关于加强信息安全保障体系的思考ppt课件

1、构造积极防御的平安保证框架国家信息化专家咨询委员会委员 沈昌祥 院士2003-10一、对当前信息平安系统的反思 当前大部分信息平安系统主要是由防火墙、入侵监测和病毒防备等组成常规的平安手段只能是在网络层IP设防，在外围对非法用户和越权访问进展封堵，以到达防止外部攻击的目的对访问者源端不加控制操作系统的不平安导致运用系统的各种破绽层出不穷，无法从根本上处理封堵的方法是捕捉黑客攻击和病毒入侵的行为特征，其特征是已发生过的滞后信息 恶意用户的攻击手段变化多端,防护者只能:防火墙越砌越高入侵检测越做越复杂恶意代码库越做越大导 致：误报率增多，平安投入不断添加维护与管理更加复杂和难以实施信息系统的运用效

2、率大大降低对新的攻击入侵毫无防御才干如冲击波反思： 老三样、堵破绽、作高墙、 防外攻、防不胜防 产生平安事故的技术缘由：PC机软、硬件构造简化，导致资源可恣意运用，尤其是执行代码可修正，恶意程序可以被植入病毒程序利用PC操作系统对执行代码不检查一致性弱点，将病毒代码嵌入到执行代码程序，实现病毒传播黑客利用被攻击系统的破绽窃取超级用户权限，肆意进展破坏更为严重的是对合法的用户没有进展严厉的访问控制，可以进展越权访问，呵斥不平安事故假设从终端操作平台实施高等级防备，这些不平安要素将从终端源头被控制。这种情况在任务流程相对固定的重要信息系统显得更为重要而可行。在电子政务的内外网中政务内网与政务外网物

3、理隔离，政务外网与Internet逻辑隔离要处置的任务流程都是预先设计好的操作运用的角色是确定的运用范围和边境都是明确的这类任务流程相对固定的消费系统与Internet网是有隔离措施的，外部网络的用户很难侵入到内部网络来 ，其最大的要挟是来自内部人员的保密和破坏。 据统计，80%的信息平安事故为内部人员和内外勾结所为，而且呈上升的趋势。因此我们应该以 “防内为主、内外兼防的方式，从提高运用节点本身的平安着手，构筑积极、综合的平安防护系统。应该：强机制、高可信、控运用、防内外，积极防御二、可信任计算环境为理处理PC机构造上的不平安，从根本上提高其平安性，在世界范围内推行可信计算技术1999年由C

4、ompaq、HP、IBM、Intel和Microsoft牵头组织TCPA( Trusted Computing Platform Alliance)，目前已开展成员190家，遍及全球各大洲主力厂商TCPA专注于从计算平台体系构造上加强其平安性，2001年1月发布了规范规范v1.1，2003年3月改组为TCG(Trusted Computing Group)其目的是在计算和通讯系统中广泛运用基于硬件平安模块支持下的可信计算平台，以提高整体的平安性。可信计算终端基于可信任平台模块TPM,以密码技术为支持、平安操作系统为中心如图1所示 平安运用组件平安操作系统平安操作系统内核密码模块协议栈主板可信任

5、BIOSTPM(密码模块芯片)图1：可信任计算平台具有以下功能：确保用户独一身份、权限、任务空间的完好性/可用性确保管储、处置、传输的性/完好性确保硬件环境配置、操作系统内核、效力及运用程序的完好性确严密钥操作和存储的平安确保系统具有免疫才干，从根本上防止病毒和黑客平安操作系统是可信计算终端平台的中心和根底，没有平安的操作系统，就没有平安的运用，也不能使TPM发扬应有的作用三、平安技术保证框架对任务流程相对固定的重要信息系统主要由运用操作、共享效力和网络通讯三个环节组成。假设信息系统中每一个运用者都经过可信终端认证和授权，其操作都是符合规定的，网络上也不会被窃听和插入，那么就不会产生攻击性共享

6、效力资源的事故，就能保证整个信息系统的平安可信终端确保用户的合法性和资源的一致性，运用户只能按照规定的权限和访问控制规那么进展操作，能做到什么样权限级别的人只能做与其身份规定的访问操作，只需控制规那么是合理的，那么整个信息系统资源访问过程是平安的。可信终端奠定了系统平安的根底运用平安边境设备如VPN平安网关等维护共享效力资源，其具有身份认证和平安审计功能，将共享效力器如数据库效力器、WEB效力器、邮件效力器等与非法访问者隔离，防止不测的非授权用户的访问如非法接入的非可信终端。这样共享效力端主要加强其可靠性，如双机备份、容错、灾难恢复等，而不用作繁重的访问控制，从而减轻效力器的压力，以防回绝效力

7、攻击采用IPSec 实现网络通讯全程平安严密。IPSec任务在操作系统内核，速度快，几乎可以到达线速处置，可以实现源到目的端的全程通讯平安维护，确保传输衔接的真实性和数据的性、一致性 ，防止非法的窃听和插入综上所述，可信的运用操作平台、平安的共享效力资源边境维护和全程平安维护的网络通讯，构成了任务流程相对固定的消费系统的信息平安保证框架。如图2所示 图2：任务流程相对固定的消费系统平安处理方案全程IPSec 效力器平安边境设备可信客户端可信客户端 全程IPSec 平安域一可信客户端可信客户端 平安域二平安隔离设备全程IPSec 要实现上述终端、边境和通讯有效的保证，还需求授权管理的管理中心以及

8、可信配置的密码管理中心的支撑从技术层面上可以分为以下五个环节：运用环境平安 运用区域边境平安 网络和通讯传输平安平安管理中心 密码管理中心即：两个中心支持下的三重保证体系构造 对于复杂系统：构成三纵公共区域、公用区域、涉密区域三横运用环境、运用区域边境、网络通讯和两个中心的平安防御框架。如图3所示图3：信息平安技术保证框架运用环境平安： 包括单机、C/S、B/S方式，采用身份认证、访问控制、密码加密、平安审计等机制，构成可信运用环境运用区域边境平安： 经过部署边境维护措施控制对内部局域网的访问，实现局域网与广域网之间的平安。采用平安网关、防火墙等隔离过滤机制，维护共享资源的可信衔接网络和通讯传输平安： 包括实现局域网互联过程的平安，旨在确保通讯的性、一致性和可用性。采用密码加密、完好性校验和实体鉴别等机制，实现可信衔接和平安通讯平安管理中心： 提招认证、授权、实施访问控制战略等 效力密码管理中心： 提供互联互通密码配置、公钥证书和传统的对称密钥的管理，为信息系统提供密码效力三种不同性质的运用区域在各自采用相应的平安保证措施之后，相互之间有一定的沟通，需求采用平安隔离和信息交换