【正文】 第 15章 信息安全解決方案 信息安全體系結(jié)構(gòu)現(xiàn)狀 網(wǎng)絡(luò)安全需求 網(wǎng)絡(luò)安全產(chǎn)品 某大型企業(yè)網(wǎng)絡(luò)安全解決方案案例 電子政務(wù)安全平臺(tái)實(shí)施方案 小結(jié) 習(xí)題 第 15章 信息安全解決方案 20世紀(jì) 80年代中期，美國(guó)國(guó)防部為適應(yīng)軍事計(jì)算機(jī)的保密需要，在 20世紀(jì) 70年代的基礎(chǔ)理論研究成果計(jì)算機(jī)保密模型 (Bell＆ Lapadula模型 )的基礎(chǔ)上，制定了“可信計(jì)算機(jī)系統(tǒng)安全評(píng)價(jià)準(zhǔn)則” (TCSEC)，其后又對(duì)網(wǎng)絡(luò)系統(tǒng)、數(shù)據(jù)庫(kù)等方面作出了一系列安全解釋，形成了安全信息系統(tǒng)體系結(jié)構(gòu)的最早原則。至今，美國(guó)已研制出符合 TCSEC要求的安全系統(tǒng)(包括安全操作系統(tǒng)、安全數(shù)據(jù)庫(kù)、安全網(wǎng)絡(luò)部件 )達(dá) 100多種，但這些系統(tǒng)仍有局限性，還沒(méi)有真正達(dá)到形式化描述和證明 第 15章 信息安全解決方案 1989年，確立了基于 OSI參考模型的信息安全體系結(jié)構(gòu)，1995年在此基礎(chǔ)上進(jìn)行修正，頒布了信息安全體系結(jié)構(gòu)的標(biāo)準(zhǔn)，具體包括五大類(lèi)安全服務(wù)、八大種安全機(jī)制和相應(yīng)的安全管理標(biāo)準(zhǔn) (詳見(jiàn) ) 20世紀(jì) 90年代初，英、法、德、荷四國(guó)針對(duì) TCSEC準(zhǔn)則只考慮保密性的局限，聯(lián)合提出了包括保密性、完整性、可用性概念的“信息技術(shù)安全評(píng)價(jià)準(zhǔn)則” (ITSEC)，但是該準(zhǔn)則中并沒(méi)有給出綜合解決以上問(wèn)題的理論模型和方案。近年來(lái)六國(guó)七方 (美國(guó)國(guó)家安全局和國(guó)家技術(shù)標(biāo)準(zhǔn)研究所、加、英、法、德、荷 )共同提出了“信息技術(shù)安全評(píng)價(jià)通用準(zhǔn)則” (CC for ITSEC)。 CC綜合了國(guó)際上已有的評(píng)測(cè)準(zhǔn)則和技術(shù)標(biāo)準(zhǔn)的精華，給出了框架和原則要求，但它仍然缺少綜合解決信息的多種安全屬性的理論模型依據(jù)。 第 15章 信息安全解決方案 標(biāo)準(zhǔn)于 1999年 7月通過(guò)國(guó)際標(biāo)準(zhǔn)化組織的認(rèn)可，被確立為國(guó)際標(biāo)準(zhǔn)，編號(hào)為 ISO/IEC 15408。 ISO/IEC 15408標(biāo)準(zhǔn)對(duì)安全的內(nèi)容和級(jí)別給予了更完整的規(guī)范，為用戶對(duì)安全需求的選取提供了充分的靈活性。然而，國(guó)外研制的高安全級(jí)別的產(chǎn)品對(duì)我國(guó)是封鎖禁售的，即使出售給我們，其安全性也 第 15章 信息安全解決方案 安全體系結(jié)構(gòu)理論與技術(shù)主要包括安全體系模型的建立及其形式化描述與分析，安全策略和機(jī)制的研究，檢驗(yàn)和評(píng)估系統(tǒng)安全性的科學(xué)方法和準(zhǔn)則的建立，符合這些模型、策略和準(zhǔn)則的系統(tǒng)的研制 (比如安全操作系統(tǒng)、安全數(shù)據(jù)庫(kù)系統(tǒng)等 )。 我國(guó)在系統(tǒng)安全的研究及應(yīng)用方面與先進(jìn)國(guó)家和地區(qū)存在著很大的差距。