电子政务安全保障嘉庚学院

《电子政务安全保障嘉庚学院》由会员分享，可在线阅读，更多相关《电子政务安全保障嘉庚学院（88页珍藏版）》请在装配图网上搜索。

1、1 第 十 讲 电 子 政 务 安 全 体 系一 、 电 子 政 务 的 安 全 问 题二 、 电 子 政 务 安 全 体 系 1、 技 术 体 系 2、 管 理 保 障 体 系 3、 服 务 保 障 体 系 4、 基 础 设 施 保 障 体 系 2 电 子 政 务 的 安 全 问 题 恶 意 破 坏 自 然 灾 害 意 识 不 强 操 作 不 当 管 理 疏 漏 软 硬 件 漏 洞 滥 用 职 权 内 外 勾 结内 部 资 源信 息 战 争 黑 客 攻 击 信 息 间 谍 病 毒 传 染 信 息 恐 怖 外 部 威 胁内 部 威 胁 信 息 安 全 保 障 信 息 的 机 密 性 、 完 整

2、 性 、 可 用 性 、 可 控 性 和 不 可 否 认 性 等 几 个 方面 。 1、 机 密 性 ： 保 证 信 息 不 泄 露 给 未 经 授 权 的 人 。 2、 完 整 性 ： 信 息 无 失 真 地 传 达 到 目 的 地 。 3、 可 用 性 ： 授 权 人 使 用 时 不 能 出 现 系 统 拒 绝 服 务 的 情 况 。 4、 可 控 性 ： 对 信 息 及 信 息 系 统 实 施 安 全 监 控 管 理 。 5、 不 可 否 认 性 ： 信 息 行 为 可 安 全 管 理 。 计 算 机 安 全 和 网 络 安 全 都 是 信 息 安 全 。 计 算 机 安 全 是 指 计

3、 算 机 系 统 资 源 和 信 息 资 源 不 受 自 然 和 人 为 的 威 胁 与损 坏 。 计 算 机 安 全 更 关 心 信 息 的 存 储 和 处 理 的 安 全 。 网 络 安 全 是 指 网 络 系 统 的 硬 件 、 软 件 及 系 统 中 的 数 据 受 保 护 ， 系 统 能可 靠 连 续 地 运 行 。 网 络 安 全 更 关 系 的 是 信 息 在 网 络 传 播 过 程 中 所 涉 及的 各 种 安 全 问 题 。 电 子 政 务 安 全 问 题 就 是 一 种 信 息 安 全 问 题 。 身 份 认 证 服 务 ： 为 政 务 实 体 定 义 唯 一 的 电 子

4、身 份 标 识 ， 并 通 过 该 标 识进 行 身 份 认 证 ， 保 证 身 份 的 真 实 性 。 权 限 控 制 服 务 ： 把 信 息 资 源 划 分 成 不 同 级 别 ， 并 把 使 用 信 息 资 源 的 用户 划 分 成 不 同 类 型 ， 实 现 不 同 类 型 人 员 对 不 同 级 别 信 息 访 问 的 控 制 策略 。 信 息 保 密 服 务 ： 对 于 传 输 中 需 要 保 密 的 信 息 ， 采 用 密 码 技 术 进 行 加 解密 处 理 ， 防 止 信 息 的 非 授 权 泄 漏 。 数 据 完 整 性 服 务 ： 保 证 收 发 双 方 数 据 的 一

5、致 性 ， 防 止 信 息 被 非 授 权 修改 。 不 可 否 认 服 务 ： 为 第 三 方 验 证 信 息 源 的 真 实 性 和 信 息 的 完 整 性 提 供 证据 ， 它 有 助 于 责 任 机 制 的 建 立 ， 为 解 决 电 子 政 务 中 的 争 议 提 供 法 律 证据 。 6 保障电子政务安全的重要性 1、 国 家 安 全 问 题 。 电 子 政 务 的 安 全 体 现 了 国 家 防 御 国 外 信 息 和 网 络优 势 威 胁 的 能 力 ， 以 信 息 手 段 维 护 国 家 安 全 的 能 力 。 2、 保 障 电 子 政 务 安 全 即 维 护 了 社 会 各

6、 阶 层 利 益 。 电 子 政 务 的 应 用 不仅 代 表 政 府 部 门 的 利 益 更 代 表 了 企 业 和 广 大 民 众 的 利 益 。 3、 电 子 政 务 安 全 是 社 会 稳 定 的 基 本 保 障 。 电 子 政 务 的 社 会 服 务 职 能使 得 电 子 政 务 系 统 的 安 全 运 行 更 加 重 要 。 12 安全威胁的形式 非 授 权 访 问信 息 泄 漏 和 丢 失数 据 完 整 性 破 坏拒 绝 服 务 攻 击 数 据 加 密 技 术 对 称 密 码 技 术 ： 加 解 密 的 密 钥 相 同 ， 不能 公 开 。 DES、 IDEA算 法 。 非 对

7、称 密 码 技 术 ： 两 个 不 同 的 密 钥 ， 一个 用 于 加 密 ， 一 个 用 于 解 密 ， 公 钥 加 密技 术 。 RSA算 法 。 防 病 毒 系 统 单 机 版 杀 毒 软 件 网 络 版 杀 毒 软 件 一 般 采 用 B/S架 构 ， 具 有 “染 毒 电 脑 隔 离 ”“文 件 自动 分 发 ”“全 网 漏 洞 管 理 ”等 众 多 功 能 ， 并 具 有 详 尽 的 病 毒 疫 情 分 析 、IT资 产 管 理 等 创 新 功 能 ， 为 企 业 用 户 提 供 了 更 加 强 大 的 网 络 安 全管 理 利 器 。 全 网 安 全 主 动 管 理 ： 网 络

