1、工程設計仿真網(wǎng)絡環(huán)境信息安全技術架構研究,中物院信息安全技術中心 姜建國,研究意義和應用前景,涉密內網(wǎng)雖然與因特網(wǎng)物理隔離，仍同樣面臨著漏洞、蠕蟲、病毒、木馬和后門等威脅。 目前，我院各所已建或擬建的工程設計仿真網(wǎng)絡是處理復雜設計、計算及仿真業(yè)務的計算機網(wǎng)絡, 正在成為我院武器工程研制的關鍵基礎設施，應用范圍也不斷深入和拓寬 ，建立相關信息安全保障體系成為必備條件之一。 工程設計仿真網(wǎng)絡環(huán)境有自身的特點，應用類別多，軟硬件環(huán)境復雜，異構、海量、集成，高密級等。 信息安全問題自身的復雜性使得單一功能性產(chǎn)品不勝負荷，如何從整體、從頂層設計、從體系的高度來考慮信息和信息系統(tǒng)的保障，是我們急需解決的問

2、題。,從體系高度來探討整體性信息安全技術架構，對于為工程設計仿真環(huán)境的安全保障提供整體解決方案和技術路線，解決目前簡單堆砌安全產(chǎn)品帶來的安全隱患，從而切實保障信息與信息系統(tǒng)的安全，具有重要的科學意義和現(xiàn)實意義。 面向工程設計仿真環(huán)境的信息安全技術架構及其系統(tǒng)的研究實現(xiàn)，主要構建高度可信的信任系統(tǒng)、高效的行為監(jiān)控系統(tǒng)以及相應的數(shù)據(jù)保護系統(tǒng)等。 對于有效防范涉密網(wǎng)絡的安全威脅，為實現(xiàn)網(wǎng)絡化設計、制造和數(shù)字軍工提供安全保障，具有重大的工程意義，并可以在我院的各類工程設計仿真網(wǎng)絡和各單位的內部科研辦公網(wǎng)絡提供借鑒和示范。,國內外研究現(xiàn)狀分析,90年代后期到現(xiàn)在，人們也開始認識到安全的概念已經(jīng)不局限于信

3、息的保護，人們需要的是對整個信息和信息系統(tǒng)的保護和防御，包括了保護、檢測、反應和恢復能力。于是出現(xiàn)了信息保障的概念。美國國家安全局制定的信息保障技術框架（IATF）則是這個時代的一個典型標志。 信息保障技術框架（IATF）的主要內容可以歸納為“三保衛(wèi)一支持”，即：保衛(wèi)網(wǎng)絡和基礎設施，保衛(wèi)邊界，保衛(wèi)計算環(huán)境，支持必要的安全基礎設施。 國家主管部門適時推出相應戰(zhàn)略舉措。我國從國家層面提出了加強信息安全保障的意見（中辦發(fā)200327號），中辦27號文提出了信息安全保障戰(zhàn)略方針是積極防御和綜合防范。,安全產(chǎn)品從功能性產(chǎn)品向體系化產(chǎn)品的轉化成為必然。安全廠商已經(jīng)開始把握新形勢下的網(wǎng)絡安全問題和用戶的最新

4、需求，正在開發(fā)相應的架構體系產(chǎn)品。 但是國內信息安全研究和市場發(fā)展的重點主要在于因特網(wǎng)、電子政務、金融、軍事指揮自動化等領域，而由于工程設計仿真網(wǎng)絡環(huán)境的復雜性和特殊性，不可能有現(xiàn)成的產(chǎn)品或解決方案能夠滿足需求。 我們必須結合實際網(wǎng)絡環(huán)境特點，在掌握先進、成熟的國內外技術的基礎上大膽探索、適時跟蹤、面向實際應用、加強合作交流，通過集成創(chuàng)新，設計實現(xiàn)能夠滿足需求的安全信任平臺，并在此基礎上構建網(wǎng)絡安全保障體系。,研究目標,預期通過集成創(chuàng)新和相關研究，實現(xiàn)下列目標： a）提出適用于工程設計仿真網(wǎng)絡的信息安全技術架構和相關網(wǎng)絡信任模型。 根據(jù)IATF的思想，在統(tǒng)一安全策略的基礎上，由安全支撐基礎設施

