信息系統(tǒng)安全防護(hù)涵蓋哪幾大類(lèi)項(xiàng)目

信息系統(tǒng)的安全防護(hù)是一項(xiàng)非常復(fù)雜的工程，圍繞它目前已經(jīng)形成了眾多安全技術(shù)。而一個(gè)安全的信息系統(tǒng)通常要綜合采用多種技術(shù)和部署相應(yīng)的安全產(chǎn)品，通過(guò)建立一個(gè)縱深的安全防護(hù)體系，從而增加攻擊者入侵系統(tǒng)所花費(fèi)的時(shí)間、成本和所需要的資源，以最終降低系統(tǒng)被攻擊的危險(xiǎn)，達(dá)到安全防護(hù)的目標(biāo)。下文是信息安全防護(hù)的技術(shù)架構(gòu)，它基本上囊括了當(dāng)今安全領(lǐng)域內(nèi)所采用的主要安全技術(shù)，包括身份認(rèn)證、訪問(wèn)控制、內(nèi)容安全、審計(jì)和跟蹤、響應(yīng)和恢復(fù)幾個(gè)部分。下面將分別對(duì)這些技術(shù)的特點(diǎn)及其使用范圍進(jìn)行介紹。

身份認(rèn)證

身份認(rèn)證是對(duì)網(wǎng)絡(luò)中的主體和客體的身份進(jìn)行驗(yàn)證的過(guò)程，所包括的典型技術(shù)有：口令認(rèn)證機(jī)制、公開(kāi)密鑰基礎(chǔ)設(shè)施(PKI)強(qiáng)認(rèn)證機(jī)制、基于生物特征的認(rèn)證等。

口令認(rèn)證口令認(rèn)證是最常用的一種認(rèn)證方式?？诹钍窍嗷ゼs定的代碼，通常只有用戶(hù)和系統(tǒng)知道。口令有時(shí)由用戶(hù)選擇，有時(shí)由系統(tǒng)分配。通常情況下，用戶(hù)先輸入某種標(biāo)志信息，比如用戶(hù)名和ID號(hào)，然后系統(tǒng)詢(xún)問(wèn)用戶(hù)口令，若口令相匹配，用戶(hù)即可進(jìn)入系統(tǒng)訪問(wèn)?？诹钣卸喾N，如一次性口令，系統(tǒng)生成一次性口令的清單，規(guī)定第一次時(shí)必須使用X，第二次時(shí)必須使用Y，第三次時(shí)用Z……還有基于時(shí)間的口令，即訪問(wèn)者使用的口令隨時(shí)間變化，變化基于時(shí)間和一個(gè)秘密的用戶(hù)密鑰，這樣口令隨時(shí)都在改變，使其更加難以猜測(cè)。

PKI的認(rèn)證機(jī)制PKI(PublicKeyInfrastructure)技術(shù)是通過(guò)公鑰密碼體制中用戶(hù)私鑰的機(jī)密性來(lái)提供用戶(hù)身份的惟一性驗(yàn)證，并通過(guò)數(shù)字證書(shū)的方式為每個(gè)合法用戶(hù)的公鑰提供一個(gè)合法性的證明，建立了用戶(hù)公鑰到證書(shū)ID號(hào)之間的惟一映射關(guān)系。PKI主要由證書(shū)生產(chǎn)系統(tǒng)和應(yīng)用系統(tǒng)組成，證書(shū)生產(chǎn)系統(tǒng)又包括數(shù)字證書(shū)認(rèn)證中心(CertificationAuthority，CA)和密鑰管理中心(KeyManagement，KM)，共同完成數(shù)字證書(shū)的申請(qǐng)、審核、簽發(fā)、注銷(xiāo)、更新、查詢(xún)等功能。證書(shū)應(yīng)用系統(tǒng)提供身份認(rèn)證、加解密、簽名驗(yàn)簽等安全服務(wù)功能，以解決業(yè)務(wù)應(yīng)用中的機(jī)密性、完整性、認(rèn)證性、不可否認(rèn)性等安全問(wèn)題。

