系统安全设计原则

系统安全设计和备份原则系统安全和系统备份是系统设计中非常重要的一种部分，重要包含下列几个方面。——系统安全设计项目对信息安全性重要关注三大方面：物理安全、逻辑安全和安全管理。1、物理安全是指系统设备及有关设施受到物理保护，使之免糟破坏或丢失。2、逻辑安全则是指系统中信息资源的安全,它又涉及下列三个方面：保密性、完整性、可用性。3、安全管理涉及多个安全管理的政策和机制。针对项目对安全性的需要，我们将其分为5个方面逐个解决：——应用安全1、管理制度建设旨在加强计算机信息系统运行管理，提高系统安全性、可靠性。要确保系统稳健运行，减少恶意攻击、各类故障带来的负面效应，有必要建立行之有效的系统运行维护机制和有关制度。例如，建立健全中心机房管理制度，信息设备操作使用规程，信息系统维护制度，网络通讯管理制度，应急响应制度，等等。2、角色和授权要根据分工，贯彻系统使用与运行维护工作责任制。要加强对有关人员的培训和安全教育，减少由于误操作给系统安全带来的冲击。要妥善保存系统运行、维护资料，做好有关统计，要定时组织应急演习，以备不时之需。3、数据保护和隐私控制数据安全重要分为两个方面：数据使用的安全和数据存储的安全。数据保护旨在避免数据被偶然的或故意的非法泄露、变更、破坏，或是被非法识别和控制，以确保数据完整、保密、可用。数据安全涉及数据的存储安全和传输安全两个方面。为了确保数据使用过程的安全，建议在系统与外部系统进行数据交换时采用国家有关原则的加密算法对传输的数据进行加密解决，根据不同的安全等级使用不同的加密算法和不同强度的加密密钥，根据特殊需要能够考虑使用加密机。数据的存储安全系指数据寄存状态下的安全，涉及与否会被非法调用等，可借助数据异地容灾备份、密文存储、设立访问权限、身份识别、局部隔离等方略提高安全防备水平。为了确保数据存储的安全能够使用多个方案并用，软硬结合的方略。同城的数据同时复制，确保数据的安全性同城的数据同时复制，确保数据的安全性同场数据复制不仅能够确保数据的备份的速度，同时能够支持数据的快速恢复。生产环境的数据存储系统能够使用磁盘冗余阵列技术。现在的硬盘多为磁盘机械设备，因生产环境对系统运行的持续时间有很高规定，系统在运行过程中硬盘一旦达成使用寿命就会出现机械故障，从而使等硬盘无法继续工作。生产环境的数据存储设备如果没有使用磁盘冗余阵列技术，一旦硬盘出现机械故障将会造成将会生产环境数据的丢失，使得整个系统无法继续运行。4、审计本项目的技术支撑技术提供了强大的审计功效，采用审计多个手段来统计顾客对系统的多个操作，例如成功登录，不成功登录，启动事务，启动报表，登录次数时间等等，这些信息全部统计在系统日志中，没有任何信息会统计在客户端，顾客能够根据需求随时查看和分析这些信息。应用支撑平台还提供了其它手段来跟踪指定顾客的操作以及对系统进行的变更,只有对应的授权顾客和管理员能够查看这些日志进行分析。根据顾客的规定，应用平台能够统计多个谁、何时、作了什么的信息。每条统计都有顾客ID，日期，输入的数据，本地时间等等。审计功效的中央监控模式能够将系统和业务数据作为监控源，同时运用原则接口，支持监控第三方系统，或者将审计功效集成到其它监控系统中。监控信息和日志能够被管理员以及对应的授权顾客查看和分析。5、抗抵赖系统的日志管理功效对全部重要操作都有具体的统计，内容包含操作人员的登录ID、操作时间、IP地址、操作成果等信息。避免系统使用者为谋取不正当利益采用的否认操作的行为。——协同安全1、认证联盟身份认证是现在信息系统需要解决的首要问题，现在诸多系统都采用了自行设计和开发自有身份认证系统，这样的身份认证系统不仅安全没有保障，同时也不符合一定有原则规范，很难与其它系统进行集成。应用支撑平台的权限控制技术支持多个身份认证规范，能够很方便的与其它系统进行集成。2、消息安全数据传输交换过程中，传输的数据不法分子有可能被截获、破译、并有可能被篡改，应用支撑层的技术支持多个数据加密和数据签名技术，能够有效确保数据的安全性和可靠性。3、安全协同项目对系统间服务调用的完整性和机密性提出了很高的规定，应用支撑层的技术支持多个安全方略用以解决WEB服务调用的安全性问题。