近幾年來(lái)，我國(guó)進(jìn)行了安全操作系統(tǒng)、安全數(shù)據(jù)庫(kù)、多級(jí)安全機(jī)制的研究，但由于自主安全內(nèi)核受控于人，難以保證沒(méi)有漏洞，而且大部分有關(guān)的工作都以美國(guó)1985年的 TCSEC標(biāo)準(zhǔn)為主要參照系。 第 15章 信息安全解決方案 開(kāi)發(fā)的防火墻、安全路由器、安全網(wǎng)關(guān)、黑客入侵檢測(cè)系統(tǒng)等產(chǎn)品和技術(shù)，主要集中在系統(tǒng)應(yīng)用環(huán)境的較高層次上，在完善性、規(guī)范性、實(shí)用性上還存在許多不足，特別是在多平臺(tái)的兼容性、多協(xié)議的適應(yīng)性、多接口的滿足性方面存在很大的差距，其理論基礎(chǔ)和自主的技術(shù)手段也有待于發(fā)展和強(qiáng)化。然而，我國(guó)的系統(tǒng)安全的研究與應(yīng)用畢竟已經(jīng)起步，具備了一定的基礎(chǔ)和條件。 1999年 10月，我國(guó)發(fā)布了“計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則”，該準(zhǔn)則為安全產(chǎn)品的研制提供了技術(shù)支持，也為安全系統(tǒng)的建設(shè)和管理提供了技 第 15章 信息安全解決方案 Linux開(kāi)放源代碼為我們自主研制安全操作系統(tǒng)提供了前所未有的機(jī)遇。作為信息系統(tǒng)賴以支持的基礎(chǔ)系統(tǒng)軟件 ——操作系統(tǒng)，其安全性是關(guān)鍵。長(zhǎng)期以來(lái)，我國(guó)廣泛使用的主流操作系統(tǒng)都是從國(guó)外引進(jìn)的。從國(guó)外引進(jìn)的操作系統(tǒng)，其安全性難以令人放心。具有我國(guó)自主版權(quán)的安全操作系統(tǒng)產(chǎn) 品在我國(guó)各行各業(yè)都迫切需要。我國(guó)的政府、國(guó)防、金融等機(jī)構(gòu)對(duì)操作系統(tǒng)的安全都有各自的要求，都迫切需要找到一 個(gè)既滿足功能、性能要求，又具備足夠的安全可信度的操作系統(tǒng)。 Linux的發(fā)展及其在國(guó)際上的廣泛應(yīng)用，在我國(guó)也產(chǎn)生了廣泛的影響，只要其安全問(wèn)題得到妥善解決，就會(huì)得到我 第 15章 信息安全解決方案 1. 由于重要信息可能會(huì)通過(guò)電磁輻射或線路干擾而被泄漏，因此需要對(duì)存放機(jī)密信息的機(jī)房進(jìn)行必要的設(shè)計(jì)，如 構(gòu)建屏蔽室、采用輻射干擾機(jī)等，以防止電磁輻射泄漏機(jī)密信息。 網(wǎng)絡(luò)安全需求 第 15章 信息安全解決方案 2. 網(wǎng)絡(luò)需要防范非法用戶的非法訪問(wèn)和合法用戶的非授權(quán)訪問(wèn)。非法用戶的非法訪問(wèn)也就是黑客或間諜的攻擊行為。在沒(méi)有任何防范措施的情況下，網(wǎng)絡(luò)的安全主要是靠主機(jī)系統(tǒng)自身的安全設(shè)置 (如用戶名及口令 )簡(jiǎn)單控制的。但對(duì)于用戶名及口令的保護(hù)方式，對(duì)有攻擊目的的人而言，根本就不是一種障礙。他們可以通過(guò)對(duì)網(wǎng)絡(luò)上信息的監(jiān)聽(tīng)或者通過(guò)猜測(cè)得到用戶名及口令，這對(duì)他們而言都不是難事，而且只需花費(fèi)很少的時(shí)間。因此，要采取一定的訪問(wèn)控制手段，防范來(lái)自非法用戶的攻擊，保證只有合法用戶才能訪問(wèn)合法資源。 第 15章 信息安全解決方案 合法用戶的非授權(quán)訪問(wèn)是指合法用戶在沒(méi)有得到許可的情況下訪問(wèn)了他本不該訪問(wèn)的資源。一般來(lái)說(shuō)，每個(gè)成員的主機(jī)系統(tǒng)中，有一部分信息是可以對(duì)外開(kāi)放的，而有些信息是要求保密或具有一定的隱私性的。 