構(gòu)造積極防御的安全保障框架

一、對(duì)當(dāng)前信息安全系統(tǒng)

的反思

當(dāng)前大部分信息安全系統(tǒng)主要是由防火墻、入侵監(jiān)測(cè)和病毒防范等組成常規(guī)的安全手段只能是在網(wǎng)絡(luò)層（IP）設(shè)防，在外圍對(duì)非法用戶和越權(quán)訪問進(jìn)行封堵，以達(dá)到防止外部攻擊的目的對(duì)訪問者源端不加控制操作系統(tǒng)的不安全導(dǎo)致應(yīng)用系統(tǒng)的各種漏洞層出不窮，無法從根本上解決封堵的辦法是捕捉黑客攻擊和病毒入侵的行為特征，其特征是已發(fā)生過的滯后信息

惡意用戶的攻擊手段變化多端,防護(hù)者只能:防火墻越砌越高入侵檢測(cè)越做越復(fù)雜惡意代碼庫越做越大導(dǎo)致：誤報(bào)率增多，安全投入不斷增加維護(hù)與管理更加復(fù)雜和難以實(shí)施信息系統(tǒng)的使用效率大大降低對(duì)新的攻擊入侵毫無防御能力（如沖擊波）反思：老三樣、堵漏洞、作高墻、防外攻、防不勝防

產(chǎn)生安全事故的技術(shù)原因：PC機(jī)軟、硬件結(jié)構(gòu)簡(jiǎn)化，導(dǎo)致資源可任意使用，尤其是執(zhí)行代碼可修改，惡意程序可以被植入病毒程序利用PC操作系統(tǒng)對(duì)執(zhí)行代碼不檢查一致性弱點(diǎn)，將病毒代碼嵌入到執(zhí)行代碼程序，實(shí)現(xiàn)病毒傳播黑客利用被攻擊系統(tǒng)的漏洞竊取超級(jí)用戶權(quán)限，肆意進(jìn)行破壞更為嚴(yán)重的是對(duì)合法的用戶沒有進(jìn)行嚴(yán)格的訪問控制，可以進(jìn)行越權(quán)訪問，造成不安全事故如果從終端操作平臺(tái)實(shí)施高等級(jí)防范，這些不安全因素將從終端源頭被控制。這種情況在工作流程相對(duì)固定的重要信息系統(tǒng)顯得更為重要而可行。在電子政務(wù)的內(nèi)外網(wǎng)中政務(wù)內(nèi)網(wǎng)與政務(wù)外網(wǎng)物理隔離，政務(wù)外網(wǎng)與Internet邏輯隔離要處理的工作流程都是預(yù)先設(shè)計(jì)好的操作使用的角色是確定的應(yīng)用范圍和邊界都是明確的這類工作流程相對(duì)固定的生產(chǎn)系統(tǒng)與Internet網(wǎng)是有隔離措施的，外部網(wǎng)絡(luò)的用戶很難侵入到內(nèi)部網(wǎng)絡(luò)來

