劉丹

（重慶電子工程職業(yè)學院，重慶 401331）

基于縱深防御的信息安全技術體系架構及應用研究

劉丹

（重慶電子工程職業(yè)學院，重慶 401331）

信息安全在網(wǎng)絡信息系統(tǒng)建設中的重要性日益凸顯，基于縱深防御的信息安全技術體系架構與信息安全威脅評估，采取多種安全防控措施，優(yōu)化配置信息安全機制，完善計算機安全防控系統(tǒng)，是有效應對和防御信息安全威脅的重要途徑。

縱深防御；信息安全；安全架構

隨著信息化快速發(fā)展，信息安全問題日益凸顯。傳統(tǒng)的信息安全技術防護側重于單點靜態(tài)的被動防御，隨著信息攻擊技術和手段的發(fā)展，這種方式已無法有效應對當前各類新型網(wǎng)絡攻擊。加強多層次且層層聯(lián)動的信息安全防御，即“縱深防御”，構筑層次化、多樣化的信息安全技術體系來保障信息和信息系統(tǒng)的安全已迫在眉睫。

信息化與信息安全是一個辯證統(tǒng)一的矛盾體，相互關聯(lián)、促進和制約，信息安全是信息化建設的保障。要推進信息化建設較好較快發(fā)展，就要把信息安全提升到戰(zhàn)略層次，同步規(guī)劃、升級和實施。當前的信息安全保障體系的建設滯后于信息化整體發(fā)展，存在消極安保的現(xiàn)象，導致信息安全成為影響和制約信息化建設向著縱深發(fā)展和可持續(xù)發(fā)展的瓶頸。因此，推進信息化建設快速發(fā)展，必須盡快補齊信息安全這塊“短板”，以安全保發(fā)展，以發(fā)展促安全。

1　信息安全技術體系架構

信息安全技術是指為實現(xiàn)信息安全目標而采取的各種技術措施的總稱，包括密碼技術、防火墻技術、反病毒技術、入侵檢測技術、信息防泄漏技術、漏洞掃描技術、虛擬專用網(wǎng)絡技術、數(shù)字簽名技術、信息認證技術、訪問控制技術等。利用多種技術手段構建科學高效的信息安全技術體系是實施信息安全保障的重要基礎。

1.1信息安全層次

在信息安全領域，縱深防御的基本思想是采用多個保護層和不同防御方法，對信息和信息系統(tǒng)實施層層防御并盡可能層層聯(lián)動，這就使只能攻破某一層或者某一類保護的攻擊行為無法破壞整個信息基礎設施，從而保障整個信息系統(tǒng)的安全。依據(jù)縱深防御原則，信息系統(tǒng)可以從物理、網(wǎng)絡、系統(tǒng)軟件、應用、數(shù)據(jù)、人員政策等層面進行層層防御，阻止威脅的發(fā)生，保障系統(tǒng)安全運行，其中前五個層面屬于技術范疇。

1.2信息安全技術體系架構

信息安全是一個動態(tài)發(fā)展的概念?；诳v深防御思想，信息安全技術體系的設計要充分考慮各安全層面和各類安全技術以及相互間的動態(tài)關系和依賴度等因素。一個安全層面可采用多類技術，一類技術也可用于多個安全層面。信息安全技術體系架構如表1所示，包含了15類信息安全技術在5個安全層面的應用，每一類信息安全技術又可能包含有多種技術。

表1　信息安全技術體系架構

2　信息安全威脅評估

信息安全威脅是一種對系統(tǒng)、組織及其資產構成潛在破壞的可能性因素或者事件，產生安全威脅的主要因素可分為人為因素和環(huán)境因素。威脅可能是對信息系統(tǒng)直接或間接的攻擊，也可能是偶發(fā)的或蓄意的事件。一般來說，威脅總是要利用網(wǎng)絡、系統(tǒng)、應用或數(shù)據(jù)的弱點才可能對系統(tǒng)造成損害［1］。

安全事件及其后果是分析威脅的重要依據(jù)。但有相當部分威脅發(fā)生時，因未能立刻造成后果，或因管理者沒意識到而被忽略，從而對安全威脅的認識出現(xiàn)偏差，常見的威脅如圖1所示。

圖1　信息安全威脅分類體系

從圖中可以看出，威脅可能發(fā)生在不同的安全層面。針對這些威脅，采用相應的安全控制措施，才能有效應對和防御［2］。

3　信息安全防控措施

信息及信息系統(tǒng)安全有其特殊的屬性，在依據(jù)信息安全技術體系架構制定各層面信息安全防控措施時，須從實際出發(fā)，借鑒國內外信息安全建設實踐經(jīng)驗，按照國家信息安全相關法規(guī)、標準和規(guī)范進行［3］。

3.1物理層安全防控措施

主要是對信息系統(tǒng)的環(huán)境、設備、存儲介質、防電磁輻射等方面采取有效的安全防控措施。具體包括：避雷系統(tǒng)、消防系統(tǒng)；門禁、監(jiān)控、區(qū)域標記；恒溫空調、漏水監(jiān)控；物理訪問控制；防盜竊、防破壞；防靜電地板；接地、屏蔽機柜等。