由于數(shù)字證書(shū)本身是公開(kāi)的，因此在身份驗(yàn)證過(guò)程中必須通過(guò)公鑰與私鑰之間的惟一映射關(guān)系(由公鑰加密體制自身提供保證)來(lái)間接建立用戶(hù)私鑰和證書(shū)ID號(hào)之間的映射關(guān)系。數(shù)字證書(shū)可以存儲(chǔ)在多種介質(zhì)上(硬盤(pán)、軟盤(pán)、IC卡、USBKey等)。若采用硬件形式如智能IC卡、USBKey等，把用戶(hù)的私鑰存放其中則更安全。

PKI的認(rèn)證是一種強(qiáng)認(rèn)證機(jī)制，綜合采用了摘要算法、非對(duì)稱(chēng)加密、對(duì)稱(chēng)加密、數(shù)字簽名等技術(shù)，很好地將安全性和高效性結(jié)合起來(lái)。這種認(rèn)證方法目前廣泛應(yīng)用在電子郵件、應(yīng)用服務(wù)器訪問(wèn)、客戶(hù)端認(rèn)證、防火墻認(rèn)證等領(lǐng)域。

生物特征的認(rèn)證基于生物特征的認(rèn)證是一項(xiàng)正處于研究開(kāi)發(fā)階段的技術(shù)，常見(jiàn)的有指紋、聲音、視網(wǎng)膜或虹膜、手掌幾何學(xué)等。這種利用個(gè)人生理特征進(jìn)行鑒別的方式具有很高的安全性。目前已推出的設(shè)備包括：視網(wǎng)膜掃描儀、指紋識(shí)別儀、聲音驗(yàn)證設(shè)備、手型識(shí)別器。

訪問(wèn)控制

訪問(wèn)控制的主要任務(wù)是保證網(wǎng)絡(luò)資源和應(yīng)用系統(tǒng)不被非法使用和訪問(wèn)。訪問(wèn)控制所包括的典型技術(shù)有：防火墻、虛擬專(zhuān)用網(wǎng)(VPN)、授權(quán)管理基礎(chǔ)設(shè)施(PMI)等。

防火墻：防火墻是指設(shè)置在不同網(wǎng)絡(luò)(如可信任的內(nèi)部網(wǎng)和不可信的公共網(wǎng))或網(wǎng)絡(luò)安全域之間的一系列部件的組合，它是不同網(wǎng)絡(luò)或網(wǎng)絡(luò)安全域之間信息的惟一出入口，能根據(jù)單位的安全策略(允許、拒絕等)控制出入網(wǎng)絡(luò)的信息流，且本身具有較強(qiáng)的抗攻擊能力。

防火墻是目前用得最廣泛的一種安全技術(shù)，它可以限制外部對(duì)系統(tǒng)資源的非授權(quán)訪問(wèn)，也可以限制內(nèi)部對(duì)外部的非授權(quán)訪問(wèn)，同時(shí)還限制內(nèi)部系統(tǒng)之間，特別是安全級(jí)別低的系統(tǒng)對(duì)安全級(jí)別高的系統(tǒng)的非授權(quán)訪問(wèn)。

VPN虛擬專(zhuān)網(wǎng)(VirtualPrivateNetwork，VPN)是指采用隧道技術(shù)以及加密、身份認(rèn)證等方法，在公共網(wǎng)絡(luò)上構(gòu)建專(zhuān)用的網(wǎng)絡(luò)，數(shù)據(jù)通過(guò)安全的“加密隧道”在公共網(wǎng)絡(luò)中傳輸。

