檢察專網信息系統安全策略研究

林建紅

[摘要]檢察機關作為法律監督部門，其信息網絡安全涉及到國家的主權和安全、社會政治穩定、社會經濟穩步發展、保護公民合法利益等諸多方面，為此，要高度重視檢察機關的信息安全保護工作。以信息系統安全基本概念的理解為基礎，通過深入分析檢察專網的安全威脅，提出了基于綜合保護的檢察系統信息安全策略。

[關鍵詞]檢察系統 信息安全 策略研究

中圖分類號：TP3文獻標識碼：A文章編號：1671－7597（2009）0320036－03

隨著檢察機關信息化建設的不斷發展，通過網絡并利用信息技術開展檢察工作，越來越成為各級檢察機關的共識和目標。到目前為止，全國多數檢察院建立了電子郵件服務系統和內部信息發布系統。最高檢與各省檢察院也全部實現省、市、縣三級專網的連接，建立了信息發布平臺，實現了內部數據資源信息的基本共享，信息技術已滲透到檢察工作的方方面面。在此背景下，檢察專網信息安全問題面臨著越來越嚴峻的考驗。檢察專網屬國家重要執法監督機關，在檢察專網上，涉及國家安全、社會秩序、經濟建設和公共利益的信息密集，萬一發生數據丟失、被竊或系統服務被破壞的情況下，將對國家安全、社會秩序、經濟建設和公共利益造成重大損害，也將嚴重破壞檢察機關的形象。因此，加強檢察專網信息安全策略研究，對提高檢察專網信息安全防護水平，確保檢察專網信息安全具有十分重要的意義。

一、信息系統安全技術發展現狀

（一）信息系統安全內涵

信息系統安全的內容包括兩個方面，即物理安全和邏輯安全，物理安全指系統設備及相關設施受到物理保護，免于破壞、丟失等。邏輯安全包括信息完整性、保密性和可用性。事實上，隨著信息技術的發展與應用，信息系統安全的內涵和外延也在不斷地延伸和擴大。因此，可將信息系統安全定義為：“信息系統安全是確保以計算機網絡系統在進行通信時處理和利用的信息內容在各個物理位置、邏輯區域、存儲介質和傳輸介質中，處于動態和靜態過程中的保密性、完整性、可用性、可控性和信息行為的不可否認性，與人、網絡、環境有關的技術安全結構安全和管理安全的總和。”因現代的數據處理系統都是建立在計算機網絡基礎上，因此，可以認為信息系統安全與計算機網絡安全兩個概念是等價的。都是利用網絡管理控制和技術措施，保證在一個網絡環境中信息數據的機密性、完整性和可用性受到保護，即保證網絡中信息的安全。

90年代以來，大量出現的黑客事件和籠罩著信息空間的信息戰的陰影使人們意識到僅僅有保護還不能全面涵蓋信息安全的各個方面，信息系統安全也因此出現了信息保障的新概念。信息保障（IA-Information Assurance）的內涵超出傳統的信息安全保密，而是保護（Protection）、檢測（Detection）、反應（Reaction）、恢復（Restore）的有機結合，稱之為PDRR模型。

（二）信息安全防護技術發展

信息系統的安全防護是一個綜合的系統工程，在實現過程中使用了多種安全技術，主要技術手段如防火墻、鑒別與授權、審計與監控、加密、安全掃描等。它們大致分別分為網絡安全、數據安全和系統安全三個方面。網絡安全技術主要包括安全網絡拓撲、防火墻、實時入侵檢測和審計與監控。

數據安全技術主要依賴于密碼技術，加密技術是數據安全的核心，數據完整性、保密性、可用性和可靠性的實現都是由一種或多種加密技術組合應用實現的。主要加密技術包括私鑰密碼技術、公鑰密碼技術、安全套接層協議SSL和安全電子交易SET協議。系統安全主要包括鑒別認證機制、安全操作系統和周期性安全掃描。

