信息技术--赵泽茂--第十五章

第15章信息安全解决方案15.1信息安全体系结构现状15.2网络安全需求15.3网络安全产品15.4某大型企业网络安全解决方案案例15.5电子政务安全平台实施方案小结习题第15章信息安全解决方案20世纪80年代中期，美国国防部为适应军事计算机的保密需要，在20世纪70年代的基础理论研究成果计算机保密模型(Bell＆Lapadula模型)的基础上，制定了“可信计算机系统安全评价准则”(TCSEC)，其后又对网络系统、数据库等方面作出了一系列安全解释，形成了安全信息系统体系结构的最早原则。至今，美国已研制出符合TCSEC要求的安全系统(包括安全操作系统、安全数据库、安全网络部件)达100多种，但这些系统仍有局限性，还没有真正达到形式化描述和证明15.1第15章信息安全解决方案1989年，确立了基于OSI参考模型的信息安全体系结构，1995年在此基础上进行修正，颁布了信息安全体系结构的标准，具体包括五大类安全服务、八大种安全机制和相应的安全管理标准(详见1.4.1节)20世纪90年代初，英、法、德、荷四国针对TCSEC准则只考虑保密性的局限，联合提出了包括保密性、完整性、可用性概念的“信息技术安全评价准则”(ITSEC)，但是该准则中并没有给出综合解决以上问题的理论模型和方案。近年来六国七方(美国国家安全局和国家技术标准研究所、加、英、法、德、荷)共同提出了“信息技术安全评价通用准则”(CCforITSEC)。CC综合了国际上已有的评测准则和技术标准的精华，给出了框架和原则要求，但它仍然缺少综合解决信息的多种安全属性的理论模型依据。第15章信息安全解决方案标准于1999年7月通过国际标准化组织的认可，被确立为国际标准，编号为ISO/IEC15408。ISO/IEC15408标准对安全的内容和级别给予了更完整的规范，为用户对安全需求的选取提供了充分的灵活性。然而，国外研制的高安全级别的产品对我国是封锁禁售的，即使出售给我们，其安全性也第15章信息安全解决方案安全体系结构理论与技术主要包括安全体系模型的建立及其形式化描述与分析，安全策略和机制的研究，检验和评估系统安全性的科学方法和准则的建立，符合这些模型、策略和准则的系统的研制(比如安全操作系统、安全数据库系统等)。我国在系统安全的研究及应用方面与先进国家和地区存在着很大的差距。近几年来，我国进行了安全操作系统、安全数据库、多级安全机制的研究，但由于自主安全内核受控于人，难以保证没有漏洞，而且大部分有关的工作都以美国1985年的TCSEC标准为主要参照系。第15章信息安全解决方案开发的防火墙、安全路由器、安全网关、黑客入侵检测系统等产品和技术，主要集中在系统应用环境的较高层次上，在完善性、规范性、实用性上还存在许多不足，特别是在多平台的兼容性、多协议的适应性、多接口的满足性方面存在很大的差距，其理论基础和自主的技术手段也有待于发展和强化。然而，我国的系统安全的研究与应用毕竟已经起步，具备了一定的基础和条件。1999年10月，我国发布了“计算机信息系统安全保护等级划分准则”，该准则为安全产品的研制提供了技术支持，也为安全系统的建设和管理提供了技第15章信息安全解决方案Linux开放源代码为我们自主研制安全操作系统提供了前所未有的机遇。作为信息系统赖以支持的基础系统软件——操作系统，其安全性是关键。长期以来，我国广泛使用的主流操作系统都是从国外引进的。从国外引进的操作系统，其安全性难以令人放心。具有我国自主版权的安全操作系统产品在我国各行各业都迫切需要。我国的政府、国防、金融等机构对操作系统的安全都有各自的要求，都迫切需要找到一个既满足功能、性能要求，又具备足够的安全可信度的操作系统。Linux的发展及其在国际上的广泛应用，在我国也产生了广泛的影响，只要其安全问题得到妥善解决，就会得到我第15章信息安全解决方案1.由于重要信息可能会通过电磁辐射或线路干扰而被泄漏，因此需要对存放机密信息的机房进行必要的设计，如构建屏蔽室、采用辐射干扰机等，以防止电磁辐射泄漏机密信息。