信息安全系統(tǒng)保障框架

構(gòu)造積極防御的安全保障框架

一、對(duì)當(dāng)前信息安全系統(tǒng)

的反思

當(dāng)前大部分信息安全系統(tǒng)主要是由防火墻、入侵監(jiān)測(cè)和病毒防范等組成常規(guī)的安全手段只能是在網(wǎng)絡(luò)層（IP）設(shè)防，在外圍對(duì)非法用戶和越權(quán)訪問(wèn)進(jìn)行封堵，以達(dá)到防止外部攻擊的目的對(duì)訪問(wèn)者源端不加控制操作系統(tǒng)的不安全導(dǎo)致應(yīng)用系統(tǒng)的各種漏洞層出不窮，無(wú)法從根本上解決封堵的辦法是捕捉黑客攻擊和病毒入侵的行為特征，其特征是已發(fā)生過(guò)的滯后信息

惡意用戶的攻擊手段變化多端,防護(hù)者只能:防火墻越砌越高入侵檢測(cè)越做越復(fù)雜惡意代碼庫(kù)越做越大導(dǎo)致：誤報(bào)率增多，安全投入不斷增加維護(hù)與管理更加復(fù)雜和難以實(shí)施信息系統(tǒng)的使用效率大大降低對(duì)新的攻擊入侵毫無(wú)防御能力（如沖擊波）反思：老三樣、堵漏洞、作高墻、防外攻、防不勝防

產(chǎn)生安全事故的技術(shù)原因：PC機(jī)軟、硬件結(jié)構(gòu)簡(jiǎn)化，導(dǎo)致資源可任意使用，尤其是執(zhí)行代碼可修改，惡意程序可以被植入病毒程序利用PC操作系統(tǒng)對(duì)執(zhí)行代碼不檢查一致性弱點(diǎn)，將病毒代碼嵌入到執(zhí)行代碼程序，實(shí)現(xiàn)病毒傳播黑客利用被攻擊系統(tǒng)的漏洞竊取超級(jí)用戶權(quán)限，肆意進(jìn)行破壞更為嚴(yán)重的是對(duì)合法的用戶沒(méi)有進(jìn)行嚴(yán)格的訪問(wèn)控制，可以進(jìn)行越權(quán)訪問(wèn)，造成不安全事故如果從終端操作平臺(tái)實(shí)施高等級(jí)防范，這些不安全因素將從終端源頭被控制。這種情況在工作流程相對(duì)固定的重要信息系統(tǒng)顯得更為重要而可行。在電子政務(wù)的內(nèi)外網(wǎng)中政務(wù)內(nèi)網(wǎng)與政務(wù)外網(wǎng)物理隔離，政務(wù)外網(wǎng)與Internet邏輯隔離要處理的工作流程都是預(yù)先設(shè)計(jì)好的操作使用的角色是確定的應(yīng)用范圍和邊界都是明確的這類工作流程相對(duì)固定的生產(chǎn)系統(tǒng)與Internet網(wǎng)是有隔離措施的，外部網(wǎng)絡(luò)的用戶很難侵入到內(nèi)部網(wǎng)絡(luò)來(lái)

