構造積極防御的安全保障框架

《構造積極防御的安全保障框架》由會員分享，可在線閱讀，更多相關《構造積極防御的安全保障框架（29頁珍藏版）》請在裝配圖網上搜索。

1、構造積極防御的安全保障框架構造積極防御的安全保障框架一、對當前信息安全系統一、對當前信息安全系統的反思的反思 當前大部分信息安全系統主要是由防火當前大部分信息安全系統主要是由防火墻、入侵監測和病毒防范等組成墻、入侵監測和病毒防范等組成常規的安全手段只能是在網絡層（常規的安全手段只能是在網絡層（IP）設防，在外圍對非法用戶和越權訪問進設防，在外圍對非法用戶和越權訪問進行封堵，以達到防止外部攻擊的目的行封堵，以達到防止外部攻擊的目的對訪問者源端不加控制對訪問者源端不加控制操作系統的不安全導致應用系統的各種操作系統的不安全導致應用系統的各種漏洞層出不窮，無法從根本上解決漏洞層出不窮，無法從根本上解決

2、封堵的辦法是捕捉黑客攻擊和病封堵的辦法是捕捉黑客攻擊和病毒入侵的行為特征，其特征是已毒入侵的行為特征，其特征是已發生過的滯后信息發生過的滯后信息 惡意用戶的攻擊手段變化多端惡意用戶的攻擊手段變化多端,防護者只防護者只能能:防火墻越砌越高防火墻越砌越高入侵檢測越做越復雜入侵檢測越做越復雜惡意代碼庫越做越大惡意代碼庫越做越大導導 致：致：誤報率增多，誤報率增多，安全投入不斷增加安全投入不斷增加維護與管理更加復雜和難以實施維護與管理更加復雜和難以實施信息系統的使用效率大大降低信息系統的使用效率大大降低對新的攻擊入侵毫無防御能力（如沖對新的攻擊入侵毫無防御能力（如沖擊波）擊波）反思：反思：老三樣、堵漏

3、洞、作高墻、老三樣、堵漏洞、作高墻、防外攻、防不勝防防外攻、防不勝防 產生安全事故的技術原因：產生安全事故的技術原因：PC機軟、硬件結構簡化，導致資源可任意機軟、硬件結構簡化，導致資源可任意使用，尤其是執行代碼可修改，惡意程序可使用，尤其是執行代碼可修改，惡意程序可以被植入以被植入病毒程序利用病毒程序利用PC操作系統對執行代碼不檢操作系統對執行代碼不檢查一致性弱點，將病毒代碼嵌入到執行代碼查一致性弱點，將病毒代碼嵌入到執行代碼程序，實現病毒傳播程序，實現病毒傳播黑客利用被攻擊系統的漏洞竊取超級用戶權黑客利用被攻擊系統的漏洞竊取超級用戶權限，肆意進行破壞限，肆意進行破壞更為嚴重的是對合法的用戶沒

4、有進行嚴格的更為嚴重的是對合法的用戶沒有進行嚴格的訪問控制，可以進行越權訪問，造成不安全訪問控制，可以進行越權訪問，造成不安全事故事故如果從終端操作平臺實施高等級防如果從終端操作平臺實施高等級防范，這些不安全因素將從終端源頭范，這些不安全因素將從終端源頭被控制。這種情況在被控制。這種情況在工作流程相對工作流程相對固定的重要信息系統固定的重要信息系統顯得更為重要顯得更為重要而可行而可行。在電子政務的內外網中在電子政務的內外網中政務內網與政務外網物理隔離，政務外政務內網與政務外網物理隔離，政務外網與網與Internet邏輯隔離邏輯隔離要處理的工作流程都是預先設計好的要處理的工作流程都是預先設計好的

5、操作使用的角色是確定的操作使用的角色是確定的應用范圍和邊界都是明確的應用范圍和邊界都是明確的這類工作流程相對固定的生產系統與這類工作流程相對固定的生產系統與Internet網是有隔離措施的，外部網絡的網是有隔離措施的，外部網絡的用戶很難侵入到內部網絡來用戶很難侵入到內部網絡來，其最大的，其最大的威脅是來自內部人員的竊密和破壞。威脅是來自內部人員的竊密和破壞。據統計，據統計，80%的信息安全事故為內部人的信息安全事故為內部人員和內外勾結所為，而且呈上升的趨勢。員和內外勾結所為，而且呈上升的趨勢。因此我們應該以因此我們應該以“防內為主、內外兼防防內為主、內外兼防”的模式，從提高使用節點自身的安全著

