我的《信息保卫战》读书笔记：信息安全技术体系建设

充分利用信息安全的技术手段（包括身份认证、访问管理、内容安全、审 核跟踪和响应恢复等），同时结合信息安全所保护的对象层次，以及目前主流的信息安全产品和信息安全技术，完善企业信息安全技术体系框架。企业信息安 全技术体系层面如图10-9所示。

1.物理层安全

物理层安全主要包括物理位置的选择、物理访问控制、防盗窃和防破坏、防雷击、防火、防水、防潮、防静电、温度湿度控制、电力供应和电磁防护等。

2. 网络层安全

网络层安全要注重安全域划分和安全架构的设计。可以根据信任程度、受 威胁的级别、需要保护的级别和安全需求，将网络从总体上分成四个安全域， 即公共区、半安全区、普通安全区和核心安全区。针对不同的安全区域采用不 同的安全防范手段。

安全边界的防护.•边界是不同网络安全区域之间的分界线，是不同网络安 全区域间数据流动的必经之路。安全区域的边界防护是根据不同安全区域的安 全需要，釆取相应的安全技术防护手段，制定合理的安全访问控制策略，控制 低安全区域的数据向高安全区域流动。针对VPN (虚拟专用网）的接入安全控 制，用户远程VPN接入主要用于员工出差时访问内部网络的需求和各企业小规 模分支机构访问内部网络的需求。VPN是为通过一个公用网络（通常是互联网) 建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、稳定的 隧道。

网络准入控制：网络准入控制系统是通过对网络用户合法身份的验证以及 对网络终端计算机安全状态的检测和评估，决定是否允许这台网络终端计算机 接入企业网络中。若不符合制定的准入策略，将其放入隔离区以修复，或仅允 许其有限地访问资源，降低非法用户随意接入企业网和不安全的计算机终端接 入企业网对网络安全带来的潜在威胁。

做好网络设备登录认证：建立集中的网络设备登录认证系统，用于对网络 设备维护用户的集中管理，认证用户的身份，决定其是否可以登录到网络设备; 通过定义不同级别的用户，授权他们能执行的不同操作，记录并审计用户的登 录和操作。

3. 系统层安全

做好系统主机的入侵检测，针对系统主机的网络访问进行监测，及时发现 

外来入侵和系统级用户的非法操作行为；做好系统主机的访问控制，系统主机 访问控制提供给系统安全管理员最有效的方法，从用户登录安全、访问控制安 全、系统口志安全等方面加入安全机制；做好系统主机的安全加固，定期对服 务器操作系统和数据库系统进行安全配置和加固，在不影响业务处理能力的前 提下对系统的配置进行安全优化，以提高系统自身的抗攻击性，消除安全漏洞， 降低安全风险；做好主机的安全审计工作，提供全面的安全审计日志和数据， 提升主机审计保护能力，对审计数据的访问进行严格控制，加强对审计数据的 完整性保护。

4. 应用层安全

随着各种各样的系统应用不断深化和普及，一些应用系统安全问题不断凸 显出来。为了最大限度及时规避因应用安全问题带来的威胁，应着力抓好六个 方面的工作：建立应用安全基础设施；健全应用安全相关规范；改进应用开发 过程；组织关键应用安全性测试；加强应用安全相关人员管理；制定应用安全 文档及应急预案。

5. 终端层安全

加强终端计算机的安全管理。终端安全是指对接入企业网络的终端设备（主 要是台式计算机、笔记本式计算机和其他移动设备等）进行的安全管理。其包 括终端安全策略、防病毒、防入侵、防火墙、软硬件资产管理、终端补丁管理、 终端配置管理、终端准入控制以及法规遵从等内容。

一、信息安全技术体系设计目标 

一个合适的安全技术解决方案，不但需要理解安全管理的要求，用最小的投入得到最大的回报，同时也为安全运维管理提供了易于操作的平台。

在实施安全技术规划时，需要考虑以下内容：

（1）整体安全性的规划；

（2）对于不同的安全功能机制加以整合以达到统一控管及互补的目的；

（3）考虑对其他同时进行的项目的影响；

（4）从基础的、负面影响最小的安全措施入手；

（5）具有未来的扩充性，未来不致于因容量问题而需改变整体架构。

二、信息安全技术体系的建设

企业信息安全技术体系建设要充分认识当前信息安全技术局限性，以主动 防御为原则，以内网和信息安全为重点，在外部技术条件下，结合企业信息安 全风险评估状况和业务发展要求，以企业信息安全框架为指导，建设统一规划、 分布部署、集中管理的信息安全技术体系。信息安全技术建设主要包括以下内容:

