建设网络信息安全保障体系的新思路

建设网络信息安全保障体系的新思路 建设网络信息安全保障体系的新思路侯安才,徐莹(浙江万里学院商学院浙江宁波315100)摘要:从网络信息系统的结构出发,把通用网络信息系统分为:基础设施、支持平台、应用系统3个层次,并对各层的信息安全需求、安全技术进行了分析论述,从宏观全局的角度提出网络信息保障体系建设的新思路。 关键词:网络;信息资源;安全技术;信息安全保障体系:TP393108:B:1004373X (xx)0304804A NewThinking aboutthe Development ofNetwork InformationSafety SystemHOUA ncai,XU Ying(Business School,ZhejiangW anliUniversity,N ingbo,315100,China)Abstract:This textis fromthe constructionof workinformation system,and thestructure isdivided intothree levels:basisequipment system,supports system,and application system1It analysiseach layeredthe safetyneed,safety technology1Thenfrom themacroscop icoverall situation,bring upthe neww ayof thedevelopment ofthe workinformation safetysystem1Keywords:work;information resources;safety technique;information saftysystem:xx10081引言网络信息系统的应用已深入到社会生产、人类生活的各个层面。 政府、银行、证券、教育等行业已与网络密不可分。 电子商务系统、电子政务系统、企业信息管理系统、社区信息系统、电子邮件系统等信息系统的应用已十分普及,网络信息的安全可靠就成为网络信息系统成败的关键。 一套科学、合理、完整、有效的网络信息安全保障体系,就成为网络信息系统设计和建设者们追求的主要目标。 信息安全是整个网络系统安全设计的最终目标,信息系统安全的建立必须以一系列网络安全技术为基础。 但信息系统是一个综合的、动态的、多层次之间相结合的复杂系统,只从网络安全技术的角度保证整个信息系统的安全是很困难的,网络信息系统对安全的整体需求是任何一种单元安全技术都无法解决的。 因此对信息系统的安全方案的设计必须以科学的安全体系结构模型为依据,才能保障整个安全体系的完备性、合理性。 通常一个网络信息系统的结构可以分为3个层次: (1)由内部网络的机房系统、主机系统、终端设备、交换设备等组成的局域网以及与外网连接的防火墙、路由器、代理服务器等设备和线路连接设备等组成的硬件系统提供网络传输、运行的平台,称为基础设施层。 (2)运行在物理层之上的为信息应用系统提供系统支持平台的操作系统、数据库系统、安全密匙系统等为应用系统提供运行平台和安全保障,称为系统支持平台。 (3)运行在此基础上的信息系统包括服务器应用系统、客户端应用系统、数据交换系统的应用系统,称为应用层。 在信息系统的层次结构中,每层都有相应的安全保障需求和安全保障技术,可以根据网络信息系统的层次结构来考虑网络信息安全保障体系的建设,该体系模型由安全基础设施层、安全应用支撑平台层、信息资源应用层3个层面描述,且在每个层面上,都包含安全管理和安全策略的内容。 该框架在整体上表现如图1所示。 2信息安全保障体系的3层结构211基础设施安全体系的建设在整个体系中建设的基础就是信息系统安全基础设施。 在信息安全基础设施的建设中包含:物理环境安全基础设施、网络安全基础设施、系统安全、公钥84侯安才等:建设网络信息安全保障体系的新思路?1994-xxChina AcademicJournal ElectronicPublishing House.All rightsreserved.ki.基础设施。 图1网络信息系统安全保障体系结构图21111物理环境安全基础设施对于系统的物理环境安全基础设施的建设主要从如下几个方面来规划与建设: (1)严格的机房出入控制包括根据信息系统中各功能单元的安全级别来合理的安排机房访问层次划分;部署门警系统、部署监控系统来杜绝对机房的非法访问 (2)机房建设中遵循的标准对于电子政务建设中涉及的机房建设应严格遵循国家颁布的相关建设标准,如防静电标准、接地标准、湿度控制、抗电磁干扰等标准均是在机房建设中应该遵循的安全标准,杜绝由于机房建设中的不标准给系统建设带来的安全风险。 (3)电力系统的保护建立全系统的持续电力供应系统;配备合适功率的U PS电源。 (4)消防系统的建设为防止由于火灾给系统带来的严重安全损害,在机房建设中应充分考虑机房消防系统的建设,如机房建筑上的防火措施;设置报警设备和灭火设备;加强防火管理。 (5)物理线路安全保护对于物理线路的安全保护是保证信息系统持续安全、运行的关键,如建立防电磁泄漏系统、物理线路的备份保护等。 21112网络安全基础设施作为信息系统的基础,保证网络设施的安全也是整个信息安全保障体系的关键。 对于整个系统网络应该从如下4个方面来规划和建设: (1)安全的网络设备的使用在构建系统网络时,在设备选择时尽可能选择一些带安全功能的网络接入设备,如安全路由、支持VLAN的交换机、支持X1509数字证书的路由和交换设备等。 (2)网络隔离系统的建设对于整个网络区域在根据系统的密级要求划分不同的信任域后,各信任域之间必须建立有效的隔离系统来保证各信任域的有效性,在保证安全性的同时又保证各信任域之间信息的可控交换,如在电子政务的外网与内网、一级中心与下级政府、政府中心与各部门信息中心的接入部分采用防火墙来进行逻辑隔离;而内网与核心网络采用物理线路的隔断、物理隔离卡、GA P等隔离方式。 (3)网络检测系统的建设网络的安全防御是基础,为提高整个网络对安全攻击的响应、系统的整体安全效率,一般在电子政务网络安全基础设施的建设中会增加网络检测系统。 一般包括I DS系统、基于网络的安全审计系统、基于网络的漏洞扫描系统、网页监控系统、非法外联监控系统、防水墙系统等。 如:在政府外网、内网中增加I DS系统来实时检测外部的非法访问行为,通过与防火墙的联动来提高整个防御体系的防护能力;在内外网增加基于网络的安全审计系统用于监视并记录网络中的各类操作,实时地综合分析出网络中发生的安全事件,外部事件如外部入侵行为和内部事件等;在内网增加基于网络的安全扫描,扫描设定网络内的服务器、路由器、网桥、变换机、访问服务器、防火墙等设备的安全漏洞;增加网页监控系统保证内外网中W eb服务对黑客攻击的响应等。 (4)容错系统的建设在系统中另外一个重要的安全措施就是对系统容错保护,如建立备份线路来保证由于线路故障引起的网络不通、建立备份设备保证由于单点故障引起的系统服务中断;建立数据的备份体系来保证系统中断后及时的系统恢复等。 212支持平台安全体系的建设对于电子政务信息系统中使用的基础软件(操作系统、数据库、应用开发的中间件等)平台的安全保障在电子政务建设中也是安全保障体系建设中的关键点。 21211操作系统安全建设操作系统的安全实现就是作为平台基础软件,是应用安全的基础环节,这些系统由于存在的安全漏洞最终会导致整个系统平台的安全隐患。 对于操作系统(W indowsU nixL inux)一般在系统建设时从如下几个方面来考虑其安全性: (1)安装最新的patch,防止已知漏洞对系统造成危害。 (2)禁止不必要的网络服务和不必需的端口,不给非法入侵者可乘之机。 (3)尽可能不在服务器上使用IE浏览器,并将IE浏览器卸载,如一定要使用,必须打上最新的patch。 (4)关闭不安全的系统用户(如guest用户),正94现代电子技术xx年第3期总第170期信息与安全?1994-xxChina AcademicJournal ElectronicPublishing House.All rightsreserved.ki.确设置系统默认共享目录的权限。 (5)修改注册表的相关项目,用以抵御D1o1S攻击。 (6)设置正确、完善的系统用户权限,防止用户权限的滥用。 (7)实施严格的安全策略如:帐户策略、密码策略、事件审核策略等。 (8)配置正确的系统审核功能,对异常事件的记录为系统管理员提供相关线索。 (9)实施必要的防病毒软件。 (10)其他网络方面的安全增强设置,做性能优化配置。 21212数据库安全建设数据库的安全实现就是要保护数据库中存储的数据不被非法访问,维护数据的完整性和一致性,并保证在异常发生时最大限度地恢复数据;防止数据库管理员非法篡改数据库中的数据或非法窃取用户资料;防止数据库系统软件因可能存在的后门或其他缺陷引起用户数据失密。 基于以上对数据库及其中存储的数据的安全性考虑,通过技术制度手段从以下几个方面规避数据库的安全风险:实现环境安全;实现主机系统安全;进行用户认证;进行访问控制;保证数据传输安全;保证数据库运行稳定性;加强数据库操作审计。 21213系统安全建设网络系统安全是整个安全保障体系中支持平台建设的关键;针对网络系统安全涉及到的数据的完整性、机密性保护,对系统使用者的有效身份识别、对操作者操作行为的可确认性;在现有的技术解决模式中使用基于数字证书的方式是建设信息安全基础设施的最佳解决方案。 在网络系统安全的建设中建设内容包括: (1)公钥基础设施(PK I)主要在分布式计算环境中提供数据机密性、完整性、用户身份鉴别和行为的不可抵赖等基础安全功能。 公钥基础设施构建的关键是PK I技术,国际上许多国家已经在这方面展开了研究和开发,部分发达国家已有较成功的应用实例并已提出了本国的PK I技术标准体系。 