構造積極防御的安全保障框架(ppt 30)_第1頁
構造積極防御的安全保障框架(ppt 30)_第2頁
構造積極防御的安全保障框架(ppt 30)_第3頁
構造積極防御的安全保障框架(ppt 30)_第4頁
構造積極防御的安全保障框架(ppt 30)_第5頁
已閱讀5頁,還剩25頁未讀 繼續免費閱讀

下載本文檔

版權說明:本文檔由用戶提供并上傳,收益歸屬內容提供方,若內容存在侵權,請進行舉報或認領

文檔簡介

1、構造積極防御的安全保障框架1一、對當前信息安全系統的反思 2當前大部分信息安全系統主要是由防火墻、入侵監測和病毒防范等組成常規的安全手段只能是在網絡層(IP)設防,在外圍對非法用戶和越權訪問進行封堵,以達到防止外部攻擊的目的對訪問者源端不加控制操作系統的不安全導致應用系統的各種漏洞層出不窮,無法從根本上解決3封堵的辦法是捕捉黑客攻擊和病毒入侵的行為特征,其特征是已發生過的滯后信息 4惡意用戶的攻擊手段變化多端,防護者只能:防火墻越砌越高入侵檢測越做越復雜惡意代碼庫越做越大5導 致:誤報率增多,安全投入不斷增加維護與管理更加復雜和難以實施信息系統的使用效率大大降低對新的攻擊入侵毫無防御能力(如沖

2、擊波)反思: 老三樣、堵漏洞、作高墻、 防外攻、防不勝防 6產生安全事故的技術原因:PC機軟、硬件結構簡化,導致資源可任意使用,尤其是執行代碼可修改,惡意程序可以被植入病毒程序利用PC操作系統對執行代碼不檢查一致性弱點,將病毒代碼嵌入到執行代碼程序,實現病毒傳播黑客利用被攻擊系統的漏洞竊取超級用戶權限,肆意進行破壞更為嚴重的是對合法的用戶沒有進行嚴格的訪問控制,可以進行越權訪問,造成不安全事故7如果從終端操作平臺實施高等級防范,這些不安全因素將從終端源頭被控制。這種情況在工作流程相對固定的重要信息系統顯得更為重要而可行。8在電子政務的內外網中政務內網與政務外網物理隔離,政務外網與Interne

3、t邏輯隔離要處理的工作流程都是預先設計好的操作使用的角色是確定的應用范圍和邊界都是明確的這類工作流程相對固定的生產系統與Internet網是有隔離措施的,外部網絡的用戶很難侵入到內部網絡來 ,其最大的威脅是來自內部人員的竊密和破壞。9 據統計,80%的信息安全事故為內部人員和內外勾結所為,而且呈上升的趨勢。因此我們應該以 “防內為主、內外兼防”的模式,從提高使用節點自身的安全著手,構筑積極、綜合的安全防護系統。應該:強機制、高可信、控使用、防內外,積極防御10二、可信賴計算環境11為了解決PC機結構上的不安全,從根本上提高其安全性,在世界范圍內推行可信計算技術1999年由Compaq、HP、I

4、BM、Intel和Microsoft牽頭組織TCPA( Trusted Computing Platform Alliance),目前已發展成員190家,遍布全球各大洲主力廠商12TCPA專注于從計算平臺體系結構上增強其安全性,2001年1月發布了標準規范(v1.1),2003年3月改組為TCG(Trusted Computing Group)其目的是在計算和通信系統中廣泛使用基于硬件安全模塊支持下的可信計算平臺,以提高整體的安全性。13可信計算終端基于可信賴平臺模塊(TPM),以密碼技術為支持、安全操作系統為核心(如圖1所示) 安全應用組件安全操作系統安全操作系統內核密碼模塊協議棧主板可信賴

5、BIOSTPM(密碼模塊芯片)圖1:可信賴計算平臺14具有以下功能:確保用戶唯一身份、權限、工作空間的完整性/可用性確保存儲、處理、傳輸的機密性/完整性確保硬件環境配置、操作系統內核、服務及應用程序的完整性確保密鑰操作和存儲的安全確保系統具有免疫能力,從根本上防止病毒和黑客15安全操作系統是可信計算終端平臺的核心和基礎,沒有安全的操作系統,就沒有安全的應用,也不能使TPM發揮應有的作用16三、安全技術保障框架17對工作流程相對固定的重要信息系統主要由應用操作、共享服務和網絡通信三個環節組成。如果信息系統中每一個使用者都通過可信終端認證和授權,其操作都是符合規定的,網絡上也不會被竊聽和插入,那么