，其最大的威脅是來(lái)自內(nèi)部人員的竊密和破壞。

據(jù)統(tǒng)計(jì)，80%的信息安全事故為內(nèi)部人員和內(nèi)外勾結(jié)所為，而且呈上升的趨勢(shì)。因此我們應(yīng)該以“防內(nèi)為主、內(nèi)外兼防”的模式，從提高使用節(jié)點(diǎn)自身的安全著手，構(gòu)筑積極、綜合的安全防護(hù)系統(tǒng)。應(yīng)該：強(qiáng)機(jī)制、高可信、控使用、防內(nèi)外，積極防御二、、可可信信賴賴計(jì)計(jì)算算環(huán)環(huán)境境為了了解解決決PC機(jī)結(jié)結(jié)構(gòu)構(gòu)上上的的不不安安全全，，從從根根本本上上提提高高其其安安全全性性，，在在世世界界范范圍圍內(nèi)內(nèi)推推行行可可信信計(jì)計(jì)算算技技術(shù)術(shù)1999年由由Compaq、HP、IBM、Intel和Microsoft牽頭頭組組織織TCPA(TrustedComputingPlatformAlliance)，目目前前已已發(fā)發(fā)展展成成員員190家，，遍遍布布全全球球各各大大洲洲主主力力廠廠商商TCPA專注注于于從從計(jì)計(jì)算算平平臺(tái)臺(tái)體體系系結(jié)結(jié)構(gòu)構(gòu)上上增增強(qiáng)強(qiáng)其其安安全全性性，，2001年1月發(fā)發(fā)布布了了標(biāo)標(biāo)準(zhǔn)準(zhǔn)規(guī)規(guī)范范（（v1.1），，2003年3月改改組組為為TCG(TrustedComputingGroup)其目目的的是是在在計(jì)計(jì)算算和和通通信信系系統(tǒng)統(tǒng)中中廣廣泛泛使使用用基基于于硬硬件件安安全全模模塊塊支支持持下下的的可可信信計(jì)計(jì)算算平平臺(tái)臺(tái)，，以以提提高高整整體體的的安安全全性性。?？尚判庞?jì)計(jì)算算終終端端基基于于可可信信賴賴平平臺(tái)臺(tái)模模塊塊（（TPM）,以密密碼碼技技術(shù)術(shù)為為支支持持、、安安全全操操作作系系統(tǒng)統(tǒng)為為核核心心（（如如圖圖1所示示））安全應(yīng)用組件安全操作系統(tǒng)安全操作系統(tǒng)內(nèi)核密碼模塊協(xié)議棧主板可信賴BIOSTPM(密碼模塊芯片)圖1：可信賴計(jì)算平臺(tái)具有有以以下下功功能能：：確保保用用戶戶唯唯一一身身份份、、權(quán)權(quán)限限、、工工作作空空間間的的完完整整性性/可用用性性確保保存存儲(chǔ)儲(chǔ)、、處處理理、、傳傳輸輸?shù)牡臋C(jī)機(jī)密密性性/完整整性性確保保硬硬件件環(huán)環(huán)境境配配置置、、操操作作系系統(tǒng)統(tǒng)內(nèi)內(nèi)核核、、服服務(wù)務(wù)及及應(yīng)應(yīng)用用程程序序的的完完整整性性確保保密密鑰鑰操操作作和和存存儲(chǔ)儲(chǔ)的的安安全全確保保系系統(tǒng)統(tǒng)具具有有免免疫疫能能力力，，從從根根本本上上防防止止病病毒毒和和黑黑客客安全全操操作作系系統(tǒng)統(tǒng)是是可可信信計(jì)計(jì)算算終終端端平平臺(tái)臺(tái)的的核核心心和和基基礎(chǔ)礎(chǔ)，，沒(méi)沒(méi)有有安安全全的的操操作作系系統(tǒng)統(tǒng)，，就就沒(méi)沒(méi)有有安安全全的的應(yīng)應(yīng)用用，，也也不不能能使使TPM發(fā)揮應(yīng)應(yīng)有的的作用用三、安安全技技術(shù)保保障框框架對(duì)工作作流程程相對(duì)對(duì)固定定的重重要信信息系系統(tǒng)主要由由應(yīng)用用操作作、共共享服服務(wù)和和網(wǎng)絡(luò)絡(luò)通信信三個(gè)個(gè)環(huán)節(jié)節(jié)組成成。