VPN可使用戶(hù)或企業(yè)通過(guò)公共的互聯(lián)網(wǎng)絡(luò)連接到遠(yuǎn)程服務(wù)器、分部辦公室服務(wù)器或其他企業(yè)的網(wǎng)絡(luò)，同時(shí)可以保護(hù)通信的安全。VPN具有安全性、服務(wù)質(zhì)量保證(QoS)、可擴(kuò)充性和靈活性、可管理性、使用價(jià)格低廉等特點(diǎn)，正是這些特點(diǎn)使得VPN已得到廣泛應(yīng)用。

PMIPMI(PrivilegeManagementInfrastructure)是屬性機(jī)構(gòu)、屬性證書(shū)、屬性證書(shū)注冊(cè)申請(qǐng)中心、屬性庫(kù)、策略庫(kù)等部件的集合體，用來(lái)實(shí)現(xiàn)權(quán)限和證書(shū)的產(chǎn)生、管理、存儲(chǔ)、分發(fā)和撤銷(xiāo)功能。PMI可以向應(yīng)用系統(tǒng)提供對(duì)實(shí)體(人、服務(wù)器、程序等)的權(quán)限管理和授權(quán)服務(wù)，實(shí)現(xiàn)實(shí)體身份到應(yīng)用權(quán)限的映射，提供與實(shí)際應(yīng)用處理模式相應(yīng)的、與具體應(yīng)用系統(tǒng)開(kāi)發(fā)和管理無(wú)關(guān)的授權(quán)和訪問(wèn)控制機(jī)制，簡(jiǎn)化具體應(yīng)用系統(tǒng)的開(kāi)發(fā)與維護(hù)。PMI以應(yīng)用系統(tǒng)的資源管理為核心，將對(duì)資源的訪問(wèn)控制權(quán)統(tǒng)一交由授權(quán)機(jī)構(gòu)進(jìn)行管理，即由資源的所有者——業(yè)務(wù)應(yīng)用系統(tǒng)來(lái)進(jìn)行訪問(wèn)控制。

PKI解決了實(shí)體的身份認(rèn)證問(wèn)題，即“你是誰(shuí)”，而PMI解決了實(shí)體的授權(quán)問(wèn)題，即“你能干什么”。

內(nèi)容安全

內(nèi)容安全主要是直接保護(hù)系統(tǒng)中傳輸和存儲(chǔ)的數(shù)據(jù)。主要是通過(guò)對(duì)信息和內(nèi)容本身進(jìn)行變形和變換，或者對(duì)具體的內(nèi)容進(jìn)行檢查來(lái)實(shí)現(xiàn)。內(nèi)容安全所包括的典型技術(shù)有：加密、防病毒、內(nèi)容過(guò)濾等。

加密：加密是信息安全領(lǐng)域的一種基本、實(shí)用且非常重要的技術(shù)。主要分為對(duì)稱(chēng)加密、非對(duì)稱(chēng)加密兩類(lèi)。對(duì)稱(chēng)加密使用單個(gè)密鑰對(duì)數(shù)據(jù)進(jìn)行加密或解密，其特點(diǎn)是計(jì)算量小、加密效率高。但是此類(lèi)算法在分布式系統(tǒng)上使用較為困難，主要是密鑰管理困難。這類(lèi)算法的代表是DES、RC2、RC4、RC5、3DES等。

非對(duì)稱(chēng)加密算法也稱(chēng)公開(kāi)密鑰加密算法，其特點(diǎn)是有兩個(gè)密鑰(即公用密鑰和私有密鑰)，只有二者搭配使用才能完成加密和解密的全過(guò)程。由于非對(duì)稱(chēng)算法擁有兩個(gè)密鑰，它特別適用于分布式系統(tǒng)中的數(shù)據(jù)加密，因此在Internet中得到廣泛應(yīng)用。其中公用密鑰在網(wǎng)上公布，為對(duì)數(shù)據(jù)加密使用，而用于解密的相應(yīng)私有密鑰則由數(shù)據(jù)的接收方妥善保管。典型算法有：RSA、DSA、ECC等。