1. 基于操作系统级的安全增强

建立可信计算机环境是安全建设的重要目标，作为可信计算机环境的核心， 安全操作系统可提供全方位、高强度的安全性。

多方面，全面实现对用户违规操作的有效防范。通过以密码技术为支持、操 作系统安全配置为核心，建立企业网内部的信任体系，对局域网内部的操作者 进行身份认证和访问控制，对计算机终端和服务器进行重点保护，并实现安全 与应用业务的有机结合，从而达到“主动”防御的目的。

2. 应用的身份认证

身份认证是用户隔离的初级屏障，核心防护体系应采用基于密码技术的强认证，确保非授权用户不能对单机和所有应用服务器进行访问，并在此基础上, 与基于特定应用程序的身份认证进行结合，变被动为主动防御。应用的身份认证如图10-11所示。

1) 策略管理

在公钥基础设施（PKI)系统中，制定并实现科学的安全策略管理是非常重 要的。这些安全策略必须适应不同的需求，并且能通过认证机构（CA)和注册 机关（RA)技术融入到CA和RA的系统实现中。同时.，这些策略应该符合密 码学和系统安全的要求，科学地应用密码学与网络安全的理论，并且具有良好 的扩展性和互用性。

2) 密钥备份和恢复

为了保证数据的安全性，应定期更新密钥和恢复意外损坏的密钥是非常重 要的，设计和实现健全自主、可控的密钥管理方案，保证安全的密钥备份、更 新、恢复，也是关系到整个PKI系统强健性、安全性、可用性的重要因素。

3) 证书管理与撤销系统

证书是用来证明证书持有者身份的电子介质，它是用来绑定证书持有者身 份和其相应公钥的。通常，这种绑定在已颁发证书的整个生命周期里是有效的。 但是，有时也会出现一个己颁发证书不再有效的情况，这就需要进行证书撤销， 证书撤销的理由是各种各样的，可能包括工作变动到对密钥怀疑等一系列原因。 证书撤销系统的实现是利用周期性的发布机制撤销证书，或采用在线查询机制 随时查询被撤销的证书。

3. 加密机制

衡量一个加密技术的可靠性，主要取决于解密过程的难度，而这又取决于 密钥的长度和算法。

1) 对称密钥加密体制

对称密钥加密技术使用相同的密钥对数据进行加密和解密，发送者和接收 者用相同的密钥。

2) 非对称密钥加密体制

非对称密钥加密系统又称公钥和私钥系统，其特点是加密和解密使用不同 的密钥。非对称加密系统的关键是寻找对应的公钥和私钥，并运用密码技术使 得加密过程成为一个不可逆过程，即用公钥加密的信息只能用与该公钥配对的 私钥才能解密，反之亦然。

4. 访问控制策略

访问控制是网络安全防范和保护的主要策略，它的主要任务是保证网络资 源不被非法使用和非法访问。它也是维护网络系统安全，保护网络资源的重要 手段。各种安全策略必须相互配合才能真正起到保护作用。下面分别介绍几种 常见的访问控制策略，如图10-12所示。

1） 入网访问控制

入网访问控制为网络访问提供了第一层访问控制。它控制哪些用户能够登 录到服务器并获取网络资源，以及用户入网时间和入网地点。对用户名和丨」令 进行验证是防止非法访问的首道防线。

2） 网络的权限控制

网络的权限控制是针对网络非法操作所提出的一种安全保护措施。用户和 用户组被赋予一定的权限，网络控制用户和用户组可以访问哪些目录、子冃录、 文件和其他资源，可以指定用户对这些文件、目录、设备能够执行哪些操作。 我们可以根据访问权限将用户分为以下儿类：

