1、1構(gòu)建信息安全保障體系曲成義 研究員2008.52我國網(wǎng)絡信息安全威脅增加迅速 （CNCERT/CC）僵尸網(wǎng)絡范圍擴大，14萬臺主機被植入僵尸程序木馬/諜件威脅嚴重，4.5萬IP地址植入木馬網(wǎng)頁篡改數(shù)量迅速增加，達到24477次政府網(wǎng)站被篡改3831次，占總量16%安全事件報告的年增量為196%網(wǎng)絡惡意代碼年增量12.8倍漏洞發(fā)現(xiàn)量的年增196%3網(wǎng)絡威脅的新動向值得高度關(guān)注“零日攻擊”現(xiàn)象出現(xiàn)（魔波蠕蟲）復合式病毒給防范增加難度僵尸網(wǎng)成為DDos和垃圾郵件的源頭網(wǎng)絡仿冒/劫持是在線竊信的重要途徑諜件泛濫是竊密/泄密的主要元兇通過網(wǎng)頁/郵件/P2P傳播惡意代碼的數(shù)量猛增非法牟利動機明顯增加和趨

2、于囂張黑客地下產(chǎn)業(yè)鏈正在形成僵尸源和木馬源的跨國控制應該高度警惕內(nèi)部安全事件的增加引起高度重視4國家信息化領(lǐng)導小組第三次會議 關(guān)于加強信息安全保障工作的意見 中辦發(fā)2003 27號文 堅持積極防御、綜合防范 全面提高信息安全防護能力 重點保障信息網(wǎng)絡和重要信息系統(tǒng)安全 創(chuàng)建安全健康的網(wǎng)絡環(huán)境 保障和促進信息化發(fā)展、保護公眾利益、 維護國家安全 立足國情、以我為主、管理與技術(shù)并重、 統(tǒng)籌規(guī)劃、突出重點 發(fā)揮各界積極性、共同構(gòu)筑國家信息安全保障體系 5國家信息安全保障工作要點 （中辦發(fā)2003 27號文） 實行信息安全等級保護制度：風險與成本、資源優(yōu)化配置、安全 風險評估 基于密碼技術(shù)網(wǎng)絡信任體系

3、建設：密碼管理體制、身份認證、 授權(quán)管理、責任認定 建設信息安全監(jiān)控體系：提高對網(wǎng)絡攻擊、病毒入侵、網(wǎng)絡失竊 密、有害信息的防范能力 重視信息安全應急處理工作：指揮、響應、協(xié)調(diào)、通報、支援、 抗毀、災備 推動信息安全技術(shù)研發(fā)與產(chǎn)業(yè)發(fā)展：關(guān)鍵技術(shù)、自主創(chuàng)新、強化可控 、引導與市場、測評認證、采購、服務 信息安全法制與標準建設：信息安全法、打擊網(wǎng)絡犯罪、標準體 系、規(guī)范網(wǎng)絡行為 信息安全人材培養(yǎng)與增強安全意識：學科、培訓、意識、技能、 自律、守法 信息安全組織建設：信息安全協(xié)調(diào)小組、責任制、依法管理 6構(gòu)造信息安全保障體系的目標 增強信息網(wǎng)絡四種安全能力 創(chuàng)建信 息安全的基礎(chǔ)支撐能力 安全 基礎(chǔ)設

4、施、技術(shù)與產(chǎn)業(yè)、人才與教育 提升信息安全防護與對抗能力 . 加強網(wǎng)絡突發(fā)事件的快速反應能力 擁有安全管理的控制能力 保障信息及其服務具有六性 保密性、完整性、可用性、真實性、可核查性、可控性7 信息系統(tǒng)安全的全局對策(一)科學劃分信息安全等級投入與風險的平衡點安全資源的優(yōu)化配置(一)構(gòu)建信息安全保障體系 重視頂層設計,做好信息安全技術(shù)體系與信息安全管理體系強化信息安全的保障性(二)作好信息安全風險評估是信息安全建設的起點、也覆蓋終生提升信息安全的可信性8 （一）科學劃分信息安全等級9 我國信息安全等級保護工作職責分工2006年1月，信息安全等級保護管理辦法（試行）（公通字20067號）明確了公