8、 管 理 员 通 过 此 设 置 页 面 就 可以 实 现 对 整 个 网 络 客 户 端 的 集 中 管 理 ， 对 全 网 客 户 端 进 行 统 一 或个 性 化 设 置 ， 清 楚 地 掌 握 整 个 网 络 环 境 中 各 个 节 点 的 病 毒 状 态 。既 方 便 管 理 员 管 理 ， 又 可 以 有 效 地 减 少 网 络 安 全 风 险 ， 为 用 户 的网 络 系 统 提 供 了 可 靠 的 安 全 解 决 方 案 。 防 毒 墙 （ 网 关 ） 防 火 墙 的 类 型防火墙的类型 应 用 代 理Application-Level Gateway电 路 级 网 关Circ

9、uit-Level Gateway包 过 滤 路 由 器Packet-Filtering Router 1、 静 态 包 过 滤 器 工 作 于 网 络 层应 用 层表 示 层会 话 层 网 络 接 口 网 络 接 口传 输 层外 部 网 络 内 部 网 络网 络 层链 路 层物 理 层 IP头 TCP头 应 用 级 头 数 据源 /目 的IP地 址 源 /目 的端 口 应 用 状 态 和 数 据 流 净 荷包 过 滤 器 静 态 包 过 滤 器 所 过 滤 的 内 容 应 用 层表 示 层会 话 层网 络 层链 路 层物 理 层传 输 层外 部 网 络 内 部 网 络2、 动 态 包 过 滤

10、 防 火 墙 工 作 于 传 输 层网 络 接 口 网 络 接 口 会 话 层物 理 层表 示 层链 路 层网 络 接 口 网 络 接 口外 部 网 络 内 部 网 络网 络 层传 输 层应 用 层3、 电 路 级 网 关 工 作 于 会 话 层 IP头 TCP头 应 用 级 头 数 据源 /目 的IP地 址 源 /目 的端 口 应 用 状 态 和 数 据 流 净 荷电 路 级 网 关电 路 级 网 关 所 过 滤 的 内 容 表 示 层会 话 层链 路 层物 理 层外 部 网 络 内 部 网 络传 输 层网 络 层应 用 层网 络 接 口 网 络 接 口4、 应 用 代 理 工 作 于 应

11、用 层 防 火 墙 的 主 要 功 能防火墙的功能 过 滤 进 出 网 络 的 数 据管 理 进 出 网 络 的 访 问 行 为封 堵 某 些 禁 止 的 业 务记 录 进 出 网 络 的 信 息 和 活 动对 网 络 攻 击 进 行 检 测 和 告 警 防 火 墙 的 局 限 性防火墙的局限性 不 能 防 范 恶 意 知 情 者 泄 密不 能 控 制 不 经 过 它 的 连 接不 能 防 备 完 全 新 的 威 胁不 能 防 止 病 毒 和 特 洛 伊 木 马不 能 防 止 内 部 用 户 的 破 坏 防 火 墙 技 术 的 发 展 趋 势 支 持 热 插 拔 （ hot plug）外 型

12、小 巧 、 灵 活 方 便 、 安 全 可 靠支 持 网 络 登 录 与 身 份 认 证占 用 单 独 的 USB口 、 节 省 系 统 资 源支 持 公 钥 证 书 （ CA）基 于 电 子 钥 匙 的 身 份 认 证 海 信 NetKey身 份 认 证 界 面 局 域 网 终 端远 程 拨 号 终 端NT服 务 器 u 通 常 将 单 钥 、 双 钥 密 码 结 合 在 一 起 使 用 ： 单 钥 算 法 用 来 对 数 据 进 行 加 密 ； 双 钥 算 法 用 来 进 行 密 钥 交 换 。u 数 据 加 密 可 在 通 信 的 三 个 层 次 来 实 现 ： 链 路 加 密 ； 节

13、点 加 密 ； 端 到 端 加 密 。 u 每 个 节 点 对 收 到 的 信 息 先 解 密 ， 后 加 密 ；u 它 掩 盖 了 被 传 输 消 息 的 源 点 与 终 点 ；u消 息 的 报 头 和 路 由 信 息 以 密 文 方 式 传 输 。 u在 节 点 先 对 消 息 进 行 解 密 ， 后 进 行 加 密 ；u不 允 许 消 息 在 节 点 以 明 文 方 式 存 在 ；u 消 息 的 报 头 和 路 由 信 息 以 明 文 方 式 传 输 。 u 数 据 从 源 点 到 终 点 始 终 以 密 文 形 式 存 在 ；u 数 据 从 源 点 加 密 后 到 终 点 才 被 解

