当前位置 :  > 内容

构建信息安全技术保障体系

来源:互联网 责编:ldzldz 作者: 时间:2007-09-13

国内的网络安全解决方案和产品与国外同类产品相比尚有一定差距,迫切需要加强信息安全的前瞻性研究,加强研究成果转化能力,加大产业化力度。

  因特网技术的飞速发展,为政治、经济、文化等社会领域带来更多的发展机遇,正在成为社会的信息基础设施,渗透到经济、文化等各个领域。由其催生的新型虚拟业务层出不穷,如电子商务、电子政府、网络医疗、网络银行、网络拍卖、网络视频、网络电话、网络出版、远程教育、虚拟数字图书馆等,推动起巨大的计算、通信、内容、消费等多项产业。

  但是,信息安全也同时面临严峻的挑战,研究信息安全对策迫在眉睫。网络信息安全已成为亟待解决、影响国家大局和长远利益的重大关键问题,它不但是发挥信息革命带来的高效率、高效益的有力保证,而且是对抗霸权主义、抵御信息侵略的重要屏障,信息安全保障能力是21世纪综合国力、经济竞争实力和生存能力的重要组成部分,是新世纪世界各国在奋力攀登的制高点。

  面临的挑战

  因特网存在多方面的问题:作为一个无主管的自由王国,存在着大量有害信息、非法联络和违规行为;作为一个不设防的网络空间,涉及到国家安全、企业利益和个人隐私问题;由于当前法律约束的脆弱性,存在着黑客犯罪、知识侵权、逃税避税等现象;由于因特网的国际性,使得过境信息控制、跨国打击犯罪等变得更加困难;多种文化传统、价值观、语言文字等产生民族化和国际化的冲突趋势越来越明显;地址空间、域名和带宽等网络资源日趋紧缺。

  因特网健康发展面临的最大问题主要是安全问题。包括黑客和计算机犯罪、有害信息污染、网络病毒蔓延、敏感信息失密等。网上黑客和计算机犯罪是因特网面临的最主要的安全威胁。网上攻击事件每年以数十倍的速度增长,黑客攻击手段不断翻新。在经济利益和政治利益的驱动下,政府和金融等企业成为犯罪分子最主要的攻击目标。据统计,美国由于网络安全问题造成的损失粗略估计每年高达几百亿美元。国内虽然没有权威的损失统计,但是数目肯定不会小。有害信息污染主要包括黄色信息、邪教信息、虚假新闻、暴力宣传、政治攻击等。病毒蔓延和破坏是当前非常普遍的安全威胁,数十年来,病毒数量呈几何级数增长,以木马、蠕虫为代表的网络病毒具有更大的破坏性。国家机密信息、企业关键信息和个人隐私被通过Web发布,电子邮件、文件等方式传送也受到仿冒、伪装、监听、篡改、抵赖等多种形式的安全威胁。

  分析众多网络安全存在的问题,一方面是由于网络自身的脆弱性所导致,如网络系统的漏洞、错误等安全脆弱点,另一方面是人为管理方面的原因,如安全意识、安全投入、安全监管等。

  因特网作为国家的重要基础设施,网络安全威胁给社会带来巨大冲击。网络安全问题正在日益得到应有的重视,并进入国家战略层的考虑。网络安全直接涉及政治安全、经济安全、社会稳定,世界各国纷纷召开网络安全相关高峰会议,制定网络安全战略框架,投入巨资开展网络安全技术和管理的研究与产品开发。

  采取的对策

  面对信息安全面临的威胁,我们应对信息安全进行全方位、多层次的系统分析,逐步构建信息安全技术保障体系,主要包括以下方面的思考:

  1、安全需求、风险与评估

  通过对机构重要性、业务敏感性、数据机密性等因素进行需求分析,对当前业务系统的各个环节进行威胁分析,对漏洞、隐患和弱点进行脆弱点分析,通过各种系统化的标准工具,如IDS量化安全评估、CRAMM风险分析和管理方法、SVI量化风险评估法、保证测度方法等进行风险分析,通过ITSEC、TCSEC、CC、IATF等标准进行安全评估。

  2、安全策略

  为了促进和保障网络信息化健康发展,安全策略的分析和制定至关重要。在制定安全策略的时候,要考虑在管理、法规、技术、基础设施方面的综合性防护;基于脆弱点、基线、安全强度均衡等方面的均衡性设计;考虑系统开销与风险承受能力平衡点的适度保护策略;从防护、检测到响应、恢复、反击的动态性防御过程;考虑内网、外网、因特网以及通信骨干线路的纵深性防御;结合网络协议层次进行全局性防御;贯穿实现意识、技能、普法、自律等人本思想。

  3、安全结构模型
 
  目前已经存在多种信息安全体系结构的模型。如基于网络安全服务的功能层次模型ISO7498-2(开放系统互联安全体系结构)、基于网络安全实体的安全结构模型DISSP/DGSA、基于网络安全过程的安全周期模型PDRR等。研究安全结构模型,为构筑合理的安全框架,进而合理部署安全服务提供了坚实基础。

  4、安全服务

  通过对各种形式的安全威胁和安全攻击的分析,我们可以概括信息安全应提供以下方面的核心安全服务:为防止信息泄漏和窃取,应提供机密性服务;为防止数据篡改和重放,应提供完整性服务;为防止身份假冒和伪装,应提供真实性服务;为防止行为抵赖和责任推卸,应提供抗否认服务;为防止服务拒绝和扰乱,应提供可用性服务;为防止信息非法使用和越权使用,应提供访问授权服务;为防止系统瘫痪和失效,应提供抗破坏性服务;为防止信息污染和诽谤,应提供防有害性服务;为防止隐蔽和毁灭行为痕迹而导致行为无法追查,应提供可核查性服务等。

