網絡信息系統安全能力及關鍵技術研究

◆黃治華 高 峰 汪慧君

（武漢船舶通信研究所 湖北 430205）

網絡信息系統安全能力及關鍵技術研究

◆黃治華 高 峰 汪慧君

（武漢船舶通信研究所 湖北 430205）

網絡安全防護已成為網絡信息系統穩定可靠運行的前提條件。本文針對網絡信息系統的網絡安全防護問題，分析了一個安全的網絡信息系統應具備的安全能力，提出了安全能力構成，并對實現這些安全能力的關鍵技術進行了初步研究。

網絡安全防護；物理安全；網絡安全；系統安全；應用安全

0 引言

網絡信息系統一般由支持軟件運行的硬件系統、對系統資源進行管理和為用戶使用提供基礎支持的系統軟件、和實現系統應用功能的應用系統軟件組成，這些硬件和軟件共同協作運行，實現整個系統的整體功能[1]。從安全角度看，組成網絡信息系統的各類硬件和軟件都應具備相應的安全能力，本文首先分析了一個安全的網絡信息系統應具備的安全能力構成，然后對實現這些安全能力的關鍵技術進行初步研究。

1 網絡信息系統安全能力構成

根據安全防護對象不同，安全能力可劃分為保障硬件系統安全的物理安全，保障數據網絡傳輸、交換安全的網絡安全，保障操作系統和數據庫管理系統等的系統安全，保障應用軟件安全運行的應用系統安全以及為保障安全能力達到應用安全性而采取的管理措施。

1.1 物理安全

物理安全應具備環境安全、設備安全和記錄介質安全等能力。其中，環境安全主要指中心機房防火、防潮、防強電場、防高溫、防靜電等防護和通信線纜防護；設備安全主要指設備的防盜、防毀和設備的安全可用；記錄介質安全主要指重要數據介質保護、關鍵數據介質保護以及核心數據介質保護。

1.2 網絡安全

網絡安全應具備安全性檢測分析、安全審計、惡意代碼防護、網絡安全監控、邊界防護、數據流控制以及身份鑒別等能力。其中，安全性檢測分析主要指路由器、交換機安全檢測、掃描，能抵抗對路由協議的已知攻擊；安全審計主要指對網絡管理人員實施的操作、審計功能的開啟和關閉，路由器、網絡數據包進行安全審計，并對審計數據進行分析；惡意代碼防護主要指對路由器、交換機流量進行分析，通過特征匹配識別哪些流量是惡意代碼；網絡安全監控主要指網絡數據流監控，能監視和記錄路由器、交換機及其管理系統的運行；邊界防護主要指支持基本的登錄/連接控制，支持不同安全域間的防病毒檢測、入侵防范、信息過濾、邊界完整性等檢查功能。

1.3 系統安全

系統安全應具備操作系統、數據庫管理系統以及其他網絡軟件系統安全檢測分析、可信路徑與可信計算、訪問控制與標記、數據完整性和保密性保護等能力，確保操作系統、數據庫管理系統的安全運行以及保存在這些系統上數據的安全保護。其中，安全檢測分析主要指對操作系統、數據庫管理系統的帳號設置、鑒權、授權、訪問控制、程序真實性進行掃描、檢測和分析；可信路徑與可信計算主要指通過在計算機核心部位設置基于硬件支持的可信計算模塊，建立從系統引導、加載的可信任鏈，確保各種運行程序的真實性；訪問控制與標記主要指在安全管理員進行身份鑒別和權限控制的基礎上，只允許授權人員及客體間交互進行基于訪問控制策略基礎上的操作活動；數據完整性和保密性保護主要指確保數據在存儲以及傳輸過程中不被泄露、竊取或篡改。

1.4 應用安全

應用安全應具備應用軟件的安全檢測分析、安全審計、抵賴性、服務安全等能力。其中，安全檢測分析主要指支持對各類應用服務的帳號設置、鑒權、訪問控制、程序真實性進行掃描、檢測和分析；安全審計主要指對應用使用者實施的操作、審計功能的開啟和關閉、應用數據進行完全審計；抵賴性主要指按主體請求對傳輸的數據生成原發證據以及接收證據，實現抗接收抵賴和抗原發抵賴；服務安全主要指確保正在進行傳輸的服務控制信息只在源端與目的端之間流動，不被轉向或攔截。