14、密 ；u 安 全 性 高 ， 系 统 维 护 方 便 。明 文 终 点 加 密 机 的 应 用 图 例 u 数 据 采 集 、 还 原 处 理 及 备 份 功 能 ：提 供 丰 富 的 采 样 条 件 设 置 ； 对 电 子 邮 件 与 传 输 文 件 的 压 缩 部 分 自 动 解 压 ； 自 动 英 汉 翻 译 ， 提 供 全 文 本 高 速 翻 译 系 统 。u 自 动 中 标 检 查 ， 即 关 键 词 检 查 ；u 日 志 管 理 与 审 计 ： 发 件 浏 览 审 查 ， 提 供 多 种 审 查 方 式 ； 发 件 统 计 分 析 ， 包 括 指 定 日 期 或 时 间 段 的 发

15、 件 数 、 中 标 数 、 中 标 率 、 涉 密 数 等 ； 报 表 生 成 和 打 印 （ 包 括 年 /月 /日 报 表 ） ； 发 件 人 、 收 件 人 档 案 记 录 。u Http、 Ftp、 E-mail、 入 侵 、 DNS请 求 等 行 为 分 析 ;u Web页 面 非 法 篡 改 检 测 。 服 务 器 （ 中 标 ）路 由 器集 线 器 数 据 采 集 器 数 据 库 网 关自 动 解 压自 动 翻 译综 合 管 理打 印 机 在 战 场 上 ， 你 希 望 在 要 保 护 的 地 带 布 置 哨 兵 ； 在 网 络 中 ， 你 需 要 在 要 保 护的 关 键 部

16、 位 布 置 入 侵 检 测 系 统 （ IDSIntrusion Detection System） 。 许 多 企 业或 机 构 的 网 络 负 责 人 都 声 称 ， 他 们 的 网 络 是 安 全 的 ， 因 为 他 们 已 经 安 装 了 最 新 版的 防 火 墙 和 IDS。 其 实 ， 网 络 安 全 是 一 个 系 统 工 程 ， 仅 靠 安 装 防 火 墙 和 IDS， 只能 解 决 部 分 安 全 问 题 ， 而 离 全 面 解 决 安 全 问 题 还 差 得 太 远 。 IDS对 于 进 出 网 络 的 全 部 活 动 进 行 检 查 。 IDS可 以 识 别 出 能 够

17、 引 发 网 络 或 系统 攻 击 的 可 疑 数 据 。 一 旦 发 现 了 不 正 常 的 数 据 模 式 ， 就 意 味 着 有 人 企 图 突 入 或 损害 系 统 。 IDS可 以 是 硬 件 系 统 ， 也 可 以 是 软 件 系 统 。 它 能 监 视 和 分 析 系 统 事 件 ，以 发 现 那 些 未 经 授 权 就 企 图 访 问 系 统 资 源 的 网 络 活 动 ， 并 提 供 实 时 的 或 接 近 实 时的 事 件 告 警 。 1、 滥 用 检 测 （ Abuse Detection） 在 滥 用 检 测 方 式 下 ， IDS对 它 收 集 到 的 信 息 进 行

18、 分 析 ， 并 与 攻 击 签 名数 据 库 进 行 比 较 。 为 了 做 到 更 有 效 ， 这 种 类 型 的 IDS依 赖 于 那 些 已 经 被 记录 在 案 的 攻 击 ， 它 将 收 集 到 的 可 疑 数 据 包 与 攻 击 签 名 数 据 库 中 的 样 本 进 行比 较 。 象 许 多 病 毒 检 测 系 统 一 样 ， 滥 用 检 测 软 件 的 好 坏 直 接 取 决 于 攻 击 签名 数 据 库 的 好 坏 。 2、 异 常 检 测 （ Abnormal Detection） 在 异 常 检 测 中 ， 首 先 要 为 系 统 设 立 一 个 正 常 活 动 的 底

19、 线 （ Baseline）。 它 包 括 这 样 一 些 内 容 ： 网 络 业 务 流 负 荷 的 状 态 、 故 障 死 机 、 通 信 协 议 ，及 典 型 的 数 据 包 长 度 。 在 采 用 异 常 检 测 时 ， 探 测 器 监 控 网 络 数 据 段 并 将 当前 状 态 与 正 常 底 线 状 态 相 比 较 ， 以 识 别 异 常 状 况 。 3、 基 于 网 络 的 系 统 （ Network-based IDS） 基 于 网 络 的 系 统 也 称 为 NIDS。 NIDS对 流 过 网 络 的 数 据 包 进 行 逐 个检 查 和 评 估 ， 以 确 定 该 数 据

20、 包 是 否 是 由 黑 客 特 意 设 计 的 数 据 包 。 这 些 数 据包 能 够 逃 过 许 多 防 火 墙 的 简 单 过 滤 规 则 的 过 滤 ， 进 入 到 内 部 网 络 。4、 基 于 主 机 的 系 统 （ Host-based IDS） 在 基 于 主 机 的 系 统 中 ， IDS对 单 台 计 算 机 或 主 机 上 的 网 络 活 动 进 行 检查 。 进 行 评 估 的 项 目 包 括 ： 对 重 要 系 统 文 件 的 修 改 、 异 常 的 或 过 度 的 CPU活 动 、 root或 管 理 权 限 的 滥 用 等 。 5、 被 动 系 统 （ Pass