近年來，面對新型網絡攻擊手段的出現和高安全強度網絡對安全的特殊需求，全新安全防護防范理念和各種網絡防護技術應運而生。主要技術包括：地址翻譯（NAT）、虛擬專用網絡（VPN）、網絡隔離技術（Network

Isolation）、變址技術、中間件技術、蜜罐技術（honeypot）、公匙基礎設施PKI （Public Key Infrastructure）和內置引擎技術。

二、檢察專網信息安全威脅分析

從各級檢察機關利用檢察專網實際開展的應用分析，主要包括信息發布系統、檢察專網郵件系統、教育學習系統、專線電話系統、實時信息查詢系統、辦公系統、基于加密技術的信息傳輸系統、視頻會議系統等、財務管理系統、資產管理系統、網絡管理系統、案件辦理系統、檢委會案件討論系統等等。在這些應用中，影響檢察專網信息安全的因素很多，歸結起來大體上可以分為四種：

（一）物理安全

物理安全主要包括硬件實體的安全和輻射安全。在日常條件下，各種自然災害、人為破壞、操作失誤、設備故障、電磁干擾、被盜都可能造成信息載體的損失和數據資料的損失。此外，計算機及其外圍設備在進行信息處理時會產生電磁輻射。計算機設備進行數據處理和傳輸時，各種高頻脈沖通過各種電器元件和分布參數的耦合、調制、疊加成一個包含有用信息的頻帶信號，由電源線、電纜線等通信鏈路傳導出去；高頻脈沖通過電路元件傳導時，也會向空中以電磁波的形式輻射信息，導致信息泄露。現在的偵察技術已實現在1000米外收集顯示器輻射的信息。

（二）計算機安全

計算機安全主要是操作系統和應用程序的安全漏洞。現在廣泛使用的操作系統在安全體系結構上都先天不足，靠打補丁逐步完善，缺乏嚴密的安全框架，安全漏洞較多。訪問控制與認證功能薄弱，用戶認證方式單一，絕大多數僅為口令方式，一些更可靠的生物特征認證手段（如指紋識別、聲音識別、視網膜識別等）因缺少硬件認證部件沒有得到廣泛應用。有的操作系統還有陷門和隱蔽信道。在應用程序安全的問題上，主要是缺少完備的安全機制。在開發過程中沒有遵照安全軟件工程的原則開發，用戶只關心是否實現了所要求的功能，安全完全由程序員開發與控制，從而留下安全隱患。

（三）通信網絡安全

主要包括信道安全、網管安全、接口安全和信息傳輸安全。其中信息傳輸安全是最主要的威脅。攻擊方可通過網絡接口、搭線旁路、無線信號接收甚至在網絡中的網關和路由器上截獲數據，獲取輸出機密信息。甚至當攻擊者侵入網絡后，可能通過各種方法和手段對網絡傳輸的信息進行篡改，并發往目的地，從而破壞信息的完整性。第三種可能是信息的假冒。當攻擊者掌握網絡信息數據規律后，可以假冒合法用戶或發送假冒信息來欺騙其他用戶。