我国PK I技术的研究虽然起步较晚,但由于跟踪及时、发展的起点高,在PK I领域的研究还是具有相当基础的。 我国PK I技术体系的标准化工作和适合我国电子政务特点的公钥基础设施体系的运行管理机制也正在进行。 他由数字证书签发机构(CA)、数字证书注册机构(RA)、密钥管理机构(KM C)、证书发布机构等部分组成。 (2)授权管理基础设施(PM I)主要提供分布式计算环境中应用系统的访问控制功能,可将访问控制机制从具体应用系统的开发中分离出来,使访问控制机制与应用系统之间能灵活而方便地结合。 授权管理基础设施构建的关键是PM I技术。 PM I通过颁发属性证书与CA机构颁发的身份证书配合,实现对用户访问资源的权限控制。 PM I主要功能是制定用户、资源和权限策略及映射关系,并根据策略颁发和管理各种属性证书。 他由属性证书、属性权威机构(AA)、授权策略机构(PA)、用户权限管理机构(U PA)和属性证书发布系统5部分组成。 PK I与PM I之间的关系是:PM I主要进行授权管理,证明这个用户有什么权限,能干什么,即“你能做什么”;PK I主要进行身份鉴别,证明用户身份,即“你是谁”。 他们之间的关系类似于护照和签证的关系。 护照是身份证明,惟一标识个人信息,只有持有护照才能证明你是一个合法的人。 签证具有属性类别,持有哪一类别的签证才能在该国家进行哪一类的活动。 213应用信息安全体系的建设一般地,完整的信息系统中包括了多种应用系统,各应用系统之间相互连接,实现资源共享,但由于在实际系统建设中,各应用系统没有进行统一的规划与管理,在整体应用构架上存在一定的安全漏洞和隐患,因此必须建立一套合理的应用系统安全平台。 统一应用安全平台以数据交换安全平台为核心,形成如图2所示的基本结构。 图2应用安全平台的结构图统一应用安全平台构筑在PK IPM I平台基础之上,由3个主要部分组成: (1)数据交换安全平台是统一应用安全平台的核心部件,由一组安全网关和一个安全中间件组成。 安全网关通过使用PK I提供的基础安全服务实现用户身份合法性验证、客户端到服务器端的数据安全传输,同时负责与各种应用安全服务互联,实现访问控制、签名验证等各种安全服务;同时提供开发05侯安才等:建设网络信息安全保障体系的新思路?1994-xxChina AcademicJournal ElectronicPublishing House.All rightsreserved.ki.的接口,用户可以在其之上增加对特定应用协议的支持。 安全中间件是一个将数据交换安全平台、各种安全服务构件和具体应用连接在一起的核心管理平台。 该平台定义了数据交换安全平台、安全服务构件和实际应用之间的互操作性,为实际应用系统提供了高层次的管理、运行和开发接口,可以对安全数据交换和安全服务进行统一管理和统一配置。 (2)应用安全服务平台以构件化的形式为实际应用系统提供专门的安全服务,如访问控制服务、安全审计服务和关键数据签名验证服务等。 这些安全服务构件封装了对PK IPM I的调用,通过连接到PK IPM I平台为应用系统提供安全服务,这一切对实际应用来说是完全透明的。 (3)客户端安全平台客户端应用程序通过安全代理连接安全网关,进而访问应用服务器,不同的应用使用不同的安全代理,但都建立在统一的PK I客户端开发平台之上。 统一应用安全平台在为实际应用提供统一的运行、管理环境的同时,以A PI,和JavaBean等多种形式为应用系统提供丰富的、多层次的开发接口,基于该平台可以很方便地完成安全应用系统的二次开发。 3统一的安全管理体系建设在信息系统安全上,还有一个共识,就是安全不仅仅是技术问题,更是一个管理的问题。 因此,网络信息安全保障体系建设的下一个阶段就是安全管理建设。 安全管理建设与安全策略建设密不可分,管理是在策略的指导下进行的,而管理经验和运行管理之间的互动则为策略的制定提供依据。 随着信息安全系统建设的不断发展,安全产品和安全技术被大量采用,这些安全产品和安全技术物理位置分布广泛,其系统配置、规则设置、反应处理、设备管理、运行管理的复杂性高速增长所带来的管理成本和管理难度正在成为系统安全的隐患。 为此,有必要建立集中式、全方位、动态的安全管理中心。 安全管理中心的建立,其目标在于:解决用户大量采用的安全产品以及安全技术所造成的“混乱”局面,在将与整体安全有关的各项安全技术和产品捏合在一个规范的、整体的、集中的安全平台上的同时,使技术因素、策略因素以及人员的因素能够更加紧密地结合在一起,从而提高用户在安全领域的各种分散投资的最终整体安全效益。 在信息安全系统的建设中,信息的安全问题有70%是由于管理上的漏洞造成的,因此在完成信息系统安全建设的过程中应建立一套完善的系统安全管理体系来保证安全系统的正常运行。 在网络信息系统这一复杂的系统工程中建设一个完善的安全管理体系应从如下几方面来考虑: (1)充分考虑用户的实际情况,配合用户合理地进行系统安全管理组织结构的设置。