21、ive IDS） 在 被 动 系 统 中 ， IDS仅 检 测 潜 在 的 安 全 缺 陷 ， 记 录 可 疑 信 息 ， 并 发 出提 示 信 息 或 报 警 ， 而 系 统 并 不 采 取 任 何 直 接 的 行 动 。6、 反 动 系 统 （ Reactive IDS） 在 反 动 系 统 中 ， IDS能 够 以 不 同 方 式 对 各 种 可 疑 的 活 动 作 出 响 应 。 这些 对 可 疑 活 动 的 反 应 方 式 包 括 ： 对 离 线 的 用 户 进 行 记 录 ， 关 掉 某 个 连 接 ，或 甚 至 重 新 对 防 火 墙 进 行 编 程 以 阻 断 来 自 可 疑

22、源 地 址 的 恶 意 网 络 数 据 流 。 1、 具 有 预 测 功 能 安 全 厂 商 们 正 在 开 发 下 一 代 具 有 预 测 功 能 的 IDS， 即 IDS能 够 识 别 并 记 录攻 击 ， 并 且 不 会 受 到 自 身 日 志 数 据 的 影 响 ， 而 且 能 够 进 行 无 忧 的 最 小 差 错 告警 。2、 能 够 辨 别 攻 击 发 生 的 时 态 下 一 代 IDS将 能 够 辨 别 攻 击 已 经 发 生 、 正 在 发 生 或 可 能 发 生 。 它 利 用 指示 器 和 告 警 、 网 络 监 控 和 管 理 数 据 、 已 知 漏 洞 和 威 胁 等

23、 信 息 ， 构 造 一 个 攻 击复 原 程 序 。3、 采 用 蜜 罐 技 术 密 罐 在 设 计 时 就 是 能 够 使 攻 击 者 进 入 ， 一 旦 黑 客 进 入 ， 我 们 就 可 以 实 现我 们 的 许 多 目 的 。 我 们 可 以 预 警 、 建 立 入 侵 检 测 机 制 ， 或 阻 断 入 侵 。 4、 分 布 式 跨 平 台 运 行 IDS系 统 是 否 能 在 不 同 的 操 作 系 统 平 台 （ 如 Windows， UNIX， Linux等 ）上 运 行 ， 也 会 限 制 这 些 技 术 的 使 用 。5、 多 系 统 联 动 未 来 的 IDS将 不 是

24、 作 为 一 个 独 立 的 系 统 来 运 行 ， 它 必 须 能 够 与 网 络 中 的 其他 设 备 实 现 互 动 。 它 能 够 从 其 它 系 统 中 获 得 更 多 的 有 关 攻 击 的 信 息 ， 降 低 误 报率 ， 并 采 取 主 动 防 御 措 施 ， 以 阻 断 攻 击 。6、 保 留 高 质 量 的 日 志 作 为 起 诉 证 据 日 志 必 须 保 持 特 定 的 质 量 ， 并 且 必 须 对 网 络 上 所 有 计 算 机 的 操 作 、 登 录和 退 出 类 型 进 行 记 录 。 同 时 ， 对 所 收 集 的 信 息 进 行 保 护 以 保 持 法 律

25、上 的 价 值 ，是 即 时 响 应 计 划 的 一 部 分 。 如 果 IDS没 有 即 时 响 应 计 划 ， 实 际 上 降 低 了 IDS自身 的 价 值 ， IDS的 日 志 就 变 成 毫 无 价 值 的 数 据 。 1、 IDS的 选 型 要 合 理 在 系 统 中 IDS的 布 置 也 特 别 重 要 ， 究 竟 是 选 用 基 于 主 机 的 IDS还 是 基 于 网络 的 IDS， 或 者 两 种 都 要 ， 这 些 需 要 根 据 组 织 机 构 的 安 全 策 略 而 定 。2、 要 根 据 安 全 策 略 进 行 评 估 在 选 择 入 侵 检 测 系 统 策 略 和

26、 产 品 之 前 ， 用 户 必 须 对 网 络 的 安 全 需 求 作 彻底 的 分 析 。 投 资 回 报 （ ROIreturn on investment） 虽 然 难 以 计 算 ， 但 是 在 任何 情 况 下 ， 成 本 和 收 益 需 要 加 以 权 衡 。 在 IDS的 成 本 得 到 正 确 判 定 之 前 ， 我 们需 要 关 注 整 个 信 息 安 全 架 构 中 的 许 多 问 题 。 评 估 的 最 后 结 果 也 许 会 认 为 ， 选 择和 实 施 IDS是 一 种 浪 费 。 用 户 网 络 中 也 许 已 经 拥 有 了 某 些 技 术 ， 只 不 过 没

27、有 得到 充 分 利 用 或 没 有 得 到 合 理 配 置 。 3、 成 立 安 全 协 作 小 组 在 对 网 络 的 安 全 状 态 进 行 分 析 时 ， 要 求 服 务 器 的 管 理 人 员 和 网 络 设 备 管理 人 员 一 起 进 行 协 作 。 只 有 这 样 ， 我 们 才 能 知 道 系 统 是 否 已 经 对 漏 洞 打 了 补 丁， 访 问 控 制 方 案 是 否 存 在 弱 口 令 ， 对 root或 管 理 员 的 访 问 是 否 控 制 得 当 。4、 对 已 知 的 漏 洞 打 安 全 补 丁 在 所 有 厂 商 中 ， 安 全 补 丁 是 重 点 考 虑