6、就不會產生攻擊性共享服務資源的事故,就能保證整個信息系統的安全18可信終端確保用戶的合法性和資源的一致性,使用戶只能按照規定的權限和訪問控制規則進行操作,能做到什么樣權限級別的人只能做與其身份規定的訪問操作,只要控制規則是合理的,那么整個信息系統資源訪問過程是安全的。可信終端奠定了系統安全的基礎19應用安全邊界設備(如VPN安全網關等)保護共享服務資源,其具有身份認證和安全審計功能,將共享服務器(如數據庫服務器、WEB服務器、郵件服務器等)與非法訪問者隔離,防止意外的非授權用戶的訪問(如非法接入的非可信終端)。這樣共享服務端主要增強其可靠性,如雙機備份、容錯、災難恢復等,而不必作繁重的訪問控制

7、,從而減輕服務器的壓力,以防拒絕服務攻擊20采用IPSec 實現網絡通信全程安全保密。IPSec工作在操作系統內核,速度快,幾乎可以達到線速處理,可以實現源到目的端的全程通信安全保護,確保傳輸連接的真實性和數據的機密性、一致性 ,防止非法的竊聽和插入21綜上所述,可信的應用操作平臺、安全的共享服務資源邊界保護和全程安全保護的網絡通信,構成了工作流程相對固定的生產系統的信息安全保障框架。(如圖2所示) 圖2:工作流程相對固定的生產系統安全解決方案全程IPSec 服務器安全邊界設備可信客戶端可信客戶端 全程IPSec 安全域一可信客戶端可信客戶端 安全域二安全隔離設備全程IPSec 22要實現上述

8、終端、邊界和通信有效的保障,還需要授權管理的管理中心以及可信配置的密碼管理中心的支撐從技術層面上可以分為以下五個環節:應用環境安全 應用區域邊界安全 網絡和通信傳輸安全安全管理中心 密碼管理中心即:兩個中心支持下的三重保障體系結構 23對于復雜系統:構成三縱(公共區域、專用區域、涉密區域)三橫(應用環境、應用區域邊界、網絡通信)和兩個中心的安全防御框架。(如圖3所示)24圖3:信息安全技術保障框架25應用環境安全: 包括單機、C/S、B/S模式,采用身份認證、訪問控制、密碼加密、安全審計等機制,構成可信應用環境應用區域邊界安全: 通過部署邊界保護措施控制對內部局域網的訪問,實現局域網與廣域網之間的安全。采用安全網關、防火墻等隔離過濾機制,保護共享資源的可信連接26網絡和通信傳輸安全: 包括實現局域網互聯過程的安全,旨在確保通信的機密性、一致性和可用性。采用密碼加密、完整性校驗和實體鑒別等機制,實現可信連接和安全通信安全管理中心: 提供認證、授權、實施訪問控制策略等 服務密碼管理中心: 提供互聯互通密碼配置、公鑰證書和傳統的對稱密鑰的管理,為信息系統提供密碼服務27三種不同性質的應用區域在各自采用相應的安全保障措施之后,互相之間有一定的溝通,需要采用安全隔離和信息交換設備進

溫馨提示

  • 1. 本站所有資源如無特殊說明,都需要本地電腦安裝OFFICE2007和PDF閱讀器。圖紙軟件為CAD,CAXA,PROE,UG,SolidWorks等.壓縮文件請下載最新的WinRAR軟件解壓。
  • 2. 本站的文檔不包含任何第三方提供的附件圖紙等,如果需要附件,請聯系上傳者。文件的所有權益歸上傳用戶所有。
  • 3. 本站RAR壓縮包中若帶圖紙,網頁內容里面會有圖紙預覽,若沒有圖紙預覽就沒有圖紙。
  • 4. 未經權益所有人同意不得將文件中的內容挪作商業或盈利用途。
  • 5. 人人文庫網僅提供信息存儲空間,僅對用戶上傳內容的表現方式做保護處理,對用戶上傳分享的文檔內容本身不做任何修改或編輯,并不能對任何下載內容負責。
  • 6. 下載文件中如有侵權或不適當內容,請與我們聯系,我們立即糾正。
  • 7. 本站不保證下載資源的準確性、安全性和完整性, 同時也不承擔用戶因使用這些下載資源對自己和他人造成任何形式的傷害或損失。

評論

0/150

提交評論