5、支持下的三重保障結構構成架構體系（可信的應用操作平臺、安全的服務資源邊界保護和全程網(wǎng)絡通信保護 ），并提出適用的信任模型。 b）建成一個面向工程設計仿真環(huán)境、基于網(wǎng)絡信任平臺、重點解決行為監(jiān)控和數(shù)據(jù)保護關鍵技術的信息安全架構原型系統(tǒng)。,研究內容,根據(jù)應用需求和研究目標，將對以下一些研究方向進行深入研究： 工程設計仿真網(wǎng)絡信任體系研究。 研究適合于工程仿真網(wǎng)絡的可擴展的信任體系模型； 研究適合于封閉內部網(wǎng)的公鑰體制及應用； 研究基于密碼技術的信任管理系統(tǒng)，實現(xiàn)身份認證、授 權管理、責任認定等功能； 行為監(jiān)控技術研究。 研究基于行為模式的監(jiān)控策略表示；,研究與工程仿真網(wǎng)絡物理結構和邏輯結構相 適應

6、的行為監(jiān)控體系結構； 研究用戶行為的監(jiān)控方法和技術； 研究基于行為監(jiān)控的數(shù)據(jù)保護方法； 數(shù)據(jù)保護技術研究。 研究工程設計仿真網(wǎng)絡數(shù)據(jù)保護體系結構； 研究工程設計仿真網(wǎng)絡中數(shù)據(jù)安全存儲和安全傳輸 技術解決方案。,關鍵技術,針對應用特點，將現(xiàn)有產(chǎn)品和技術有機結合，形成一個整體解決方案和技術體系，在網(wǎng)絡信任基礎平臺上實現(xiàn)行為監(jiān)控、數(shù)據(jù)保護等功能。 如何針對工程設計仿真網(wǎng)絡的環(huán)境和應用特點，結合相關技術，提出適用的信任模型和認證授權機制。 研究并實現(xiàn)一個可擴展的、分布式的策略框架系統(tǒng)，在異構互連的復雜系統(tǒng)的情況下，管理、發(fā)現(xiàn)和協(xié)商安全策略，以便管理、控制和發(fā)布統(tǒng)一的安全策略。 研究并開發(fā)在異構環(huán)境中有

7、一定通用性的安全中間件（安全構件）。,技術路線,針對工程設計仿真網(wǎng)絡與外部網(wǎng)絡物理隔離、各個子網(wǎng)絡具有明確物理邊界，以及可以采用秘密的或安全的密碼傳輸通道等特點，擬建立由信任體系支撐、統(tǒng)一安全策略管理下的信息安全技術架構。 這種體系架構以可信終端（例如新一代可信計算機）為末端設施，與已部署的、將部署的主要安全設施（如防火墻、入侵檢測等）密切協(xié)同，實現(xiàn)對訪問主體行為和被訪問客體屬性狀態(tài)的有效監(jiān)視和/或控制，達到數(shù)據(jù)保護、網(wǎng)絡運行有序和安全保密的目的。 針對工程設計仿真網(wǎng)絡的特點，項目擬綜合應用CPK/PKI技術、多因子身份鑒別技術、基于屬性的權限管理技術，完成基于統(tǒng)一安全策略的實體身份鑒別與權限

8、管理，從而建立起工程設計仿真網(wǎng)絡信任體系的基礎平臺。,主要技術關鍵設計思路,（1）工程設計仿真網(wǎng)絡的信任模型 在一個有邊界、有中心、存在秘密通道的內部環(huán)境中，規(guī)模化的密鑰管理是可以用簡化的方法來實現(xiàn)的，用以建立真正的信任系統(tǒng)。 實施網(wǎng)絡信任體系的基礎就是構建身份認證體系，需要建立數(shù)字證書認證中心，即CA中心，負責網(wǎng)絡上的身份證、工作證的管理。 由于我院工程設計仿真網(wǎng)絡是一個高密級的有組織的封閉內網(wǎng)，根據(jù)其自上而下的管理特性，采用單CA信任模型是實現(xiàn)最簡單也最有效的模型。通過這種主管方的單層管理結構,可以建立用戶和管理中心的直接級信任關系,管理、維護、操作十分簡便。,CA中心的實現(xiàn)采用集中式管理