28、的 事 情 ， 应 该 得 到 重 点 开 发 。 因 此， 在 安 装 IDS之 前 ， 首 先 准 确 认 识 你 的 网 络 或 主 机 的 安 全 状 态 ， 把 它 们 提 高 到一 个 基 本 的 安 全 级 别 上 ， 并 且 采 用 一 定 的 维 护 手 段 使 它 们 稳 定 在 所 期 望 的 安 全等 级 上 ， 也 许 更 加 有 效 。 一 旦 完 成 了 以 上 工 作 ， IDS会 对 整 个 网 络 的 安 全 性 发挥 更 大 的 作 用 。 1、 用 最 少 的 人 力 干 预 连 续 运 行 它 应 该 在 后 台 运 行 。 内 部 的 工 作 应 该

29、 能 够 从 外 部 检 查 到 ， 所 以 它 不 是 黑 盒子 。2、 容 错 是 必 须 的 容 错 使 它 能 够 从 系 统 灾 难 中 幸 存 下 来 ， 并 且 不 需 要 重 新 启 动 ， 就 可 以 重 建知 识 数 据 库 。3、 它 必 须 难 以 破 坏 它 应 该 能 够 监 视 其 本 身 存 在 的 可 疑 活 动 ， 这 些 活 动 试 图 削 弱 IDS的 检 测 系统 或 试 图 关 机 ， 从 这 个 意 义 上 讲 系 统 必 须 是 自 动 修 复 的 （ self-healing） 。4、 性 能 是 非 常 关 键 的 如 果 产 生 了 性 能

30、 问 题 ， IDS就 不 能 用 。 5、 能 够 发 现 异 常 行 为 它 必 须 能 够 发 现 与 正 常 网 络 行 为 的 偏 离 ；6、 易 于 配 置 对 于 它 所 监 控 的 系 统 来 说 ， IDS必 须 易 于 配 置 。 每 一 系 统 都 有 一 个 不同 的 使 用 模 式 ， IDS的 防 护 机 制 应 该 易 于 适 应 这 些 模 式 。7、 对 环 境 有 很 强 的 适 应 性 它 应 该 象 一 个 变 色 龙 ， 能 够 适 应 于 它 所 处 的 环 境 ， 当 系 统 变 化 时 ，如 当 系 统 增 加 新 的 应 用 、 升 级 和 任

31、 何 其 它 改 变 时 ， 应 该 能 与 系 统 保 持 同 步改 变 。8、 必 须 考 虑 对 其 自 身 的 防 护 为 了 更 有 效 ， IDS必 须 具 有 嵌 入 式 防 护 机 制 ， 并 且 它 周 围 的 环 境 应 该得 到 加 固 ， 使 它 难 于 被 欺 骗 。 行 动 1： 用 户 必 须 愿 意 提 供 资 源 （ 资 金 、 人 力 和 时 间 ） 对 当 前 系 统 和 网 络 中 存 在 的缺 陷 打 安 全 补 丁 ， 并 且 把 网 络 和 主 机 的 安 全 放 在 工 作 首 位 。行 动 2： 所 有 的 系 统 和 网 络 管 理 员 必

32、须 通 过 培 训 ， 掌 握 基 本 的 安 全 技 能 ， 并 专 注 于消 除 基 本 的 安 全 缺 陷 。 培 训 主 要 应 集 中 在 以 下 几 个 方 面 ： 系 统 安 全 性 泄 露 、 漏洞 测 试 、 通 常 的 攻 击 及 解 决 方 案 、 防 火 墙 设 计 和 配 置 ， 以 及 一 些 其 它 的 安 全 技巧 。行 动 3： 一 旦 安 全 目 标 已 定 ， 我 们 就 必 须 采 取 适 当 的 行 动 。 网 络 和 系 统 管 理 员 需 要保 持 技 术 更 新 ， 并 在 系 统 和 网 络 的 适 当 位 置 布 置 安 全 防 护 措 施

33、和 设 备 ， 来 监 控和 维 护 系 统 的 安 全 性 。 u VPN应 用 领 域 包 括 ：远 程 移 动 用 户 远 程 访 问 公 司 总 部 ； 远 程LAN 公 司LANVPN VPNModems移 动 终 端（ VPN客 户 端 ） Internet 物 理 隔 离 系 统 内 外 网 的 安 全 隔 离 。 五大类安全业务 访 问 控 制 业 务数 据 保 密 性 业 务数 据 完 整 性 业 务对 象 认 证 业 务不 可 否 认 业 务 安全工作的目标 1、 “ 进 不 来 ” 访 问 控 制 机 制2、 “ 拿 不 走 ” 授 权 机 制3、 “ 看 不 懂 ” 加

34、 密 机 制4、 “ 改 不 了 ” 数 据 完 整 性 机 制5、 “ 逃 不 掉 ” 审 计 /监 控 /签 名 机制 安全体系结构简介 物 理 安 全 机 房 屏 蔽 门 锁 防 电 磁 辐 射网 络 安 全 服 务 器 入 侵 检 测 防 毒 备 份信 息 安 全 加 密 完 整 性 防 抵 赖 数 据 库安 全 管 理 多 人 原 则 任 期 有 限 职 责 分 离 服 务 保 障 安 全 管 理 的 概 念 解 析 安 全 管 理 ， 可 以 从 IT治 理 的 层 面 看 ， 也 可 以 从 IT运 行 的 层面 看 。 在 不 同 的 层 面 ， 安 全 管 理 有 着 不 同

