等保2.0专题分享—可信验证

等保2.0专题分享中国医学科学院阜外医院韩作为可信验证等级保护2.0标准体系《GBT22240-2020信息安全技术网络安全等级保护定级指南》《GBT25058-2019信息安全技术网络安全等级保护实施指南》《GBT22239-2019信息安全技术网络安全等级保护基本要求》《GBT25070-2019信息安全技术网络安全等级保护安全设计技术要求》《GBT28448-2019信息安全技术网络安全等级保护测评要求》Contents1可信计算基础2可信与等保2.03可信应用实例可信计算基础Classifiedprotectionofcybersecurity主动免疫的可信计算“封堵”：以网络隔离为代表，无法适应云计算话你就能够特性，以及云计算应用导致的边界虚拟化、动态变化；“查杀”：以杀病毒、入侵检测为代表，采用基于已知“特征”的检查技术，不能抵御新出现的未知恶意代码。通过“计算+保护”的双计算体系，建立可信的计算环境，是其他安全防御机制的基础支撑；形成自动识别“自我”和“非我”程序的安全免疫机制，实现对未知病毒木马的安全免疫。被动防御主动免疫杀毒、防火墙、入侵检测的传统“老三样”难以应对人为攻击且容易被攻击者利用，找漏洞、找补丁的传统思路不利于整体安全可信核心概念可信根是可信计算平台可信的基点，源头，一般基于硬件来实现：TPM、TCM可信计算平台有三个可信根：可信度量根RTM、可信存储根RTS、可信报告根RTR◆可信根可信链是从可信根开始，通过信任度量把可信关系扩展到整个可信计算的平台，在每一步的过程中，上一级（可信环境）要对下一级组件（未可信环境）进行度量，若组件完整，则将控制权转移，以此类推，直至延伸到整个系统。◆可信链◆可信模块TCG的TPM中国的TCM：中国版的TPM中国的TPCM：TCM+信任根的控制功能，密码和控制双结合◆可信软件基（TSS+TSB）可信计算平台上的支撑软件。主要是为操作系统和应用软件提供使用可信平台模块的接口国际可信计算发展现状Intel、微软、IBM等发起成立了TCPA，标志着可信计算进入产业界1999年10月Intel推出带有SGX技术的CPU,主要功能是在计算平台上提供一个基于芯片级的可信执行环境2016年改组为TCG，TCG提出TPM1.2及相关规范2003年Windows10发布，并宣布“所有新设备和电脑，运用所有win10系统必须有TPM2.0支持”2015年Google发布Titan安全芯片，防止窃听硬件和插入固件植入来攻击电脑2017年Intel正式发布了可信执行技术通过硬件内核和子系统来控制被访问的计算基资源2007年ARM芯片采用推出了TrustZone技术来支持可信技术发展TPM发展国内可信计算发展现状2019年082018年072017年06762014年052007年042005年032000年021992年01基于ARM架构推出片内同构方式构建双体系瓶体的可信解决方案华为基于ARMTrustZone实现内置TCP功能可信计算产品在国家电网和中央电视台等重要部门使用中关村可信计算产业联盟成立，可信计算3.0旗舰产品—“白细胞”操作系统免疫平台发布，可信3.0时代到来由北京工业大学牵头完成可信计算3.0四个主体标准形成可信框架体系联想集团的TPM芯片和可信计算相继研制成功武汉瑞达和武汉大学合作，开始研制“国内第一款可信计算机”我国专家发明了微机保护卡，达到了无病毒、自我免疫的效果可信3.0时代可信1.0（主机）主机可靠性计算机部件冗余备份故障诊查容错算法可信2.0（PC）节点安全性PC单机功能模块被动度量TPM+TSS可信3.0（网络）系统免疫性节点虚拟动态链宿主+可信双节点主动免疫TPCM+TSB+服务平台容错容错组织被动防御国际可信计算组织（TCG）主动防御中国可信技术创新可信与等保2.0Classifiedprotectionofcybersecurity可信计算逐步成为支撑国家安全政策的核心技术坚持创新驱动发展，积极创造有利于技术创新的政策环境，统筹资源和力量，以企业为主体，产学研用相结合，协同攻关、以点带面、整体推进，尽快在核心技术上取得突破。