（四）安全管理

一是管理組織不完善。由于信息安全是一個相對較新的問題，目前我國檢察機關尤其是市、縣一級檢察院在編制上還沒有專業安全管理人員的崗位，也缺乏專業的安全管理組織，信息安全的人才培養還很不夠，導致具體的安全管理任務沒有辦法落實到人，即使管了也沒有明確的職權。二是管理規范不完善。大多數現有的管理制度是依據本系統的任務制定的，而信息安全是個整體工程，不完整的管理在效果上表現為“木桶效應”，即木桶的盛水量由最短的一塊木板決定，網絡系統的安全強度由最薄弱的安全環節所決定。雖然近年來相繼制定了一些管理制度，但教育宣傳不夠到位，執行落實上不夠嚴格，仍存在很多漏洞。如網絡共享管理不嚴、打印密件不加密、人員調離單位未注銷賬戶等。三是技術管理不到位。單位內部人員多數缺乏信息安全意識，對網絡安全與信息攻防的知識了解不多，多數用戶將網絡的安全完全依賴于防火墻、防病毒等技術措施，沒有提高到管理的高度來認識，無法應對日新月異的信息安全威脅。四訪問控制機制不健全。一些內部工作人員為了貪圖方便，有時私自復制秘密文檔，竊取訪問權限，工作人員之間感情代替原則的問題時有發生。如果出于不可靠人的目的，加之內部人員熟悉網絡運行情況，攻擊行為就具有很強的針對性，而且很多防護措施如防火墻、身份識別對內部攻擊不起作用，對泄露、篡改、隱瞞、抵賴、銷毀權限外信息等問題難以防范。在網絡安全行業內流行著這樣一條80/20法則：80%的安全威脅來自網絡內部。也就是說，黑客再狡猾、再危險，但真正危險的“敵人”還是隱藏在內部的。所以，要想保證網絡的安全，在做好邊界防護的同時，更要做好內部網絡的管理。

三、檢察專網信息安全策略研究

（一）物理安全策略

物理安全策略的目的是保護計算機系統、網絡服務器、打印機等硬件實體和通信鏈路免受自然災害、人為破壞和搭線攻擊；驗證用戶的身份和使用權限、防止用戶越權操作；確保計算機系統有一個良好的電磁兼容工作環境；建立完備的安全管理制度，防止非法進入計算機控制室和各種偷竊、破壞活動的發生。

抑制和防止電磁泄漏（即TEMPEST技術）是物理安全策略最主要的問題之一。主要防護措施有兩類：一類是對傳導發射的防護，主要采取對電源線和信號線加裝性能良好的濾波器，減小傳輸阻抗和導線間的交叉耦合。另一類是對輻射的防護，這類防護措施又可分為以下兩種：一是采用各種電磁屏蔽措施，如對設備的金屬屏蔽和各種接插件的屏蔽，同時對機房的各類管道和金屬門窗進行屏蔽和隔離；二是干擾的防護措施，即在計算機系統工作的同時，利用干擾裝置產生一種與計算機系統輻射相關的偽噪聲向空間輻射來掩蓋計算機系統的工作頻率和信息特征。

（二）訪問控制策略

訪問控制是網絡安全防范和保護的主要策略，主要任務是保證網絡資源不被非法使用和非法訪問，是維護網絡系統安全、保護網絡資源的重要手段。各種安全策略必須相互配合才能真正起到保護作用，但訪問控制可以說是保證網絡安全最重要的核心策略之一。下面分述各種訪問控制策略。

1．入網訪問控制。入網訪問控制為網絡訪問提供了第一層訪問控制。它控制哪些用戶能夠登錄到服務器并獲取網絡資源，控制準許用戶入網的時間和準許他們在哪臺工作站入網。用戶的入網訪問控制可分為三個步驟：用戶名的識別與驗證、用戶口令的識別與驗證、用戶帳號的缺省限制檢查。三道關卡中只要任何一關未過，該用戶便不能進入該網絡。對網絡用戶的用戶名和口令進行驗證是防止非法訪問的第一道防線。用戶注冊時首先輸入用戶名和口令，服務器將驗證所輸入的用戶名是否合法。如果驗證合法，才繼續驗證用戶輸入的口令，否則，用戶將被拒之于網絡之外。用戶的口令是用戶入網的關鍵所在。為保證口令的安全性，用戶口令不能顯示在顯示屏上，口令長度應不少于6個字符，并且是數字、字母和其他字符的混合。用戶口令必須經過加密，加密的方法很多，常見的方法有基于單向函數的口令加密、基于測試模式的口令加密、基于公鑰加密方案的口令加密、基于平方剩余的口令加密、基于多項式共享的口令加密、基于數字簽名方案的口令加密等。經過上述方法加密的口令，即使是系統管理員也難以得到它。用戶還可采用一次性用戶口令，也可用便攜式驗證器（如智能卡）來驗證用戶的身份。

