構(gòu)造積極防御的安全保障框架

構(gòu)造積極防御的安全保障框架第1頁，共30頁，2023年，2月20日，星期五一、對當(dāng)前信息安全系統(tǒng)

的反思

第2頁，共30頁，2023年，2月20日，星期五當(dāng)前大部分信息安全系統(tǒng)主要是由防火墻、入侵監(jiān)測和病毒防范等組成常規(guī)的安全手段只能是在網(wǎng)絡(luò)層（IP）設(shè)防，在外圍對非法用戶和越權(quán)訪問進(jìn)行封堵，以達(dá)到防止外部攻擊的目的對訪問者源端不加控制操作系統(tǒng)的不安全導(dǎo)致應(yīng)用系統(tǒng)的各種漏洞層出不窮，無法從根本上解決第3頁，共30頁，2023年，2月20日，星期五封堵的辦法是捕捉黑客攻擊和病毒入侵的行為特征，其特征是已發(fā)生過的滯后信息

第4頁，共30頁，2023年，2月20日，星期五惡意用戶的攻擊手段變化多端,防護(hù)者只能:防火墻越砌越高入侵檢測越做越復(fù)雜惡意代碼庫越做越大第5頁，共30頁，2023年，2月20日，星期五導(dǎo)致：誤報率增多，安全投入不斷增加維護(hù)與管理更加復(fù)雜和難以實施信息系統(tǒng)的使用效率大大降低對新的攻擊入侵毫無防御能力（如沖擊波）反思：老三樣、堵漏洞、作高墻、防外攻、防不勝防

第6頁，共30頁，2023年，2月20日，星期五產(chǎn)生安全事故的技術(shù)原因：PC機(jī)軟、硬件結(jié)構(gòu)簡化，導(dǎo)致資源可任意使用，尤其是執(zhí)行代碼可修改，惡意程序可以被植入病毒程序利用PC操作系統(tǒng)對執(zhí)行代碼不檢查一致性弱點，將病毒代碼嵌入到執(zhí)行代碼程序，實現(xiàn)病毒傳播黑客利用被攻擊系統(tǒng)的漏洞竊取超級用戶權(quán)限，肆意進(jìn)行破壞更為嚴(yán)重的是對合法的用戶沒有進(jìn)行嚴(yán)格的訪問控制，可以進(jìn)行越權(quán)訪問，造成不安全事故第7頁，共30頁，2023年，2月20日，星期五如果從終端操作平臺實施高等級防范，這些不安全因素將從終端源頭被控制。這種情況在工作流程相對固定的重要信息系統(tǒng)顯得更為重要而可行。第8頁，共30頁，2023年，2月20日，星期五在電子政務(wù)的內(nèi)外網(wǎng)中政務(wù)內(nèi)網(wǎng)與政務(wù)外網(wǎng)物理隔離，政務(wù)外網(wǎng)與Internet邏輯隔離要處理的工作流程都是預(yù)先設(shè)計好的操作使用的角色是確定的應(yīng)用范圍和邊界都是明確的這類工作流程相對固定的生產(chǎn)系統(tǒng)與Internet網(wǎng)是有隔離措施的，外部網(wǎng)絡(luò)的用戶很難侵入到內(nèi)部網(wǎng)絡(luò)來