15.2网络安全需求第15章信息安全解决方案2.网络需要防范非法用户的非法访问和合法用户的非授权访问。非法用户的非法访问也就是黑客或间谍的攻击行为。在没有任何防范措施的情况下，网络的安全主要是靠主机系统自身的安全设置(如用户名及口令)简单控制的。但对于用户名及口令的保护方式，对有攻击目的的人而言，根本就不是一种障碍。他们可以通过对网络上信息的监听或者通过猜测得到用户名及口令，这对他们而言都不是难事，而且只需花费很少的时间。因此，要采取一定的访问控制手段，防范来自非法用户的攻击，保证只有合法用户才能访问合法资源。第15章信息安全解决方案合法用户的非授权访问是指合法用户在没有得到许可的情况下访问了他本不该访问的资源。一般来说，每个成员的主机系统中，有一部分信息是可以对外开放的，而有些信息是要求保密或具有一定的隐私性的。外部用户被允许访问一定的信息，但他们同时有可能通过一些手段越权访问别人不允许他访问的信息，从而会造成他人的信息泄密，因此必须加密访问控制的机制，对服务及第15章信息安全解决方案3.加密需求与CA加密传输是网络安全的重要手段之一。信息的泄漏很多都是在链路上被搭线窃取的，数据也可能因为在链路上被截获、被篡改后传输给对方，造成数据的真实性、完整性得不到保证。如果利用加密设备对传输数据进行加密，使得在网上的数据以密文传输(因为数据是密文)，那么即使在传输过程中被截获，入侵者也读不懂，而且加密还能通过先进的技术手段对数据传输过程中的完整性、真实性进行鉴别，从而保证数据的保密性、完整性及可靠性。因此，必须配备加密第15章信息安全解决方案网络系统采用加密措施，而加密系统通常都通过加密密钥来实现，但密钥的分发及管理的可靠性却存在安全问题。为解决此问题，提出了CA系统的构建，即通过信任的第三方第15章信息安全解决方案4.防火墙是实现网络安全最基本、最经济、最有效的措施之一。防火墙可以对所有的访问进行严格控制(允许、禁止、报警)，但防火墙不可能完全防止有些新的攻击或那些不经过防火墙的其他攻击。所以，为确保网络更加安全，必须配备入侵检测系统，对透过防火墙的攻击进行检测，并做相应的反应(记录、报警、阻断)第15章信息安全解决方案5.网络系统和操作系统存在安全漏洞(如安全配置不严密等)等是使黑客等入侵者的攻击屡屡得手的重要因素。入侵者通常都是通过一些程序来探测网络中系统存在的一些安全漏洞，然后通过发现的安全漏洞，采取相应的技术进行攻击，因此，必需配备网络安全扫描系统和系统安全扫描系统来检测网络中存在的安全漏洞，并采取相应的措施填补系统漏洞，对网第15章信息安全解决方案6.病毒的危害性极大并且传播极为迅速，必须配备从单机到服务器的整套防病毒软件，实现全网的病毒安全防护。必须配备从服务器到单机的整套防病毒软件，防止病毒入侵主机并扩散到全网，实现全网的病毒安全防护，以确保整个单位的业务数据不受到病毒的破坏，日常工作不受病毒的侵扰。由于新病毒的出现比较快，因此要求防病毒系统的病毒代码第15章信息安全解决方案7.在网络建设中必须部署漏洞扫描系统，它能主动检测本地主机系统存在安全性弱点的程序，采用模仿黑客入侵的手法对目标网络中的工作站、服务器、数据库等各种系统以及路由器、交换机、防火墙等网络设备可能存在的安全漏洞进行逐项检查，测试该系统上有没有安全漏洞存在，然后就将扫描结果向系统管理员提供周密、可靠的安全性分析报告，从而让管理人员从扫描出来的安全漏洞报告中了解网络中服务器提供的各种服务及这些服务呈现在网络上的安全漏洞，在系统安全防护中做到有的放矢，及时修补漏洞，从根本上第15章信息安全解决方案8.计算机系统和网络系统在工作时会产生电磁辐射，信息以电信号方式传输时也会产生电磁辐射，造成电磁泄漏。对重要的保密计算机，应使用屏蔽技术、电磁干扰技术和传输第15章信息安全解决方案解决网络信息安全问题的主要途径是利用密码技术和网络访问控制技术。密码技术用于隐蔽传输信息、认证用户身份等。