信息安全技術體系：第7章 信息安全技術體系

1、目錄第1章 信息安全概論第2章 信息安全整體原理第3章 信息安全技術要素第4章 安全主機子系統(tǒng)第5章 安全網(wǎng)絡子系統(tǒng)第6章 安全檢測子系統(tǒng)第7章 信息安全技術體系第7章 信息安全技術體系概述7.1 信息安全的分層技術保護 7.2 信息安全的分域技術保護7.3 信息安全的分級技術保護7.4 信息安全的分時技術保護7.5 典型信息安全技術保障框架概述本部分論述的是由這些信息安全產品和安全子系統(tǒng)構成的大型信息系統(tǒng)的整體安全問題，重點討論由這些信息安全技術子系統(tǒng)如何構成一個整體的信息安全系統(tǒng)，形成信息系統(tǒng)的整體安全技術體系框架。第四章和第五章分別介紹了安全數(shù)據(jù)庫管理系統(tǒng)和安全網(wǎng)絡系統(tǒng)，體現(xiàn)了分層和分域

2、（對等）保護的基本思想。本章以系統(tǒng)論的觀點，從不同維度詳細論述和分析信息系統(tǒng)整體安全的分層保護、分域保護、分級保護和動態(tài)防御的信息安全理論、方法的相關內容，形成完整的信息安全技術體系結構。 7.1 信息安全的分層技術保護7.1.1 概述7.1.2 層次詮釋7.1.1 概述本書中信息安全是指信息系統(tǒng)中信息的安全，這里的信息是由信息系統(tǒng)直接訪問的，信息系統(tǒng)必須提供相關的安全保障措施。同時，信息系統(tǒng)自身也必須是安全的，信息系統(tǒng)中軟件是依賴于其存在的相關硬件的，整個信息系統(tǒng)是依賴其所處的物理環(huán)境和相關的硬件基礎設施的，需要硬件為信息系統(tǒng)自身提供安全的環(huán)境。另外，信息系統(tǒng)的使用，硬件和物理環(huán)境的安全是由

3、人維護和管理，需要通過管理保障信息、信息系統(tǒng)的軟、硬件安全。顯然，信息系統(tǒng)的安全保障是一個與上述問題相關的層次化保障體系。 物理層面安全支撐系統(tǒng)層面安全網(wǎng)絡層面安全應用層面安全管理層面安全7.1.2 層次詮釋一、物理層面二、支撐系統(tǒng)層面三、網(wǎng)絡層面四、應用層面五、管理層面一、物理層面物理安全是信息賴以存在的前提，是信息安全的基礎。物理安全遭受破壞將直接影響信息的可用性和完整性，物理設備的不安全將導致敏感信息的磁泄漏、客體被重用等安全隱患。因此，物理安全是信息安全的硬件保障，必須提供相關的措施加強其安全性。包括計算機硬件、網(wǎng)絡硬件、各類設備與介質和運行環(huán)境的安全。二、支撐系統(tǒng)層面支撐系統(tǒng)層面的安

4、全包括操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)等計算機系統(tǒng)軟件的信息安全保護。其中，操作系統(tǒng)安全是核心和關鍵。主體對客體的任何訪問都需要通過操作系統(tǒng)，操作系統(tǒng)的安全是整個信息安全的基石，而訪問控制是操作系統(tǒng)的安全核心。操作系統(tǒng)和數(shù)據(jù)庫是保障分布式信息系統(tǒng)中“點”上的安全。三、網(wǎng)絡層面網(wǎng)絡層面安全包括網(wǎng)絡系統(tǒng)的協(xié)議與專用網(wǎng)絡設備的信息安全保護。它在分布式信息系統(tǒng)中是保障“線”上的安全。網(wǎng)絡安全與“點”上支撐系統(tǒng)安全一起構成了信息安全技術體系的主體內容。四、應用層面應用層面安全包括工具軟件和應用軟件等的信息安全保護。應用軟件系統(tǒng)是直接面對用戶提供各種業(yè)務處理的應用服務，一般用戶是通過應用軟件系統(tǒng)與信息系統(tǒng)進行交互、完

