基于縱深防御的信息安全技術(shù)體系架構(gòu)及應(yīng)用研究

劉丹

（重慶電子工程職業(yè)學(xué)院，重慶 401331）

基于縱深防御的信息安全技術(shù)體系架構(gòu)及應(yīng)用研究

劉丹

（重慶電子工程職業(yè)學(xué)院，重慶 401331）

信息安全在網(wǎng)絡(luò)信息系統(tǒng)建設(shè)中的重要性日益凸顯，基于縱深防御的信息安全技術(shù)體系架構(gòu)與信息安全威脅評估，采取多種安全防控措施，優(yōu)化配置信息安全機(jī)制，完善計算機(jī)安全防控系統(tǒng)，是有效應(yīng)對和防御信息安全威脅的重要途徑。

縱深防御；信息安全；安全架構(gòu)

隨著信息化快速發(fā)展，信息安全問題日益凸顯。傳統(tǒng)的信息安全技術(shù)防護(hù)側(cè)重于單點(diǎn)靜態(tài)的被動防御，隨著信息攻擊技術(shù)和手段的發(fā)展，這種方式已無法有效應(yīng)對當(dāng)前各類新型網(wǎng)絡(luò)攻擊。加強(qiáng)多層次且層層聯(lián)動的信息安全防御，即“縱深防御”，構(gòu)筑層次化、多樣化的信息安全技術(shù)體系來保障信息和信息系統(tǒng)的安全已迫在眉睫。

信息化與信息安全是一個辯證統(tǒng)一的矛盾體，相互關(guān)聯(lián)、促進(jìn)和制約，信息安全是信息化建設(shè)的保障。要推進(jìn)信息化建設(shè)較好較快發(fā)展，就要把信息安全提升到戰(zhàn)略層次，同步規(guī)劃、升級和實(shí)施。當(dāng)前的信息安全保障體系的建設(shè)滯后于信息化整體發(fā)展，存在消極安保的現(xiàn)象，導(dǎo)致信息安全成為影響和制約信息化建設(shè)向著縱深發(fā)展和可持續(xù)發(fā)展的瓶頸。因此，推進(jìn)信息化建設(shè)快速發(fā)展，必須盡快補(bǔ)齊信息安全這塊“短板”，以安全保發(fā)展，以發(fā)展促安全。

1　信息安全技術(shù)體系架構(gòu)

信息安全技術(shù)是指為實(shí)現(xiàn)信息安全目標(biāo)而采取的各種技術(shù)措施的總稱，包括密碼技術(shù)、防火墻技術(shù)、反病毒技術(shù)、入侵檢測技術(shù)、信息防泄漏技術(shù)、漏洞掃描技術(shù)、虛擬專用網(wǎng)絡(luò)技術(shù)、數(shù)字簽名技術(shù)、信息認(rèn)證技術(shù)、訪問控制技術(shù)等。利用多種技術(shù)手段構(gòu)建科學(xué)高效的信息安全技術(shù)體系是實(shí)施信息安全保障的重要基礎(chǔ)。

1.1信息安全層次

在信息安全領(lǐng)域，縱深防御的基本思想是采用多個保護(hù)層和不同防御方法，對信息和信息系統(tǒng)實(shí)施層層防御并盡可能層層聯(lián)動，這就使只能攻破某一層或者某一類保護(hù)的攻擊行為無法破壞整個信息基礎(chǔ)設(shè)施，從而保障整個信息系統(tǒng)的安全。依據(jù)縱深防御原則，信息系統(tǒng)可以從物理、網(wǎng)絡(luò)、系統(tǒng)軟件、應(yīng)用、數(shù)據(jù)、人員政策等層面進(jìn)行層層防御，阻止威脅的發(fā)生，保障系統(tǒng)安全運(yùn)行，其中前五個層面屬于技術(shù)范疇。

1.2信息安全技術(shù)體系架構(gòu)

信息安全是一個動態(tài)發(fā)展的概念?；诳v深防御思想，信息安全技術(shù)體系的設(shè)計要充分考慮各安全層面和各類安全技術(shù)以及相互間的動態(tài)關(guān)系和依賴度等因素。一個安全層面可采用多類技術(shù)，一類技術(shù)也可用于多個安全層面。信息安全技術(shù)體系架構(gòu)如表1所示，包含了15類信息安全技術(shù)在5個安全層面的應(yīng)用，每一類信息安全技術(shù)又可能包含有多種技術(shù)。

表1　信息安全技術(shù)體系架構(gòu)