在實(shí)際應(yīng)用中，通常將對(duì)稱(chēng)加密和非對(duì)稱(chēng)加密結(jié)合起來(lái)：即首先由對(duì)稱(chēng)密鑰對(duì)輸入的數(shù)據(jù)進(jìn)行加密，然后用公鑰對(duì)對(duì)稱(chēng)密鑰進(jìn)行加密。因?yàn)樗粌H保證了加密的高效性(對(duì)稱(chēng)密鑰的快速加密)，還保證了加密的高強(qiáng)度性(公鑰的強(qiáng)加密)。

防病毒：病毒是一種進(jìn)行自我復(fù)制、廣泛傳播、對(duì)計(jì)算機(jī)及其數(shù)據(jù)進(jìn)行嚴(yán)重破壞的程序。

由于病毒具有隱蔽性與隨機(jī)性的特點(diǎn)，使用戶(hù)防不勝防。特別是隨著信息網(wǎng)絡(luò)規(guī)模不斷擴(kuò)大和高帶寬Internet的多點(diǎn)接入，病毒已成為最大的安全威脅。

防范病毒必須建立多層的網(wǎng)絡(luò)級(jí)病毒防治系統(tǒng)：第一層是網(wǎng)關(guān)(代理服務(wù)器)防毒，第二層是服務(wù)器防毒，第三層是客戶(hù)端計(jì)算機(jī)防毒，這樣能有效地防治病毒，并建立完善的病毒管理體系，負(fù)責(zé)防病毒軟件的自動(dòng)分發(fā)、自動(dòng)升級(jí)、集中配置和管理、統(tǒng)一事件和告警處理、保證整個(gè)企業(yè)范圍內(nèi)病毒防護(hù)體系的一致性和完整性。

內(nèi)容過(guò)濾：內(nèi)容過(guò)濾就是采取適當(dāng)?shù)募夹g(shù)措施，對(duì)Internet上的不良信息進(jìn)行過(guò)濾，既阻止不良信息對(duì)人們的侵害，又可以通過(guò)規(guī)范用戶(hù)的上網(wǎng)行為，提高工作效率，合理利用網(wǎng)絡(luò)資源。

內(nèi)容過(guò)濾技術(shù)還很不成熟，通常內(nèi)容過(guò)濾技術(shù)包括關(guān)鍵詞過(guò)濾技術(shù)、圖像過(guò)濾技術(shù)、模板過(guò)濾技術(shù)和智能過(guò)濾技術(shù)等。目前，很多防火墻集成了內(nèi)容過(guò)濾技術(shù)，能對(duì)URL網(wǎng)址和網(wǎng)頁(yè)文字等固定內(nèi)容進(jìn)行過(guò)濾。

審計(jì)和跟蹤

審計(jì)和跟蹤這種機(jī)制一般情況下并不干涉和直接影響主業(yè)務(wù)流程，而是通過(guò)對(duì)主業(yè)務(wù)進(jìn)行記錄、檢查、監(jiān)控等來(lái)完成以審計(jì)、完整性等要求為主的安全功能。審計(jì)和跟蹤所包括的典型技術(shù)有：入侵檢測(cè)系統(tǒng)(IDS)、漏洞掃描系統(tǒng)、安全審計(jì)系統(tǒng)等。

IDS入侵檢測(cè)是一種主動(dòng)保護(hù)網(wǎng)絡(luò)和系統(tǒng)安全的技術(shù)，它從計(jì)算機(jī)系統(tǒng)或網(wǎng)絡(luò)中采集、分析數(shù)據(jù)，查看網(wǎng)絡(luò)或主機(jī)系統(tǒng)中是否有違反安全策略的行為和遭到攻擊的跡象，并采取適當(dāng)?shù)捻憫?yīng)措施來(lái)阻擋攻擊，降低可能的損失。它能提供對(duì)內(nèi)部攻擊、外部攻擊和誤操作的保護(hù)。

