè)備安全操作允許的范圍時，需要進行電壓調(diào)整。允許波動的范圍通常在5%的范圍內(nèi)。 返回本節(jié)返回本節(jié)電源第二章實體安全與硬件防護技術(shù)第二章實體安全與硬件防護技術(shù)2.2.6接地與防雷1地線種類n

10、（1）保護地n（2）直流地n（3）屏蔽地n（4）靜電地n（5）雷擊地第六課： 2.2.6第二章實體安全與硬件防護技術(shù)第二章實體安全與硬件防護技術(shù)2接地系統(tǒng) 計算機房的接地系統(tǒng)是指計算機系統(tǒng)本身和場地的各種接地的設(shè)計和具體實施。n（1）各自獨立的接地系統(tǒng)n（2）交、直流分開的接地系統(tǒng)n（3）共地接地系統(tǒng)n（4）直流地、保護地共用地線系統(tǒng)n（5）建筑物內(nèi)共地系統(tǒng)接地系統(tǒng)第二章實體安全與硬件防護技術(shù)第二章實體安全與硬件防護技術(shù)3接地體n（1）地樁n（2）水平柵網(wǎng)n（3）金屬接地板n（4）建筑物基礎(chǔ)鋼筋接地體第二章實體安全與硬件防護技術(shù)第二章實體安全與硬件防護技術(shù)4防雷措施n 機房的外部防雷應使用接閃

11、器、引下線和接地裝置，吸引雷電流，并為其泄放提供一條低阻值通道。n 機器設(shè)備應有專用地線，機房本身有避雷設(shè)施，設(shè)備(包括通信設(shè)備和電源設(shè)備)有防雷擊的技術(shù)設(shè)施，機房的內(nèi)部防雷主要采取屏蔽、等電位連接、合理布線或防閃器、過電壓保護等技術(shù)措施以及攔截、屏蔽、均壓、分流、接地等方法，達到防雷的目的。機房的設(shè)備本身也應有避雷裝置和設(shè)施。返回本節(jié)返回本節(jié)防雷措施第二章實體安全與硬件防護技術(shù)第二章實體安全與硬件防護技術(shù)2.2.7計算機場地的防火、防水措施 為避免火災、水災，應采取如下具體措施：n1隔離 n2火災報警系統(tǒng) n3滅火設(shè)施 n4管理措施 返回本節(jié)返回本節(jié)第二章實體安全與硬件防護技術(shù)第二章實體安全

12、與硬件防護技術(shù)2.3安全管理n2.3.1硬件資源的安全管理n2.3.2信息資源的安全與管理n2.3.3健全機構(gòu)和崗位責任制n2.3.4完善的安全管理規(guī)章制度返回本章首頁返回本章首頁第二章實體安全與硬件防護技術(shù)第二章實體安全與硬件防護技術(shù)2.3.1硬件資源的安全管理n1硬件設(shè)備的使用管理硬件設(shè)備的使用管理n2常用硬件設(shè)備的維護和保養(yǎng)常用硬件設(shè)備的維護和保養(yǎng)返回本節(jié)返回本節(jié)第二章實體安全與硬件防護技術(shù)第二章實體安全與硬件防護技術(shù)2.3.2信息資源的安全與管理1信息存儲的安全管理信息存儲的安全管理n計算機處理的結(jié)果（信息）要存儲在某種媒體上，常用的媒體有：磁盤、磁帶、打印紙、光盤。信息存儲的管理實際

13、上就是對存放有信息的具體媒體的管理。2信息的使用管理信息的使用管理n計算機中的信息是文字記錄、數(shù)據(jù)在計算機中的表示形式，對它的安全控制關(guān)系到國家、集體、個人的安全利益。必須加強對信息的使用管理，防止非法使用。返回本節(jié)返回本節(jié)第二章實體安全與硬件防護技術(shù)第二章實體安全與硬件防護技術(shù)2.3.3健全機構(gòu)和崗位責任制n 計算機系統(tǒng)的安全問題是涉及整個系統(tǒng)、計算機系統(tǒng)的安全問題是涉及整個系統(tǒng)、整個單位的大問題。一般來說，系統(tǒng)安全保密整個單位的大問題。一般來說，系統(tǒng)安全保密是由單位主要領(lǐng)導負責，必要時設(shè)置專門機構(gòu)，是由單位主要領(lǐng)導負責，必要時設(shè)置專門機構(gòu)，協(xié)助主要領(lǐng)導管理。重要單位、要害部門的安協(xié)助主要領(lǐng)

14、導管理。重要單位、要害部門的安全保密工作應分別由安全、保密、保衛(wèi)和技術(shù)全保密工作應分別由安全、保密、保衛(wèi)和技術(shù)部門分工負責。所有領(lǐng)導機構(gòu)、重要計算機系部門分工負責。所有領(lǐng)導機構(gòu)、重要計算機系統(tǒng)的安全組織機構(gòu)（包括安全審查機構(gòu)、安全統(tǒng)的安全組織機構(gòu)（包括安全審查機構(gòu)、安全決策機構(gòu)、安全管理機構(gòu)）都要建立和健全各決策機構(gòu)、安全管理機構(gòu)）都要建立和健全各項規(guī)章制度。項規(guī)章制度。返回本節(jié)返回本節(jié)第二章實體安全與硬件防護技術(shù)第二章實體安全與硬件防護技術(shù)2.3.4完善的安全管理規(guī)章制度n1系統(tǒng)運行維護管理制度系統(tǒng)運行維護管理制度 n2計算機處理控制管理制度計算機處理控制管理制度 n3文檔資料管理制度文檔資