5、成各種業(yè)務信息的處理。信息安全的目標也是最終保障應用數(shù)據(jù)的安全。因此，應用安全是信息安全的目標，需要其它層面提供安全支持，其它層面的安全都是為應用安全提供安全保障、服務和支撐。五、管理層面管理層面安全主要是指對人員的管理實現(xiàn)安全控制。信息系統(tǒng)是人機系統(tǒng)，人是信息系統(tǒng)的重要組成部分，信息系統(tǒng)中的信息、軟硬件等都是由人使用的，需要加強對人員的安全管理，才能充分保障安全技術的有效發(fā)揮。以上每個層面都需要相關的安全管理，包括工程管理、運行管理等的安全程序和規(guī)章制度。 7.2 信息安全的分域技術保護7.2.1 概述7.2.2 局域計算環(huán)境安全7.2.3 信息交換與邊界安全7.2.4 網(wǎng)絡傳輸安全7.2.

6、5 支撐基礎設施安全7.2.1 概述信息系統(tǒng)通過網(wǎng)絡實現(xiàn)連接、互通、互操作，實現(xiàn)信息的交流與共享，使信息化真正走向社會活動和家庭生活，形成了現(xiàn)在的信息化社會。由網(wǎng)絡連接的計算機系統(tǒng)，由子網(wǎng)絡構成更大的網(wǎng)絡系統(tǒng)。然而，分布在大型的網(wǎng)絡環(huán)境下的大大小小的信息系統(tǒng)，其安全保護目標和安全級別可以是不同的。在互連、互通的網(wǎng)絡環(huán)境下，對這些信息系統(tǒng)的安全保護可以通過空間的區(qū)域劃分，采用適當?shù)陌踩綦x措施，實施分域保護。 由美國國家安全局提出的為保護美國政府和工業(yè)界的信息與信息基礎設施提供的技術指南信息保障技術框架（IATF，Information Assurance Technical Framework

7、）3.0版NSA02，提出了目前信息基礎設施的整套安全技術保障框架，定義了對一個系統(tǒng)進行信息保障的過程，以及軟硬件部件的安全要求。該框架原名為NFS（Network Security Framework），于1998年公布。1999年更名為IATF，2002年發(fā)布IAFT3.1版。IATF將信息系統(tǒng)劃分為局域計算環(huán)境、區(qū)域邊界、網(wǎng)絡和基礎設施、支撐性基礎設施等四個方面。它們之間的關系如圖5-2所示。 7.2.2 局域計算環(huán)境安全局域計算環(huán)境主要包括：服務器；安全操作系統(tǒng)；安全數(shù)據(jù)庫管理系統(tǒng)；基于主機的監(jiān)控組件（病毒檢測、入侵檢測）；客戶端及其上的應用（如打印服務、目錄服務等）。由它們構成具有相

8、同安全目標的計算安全環(huán)境。7.2.3 信息交換與邊界安全一、邊界安全二、數(shù)據(jù)安全交換一、邊界安全局域計算環(huán)境必須有明確的邊界，通過邊界的安全防護將該局域計算環(huán)境與外部計算環(huán)境安全隔離。一般來說，應該設置固定的信息交換出入口，對所有出入邊界的信息實施統(tǒng)一管理，并對經過出入口的信息進行安全控制。 二、數(shù)據(jù)安全交換邊界的安全隔離不是目的，而是為了安全地交換信息。邊界安全的典型解決方案有：對物理隔離邊界，可以采用人工的方式；通過防火墻安全交換數(shù)據(jù)；通過物理隔離設備安全交換數(shù)據(jù)。 7.2.4 網(wǎng)絡傳輸安全網(wǎng)絡傳輸是實施計算機互聯(lián)、互通，實現(xiàn)網(wǎng)絡化信息共享與交換的基礎設施。網(wǎng)絡基礎設施一般由電信部門建設，