  5、安全技术与产品

  解决网络安全问题的一个重要方面就是加强安全技术的研发与创新。这涉及到很多方面,主要包括风险控制、体系结构、协议工程、有效评估、工程方法等安全基础研究,以密码技术、内容安全、病毒防范、访问控制、入侵检测、审计日志、边界防卫等为代表的关键安全技术研究,以PKI、PMI、DRI、KMI、网络预警、集成管理为代表的系统类安全研究,以EC、EG、NB、NM、XML、CSCW等为代表的应用类研究,以物理识别为代表的物理与环境安全研究和以免疫技术、量子密码、语义理解识别为代表的前瞻性研究。这些不同层次的技术研究成果将转化成相应的安全产品,根据安全策略,将安全应用部署到合适的网络环境,为信息系统提供有效可靠的安全服务。

  目前比较系统化的安全技术研究和安全产品开发主要集中在以下方面:

  (1)密码技术。通过对具有特性的对称密码、公钥密码、HASH函数、消息认证码、数字签名等基础密码技术的研究,进一步扩展到安全密码协议的设计和实现,为安全技术、产品研发和应用提供强有力的理论支撑。密码技术的深入研究已经取得大量成果,被广泛应用在具有机密性、完整性、身份认证、抗否认等安全需求的系统中。通过密码技术可以实现信息加密、身份认证和数字签名等,目前的PKI/CA、PMI、动态口令、密码令牌、VPN等技术都是以密码技术为基础构建的,具有非常广泛的应用前途。

  (2)访问控制技术。基于ACL、LABEL、RBAC、PMI的访问控制用于解决对资源的合法访问。

  (3)网络边界防卫技术。主要包括防火墙、代理、网关等技术。

  (4)病毒防治技术。用于实现对病毒的预防、检查和清除。

  (5)隐患扫描技术。对系统存在的缺陷、后门和恶意代码嵌入进行扫描检查。

  (6)内容识别与过滤技术。通过关键字、特征、上下文和自然语言的有效识别,对内容访问进行控制。

  (7)网络实时监控与恢复技术。通过对网络状态的实时监控达到掌控网络运行的目的,在网络受到攻击和破坏时能及时恢复。

  (8)网络预警和网络攻击技术。预防网络可能遭受的攻击行为,追踪网络攻击,反击网络攻击。

  (9)内容保护技术。主要包括数字水印、安全容器等。

  (10)系统安全技术。主要包括操作系统安全、数据库安全、存储安全等方面。

  6.安全技术标准

  由于网络安全服务的部署和应用覆盖范围广,涉及实体多,安全技术的标准显得尤为重要。标准的范围涉及方方面面,针对广泛应用的密码技术,从密码算法到密码协议和基于密码的安全基础设施PKI/PMI,都有一系列的相关标准。这些标准大都由国际标准组织和国家标准化部门制定和实施。信息安全相关的国际著名标准化组织主要包括ISO/IEC、ITU-T、IETF等。美国的安全标准相对比较完善和成熟。以下举例说明相关的安全标准:

  (1)对称密码算法,如DES、3-DES、AES、RC4等。

  (2)公钥密码算法,如RSA等。

  (3)数字签名算法,如DSS等。

  (4)HASH算法,如MD5、SHA-1等。

  (5)密钥管理协议,如IEEE802.10、ISAKMP、IKE、KMI等。

  (6)安全电子邮件协议,如S/MIME、PGP、PEM等。

  (7)公钥基础设施,如ITU-T X.509、PKIX、XKMS等。

  (8)安全传输协议,如SSL/TLS、IPSEC、WTLS、SHTTP等。

  (9)安全登录协议,如RADIUS、AAA-DIAMETER等。

  (10)访问控制,如ACL、RBAC、AC等。

  (11)安全服务系统,如KERBER-OS、DSSA等。

  (12)安全评估,如TCSEC、CC等。

  (13)入侵检测,如CIDF等。

  (14)安全体系结构,如OSI 7498-2、DGSA、DISSP等。

  (15)内容分级,如PICS等。

  (16)WEB服务,如WS-Security等。

  我国在信息安全方面大都采用国际标准,也有相关的国家标准,但是我国在信息安全标准化方面还有很长的路要走。

  7.安全教育与法规

  先进的安全技术是防患于未然的有力保证,但是良好的安全意识、严格的安全管理和完善的安全法律法规必不可少。加强从业人员安全意识的教育和培训,并在安全技术实施中严格管理,是信息安全的最基本保证。安全法律法规的健全和完善将为实现信息安全提供约束,减少安全事件造成的损失。

  结束语

  网络安全是一个包括技术、产品和管理等诸多因素的综合性问题,目前国际上针对信息安全理论、技术和产品的研究普遍得到高度重视,已有众多的网络安全解决方案和产品,但由于出口政策和自主性等问题,我国的网络安全只能借鉴这些先进技术和产品,独立自主开展研究和开发。目前国内虽然已有一些较为成熟的网络安全解决方案和产品,但这些解决方案和产品与国外同类产品相比尚有一定差距,迫切需要加强信息安全的前瞻性研究,加强研究成果转化能力,加大产业化力度。信息安全保障是摆在政府、高校与科研机构、企业面前的一个重大课题。