網絡管理員可以控制和限制普通用戶的帳號使用、訪問網絡的時間、方式。用戶名或用戶帳號是所有計算機系統中最基本的安全形式。用戶帳號只有系統管理員才能建立。用戶口令是每個用戶訪問網絡所必須提交的“證件”，用戶可以修改自己的口令，但系統管理員應該可以控制口令的重要屬性限制，如最小口令長度、強制修改口令的時間間隔、口令的唯一性、口令的生命期。用戶名和口令驗證有效之后，再進一步履行用戶帳號的缺省限制檢查。網絡應能控制用戶登錄入網的站點、限制用戶入網的時間、限制用戶入網的工作站數量。當用戶生命期結束時，網絡還應能對用戶的帳號加以限制，用戶此時應無法進入網絡訪問網絡資源。網絡應對所有用戶的訪問進行審計。如果多次輸入口令不正確，則認為是非法用戶的入侵，應給出報警信息。

2．網絡的權限控制。網絡的權限控制是針對網絡非法操作所提出的一種安全保護措施。用戶和用戶組被賦予一定的權限。網絡控制用戶和用戶組可以訪問哪些目錄、子目錄、文件和其他資源。可以指定用戶對這些文件、目錄、設備能夠執行哪些操作。受托者指派和繼承權限屏蔽（IRM）可作為其兩種實現方式。受托者指派控制用戶和用戶組如何使用網絡服務器的目錄、文件和設備。繼承權限屏蔽相當于一個過濾器，可以限制子目錄從父目錄那里繼承哪些權限。根據訪問權限可以將用戶分為特殊用戶（即系統管理員）、一般用戶（系統管理員根據他們的實際需要為他們分配操作權限）、和審計用戶（負責網絡的安全控制與資源使用情況的審計）。用戶對網絡資源的訪問權限可以用一個訪問控制表來描述。

3．目錄級安全控制。網絡應允許控制用戶對目錄、文件、設備的訪問。用戶在目錄一級指定的權限對所有文件和子目錄有效，還可進一步指定對目錄下的子目錄和文件的權限。對目錄和文件的訪問權限一般有八種：系統管理員權限（Supervisor）、讀權限（Read）、寫權限（Write）、創建權限（Create）、刪除權限（Erase）、修改權限（Modify）、文件查找權限（File Scan）、存取控制權限（Access Control）。用戶對文件或目標的有效權限取決于用戶的受托者指派、用戶所在組的受托者指派、繼承權限屏蔽取消的用戶權限三個因素。一個網絡系統管理員應當為用戶指定適當的訪問權限，這些訪問權限控制著用戶對服務器的訪問。八種訪問權限的有效組合可以讓用戶有效地完成工作，同時又能有效地控制用戶對服務器資源的訪問，從而加強了網絡和服務器的安全性。

4．屬性安全控制。當用文件、目錄和網絡設備時，網絡系統管理員應給文件、目錄等指定訪問屬性。屬性安全控制可以將給定的屬性與網絡服務器的文件、目錄和網絡設備聯系起來。屬性安全在權限安全的基礎上提供更進一步的安全性。網絡上的資源都應預先標出一組安全屬性。用戶對網絡資源的訪問權限對應一張訪問控制表，用以表明用戶對網絡資源的訪問能力。屬性設置可以覆蓋已經指定的任何受托者指派和有效權限。屬性往往能控制以下幾個方面的權限：向某個文件寫數據、拷貝一個文件、刪除目錄或文件、查看目錄和文件、執行文件、隱含文件、共享、系統屬性等。網絡的屬性可以保護重要的目錄和文件，防止用戶對目錄和文件的誤刪除、執行修改、顯示等。

5．網絡監測和鎖定控制及網絡端口和節點的安全控制。網絡管理員應對網絡實施監控，服務器應記錄用戶對網絡資源的訪問。對非法的網絡訪問，服務器應以圖形、文字或聲音等形式報警，以引起網絡管理員的注意。如果攻擊者試圖進入網絡，網絡服務器應會自動記錄攻擊者的地址信息，并自動鎖定該帳戶。