2　信息安全威脅評估

信息安全威脅是一種對系統(tǒng)、組織及其資產(chǎn)構(gòu)成潛在破壞的可能性因素或者事件，產(chǎn)生安全威脅的主要因素可分為人為因素和環(huán)境因素。威脅可能是對信息系統(tǒng)直接或間接的攻擊，也可能是偶發(fā)的或蓄意的事件。一般來說，威脅總是要利用網(wǎng)絡(luò)、系統(tǒng)、應(yīng)用或數(shù)據(jù)的弱點(diǎn)才可能對系統(tǒng)造成損害［1］。

安全事件及其后果是分析威脅的重要依據(jù)。但有相當(dāng)部分威脅發(fā)生時，因未能立刻造成后果，或因管理者沒意識到而被忽略，從而對安全威脅的認(rèn)識出現(xiàn)偏差，常見的威脅如圖1所示。

圖1　信息安全威脅分類體系

從圖中可以看出，威脅可能發(fā)生在不同的安全層面。針對這些威脅，采用相應(yīng)的安全控制措施，才能有效應(yīng)對和防御［2］。

3　信息安全防控措施

信息及信息系統(tǒng)安全有其特殊的屬性，在依據(jù)信息安全技術(shù)體系架構(gòu)制定各層面信息安全防控措施時，須從實(shí)際出發(fā)，借鑒國內(nèi)外信息安全建設(shè)實(shí)踐經(jīng)驗(yàn)，按照國家信息安全相關(guān)法規(guī)、標(biāo)準(zhǔn)和規(guī)范進(jìn)行［3］。

3.1物理層安全防控措施

主要是對信息系統(tǒng)的環(huán)境、設(shè)備、存儲介質(zhì)、防電磁輻射等方面采取有效的安全防控措施。具體包括：避雷系統(tǒng)、消防系統(tǒng)；門禁、監(jiān)控、區(qū)域標(biāo)記；恒溫空調(diào)、漏水監(jiān)控；物理訪問控制；防盜竊、防破壞；防靜電地板；接地、屏蔽機(jī)柜等。

3.2網(wǎng)絡(luò)層安全防控措施

主要根據(jù)信息網(wǎng)絡(luò)面臨的安全威脅，從網(wǎng)絡(luò)隔離、訪問控制、安全審計、安全傳輸、安全備份等方面采取有效的安全防控措施。具體包括：物理隔離、邏輯隔離；身份認(rèn)證系統(tǒng)、漏洞掃描、入侵檢測、防毒網(wǎng)關(guān)；網(wǎng)絡(luò)安全審計、網(wǎng)絡(luò)行為審計；傳輸加密協(xié)議、網(wǎng)絡(luò)安全加密、路由器安全策略；關(guān)鍵設(shè)備備份、關(guān)鍵網(wǎng)絡(luò)備份等。

3.3系統(tǒng)軟件層安全防控措施

主要是指從信息系統(tǒng)（操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)）脆弱性、訪問控制、資源控制等方面采取有效的安全防控措施。具體包括入侵檢測系統(tǒng)、主機(jī)脆弱性掃描系統(tǒng)、軟件審計策略、漏洞掃描系統(tǒng)、完整性保護(hù)、桌面終端管理系統(tǒng)。

3.4應(yīng)用層安全防控措施

主要是指從信息系統(tǒng)服務(wù)安全、身份鑒別和訪問控制、重要數(shù)據(jù)備份、日志記錄和審計等方面采取有效的安全防控措施。具體包括防信息篡改、遠(yuǎn)程安全加密、口令強(qiáng)度和更換頻率、統(tǒng)一身份認(rèn)證體系、數(shù)字簽名認(rèn)證、公開密鑰基礎(chǔ)設(shè)施、分類備份、應(yīng)用系統(tǒng)軟件、應(yīng)用日志審計。

3.5數(shù)據(jù)層安全防控措施

主要是指從信息系統(tǒng)的數(shù)據(jù)完整性、準(zhǔn)確性、可用性等方面采取有效的安全防控措施。具體包括數(shù)據(jù)加密認(rèn)證、入侵檢測系統(tǒng)、數(shù)據(jù)審計及配置、數(shù)據(jù)和文檔技術(shù)保護(hù)、數(shù)據(jù)備份等。

4　信息安全整體架構(gòu)設(shè)計

目前，大多已建的信息網(wǎng)絡(luò)和信息系統(tǒng)條塊分割難共享，業(yè)務(wù)難組合，可訪問性和互操作性差；動態(tài)共享困難，信息利用率低；安全靜態(tài)預(yù)置難以應(yīng)對動態(tài)安全威脅，難以防范未知風(fēng)險。因此，依據(jù)縱深防御原則，應(yīng)加強(qiáng)信息系統(tǒng)的信息安全整體架構(gòu)的設(shè)計，主要包括安全應(yīng)用容器、虛擬化與云計算、加密云存儲、應(yīng)用網(wǎng)關(guān)、數(shù)據(jù)網(wǎng)關(guān)、安全管理中心六個方面的設(shè)計與建設(shè)［4］。