3.2網(wǎng)絡層安全防控措施

主要根據(jù)信息網(wǎng)絡面臨的安全威脅，從網(wǎng)絡隔離、訪問控制、安全審計、安全傳輸、安全備份等方面采取有效的安全防控措施。具體包括：物理隔離、邏輯隔離；身份認證系統(tǒng)、漏洞掃描、入侵檢測、防毒網(wǎng)關；網(wǎng)絡安全審計、網(wǎng)絡行為審計；傳輸加密協(xié)議、網(wǎng)絡安全加密、路由器安全策略；關鍵設備備份、關鍵網(wǎng)絡備份等。

3.3系統(tǒng)軟件層安全防控措施

主要是指從信息系統(tǒng)（操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)）脆弱性、訪問控制、資源控制等方面采取有效的安全防控措施。具體包括入侵檢測系統(tǒng)、主機脆弱性掃描系統(tǒng)、軟件審計策略、漏洞掃描系統(tǒng)、完整性保護、桌面終端管理系統(tǒng)。

3.4應用層安全防控措施

主要是指從信息系統(tǒng)服務安全、身份鑒別和訪問控制、重要數(shù)據(jù)備份、日志記錄和審計等方面采取有效的安全防控措施。具體包括防信息篡改、遠程安全加密、口令強度和更換頻率、統(tǒng)一身份認證體系、數(shù)字簽名認證、公開密鑰基礎設施、分類備份、應用系統(tǒng)軟件、應用日志審計。

3.5數(shù)據(jù)層安全防控措施

主要是指從信息系統(tǒng)的數(shù)據(jù)完整性、準確性、可用性等方面采取有效的安全防控措施。具體包括數(shù)據(jù)加密認證、入侵檢測系統(tǒng)、數(shù)據(jù)審計及配置、數(shù)據(jù)和文檔技術保護、數(shù)據(jù)備份等。

4　信息安全整體架構設計

目前，大多已建的信息網(wǎng)絡和信息系統(tǒng)條塊分割難共享，業(yè)務難組合，可訪問性和互操作性差；動態(tài)共享困難，信息利用率低；安全靜態(tài)預置難以應對動態(tài)安全威脅，難以防范未知風險。因此，依據(jù)縱深防御原則，應加強信息系統(tǒng)的信息安全整體架構的設計，主要包括安全應用容器、虛擬化與云計算、加密云存儲、應用網(wǎng)關、數(shù)據(jù)網(wǎng)關、安全管理中心六個方面的設計與建設［4］。

4.1安全應用容器

通過構建面向業(yè)務的應用安全容器，使每個應用安全容器與特定用戶的訪問相對應。安全應用容器包含用戶屬性、平臺屬性和應用屬性三部分。用戶屬性包括身份、權級、職能等；平臺屬性包括平臺標識等；應用屬性包括業(yè)務類型、名稱、權級、服務質量要求等?；谶@些屬性，將用戶和應用按部門、類型、權級、服務質量等進行分區(qū)域管理，進一步通過應用訪問數(shù)據(jù)內容進行基于屬性的訪問控制，獲取對應的數(shù)據(jù)存取密鑰。安全應用容器實現(xiàn)了用戶和應用的綁定、應用之間的安全隔離，并以“白名單”的方式提供按需分配的主動服務能力。在安全應用容器內部，既保護信息本身，又保護信息處理過程。

4.2虛擬化與云計算

一是在安全架構設計時，要考慮虛擬化資源的可視化追蹤，充分掌握重要信息在虛擬化資源中的分布狀態(tài)。二是在設計虛擬化資源調度程序時，要考慮運行不同權級信息系統(tǒng)的虛擬機在不同物理主機之間的調度關系是否符合權級要求。三是在將信息系統(tǒng)集中在云數(shù)據(jù)中心時，要充分考慮系統(tǒng)之間的互擾風險，采取硬件和軟件隔離措施，加強用戶身份鑒別和訪問控制。四是數(shù)據(jù)和信息系統(tǒng)集中后，更要加強備份、容災等業(yè)務連續(xù)性措施。

4.3加密云存儲

對于重要文件數(shù)據(jù)和私有云中的個人桌面和應用容器，都要加密存儲。云數(shù)據(jù)中心數(shù)據(jù)規(guī)模日益龐大，傳統(tǒng)的結構化和非結構化數(shù)據(jù)存儲方式越來越難以滿足要求，因此云存儲利用分布式文件系統(tǒng)和并行計算技術，實現(xiàn)大規(guī)模數(shù)據(jù)的高性能、可擴展、高可靠和低成本存儲。結合密碼，在單位內部構建可信賴、可管控的私有存儲云。加密云存儲的另一個關鍵是密鑰管理。新型的加密云存儲可采取并行加密，將加密服務與密鑰管理服務分離，存儲加、解密密鑰的生成與用戶、應用對應起來，實現(xiàn)密鑰層用戶、應用的隔離。云存儲加密密鑰的生成由用戶和應用發(fā)起，首先對用戶應用進行認證，然后對生成密鑰的加密節(jié)點進行認證。只有合法的用戶、合法的應用、合法的加密節(jié)點才能計算出最終的加密密鑰，加密密鑰使用完后不保留。