入侵檢測(cè)系統(tǒng)可分為基于網(wǎng)絡(luò)(NIDS)和基于主機(jī)(HIDS)兩種。通過(guò)在特定網(wǎng)段、關(guān)鍵服務(wù)器上安裝IDS，可實(shí)時(shí)檢測(cè)出大多數(shù)攻擊，并采取相應(yīng)的行動(dòng)(如斷開(kāi)網(wǎng)絡(luò)連接、記錄攻擊過(guò)程、跟蹤攻擊源等)。

漏洞掃描系統(tǒng)漏洞掃描是自動(dòng)檢測(cè)網(wǎng)絡(luò)或主機(jī)安全漏洞的技術(shù)，通過(guò)執(zhí)行一些腳本文件對(duì)系統(tǒng)進(jìn)行攻擊并記錄它的反應(yīng)，從而發(fā)現(xiàn)其中的漏洞并采取補(bǔ)救措施。

不管攻擊者是從外部還是從內(nèi)部攻擊某一網(wǎng)絡(luò)系統(tǒng)，攻擊機(jī)會(huì)來(lái)自已經(jīng)知道的漏洞。對(duì)于系統(tǒng)管理員來(lái)說(shuō)，漏洞掃描系統(tǒng)是最好的助手，它能夠主動(dòng)發(fā)現(xiàn)系統(tǒng)的漏洞，在主機(jī)系統(tǒng)安全保衛(wèi)戰(zhàn)中做到“有的放矢”，及時(shí)修補(bǔ)漏洞。

漏洞掃描系統(tǒng)分為網(wǎng)絡(luò)掃描系統(tǒng)、主機(jī)掃描系統(tǒng)和數(shù)據(jù)庫(kù)掃描系統(tǒng)三種。網(wǎng)絡(luò)掃描系統(tǒng)主要依靠安全漏洞庫(kù)對(duì)服務(wù)器、路由器、防火墻、操作系統(tǒng)和網(wǎng)絡(luò)應(yīng)用進(jìn)程等進(jìn)行基于網(wǎng)絡(luò)層面的安全掃描;主機(jī)掃描系統(tǒng)主要是針對(duì)操作系統(tǒng)內(nèi)部問(wèn)題進(jìn)行更深入的掃描，如Unix、NT、Linux，它可彌補(bǔ)網(wǎng)絡(luò)掃描系統(tǒng)只通過(guò)網(wǎng)絡(luò)檢查系統(tǒng)安全的不足;數(shù)據(jù)庫(kù)掃描系統(tǒng)是一種專(zhuān)門(mén)針對(duì)數(shù)據(jù)庫(kù)進(jìn)行安全漏洞檢查的掃描器，其主要功能是找出不良的密碼設(shè)定、過(guò)期密碼設(shè)定、偵測(cè)登錄攻擊行為、關(guān)閉久未使用的賬號(hào)等。

安全審計(jì)：安全審計(jì)是對(duì)網(wǎng)絡(luò)或主機(jī)的活動(dòng)軌跡進(jìn)行記錄形成日志，并對(duì)日志進(jìn)行審計(jì)，從而發(fā)現(xiàn)可疑行為。

響應(yīng)和恢復(fù)：從過(guò)程上看，響應(yīng)和恢復(fù)是對(duì)異常、故障、事故、入侵等事件發(fā)生后做出的反應(yīng)，但從根本的實(shí)現(xiàn)上看，事前的準(zhǔn)備才是該技術(shù)的關(guān)鍵。這方面的技術(shù)主要有數(shù)據(jù)備份和恢復(fù)、容災(zāi)。