外部用戶被允許訪問(wèn)一定的信息，但他們同時(shí)有可能通過(guò)一些手段越權(quán)訪問(wèn)別人不允許他訪問(wèn)的信息，從而會(huì)造成他人的信息泄密， 因此必須加密訪問(wèn)控制的機(jī)制，對(duì)服務(wù)及 第 15章 信息安全解決方案 3. 加密需求與 CA 加密傳輸是網(wǎng)絡(luò)安全的重要手段之一。信息的泄漏很多都是在鏈路上被搭線竊取的，數(shù)據(jù)也可能因?yàn)樵阪溌飞媳唤孬@、被篡改后傳輸給對(duì)方，造成數(shù)據(jù)的真實(shí)性、完整性得不到保證。如果利用加密設(shè)備對(duì)傳輸數(shù)據(jù)進(jìn)行加密，使得在網(wǎng)上的數(shù)據(jù)以密文傳輸 (因?yàn)閿?shù)據(jù)是密文 )，那么即使在傳輸過(guò)程中被截獲，入侵者也讀不懂，而且加密還能通過(guò)先進(jìn)的技術(shù)手段對(duì)數(shù)據(jù)傳輸過(guò)程中的完整性、真實(shí)性進(jìn)行鑒別，從而保證數(shù)據(jù)的保密性、完整性及可靠性。因此，必須配備加密 第 15章 信息安全解決方案 網(wǎng)絡(luò)系統(tǒng)采用加密措施，而加密系統(tǒng)通常都通過(guò)加密密鑰來(lái)實(shí)現(xiàn)，但密鑰的分發(fā)及管理的可靠性卻存在安全問(wèn)題。為解決此問(wèn)題，提出了 CA系統(tǒng)的構(gòu)建，即通過(guò)信任的第三方 第 15章 信息安全解決方案 4. 防火墻是實(shí)現(xiàn)網(wǎng)絡(luò)安全最基本、最經(jīng)濟(jì)、最有效的措施之一。防火墻可以對(duì)所有的訪問(wèn)進(jìn)行嚴(yán)格控制 (允許、禁止、報(bào)警 )，但防火墻不可能完全防止有些新的攻擊或那些不經(jīng)過(guò)防火墻的其他攻擊。所以，為確保網(wǎng)絡(luò)更加安全，必須配備入侵檢測(cè)系統(tǒng)，對(duì)透過(guò)防火墻的攻擊進(jìn)行檢測(cè)，并做相應(yīng)的反應(yīng) (記錄、報(bào)警、阻斷 ) 第 15章 信息安全解決方案 5. 網(wǎng)絡(luò)系統(tǒng)和操作系統(tǒng)存在安全漏洞 (如安全配置不嚴(yán)密等 )等是使黑客等入侵者的攻擊屢屢得手的重要因素。入侵者通常都是通過(guò)一些程序來(lái)探測(cè)網(wǎng)絡(luò)中系統(tǒng)存在的一些安全漏洞，然后通過(guò)發(fā)現(xiàn)的安全漏洞，采取相應(yīng)的技術(shù)進(jìn)行攻擊，因此，必需配備網(wǎng)絡(luò)安全掃描系統(tǒng)和系統(tǒng)安全掃描系統(tǒng)來(lái)檢測(cè)網(wǎng)絡(luò)中存在的安全漏洞，并采取相應(yīng)的措施填補(bǔ)系統(tǒng)漏洞，對(duì)網(wǎng) 第 15章 信息安全解決方案 6. 病毒的危害性極大并且傳播極為迅速，必須配備從單機(jī)到服務(wù)器的整套防病毒軟件，實(shí)現(xiàn)全網(wǎng)的病毒安全防護(hù)。必須配備從服務(wù)器到單機(jī)的整套防病毒軟件，防止病毒入侵主機(jī)并擴(kuò)散到全網(wǎng)，實(shí)現(xiàn)全網(wǎng)的病毒安全防護(hù)，以確保整個(gè)單位的業(yè)務(wù)數(shù)據(jù)不受到病毒的破壞，日常工作不受病毒的侵?jǐn)_。 由于新病毒的出現(xiàn)比較快，因此要求防病毒系統(tǒng)的病毒代碼 第 15章 信息安全解決方案 7. 在網(wǎng)絡(luò)建設(shè)中必須部署漏洞掃描系統(tǒng)，它能主動(dòng)檢測(cè)本地主機(jī)系統(tǒng)存在安全性弱點(diǎn)的程序，采用模仿黑客入侵的手法對(duì)目標(biāo)網(wǎng)絡(luò)中的工作站、服務(wù)器、數(shù)據(jù)庫(kù)等各種系統(tǒng)以及路由器、交換機(jī)、防火墻等網(wǎng)絡(luò)設(shè)備可能存在的安全漏洞進(jìn)行逐項(xiàng)檢查，測(cè)試該系統(tǒng)上有沒(méi)有安全漏洞存在，然后就將掃描結(jié)果向系統(tǒng)管理員提