15、料管理制度 n4操作人員及管理人員的管理制度操作人員及管理人員的管理制度 n5計算機機房的安全管理規(guī)章制度計算機機房的安全管理規(guī)章制度 n6其他的重要管理制度其他的重要管理制度 n7詳細的工作手冊和工作記錄詳細的工作手冊和工作記錄 返回本節(jié)返回本節(jié)第二章實體安全與硬件防護技術(shù)第二章實體安全與硬件防護技術(shù)2.4電磁防護1電磁干擾和電磁兼容 n電磁干擾可通過電磁輻射和傳導兩條途徑影響設(shè)備的工作。 2計算機通過電磁發(fā)射引起的信息泄漏 nTempest技術(shù)是綜合性很強的技術(shù)，包括泄漏信息的分析、預測、接收、識別、復原、防護、測試、安全評估等項技術(shù)，涉及到多個學科領(lǐng)域。它基本上是在傳統(tǒng)的電磁兼容理論的基

16、礎(chǔ)上發(fā)展起來的，但比傳統(tǒng)的抑制電磁干擾的要求要高得多，技術(shù)實現(xiàn)上也更復雜。 返回本章首頁返回本章首頁第七課：2.4節(jié)第二章實體安全與硬件防護技術(shù)第二章實體安全與硬件防護技術(shù)3電磁防護的措施 n目前主要防護措施有兩類：一類是對傳導發(fā)射的防護，主要采取對電源線和信號線加裝性能良好的濾波器，減小傳輸阻抗和導線間的交叉耦合；另一類是對輻射的防護 ，為提高電子設(shè)備的抗干擾能力，除在芯片、部件上提高抗干擾能力外，主要的措施有屏蔽、隔離、濾波、吸波、接地等。其中屏蔽是應用最多的方法。返回本節(jié)返回本節(jié)電磁防護的措施第二章實體安全與硬件防護技術(shù)第二章實體安全與硬件防護技術(shù)2.5硬件防護n2.5.1存儲器保護n2

17、.5.2虛擬存儲保護n2.5.3輸入/輸出通道控制返回本章首頁返回本章首頁第二章實體安全與硬件防護技術(shù)第二章實體安全與硬件防護技術(shù)2.5.1存儲器保護n 硬件是計算機系統(tǒng)的基礎(chǔ)。硬件防護一般是指在計算機硬件（CPU、存儲器、外設(shè)等）上采取措施或通過增加硬件來防護。如計算機加鎖，加專門的信息保護卡（如防病毒卡、防拷貝卡），加插座式的數(shù)據(jù)變換硬件（如安裝在并行口上的加密狗等），輸入輸出通道控制，以及用界限寄存器對內(nèi)存單元進行保護等措施。第二章實體安全與硬件防護技術(shù)第二章實體安全與硬件防護技術(shù)n 界限寄存器提供保護的方法簡單、可靠。界限寄存器提供保護的方法簡單、可靠。由于界限寄存器對用戶確定的存儲區(qū)

18、域并不為由于界限寄存器對用戶確定的存儲區(qū)域并不為用戶所知，因此，非法用戶即使可以進入系統(tǒng)，用戶所知，因此，非法用戶即使可以進入系統(tǒng)，但由于界限寄存器的保護，使它不知道要竊取但由于界限寄存器的保護，使它不知道要竊取信息的存放地點，并且它的活動范圍也只限于信息的存放地點，并且它的活動范圍也只限于界限寄存器規(guī)定的范圍。這樣就保護了信息的界限寄存器規(guī)定的范圍。這樣就保護了信息的安全。界限寄存器原理如圖安全。界限寄存器原理如圖2.1所示。所示。 n 但是這種方法也有一定的局限。首先對大的系統(tǒng)，但是這種方法也有一定的局限。首先對大的系統(tǒng)，特別是多重處理的系統(tǒng)，必須提供多對界限寄存器，因特別是多重處理的系統(tǒng)

19、，必須提供多對界限寄存器，因為每次處理所調(diào)用的程序可能在不同的區(qū)域，這就勢必為每次處理所調(diào)用的程序可能在不同的區(qū)域，這就勢必增加界限寄存器的數(shù)量，增加開銷。如果寄存器數(shù)量不增加界限寄存器的數(shù)量，增加開銷。如果寄存器數(shù)量不夠，則要不斷更新內(nèi)容，使系統(tǒng)的處理速度降低。夠，則要不斷更新內(nèi)容，使系統(tǒng)的處理速度降低。界限寄存器原理第二章實體安全與硬件防護技術(shù)第二章實體安全與硬件防護技術(shù) E D C B A 操作系統(tǒng) 20000 存儲器 B1 30000 存儲器 B2 內(nèi)存區(qū) 80000 65000 60000 50000 20000 10000 00000 圖圖2.1界限寄存器原理界限寄存器原理返回本節(jié)返回本節(jié)界限