沈昌祥--重要信息系统等级保护建设整改技术框架

重要信息系统等级保护建设整改技术框架国家信息化专家咨询委员会委员沈昌祥院士一、美国信息安全的国家战略美国从1998年起将网络安全由“政策”“计划”逐步提升为国家战略美国在2007年8月成立了《第44届总统网络空间安全委员会》，经过一年半的工作，形成了《提交第44届总统的保护网络空间安全的报告》报告以二战时期“阿尔法和英格码”事件为警示，提出：网络安全是美国在一个竞争更加激烈的新国际环境中面临的最大安全挑战之一报告认为，过去20年来，美国一直在努力设计一种战略来应对这些新型威胁和保护自身利益，但始终都不算成功。无效的网络安全以及信息基础设施在激烈竞争中受到攻击，削弱了美国力量，使国家处于风险之中。报告提出了十二项、25条建议，分别从制定战略、设立部门、制定法律法规、身份管理、技术研发等方面进行了阐述。尤其是第一条，建议设定一条基本原则，即网络空间是国家一项关键资产，美国将动用国家力量的所有工具对其施以保护，以确保国家和公众安全、经济繁荣以及关键服务对美国公众的顺畅提供报告认为：仅仅靠自愿采取行动是远远不够的美国必须评估风险并按重要性对各种风险进行等级划分，在此基础上制定出保护网络空间的最低标准，以确保网络空间的关键服务即便在美国遭受攻击的情况下也能不间断地工作2009年2月，按奥巴马指示开展了60天的安全评估2009年5月29日，奥巴马公布了《网络空间政策评估——保障可信和强健的信息和通信基础设施》的报告奥巴马在演讲词中强调，美国21世纪的经济繁荣将依赖于网络安全。他将网络安全威胁定位为“我们举国面临的最严重的国家经济和国家安全挑战之一”，并宣布“从现在起，我们的数字基础设施将被视为国家战略资产。保护这一基础设施将成为国家安全的优先事项。”同时制定了十条近期计划，十二条中期计划近期的行动计划包括：1.任命一名信息安全政策协调官员，负责协调全国的网络空间安全政策和活动；在国家安全委员会内建立一个网络空间安全理事会，受政策协调官员的指导，向国家安全委员会和国家经济委员会报告，以协调部门间的信息空间安全相关战略和政策的制定。2．制定一个不断更新的保护信息和通信基础设施的国家战略。3．将网络空间安全作为总统的关键管理优先事项并制定业绩指标。4．在国家安全委员会的网络空间安全理事会内指定一名负责隐私和公民自由的官员。5．对重要的网络空间安全相关事项开展跨机构的立法优先级分析，并制定协调一致的政策指导，用来明确各机构的网络空间安全角色、职责和权力的运用。近期的行动计划包括：6．发起一个增强国家级的网络空间安全公众意识的教育运动。7．制定美国政府对国际网络空间安全政策框架的立场，加强国际合作关系。8．制定网络空间安全事件响应计划；展开对话，以加强公私合作关系。9．与其他总统行政办公室的实体相合作，制订研发战略框架，侧重于变革性的网络空间安全技术；向研究界提供网络空间安全事件数据，便于其开发工具、测试理论以及寻找可行的解决办法。10．建立基于网络空间安全的身份管理战略。中期的行动计划包括：1．针对各机构间对有关网络运行的法律解释和适用政策的不同意见，改进分歧解决程序。2．使用管理和预算办公室（OMB）的项目评估框架，以确保各部门在实现网络安全目标时使用了基于绩效的预算编制。3．增大对关键的教育项目和研发活动的支持，以确保国家在信息时代经济中的持续竞争能力。4．制定一项扩大和培训劳动力的战略，包括吸引和留住联邦政府中的网络安全专业人才。5．确定最高效和最有效的机制，以实现战略预警，维持态势感知，以及向事件响应能力提供信息支持。6．制定一套威胁的场景和指标，用于风险管理决策、恢复计划和确定研发重点。7．制定一个政府和私营部门之间预防、发现和响应网络事件的协作流程。中期的行动计划包括：8．建立网络空间安全相关的信息共享机制，并且需要解决对隐私和专有信息关注，使参与信息共享的各方都能受益。9．制定在自然灾害、危机或冲突情况下用于紧急通信能力的解决方案，同时确保网络的中立性。10．扩大与主要盟国之间的网络事件和脆弱性信息的共享，寻求能够改善经济和安全利益，且同时保护公民自由和隐私权的双边和多边协定。11．鼓励学术研究和工业实验室合作，建立成果转移路径和激励机制，促进研究和技术开发创新的应用。12．从基础设施的目标和研发框架出发，确定国家和国际标准化机构的目标。13．实施互操作的身份管理系统，以建立对网上交易的信心，并增强隐私保护。14．完善政府采购战略，改善市场激励措施，鼓励采用安全与强健的硬件及软件产品、新的安全创新成果以及安全管理服务。二、做好我国重要信息系统等级保护工作总体上讲，重要信息系统安全建设要按照《信息安全等级保护管理办法》《计算机信息系统安全保护等级划分准则》（GB17859-1999）从技术和管理两个方面进行安全建设。（一）高安全等级技术防护要求《计算机信息系统安全保护等级划分准则》（GB17859-1999）是根据国务院147号令要求制定的强制性标准，是等级保护的基础性标准，是其他标准制定的依据。该标准以访问控制为核心构建基本保护环境和相关安全服务。《基本要求》是在GB17859等标准基础上，根据现有技术的发展水平，提出和规定了不同安全等级信息系统的最低保护要求，包括基本技术要求和基本管理要求。