重视软件安全，加快安全可信产品推广应用第十六条国务院和省、自治区、直辖市人民政府应当统筹规划，加大投入，扶持重点网络安全技术产业和项目，支持网络安全技术的研究开发和应用，推广安全可信的网络产品和服务，保护网络技术知识产权，支持企业、研究机构和高等学校等参与国家网络安全技术创新项目中华人民共和国网络安全法国家网信办《国家网络安全空间战略》等级保护2.0国家能源局36号在在2015年2月4日，由国家能源局颁布的《电力监控系统安全防护总体方案》中也指出了电力调度系统要使用可信计算技术，拥有免疫能力8.1.4.6可信验证测评指标：可基于可信根对计算设备的系统引导程序、系统程序、重要配置参数和应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中等保2.0“一个中心、三重防护”可信计算环境用户终端可信边界可信应用计算节点可信节点可信网络通信◆按照“一个中心、三重防护”的总体思路开展网络安全技术设计◆部署可信计算平台后，在原有信息系统建立可信免疫的主动防御安全防护体系，实现高安全等级结构化保护，变被动防护为主动免疫防护，以主动免疫可信计算为基础支撑，协同访问控制等安全机制，构建可信、可控、可管的主动防御体系，实现系统防护能力的跃升可信、可控、可管可信可管可控02不允许设超级用户保证资源安全必须实行科学管理，强调最小权限管理，高等级系统实行三全分离管理机制01确保系统服务安全针对计算资源（软硬件）构建保护环境，以可信计算基（TCB）为基础，层层扩充，对计算资源进行保护03确保业务信息安全针对信息资源（数据及应用）构建业务流程控制链，以访问控制为核心，实行主体（用户）按策略规则访问客体（信息资源）可信保障要求等级按级监管保护级（GB17859）可信保障一级自主保护自主访问基础软件可信二级指导保护审计（自主访问）应用程序验证三级监督检查标记（强制访问）执行动态度量四级强制监督检查结构化保证实时关联感知五级专门监督检查实时监控智能处置等级保护2.0针对不同的安全级别，全面提出了可信保障要求：从一级到五级，可信保障要求逐级提升，以应对不同的安全威胁等保2.0基本要求“可信验证”控制点一级二级三级四级可基于可信根对设备的系统引导程序、系统程序等进行可信验证，并在检测到其可信性受到破坏后进行报警。可基于可信根对设备的系统引导程序、系统程序、重要配置参数和应用程序等进行可信验证，并在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。可基于可信根对设备的系统引导程序、系统程序、重要配置参数和应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心可基于可信根对设备的系统引导程序、系统程序、重要配置参数和应用程序等进行可信验证，并在应用程序的所有执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心，并进行动态关联感知安全区域边界-边界防护无可信验证机制要求无可信验证机制要求无可信验证机制要求f)应采用可信验证机制对接入到网络中的设备进行可信验证，保证接入网络的设备真实可靠。安全计算环境-恶意代码防范无可信验证机制要求无可信验证机制要求应采用免受恶意代码攻击的技术措施或主动免疫可信验证机制及时识别入侵和病毒行为，并将其有效阻断应采用主动免疫可信验证机制及时识别入侵和病毒行为，并将其有效阻断。安全管理中心×(一级无此要求项）无配置可信验证策略要求b)应通过安全管理员对系统中的安全策略进行配置，包括安全参数的设置，主体、客体进行统一安全标记，对主体进行授权，配置可信验证策略等。b)同三级。