35、 的 内 涵 和 外 延 。并 可 作 为 落 实 IT治 理 的 技 术 手 段 。 安 全 管 理 的 目 标 是 要 以 业 务 安 全 需 求 为 导 向 ， 以 保 证 政 府业 务 连 续 性 为 目 的 ， 通 过 对 业 务 信 息 系 统 的 运 行 状 态 、 安全 事 件 、 资 产 、 漏 洞 、 威 胁 、 风 险 、 预 警 、 安 全 策 略 、 安全 知 识 等 安 全 要 素 进 行 收 集 、 分 析 、 管 理 ， 提 供 以 业 务 风险 管 理 为 核 心 的 安 全 运 行 管 理 平 台 。 集 中 的 监 测 、 集 中 的安 全 分 析 、 集

36、 中 的 安 全 决 策 和 集 中 的 响 应 控 制 。 驱 动 当 今 安 全 管 理 发 展 的 主 要 因 素 内 因 ： 国 内 信 息 化 水 平 发 展 阶 段 使 然 。 经 过 多 年 的 发 展 ， 国 内 的 信 息化 基 建 建 设 已 经 初 具 规 模 ， 很 多 政 府 部 门 的 基 础 设 施 都 基 本 搭 建 完 成， 维 护 着 大 量 的 IT设 施 。 面 对 这 些 复 杂 的 IT资 源 及 其 所 承 载 的 业 务 系统 的 管 理 ， 尤 其 是 安 全 管 理 ， 越 来 越 成 为 制 约 企 业 信 息 化 水 平 进 一 步提 升

37、 的 瓶 颈 ， 越 来 越 多 的 用 户 已 经 主 动 提 出 要 部 署 安 全 管 理 产 品 了 。 外 因 ： 法 律 法 规 和 风 险 与 内 控 管 理 。 通 过 安 全 管 理 系 统 可 以 有 效 地 进行 IT信 息 系 统 的 审 计 与 合 规 管 理 。 在 国 内 ， 近 来 国 资 委 、 银 监 会 、 证监 会 、 电 信 、 移 动 、 民 航 等 等 ， 纷 纷 发 布 了 风 险 管 理 的 相 关 法 规 和 指引 ， 都 强 调 了 IT信 息 系 统 安 全 管 理 的 重 要 性 ， 尤 其 提 出 了 企 业 的 一 把手 责 任 制

38、 。 IT资 源 环 境 的 定 义 IT资 源 环 境 是 指 包 括 网 络 和 安 全 基 础 设 施 、 主 机 、 服 务 器 、 支 撑 服 务和 应 用 中 间 件 ， 以 及 业 务 运 营 系 统 在 内 的 企 业 和 组 织 所 有 IT设 施 的 总和 ， 它 既 有 硬 件 ， 也 有 软 件 。 在 安 全 管 理 中 ， IT资 源 环 境 就 是 被 保 护对 象 ， 可 以 划 分 为 三 个 层 次 ： 基 础 设 施 层 、 应 用 层 和 业 务 层 。 业 务 的 定 义 业 务 ， 是 业 务 系 统 的 简 称 。 从 技 术 层 面 上 看 ，

39、业 务 是 一 组 IT资 源 及 其相 互 关 系 的 集 合 。 例 如 ， 一 个 OA业 务 可 能 包 括 了 OA的 中 间 件 ， 承 载这 个 中 间 件 系 统 运 行 的 服 务 器 、 数 据 库 系 统 和 承 载 数 据 库 运 行 的 服 务器 ， 包 括 这 些 服 务 器 连 接 的 交 换 机 、 防 火 墙 ， 甚 至 还 包 括 服 务 器 所 在的 机 房 。 这 些 IT资 源 有 机 的 结 合 在 一 起 ， 共 同 承 担 一 组 产 生 特 定 客 户价 值 的 任 务 ， 就 形 成 了 业 务 。 在 我 国 信 息 安 全 领 域 ， 一

40、 般 把 业 务 的 技 术 支 撑 架 构 称 为 计 算 机 信 息 系统 ， 简 称 信 息 系 统 。 在 GB17859-1999中 ， 计 算 机 信 息 系 统 定 义 为 ：由 计 算 机 及 其 相 关 的 和 配 套 的 设 备 、 设 施 （ 含 网 络 ） 构 成 的 ,按 照 一 定的 应 用 目 标 和 规 则 对 信 息 进 行 采 集 、 加 工 、 存 储 、 传 输 、 检 索 等 处 理的 人 机 系 统 。 在 GB/T 220271-2006中 ， 进 一 步 指 出 信 息 系 统 一 般 由支 持 软 件 运 行 的 硬 件 系 统 （ 含 计 算

41、 机 硬 件 和 网 络 硬 件 系 统 ） 、 对 系 统资 源 进 行 管 理 和 为 用 户 使 用 提 供 基 本 支 持 的 系 统 软 件 （ 含 计 算 机 操 作系 统 软 件 、 数 据 库 管 理 系 统 软 件 、 网 络 协 议 软 件 和 管 理 软 件 ） 、 实 现信 息 系 统 应 用 功 能 的 应 用 系 统 软 件 等 组 成 。 这 些 硬 件 和 软 件 共 同 协 作运 行 ， 实 现 信 息 系 统 的 整 体 功 能 。 在 我 国 ， 自 1998年 第 一 家 CA认 证 中 心 （ CTCA） 成 立 以 来 ， 全 国 已 经有 超 过