9、模式，由主管部門頒發(fā)證書。 證書的功能要求：要滿足提供包括身份認證、授權管理、責任認定三個層次的安全服務的網(wǎng)絡信任體系建設的要求。 據(jù)了解，2004年7月，美軍開始使用一種計算機身份證，每名從事計算機網(wǎng)絡工作的人員，都要領取一種身份證，內置含有姓名、軍銜、指紋、序列號等信息的計算機芯片，,工作人員只有將身份證插入計算機終端設備，才能訪問和使用網(wǎng)上授權文件。此外，系統(tǒng)可以跟蹤登錄人員，了解他們使用的文件內容、性質。 （2）安全支撐基礎設施 CA中心：結合應用網(wǎng)絡特點，基于CPK或PKI技術構建。頒發(fā)網(wǎng)絡身份證/工作證。 信任管理系統(tǒng) ：網(wǎng)絡中的每個用戶都持有CA中心頒發(fā)的證書，以此為基礎可以設計

10、實現(xiàn)相應的網(wǎng)絡安全信任管理系統(tǒng)，實現(xiàn)身份認證、授權管理和責任認定。,安全策略管理系統(tǒng) :一個集成化的防衛(wèi)體系，遵循P2DR 模型，支持分布式結構，通過多種技術手段的融合幫助組織有效達成在物理、鏈路、操作、網(wǎng)絡、設備、系統(tǒng)、應用、數(shù)據(jù)及人員等方面的安全策略集中定制、自動分發(fā)和自動實現(xiàn)， 安全策略較之證書可以實現(xiàn)更細粒度的訪問控制，比如證書可以通過授權，控制進入信任域或服務器，而通過域策略或服務器策略可以控制對設備或文件資源的訪問。另外，安全策略可以更加靈活，由安全管理員負責，修改比較方便。,（3）行為監(jiān)控管理系統(tǒng) 監(jiān)控體系結構 ：按照行政或業(yè)務隸屬關系，將工程設計仿真網(wǎng)絡劃分成多個監(jiān)管域 ，形成

11、一種樹型監(jiān)控體系結構,如圖。 監(jiān)管中心是行為監(jiān)控的管理中心，對重要的管理操作采用口令分割、權限分割等技術，將單個管理員的管理權限限制到最小和必需的程度，防止單個管理員的違法操作對系統(tǒng)造成重大損失。監(jiān)管中心體系結構如圖所示。,(4) 數(shù)據(jù)保護 數(shù)據(jù)保護的層次結構 ：第一層次是通過物理安全措施，實現(xiàn)對存儲介質物理安全。通過管理策略與技術手段相結合，實現(xiàn)對存儲介質的訪問控制。第二層次是依據(jù)相關的密碼算法實現(xiàn)數(shù)據(jù)存儲的安全保護和數(shù)據(jù)傳輸過程中的安全，如圖。(特別需要針對移動存儲介質進行保護） 數(shù)據(jù)保護體系結構 ：與網(wǎng)絡行為監(jiān)控體系結構合并為網(wǎng)絡監(jiān)管體系結構 ，包括數(shù)據(jù)保護中心與網(wǎng)絡行為監(jiān)控中心實際合并為網(wǎng)絡監(jiān)管中心。,數(shù)據(jù)安全存儲和安全傳輸方法：通過建立的仿真網(wǎng)絡信任體系提供的相應密碼算法和認證機制，實現(xiàn)數(shù)據(jù)加密存儲和加密傳輸，如圖。 數(shù)據(jù)加密存儲和加密傳輸如圖所示的三大模塊組成。被監(jiān)管機代理模塊、數(shù)據(jù)服務器代理模塊和通信模塊。 被監(jiān)管機代理模塊接收應用程序對數(shù)據(jù)庫接口函數(shù)的調用，將這些調用向數(shù)據(jù)服務器代理進行轉發(fā)，并接收數(shù)據(jù)服務器代理送回的執(zhí)行結果，返回給應用程序。 數(shù)據(jù)服務器代理模塊