，其最大的威脅是來自內(nèi)部人員的竊密和破壞。第9頁，共30頁，2023年，2月20日，星期五

據(jù)統(tǒng)計，80%的信息安全事故為內(nèi)部人員和內(nèi)外勾結(jié)所為，而且呈上升的趨勢。因此我們應(yīng)該以“防內(nèi)為主、內(nèi)外兼防”的模式，從提高使用節(jié)點自身的安全著手，構(gòu)筑積極、綜合的安全防護(hù)系統(tǒng)。應(yīng)該：強機(jī)制、高可信、控使用、防內(nèi)外，積極防御第10頁，共30頁，2023年，2月20日，星期五二、可信賴計算環(huán)境第11頁，共30頁，2023年，2月20日，星期五為了解決PC機(jī)結(jié)構(gòu)上的不安全，從根本上提高其安全性，在世界范圍內(nèi)推行可信計算技術(shù)1999年由Compaq、HP、IBM、Intel和Microsoft牽頭組織TCPA(TrustedComputingPlatformAlliance)，目前已發(fā)展成員190家，遍布全球各大洲主力廠商第12頁，共30頁，2023年，2月20日，星期五TCPA專注于從計算平臺體系結(jié)構(gòu)上增強其安全性，2001年1月發(fā)布了標(biāo)準(zhǔn)規(guī)范（v1.1），2003年3月改組為TCG(TrustedComputingGroup)其目的是在計算和通信系統(tǒng)中廣泛使用基于硬件安全模塊支持下的可信計算平臺，以提高整體的安全性。第13頁，共30頁，2023年，2月20日，星期五可信計算終端基于可信賴平臺模塊（TPM）,以密碼技術(shù)為支持、安全操作系統(tǒng)為核心（如圖1所示）

安全應(yīng)用組件安全操作系統(tǒng)安全操作系統(tǒng)內(nèi)核密碼模塊協(xié)議棧主板可信賴BIOSTPM(密碼模塊芯片)圖1：可信賴計算平臺第14頁，共30頁，2023年，2月20日，星期五具有以下功能：確保用戶唯一身份、權(quán)限、工作空間的完整性/可用性確保存儲、處理、傳輸?shù)臋C(jī)密性/完整性確保硬件環(huán)境配置、操作系統(tǒng)內(nèi)核、服務(wù)及應(yīng)用程序的完整性確保密鑰操作和存儲的安全確保系統(tǒng)具有免疫能力，從根本上防止病毒和黑客第15頁，共30頁，2023年，2月20日，星期五安全操作系統(tǒng)是可信計算終端平臺的核心和基礎(chǔ)，沒有安全的操作系統(tǒng)，就沒有安全的應(yīng)用，也不能使TPM發(fā)揮應(yīng)有的作用第16頁，共30頁，2023年，2月20日，星期五三、安全技術(shù)保障框架第17頁，共30頁，2023年，2月20日，星期五對工作流程相對固定的重要信息系統(tǒng)主要由應(yīng)用操作、共享服務(wù)和網(wǎng)絡(luò)通信三個環(huán)節(jié)組成。如果信息系統(tǒng)中每一個使用者都通過可信終端認(rèn)證和授權(quán)，其操作都是符合規(guī)定的，網(wǎng)絡(luò)上也不會被竊聽和插入，那么就不會產(chǎn)生攻擊性共享服務(wù)資源的事故，就能保證整個信息系統(tǒng)的安全第18頁，共30頁，2023年，2月20日，星期五可信終端確保用戶的合法性和資源的一致性，使用戶只能按照規(guī)定的權(quán)限和訪問控制規(guī)則進(jìn)行操作，能做到什么樣權(quán)限級別的人只能做與其身份規(guī)定的訪問操作，只要控制規(guī)則是合理的，那么整個信息系統(tǒng)資源訪問過程是安全的。可信終端奠定了系統(tǒng)安全的基礎(chǔ)第19頁，共30頁，2023年，2月20日，星期五應(yīng)用安全邊界設(shè)備（如VPN安全網(wǎng)關(guān)等）保護(hù)共享服務(wù)資源，其具有身份認(rèn)證和安全審計功能，將共享服務(wù)器（如數(shù)據(jù)庫服務(wù)器、WEB服務(wù)器、郵件服務(wù)器等）與非法訪問者隔離，防止意外的非授權(quán)用戶的訪問（如非法接入的非可信終端）。這樣共享服務(wù)端主要增強其可靠性，如雙機(jī)備份、容錯、災(zāi)難恢復(fù)等，而不必作繁重的訪問控制，從而減輕服務(wù)器的壓力，以防拒絕服務(wù)攻擊第20頁，共30頁，2023年，2月20日，星期五采用IPSec實現(xiàn)網(wǎng)絡(luò)通信全程安全保密。IPSec工作在操作系統(tǒng)內(nèi)核，速度快，幾乎可以達(dá)到線速處理，可以實現(xiàn)源到目的端的全程通信安全保護(hù)，確保傳輸連接的真實性和數(shù)據(jù)的機(jī)密性、一致性