5、安、保密、密碼、信息化部門的職責：公安機關(guān)全面國家保密工作部門涉密信息系統(tǒng)國家密碼管理部門密碼國務院信息辦協(xié)調(diào)10 信息安全等級保護關(guān)注點 （公通字200743號文）、（中保委發(fā)（2004）7號文） 等級保護涉及的內(nèi)容：信息系統(tǒng)、信息安全產(chǎn)品、信息安全事件分級依據(jù)：重要程度、危害程度、保護水平 (業(yè)務信息、系統(tǒng)服務）保護級別劃分： 自主保護級、指導保護級、監(jiān)督保護級、強制保護級、?？乇Ｗo級系統(tǒng)管理模式 一級：自主保護 （一般系統(tǒng)/ 合法權(quán)益） 二級：指導保護（一般系統(tǒng)/ 合法權(quán)益、社會利益） 三級：監(jiān)督檢查（重要系統(tǒng)/ 社會利益、國家安全） (秘密) 四級：強制監(jiān)督 （重要系統(tǒng)/ 社會利益、國

6、家安全） (機密 、增強） 五級：專門監(jiān)督 （極端重要系統(tǒng)/ 國家安全） (絕密)安全管理 自主定級-審核批準-系統(tǒng)建設-安全測評11 信息安全等級保護相關(guān)規(guī)范 （公通字200743號文）GB/T20269-2006 - - - - - - - - - - BMB 17-2006 BMB 22-2007 BMB 20-2007 12 （二）構(gòu)建信息安全保障體系13信息安全保障體系框架安全法規(guī)安全管理安全標準安全工程與服務安全基礎(chǔ)設施教育培訓14（1）信息安全法規(guī)關(guān)于開展信息安全風險評估工作的意見 （ 國信辦20051號文）信息安全等級保護管理辦法 （公通字20067號文、公通字200743號文

7、、 ） 關(guān)于做好國家重要信息系統(tǒng)災難備份的通知關(guān)于做好信息安全管理試點的通知中華人民共和國保守國家秘密法 (在修訂)信息安全法（信息安全條例）電子簽名法（2005年4月1日實施） 個人數(shù)據(jù)保護法 - - - - - - - - - - - - - - - - - -15 （2）重視信息安全管理體系建設(ISMS) 國家文件多次指出： 建立信息安全管理組織 明確信息安全管理責任制 安全技術(shù)與安全管理要并重 信息安全標準化委員會正抓緊制訂管理標準 構(gòu)建信息安全保障體系時一定要重視ISMS 建設 16 信息安全管理體系要求 (ISO/IEC 27001-2005 GBT 20269-2006) 規(guī)定

8、了組織建立、實施、運行、監(jiān)視、評審 保持、改進、ISMS的要求 基于風險管理思想提出了“PDCA模型”，使組織 達到更有效的安全管理 用于認證和審核 17 應用于ISMS過程的PDCA模型 PDCA循環(huán)是能使任何一項活動有效改進的工作程序相關(guān)方受控的信息安全信息安全要求和期望相關(guān)方檢查Check建立ISMS實施和運行ISMS保持和改進ISMS監(jiān)視和評審ISMS規(guī)劃Plan實施Do處置Act應用于ISMS過程的PDCA模型18 信息安全管理實用規(guī)則 (ISO/IEC- 27002 GB/T-) 安全管理方針: 業(yè)務、法規(guī) 信息安全組織： 內(nèi)部、外部、控制措施 信息資產(chǎn)管理： 責任、分類、控制措施

9、 人力資源安全： 角色、職責、培訓、任用、處罰 物理和環(huán)境安全： 安全域控制、設備安全控制 通信與操作管理： 職責、交付、驗收、完整性、備份 網(wǎng)控、介質(zhì)、交換、EC、監(jiān)視 訪問控制： 策略、授權(quán)、控制、移動 信息系統(tǒng)開發(fā)維護：密碼、文件、應用、過程、漏洞 信息安全事件管理：報告、弱點、改進、職責 業(yè)務持續(xù)性管理： 中斷、恢復、預案、評測 符合性： 法規(guī)、策略、標準、審核 19 信息安全管理實用規(guī)則 (ISO/IEC 27002-2007) 詳細嚴格的安全管理控制，貫穿系統(tǒng)生命周期全過程和系統(tǒng)所有環(huán)節(jié) 11個控制項目 39個控制目標 133個控制措施 20 國信辦信息安全管理試點(06年的9個月

