构建企业信息安全保密技术防范体系.doc

.构建企业信息安全技术防范措施杜洪伟天津第七市政公路工程有限公司，天津（300113）摘 要：随着计算机网络的快速发展，网络资源共享也更加广泛。计算机网络面临着信息泄露、黑客攻击、病毒感染等多种威胁,信息安全保密工作面临着严峻挑。本文结合我国企业信息安全保密工作的相关要求和实际情况，从技术防范的角度出发，对保障网络的信息安全进行了分析，探讨了构建满足企业信息安全保密工作需要的防范措施。关键词：企业信息化；信息安全保密；技术防范措施； 1 引言信息网络国际化、社会化、开放化和个人化的特点, 决定了,它在给人们提供高效率、高效益、高质量的信息共享的同时,也投下了不安全的阴影。随着企业和人民对网络环境和网络资源依赖程度的不断加深, 信息泄露、黑客入侵、计算机病毒传播甚至于威胁信息安全的问题会出现得越来越多。因此，如何在企业机构中做好信息安全保密工作，事关企业发展的战略安全与重要利益。试想一下如果有关我国企业技术研究的重要信息系统安全遭到泄漏、破坏，那么就会对我国企业技术研究开发的各方面工作造成严重影响，使企业在该技术领域的研究陷于被动的处境，甚至会牵连整个社会和经济的发展进程，引致灾难性的经济损失后果。总之，在企业机构中做好信息安全保密工作是一项系统工程，本文从技术角度出发，以未雨绸缪，预防为主，兼顾防御及修复的原则为指导，加强信息安全保密工作的重要意识，在构建防范体系的过程中把该安全意识落实到每个技术细节上。最终构建一个系统、全面、可靠、有针对性的技术防范体系。2 网络信息安全问题信息安全实质上是信息系统安全，信息系统主要由计算机系统构成，包括软件、硬件等。国际标准化组织( ISO) 将信息安全定义为: 为数据处理系统建立和采取的技术和管理的安全保护, 保护计算机硬件、软件数据不因偶然和恶意的原因而遭到破坏、更改和泄露。网络信息安全面临的威胁是多方面的, 具有无边界性、突发性、蔓延性和隐蔽性等新的特点。网络模糊了地理、空间上的边疆概念, 使得网上的冲突和对抗更具隐蔽性。对计算机网络的攻击往往是在没有任何先兆的情况下突然发生的, 而且会沿着网络迅速蔓延。对网络信息安全防御的困难还在于, 一个攻击者仅需要发起一个成功的攻击, 而防御者则需要考虑所有可能的攻击; 而且这种攻击是在动态变化的。因此,需从技术上采取综合、系统性的多种措施构建技术防范体系。信息安全是一个综合、交叉的学科领域,要涉及到安全体系结构、安全协议、密码理论、信息分析、安全监控、应急处理等各个方面, 还要利用数学、电子、信息、通信、计算机等诸多学科的长期知识积累和最新发展成果。信息安全要综合利用数学、物理、通信和计算机诸多学科的长期知识积累和最新发展成果, 进行自主创新研究, 加强顶层设计, 提出系统的、完整的, 协同的解决方案。实际上不论是局域网还是广域网, 都是一种系统, 所以系统安全问题的解决, 必然是一项系统工程, 必须采用系统工程学的方法、运用系统工程学的原理来设计网络信息安全体系。解决网络信息安全的基本策略是技术、管理和法制并举。技术是核心, 要通过关键技术的突破, 构筑起国家信息安全技术防范体系。管理是关键, 根据木桶原理, 信息安全链条中任何一个环节的脆弱都有可能导致安全防护体系的失效, 必须要加强各管理部门和有关人员间的密切合作。法制是保障, 通过建立信息安全法规体系, 规范信息化社会中各类主体的行为, 以维持信息化社会的正常运作秩序。3.信息安全的技术体系构成3.1信息安全技术基础3.1.1边界隔离技术边界隔离包括逻辑隔离、物理隔离、信息过滤、入侵检测、防火墙、防病毒网关等，其实就是一种用于信息系统边办防护的安全技术，以阻止来自网络系统外部的各种攻击。运用该项技术首先要明确系统的边界，这又包括信息系统的外部边界和信息系统各个安全域的内部边界。设置边界隔离防护保护信息系统的第一道关卡。3.1.2访问控制技术访问控制以授权管理为基础，通过对信息系统中主、客体之间的访问关系进行控制，对主体行为进行限制、对客体安全性进行保护的技术。访问控制有两种：（1）自主访问控制技术自主访问控制是指由用户按照自己的意愿对访问权限进行控制。这些访问权限包括允许或者拒绝访问者对系统客体进行读、写、修改、删除等操作。