網絡安全體系建設研究與探討

徐智剛

（亞信科技(中國)有限公司，浙江 杭州 310003）

隨著國內外計算機互聯網絡的普及應用，網絡正逐步改變著人們的工作方式和生活方式，網絡的開放性、互聯性、共享性給人們帶來極大方便的同時，也帶來了嚴重的安全隱患。特別是隨著政府信息化、企業信息化、電子商務等的興起，網絡安全問題變得越來越重要。

筆者認為，應該依據以下步驟來進行信息網絡安全體系的建設：應用分析→劃分適當的安全域→風險分析→以《計算機信息系統安全等級劃分準則》為依據，確定相應的安全等級→以安全保護(PDRR)模型為指導，以保護信息的安全為目標，以計算機安全技術、加密技術和安全管理等為方法進行分層保護→構建整體的安全保護保障體系。

1 應用分析

應用分析，應該包括二個方面，一是用途分析；二是對信息網絡上的信息資產進行分析。不同的應用，信息資產也是不同的，存在的安全問題也肯定是不同的。試想一個單純的接人互聯網的信息網絡(如網吧)與政府的辦公網絡的安全問題會一樣嗎?實際上，在同一個信息網絡上，流動的信息也是不一樣的，它們安全性的要求當然也是不同的。

2 風險分析

在進行了應用分析的基礎上，應該對某一用途，或某一級別或類別的信息，或某一安全域進行風險分析。這種分析可用一個二維的表格來實現。首先確定某一信息類別，或一個安全域，以可能發生的風險為X 軸，對應于每一個風險，應該有3 個參數填人到表格中，一個是該風險發生的概率，另一個是該類信息對該風險的容忍程度，再一個是該風險可能發生的頻率。

事件止發生的概率，目前可能很難給出量化值，可以給出一個等級標準，如不易發生，易發生和極易發生，而容忍度也只能給出等級，如無所謂、可以容忍，不能容忍和絕對不能容忍等。實際上我們在風險分析時，可以將風險列得更細些，更全面些。如火災，可分為電氣火災，易燃品引起的火災，因管理不善導致的火災；再如人侵，也可以分出好多人侵的種類和目的，對攻擊的資源目標，也可以分出許多的子項。就是DDOS 攻擊也可以分出好多的種類。筆者在另一篇文章中對電子政務系統的風險進行了分析，列出可能發生的風險有18 類，如果再細分會達到幾十種之多。

事件發生的概率，應該結合信息網絡的實際情況進行分析，如水災的發生，對于一個周圍絕對沒有水源，又是在三樓以上的機房來說，發生的概率就應該是極低的，就應該是不易發生。對一個與互聯網沒有物理聯結的內部網絡來說，通過互聯網發生的人侵，發生的病毒災害應該是不易發生的.是小概率事件，而對于一個網站來說，這二者且是極易發生的事件。

事件發生的頻率，也不容易用準確的數字來表示，可以表示為獨立事件和多發性事件。對象火災這樣的災害，一般可以認為是獨立事件，而病毒和人侵事件則是多發性的。對于多發性事件的防范策略與獨立事件的防范策略就要有不同的考慮。

對某事件的容忍度，應該結合網絡的用途與信息的安全級別來給出，對于一個只提供互聯網接人服務的網絡來說，信息的泄露風險就認為是可以容忍的。這樣的網絡就不該強調機房的電磁輻射問題，更不用說需用屏蔽雙絞線了。

3 確定安全等級

在對信息分級和分類基礎上，應該依據《計算機信息系統安全等級劃分準則》(國標17859)確定相應的安全保護等級。《準則》給出了五個等級標準，每個標準等級都相應的要求。筆者認為不一定完全的套用某一個級別，可以根據風險分析的結果，與準則中的要求進行一定的對應，確定準則中的某一個級別，或以一個級別為基礎，在某些方面可做加強，而在另一些方面可以相對減弱。再次強調，保護應該是信息分級為基礎，對于不同級別的信息保護強度是不一樣，不同等級信息，最好在不同的安全域中加以保護。這樣不需要保護的信息就可以不加保護，而需要加強保護的信息，就可以采取相對強度較高的保護措施。但這種保護，必須兼顧到應用，不能因為保護而造成系統的應用障礙不過為了安全犧牲掉一些應用的方便性也是必要的。