4、信任管理应用支撑层的技术支持PKI安全基础设施——顾客访问安全1、身份管理顾客管理和身份认证是项目安全部分的重要构成部分，我们建议采用集中式的顾客管理方式。由于生产环境顾客访问量非常大，原始的、采用数据库查询的认证方式显然无法满足性能的规定，我们建议采用LDAP目录服务器做为身份认证信息的存储服务器。由于LDAP本身的技术特点，能够较好的解决查询的性能问题，运用应用支撑层的技术开发的辅助功效，能够最大程度的优化身份管理和认证的速度。2、认证和单点登陆项目是一种有着复杂接入方式的系统，同时规定提供多个身份认证方式，应用支撑层的技术支持基本于LDAP服务器的查询式身份权限认证，也支持基于证书的身份权限认证，同时支持其它原则的身份认证规范。应用支撑层的技术支持单点登陆，身份权限信息统一维护，顾客只需登录一次即可完毕各子系统的身份认证信息的审核，无需多次登录系统。3、访问控制按顾客身份及其所归属的某预定义组来限制顾客对某些信息项的访问，或限制对某些控制功效的使用。访问控制普通用于系统管理员控制顾客对服务器、目录、文献等网络资源的访问。——架构安全1、物理安全旨在保护计算机服务器、数据存贮、系统终端、网络交换等硬件设备免受自然灾害、人为破坏，确保其安全可用。制订物理安全方略，要重点关注寄存计算机服务器、数据存贮设备、核心网络交换设备的机房的安全防备。其选址与规划建设要遵照GB9361计算机场地安全规定和GB2887计算机场地技术条件，确保恒温、恒湿，防雷、防水、防火、防鼠、防磁、防静电，加装防盗报警装置，提供良好的接地和供电环境，要为核心设备配备与其功耗相匹配的稳压及UPS不间断电源。根据需要对机房的进行电磁屏蔽，避免电磁泄露，防止主机受到外界的恶意电磁干扰和信息探测。2、网络传输安全网络传输安全分网络访问安全和网络数据传输安全两个部分。网络访问安全技术是为了有效保护物理网络不被非法访问而采用的保护技术。网络访问安全重要使用防火墙技术和代理技术，外部设备不能直接接入到物理网络，必须通过防火墙或代理服务器才能够访问网络。数据安全不能只关心数据加身的加密问题，同时还应当关注数据传输途径的的安全问题。项目对数据传输安全提出很高的规定主，核心征管系统与外部系统进行数据交换时不仅要使用数据加密技术加密数据本身，同时还应当使用SSL、SNC等安全合同进行数据传输以确保数据的安全，防止网攻击。3、平台安全平台安全是指项目所使用的系统级软件的安全，重要涉及操作系统安全、中间件安全、数据库系统安全、病毒检查等方面。4、系统安全系统安全是指系统间通信的安全问题，为确保系统间的通信安全建议使用SSL等安全合同进行数据通信。5、终端安全终端安全是访问项目及其配套软件、服务器的终端设备的安全。终端安全是整个系统安全中最单薄的环节，建议采用下列方法来加强终端安全：1）控制接入网络2）网络访问控制3）验证最低程度的信任4）只允许可信终端访问系统5）对终端与系统交换的数据进行加密，采用安全合同进行通信。软件生命周期安全1、安全开发软件开发过程的安全管理重要体现在开发原则方面，重要手段涉及：开发规范和代码检查。2、默认安全配备默认安全配备是指为了确保系统运行的所需安装的最少软件和有关设立。3、公布安全SWORD应用支撑的权限控制功效提供系统方案用于解决公布安全问题。4、变更安全管理旨在加强计算机信息系统运行管理，提高系统安全性、可靠性。要确保系统稳健运行，减少恶意攻击、各类故障带来的负面效应，有必要建立行之有效的系统运行维护机制和有关制度。例如，建立健全中心机房管理制度，信息设备操作使用规程，信息系统维护制度，网络通讯管理制度，应急响应制度，等等。要根据分工，贯彻系统使用与运行维护工作责任制。要加强对有关人员的培训和安全教育，减少由于误操作给系统安全带来的冲击。要妥善保存系统运行、维护资料，做好有关统计，要定时组织应急演习，以备不时之需。信息系统相对复杂的顾客、对信息系统依存度较高的顾客，订立系统服务外包合同，由其提供专业化的、一揽子安全护航服务，是个不错的方略。—— 数据传输安全——采用https合同超文本传输合同HTTP合同被用于在Web浏览器和网站服务器之间传递信息。