构建积极防御综合防范的信息安全保障框架

构建积极防御综合防范的信息安全保障框架国家信息化专家咨询委员会委员沈昌祥院士2004-07一、我国信息安全保障的战略方针和任务国家信息化领导小组第三次会议审议并通过了《国家信息化领导小组关于加强信息安全保障工作的意见》，其中关于加强信息安全保障工作的总体要求是：坚持积极防御、综合防范的方针，全面提高信息安全防护能力，重点保障基础信息网络和重要信息系统安全，创建安全健康的网络环境，保障和促进信息化发展，保护公众利益，维护国家安全。加强信息安全保障工作的总体要求和主要原则实行信息安全等级保护加强以密码技术为基础的信息保护和网络信任体系建设建设和完善信息安全监控体系重视信息安全应急处理工作加强信息安全技术研究开发，推进信息安全产业发展加强信息安全法制建设和标准化建设加快信息安全专业人才培养，增强全民信息安全意识保证信息安全资金加强对信息安全工作的领导，建立健全信息安全责任制2004年1月9日至10日，在全国信息安全保障工作会议上中共中央政治局常委、国务院副总理黄菊重要讲话中指出了必须充分认识做好信息安全保障工作的极端重要性。黄菊再次强调：加强信息安全保障工作，必须坚持积极防御、综合防范的方针。如何贯彻这个方针，争取五年时间初步建成我国信息安全保障体系，任务艰巨而光荣。二、信息安全保障体系的基本构架信息安全保障体系的基本构架四个层面，两个支撑，一个确保信息安全法制体系加强信息安全法制建设和标准化建设层面一：建立信息安全法制体系。确立信息化领域法规框架，做到有法可依，有法必依。信息安全组织管理体系信息安全法制体系信息安全保障体系的基本构架四个层面，两个支撑，一个确保信息安全保障体系的基本构架实行信息安全等级保护加强对信息安全工作的领导，建立健全信息安全责任制层面二：完善国家信息安全组织管理体系。强化管理机构的职能，建立高效能的、职责分工明确的行政管理和业务组织体系。加强国家信息安全保障的综合协调工作。信息安全保障体系的基本构架四个层面，两个支撑，一个确保信息安全技术保障体系信息安全组织管理体系信息安全法制体系建设和完善信息安全监控体系重视信息安全应急处理工作层面三：强化国家信息安全技术防护体系。采用先进技术手段，确保网络和电信传输、应用区域边界、应用环境等环节的安全，既能防外部攻击，又能防内部作案。加强信息安全技术研究开发，推进信息安全产业发展信息安全技术保障体系信息安全组织管理体系信息安全法制体系信息安全保障体系的基本构架国家信息基础设施信息安全平台及安全基础设施四个层面，两个支撑，一个确保层面四：加强信息安全平台及基础设施建设。建立安全事件应急响应中心、数据备份和灾难恢复设施；发挥密码在保障体系中的基础和核心作用，加强密码基础设施（KMI/PKI）的建设。加强以密码技术为基础的信息保护和网络信任体系建设信息安全保障体系的基本构架国家信息基础设施信息安全平台及安全基础设施信息安全技术保障体系信息安全组织管理体系信息安全法制体系四个层面，两个支撑，一个确保信息安全经费保障体系保证信息安全资金支撑一：确定国家信息安全经费支持规划。明确信息安全保障体系建设经费占信息化经费的比例信息安全经费保障体系信息安全保障体系的基本构架国家信息基础设施信息安全人才保障体系信息安全平台及安全基础设施信息安全技术保障体系信息安全组织管理体系信息安全法制体系四个层面，两个支撑，一个确保加快信息安全专业人才培养，增强全民信息安全意识支撑二：确立信息安全人才教育和培训体系。信息安全应列为一级学科，进行学历教育，除培养大批高质量的专门人才外，还须进行社会化的培训和普及教育，以提高全民的信息安全素质。信息安全保障体系的基本构架信息安全法制体系信息安全组织管理体系国家信息基础设施信息安全技术保障体系信息安全平台及安全基础设施信息安全经费保障体系信息安全人才保障体系四个层面，两个支撑，一个确保加强信息安全保障工作的总体要求和主要原则一个确保：确保国家关键信息基础设施的安全运行三、积极防御的技术框架对工作流程相对固定的重要信息系统主要由操作应用、共享服务和网络通信三个环节组成。