1.5 安全管理

安全管理應具備數據管理、安全機制管理、應急處理、備份與故障恢復等能力。其中，數據管理主要指有限制的提供授權用戶對數據進行創建、清除、查詢等操作；安全機制管理主要指對分布于系統各個層面、各個安全域、各個環節的安全機制和產品，按照確定的安全策略和操作要求，實施統一的配置和管理；應急處理主要指明確系統的要求、計劃、制度，并能制定具體的應急處理措施；備份與故障恢復主要指建立數據、網絡等備份系統，在限定的時間內，利用備份數據正確恢復系統、應用軟件及各類數據，并可正確恢復各項關鍵業務功能。

2 網絡信息系統安全關鍵技術

網絡信息系統5個層面的安全能力中，很多安全能力的技術實現機制是相同的，本節從安全技術的角度分析安全能力的形成。網絡信息系統安全關鍵技術主要包括身份鑒別技術、PKI技術[2]、標記與訪問控制技術、密碼技術、可信計算技術[3]、脆弱性掃描技術、邊界防護技術、入侵檢測與入侵防御技術[3]、惡意代碼檢測技術等。

2.1 身份鑒別技術

身份鑒別技術是對實體聲稱的身份進行驗證，身份鑒別可以是單向的也可以是雙向的。身份鑒別技術主要包括口令鑒別、生物特征鑒別、數字證書鑒別等技術。

2.2 PKI技術

PKI技術采用非對稱密碼算法原理和技術實現并提供安全服務的具有永久性的安全基礎，它是在數字證書和公共密鑰密碼體制的基礎上發展起來的一種安全應用架構。PKI技術主要包括公鑰加密、數據簽名等技術。

2.3 標記與訪問控制技術

標記與訪問控制技術是對用戶身份及其所屬的預先定義的策略組限制其使用數據資源能力的手段，主要是限制訪問主體對客體的訪問，從而保障數據資源在合法范圍內得以有效使用和管理。標記與訪問控制技術主要包括自主訪問控制、強制訪問控制、基于角色的訪問控制、使用控制模型的訪問控制等技術。

2.4 密碼技術

密碼技術采用加密算法對系統進行保護，主要包括對稱密碼加密、公開密碼加密、單向散列加密、數字簽名等技術。

2.5 可信計算技術

可信計算技術由最初提高設備的容錯性和可靠性，轉變成對平臺硬件、軟件系統和服務的可信評估，適應應用需求的不斷發展。可信計算技術主要包括可信計算平臺、信任根與信任鏈、可信網絡等技術。

2.6 脆弱性掃描技術

脆弱性掃描技術主要對操作系統、數據庫管理系統以及各種應用軟件系統進行安全掃描，包括主機脆弱性掃描、網絡脆弱性掃描等技術。

2.7 邊界防護技術

邊界防護技術通過設置主機入侵檢測系統、主機防火墻等，防止主機系統惡意遭受病毒、惡意攻擊者的攻擊。邊界防護技術主要包括防火墻、多重安全網關、網閘、數據交換網等技術。

2.8 入侵檢測與入侵防御技術

入侵檢測技術是為保證計算機系統的安全而設計與配置的一種能夠及時發現并報告系統中未授權或異?，F象的技術，是一種用于檢測計算機網絡中違反安全策略行為的技術。入侵檢測與入侵防御技術主要包括基于異常檢測模型入侵檢測、基于誤用檢測模型的入侵檢測等技術。

2.9 惡意代碼檢測技術

惡意代碼檢測技術主要是檢測病毒、蠕蟲、木馬、垃圾郵件、間諜程序等所有可能危害計算機安全的程序，主要包括惡意代碼靜態檢測、惡意代碼動態檢測等技術。

3 結束語

本文分析了網絡信息系統的安全能力構成，并對實現安全能力的關鍵技術進行了初步研究，系統梳理了網絡信息系統的安全要求，對構建安全的網絡信息系統具有一定的參考價值。

[1]Douglas Jacobson． 網絡安全基礎-網絡攻防、協議與安全[M]．北京：電子工業出版社，2016．

[2]張明德．PKI/CA與數字證書技術大全[M]．北京：電子工業出版社，2015．

[3]田俊峰．可信計算與信任管理[M]．北京：科學出版社，2014．