BIT8网络信息系统安全体系设计

单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,#,孙建伟,北京理工大学软件学院,网络信息系统安全技术体系,与安全防护系统解决方案,内容概,要,要,局域网,系,系统概,述,述,信息安,全,全体系,结,结构,网络信,息,息系统,安,安全需,求,求,构建网,络,络系统,安,安全的,相,相关技,术,术及产,品,品,典型企,业,业网络,安,安全解,决,决方案,小结,局域网,系,系统概,述,述,组网技,术,术,交换式,以,以太网,通过路,由,由器外,接,接Internet,局域网,之,之间可,以,以通过VPN,技,技术互,联,联,功能,内部网,络,络应用,共,共享,共享Internet接入,对外提,供,供的服,务,务,Web,Email等,局域网,系,系统概,述,述,典型的,例,例子,校园网,企业网,政务网,行业专,网,网,电信、,金,金融、,铁,铁路、,公,公安等,信息安,全,全体系,结,结构,20世,纪,纪80,年,年代中,期,期,基,于,于计算,机,机保密,模,模型(BellLapadula模型,),)的基,础,础上的“可信计,算,算机系,统,统安全,评,评价准,则,则”(TCSEC,),),20世,纪,纪90,年,年代初,，,，英、,法,法、德,、,、荷四,国,国针对TCSEC准,则,则只考,虑,虑保密,性,性的局,限,限，联,合,合提出,了,了包括,保,保密性,、,、完整,性,性、可,用,用性概,念,念的“信息技,术,术安全,评,评价准,则,则”(ITSEC,),),20世,纪,纪90,年,年代末,六,六国七,方,方(美,国,国国家,安,安全局,和,和国家,技,技术标,准,准研究,所,所、加,、,、英、,法,法、德,、,、荷),共,共同提,出,出了“信息技,术,术安全,评,评价通,用,用准则”(CCfor ITSEC),CC标,准,准综合,了,了国际,上,上已有,的,的评测,准,准则和,技,技术标,准,准的精,华,华，给,出,出了框,架,架和原,则,则要求,。,。,信息安,全,全体系,结,结构,CC标,准,准适用,于,于信息,系,系统的,安,安全性,设,设计,安全操,作,作系统,安全数,据,据库,安全Web应,用,用,网络设,备,备自身,安,安全,一般C,/,/S应,用,用系统,网络信,息,息系统,安,安全,CC标,准,准适用,于,于信息,系,系统安,全,全性设,计,计，并,不,不针对,网,网络信,息,息系统,的,的安全,需,需求：,统一的,身,身份管,理,理与运,维,维安全,管,管控,网络攻,击,击的检,测,测与防,护,护,网络安,全,全脆弱,性,性分析,、,、风险,评,评估,信息的,安,安全传,输,输,网络安,全,全域划,分,分与网,络,络隔离,信息安,全,全体系,结,结构,网络信,息,息系统,的,的安全,体,体系架,构,构设计,架构复,杂,杂，安,全,全架构,与,与网络,信,信息系,统,统架构,交,交叉融,合,合,架构可,裁,裁剪、,可,可扩展,，,，根据,安,安全需,求,求和信,息,息系统,自,自身架,构,构部署,运行时,物,物理安,全,全,运维安,全,全管控,网络攻,击,击的检,测,测与防,护,护,网络安,全,全脆弱,性,性分析,、,、风险,评,评估,信息的,安,安全传,输,输,网络安,全,全域划,分,分与网,络,络隔离,网络信,息,息系统,的,的安全,需,需求,物理安,全,全需求,重要信,息,息可能,会,会通过,电,电磁辐,射,射或线,路,路干扰,而,而被泄,漏,漏，因,此,此需要,对,对存放,机,机密信,息,息的机,房,房进行,必,必要的,设,设计,机房设,计,计,构建屏,蔽,蔽室、,采,采用辐,射,射干扰,机,机等，,以,以防止,电,电磁辐,射,射泄漏,机,机密信,息,息。,此,此外,，,，还可,对,对重要,的,的设备,和,和系统,进,进行备,份,份。