6、的模式，從提高使用節點自身的安全著手，構筑積極、綜合的安全防護系統。手，構筑積極、綜合的安全防護系統。應該：應該：強機制、高可信、控使用、防內強機制、高可信、控使用、防內外，積極防御外，積極防御二、可信賴計算環境二、可信賴計算環境為了解決為了解決PC機結構上的不安全，從根本機結構上的不安全，從根本上提高其安全性，在世界范圍內推行可上提高其安全性，在世界范圍內推行可信計算技術信計算技術1999年由年由Compaq、HP、IBM、Intel和和Microsoft牽頭組織牽頭組織TCPA(Trusted Computing Platform Alliance)，目前已，目前已發展成員發展成員190家

7、，遍布全球各大洲主力家，遍布全球各大洲主力廠商廠商TCPA專注于從計算平臺體系結構上增專注于從計算平臺體系結構上增強其安全性，強其安全性，2001年年1月發布了標準規月發布了標準規范（范（v1.1），），2003年年3月改組為月改組為TCG(Trusted Computing Group)其目的是在計算和通信系統中廣泛使用其目的是在計算和通信系統中廣泛使用基于硬件安全模塊支持下的可信計算平基于硬件安全模塊支持下的可信計算平臺，以提高整體的安全性。臺，以提高整體的安全性?？尚庞嬎憬K端基于可信賴平臺模塊可信計算終端基于可信賴平臺模塊（TPM）,以密碼技術為支持、安全操作以密碼技術為支持、安全操作系

8、統為核心（如圖系統為核心（如圖1所示）所示）安全應用組件安全應用組件安全操作系統安全操作系統安全操作系統內核安全操作系統內核密碼模塊協議棧密碼模塊協議棧主主板板可信賴可信賴BIOSTPM(密碼模塊芯片密碼模塊芯片)圖圖1：可信賴計算平臺：可信賴計算平臺具有以下功能：具有以下功能：確保用戶唯一身份、權限、工作空間的確保用戶唯一身份、權限、工作空間的完整性完整性/可用性可用性確保存儲、處理、傳輸的機密性確保存儲、處理、傳輸的機密性/完整性完整性確保硬件環境配置、操作系統內核、服確保硬件環境配置、操作系統內核、服務及應用程序的完整性務及應用程序的完整性確保密鑰操作和存儲的安全確保密鑰操作和存儲的安全

9、確保系統具有免疫能力，從根本上防止確保系統具有免疫能力，從根本上防止病毒和黑客病毒和黑客安全操作系統是可信計算終端安全操作系統是可信計算終端平臺的核心和基礎，沒有安全平臺的核心和基礎，沒有安全的操作系統，就沒有安全的應的操作系統，就沒有安全的應用，也不能使用，也不能使TPM發揮應有的發揮應有的作用作用三、安全技術保障框架三、安全技術保障框架對工作流程相對固定的重要信息系統對工作流程相對固定的重要信息系統主要由應用操作、共享服務和網絡主要由應用操作、共享服務和網絡通信三個環節組成。如果信息系統通信三個環節組成。如果信息系統中每一個使用者都通過可信終端認中每一個使用者都通過可信終端認證和授權，其操

10、作都是符合規定的，證和授權，其操作都是符合規定的，網絡上也不會被竊聽和插入，那么網絡上也不會被竊聽和插入，那么就不會產生攻擊性共享服務資源的就不會產生攻擊性共享服務資源的事故，就能保證整個信息系統的安事故，就能保證整個信息系統的安全全可信終端確保用戶的合法性和資源可信終端確保用戶的合法性和資源的一致性，使用戶只能按照規定的的一致性，使用戶只能按照規定的權限和訪問控制規則進行操作，能權限和訪問控制規則進行操作，能做到什么樣權限級別的人只能做與做到什么樣權限級別的人只能做與其身份規定的訪問操作，只要控制其身份規定的訪問操作，只要控制規則是合理的，那么整個信息系統規則是合理的，那么整個信息系統資源訪

11、問過程是安全的?？尚沤K端資源訪問過程是安全的?？尚沤K端奠定了系統安全的基礎奠定了系統安全的基礎應用安全邊界設備（如應用安全邊界設備（如VPN安全網關等）安全網關等）保護共享服務資源，其具有身份認證和安保護共享服務資源，其具有身份認證和安全審計功能，將共享服務器（如數據庫服全審計功能，將共享服務器（如數據庫服務器、務器、WEB服務器、郵件服務器等）與服務器、郵件服務器等）與非法訪問者隔離，防止意外的非授權用戶非法訪問者隔離，防止意外的非授權用戶的訪問（如非法接入的非可信終端）。這的訪問（如非法接入的非可信終端）。這樣共享服務端主要增強其可靠性，如雙機樣共享服務端主要增強其可靠性，如雙機備份、容錯