4.1安全應(yīng)用容器

通過構(gòu)建面向業(yè)務(wù)的應(yīng)用安全容器，使每個應(yīng)用安全容器與特定用戶的訪問相對應(yīng)。安全應(yīng)用容器包含用戶屬性、平臺屬性和應(yīng)用屬性三部分。用戶屬性包括身份、權(quán)級、職能等；平臺屬性包括平臺標(biāo)識等；應(yīng)用屬性包括業(yè)務(wù)類型、名稱、權(quán)級、服務(wù)質(zhì)量要求等。基于這些屬性，將用戶和應(yīng)用按部門、類型、權(quán)級、服務(wù)質(zhì)量等進(jìn)行分區(qū)域管理，進(jìn)一步通過應(yīng)用訪問數(shù)據(jù)內(nèi)容進(jìn)行基于屬性的訪問控制，獲取對應(yīng)的數(shù)據(jù)存取密鑰。安全應(yīng)用容器實(shí)現(xiàn)了用戶和應(yīng)用的綁定、應(yīng)用之間的安全隔離，并以“白名單”的方式提供按需分配的主動服務(wù)能力。在安全應(yīng)用容器內(nèi)部，既保護(hù)信息本身，又保護(hù)信息處理過程。

4.2虛擬化與云計算

一是在安全架構(gòu)設(shè)計時，要考慮虛擬化資源的可視化追蹤，充分掌握重要信息在虛擬化資源中的分布狀態(tài)。二是在設(shè)計虛擬化資源調(diào)度程序時，要考慮運(yùn)行不同權(quán)級信息系統(tǒng)的虛擬機(jī)在不同物理主機(jī)之間的調(diào)度關(guān)系是否符合權(quán)級要求。三是在將信息系統(tǒng)集中在云數(shù)據(jù)中心時，要充分考慮系統(tǒng)之間的互擾風(fēng)險，采取硬件和軟件隔離措施，加強(qiáng)用戶身份鑒別和訪問控制。四是數(shù)據(jù)和信息系統(tǒng)集中后，更要加強(qiáng)備份、容災(zāi)等業(yè)務(wù)連續(xù)性措施。

4.3加密云存儲

對于重要文件數(shù)據(jù)和私有云中的個人桌面和應(yīng)用容器，都要加密存儲。云數(shù)據(jù)中心數(shù)據(jù)規(guī)模日益龐大，傳統(tǒng)的結(jié)構(gòu)化和非結(jié)構(gòu)化數(shù)據(jù)存儲方式越來越難以滿足要求，因此云存儲利用分布式文件系統(tǒng)和并行計算技術(shù)，實(shí)現(xiàn)大規(guī)模數(shù)據(jù)的高性能、可擴(kuò)展、高可靠和低成本存儲。結(jié)合密碼，在單位內(nèi)部構(gòu)建可信賴、可管控的私有存儲云。加密云存儲的另一個關(guān)鍵是密鑰管理。新型的加密云存儲可采取并行加密，將加密服務(wù)與密鑰管理服務(wù)分離，存儲加、解密密鑰的生成與用戶、應(yīng)用對應(yīng)起來，實(shí)現(xiàn)密鑰層用戶、應(yīng)用的隔離。云存儲加密密鑰的生成由用戶和應(yīng)用發(fā)起，首先對用戶應(yīng)用進(jìn)行認(rèn)證，然后對生成密鑰的加密節(jié)點(diǎn)進(jìn)行認(rèn)證。只有合法的用戶、合法的應(yīng)用、合法的加密節(jié)點(diǎn)才能計算出最終的加密密鑰，加密密鑰使用完后不保留。

4.4應(yīng)用網(wǎng)關(guān)

應(yīng)用網(wǎng)關(guān)部署在安全私有云的入口，實(shí)現(xiàn)私有云端與用戶終端之間的網(wǎng)絡(luò)隔離、云端應(yīng)用服務(wù)的安全提供、輸出管控、云端入侵防護(hù)、流量管理和流量審計等功能。

通過網(wǎng)絡(luò)完全代理，將用戶終端和服務(wù)器分別隔離在不同網(wǎng)絡(luò)區(qū)域。在系統(tǒng)配置和授權(quán)管理之下通過代理協(xié)議實(shí)現(xiàn)不同網(wǎng)絡(luò)區(qū)域之間應(yīng)用層的隔離與安全訪問；與客戶端完成基于數(shù)字證書的接入認(rèn)證，兩者間傳輸采用私有協(xié)議，并使用安全套接字協(xié)議加密，為每一個接入的用戶終端構(gòu)建安全的傳輸通道；管理員可將用戶權(quán)限設(shè)置為只能訪問網(wǎng)關(guān)注冊應(yīng)用列表中的應(yīng)用，而禁止用戶訪問服務(wù)以外的其他網(wǎng)絡(luò)或應(yīng)用；通過與應(yīng)用系統(tǒng)的配合，支持單點(diǎn)登錄功能；結(jié)合安全策略，對客戶端下載、打印、刻錄等行為進(jìn)行管控；通過輸入輸出緩存管理機(jī)制，基于用戶、應(yīng)用、時間等策略進(jìn)行流量的控制；分析網(wǎng)絡(luò)數(shù)據(jù)包，并遵照安全策略進(jìn)行過濾、控制；通過流量檢測、協(xié)議分析，實(shí)時、主動攔截黑客攻擊和惡意行為，使得用戶系統(tǒng)內(nèi)部應(yīng)用和網(wǎng)絡(luò)免受侵害。