10、時間) 5省中選7個點進行ISMS試點 遵循 ISO/IEC 27001-2005 ISO/IEC 17799-2005 并將ISMS試點與等級保護/風險評估相結(jié)合 重視需求牽引、領(lǐng)導參與 ISMS建立要全員動員、培訓、參與 進一步認識過程的復雜性、困難性 需要多個結(jié)合：工作流程、現(xiàn)實制度 項目管理、多方參與 21（3）國家信息安全標準化委員會安全功能定義 安全要素設計：物理、網(wǎng)絡、系統(tǒng)、應用、管理 全程安全控制 風險全程管理 安全有效評估 強壯性策略（02.4.15計劃成立.十個工作組）1 標準體系與協(xié)調(diào)（含可信計算）2 涉密信息系統(tǒng)保密(內(nèi)容分級)3 密碼算法與模塊4 PKI/PMI5 安

11、全評估應急處理 7 安全管理（災難恢復、風險評估-）電子證據(jù)身份標識與鑒別操作系統(tǒng)與數(shù)據(jù)國家發(fā)布33項、報批搞9項、送審稿14項、征求意見14項22（4）信息系統(tǒng)安全工程建設 安全需求分析： 威脅，弱點，風險，對策 安全技術(shù)體系設計 安全管理體系設計 安全要素設計：物理、網(wǎng)絡、系統(tǒng)、應用、管理 安全集成管理: SOC安全風險評估與全程控制 提升預警、防護、檢測、響應、恢復、反擊的能力（）（ISSE，IATF，CC，TESEC,BMB ,ISMS）2324 （A）網(wǎng)絡安全縱深防御體系網(wǎng)絡信息安全域的劃分、隔離控制、可信接入內(nèi)部網(wǎng)安全服務與控制策略（專網(wǎng)）安全服務與控制策略外部網(wǎng)安全服務與控制策略

12、互聯(lián)網(wǎng)安全服務與控制策略公共干線的安全服務與控制策略（有線、無線、衛(wèi)星）計算環(huán)境的安全服務機制多級設防與科學布署策略全局安全測評、集成管理、聯(lián)動控制與恢復25電子政務網(wǎng)絡信息安全域的結(jié)構(gòu)外網(wǎng)外網(wǎng)互聯(lián)網(wǎng)互聯(lián)網(wǎng)內(nèi)網(wǎng)內(nèi)網(wǎng)內(nèi)網(wǎng)物理隔離邏輯隔離內(nèi)網(wǎng)（VPN-私有專線或公共通信網(wǎng)）外網(wǎng)互聯(lián)網(wǎng)外網(wǎng)（VPN-公共通信網(wǎng)）互聯(lián)網(wǎng)（Internet）節(jié)點1節(jié)點N節(jié)點226 信息安全域的科學劃分 內(nèi)網(wǎng)、(專網(wǎng)) 、外網(wǎng)、互聯(lián)網(wǎng) 信息安全域邊界的安全控制 邏輯隔離/物理隔離 信息安全機制的縱深多級布署 多級配置/集成管理/設施聯(lián)動 公共干線（TSP）的安全保障 有線/無線/衛(wèi)星縱深型防御技術(shù)關(guān)注點27 防火墻/UTM

13、 安全網(wǎng)關(guān) NAT 應用代理 VLAN 可信接入(TNC、NAC、NAP） VPN網(wǎng)絡邊界邏輯隔離28網(wǎng)絡邊界物理隔離技術(shù) 物理級（電磁域、物理域）屏蔽（室/線）、干擾器（端、線）、區(qū)域保護 終端級（隔離卡）雙機型、雙盤型、雙區(qū)型 傳輸信道級（端端加密） 專用信道：VPN、IP密碼機 電路交換方式（PVC）：認證與鏈路加密網(wǎng)絡級（物理隔離與信息交換） 物理切斷：安全島交換 單向網(wǎng)閘：開放環(huán)境信息單向進入秘密級環(huán)境雙向網(wǎng)閘： 物理隔離網(wǎng)絡環(huán)境內(nèi)安全域間的信息交換、 共享和互操作 29 基于時間“t”的動態(tài)過程防御# Pt：入侵防護時間（Protection）# Dt：入侵檢測時間（Detecti

