◆黃治華 高 峰 汪慧君

（武漢船舶通信研究所 湖北 430205）

網(wǎng)絡信息系統(tǒng)安全能力及關鍵技術研究

◆黃治華 高 峰 汪慧君

（武漢船舶通信研究所 湖北 430205）

網(wǎng)絡安全防護已成為網(wǎng)絡信息系統(tǒng)穩(wěn)定可靠運行的前提條件。本文針對網(wǎng)絡信息系統(tǒng)的網(wǎng)絡安全防護問題，分析了一個安全的網(wǎng)絡信息系統(tǒng)應具備的安全能力，提出了安全能力構成，并對實現(xiàn)這些安全能力的關鍵技術進行了初步研究。

網(wǎng)絡安全防護；物理安全；網(wǎng)絡安全；系統(tǒng)安全；應用安全

0 引言

網(wǎng)絡信息系統(tǒng)一般由支持軟件運行的硬件系統(tǒng)、對系統(tǒng)資源進行管理和為用戶使用提供基礎支持的系統(tǒng)軟件、和實現(xiàn)系統(tǒng)應用功能的應用系統(tǒng)軟件組成，這些硬件和軟件共同協(xié)作運行，實現(xiàn)整個系統(tǒng)的整體功能[1]。從安全角度看，組成網(wǎng)絡信息系統(tǒng)的各類硬件和軟件都應具備相應的安全能力，本文首先分析了一個安全的網(wǎng)絡信息系統(tǒng)應具備的安全能力構成，然后對實現(xiàn)這些安全能力的關鍵技術進行初步研究。

1 網(wǎng)絡信息系統(tǒng)安全能力構成

根據(jù)安全防護對象不同，安全能力可劃分為保障硬件系統(tǒng)安全的物理安全，保障數(shù)據(jù)網(wǎng)絡傳輸、交換安全的網(wǎng)絡安全，保障操作系統(tǒng)和數(shù)據(jù)庫管理系統(tǒng)等的系統(tǒng)安全，保障應用軟件安全運行的應用系統(tǒng)安全以及為保障安全能力達到應用安全性而采取的管理措施。

1.1 物理安全

物理安全應具備環(huán)境安全、設備安全和記錄介質(zhì)安全等能力。其中，環(huán)境安全主要指中心機房防火、防潮、防強電場、防高溫、防靜電等防護和通信線纜防護；設備安全主要指設備的防盜、防毀和設備的安全可用；記錄介質(zhì)安全主要指重要數(shù)據(jù)介質(zhì)保護、關鍵數(shù)據(jù)介質(zhì)保護以及核心數(shù)據(jù)介質(zhì)保護。

1.2 網(wǎng)絡安全

網(wǎng)絡安全應具備安全性檢測分析、安全審計、惡意代碼防護、網(wǎng)絡安全監(jiān)控、邊界防護、數(shù)據(jù)流控制以及身份鑒別等能力。其中，安全性檢測分析主要指路由器、交換機安全檢測、掃描，能抵抗對路由協(xié)議的已知攻擊；安全審計主要指對網(wǎng)絡管理人員實施的操作、審計功能的開啟和關閉，路由器、網(wǎng)絡數(shù)據(jù)包進行安全審計，并對審計數(shù)據(jù)進行分析；惡意代碼防護主要指對路由器、交換機流量進行分析，通過特征匹配識別哪些流量是惡意代碼；網(wǎng)絡安全監(jiān)控主要指網(wǎng)絡數(shù)據(jù)流監(jiān)控，能監(jiān)視和記錄路由器、交換機及其管理系統(tǒng)的運行；邊界防護主要指支持基本的登錄/連接控制，支持不同安全域間的防病毒檢測、入侵防范、信息過濾、邊界完整性等檢查功能。

1.3 系統(tǒng)安全

系統(tǒng)安全應具備操作系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)以及其他網(wǎng)絡軟件系統(tǒng)安全檢測分析、可信路徑與可信計算、訪問控制與標記、數(shù)據(jù)完整性和保密性保護等能力，確保操作系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)的安全運行以及保存在這些系統(tǒng)上數(shù)據(jù)的安全保護。其中，安全檢測分析主要指對操作系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)的帳號設置、鑒權、授權、訪問控制、程序真實性進行掃描、檢測和分析；可信路徑與可信計算主要指通過在計算機核心部位設置基于硬件支持的可信計算模塊，建立從系統(tǒng)引導、加載的可信任鏈，確保各種運行程序的真實性；訪問控制與標記主要指在安全管理員進行身份鑒別和權限控制的基礎上，只允許授權人員及客體間交互進行基于訪問控制策略基礎上的操作活動；數(shù)據(jù)完整性和保密性保護主要指確保數(shù)據(jù)在存儲以及傳輸過程中不被泄露、竊取或篡改。

1.4 應用安全

應用安全應具備應用軟件的安全檢測分析、安全審計、抵賴性、服務安全等能力。其中，安全檢測分析主要指支持對各類應用服務的帳號設置、鑒權、訪問控制、程序真實性進行掃描、檢測和分析；安全審計主要指對應用使用者實施的操作、審計功能的開啟和關閉、應用數(shù)據(jù)進行完全審計；抵賴性主要指按主體請求對傳輸?shù)臄?shù)據(jù)生成原發(fā)證據(jù)以及接收證據(jù)，實現(xiàn)抗接收抵賴和抗原發(fā)抵賴；服務安全主要指確保正在進行傳輸?shù)姆湛刂菩畔⒅辉谠炊伺c目的端之間流動，不被轉(zhuǎn)向或攔截。