如果信息系统中每一个使用者都通过可信终端认证和授权，其操作都是符合规定的，网络上也不会被窃听和插入，那么就不会产生攻击性共享服务资源的事故，就能保证整个信息系统的安全，以此来构建积极防御、综合防范的防护框架可信计算平台可信终端确保用户的合法性和资源的一致性，使用户只能按照规定的权限和访问控制规则进行操作，能做到什么样权限级别的人只能做与其身份规定的访问操作，只要控制规则是合理的，那么整个信息系统资源访问过程是安全的。这样构成了安全可信的应用环境（子信息系统）安全共享服务边界应用安全边界设备（如安全网关等）保护共享服务资源，其具有身份认证和安全审计功能，将共享服务器（如数据库服务器、WEB服务器、邮件服务器等）与非法访问者隔离，防止意外的非授权用户的访问（如非法接入的非可信终端）。这样共享服务端不必作繁重的访问控制，从而减轻服务器的压力，以防拒绝服务攻击全程保护网络通信采用IPSec实现网络通信全程安全保密。IPSec工作在操作系统内进行，实现源到目的端的全程通信安全保护，确保传输连接的真实性和数据的机密性、一致性，防止非法的窃听和插入综上所述，可信的应用操作平台、安全的共享服务资源边界保护和全程安全保护的网络通信，构成了工作流程相对固定的生产系统的信息安全防护框架。（如下图所示）图：工作流程相对固定的生产系统安全解决方案全程IPSec服务器安全边界设备可信计算平台可信计算平台全程IPSec安全域一可信计算平台可信计算平台安全域二安全隔离设备全程IPSec共享资源安全管理中心密码管理中心要实现上述终端、边界和通信有效的保障，还需要授权管理的管理中心以及可信配置的密码管理中心的支撑从技术层面上可以分为以下五个环节：1.应用环境安全2.应用区域边界安全3.网络和通信传输安全4.安全管理中心5.密码管理中心即：两个中心支持下的三重防护体系结构应用环境安全：包括单机、C/S、B/S模式，采用身份认证、访问控制、密码加密、安全审计等机制，构成可信应用环境从技术层面上可以分为以下五个环节：1.应用环境安全2.应用区域边界安全3.网络和通信传输安全4.安全管理中心5.密码管理中心即：两个中心支持下的三重防护体系结构应用区域边界安全：通过部署边界保护措施控制对内部局域网的访问，实现局域网与广域网之间的安全。采用安全网关、防火墙等隔离过滤机制，保护共享资源的可信连接从技术层面上可以分为以下五个环节：1.应用环境安全2.应用区域边界安全3.网络和通信传输安全4.安全管理中心5.密码管理中心即：两个中心支持下的三重防护体系结构网络和通信传输安全：包括实现局域网互联过程的安全，旨在确保通信的机密性、一致性和可用性。采用密码加密、完整性校验和实体鉴别等机制，实现可信连接和安全通信从技术层面上可以分为以下五个环节：1.应用环境安全2.应用区域边界安全3.网络和通信传输安全4.安全管理中心5.密码管理中心即：两个中心支持下的三重防护体系结构安全管理中心：提供认证、授权、实施访问控制策略等运行安全服务从技术层面上可以分为以下五个环节：1.应用环境安全2.应用区域边界安全3.网络和通信传输安全4.安全管理中心5.密码管理中心密码管理中心：提供互联互通密码配置、公钥证书和传统的对称密钥的管理，为信息系统提供密码服务支持即：两个中心支持下的三重防护体系结构对于复杂的重要系统：构成三纵（公共区域、专用区域、涉密区域）三横（应用环境、应用区域边界、网络通信）和两个中心的安全防护框架。（如下图所示）图：信息安全技术防护框架三种不同性质的应用区域在各自采用相应的安全保障措施之后，互相之间有一定的沟通，应该采用安全隔离与信息交换设备进行连接在重要应用域之间，也需要采用安全隔离与信息交换设备进行边界保护目前我国信息安全建设正处在一个关键时期，我们必须把握住正确的研究方向，制定相应的发展战略，走符合我国国情的发展道路，利用国际先进技术，开发安全高效、简洁廉价，具有自主知识产权的信息安全产品，从而满足我国各行各业的迫切需要，促进我国信息安全事业的发展。结束语谢谢！