(1) 特殊用户（即系统管理员）；

(2) —般用户，系统管理员根据他们的实际需要为他们分配操作权限；

(3) 审计用户，负责网络的安全控制与资源使用情况的审计。

用户对网络资源的访问权限可以用一个访问控制表来描述。

3）目录级安全控制

网络应允许控制用户对目录、文件、设备的访问。用户在目录一级指定的 权限对所有文件和子目录有效，用户还可进一步指定对目录下的子目录和文件 的权限。这样可以让用户有效地完成工作，同时又能有效地控制用户对服务器访问，从而加强了网络和服务器的安全性。

5. 基于数据的访问控制

在身份认证基础上的访问控制，应是基于最小数据单元、文件的细粒度访 问控制，并与用户角色相关联，核心防护体系采用RBAC (基于角色的访问控 制技术）的授权访问控制技术实现与角色相关联的高强度访问控制。

6. 安全审计和外设控制

安全审计系统主要是针对个人计算机及关键主机的操作行为进行审计，为 事后的追踪提供依据，审计信息要尽量详尽，主要包括用户对应用程序、数据、文件和外设的各种操作。同时，对于外设的控制也是当前防止信息泄露的重要 需求，核心防护体系设计的审计和外设控制重点针对个人计算机，同时也与成熟的主机审计与控制系统配合，实现整体的审计与控制。

7. 防火墙技术

防火墙是一种网络安全保障手段，是网络通信时执行的一种访问控制尺度， 其主要目标就是通过控制入、出一个网络的权限，并迫使所有的连接都经过这 样的检查，防止一个需要保护的网络遭到外界因素的干扰和破坏。在逻辑上， 防火墙是一个分离器，一个限制器，也是一个分析器，有效地监视了内部网络 和Internet之间的任何活动，保证了内部网络的安全；在物理实现上，防火墙 是位于网络特殊位置的一组硬件设备——路由器、计算机或其他特制的硬件设 备。防火墙可以是独立的系统，也可以在一个进行网络互联的路由器上实现防 火墙。用防火墙来实现网络安全必须考虑防火墙的网络拓扑结构。

8. VPN技术

VPN的安全保证主要是通过防火墙技术、路由器配以隧道技术、加密协议 和安全密钥来实现的。利用VPN特性可以在Internet上组建世界范围内的 Intranet VPN。利用Internet的线路保证网络的互联性，利用隧道、加密等VPN 特性可以保证信息在整个Intranet VPN上安全传输。利用VPN技术可以组建安 全的Extranet,既可以向客户、合作伙伴提供有效的信息服务，又可以保证自 身的内部网络安全。

9. 多层次多级别的防病毒系统

防病毒产品可以自动进行文件更新，使管理和服务作业合理化，并可用来 从控制中心管理企业范围的反病毒安全机制，优化系统性能、解决及预防问题、 保护企业免受病毒的攻击和危害，并对采用HTTP、FTP、SMTP协议进入内部 网络的文件进行病毒扫描和恶意代码过滤，从而实现对整个网络的病毒防范。

10. 入侵检测

入侵检测是防火墙的合理补充，帮助系统对付网络攻击，扩展了系统管理 员的安全管理能力（包括安全审计、监视、进攻识别和响应），提高了信息安全 基础结构的完整性。它从计算机网络系统中的若干关键点收集信息，并分析这 些信息，看看网络中是否有违反安全策略的行为和遭到袭击的迹象。

11. 操作系统内核加固体系

目前，•个新漏洞的发布往往伴随着新的病毒以及攻击手段的出现。而传 统的防毒、漏洞扫描、入侵检测等基于知识库或者特征库识别的防范技术面对 这种新生的甚至未知的攻击手段往往无能为力。信息安全的根本解决，需要通 过建立安全操作系统，构建动态、完整的安全体系。对原有操作系统进行内核 安全加同，是当前必须的增强重要服务器和计算机终端安全性的办法。操作系统内核加固基于主机和终端的系统内核级安全加固防护，通过采用强制访问控制、强认证（身份鉴别）和分权管理的安全策略，作用范围从系统内核层一直 延伸到应用层，从而对操作系统内核实施保护，对网络中的不安全因素实现“有 效控制”，构造出一个具有“安全内核”的操作系统。从根本上阻止针对操作系统关键资源的破坏，有效地遏制传统安全防护技术防已知难防未知造成的安全 威胁。这样既可以有效覆盖其他安全技术产品的防护盲区，又可以弥补防护上的不足。