14、on）# Rt：入侵事件反應恢復時間（Response/Recovery） 要求PtDt+Rt “資產(chǎn)”價值損失資產(chǎn)擁有者承受能力 預警（Warning）要長備不卸懈 反擊（A）要有所準備（B）動態(tài)防御技術(shù)模型（WPDRRA)30 風險評估與系統(tǒng)漏洞的預先發(fā)現(xiàn)（SCAN） 網(wǎng)絡威脅檢測、預警 信息系統(tǒng)邊界防護(FW/UTM/NG) 入侵檢測診斷、防護（IDS/IPS/IPM） 應急預案與機制快速啟動 備份、修復與容災 虛擬資產(chǎn)的從新部署 動態(tài)拓撲結(jié)構(gòu)的調(diào)整 積極防御機制的啟動 陷阱、隱蔽、追蹤、取證 偵探、預警、反擊、制癱動態(tài)防御技術(shù)的關(guān)注點31密碼管理體制身份認證：PKI/CA、TOKEN

15、- - -授權(quán)管理：PMI/AA、ACL - - -責任認定：全局審計（C）基于密碼技術(shù)網(wǎng)絡信任體系建設 （中辦發(fā)2003 27號文）32數(shù)字認證與網(wǎng)絡信任體系的建設（CA/ PKI） 適應開放型、大時空、無限邊界 提供真實性、完整性、保密性、抗否認性 可以構(gòu)建良好的信任環(huán)境 支持安全的交往/交換/交易多種業(yè)務對象 PKI/CA在EG中廣泛應用33（D）強化內(nèi)部審計 全局審計網(wǎng)絡級、數(shù)據(jù)庫級、應用級、主機級（服務器、端機）介質(zhì)級 審計信息的安全加固保密性、完整性、防拷貝、可重現(xiàn)、防假冒 審計信息的證據(jù)有效性法律上、管理上、技術(shù)上（恢復、反向工程） 審計點前移 事后-事中-事前34（E）網(wǎng)絡信息

16、產(chǎn)品安全可控技術(shù) 針對“分發(fā)式威脅” 隱通道、嵌入病毒、缺陷、可恢復密鑰、惡意代碼采用自控技術(shù)： 掃描、發(fā)現(xiàn)、補丁、配置、 清除、監(jiān)視、加固、升級（B級） 用戶重新獲取自控權(quán)35信息安全事件監(jiān)控予警信息安全事件通報：定級（GB/Z 209822007）啟動應急予案事件應急抑制：物理、網(wǎng)絡、主機、應用、服務事件應急根除事件應急恢復：恢復、搶救、災備、回退應急審計評估：設施、數(shù)據(jù)、服務、審計、修訂 “災難恢復”是BCM關(guān)鍵之一，是“應急恢復”的最后一道防線（F）應急予案與響應流程36我國災難恢復等級劃分：六級、七要素 大致可以分為二類：數(shù)據(jù)類、應用類“第1級”：數(shù)據(jù)介質(zhì)轉(zhuǎn)移（異地存放、安全保管、定

17、期更新）“第2級”：備用場地支持（異地介質(zhì)存放、系統(tǒng)硬件網(wǎng)絡可調(diào)）“第3級”：電子傳送和部分設備支持（網(wǎng)絡傳送、磁盤鏡像復制）“第4級”：電子傳送和完整設備支持（網(wǎng)絡傳送、網(wǎng)絡與系統(tǒng)就緒）“第5級”：實時數(shù)據(jù)傳送及完整設備支持（關(guān)鍵數(shù)據(jù)實時復制、網(wǎng) 絡系統(tǒng)就緒、人機切換）“第6級”：數(shù)據(jù)零丟失和遠程（在線實時鏡像、作業(yè)動態(tài)分配、 實時 無縫切換） “信息系統(tǒng)災難恢復規(guī)范”(安標委 GB/T 209882007)37它是業(yè)務持續(xù)性保證的要素重視等級保護與災難恢復級別的選擇遵循災難恢復的規(guī)范與標準數(shù)據(jù)級災備是容災的基礎(chǔ)和起點災難恢復的集約化建設災難恢復的社會化服務選擇自主建設的幾大原則災難恢復建設