網絡中服務器的端口往往使用自動回呼設備、靜默調制解調器加以保護，并以加密的形式來識別節點的身份。自動回呼設備用于防止假冒合法用戶，靜默調制解調器用以防范黑客的自動撥號程序對系統進行攻擊。網絡還可以對服務器端和用戶端采取控制，用戶必須攜帶證實身份的驗證器（如智能卡、磁卡、安全密碼發生器）。在對用戶的身份進行驗證之后，才允許用戶進入用戶端。然后，用戶端和服務器端再進行相互驗證。

6．防火墻控制。防火墻是近期發展起來的一種保護計算機網絡安全的技術性措施，它是一個用以阻止攻擊者訪問某個機構網絡的屏障，也可稱之為控制進/出兩個方向通信的門檻。防火墻在網絡邊界上建立網絡通信監控系統，通過數據包過濾和提供代理服務來隔離內部和外部網絡，以阻擋外部攻擊者的侵入。主要有以下三種類型：

（1）包過濾防火墻：包過濾防火墻設置在網絡層，可以在路由器上實現包過濾。首先建立一定數量的信息過濾表。信息過濾表是以其收到的數據包頭信息為基礎建成的，信息包頭含有數據包源IP地址、目的IP地址、傳輸協議類型（TCP、UDP、ICMP等）、協議源端口號、協議目的端口號、連接請求方向、ICMP報文類型等。當一個數據包滿足過濾表中的規則時，則允許數據包通過，否則禁止通過。這種防火墻可以用于禁止外部不合法用戶對內部的訪問，也可以用來禁止訪問某些服務類型。但包過濾技術不能識別有危險的信息包，無法實施對應用級協議的處理，也無法處理UDP、RPC或動態的協議。

（2）代理防火墻：代理防火墻又稱應用層網關級防火墻，它由代理服務器和過濾路由器組成，是目前較流行的一種防火墻。它將過濾路由器和軟件代理技術結合在一起。過濾路由器負責網絡互連，并對數據進行嚴格選擇，然后將篩選過的數據傳送給代理服務器。代理服務器起到外部網絡申請訪問內部網絡的中間轉接作用，其功能類似于一個數據轉發器，它主要控制哪些用戶能訪問哪些服務類型。當外部網絡向內部網絡申請某種網絡服務時，代理服務器接受申請，然后它根據其服務類型、服務內容、被服務的對象、服務者申請的時間、申請者的域名范圍等來決定是否接受此項服務。如果接受，它就向內部網絡轉發這項請求。

（3）雙穴主機防火墻：該防火墻是用主機來執行安全控制功能。一臺雙穴主機配有多個網卡，分別連接不同的網絡。雙穴主機從一個網絡收集數據，并且有選擇地把它發送到另一個網絡上。網絡服務由雙穴主機上的服務代理來提供。內部網和外部網的用戶可通過雙穴主機的共享數據區傳遞數據，從而保護了內部網絡不被非法訪問。

（三）信息加密策略

信息加密的目的是保護網絡內部和網上傳輸的數據、文件、口令和控制信息的安全。信息加密過程是由形形色色的加密算法來具體實施，它以很小的代價提供很大的安全保護。在多數情況下，信息加密是保證信息機密性的唯一方法。據不完全統計，到目前為止，已經公開發表的各種加密算法多達數百種。按照收發雙方密鑰是否相同來分類，可將加密算法分為私鑰加密算法和公鑰加密算法。私鑰加密算法的優點是有很強的保密強度，且經受住時間的檢驗和攻擊，但其密鑰必須通過安全的途徑傳送，密鑰管理成為系統安全的重要因素。公鑰加密算法中收信方和發信方使用的密鑰互不相同，而且幾乎不可能從加密密鑰推導出解密密鑰。算法的優點是可以適應網絡的開放性要求，密鑰管理問題比較簡單，尤其可方便的實現數字簽名和驗證。缺點是算法復雜，加密數據的速率較低。實際應用中人們通常將多種加密算法結合使用。密碼技術是網絡安全最有效的技術之一，一個加密網絡，不但可以防止非授權用戶的搭線竊聽和入網，而且也是對付惡意軟件的有效方法之一。