4 分層保護問題

確定了安全級別之后，在風險分析的基礎上，應該以計算機安全保護(PDRR)模型為指導，以《計算機信息系統安全等級劃分準則》的依據，以計算機技術、計算機安全保護技術、保密技術和安全管理等為保護手段，以信息的機密性、完整性、可控性、可審計性、可用性和不可否認性等為安全為保護目標，分層分析和制定保護措施。

所謂分層保護，就是要把所列出的那些較為容易發生，且又不能容忍的風險，分解到各個層面上，然后利用計算機技術、計算機安全保護技術、加密技術和安全管理手段盡量的按一定的強度加以保護，以規避相應的風險。如信息抵賴的風險，應該發生在用戶層面，可以用對用戶的身份認證技術來解決這樣的風險。火災、水災都應該在物理層面上加以保護。許多風險可能是對應于多個層面，那就應該在多個層面上加以保護，如信息泄露，在所有的層面上都會發生，那就應該在所有的層面加以保護。就用層的安全應該把應用軟件開發中可能產生的風險考慮進去，一個是應用軟件本身的安全問題，是否有后門，是否有漏洞，本身的BUG 問題等。再有就是應用軟件的開發平臺本身的安全機制如何，如FOX 類數據庫與ORACOL 在安全機制上是無法比的。同時還應該考慮，應用軟件與實際的應用環節是否匹配，不應該產生因為這種軟件與應用的脫節，而產生新應用機制上的安全問題。其余各層上的安全問題，在這里不詳細敘述，但應該考慮BIOS 的風險。BIOS 風險一方面是來自主機生產廠家，另一方面也可能來自應用單位設置上的不合理。這里提到的網絡，與七層協議模型中所提到的網絡層不是一個概念。它是指一個完整的網絡，而不是網絡層。

5 構建完整的保障體系

對信息網絡進行了分層次的安全保護，好像我們的任務就已經完成了，實際上則不然。信息網絡是一個整體，對它的保護也應該是一個整體。

首先，在進行分層保護的策略制定以后，首先應該在整體上進行評估，特別是結合部安全是還存在著問題。如，通過數據庫可以獲得系統的超級用戶權限。其次，我們是以不同的信息資產或不同的安全域來進行分層保護的，而不是整個網絡。此時我們應該對不同的信息資產或不同的安全域的分層保護方案進行比較和綜合并進行適當的調整，考慮信息網絡整體的保護方案。第三是應該選擇適當的安全產品或安全技術。

建立安全體系，選用安全產品是必然的，但是這個體系不應該是安全產品的堆砌。特別是選用的安全產品是否符合國家相關部門的要求。還要考慮這些產品是否符合所制定的安全策略，并且要考慮是否符合自己信息網絡的發展要求和安全產品本身的發展要求。在安全產品的選擇上即要考慮產品本身的先進性，還應該考慮安全產品本身的成熟性，對一些非常重要的信息網絡，不要第一個去吃螃蟹。最后還應該考慮對網絡中的安全產品實現統一的動態管理和聯動，使之能成為一個動態的防范體系，成為一個有機的整體。動態管理應該考慮，安全策略發生錯誤和失效的修改，以及對安全產品失效的對策，應該有預案。聯動，就是使所有使用的安全產品，在發生安全事件時，能夠成為一個防范的整體。

整體的安全體系的建立，還應該對安全的措施成本進行核算，國外的信息網絡在安全方面的投人可達到系統建設費用的15%-30%，這個費用標準我們可以用來參考。核算措施成本后，還應該對成本效益進行評估，對于保護費用與效益在同一數量級上的花費，則應該考慮是否有必要進行這樣的保護。

6 結束語

以上論述，是筆者依據《計算機信息系統安全保護條例》的要求，對重點單位信息網絡安全的保護工作進行監督、檢查、指導的體會總結。由于文章的篇幅有限，許多細節無法列舉，只作拋磚引玉。

[1]劉占全.著網絡管理與防火墻技術[M].北京:人民郵電出版社，2005.

[2]王有遠.計算機網絡安全機制的實現計算機應用[M].2006.

[3]計算機信息系統安全等級劃分準則[S].1999.