9、供各局域計算環(huán)境共享。 7.2.5 支撐基礎設施安全支撐基礎設施為網(wǎng)絡環(huán)境下的信息系統(tǒng)提供公共的安全服務和機制。其中最重要的支撐基礎設施包括PKI/PMI、容災備份和應急相應等安全服務和機制。PKIPMI 安全機構 PKIPKI/PMI提供公鑰證書及傳統(tǒng)對稱密鑰的產生、分發(fā)及管理的統(tǒng)一管理過程，為網(wǎng)絡環(huán)境下信息化社會的“信任體系”提供技術支撐。PKI與用戶的身份綁定可以實現(xiàn)網(wǎng)絡空間的虛擬身份認證。PMIPMI（Privillege Management Infrastructure）可以按照虛擬身份證的唯一性和全局性，實現(xiàn)統(tǒng)一的訪問控制策略，實施訪問控制的集中管理，提高信息系統(tǒng)的全局安全性。應

10、用系統(tǒng)主體策略實施策略決策策略庫客體屬性庫屬性權威權限管理/授權服務平臺安全機構信息安全既涉及到國家安全，也涉及到信息化社會的正常運行。需要設置一些常規(guī)的安全服務機構，對網(wǎng)絡空間的安全問題進行管理。安全服務機構；應急響應中心；國家的安全檢測機構、評估機構等。7.3 信息安全的分級技術保護7.3.1 信息安全等級保護的技術劃分7.3.2 信息安全等級保護的技術體系7.3.1 信息安全等級保護的技術劃分我國制訂計算機信息系統(tǒng)安全保護等級劃分準則GB17859-1999標準。該標準涉及10個安全要求，分別是：身份鑒別、自主訪問控制、審計、客體重用、標記、強制訪問控制、數(shù)據(jù)完整性、密碼支持、隱蔽信道分

11、析和可信恢復。該標準將信息安全的等級劃分為：用戶自主保護級、系統(tǒng)審計保護級、安全標記保護級、結構化保護級和訪問驗證保護級五個級別。每個級別包含的安全技術要求是不同的，級別高的包含的安全技術要素多、要求高；即使不同安全級別包含的相同安全技術要素，在不同級別中其含義也不盡相同，級別越高則安全技術要素的強度也越高。因此，這五個級別形成一種遞進的包含關系。 第一級：用戶自主保護級實施的是用戶自主訪問控制。即通過可信計算基（一個安全的信息系統(tǒng)）將用戶與數(shù)據(jù)隔離，允許用戶以自己的身份或用戶組的身份訪問數(shù)據(jù)，并可指定對客體（用戶的數(shù)據(jù)和數(shù)據(jù)載體等）的共享。這就意味著系統(tǒng)提供必要的資源訪問控制措施，由資源所有

12、者自行決定對客體的訪問權限。 第二級：在用戶自主保護級的基礎上，系統(tǒng)審計保護級。提供了下面三方面的擴充:第一,在自主訪問控制方面，可信計算基實施更細粒度（單個用戶）的自主訪問控制，并控制訪問權限的擴散，即沒有訪問權的用戶只允許由授權用戶指定其對客體的訪問權。第二，可信計算基對用戶身份進行鑒別，并與安全相關的事件進行關聯(lián)，提供審計記錄，使用戶對自己的行為負責。第三，在客體安全重用方面，增加安全保護能力，使得必須被重復利用的各種客體資源在被重新分配時，該客體前一次使用的所有信息必須撤銷，不能被本次主體利用。 第三級：在系統(tǒng)審計保護級的基礎上，安全標記保護級的可信計算基實施強制訪問控制。所謂強制訪問

13、控制，即可信計算基通過對主體和客體分配特定的敏感標記指定其安全等級，并按主、客體的標記類型和標記級別實施訪問控制。通過訪問控制機制，滿足一定條件的主體才能讀/寫一個客體，即僅當主體的等級標記高于或等于客體相應標記的級別，并且主體的非等級標記包含客體非等級標記時，主體才能讀一個客體（向下讀原則）；僅當主體的等級標記低于或等于客體相應標記的級別，且主體的非等級標記包含于客體的非等級標記時，主體才能寫一個客體（向上寫原則）。 第四級：在安全標記保護級的基礎上，結構化保護級建立一個明確定義的形式化安全策略模型。將可信計算基上的訪問控制（自主的和/或強制的）擴展到所有主體和客體；針對隱蔽信道提供必要的控