4.4應用網(wǎng)關

應用網(wǎng)關部署在安全私有云的入口，實現(xiàn)私有云端與用戶終端之間的網(wǎng)絡隔離、云端應用服務的安全提供、輸出管控、云端入侵防護、流量管理和流量審計等功能。

通過網(wǎng)絡完全代理，將用戶終端和服務器分別隔離在不同網(wǎng)絡區(qū)域。在系統(tǒng)配置和授權管理之下通過代理協(xié)議實現(xiàn)不同網(wǎng)絡區(qū)域之間應用層的隔離與安全訪問；與客戶端完成基于數(shù)字證書的接入認證，兩者間傳輸采用私有協(xié)議，并使用安全套接字協(xié)議加密，為每一個接入的用戶終端構建安全的傳輸通道；管理員可將用戶權限設置為只能訪問網(wǎng)關注冊應用列表中的應用，而禁止用戶訪問服務以外的其他網(wǎng)絡或應用；通過與應用系統(tǒng)的配合，支持單點登錄功能；結合安全策略，對客戶端下載、打印、刻錄等行為進行管控；通過輸入輸出緩存管理機制，基于用戶、應用、時間等策略進行流量的控制；分析網(wǎng)絡數(shù)據(jù)包，并遵照安全策略進行過濾、控制；通過流量檢測、協(xié)議分析，實時、主動攔截黑客攻擊和惡意行為，使得用戶系統(tǒng)內部應用和網(wǎng)絡免受侵害。

4.5數(shù)據(jù)網(wǎng)關

數(shù)據(jù)網(wǎng)關位于業(yè)務應用和數(shù)據(jù)之間，提供前端用戶和應用授權訪問后端數(shù)據(jù)的通道；實現(xiàn)云存儲系統(tǒng)訪問控制、過濾、監(jiān)控審計等功能；提供面向應用的數(shù)據(jù)訪問接口以及面向云存儲的存儲接口。獨立的數(shù)據(jù)網(wǎng)關實現(xiàn)了數(shù)據(jù)與應用之間的松耦合。

4.6安全管理中心

網(wǎng)絡和云數(shù)據(jù)中心涉及眾多設備和系統(tǒng)，為了實現(xiàn)對所有設備和系統(tǒng)的集中安全管理以及安全事件發(fā)生后的集中響應，要建立一個安全管理中心對網(wǎng)絡安全進行集中管理。通過部署統(tǒng)一的安全管理中心，可將系統(tǒng)中不同位置、不同安全系統(tǒng)中海量分散的單一安全事件進行匯總、過濾、收集和關聯(lián)分析，找出全局角度的安全風險事件，形成統(tǒng)一的安全決策，并及時對安全事件進行響應和處理。安全管理中心集成了安全策略、系統(tǒng)配置、態(tài)勢分析和應急響應等功能，將系統(tǒng)集成的安全組件有機管理起來，形成一個有機整體。態(tài)勢分析預測中心提供全網(wǎng)安全事件的集中監(jiān)控服務，實時安全監(jiān)控，并且將安全事件備份到后臺的關系數(shù)據(jù)庫中，以備查詢和生成安全運行報告。態(tài)勢分析預測中心可根據(jù)安全策略設置不同事件的處理策略，自動收集相關信息并根據(jù)事件進行關聯(lián)分析。

［1］馬慶斌.二談涉網(wǎng)犯罪——涉網(wǎng)犯罪案件剖析［J］.犯罪研究，2006（1）.

［2］肖萌，肖敏.淺談網(wǎng)絡信息挖掘［J］.網(wǎng)絡財富，2009（3）.

［3］陳超，劉瑩.試論網(wǎng)絡經(jīng)濟犯罪的情報收集與研判［J］.科技信息，2007（28）.

［4］章英，向宏，田慶宜.基于蜜網(wǎng)的網(wǎng)絡攻防平臺的設計與實現(xiàn)［J］.信息安全，2007（23）.

責任編輯閆桂萍

Information Security Technology Architecture and Application based on the Defense in Depth

LIU Dan
（Chongqing College of Electronic Engineering，Chongqing 401331，China）

The importance of information security is highlighted in the network information system construction.The information security and its technology system architecture based on defense in depth threaten the assessment.The effective important ways to deal with and defense it are taking a variety of safety control measures，optimizing the configuration of information security mechanism，and building computer security prevention and control system.

defense in depth；information security；security architecture

TP393

A

1674-5787（2016）03-0147-04

10.13887/j.cnki.jccee.2016（3）.40

2016-04-05

本文系2014年度重慶市高等教育教學改革研究重點項目“基于‘雙革命三轉變’的高職軟件類專業(yè)教學改革與實踐”（項目編號：14-2-088）的研究成果。

劉丹（1982—），女，四川西充人，碩士，重慶電子工程職業(yè)學院講師，研究方向：計算機科學與技術、軟件工程。