信息安全三要素：機(jī)制 服務(wù) 技術(shù)

■

隨著信息化的延伸，處理信息的種類繁多，帶來的“麻煩”也越來越多。人們不得不考慮為應(yīng)用系統(tǒng)能正常健康地運(yùn)營(yíng)而建造一個(gè)安全保障系統(tǒng)。這個(gè)安全保障系統(tǒng)就是信息安全保障系統(tǒng)，一般簡(jiǎn)稱為“信息安全系統(tǒng)”?？梢詮娜齻€(gè)方面進(jìn)行認(rèn)識(shí)：安全機(jī)制、安全服務(wù)、安全技術(shù)。

安全機(jī)制

1.基礎(chǔ)設(shè)施實(shí)體安全。包括機(jī)房安全、場(chǎng)地安全、設(shè)施安全、動(dòng)力系統(tǒng)安全和災(zāi)難預(yù)防與恢復(fù)。

2.平臺(tái)安全。包括操作系統(tǒng)漏洞檢測(cè)與修復(fù)，網(wǎng)絡(luò)基礎(chǔ)設(shè)施漏洞檢測(cè)與修復(fù)，通用基礎(chǔ)應(yīng)用程序漏洞檢測(cè)與修復(fù)，網(wǎng)絡(luò)安全產(chǎn)品部署。

3.數(shù)據(jù)安全。包括介質(zhì)與載體的安全保護(hù)，數(shù)據(jù)訪問控制，數(shù)據(jù)的完整性、可用性，數(shù)據(jù)監(jiān)控和審計(jì)、數(shù)據(jù)存儲(chǔ)與備份安全。

4.通信安全。包括通信線路和網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全性測(cè)試與優(yōu)化、安裝網(wǎng)絡(luò)加密設(shè)施、設(shè)置通信加密軟件、設(shè)置身份鑒別機(jī)制、設(shè)置并測(cè)試安全通道、測(cè)試各項(xiàng)網(wǎng)絡(luò)協(xié)議運(yùn)行漏洞。

5.應(yīng)用安全。包括業(yè)務(wù)軟件的程序安全性測(cè)試，業(yè)務(wù)交往的防抵賴測(cè)試，業(yè)務(wù)資源的訪問控制驗(yàn)證測(cè)試，業(yè)務(wù)實(shí)體的身份鑒別檢測(cè)，業(yè)務(wù)現(xiàn)場(chǎng)的備份與恢復(fù)機(jī)制檢查，業(yè)務(wù)數(shù)據(jù)的唯一性、一致性、防沖突和保密性測(cè)試，業(yè)務(wù)系統(tǒng)的可靠性和可用性測(cè)試。

6.運(yùn)行安全。包括應(yīng)急處置機(jī)制和配套服務(wù)，網(wǎng)絡(luò)系統(tǒng)安全性監(jiān)測(cè)，網(wǎng)絡(luò)安全產(chǎn)品運(yùn)行監(jiān)測(cè)，定期檢查和評(píng)估，系統(tǒng)升級(jí)和補(bǔ)丁提供，跟蹤新的安全漏洞及通報(bào)，災(zāi)難恢復(fù)機(jī)制與預(yù)防，系統(tǒng)改造管理，網(wǎng)絡(luò)安全專業(yè)技術(shù)咨詢服務(wù)。

7.管理安全。包括人員、培訓(xùn)、應(yīng)用系統(tǒng)、軟件、文檔、數(shù)據(jù)、操作、運(yùn)行、機(jī)房管理。

8.授權(quán)和審計(jì)安全。授權(quán)安全：以向用戶和應(yīng)用程序提供權(quán)限管理和授權(quán)服務(wù)為目標(biāo)；審計(jì)安全是指監(jiān)控網(wǎng)絡(luò)內(nèi)部的用戶活動(dòng)，偵察系統(tǒng)存在的潛在威脅，對(duì)日常運(yùn)行狀況的統(tǒng)計(jì)和分析，對(duì)突發(fā)案件和異常事件的事后分析，輔助偵破和取證。

9.安全防范體系。企業(yè)安全防范體系的建立，就是使得企業(yè)具有較強(qiáng)的應(yīng)急事故處理能力，其核心是實(shí)現(xiàn)企業(yè)信息安全資源的綜合管理。