网络访问控制技术用于对系统进行安全保护，抵抗各种外来攻击。目前，在市场上比较流行，而又能够代表未来15.3第15章信息安全解决方案1.防火墙在某种意义上可以说是一种访问控制产品。它在内部网络与不安全的外部网络之间设置障碍，阻止外界对内部资源的非法访问，防止内部对外部的不安全访问。防火墙的主要技术有包过滤技术、应用网关技术和代理服务技术。防火墙能够较为有效地防止黑客利用不安全的服务对内部网络进行的攻击，并且能够实现数据流的监控、过滤、记录和报告功能，较好地隔断内部网络与外部网络的连接。但它本第15章信息安全解决方案2.由于WAN连接需要专用的路由器设备，因而可通过路由器来控制网络传输。通常采用访问控制列表技术来控制网络第15章信息安全解决方案3.虚拟专用网(VPN)虚拟专用网(VPN)是在公共数据网络上通过采用数据加密技术和访问控制技术来实现两个或多个可信内部网之间的互连。VPN的构架通常都要求采用具有加密功能的路由器或防火墙，以实现数据在公共信道上的可信传递。第15章信息安全解决方案4.安全服务器主要针对一个局域网内部信息存储、传输的安全保密问题，其实现功能包括对局域网资源的管理和控制，对局域网内用户的管理，以及对局域网中所有安全相关事件的审计和跟踪。第15章信息安全解决方案5.电子签证机构——CA和PKI电子签证机构(CA)作为通信的第三方，为各种服务提供可信任的认证服务。CA可向用户发行电子证书，为用户提供成员身份验证和密钥管理等功能。PKI产品可以提供更多的功能和更好的服务，可作为所有应用的计算基础结构的核心第15章信息安全解决方案6.由于IC卡技术的日益成熟和完善，IC卡被更为广泛地用于用户认证产品中，用来存储用户的个人私钥，并与其他技术(如动态口令)相结合，对用户身份进行有效的识别。同时，还可将IC卡上的个人私钥与数字签名技术相结合，实现数字签名机制。随着模式识别技术的发展，诸如指纹、视网膜、脸部特征等高级的身份识别技术也会投入应用，并与数字签名等现有技术结合，使得对于用户身份的认证和识别功能更第15章信息安全解决方案7.由于网上的安全产品较多，且分布在不同的位置，这就需要建立一套集中管理的机制和设备，即安全管理中心。它用来给各网络安全设备分发密钥，监控网络安全设备的运行状态，负责收集网络安全设备的审计信息等。第15章信息安全解决方案8.入侵检测系统(IDS)入侵检测作为传统保护机制(比如访问控制、身份识别等)9.由于大量的信息存储在计算机数据库内，有些信息是有价值的，也是敏感的，需要保护，安全数据库可以确保数据库的完整性、可靠性、有效性、机密性、可审计性及存取控第15章信息安全解决方案10.给系统中的关键服务器提供安全运行平台，构成安全WWW服务、安全FTP服务、安全SMTP服务等，并作为各类码技术的应用，并且是非常基础性的应用。很多的安全功能和机制的实现都建立在密码技术的基础之上，甚至可以说没有密码技术就没有安全可言。第15章信息安全解决方案但是，我们也应该看到密码技术与通信技术、计算机技术以及芯片技术的融合正日益紧密，其产品的分界线越来越模糊，彼此也越来越不能分割。在一个计算机系统中，很难简单地划分某个设备是密码设备，某个设备是通信设备。而这种融合的最终目的还是在于为用户提供高可信任的、安全第15章信息安全解决方案网络安全问题的解决是一个综合性问题，涉及诸多因素，包括技术、产品和管理等。国际上已有众多的网络安全解决方案和产品，但由于出口政策和自主性等问题，目前还不能直接用于解决我国自己的网络安全问题，因此我国的网络安全问题只能借鉴这些先进技术和产品自行解决。可幸的是，目前国内已有一些网络安全问题解决方案和产品。不过，这些解决方案和产品与国外同类产品相比尚有一定的差距。第15章信息安全解决方案安全解决方案的目标是在不影响企业局域网当前业务的前提下，实现对其局域网全面的安全管理。将安全策略、硬件及软件等方法结合起来，构成一个统一的防御系统，可有效阻止非法用户