实现自主访问控制比较常见的方法有形式各样的访问控制表（ACL），目录表访问控制、访问控制矩阵、能力关系表等等。（2）强制访问控制技术按照系统确定的规则对每一个访问者所建立的客体的访问权限进行控制，就是强制访问控制。其中包括主体对客体读、写、修改、删除等氢氧化物。现在常见的强制访问控制分为基于多级安全模型的访问控制和基于角色的访问控制。多级安全模型中，信息保密性模型用来实现保密性，信息完整性模型是用来实现完整性保护。强制访问控制一般按照最小授权原则，对系统管理员、系统安全员和系统审计员的权限进行合理分配管理。3.1.3标识鉴别技术标识分为访问者设备标识。访问者标识保证了系统中访问者的唯一性，该唯一性在信息系统的整个生命周期起作用，从而支持了系统安全事件的可审计性；而设备标识确保了连接到系统中设备的可管理性。用户鉴别用以确认试图进入系统的用户身份的真实性，防止攻击者冒充合法用户进入系统；设备鉴别用以确认连接系统设备身份的真实性，防止非法设备接入。3.1.4安全运行保护技术为了确保信息系统能安全运行，以及系统所提供的安全功能达到应有的可用性要求，可运用以下技术：（1）安全审计技术该技术是对信息系统运行过程中的每一个安全相关事件，提供审计支持。审计机制能及时发现 并记录各种安全事件有关的行为，不论是成功的还是失败的，并根据不同安全等级的要求，对发现的安全事件作出相应的处理。（2）安全性检测技术为了保证信息系统能够正常完成日常工作，应定期或不定期进行信息系统安全性检测分析，发现存在的问题和漏洞。因此，安全性检测分析机制应提供对信息系统各重要组成部分，如操作系统、硬件系统、数据库管理系统、应用软件系统、网络的各关键设备，提供安全性检测分析功能。（3）系统安全监控技术对运行中的信息系统，应实时地进行安全监控，及时发现并处理各种攻击和入侵。可通过设置分布式探测机制检测并截获与攻击和入侵有关的信息，并在综合分析的基础上对攻击和入侵事件作出处理。3.1.5信息隐藏技术为基础，融合分散隐藏、溶解隐藏和移动隐藏等技术以及所提供的安全服务，共同组成了安全基础设施。通过这些设施可以实现对身份鉴别、访问控制、真实性、抗抵赖性、数据完整性、保密性的支持，还能对被毁坏的局部系统的恢复提供有力支持。3.1.6密码技术根据本部门信息系统安全保护工作的要求，配置相应的密码技术。合理使用密码技术能为确保信息系统安全提供有力保障。使用密码技术可实现数据加密、数字签名、身份认证、权限验证、数据完整性验证等。3.2企业机构信息安全所面临的威胁及相应技术防范体系3.2.1信息系统所面临的威胁目前对于企业机构信息安全保密工作构成的威胁主要存在于计算机及网络系统中，其表现 要有以下几种：首先最现实最直接的威胁是计算机病毒。随着计算机与网络技术的不断创新以及由此而带来的巨大商业、社会价值，病毒的泛滥大有愈演愈烈之势，其危害的深度、广度和力度也越来越大。流行广泛、各类繁多、潜伏期长、破坏力大，对储存了大量科研数据的计算机信息系统构成了长期与现实的威胁。其次就是黑客入侵。通过技术手段，非法侵入计算机信息系统，获取秘密信息或有选择地破坏信息的有效性与完整性。这是当前企业机构计算机信息系统所面临的最大威胁。黑客除了在网上编写程序利用软件进行直接的攻击和破坏，还采用信号截取和声像外露信号来获取秘密信息。再者就是存储介质失密，特别是随着移动存储介质的广泛使用，使得利用存储介质窃取信息的事件日益增多。如涉密的优盘、硬盘、光盘、笔记本电脑等。系统漏洞，软件是编程人员设计编写的，有时因为疏忽，有时为了自便而专门设置，总是或多或少存在一些大大小小的漏洞。因此没有无懈可击，天衣无缝的软件系统。利用计算机操作系统、信息管理系统、网络系统的自身安全漏洞，进行窃取与破坏活动。非法访问，企业机构以外人员利用非法手段进入安全保密防范措施不完善的信息系统，对企业信息系统进行的破坏活动。另外还有人为因素。例如个别人员利用合法身份与国外的网络非法连接，或者使用随身携带的摄像等装备进行的窃取行为。以上所列举的情况是目前存在于企业机构的主要信息安全威胁，针对上述威胁我们应构建有针对性的、强健的技术防范体系。