,网络信,息,息系统,的,的安全,需,需求,访问控,制,制的运,维,维管控,统一的,身,身份管,理,理,统一的,认,认证管,理,理,集中的,授,授权管,理,理,集中的,访,访问控,制,制,集中的,运,运维审,计,计,网络信,息,息系统,的,的安全,需,需求,加密传,输,输是网,络,络安全,的,的重要,手,手段之,一,一。信,息,息的泄,漏,漏很多,都,都是在,链,链路上,被,被搭线,窃,窃取的,，,，数据,也,也可能,因,因为在,链,链路上,被,被截获,、,、被篡,改,改后传,输,输给对,方,方，造,成,成数据,的,的真实,性,性、完,整,整性得,不,不到保,证,证,。,完整性,机密性,信道的,认,认证性,与,与不可,否,否认性,网络信,息,息系统,的,的安全,需,需求,网络攻,击,击防护,体,体系,网络内,部,部或外,部,部发起,的,的网络,攻,攻击检,测,测,网络攻,击,击抑制,、,、阻断,攻击事,件,件的统,一,一管理,基于P2DR,防,防护模,型,型的防,御,御体系,IDS,、,、IPS,防火墙,安全事,件,件、安,全,全策略,管,管理,网络信,息,息系统,的,的安全,需,需求,安全风,险,险评估,系,系统需,求,求,网络系,统,统和操,作,作系统,存,存在安,全,全漏洞,(,(如安,全,全配置,不,不严密,等,等)等,是,是使黑,客,客等入,侵,侵者的,攻,攻击屡,屡,屡得手,的,的重要,因,因素。,入,入侵者,通,通常都,是,是通过,一,一些程,序,序来探,测,测网络,中,中系统,存,存在的,一,一些安,全,全漏洞,，,，然后,通,通过发,现,现的安,全,全漏洞,，,，采取,相,相应的,技,技术进,行,行攻击,。,。,信息系,统,统风险,评,评估,网络安,全,全扫描,系,系统,对目标,网,网络中,的,的工作,站,站、服,务,务器、,数,数据库,等,等各种,系,系统以,及,及路由,器,器、交,换,换机、,防,防火墙,等,等网络,设,设备可,能,能存在,的,的安全,漏,漏洞进,行,行逐项,检,检查,网络信,息,息系统,的,的安全,需,需求,系统病,毒,毒防护,病毒的,危,危害性,极,极大并,且,且传播,极,极为迅,速,速，必,须,须配备,从,从单机,到,到服务,器,器的整,套,套防病,毒,毒软件,，,，实现,全,全网的,病,病毒安,全,全防护,。,。,必须配,备,备从服,务,务器到,单,单机的,整,整套防,病,病毒软,件,件，防,止,止病毒,入,入侵主,机,机并扩,散,散到全,网,网，实,现,现全网,的,的病毒,安,安全防,护,护，以,确,确保整,个,个单位,的,的业务,数,数据不,受,受到病,毒,毒的破,坏,坏，日,常,常工作,不,不受病,毒,毒的侵,扰,扰。,系统补,丁,丁的统,一,一管理,网络安,全,全技术,与,与产品,解决网,络,络信息,安,安全问,题,题的主,要,要途径,内控：,建,建立集,中,中的身,份,份管理,，,，实现,统,统一访,问,问控制,和,和审计,，,，实现CC标,准,准在网,络,络空间,的,的扩展,实,实现,静态防,护,护：适,用,用VPN、网,络,络隔离,、,、防火,墙,墙等技,术,术实现,网,网络安,全,全架构,事前的,机,机制：,通,通过漏,洞,洞扫描,，,，发现,系,系统脆,弱,弱性并,采,采取系,统,统加固,措,措施,动态防,护,护架构,：,：建立,网,网络攻,击,击检测,防,防护体,系,系,信息安,全,全保护,:,:用SSL,/,/SSH实现,网,网路传,输,输加密,，,，电,子,子信封,等,等技术,实,实现数,据,据机密,性,性、完,整,整性、,认,认证性,保,保护,网络安,全,全技术,与,与产品,相关的,网,网络安,全,全技术,产,产品,PKI,/,/CA,，,，公共,数,数字证,书,书服务,体,体系,VPN,，,，虚拟,专,专用网,IDM,，,，联合,身,身份管,理,理、认,证,证系统,ITAudit，IT系,统,统审计,产,产品,Firewall，,防,防火墙,IDS