14、制機制。本保護級別增強了對系統(tǒng)安全核心部分的保護，進一步將系統(tǒng)保護元素分為關鍵保護元素和非關鍵保護元素，對這個系統(tǒng)實施結構化保護。 第五級：在結構化保護級的基礎上，訪問驗證保護級實現(xiàn)了訪問監(jiān)控器的概念，通過該安全訪問驗證機制(Reference Validation Mechanism)，以確認任何用戶(進程)對數(shù)據(jù)和程序的每一次訪問。訪問監(jiān)控器(reference monitor)是一種負責實施安全策略、軟硬件組成的仲裁機制。訪問監(jiān)控器的關鍵是控制從主體到客體的每一次存取，并擴充審計機制，對違反策略的安全事件發(fā)出警告信號。同時，系統(tǒng)提供可信恢復機制和很高的抗?jié)B透能力。 7.3.2 信息安全等

15、級保護的技術體系應該有一整套完善的信息安全等級技術標準，包括產品、系統(tǒng)、工程、管理等一覽之要求類和評估類的標準體系，用標準規(guī)范信息安全產業(yè)健康、穩(wěn)定、持續(xù)地發(fā)展。信息安全技術的研究和產品的開發(fā)應該遵循等級化的要求類相關標準，為建立信息安全的等級化系統(tǒng)提供豐富的、范圍廣泛的、不同等級的技術和產品。采用等級化的技術和產品，按照等級化信息系統(tǒng)保護的目標，構建滿足不同部門、不同業(yè)務對不同信息安全等級需求的信息系統(tǒng)。需要建立一支技術過硬的信息安全等級評估機構和隊伍，嚴把信息安全技術和產品的等級質量關，規(guī)范信息安全技術和產品的市場。最重要的是，對最終的信息安全系統(tǒng)等級的質量控制，使得運行各部門、各業(yè)務的信

16、息系統(tǒng)達到預期的安全保護等級，確保國家、企事業(yè)等的信息系統(tǒng)的安全運行。 在信息安全技術體系中，最重要的是：操作系統(tǒng)的安全等級保護GA02b；數(shù)據(jù)庫系統(tǒng)的安全等級保護GA02c；計算機網(wǎng)絡的安全等級保護GA02a；信息系統(tǒng)工程安全等級保護GA02d等。7.4 信息安全的分時技術保護7.4.1 宏觀過程保護7.4.2 生命周期過程保護7.4.3 動態(tài)過程保護7.4.1 宏觀過程保護要制訂國家的信息安全保護法律、法規(guī)和相關的技術標準，使信息安全有法可依，有標準可循。我國通過制定的中華人民共和國計算機信息系統(tǒng)安全保護條例，在法律上明確了我國重要信息系統(tǒng)安全等級保護的地位，通過制訂計算機信息系統(tǒng)安全保護

17、等級劃分準則GB17859-1999以及相配套的標準體系，明確了信息安全等級保護的原則、技術要求、評估標準和方法等。政府主管部門指定或委托的權威機構按照相關的標準，對安全產品和系統(tǒng)實現(xiàn)結果的安全保護等級評估，把好信息安全產品準入、信息安全系統(tǒng)準運行關。政府主管部門和信息安全系統(tǒng)主管單位日常的監(jiān)督、監(jiān)查，確保信息系統(tǒng)，特別是國家重要領域信息系統(tǒng)安全。 法律法規(guī)標準化過程控制結果控制政府監(jiān)管7.4.2 生命周期過程保護信息安全工程的評價在信息安全工程中，另一個關鍵的問題是如何保證信息安全工程過程本身的安全？通過大量的工程實踐，借鑒卡內基-梅隆大學軟件工程研究所（SEI，Software Engin

18、eering Institute）研制的能力成熟度模型（CMM，Capablility Maturity Model）的成果，形成了安全系統(tǒng)工程能力成熟度模型（SSE-CMM，Security System Engineering-Capablility Maturity Model），我國也制定了相關的標準。 基本實施PA01 管理安全控制；PA02 評估影響；PA03 評估安全風險；PA04 評估威脅；PA05 評估脆弱性；PA06 建立安全論據(jù)；PA07 協(xié)調安全；PA08 監(jiān)視安全態(tài)勢；PA09 提供安全輸入；PA10 確定安全需求；PA11 驗證與確認安全。 保障實施PA12 確保質