12、、災難恢復等，而不必作繁重備份、容錯、災難恢復等，而不必作繁重的訪問控制，從而減輕服務器的壓力，以的訪問控制，從而減輕服務器的壓力，以防拒絕服務攻擊防拒絕服務攻擊采用采用IPSec 實現網絡通信全程安全保實現網絡通信全程安全保密。密。IPSec工作在操作系統內核，速工作在操作系統內核，速度快，幾乎可以達到線速處理，可度快，幾乎可以達到線速處理，可以實現源到目的端的全程通信安全以實現源到目的端的全程通信安全保護，確保傳輸連接的真實性和數保護，確保傳輸連接的真實性和數據的機密性、一致性據的機密性、一致性，防止非法的竊，防止非法的竊聽和插入聽和插入綜上所述，可信的應用操作平臺、安全的共享綜上所述，可

13、信的應用操作平臺、安全的共享服務資源邊界保護和全程安全保護的網絡通信，服務資源邊界保護和全程安全保護的網絡通信，構成了工作流程相對固定的生產系統的信息安構成了工作流程相對固定的生產系統的信息安全保障框架。（如圖全保障框架。（如圖2所示）所示）圖圖2：工作流程相對固定的生產系統安全解決方案：工作流程相對固定的生產系統安全解決方案全程全程IPSec 服務器服務器安全邊界設備安全邊界設備可信客戶端可信客戶端可信客戶端可信客戶端 全程全程IPSec 安全域一安全域一可信客戶端可信客戶端可信客戶端可信客戶端 安全域二安全域二安全隔離設備安全隔離設備全程全程IPSec 要實現上述終端、邊界和通信有效的保要

14、實現上述終端、邊界和通信有效的保障，還需要授權管理的管理中心以及可障，還需要授權管理的管理中心以及可信配置的密碼管理中心的支撐信配置的密碼管理中心的支撐從技術層面上可以分為以下五個環節：從技術層面上可以分為以下五個環節：1.應用環境安全應用環境安全 2.應用區域邊界安全應用區域邊界安全 3.網絡和通信傳輸安全網絡和通信傳輸安全4.安全管理中心安全管理中心 5.密碼管理中心密碼管理中心即：兩個中心支持下的三重保障體系結構即：兩個中心支持下的三重保障體系結構 對于復雜系統：對于復雜系統：構成三縱（公共區域、專用區域、構成三縱（公共區域、專用區域、涉密區域）三橫（應用環境、應用涉密區域）三橫（應用環

15、境、應用區域邊界、網絡通信）和兩個中心區域邊界、網絡通信）和兩個中心的安全防御框架。（如圖的安全防御框架。（如圖3所示）所示）圖圖3：信息安全技術保障框架：信息安全技術保障框架應用環境安全：應用環境安全：包括單機、包括單機、C/S、B/S模式，采用身份認模式，采用身份認證、訪問控制、密碼加密、安全審計等證、訪問控制、密碼加密、安全審計等機制，構成可信應用環境機制，構成可信應用環境應用區域邊界安全：應用區域邊界安全：通過部署邊界保護措施控制對內部局域通過部署邊界保護措施控制對內部局域網的訪問，實現局域網與廣域網之間的網的訪問，實現局域網與廣域網之間的安全。采用安全網關、防火墻等隔離過安全。采用安

16、全網關、防火墻等隔離過濾機制，保護共享資源的可信連接濾機制，保護共享資源的可信連接網絡和通信傳輸安全：網絡和通信傳輸安全：包括實現局域網互聯過程的安全，旨在包括實現局域網互聯過程的安全，旨在確保通信的機密性、一致性和可用性。確保通信的機密性、一致性和可用性。采用密碼加密、完整性校驗和實體鑒別采用密碼加密、完整性校驗和實體鑒別等機制，實現可信連接和安全通信等機制，實現可信連接和安全通信安全管理中心：安全管理中心：提供認證、授權、實施訪問控制策略等提供認證、授權、實施訪問控制策略等 服務服務密碼管理中心：密碼管理中心：提供互聯互通密碼配置、公鑰證書和傳提供互聯互通密碼配置、公鑰證書和傳統的對稱密鑰

17、的管理，為信息系統提供統的對稱密鑰的管理，為信息系統提供密碼服務密碼服務三種不同性質的應用區域在各自采用相三種不同性質的應用區域在各自采用相應的安全保障措施之后，互相之間有一應的安全保障措施之后，互相之間有一定的溝通，需要采用安全隔離和信息交定的溝通，需要采用安全隔離和信息交換設備進行連接換設備進行連接目前我國信息安全建設正處在一個關鍵目前我國信息安全建設正處在一個關鍵時期，我們必須把握住正確的研究方向，時期，我們必須把握住正確的研究方向，制定相應的發展戰略，走符合我國國情制定相應的發展戰略，走符合我國國情的發展道路，利用國際先進技術，開發的發展道路，利用國際先進技術，開發安全高效，具有自主知識產權的信息安安全高效，具有自主知識產權的信息安全產品，從而滿足我國各行各業的迫切全產品，從而滿足我國各行各業的迫切需要，促進我國信息安全事業的發展。需要，促進我國信息安全事業的發展。結結 束束 語語