安全服務(wù)

1.對(duì)等實(shí)體認(rèn)證服務(wù)。對(duì)等實(shí)體認(rèn)證服務(wù)用于兩個(gè)開放系統(tǒng)同等層中的實(shí)體建立鏈接或數(shù)據(jù)傳輸時(shí)，對(duì)對(duì)方實(shí)體的合法性、真實(shí)性進(jìn)行確認(rèn)，以防假冒。

2.數(shù)據(jù)保密服務(wù)。目的是為了防止網(wǎng)絡(luò)中各系統(tǒng)之間的數(shù)據(jù)被截獲或被非法存取而泄露信息，提供密碼加密保護(hù)?？商峁╂溄臃绞胶蜔o鏈接方式兩種數(shù)據(jù)保密，同時(shí)可對(duì)用戶可選字段的數(shù)據(jù)進(jìn)行保護(hù)。

3.數(shù)據(jù)完整性服務(wù)。用以防止非法實(shí)體對(duì)交換數(shù)據(jù)的修改、插入、刪除以及在數(shù)據(jù)交換過程中的數(shù)據(jù)丟失。

4.數(shù)據(jù)源點(diǎn)認(rèn)證服務(wù)。用于確保數(shù)據(jù)發(fā)自真正的源點(diǎn)，防止假冒。

5.禁止否認(rèn)服務(wù)。禁止否認(rèn)服務(wù)用以防止發(fā)送方在發(fā)送數(shù)據(jù)后否認(rèn)自己發(fā)送過此數(shù)據(jù)，接收方在收到數(shù)據(jù)后否認(rèn)自己收到此數(shù)據(jù)或偽造接收數(shù)據(jù)，由兩種服務(wù)組成：不得否認(rèn)發(fā)送；不得否認(rèn)接收。

6.犯罪證據(jù)提供服務(wù)。事后的取證、分析，對(duì)于已經(jīng)發(fā)生的系統(tǒng)破壞行為提供有效的追糾證據(jù)。

安全技術(shù)

1.加密技術(shù)。加密是確保數(shù)據(jù)安全性的基本方法，在OSI安全體系結(jié)構(gòu)中應(yīng)根據(jù)加密所處的層次及加密對(duì)象的不同，而采用不同的密碼。

2.數(shù)字簽名技術(shù)。數(shù)字簽名是確保數(shù)據(jù)真實(shí)性的基本方法。利用數(shù)字簽名技術(shù)還可以進(jìn)行報(bào)文認(rèn)證和用戶身份認(rèn)證。數(shù)字簽名具有解決收發(fā)雙方糾紛的能力。這是其他安全技術(shù)所沒有的。

3.訪問控制技術(shù)。訪問控制按照事先確定的規(guī)則決定主體對(duì)客體的訪問是否合法。

4.數(shù)據(jù)完整性技術(shù)。數(shù)據(jù)完整性技術(shù)通過糾正錯(cuò)誤編碼和差錯(cuò)控制來應(yīng)對(duì)信道干擾，通過報(bào)文認(rèn)證來應(yīng)對(duì)非法入侵者的主動(dòng)攻擊，通過病毒實(shí)時(shí)檢測(cè)來應(yīng)對(duì)計(jì)算機(jī)病毒。

5.認(rèn)證技術(shù)在計(jì)算機(jī)網(wǎng)絡(luò)中認(rèn)證主要有站點(diǎn)認(rèn)證、報(bào)文認(rèn)證、用戶和進(jìn)程認(rèn)證等。

6.數(shù)據(jù)挖掘技術(shù)。數(shù)據(jù)挖掘技術(shù)是及早發(fā)現(xiàn)隱患、將犯罪扼殺在萌芽階段并及時(shí)修補(bǔ)不健全的安全防范體系的重要技術(shù)。

信息安全保障系統(tǒng)是一個(gè)在網(wǎng)絡(luò)上，集成各種硬件、軟件和密碼設(shè)備，以保障其他業(yè)務(wù)應(yīng)用信息系統(tǒng)正常運(yùn)行的專用的信息應(yīng)用系統(tǒng)，以及與之相關(guān)的崗位、人員、制度和規(guī)程的總和。任何一個(gè)成功的信息安全保障系統(tǒng)，都需要各方面通力合作并不斷努力。