4.5數(shù)據(jù)網(wǎng)關(guān)

數(shù)據(jù)網(wǎng)關(guān)位于業(yè)務(wù)應(yīng)用和數(shù)據(jù)之間，提供前端用戶和應(yīng)用授權(quán)訪問后端數(shù)據(jù)的通道；實(shí)現(xiàn)云存儲系統(tǒng)訪問控制、過濾、監(jiān)控審計等功能；提供面向應(yīng)用的數(shù)據(jù)訪問接口以及面向云存儲的存儲接口。獨(dú)立的數(shù)據(jù)網(wǎng)關(guān)實(shí)現(xiàn)了數(shù)據(jù)與應(yīng)用之間的松耦合。

4.6安全管理中心

網(wǎng)絡(luò)和云數(shù)據(jù)中心涉及眾多設(shè)備和系統(tǒng)，為了實(shí)現(xiàn)對所有設(shè)備和系統(tǒng)的集中安全管理以及安全事件發(fā)生后的集中響應(yīng)，要建立一個安全管理中心對網(wǎng)絡(luò)安全進(jìn)行集中管理。通過部署統(tǒng)一的安全管理中心，可將系統(tǒng)中不同位置、不同安全系統(tǒng)中海量分散的單一安全事件進(jìn)行匯總、過濾、收集和關(guān)聯(lián)分析，找出全局角度的安全風(fēng)險事件，形成統(tǒng)一的安全決策，并及時對安全事件進(jìn)行響應(yīng)和處理。安全管理中心集成了安全策略、系統(tǒng)配置、態(tài)勢分析和應(yīng)急響應(yīng)等功能，將系統(tǒng)集成的安全組件有機(jī)管理起來，形成一個有機(jī)整體。態(tài)勢分析預(yù)測中心提供全網(wǎng)安全事件的集中監(jiān)控服務(wù)，實(shí)時安全監(jiān)控，并且將安全事件備份到后臺的關(guān)系數(shù)據(jù)庫中，以備查詢和生成安全運(yùn)行報告。態(tài)勢分析預(yù)測中心可根據(jù)安全策略設(shè)置不同事件的處理策略，自動收集相關(guān)信息并根據(jù)事件進(jìn)行關(guān)聯(lián)分析。

［1］馬慶斌.二談涉網(wǎng)犯罪——涉網(wǎng)犯罪案件剖析［J］.犯罪研究，2006（1）.

［2］肖萌，肖敏.淺談網(wǎng)絡(luò)信息挖掘［J］.網(wǎng)絡(luò)財富，2009（3）.

［3］陳超，劉瑩.試論網(wǎng)絡(luò)經(jīng)濟(jì)犯罪的情報收集與研判［J］.科技信息，2007（28）.

［4］章英，向宏，田慶宜.基于蜜網(wǎng)的網(wǎng)絡(luò)攻防平臺的設(shè)計與實(shí)現(xiàn)［J］.信息安全，2007（23）.

責(zé)任編輯閆桂萍

Information Security Technology Architecture and Application based on the Defense in Depth

LIU Dan
（Chongqing College of Electronic Engineering，Chongqing 401331，China）

The importance of information security is highlighted in the network information system construction.The information security and its technology system architecture based on defense in depth threaten the assessment.The effective important ways to deal with and defense it are taking a variety of safety control measures，optimizing the configuration of information security mechanism，and building computer security prevention and control system.

defense in depth；information security；security architecture

TP393

A

1674-5787（2016）03-0147-04

10.13887/j.cnki.jccee.2016（3）.40

2016-04-05

本文系2014年度重慶市高等教育教學(xué)改革研究重點(diǎn)項(xiàng)目“基于‘雙革命三轉(zhuǎn)變’的高職軟件類專業(yè)教學(xué)改革與實(shí)踐”（項(xiàng)目編號：14-2-088）的研究成果。

劉丹（1982—），女，四川西充人，碩士，重慶電子工程職業(yè)學(xué)院講師，研究方向：計算機(jī)科學(xué)與技術(shù)、軟件工程。