18、的關(guān)注點38 （三）重視信息安全風險評估39信息系統(tǒng)安全風險評估的特征信息系統(tǒng)是一個巨型復雜系統(tǒng)（系統(tǒng)要素、安全要素）信息系統(tǒng)受制于外部因素（物理環(huán)境、行政管理、人員）信息系統(tǒng)安全風險評估是一項系統(tǒng)工程發(fā)現(xiàn)隱患、采取對策、提升強度、總結(jié)經(jīng)驗自評估/委托評估、檢查評估40信息系統(tǒng)安全評估方法定性分析與定量結(jié)合評估機構(gòu)與評估專家結(jié)合評估考查與評估檢測結(jié)合技術(shù)安全與管理安全結(jié)合41信息系統(tǒng)安全分析與檢測管理安全分析 組織、人員、制度、資產(chǎn)控制、物理、操作、連續(xù)性、應急過程安全分析 威脅、風險、脆弱性、需求、策略、方案、符合性 分發(fā)、運行、維護、更新、廢棄技術(shù)安全分析與檢測 安全機制、功能和強度分析、

19、 網(wǎng)絡設施、安全設施及主機配置安全分析、脆弱性分析 系統(tǒng)穿透性測試系統(tǒng)測試中風險的防范 事前：保密/持續(xù)/透明協(xié)議、應急予案、備份、測試床/離線 事中：測試監(jiān)控、現(xiàn)場控制、應急對策 事后：消除殘留、現(xiàn)場清理、原特權(quán)回復、原系統(tǒng)回復 42信息安全風險評估試點成效顯著（國信辦） 提高了風險意識 、培育自評估能力（8個試點、幾千人日） 三要素的識別與賦值能力有所提高、（并探索行業(yè)細則） 發(fā)現(xiàn)和消除大量隱患、提升了安全強度（表層與深層） 采用了多種評估模式并總結(jié)經(jīng)驗（自評、委托、檢查） 實效性 /關(guān)鍵性 /涉密性/常規(guī)性 等系統(tǒng)的 分類指導 風險評估方法、工具、平臺有所創(chuàng)新 應急予案、離線評估、管理軟

20、件、識別知識化、多種評估方法 - - - - 評估過程的風險控制對策（管理、協(xié)議、技術(shù)、機制） 全程的風險評估分類試點（規(guī)劃、設計、實施、運行、更新） 評估協(xié)同機制的探索（業(yè)主、建設、評估三方協(xié)同） 體系與深層隱患的評估開始引起重視43 信息系統(tǒng)安全的全局對策(一)科學劃分信息安全等級投入與風險的平衡點安全資源的優(yōu)化配置(一)構(gòu)建信息安全保障體系 重視頂層設計,做好信息安全技術(shù)體系與信息安全管理體系強化信息安全的保障性(二)作好信息安全風險評估是信息安全建設的起點、也覆蓋終生提升信息安全的可信性1、不是井里沒有水，而是你挖的不夠深。不是成功來得慢，而是你努力的不夠多。2、孤單一人的時間使自己變

21、得優(yōu)秀，給來的人一個驚喜，也給自己一個好的交代。3、命運給你一個比別人低的起點是想告訴你，讓你用你的一生去奮斗出一個絕地反擊的故事，所以有什么理由不努力!4、心中沒有過分的貪求，自然苦就少?？诶锊徽f多余的話，自然禍就少。腹內(nèi)的食物能減少，自然病就少。思緒中沒有過分欲，自然憂就少。大悲是無淚的，同樣大悟無言。緣來盡量要惜，緣盡就放。人生本來就空，對人家笑笑，對自己笑笑，笑著看天下，看日出日落，花謝花開，豈不自在，哪里來的塵埃!5、心情就像衣服，臟了就拿去洗洗，曬曬，陽光自然就會蔓延開來。陽光那么好，何必自尋煩惱，過好每一個當下，一萬個美麗的未來抵不過一個溫暖的現(xiàn)在。6、無論你正遭遇著什么，你都要從落魄中站起來重振旗鼓，要繼續(xù)保持熱忱，要繼續(xù)保持微笑，就像從未受傷過一樣。7、生命的美麗，永遠展現(xiàn)在她的進取之中;就像大樹的美麗，是展現(xiàn)在它負勢向上高聳入云的蓬勃生機中;像雄鷹的美麗，是展現(xiàn)在它搏風擊雨如蒼天之魂的翱翔中;像江河的美麗，是展現(xiàn)在它波濤洶涌一瀉千里的奔流中。8、有些事，不可避免地發(fā)生，陰晴圓缺皆有規(guī)律，我們只能坦然地接受;有些事，只要你愿意努力，矢志不渝地付出，就能慢慢改變