（四）網絡安全管理策略

安全管理手段主要是從制度上完善信息系統的安全性，防止由于人的主觀行為或制度問題導致信息系統的泄密。加強網絡的安全管理，對于確保網絡的安全、可靠運行和信息的安全保密，將起到十分有效的作用。網絡的安全管理策略包括：確定安全管理等級和安全管理范圍，從客觀條件上限制工作人員有意識或無意識的泄密；制訂有關網絡操作使用的規程和人員出入機房管理的制度，經常進行安全保密教育；制訂網絡系統的維護制度，定期進行系統安全性檢查，一旦發現安全漏洞，及時采取措施彌補；加強信息安全技術的跟蹤研究，及時掌握攻擊方最新竊密技術手段并采取相應的安全技術進行系統防護。

參考文獻：

[1]中國人民解放軍總參謀部電子對抗部，合成軍隊信息作戰教程，北京：解放軍出版社，2001.12.

[2]盧開澄，計算機密碼學計算機網絡中的數據保密與安全，北京：清華大學出版社，1998.7.

[3]張春江、倪健民，國家信息安全報告，北京：人民出版社，2000.5.

[4]陳衛東，加強和完善信息系統的安全管理.2003.5.26，http://www.zgjrj.com/jsbz/new_page_1.htm.

[5]陳瑞，信息系統安全性實現的理論和模型[碩士學位論文].武漢理工大學管理學院，2001.1.

[6]關義章、戴宗坤，信息系統安全工程學，北京：電子工業出版社，2002.12.

[7]信息產業部電子第三十研究所，軍用信息系統安全體系結構，網絡安全體系結構高級研討班論文集，2001.11.

[8]張云水，“網統”信息化建設的核心，解放軍報，2004.9.15第九版.

[9]雷傅睿、李鵬文、劉守義，網絡安全防御中數據加密技術的研究，信息技術，2003，27(1):6～8.

[10]劉凌波、代江濱，現代密碼理論新動向，計算機時代，2004年第2期.

[11]朱有根，RSA公開密鑰密碼體制及其安全性分析，寧波大學學報（理工版），2001，14(2).

[12]安絡科技，網絡攻擊機制和技術發展綜述，http://www.cnns.net，2002.9.19.

[13]周海剛、劉軍等，網絡反攻擊技術的研究，網絡安全體系結構高級研討班論文集，2001.11.

[14]精英科技編，系統安全與黑客防范手冊，北京：中國電力出版社，2002.1.

[15]沈建苗，安全隱患來自內部，中國計算機報：網絡與通信，2003.3.10.

[16]李海泉、李健，計算機系統安全技術，北京：人民郵電出版社，2001.9.

[17]郭漫雪、趙立軍、曹東屏，Internet 電子商務與安全，現代電信科技，2001年第4期，12-16.

[18]阮暉，基于公鑰加密體系的安全核心系統，計算機世界，1999.4.

[19]周艷霞、馬惠君、魏世澤，RSA密碼技術的程序實現，河北科技大學學報，2001，22(3).

[20]梁向陽、李峰，電子商務中的加密技術，安康師專學報，2001，13(2)，50-53.

[21]郭寧、張有志、孫英明，對稱式密碼體制數據加密算法的分析，山東工業大學學報，2001，31(4)，365-369.

[22]牛紀楨、孫校里、元新華，基于IP的端到端安全傳輸模型的設計與實現，計算機工程與應用，2003.03，175-178.

[23]林先茂，基于數據加密技術下的網絡信息安全系統，杭州電子工業學院學報，2001，21(1)，46-49.