如如果信信息系系統(tǒng)中中每一一個(gè)使使用者者都通通過(guò)可可信終終端認(rèn)認(rèn)證和和授權(quán)權(quán)，其其操作作都是是符合合規(guī)定定的，，網(wǎng)絡(luò)絡(luò)上也也不會(huì)會(huì)被竊竊聽(tīng)和和插入入，那那么就就不會(huì)會(huì)產(chǎn)生生攻擊擊性共共享服服務(wù)資資源的的事故故，就就能保保證整整個(gè)信信息系系統(tǒng)的的安全全可信終終端確確保用用戶的的合法法性和和資源源的一一致性性，使使用戶戶只能能按照照規(guī)定定的權(quán)權(quán)限和和訪問(wèn)問(wèn)控制制規(guī)則則進(jìn)行行操作作，能能做到到什么么樣權(quán)權(quán)限級(jí)級(jí)別的的人只只能做做與其其身份份規(guī)定定的訪訪問(wèn)操操作，，只要要控制制規(guī)則則是合合理的的，那那么整整個(gè)信信息系系統(tǒng)資資源訪訪問(wèn)過(guò)過(guò)程是是安全全的。?？尚判沤K端端奠定定了系系統(tǒng)安安全的的基礎(chǔ)礎(chǔ)應(yīng)用安安全邊邊界設(shè)設(shè)備（（如VPN安全網(wǎng)網(wǎng)關(guān)等等）保保護(hù)共共享服服務(wù)資資源，，其具具有身身份認(rèn)認(rèn)證和和安全全審計(jì)計(jì)功能能，將將共享享服務(wù)務(wù)器（（如數(shù)數(shù)據(jù)庫(kù)庫(kù)服務(wù)務(wù)器、、WEB服務(wù)器器、郵郵件服服務(wù)器器等））與非非法訪訪問(wèn)者者隔離離，防防止意意外的的非授授權(quán)用用戶的的訪問(wèn)問(wèn)（如如非法法接入入的非非可信信終端端）。。這樣樣共享享服務(wù)務(wù)端主主要增增強(qiáng)其其可靠靠性，，如雙雙機(jī)備備份、、容錯(cuò)錯(cuò)、災(zāi)災(zāi)難恢恢復(fù)等等，而而不必必作繁繁重的的訪問(wèn)問(wèn)控制制，從從而減減輕服服務(wù)器器的壓壓力，，以防防拒絕絕服務(wù)務(wù)攻擊擊采用IPSec實(shí)現(xiàn)網(wǎng)網(wǎng)絡(luò)通通信全全程安安全保保密。。IPSec工作在在操作作系統(tǒng)統(tǒng)內(nèi)核核，速速度快快，幾幾乎可可以達(dá)達(dá)到線線速處處理，，可以以實(shí)現(xiàn)現(xiàn)源到到目的的端的的全程程通信信安全全保護(hù)護(hù)，確確保傳傳輸連連接的的真實(shí)實(shí)性和和數(shù)據(jù)據(jù)的機(jī)機(jī)密性性、一一致性性，防止止非法法的竊竊聽(tīng)和和插入入綜上所所述，，可信信的應(yīng)應(yīng)用操操作平平臺(tái)、、安全全的共共享服服務(wù)資資源邊邊界保保護(hù)和和全程程安全全保護(hù)護(hù)的網(wǎng)網(wǎng)絡(luò)通通信，，構(gòu)成成了工工作流流程相相對(duì)固固定的的生產(chǎn)產(chǎn)系統(tǒng)統(tǒng)的信信息安安全保保障框框架。。（如如圖2所示））圖2：工作流程相對(duì)固定的生產(chǎn)系統(tǒng)安全解決方案全程IPSec