HTTP合同以明文方式发送内容，不提供任何方式的数据加密，如果攻击者截取了Web浏览器和网站服务器之间的传输报文，就能够直接读懂其中的信息，因此HTTP合同不适合传输某些敏感信息，例如信用卡号、密码等。为理解决HTTP合同的这一缺点，需要使用另一种合同：安全套接字层超文本传输合同HTTPS。为了数据传输的安全，HTTPS在HTTP的基础上加入了SSL合同，SSL依靠证书来验证服务器的身份，并为浏览器和服务器之间的通信加密。HTTPS和HTTP的区别重要为下列四点：https合同需要到ca申请证书，普通免费证书极少，需要交费。http是超文本传输合同，信息是明文传输，https则是含有安全性的ssl加密传输合同。http和https使用的是完全不同的连接方式，用的端口也不同，前者是80，后者是443。http的连接很简朴，是无状态的；HTTPS合同是由SSL+HTTP合同构建的可进行加密传输、身份认证的网络合同，比http合同安全。——SSL加密传输SSL（SecureSocketsLayer安全套接层），及其继任者传输层安全(TransportLayerSecurity，TLS)是为网络通信提供安全及数据完整性的一种安全合同。TLS与SSL在传输层对网络连接进行加密。SSL为Netscape所研发，用以保障在Internet上数据传输之安全，运用数据加密(Encryption)技术，可确保数据在网络上之传输过程中不会被截取及窃听。现在普通通用之规格为40bit之安全原则，美国则已推出128bit之更高安全原则，但限制出境。只要3.0版本以上之I.E.或Netscape浏览器即可支持SSL。现在版本为3.0。它已被广泛地用于Web浏览器与服务器之间的身份认证和加密数据传输。SSL合同位于TCP/IP合同与多个应用层合同之间，为数据通讯提供安全支持。SSL合同可分为两层：SSL统计合同（SSLRecordProtocol）：它建立在可靠的传输合同（如TCP）之上，为高层合同提供数据封装、压缩、加密等基本功效的支持。SSL握手合同（SSLHandshakeProtocol）：它建立在SSL统计合同之上，用于在实际的数据传输开始前，通讯双方进行身份认证、协商加密算法、交换加密密钥等。SSL合同提供的服务重要有哪些1）认证顾客和服务器，确保数据发送到对的的客户机和服务器2）加密数据以避免数据半途被窃取3）维护数据的完整性，确保数据在传输过程中不被变化。SSL合同的工作流程服务器认证阶段：1）客户端向服务器发送一种开始信息“Hello”方便开始一种新的会话连接；2）服务器根据客户的信息拟定与否需要生成新的主密钥，如需要则服务器在响应客户的“Hello”信息时将包含生成主密钥所需的信息；3）客户根据收到的服务器响应信息，产生一种主密钥，并用服务器的公开密钥加密后传给服务器；4）服务器恢复该主密钥，并返回给客户一种用主密钥认证的信息，以此让客户认证服务器。顾客认证阶段在此之前，服务器已经通过了客户认证，这一阶段重要完毕对客户的认证。经认证的服务器发送一种提问给客户，客户则返回（数字）签名后的提问和其公开密钥，从而向服务器提供认证。——数字签名通过数字签名技术从所传输的重要数据中生成一种128位的散列值（或数据摘要），并用自己的专用密钥对这个散列值进行加密，形成发送方的数字签名；将这个数字签名将作为传输数据的附件和数据本身一起发送给接受方，即本系统的后台应用程序；后台应用程序首先从接受到的原始加密数据中计算出128位的散列值（或数据摘要），接着再用发送方的公开密钥来对数据附加的数字签名进行解密。若两个散列值相似，那么后台应用程序就能确认该数字签名是发送方的。通过数字签名能够实现对原始数据的鉴别和不可否认性，最后达成对重要数据在传输过程中的加密。——数据存储安全——数据备份数据备份是容灾的基础，是指为避免系统出现操作失误或系统故障造成数据丢失，而将全部或部分数据集合从应用主机的硬盘或阵列复制到其它的存储介质的过程。传统的数据备份重要是采用内置或外置的磁带机进行冷备份。