42、30家 CA存 在 。 但 是 无 庸 讳 言 的 是 ， 我 国 PKI/CA建 设 还 处 在 起 步 的阶 段 ， 存 在 不 少 亟 待 解 决 的 问 题 。 u各 家 在 建 立 CA的 过 程 中 对 技 术 标 准 和 管 理 规 范 的 理 解 有 较 大 差 距 ； u各 家 CA基 本 处 于 互 相 分 割 状 态 ， 成 为 互 不 关 联 的 信 任 孤 岛 ， 尚 未 形 成 完 整 的 国家 PKI体 系 ； u已 建 成 的 CA规 模 小 、 利 用 率 低 且 产 业 有 待 重 组 ， 距 离 可 商 业 化 运 作 的 规 模 还 相差 很 远 ； u

43、有 些 单 位 过 低 估 计 了 建 设 CA应 负 的 社 会 责 任 和 经 济 责 任 ； u有 些 单 位 过 低 估 计 了 建 设 CA 的 难 度 ， 一 些 已 经 建 立 的 CA对 自 身 的 安 全 性 普 遍考 虑 不 够 全 面 。 证 书 中 心 CA 它 是 整 个 证 书 与 密 钥 管 理 系 统 的 核 心 ， 可 完 成 系 统 的 核 心 处 理 功 能 ， 包 括 ： 产 生和 管 理 CA与 用 户 的 密 钥 、 签 发 各 种 证 书 和 CRL（ 证 书 撤 消 列 表 ） 、 管 理 和 维 护 核心 数 据 库 中 的 用 户 证 书 及

44、 密 钥 信 息 ， 以 及 对 其 他 模 块 的 请 求 进 行 处 理 和 应 答 。 注 册 中 心 RA 它 是 注 册 和 审 核 处 理 机 构 ， 主 要 负 责 用 户 的 注 册 管 理 和 各 种 业 务 申 请 信 息 的 审 核管 理 ， 是 CA的 业 务 前 端 。 管 理 工 具 Admin 它 可 以 实 现 对 整 个 系 统 的 配 置 和 管 理 。 目 录 服 务 系 统 LDAP 它 可 以 完 成 证 书 系 统 的 发 布 功 能 ， 负 责 存 放 用 户 证 书 、 CRL、 授 权 信 息 及 其 他 用户 信 息 。 交 叉 认 证 CA

45、 服 务 器 申 请 证 书获 取 证 书 个 人 用 户机 构 用 户 申 请 证书 获 取 证 书 数 据 加 密 ： 密 文 传 送数 字 签 名 ： 身 份 确 认 防 火 墙 +VPN 防 火 墙 +VPN防 火 墙 +VPN 防 火 墙 +VPN安 全 服 务 器 网 络 SSN Web服 务 器Email服 务 器DNS服 务 器移 动 用 户 防病毒 服务器 CA 认证服务器信息审计系统网络监控系统 Internet 公 开 服 务 网安 全 服 务 网 内 部 网VPN 82 建 立 安 全 的 物 理 层 ， 保 障 电 子 政 务 系 统 的 物 理 安 全 保 证 计

46、算 机 信 息 系 统 各 种 设 备 的 物 理 安 全 是 保 障 整 个 网 络 系统 安 全 的 前 提 。 物 理 安 全 是 保 护 计 算 机 网 络 设 备 、 设 施 以 及 其 它 媒 体免 遭 地 震 、 水 灾 、 火 灾 等 环 境 事 故 以 及 人 为 操 作 失 误 或 错 误 及 各 种 计算 机 犯 罪 行 为 导 致 的 破 坏 过 程 .它 主 要 包 括 三 个 方 面 ： 环 境 安 全 、 设备 安 全 、 媒 体 安 全 。 环 境 安 全 ： 对 系 统 所 在 环 境 的 安 全 保 护 ， 如 区 域 保 护 和 灾 难 保 护 ;（ 参

47、见 国 家 标 准 GB50173 93 电 子 计 算 机 机 房 设 计 规 范 ， 国 标GB2887 89 计 算 站 场 地 技 术 条 件 、 GB9361 88 计 算 站 场 地 安 全要 求 。 设 备 安 全 ： 设 备 安 全 主 要 包 括 设 备 的 防 盗 、 防 毁 、 防 电 磁 信 息 辐 射 泄漏 、 防 止 线 路 截 获 、 抗 电 磁 干 扰 及 电 源 保 护 等 ： 设 备 冗 余 备 份 ； 通 过严 格 管 理 及 提 高 员 工 的 整 体 安 全 意 识 来 实 现 。 媒 体 安 全 ： 媒 体 安 全 包 括 媒 体 数 据 的 安 全

48、 及 媒 体 本 身 的 安 全 。 83 发 展 自 主 的 信 息 产 业 ， 构 建 安 全 的 技 术 支 撑 层 安 全 的 技 术 支 撑 层 主 要 包 括 ： 硬 块 件 平 台 、 操 作 系 统 、 数 据 库 系 统 、通 用 中 间 件 技 术 。 采 用 Wintel体 系 （ Windows操 作 系 统 +Intel芯 片 ） 的 计 算 机 ， 自 主 知 识 产 权的 产 品 基 本 没 有 。 由 于 电 子 政 务 系 统 具 有 其 特 殊 性 ， 在 选 择 相 关 的 产 品 和 技 术 时需 要 站 在 战 略 的 高 度 上 进 行 全 面 的