《技术设计要求》（25070-2010）遵照GB17859，以及参照《通用要求》、《基本要求》等标准的技术要求部分，对信息系统等级保护安全从技术上进行了框架性的规范。不包括物理安全、安全管理、安全运维等要求。高安全等级技术保护要求主要是针对国家信息安全等级保护第三级以上系统。实施分级保护，其保护水平总体上不低于国家信息安全等级保护第三、四级水平。监督检查级（三级）涉及到重要性信息的系统，要具有抵御来自外部有组织的恶意攻击能力，和防内部人员攻击的能力，不仅要对安全事件有审计纪录，还要能追踪、能响应处理，要实现多重保护制度。强制监督检查级（四级）要有能抵御来自敌对组织的大规模攻击的能力，和防止内部人员内外勾结的恶意攻击的能力。不仅要全面审计违规行为，还要具有及时报警和应急处理能力。建设重要信息系统的可信计算基（TCB），即为信息系统建立基本的保护环境，并提供安全保护所要求的附加服务。以三级系统为例（二）保护环境框架功能和流程保护环境框架图计算环境区域边界通信网络构建三重安全防护结构框架划分为节点、典型应用、区域边界、通信网络、安全管理、审计管理和系统管理等子系统。安全管理中心各子系统的主要功能1）计算环境节点子系统：节点子系统通过在操作系统核心层、系统层设置以强制访问控制为主体的系统安全机制，形成了一个严密牢固的防护层，通过对用户行为的控制，可以有效防止非授权用户访问和授权用户越权访问，确保信息和信息系统的保密性和完整性安全，从而为典型应用子系统的正常运行和免遭恶意破坏提供支撑和保障。1）计算环境典型应用子系统：安全保护环境为应用系统（如安全OA系统等）提供安全支撑服务。通过实施三级安全要求的业务应用系统，使用安全保护环境所提供的安全机制，为应用提供符合三级要求的安全功能支持和安全服务。各子系统的主要功能2）应用区域边界区域边界子系统：区域边界子系统通过对进入和流出安全保护环境的信息流进行安全检查，确保不会有违背系统安全策略的信息流经过边界，是三级信息系统的第二道安全屏障。各子系统的主要功能3）通信网络通信网络子系统：通信网络子系统通过对通信数据包的保密性和完整性进行保护，确保其在传输过程中不会被非授权窃听和篡改，使得数据在传输过程中的安全得到了保障，是三级信息系统的外层安全屏障。各子系统的主要功能4）管理中心系统管理子系统：系统管理子系统负责对安全保护环境中的计算节点、安全区域边界、安全通信网络实施集中管理和维护，包括用户身份管理、资源管理、应急处理等，为三级信息系统的安全提供基础保障。4）管理中心安全管理子系统：安全管理子系统是信息系统的控制中枢，主要实施标记管理、授权管理及策略管理等。安全管理子系统通过制定相应的系统安全策略，并且强制节点子系统、区域边界子系统、通信网络子系统及节点子系统执行，从而实现了对整个信息系统的集中管理，为三级信息系统的安全提供了有力保障。4）管理中心审计子系统：审计子系统是系统的监督中枢，安全审计员通过制定审计策略，强制节点子系统、区域边界子系统、通信网络子系统、安全管理子系统、系统管理子系统执行，从而实现对整个信息系统的行为审计，确保用户无法抵赖违背系统安全策略的行为，同时为应急处理提供依据。安全建设整改技术路线从国情出发，逐步发展完善1）要加强定级对象信息系统整体防护，建设管理中心支持下的计算环境、区域边界、通信网络三重防护体系结构，实施多层隔离和保护，以防止某薄弱环节影响整体安全。在可信计算技术支持下做到：–病毒染不了–木马注不上–黑客进不来（三）安全建设整改技术路线2）要重点做好操作人员使用的终端防护，把住攻击发起的源头关，做到操作使用安全要在框架体系上解决问题，而不是在一些内部的点上解决问题。要创造可信安全的保护环境，然后在可信的环境中实施各种操作。要重点做好操作人员行为控制，使其不能违规操作，防止发生攻击行为。要改变以往在网络上封堵的观念，首先搞好终端源头的防御。这样才能符合人、技术、操作的纵深防御策略，而且将降低建设成本。3）要以防内为主，内外兼防，提高计算节点自身防护能力，减少从外部入口上的封堵安全保护体系搭建好以后，病毒失去了对系统的攻击能力。三级以上的系统强制访问控制，严格控制了几乎所有的有害程序，并通过校验方法对文件真实性加以验证，使病毒无法发挥作用。要实施自主防御，加强内部的控制，这样可以降低保护成本。要使非法攻击者进不去，进去以后拿不到，拿到了以后也看不懂，想篡改也改不了，想赖也赖不掉。4）加强技术平台支持下的安全管理，与日常安全管理制度相适应以前的安全管理比较抽象，譬如防火墙和IDS的配置不同，难以理解和管理。我们要求安全管理跟日常的管理一样，规定什么级别的人只能做与其权限相符的事，对照着进行管理就行。应该技术与管理并重，要在技术平台支持下进行管理，才能做到真正的有效管理。5）为便于技术方案实施，整改时不改或少改原有的应用系统，尤其是用户应用程序不能改通过分析应用系统的流程，确定用户（主体）和访问的文件（客体）的级别（标记），以此来制定访问控制安全策略，并确定什么人可以访问什么文件，这对负责技术的工作人员不是一件难事，而且由操作系统来自动执行，这样应用程序可以不改。如果对原应用和数据要进行安全设计和改造，那么会涉及整个系统，修改程序就要重新调试系统，是不可行的。通过安全平台定义安全保护策略在系统内实施保护才是行之有效的办法。结束语坚持科学发展观，认真贯彻落实27号文件精神，搞好国家重要信息系统等级保护的建设整改工作