3.2.2构建有针对性的技术防范体系构建符合企业机构工作特点且有针对性的信息安全保密技术防范体系，实际上就是从信息系统和信息网络的不同层面保证信息的机密性、完整性、可用性、可控性，进而保障信息系统的安全，提高信息系统及网络的防御能力。安全保密技术是随着信息技术、网络技术，以及各种入侵技术的发展而不断完善和提高的，不断采用一些最新的安全防护技术，可以极大地弥补传统安全防护手段存在的不足。因此，信息安全保密的技术防范体系，是构建整个信息安全保密体系的重要组成部分，在资金允许和技术可行的条件下，应该尽可能采用先进的、且经得住实践检验的技术防护手段，这样才能有效抵御不断出现的信息安全威胁。（1）物理安全防护物理安全防护主要指内网借助于某些网络设备及软件系统等方式间接地连接到外网，另外还包括对网络设备保护层及电磁辐射的物理防护。物理安全防护的方法有以下几种：1)抑制电磁泄漏（即TEMPEST技术）是物理安全防护的一个重要问题。目前主要防护措施有两类：一类是对传导发射的防护， 主要对电源线和信号线加装性能良好的滤波器，减小传输阻抗和导线间的交叉耦合。另一类是对辐射的防护，既要采用各种电磁屏蔽手段，还要应对可能出现的干扰。2）网络隔离卡：在终端机上加装网络安全隔离卡，并额外配备1块硬盘，这样就能根据使用者的需求，灵活切换内外网。3）最直接的方法应是一人双机：如果经济条件允许，给专业管理人员配备2台终端机，1台接外网，1台只接内网。（2）防火墙目前，常见的防火墙主要有三类：1）应用代理型防火墙是内部网与外部网的隔离点，起着监视和隔离应用层通信流的作用。2）包过滤型防火墙：数据分组的过滤或包过滤，其中包过滤原理和技术可以认为是各种网络防火墙的基础构件。3）综合型防火墙将数据包过滤和代理服务结合起来使用。混合使用数据包过滤技术、代理服务技术和其他一些新技术将是未来防火墙的发展趋势。（3）抗攻击、防病毒网关在通讯网络中使用抗攻击防病毒网关可以有效避免“拒绝服务攻击（DoS）”和“连接耗尽攻击”等网络攻击，用户只需将其架设在路由器之前就可以使用，依靠独立的监控系统就能实时监控和报警，并给出安全事件报告。包括对网页访问过滤、网络应用控制、带宽流量管理、信息收发审计、用户行为分析等等。目前，攻击防病毒网关的类型主要有指纹识别、免疫型网关等。特别需要指出的是指纹识别需要大量消耗CPU和内存才能计算识别出攻击，然后再给出过滤规则，这种机制本身就容易遭受拒绝服务攻击，因此，免疫型抗攻击防病毒网关才是今后的发展趋势。（4）虚拟专用网（VPN）为了满足当今社会经济不断发展对企业机构科技术研究提出的众多需求，企业机构需要加强分布在全国各城市分支机构之间的联系有业务往来，这样通信需求就比较迫切，而分支机构的数量日渐增多且大部分布在不同区域，跨度较大，如何在各分支机构之间保持良的业务通讯来往，获得如内部局域网般的便捷。使用公用的互联网来进行通信，不能保证信息安全且效率很低。而架设或租用电信服务商的专用线路，成本相当高，易造成当费。使用VPN（virtual private network）即虚拟专用网则是解决这一问题的有效方法。VPN采用IPSec协议在公众网络上建立了一条逻辑上的专用连接，使得用户在异地访问内网时，就如同在本地访问一样，同时，还不用担心泄密的问题。（5）入侵检测、防御技术（IPS、IDS）入侵检测是对入侵行为的发觉，是一种能增强系统安全的有效方法，通过该技术能检测出系统中违背安全规则或者威胁到系统安全的活动。入侵防御技术则能够提供进一步的防御机制，抵制一些非法访问的进入。（6）漏洞扫描技术所谓的漏洞扫描就是对计算机信息系统的端口等进行扫描，发现其中可能被黑客利用的漏洞，并给出警示和报告。漏洞扫描的结果实际上就是系统安全性能的一个评估报告，它指出了哪些攻击是可能会出现的，起到了预防机制的作用。别外，随着计算机网络系统攻击对战的不断升级及信息技术、电子技术的不断创新，应根据工作需要定期或不定期为信息安全保密技术防范体系进行技术升级必要时，要及时淘汰出现重大漏洞的某些防护技术。信息安全保密技术防范体系不是封闭不变的，而是一个跟外界联系密切并动态发展的系统。4结束语企业机构承担着国家科技研究事业的许多重要工作，技术研究、科技创新、技术保密、科研应用等一系列工作都需要有安全的信息系统作保障，因此做