,，,，SOC，入,侵,侵检测,系,系统，,安,安全事,件,件管理,平,平台,网络、,系,系统扫,描,描器,文件加,密,密系统,远程桌,面,面系统,网络安,全,全技术,与,与产品,PKI,/,/CA,，,，公共,数,数字证,书,书服务,体,体系,以密码,理,理论为,基,基础,统一的,证,证书颁,发,发管理,机,机构CA,网络系,统,统内通,信,信主体,持,持有自,己,己的合,法,法证书,证书用,来,来在作,身,身份认,证,证、数,据,据加密,、,、数据,签,签名，,实,实现数,据,据机密,性,性、完,整,整性、,不,不可否,认,认性的,保,保护,通过在,网,网络系,统,统部署PKI,，,，可实,现,现统一,的,的身份,管,管理和,通,通信安,全,全保护,网络安,全,全技术,与,与产品,VPN,，,，虚拟,专,专用网,基础：,身,身份认,证,证、密,码,码理论,功能：,通,通过认,证,证、加,密,密、数,据,据封装,技,技术实,现,现公网,上,上传输,私,私网机,密,密数据,应用：,跨,跨区域,建,建设大,型,型企业,网,网、专,网,网，实,现,现远程,安,安全接,入,入,部署模,式,式：MPLSVPN，IPSec，SSL,，,，SSH,网络安,全,全技术,与,与产品,IDM,，,，联合,身,身份管,理,理、认,证,证系统,联合身,份,份管理,的,的必要,性,性,基础：PKI,证,证书服,务,务,集,集中身,份,份认证,服,服务，,集,集中接,入,入管理,，,，集中,审,审计（,，account,authorization,authentication,audit,）,）,特点：,实,实现体,系,系庞大,，,，实现,复,复杂，,带,带来网,络,络运营,维,维护模,式,式的根,本,本变化,网络安,全,全技术,与,与产品,ITAudit，IT系,统,统审计,产,产品,必要性,：,：审计,是,是一种,事,事后机,制,制，作,为,为安全,事,事故分,析,析、责,任,任追究,或,或免责,的,的手段,技术基,础,础：网,络,络数据,还,还原、,事,事件收,集,集、分,析,析（人,工,工智能,）,）,产品分,类,类：,日志收,集,集与管,理,理系统,网络审,计,计,网络安,全,全技术,与,与产品,Firewall，,防,防火墙,实质：,部,部署于,网,网络边,界,界，执,行,行安全,规,规则控,制,制进出,网,网络的,数,数据。,技术基,础,础：,包过滤,技,技术,应用网,关,关技术,状态检,测,测,其他功,能,能,、,、,网关,、,、负载,均,均衡,网络安,全,全技术,与,与产品,IDS,，,，SOC，入,侵,侵检测,系,系统，,安,安全事,件,件管理,平,平台,功能：,检,检测、,发,发现、,评,评估、,管,管理网,络,络攻击,事,事件，,与,与其他,网,网络安,全,全设备,，,，如防,火,火墙、IPS,、,、扫描,器,器，构,成,成网络,安,安全防,御,御体系,技术基,础,础：数,据,据收集,、,、攻击,模,模式识,别,别、事,件,件关联,分,分析,类,类型：,、,的,的数据,来,来源：IDS,、,、防火,墙,墙、扫,描,描器等,，,，执行,安,安全事,件,件分析,管,管理,网络安,全,全技术,与,与产品,网络、,系,系统扫,描,描器,功能：,发,发现网,络,络上存,活,活主机,、,、开启,的,的应用,服,服务、,存,存在的,系,系统漏,洞,洞、系,统,统脆弱,性,性（如,：,：口令,）,）、挂,马,马网站,等,等,技术基,础,础：协,议,议分析,、,、渗透,性,性测试,负面效,果,果：可,作,作为网,络,络攻击,平,平台,网络安,全,全技术,与,与产品,其它安,全,全设备,上网行,为,为管理,网络行,为,为分析,防水墙,网闸设,备,备,网络安,全,全技术,与,与产品,其它安,全,全设备,文件加,密,密系统,：,：用电,子,子信封,技,技术,桌面发,布,布系统,：,：将桌,面,面应用,发,发布为,远,