安全通信网络安全区域边界安全计算环境“可信验证”等保2.0设计要求—“可信连接”相关要求一级二级三级四级安全区域边界-区域边界访问控制//应在安全区域边界设置自主和强制访问控制机制，应对源及目标计算节点的身份、地址、端口和应用协议等进行可信验证，对进出安全区域边界的数据信息进行控制，阻止非授权访问同三级安全通信网络-可信连接验证通信节点应采用具有网络可信连接保护功能的系统软件或可信根支撑的信息技术产品，在设备连接网络时，对源和目标平台身份进行可信验证通信节点应采用具有网络可信连接保护功能的系统软件或可信根支撑的信息技术产品，在设备连接网络时，对源和目标平台身份、执行程序进行可信验证，并将验证结果形成审计记录通信节点应采用具有网络可信连接保护功能的系统软件或可信根支撑的信息技术产品，在设备连接网络时，对源和目标平台身份、执行程序及其关键执行环节的执行资源进行可信验证，并将验证结果形成审计记录，送至管理中心应采用具有网络可信连接保护功能的系统软件或具有相应功能的信息技术产品，在设备连接网络时，对源和目标平台身份、执行程序及其所有执行环节的执行资源进行可信验证，并将验证结果形成审计记录送至管理中心，进行动态关联感知按等保2.0实施可信验证一级二级三级四级设计策略所有计算节点都应基于可信根实现开机到操作系统启动的可信验证。所有计算节点都应基于可信根实现开机到操作系统启动，再到应用程序启动的可信验证。并将验证结果形成审计纪录。所有计算节点都应基于可信根实现开机到操作系统启动再到应用程序启动的可信验证，并在应用程序的关键执行环节对其执行环境进行可信验证，主动抵御病毒入侵行为，并将验证结果形成审计纪录，送到管理中心。所有计算节点都应基于可信计算技术实现开机到操作系统启动，再到应用程序启动的可信验证，并在应用程序的所有执行环节对其执行环境进行可信验证，主动抵御病毒入侵行为，同时验证结果，进行动态关联感知，形成实时的态势等保2.0可信验证要求解读➢“可基于可信根对设备的系统引导程序、系统程序、重要配置参数和应用程序等进行可信验证……”，其中可信根和可信验证功能是一级到四级都必须的要求，但“可信验证”是否是基于可信根进行实现，用户可以根据情况进行选择。➢不同级别可信根的实施方式，可信根由可信密码模块和可信平台控制模块共同组成。⚫第一、二级：可信根中可信密码模块需硬件实现、可信平台控制模块可由软件实现；⚫第三、四级：可信根中可信密码模块和可信平台控制模块应由硬件实现。可信实现部署模式可信边界动态感知身份识别行为度量白名单可信联动访问控制安全存储可信应用实例Classifiedprotectionofcybersecurity中央电视台可信制播环境建设经受住了永恒之蓝勒索病毒攻击的考验，胜利完成了重要时期及日常的保障任务。中央电视台播出40多个频道节目，面向全球提供中、英、西、法、俄、阿等语言电视节目在不能与互联网物理隔离的环境下，建立了可信、可控、可管的网络直播环境，达到四级安全要求，确保节目安全播出。中央电视台电视可信环境建设示意图可信通信网络可信网络边界交换系统对外接口节目管理可信区域边界节目管理系统可信计算环境可信管理中心私有协议可信区域边界对内接口可信计算环境节目制作可信区域边界媒资可信区域边界节目制作系统可信计算环境媒资系统可信计算环境制作类系统可信通信网络播出类系统播出整备可信区域边界演播室可信区域边界播出可信区域边界可信通信网络播出整备系统可信计算环境演播室系统可信计算环境播出系统可信计算环境可信管理中心可信管理中心网络制播系统统一可信管理中心播出生产编排存储国家电网电力调度系统安全防护建设电力可信计算密码平台已在34个省级以上调度控制中心使用发改委14号令决定以可信计算架构实现等级保护四级覆盖上千套地级以上电网调度控制系统涉及达十几万个节点四万座变电站和一万座发电厂国家电网电力调度系统安全架构高效处理：实时调度不打补丁：免疫抗毒不改代码：方便实施精练消肿：降低成本感谢您的聆听