備份和恢復(fù)：備份系統(tǒng)通常由備份管理系統(tǒng)和備份設(shè)備構(gòu)成，備份設(shè)備主要有：磁帶庫(kù)、磁盤(pán)陣列、光盤(pán)、SAN等。備份系統(tǒng)的目的是盡可能快地全盤(pán)恢復(fù)計(jì)算機(jī)系統(tǒng)所需的數(shù)據(jù)和系統(tǒng)信息。備份不僅在網(wǎng)絡(luò)系統(tǒng)硬件故障或人為失誤時(shí)起到保護(hù)作用，也在入侵者非授權(quán)訪問(wèn)或?qū)W(wǎng)絡(luò)攻擊及破壞數(shù)據(jù)完整性時(shí)起到保護(hù)作用。一般的數(shù)據(jù)備份策略有三種：全備份、增量備份和差分備份。全備份備份系統(tǒng)中所有的數(shù)據(jù);增量備份只備份上次備份以后有變化的數(shù)據(jù);而差分備份則備份上次完全備份以后有變化的數(shù)據(jù)。全備份所需時(shí)間最長(zhǎng)，但恢復(fù)時(shí)間最短，操作最方便，當(dāng)系統(tǒng)中數(shù)據(jù)量不大時(shí)，采用全備份最可靠。隨著數(shù)據(jù)量的不斷增大，將無(wú)法每天做全備份，但可以在周末進(jìn)行全備份，其他時(shí)間可采用用時(shí)更少的增量備份或采用介于兩者之間的差分備份。

恢復(fù)措施在整個(gè)備份機(jī)制中占有相當(dāng)重要的地位。恢復(fù)操作通?？梢苑譃閮深?lèi)：第一類(lèi)是全盤(pán)恢復(fù)，第二類(lèi)是個(gè)別文件恢復(fù)。為了防備數(shù)據(jù)丟失，需要做好詳細(xì)的恢復(fù)計(jì)劃，同時(shí)還要定期進(jìn)行恢復(fù)演練。

容災(zāi)：容災(zāi)系統(tǒng)可以分為數(shù)據(jù)容災(zāi)和應(yīng)用容災(zāi)兩種。主要取決于對(duì)故障停機(jī)時(shí)間的設(shè)計(jì)要求。如果要求系統(tǒng)恢復(fù)時(shí)間很短，就要采用應(yīng)用級(jí)的容災(zāi)，同時(shí)也要做好網(wǎng)絡(luò)鏈路的冗余和應(yīng)用的異地接管。如果能夠容忍較長(zhǎng)一點(diǎn)的系統(tǒng)恢復(fù)時(shí)間，還可以采用數(shù)據(jù)級(jí)的容災(zāi)。

從對(duì)數(shù)據(jù)一致性的要求上來(lái)說(shuō)，容災(zāi)實(shí)現(xiàn)數(shù)據(jù)傳輸?shù)姆绞娇梢苑譃橥胶彤惒絻煞N，同步數(shù)據(jù)復(fù)制將嚴(yán)格保持生產(chǎn)系統(tǒng)和備份系統(tǒng)之間數(shù)據(jù)的同步，災(zāi)難發(fā)生后幾乎沒(méi)有數(shù)據(jù)的丟失，但對(duì)容災(zāi)距離和系統(tǒng)性能會(huì)有一定的影響;異步數(shù)據(jù)復(fù)制將保持生產(chǎn)系統(tǒng)和備份系統(tǒng)之間的數(shù)據(jù)在一定時(shí)間點(diǎn)的一致性，災(zāi)難發(fā)生后數(shù)據(jù)有部分的丟失，但對(duì)容災(zāi)距離和系統(tǒng)性能的影響相對(duì)同步要小。

容災(zāi)可以采用磁帶庫(kù)或者遠(yuǎn)程拷貝等。磁帶庫(kù)依靠備份系統(tǒng)，在每次系統(tǒng)做完一次全備份后，手工將磁帶取出，保存到一個(gè)相對(duì)安全的地方，地理位置至少不應(yīng)該在同一個(gè)大樓內(nèi);遠(yuǎn)程拷貝可以依靠SAN架構(gòu)，在存儲(chǔ)服務(wù)器時(shí)間內(nèi)進(jìn)行同步拷貝。