但是这种方式只能避免操作失误等人为故障，并且其恢复时间也很长。随着技术的不停发展，数据的海量增加，不少的单位开始采用网络备份。网络备份普通通过专业的数据存储管理软件结合对应的硬件和存储设备来实现。本次项目可考虑采用下列的备份方式： 定时磁带远程磁带库、光盘库备份。即将数据传送到远程备份中心制作完整的备份磁带或光盘。远程核心数据+磁带备份。采用磁带备份数据，生产机实时向备份机发送核心数据。 数据库备份就是在与主数据库所在生产机相分离的备份机上建立主数据库的一种拷贝。 网络数据备份这种方式是对生产系统的数据库数据和所需跟踪的重要目的文献的更新进行监控与跟踪，并将更新日志实时通过网络传送到备份系统，备份系统则根据日志对磁盘进行更新。 远程镜像通过高速光纤通道线路和磁盘控制技术将镜像磁盘延伸到远离生产机的地方，镜像磁盘数据与主磁盘数据完全一致，更新方式为同时或异步。数据备份必须要考虑到数据恢复的问题，涉及采用双机热备、磁盘镜像或容错、备份磁带异地寄存、核心部件冗余等多个灾难防止方法。这些方法能够在系统发生故障后进行系统恢复。但是这些方法普通只能解决计算机单点故障，对区域性、消亡性灾难则束手无策，也不含有灾难恢复能力。——备份方略选择了存储藏份软件、存储藏份技术（涉及存储藏份硬件及存储藏份介质）后，首先需要拟定数据备份的方略。备份方略指拟定需备份的内容、备份时间及备份方式。要根据自己的实际状况来制订不同的备份方略。现在被采用最多的备份方略重要有下列三种。1、完全备份（fullbackup）每天对自己的系统进行完全备份。例如，星期一用一盘磁带对整个系统进行备份，星期二再用另一盘磁带对整个系统进行备份，依这类推。这种备份方略的好处是：当发生数据丢失的灾难时，只要用一盘磁带（即灾难发生前一天的备份磁带），就能够恢复丢失的数据。然而它亦有局限性之处，首先，由于每天都对整个系统进行完全备份，造成备份的数据大量重复。这些重复的数据占用了大量的磁带空间，这对顾客来说就意味着增加成本。另首先，由于需要备份的数据量较大，因此备份所需的时间也就较长。对于那些业务繁忙、备份时间有限的单位来说，选择这种备份方略是不明智的。2、增量备份(incrementalbackup)星期天进行一次完全备份，然后在接下来的六天里只对当天新的或被修改正的数据进行备份。这种备份方略的优点是节省了磁带空间，缩短了备份时间。但它的缺点在于，当灾难发生时，数据的恢复比较麻烦。例如，系统在星期三的上午发生故障，丢失了大量的数据，那么现在就要将系统恢复到星期二晚上时的状态。这时系统管理员就要首先找出星期天的那盘完全备份磁带进行系统恢复，然后再找出星期一的磁带来恢复星期一的数据，然后找出星期二的磁带来恢复星期二的数据。很明显，这种方式很繁琐。另外，这种备份的可靠性也很差。在这种备份方式下，各盘磁带间的关系就象链子同样，一环套一环，其中任何一盘磁带出了问题都会造成整条链子脱节。例如在上例中，若星期二的磁带出了故障，那么管理员最多只能将系统恢复到星期一晚上时的状态。3、差分备份(differentialbackup)管理员先在星期天进行一次系统完全备份，然后在接下来的几天里，管理员再将当天全部与星期天不同的数据（新的或修改正的）备份到磁带上。差分备份方略在避免了以上两种方略的缺点的同时，又含有了它们的全部优点。首先，它无需每天都对系统做完全备份，因此备份所需时间短，并节省了磁带空间，另首先，它的灾难恢复也很方便。系统管理员只需两盘磁带，即星期天的磁带与灾难发生前一天的磁带，就能够将系统恢复。在实际应用中，备份方略普通是以上三种的结合。例如每七天一至周六进行一次增量备份或差分备份，每七天日进行全备份，每月底进行一次全备份，每年终进行一次全备份。4、日常维护有关问题备份系统安装调试成功结束后，日常维护包含两方面工作，即硬件维护和软件维护。如果硬件设备含有较好的可靠性，系统正常运行后基本不需要经常维护。普通来说，磁带库的易损部件是磁带驱动器，当出现备份读写错误时应首先检查驱动器的工作状态。如果发生意外断电等状况，系统重新启动运行后，应检查设备与软件的联接与否正常。磁头自动清洗操作普通能够由备份软件自动