，其最大的威脅是來自內(nèi)部人員的竊密和破壞。據(jù)統(tǒng)計(jì)計(jì)，80%的信信息安安全事事故為為內(nèi)部部人員員和內(nèi)內(nèi)外勾勾結(jié)所所為，，而且且呈上上升的的趨勢(shì)勢(shì)。因因此我我們應(yīng)應(yīng)該以以““防內(nèi)內(nèi)為主主、內(nèi)內(nèi)外兼兼防””的模模式，，從提提高使使用節(jié)節(jié)點(diǎn)自自身的的安全全著手手，構(gòu)構(gòu)筑積積極、、綜合合的安安全防防護(hù)系系統(tǒng)。。應(yīng)該：：強(qiáng)機(jī)制制、高高可信信、控控使用用、防防內(nèi)外外，積積極防防御二、可可信賴賴計(jì)算算環(huán)境境為了解解決PC機(jī)機(jī)結(jié)構(gòu)構(gòu)上的的不安安全，，從根根本上上提高高其安安全性性，在在世界界范圍圍內(nèi)推推行可可信計(jì)計(jì)算技技術(shù)1999年年由Compaq、、HP、IBM、Intel和Microsoft牽頭頭組織織TCPA(TrustedComputingPlatformAlliance)，目目前已已發(fā)展展成員員190家家，遍遍布全全球各各大洲洲主力力廠商商TCPA專專注于于從計(jì)計(jì)算平平臺(tái)體體系結(jié)結(jié)構(gòu)上上增強(qiáng)強(qiáng)其安安全性性，2001年年1月月發(fā)布布了標(biāo)標(biāo)準(zhǔn)規(guī)規(guī)范（（v1.1），，2003年3月改改組為為TCG(TrustedComputingGroup)其目的的是在在計(jì)算算和通通信系系統(tǒng)中中廣泛泛使用用基于于硬件件安全全模塊塊支持持下的的可信信計(jì)算算平臺(tái)臺(tái)，以以提高高整體體的安安全性性?？尚庞?jì)計(jì)算終終端基基于可可信賴賴平臺(tái)臺(tái)模塊塊（TPM）,以密密碼技技術(shù)為為支持持、安安全操操作系系統(tǒng)為為核心心（如如圖1所示示）安全應(yīng)用組件安全操作系統(tǒng)安全操作系統(tǒng)內(nèi)核密碼模塊協(xié)議棧主板可信賴BIOSTPM(密碼模塊芯片)圖1：可信賴計(jì)算平臺(tái)具有以以下功功能：：確保用用戶唯唯一身身份、、權(quán)限限、工工作空空間的的完整整性/可用用性確保存存儲(chǔ)、、處理理、傳傳輸?shù)牡臋C(jī)密密性/完整整性確保硬硬件環(huán)環(huán)境配配置、、操作作系統(tǒng)統(tǒng)內(nèi)核核、服服務(wù)及及應(yīng)用用程序序的完完整性性確保密密鑰操操作和和存儲(chǔ)儲(chǔ)的安安全確保系系統(tǒng)具具有免免疫能能力，，從根根本上上防止止病毒毒和黑黑客安全操操作系系統(tǒng)是是可信信計(jì)算算終端端平臺(tái)臺(tái)的核核心和和基礎(chǔ)礎(chǔ)，沒沒有安安全的的操作作系統(tǒng)統(tǒng)，就就沒有有安全全的應(yīng)應(yīng)用，，也不不能使使TPM發(fā)發(fā)揮應(yīng)應(yīng)有的的作用用三、安安全技技術(shù)保保障框框架對(duì)工作作流程程相對(duì)對(duì)固定定的重重要信信息系系統(tǒng)主要由由應(yīng)用用操作作、共共享服服務(wù)和和網(wǎng)絡(luò)絡(luò)通信信三個(gè)個(gè)環(huán)節(jié)節(jié)組成成。如如果信信息系系統(tǒng)中中每一一個(gè)使使用者者都通通過可可信終終端認(rèn)認(rèn)證和和授權(quán)權(quán)，其其操作作都是是符合合規(guī)定定的，，網(wǎng)絡(luò)絡(luò)上也也不會(huì)會(huì)被竊竊聽和和插入入，那那么就就不會(huì)會(huì)產(chǎn)生生攻擊擊性共共享服服務(wù)資資源的的事故故，就就能保保證整整個(gè)信信息系系統(tǒng)的的安全全可信終終端確確保用用戶的的合法法性和和資源源的一一致性性，使使用戶戶只能能按照照規(guī)定定的權(quán)權(quán)限和和訪問問控制制規(guī)則則進(jìn)行行操作作，能能做到到什么么樣權(quán)權(quán)限級(jí)級(jí)別的的人只只能做做與其其身份份規(guī)定定的訪訪問操操作，，只要要控制制規(guī)則則是合合理的的，那那么整整個(gè)信信息系系統(tǒng)資資源訪訪問過過程是是安全全的。?？尚判沤K端端奠定定了系系統(tǒng)安安全的的基礎(chǔ)礎(chǔ)應(yīng)用安安全邊邊界設(shè)設(shè)備（（如VPN安全全網(wǎng)關(guān)關(guān)等））保護(hù)護(hù)共享享服務(wù)務(wù)資源源，其其具有有身份份認(rèn)證證和安安全審審計(jì)功功能，，將共共享服服務(wù)器器（如如數(shù)據(jù)據(jù)庫服服務(wù)器器、WEB服務(wù)務(wù)器、、郵件件服務(wù)務(wù)器等等）與與非法法訪問問者隔隔離，，防止止意外外的非非授權(quán)權(quán)用戶戶的訪訪問（（如非非法接接入的的非可可信終終端））。這這樣共共享服服務(wù)端端主要要增強(qiáng)強(qiáng)其可可靠性性，如如雙機(jī)機(jī)備份份、容容錯(cuò)、、災(zāi)難難恢復(fù)復(fù)等，，而不不必作作繁重重的訪訪問控控制，，從而而減輕輕服務(wù)務(wù)器的的壓力力，以以防拒拒絕服服務(wù)攻攻擊采用IPSec實(shí)實(shí)現(xiàn)網(wǎng)網(wǎng)絡(luò)通通信全全程安安全保保密。。IPSec工工作在在操作作系統(tǒng)統(tǒng)內(nèi)核核，速速度快快，幾幾乎可可以達(dá)達(dá)到線線速處處理，，可以以實(shí)現(xiàn)現(xiàn)源到到目的的端的的全程程通信信安全全保護(hù)護(hù)，確確保傳傳輸連連接的的真實(shí)實(shí)性和和數(shù)據(jù)據(jù)的機(jī)機(jī)密性性、一一致性性，防止止非法法的竊竊聽和和插入入綜上所所述，，可信信的應(yīng)應(yīng)用操操作平平臺(tái)、、安全全的共共享服服務(wù)資資源邊邊界保保護(hù)和和全程程安全全保護(hù)護(hù)的網(wǎng)網(wǎng)絡(luò)通通信，，構(gòu)成成了工工作流流程相相對(duì)固固定的的生產(chǎn)產(chǎn)系統(tǒng)統(tǒng)的信信息安安全保保障框框架。。（如如圖2所示示）圖2：工作流程相對(duì)固定的生產(chǎn)系統(tǒng)安全解決方案全程IPSec