，防止非法的竊聽和插入第21頁，共30頁，2023年，2月20日，星期五綜上所述，可信的應(yīng)用操作平臺、安全的共享服務(wù)資源邊界保護(hù)和全程安全保護(hù)的網(wǎng)絡(luò)通信，構(gòu)成了工作流程相對固定的生產(chǎn)系統(tǒng)的信息安全保障框架。（如圖2所示）

圖2：工作流程相對固定的生產(chǎn)系統(tǒng)安全解決方案全程IPSec

服務(wù)器安全邊界設(shè)備可信客戶端可信客戶端

全程IPSec

安全域一可信客戶端可信客戶端安全域二安全隔離設(shè)備全程IPSec第22頁，共30頁，2023年，2月20日，星期五要實現(xiàn)上述終端、邊界和通信有效的保障，還需要授權(quán)管理的管理中心以及可信配置的密碼管理中心的支撐從技術(shù)層面上可以分為以下五個環(huán)節(jié)：應(yīng)用環(huán)境安全應(yīng)用區(qū)域邊界安全網(wǎng)絡(luò)和通信傳輸安全安全管理中心密碼管理中心即：兩個中心支持下的三重保障體系結(jié)構(gòu)

第23頁，共30頁，2023年，2月20日，星期五對于復(fù)雜系統(tǒng)：構(gòu)成三縱（公共區(qū)域、專用區(qū)域、涉密區(qū)域）三橫（應(yīng)用環(huán)境、應(yīng)用區(qū)域邊界、網(wǎng)絡(luò)通信）和兩個中心的安全防御框架。（如圖3所示）第24頁，共30頁，2023年，2月20日，星期五圖3：信息安全技術(shù)保障框架第25頁，共30頁，2023年，2月20日，星期五應(yīng)用環(huán)境安全：包括單機(jī)、C/S、B/S模式，采用身份認(rèn)證、訪問控制、密碼加密、安全審計等機(jī)制，構(gòu)成可信應(yīng)用環(huán)境應(yīng)用區(qū)域邊界安全：通過部署邊界保護(hù)措施控制對內(nèi)部局域網(wǎng)的訪問，實現(xiàn)局域網(wǎng)與廣域網(wǎng)之間的安全。采用安全網(wǎng)關(guān)、防火墻等隔離過濾機(jī)制，保護(hù)共享資源的可信連接第26頁，共30頁，2023年，2月20日，星期五網(wǎng)絡(luò)和通信傳輸安全：包括實現(xiàn)局域網(wǎng)互聯(lián)過程的安全，旨在確保通信的機(jī)密性、一致性和可用性。采用密碼加密、完整性校驗和實體鑒別等機(jī)制，實現(xiàn)可信連接和安全通信安全管理中心：提供認(rèn)證、授權(quán)、實施訪問控制策略等服務(wù)密碼管理中心：提供互聯(lián)互通密碼配置、公鑰證書和傳統(tǒng)的對稱密鑰的管理，為信息系統(tǒng)提供密碼服務(wù)第27頁，共30頁，2023年，2月20日，星期五三種不同性質(zhì)的應(yīng)用區(qū)域在各自采用相應(yīng)的安全保障措施之后，互相之間有一定的溝通，需要采用安全隔離和信息交換設(shè)備進(jìn)行連接第28頁，共30頁，2023年，2月20日，星期五