1.5 安全管理

安全管理應具備數(shù)據(jù)管理、安全機制管理、應急處理、備份與故障恢復等能力。其中，數(shù)據(jù)管理主要指有限制的提供授權用戶對數(shù)據(jù)進行創(chuàng)建、清除、查詢等操作；安全機制管理主要指對分布于系統(tǒng)各個層面、各個安全域、各個環(huán)節(jié)的安全機制和產(chǎn)品，按照確定的安全策略和操作要求，實施統(tǒng)一的配置和管理；應急處理主要指明確系統(tǒng)的要求、計劃、制度，并能制定具體的應急處理措施；備份與故障恢復主要指建立數(shù)據(jù)、網(wǎng)絡等備份系統(tǒng)，在限定的時間內(nèi)，利用備份數(shù)據(jù)正確恢復系統(tǒng)、應用軟件及各類數(shù)據(jù)，并可正確恢復各項關鍵業(yè)務功能。

2 網(wǎng)絡信息系統(tǒng)安全關鍵技術

網(wǎng)絡信息系統(tǒng)5個層面的安全能力中，很多安全能力的技術實現(xiàn)機制是相同的，本節(jié)從安全技術的角度分析安全能力的形成。網(wǎng)絡信息系統(tǒng)安全關鍵技術主要包括身份鑒別技術、PKI技術[2]、標記與訪問控制技術、密碼技術、可信計算技術[3]、脆弱性掃描技術、邊界防護技術、入侵檢測與入侵防御技術[3]、惡意代碼檢測技術等。

2.1 身份鑒別技術

身份鑒別技術是對實體聲稱的身份進行驗證，身份鑒別可以是單向的也可以是雙向的。身份鑒別技術主要包括口令鑒別、生物特征鑒別、數(shù)字證書鑒別等技術。

2.2 PKI技術

PKI技術采用非對稱密碼算法原理和技術實現(xiàn)并提供安全服務的具有永久性的安全基礎，它是在數(shù)字證書和公共密鑰密碼體制的基礎上發(fā)展起來的一種安全應用架構。PKI技術主要包括公鑰加密、數(shù)據(jù)簽名等技術。

2.3 標記與訪問控制技術

標記與訪問控制技術是對用戶身份及其所屬的預先定義的策略組限制其使用數(shù)據(jù)資源能力的手段，主要是限制訪問主體對客體的訪問，從而保障數(shù)據(jù)資源在合法范圍內(nèi)得以有效使用和管理。標記與訪問控制技術主要包括自主訪問控制、強制訪問控制、基于角色的訪問控制、使用控制模型的訪問控制等技術。

2.4 密碼技術

密碼技術采用加密算法對系統(tǒng)進行保護，主要包括對稱密碼加密、公開密碼加密、單向散列加密、數(shù)字簽名等技術。

2.5 可信計算技術

可信計算技術由最初提高設備的容錯性和可靠性，轉(zhuǎn)變成對平臺硬件、軟件系統(tǒng)和服務的可信評估，適應應用需求的不斷發(fā)展。可信計算技術主要包括可信計算平臺、信任根與信任鏈、可信網(wǎng)絡等技術。

2.6 脆弱性掃描技術

脆弱性掃描技術主要對操作系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)以及各種應用軟件系統(tǒng)進行安全掃描，包括主機脆弱性掃描、網(wǎng)絡脆弱性掃描等技術。

2.7 邊界防護技術

邊界防護技術通過設置主機入侵檢測系統(tǒng)、主機防火墻等，防止主機系統(tǒng)惡意遭受病毒、惡意攻擊者的攻擊。邊界防護技術主要包括防火墻、多重安全網(wǎng)關、網(wǎng)閘、數(shù)據(jù)交換網(wǎng)等技術。

2.8 入侵檢測與入侵防御技術

入侵檢測技術是為保證計算機系統(tǒng)的安全而設計與配置的一種能夠及時發(fā)現(xiàn)并報告系統(tǒng)中未授權或異?，F(xiàn)象的技術，是一種用于檢測計算機網(wǎng)絡中違反安全策略行為的技術。入侵檢測與入侵防御技術主要包括基于異常檢測模型入侵檢測、基于誤用檢測模型的入侵檢測等技術。

2.9 惡意代碼檢測技術

惡意代碼檢測技術主要是檢測病毒、蠕蟲、木馬、垃圾郵件、間諜程序等所有可能危害計算機安全的程序，主要包括惡意代碼靜態(tài)檢測、惡意代碼動態(tài)檢測等技術。

3 結(jié)束語

本文分析了網(wǎng)絡信息系統(tǒng)的安全能力構成，并對實現(xiàn)安全能力的關鍵技術進行了初步研究，系統(tǒng)梳理了網(wǎng)絡信息系統(tǒng)的安全要求，對構建安全的網(wǎng)絡信息系統(tǒng)具有一定的參考價值。

[1]Douglas Jacobson． 網(wǎng)絡安全基礎-網(wǎng)絡攻防、協(xié)議與安全[M]．北京：電子工業(yè)出版社，2016．

[2]張明德．PKI/CA與數(shù)字證書技術大全[M]．北京：電子工業(yè)出版社，2015．

[3]田俊峰．可信計算與信任管理[M]．北京：科學出版社，2014．