服務(wù)器安全邊界設(shè)備可信客戶端可信客戶端

全程IPSec

安全域一可信客戶端可信客戶端安全域二安全隔離設(shè)備全程IPSec要實(shí)實(shí)現(xiàn)現(xiàn)上上述述終終端端、、邊邊界界和和通通信信有有效效的的保保障障，，還還需需要要授授權(quán)權(quán)管管理理的的管管理理中中心心以以及及可可信信配配置置的的密密碼碼管管理理中中心心的的支支撐撐從技技術(shù)術(shù)層層面面上上可可以以分分為為以以下下五五個(gè)個(gè)環(huán)環(huán)節(jié)節(jié)：：應(yīng)用用環(huán)環(huán)境境安安全全應(yīng)用用區(qū)區(qū)域域邊邊界界安安全全網(wǎng)絡(luò)絡(luò)和和通通信信傳傳輸輸安安全全安全全管管理理中中心心密碼碼管管理理中中心心即：：兩兩個(gè)個(gè)中中心心支支持持下下的的三三重重保保障障體體系系結(jié)結(jié)構(gòu)構(gòu)對(duì)于于復(fù)復(fù)雜雜系系統(tǒng)統(tǒng)：：構(gòu)成成三三縱縱（（公公共共區(qū)區(qū)域域、、專專用用區(qū)區(qū)域域、、涉涉密密區(qū)區(qū)域域））三三橫橫（（應(yīng)應(yīng)用用環(huán)環(huán)境境、、應(yīng)應(yīng)用用區(qū)區(qū)域域邊邊界界、、網(wǎng)網(wǎng)絡(luò)絡(luò)通通信信））和和兩兩個(gè)個(gè)中中心心的的安安全全防防御御框框架架。。（（如如圖圖3所所示示））圖3：：信信息息安安全全技技術(shù)術(shù)保保障障框框架架應(yīng)用用環(huán)環(huán)境境安安全全：：包括括單單機(jī)機(jī)、、C/S、、B/S模模式式，，采采用用身身份份認(rèn)認(rèn)證證、、訪訪問問控控制制、、密密碼碼加加密密、、安安全全審審計(jì)計(jì)等等機(jī)機(jī)制制，，構(gòu)構(gòu)成成可可信信應(yīng)應(yīng)用用環(huán)環(huán)境境應(yīng)用用區(qū)區(qū)域域邊邊界界安安全全：：通過過部部署署邊邊界界保保護(hù)護(hù)措措施施控控制制對(duì)對(duì)內(nèi)內(nèi)部部局局域域網(wǎng)網(wǎng)的的訪訪問問，，實(shí)實(shí)現(xiàn)現(xiàn)局局域域網(wǎng)網(wǎng)與與廣廣域域網(wǎng)網(wǎng)之之間間的的安安全全。。采采用用安安全全網(wǎng)網(wǎng)關(guān)關(guān)、、防防火火墻墻等等隔隔離離過過濾濾機(jī)機(jī)制制，，保保護(hù)護(hù)共共享享資資源源的的可可信信連連接接網(wǎng)絡(luò)絡(luò)和和通通信信傳傳輸輸安安全全：：包括括實(shí)實(shí)現(xiàn)現(xiàn)局局域域網(wǎng)網(wǎng)互互聯(lián)聯(lián)過過程程的的安安全全，，旨旨在在確確保保通通信信的的機(jī)機(jī)密密性性、、一一致致性性和和可可用用性性。。采采用用密密碼碼加加密密、、完完整整性性校校驗(yàn)驗(yàn)和和實(shí)實(shí)體體鑒鑒別別等等機(jī)機(jī)制制，，實(shí)實(shí)現(xiàn)現(xiàn)可可信信連連接接和和安安全全通通信信安全全管管理理中中心心：：提供供認(rèn)認(rèn)證證、、授授權(quán)權(quán)、、實(shí)實(shí)施施訪訪問問控控制制策策略略等等服服務(wù)務(wù)密碼管理中中心：提供互聯(lián)互互通密碼配配置、公鑰鑰證書和傳傳統(tǒng)的對(duì)稱稱密鑰的管管理，為信信息系統(tǒng)提提供密碼服服務(wù)三種不同性性質(zhì)的應(yīng)用用區(qū)域在各各自采用相相應(yīng)的安