49、审 慎 的 考 察 和 研 究 ， 其 中 之 一 就 是 要 选 择 具 有自 主 性 的 产 品 和 技 术 。 应 该 加 大 对 于 自 主 知 识 产 权 产 品 在 资 金 、 技 术 、 人 力 方 面的 投 入 ， 并 在 尽 可 能 短 的 时 间 内 生 产 出 以 自 主 知 识 产 权 技 术 为 核 心 的 产 品 ,取 代外 国 的 产 品 ,掌 握 主 动 。 对 于 操 作 系 统 而 言 ， 如 微 软 的 Windows， 其 安 全 性 无 法 得 到 充 分 保 障 ， 对 信息 安 全 构 成 潜 在 威 胁 。 目 前 国 内 在 Linux源 代

50、码 基 础 上 进 行 操 作 系 统 开 发 的 产 品有 ： 中 科 红 旗 、 中 软 等 ， 国 产 linux平 台 可 以 为 符 合 电 子 政 务 系 统 的 当 然 之 选 。 84 对 于 数 据 库 技 术 ， 在 我 国 电 子 政 务 系 统 建 设 进 程 中 拥 有 极 大 的 需 求 量 、应 用 也 极 为 广 泛 ， 因 为 我 国 80%的 社 会 信 息 资 源 在 政 府 手 。 但 我 国 目前 的 数 据 库 市 场 仍 以 国 外 品 牌 为 主 ， 占 据 国 内 95%以 上 市 场 份 额 ,主 要产 品 以 SQL Server、 Ora

51、cle、 DB2等 国 外 数 据 库 软 件 厂 商 为 主 。 85 安 全 管 理 比 安 全 技 术 更 重 要 常 言 道 “ 三 分 技 术 、 七 分 管 理 ” ， 安 全 方 案 的 实 现 离 不 开 管 理 。即 使 采 用 了 最 先 进 的 安 全 技 术 成 果 不 对 人 员 的 权 限 进 行 有 效 合 理的 分 配 ， 照 样 可 以 越 权 操 作 ； 如 果 没 有 对 异 常 事 件 处 理 的 流 程 和规 范 当 遇 到 攻 击 时 ， 仍 然 会 不 知 所 措 。 网 络 安 全 管 理 问 题 关 键 在于 人 的 管 理 ， 而 不 只 是

52、 网 络 软 件 的 应 用 。 如 果 有 一 系 列 的 安 全 设备 ， 而 没 有 完 善 的 实 施 计 划 和 管 理 制 度 电 子 政 务 网 络 安 全 仍 然 是一 句 空 话 。 这 包 括 制 定 和 实 施 一 系 列 规 章 制 度 如 网 络 操 作 使 用 规程 、 机 房 管 理 制 度 、 网 络 系 统 的 维 护 制 度 和 应 急 措 施 ； 加 强 员 工安 全 培 训 并 采 用 专 业 安 全 人 员 对 网 络 进 行 管 理 、 维 护 和 升 级 ； 必要 的 话 还 可 以 选 择 安 全 顾 问 公 司 进 行 技 术 支 持 。 86

53、 增 强 人 们 的 信 息 安 全 意 识 目 前 国 内 电 子 系 统 安 全 问 题 的 一 个 主 要 原 因 是 政 府 部 门管 理 者 缺 少 或 没 有 信 息 安 全 意 识 。 某 些 政 府 部 门 的 网 络 管 理员 甚 至 认 为 自 己 所 有 的 部 门 不 是 特 别 重 要 的 机 构 或 从 来 没 有受 到 黑 客 的 攻 击 ， 以 后 就 不 会 成 为 黑 客 的 攻 击 目 标 。 其 实 人是 各 个 安 全 环 节 中 最 重 要 的 因 素 ， 全 面 提 高 工 作 人 员 的 信 息安 全 意 识 是 网 络 信 息 安 全 与 保

54、密 的 最 重 要 保 证 。 87 加 快 高 等 级 信 息 安 全 人 才 的 培 养 目 前 在 我 国 ， 信 息 安 全 人 才 培 养 方面 的 投 入 还 有 较 大 的 欠 缺 ， 在 教 育 系 统 ， 专 门 针 对 信 息 安 全 开 设 的 专业 与 社 会 需 求 相 比 ， 也 还 远 远 不 够 科 研 院 所 进 行 的 安 全 专 业 人 员 的 培养 力 度 与 国 外 相 比 ， 有 相 当 差 距 。 信 息 安 全 方 面 的 人 才 很 少 ， 而 政 府部 门 及 其 他 部 门 对 信 息 安 全 人 才 的 需 求 是 很 大 的 。 要 解 决 这 种 供 需 矛盾 必 须 回 忆 信 息 安 全 人 才 的 需 求 。 88 电 子 政 务 系 统 的 安 全 体 系 结 构 是 发 展 的 、 动 态 的 。 安 全 体 系 结 构 必须 根 据 攻 击 手 段 的 发 展 进 行 相 应 的 更 新 的 升 级 。 任 何 安 全 产 品 或 服 务 ，仅 配 置 一 次 是 不 够 的 。 可 以 说 ， 安 全 体 系 结 构 是 一 个 持 续 的 过 程 ， 安全 策 略 应 适 应 网 络 的 动 态 性 。 只 有 这 样 ， 我 国 电 子 政 务 的 实 施 才 能 顺利 进 行 。