服務(wù)器安全邊界設(shè)備可信客戶端可信客戶端

全程IPSec

安全域一可信客戶端可信客戶端

安全域二安全隔離設(shè)備全程IPSec要實(shí)現(xiàn)現(xiàn)上述述終端端、邊邊界和和通信信有效效的保保障，，還需需要授授權(quán)管管理的的管理理中心心以及及可信信配置置的密密碼管管理中中心的的支撐撐從技術(shù)術(shù)層面面上可可以分分為以以下五五個(gè)環(huán)環(huán)節(jié)：：應(yīng)用環(huán)環(huán)境安安全應(yīng)用區(qū)區(qū)域邊邊界安安全網(wǎng)絡(luò)和和通信信傳輸輸安全全安全管管理中中心密碼管管理中中心即：兩兩個(gè)中中心支支持下下的三三重保保障體體系結(jié)結(jié)構(gòu)對(duì)于復(fù)復(fù)雜系系統(tǒng)：：構(gòu)成三三縱（（公共共區(qū)域域、專專用區(qū)區(qū)域、、涉密密區(qū)域域）三三橫（（應(yīng)用用環(huán)境境、應(yīng)應(yīng)用區(qū)區(qū)域邊邊界、、網(wǎng)絡(luò)絡(luò)通信信）和和兩個(gè)個(gè)中心心的安安全防防御框框架。。（如如圖3所示））圖3：信息息安全全技術(shù)術(shù)保障障框架架應(yīng)用環(huán)環(huán)境安安全：：包括單單機(jī)、、C/S、B/S模式，，采用用身份份認(rèn)證證、訪訪問(wèn)控控制、、密碼碼加密密、安安全審審計(jì)等等機(jī)制制，構(gòu)構(gòu)成可可信應(yīng)應(yīng)用環(huán)環(huán)境應(yīng)用區(qū)區(qū)域邊邊界安安全：：通過(guò)部部署邊邊界保保護(hù)措措施控控制對(duì)對(duì)內(nèi)部部局域域網(wǎng)的的訪問(wèn)問(wèn)，實(shí)實(shí)現(xiàn)局局域網(wǎng)網(wǎng)與廣廣域網(wǎng)網(wǎng)之間間的安安全。。采用用安全全網(wǎng)關(guān)關(guān)、防防火墻墻等隔隔離過(guò)過(guò)濾機(jī)機(jī)制，，保護(hù)護(hù)共享享資源源的可可信連連接網(wǎng)絡(luò)和和通信信傳輸輸安全全：包括實(shí)實(shí)現(xiàn)局局域網(wǎng)網(wǎng)互聯(lián)聯(lián)過(guò)程程的安安全，，旨在在確保保通信信的機(jī)機(jī)密性性、一一致性性和可可用性性。采采用密密碼加加密、、完整整性校校驗(yàn)和和實(shí)體體鑒別別等機(jī)機(jī)制，，實(shí)現(xiàn)現(xiàn)可信信連接接和安安全通通信安全管管理中中心：：提供認(rèn)認(rèn)證、、授權(quán)權(quán)、實(shí)實(shí)施訪訪問(wèn)控控制策策略等等服服務(wù)務(wù)密碼管管理中中心：：提供互互聯(lián)互互通密密碼配配置、、公鑰鑰證書書和傳傳統(tǒng)的的對(duì)稱稱密鑰鑰的管管理，，為信信息系系統(tǒng)提提供密密碼服服務(wù)三種不不同性性質(zhì)的的應(yīng)用用區(qū)域域在各各自采采用相相應(yīng)的的安全全保障障措施施之后后，互互相之之間有有一定定的溝溝通，，需要要采用用安全全隔離離和信信息交交換設(shè)設(shè)備進(jìn)進(jìn)行連連接目前我我國(guó)信信息安安全建建設(shè)正正處在在一個(gè)個(gè)關(guān)鍵鍵時(shí)期期，我我們必必須把把握住住正確確的研研究方方向，，制定定相應(yīng)應(yīng)的發(fā)發(fā)展戰(zhàn)戰(zhàn)略，，走符符合我我國(guó)國(guó)國(guó)情的的發(fā)展展道路路，利利用國(guó)國(guó)際先先進(jìn)技技術(shù)，，開(kāi)發(fā)發(fā)安全全高效效，具具有自自主知知識(shí)產(chǎn)產(chǎn)權(quán)的的信息息安全全產(chǎn)品品，從從而滿滿足我我國(guó)各各行各各業(yè)的的迫切切需要要，促促進(jìn)我我國(guó)信信息安安全事事業(yè)的的發(fā)展展。