19、量；PA13 管理配置；PA14 管理項目風險；PA15 監(jiān)視和控制技術；PA16 規(guī)劃；PA17 定義機構的系統(tǒng)工程過程；PA18 改進機構的系統(tǒng)工程過程；PA19 管理產品線；PA20 管理系統(tǒng)工程支撐環(huán)境；PA21 提供不斷發(fā)展的技能和知識；PA22 與提供商協(xié)商。 能力級別能力級別1非正規(guī)實施級1.1 執(zhí)行基本實施能力級別2規(guī)劃和跟蹤級2.1 規(guī)劃執(zhí)行、2.2 規(guī)范化執(zhí)行、2.3 驗證執(zhí)行、2.4 跟蹤執(zhí)行能力級別3充分定義級3.1 定義標準過程、3.2 執(zhí)行既定的過程、3.3 協(xié)調過程能力級別4量化控制級4.1 建立可測量的質量目標、4.2 客觀地管理執(zhí)行能力級別5持續(xù)改進級5.1

20、改進機構的能力、5.2 改進過程的有效性 7.4.3 動態(tài)過程保護P2DR2策略（Policy）：為信息安全的活動提供最終應該達到的目標，是信息安全所有活動的指南和風向標，是保護、檢測和響應的依據(jù)。保護（Protection）：是實施信息安全的第一個步驟，它是根據(jù)既定的安全策略，采取相關的安全技術和管理，保護信息安全客體不受侵犯，保護信息所有者的合法權益。采取的具體安全保護技術，包括本書第二部分 技術篇和第三部分 產品篇所論述的相關內容，同時也要采取相關的安全管理措施。P2DR2（續(xù)）檢測（Detection）：正如上面所述，信息安全的保護能力是有限的。采取了安全措施并不意味著100%的安全，

21、軟件的漏洞需要及時補救，新的黑客攻擊等需要采取新的對應安全措施，信息安全系統(tǒng)的管理措施可能不到位、有漏洞等。因此，按照信息安全策略建立的信息安全系統(tǒng)建成后，需要動態(tài)地檢測信息安全系統(tǒng)的安全運行情況，及時發(fā)現(xiàn)安全系統(tǒng)中的異?；顒拥雀鞣N不安全因素。安全檢測的具體方法和技術詳見第十一章的描述。響應（React）：對信息安全運行過程中的不安全因素，及時響應，以便將安全的損失降低到最低。同時，對新問題（攻擊威脅、系統(tǒng)脆弱性等），研究和制定新的安全保護技術和管理，形成新一輪的循環(huán)。WP2DR2C預警（Warning）：是一種宏觀控制功能，通過國家層面的相關安全機構，對當前和未來可能發(fā)生的重大安全問題，作出

22、預警，使信息安全系統(tǒng)使用單位有針對性地提前作好準備，防患于未然，減少安全損失。主動出擊（Counterattack）：對虛擬社會中一些與社會為敵的人員和組織，對他們主動出擊、進行打擊，在他們還沒有造成實質性危害之前，先發(fā)制人，消滅他們。另外，在信息對抗領域，敵對雙方也是采取主動攻擊的方式，先發(fā)制人，防止對方的攻擊和破壞，保護己方的信息系統(tǒng)安全。 7.5 典型信息安全技術保障框架7.5.1 電子政務技術保障框架7.5.2 公安專網(wǎng)技術保障框架7.5.1 電子政務技術保障框架一、總體結構二、分域保障結構三、分級保障結構一、總體結構二、分域保障結構縱向VPN結構橫向VPN結構三、分級保障結構在電子政務信息安全保護框架中，從信息安全產品的等級，以及由此構建的本地計算環(huán)境、邊界、網(wǎng)絡等安全域都需要等級化。產品和信息系統(tǒng)的等級需要按照國家的相關標準進行選擇和建設。不同等級之間的連接和共享應該滿足相關的安全策略。通過邊界控制等安全措施，只允許低等級安全域中的信息流向高等級的安全域，禁止高等級