結(jié)束束語(yǔ)語(yǔ)9、靜靜夜夜四四無(wú)無(wú)鄰鄰，，荒荒居居舊舊業(yè)業(yè)貧貧。。。。12月月-2212月月-22Wednesday,December28,202210、雨中黃葉樹樹，燈下白頭頭人。。20:28:3620:28:3620:2812/28/20228:28:36PM11、以以我我獨(dú)獨(dú)沈沈久久，，愧愧君君相相見(jiàn)見(jiàn)頻頻。。。。12月月-2220:28:3620:28Dec-2228-Dec-2212、故故人人江江海海別別，，幾幾度度隔隔山山川川。。。。20:28:3620:28:3620:28Wednesday,December28,202213、乍見(jiàn)翻疑夢(mèng)夢(mèng)，相悲各問(wèn)問(wèn)年。。12月-2212月-2220:28:3620:28:36December28,202214、他鄉(xiāng)鄉(xiāng)生白白發(fā)，，舊國(guó)國(guó)見(jiàn)青青山。。。28十十二二月20228:28:36下下午20:28:3612月月-2215、比不了了得就不不比，得得不到的的就不要要。。。十二月228:28下午午12月-2220:28December28,202216、行動(dòng)出出成果，，工作出出財(cái)富。。。2022/12/2820:28:3620:28:3628December202217、做前，能夠夠環(huán)視四周；；做時(shí)，你只只能或者最好好沿著以腳為為起點(diǎn)的射線線向前。。8:28:36下午8:28下下午20:28:3612月-229、沒(méi)有有失敗敗，只只有暫暫時(shí)停停止成成功?。?。12月月-2212月月-22Wednesday,December28,202210、很很多多事事情情努努力力了了未未必必有有結(jié)結(jié)果果，，但但是是不不努努力力卻卻什什么么改改變變也也沒(méi)沒(méi)有有。。。。20:28:3620:28:3620:2812/28/20228:28:36PM11、成功功就是是日復(fù)復(fù)一日日那一一點(diǎn)點(diǎn)點(diǎn)小小小努力力的積積累。。。12月月-2220:28:3620:28Dec-2228-Dec-2212、世間成事事，不求其其絕對(duì)圓滿滿，留一份份不足，可可得無(wú)限完完美。。20:28:3620:28:3620:28Wednesday,December28,202213、不知香積寺寺，數(shù)里入云云峰。。12月-2212月-2220:28:3620:28:36December28,202214、意意志志堅(jiān)堅(jiān)強(qiáng)強(qiáng)的的人人能能把把世世界界放放在在手手中中像像泥泥塊塊一一樣樣任任意意揉揉捏捏。。28十十二二月月20228:28:36下下午午20:28:3612月月-2215、楚塞塞三湘湘接，，荊門門九派派通。。。。十二月月228:28下下午午12月月-2220:28December28,202216、少年年十五五二十十時(shí)，，步行行奪得得胡馬馬騎。。。2022/12/2820:28:3620:28:3628December202217、空山新雨雨后，天氣氣晚來(lái)秋。。。8:28:36下下午8:28下下午20:28:3612月-229、楊柳散和風(fēng)風(fēng)，青山澹吾吾慮。。12月-2212月-22Wednesday,December28,202210、閱讀一切好好書如同和過(guò)過(guò)去最杰出的的人談話。20:28:3620:28:3620:2812/28/20228:28:36PM11、越是是沒(méi)有有本領(lǐng)領(lǐng)的就就越加加自命命不凡