还剩20页未读,继续阅读
本资源只提供10页预览,全部文档请下载后查看!喜欢就下载吧,查找使用更方便
文本内容:
第八章安全管理信息系统安全
8.1安全管理信息系统安全
8.
1.1信息安全的内涵关于信息安全,不同的人从不同的角度给出不同的定义我国计算机信息系统安全专用产品分类原则给出的定义是“涉及实体安全、运行安全和信息安全三个方面”国家信息安全重点实验室给出的定义是“信息安全涉及到信息的机密性、完整性、可用性、可控性目的就是要保障电子信息体系的有效性”美国国家安全局信息保障主任给出的定义是“因为术语‘信息安全’一直表示信息的机密性,在国防部我们用‘信息保障’来描述信息安全,也叫‘IA’包含5种安全服务,包括机密性、完整性、可用性、真实性和不可抵赖性我国信息安全专家沈昌样院士将信息安全定义为保护信息和信息系统不被未经授权的访问、使用、泄露、修改和破坏,为信息和信息系统提供保密性、完整性、可用性、可控性和不可否认性国际化标准组织ISO信息安全提出的建议定义是:“为数据处理系统建立和采取的技术和管理的安全保护保护计算机硬件、软件数据不因偶然的和恶意的原因而遭受破坏、更改、泄漏”综合起来,信息安全是指信息在存贮、获取、传递和处理过程中保持其完整、真实、可用和不被泄漏的特性更进一步地,信息系统安全可定义为:确保以电磁信号为主要形式的、在计算机网络化系统进行自动通信、处理和利用的信息内容,在各个物理位置、逻辑区域、存储和传输介质中,处于动态和静态过程中的机密性、完整性、可用性、可审查性和抗抵赖性的,与人、网络、与环境有关的技术安全、结构安全和管理安全的总和
8.
1.2信息安全管理的内涵信息安全管理是通过维护信息的机密性、完整性和可用性等来保护和管理信息资产的一项体制,是为了实现信息安全的目标而进行指导、规范和管理的一系列活动和过程信息安全管理是企业信息安全保障体系的重要组成部分,是企业发展不可或缺的一部分,对于保护信息资产、降低风险具有重要作用信息安全管理工作包括制定信息安全方针政策、风险识别、控制目标与制定规范的操作流程、以及对人员进行信息安全培训教育等工作
8.
1.3信息系统安全的主要威胁凡是使用信息系统的人都知道,灾难可能降临在存储的信息或计算机系统头上有些是意外灾难,由于停电、电脑使用者没有经验,或是错误使用等原因引起;而有些则是怀有恶意的破坏者故意造成的信息系统安全的主要威胁包括以下几个方面:
(1)意外事件及自然灾害停电,电脑操作人员的经验不足或粗心,宠物从电脑键盘走过,等等
(2)企业员工和技术顾问可以访问电子文档的企业内部人员
(3)外部业务往来电子信息作为业务往来的一部分在两个或更多的业务伙伴间往来就可能存在风险
(4)外部入侵者侵入网络和电脑系统进行偷窥或破坏的黑客和破坏者(目前在网络上很嚣张的各种病毒就属于这种类型)破坏信息系统通常情况下有以下几种方式未授权访问、信息篡改、拒绝服务、病毒,以及垃圾邮件、间谍软件和Cookie文件下面就来讨论这些内容
1.未经授权访问人们在无权查看、操作或处理信息的情况下,浏览电子文档查找自己感兴趣的或有用的数据、在屏幕前窥视专有的或机密的信息,或者在信息发布途中将其截获,都属于未授权访问攻击未授权访问通过偷窃电脑,偷窃存储介质(例如可移动闪存、光盘、或备份磁带),或者仅是打开电脑上未设限制访问的文件就能实现如果好几个用户共享电脑信息,比如说在一个企业里,内部系统管理员可以要求输入正确的许可信息来阻止对信息的随意窥视或偷窃此外,管理员可以记录下来未授权个人登录访问的信息然而,有心的攻击者会想方设法给自己系统管理员的身份或提高自己的访问级别,有时通过窃取密码作为已授权用户登录系统一种常见的访问密码保护系统的方式是蛮力破解法,即尝试使用大量不同的密码直到找到相匹配的密码有些系统试图通过增加不成功登录的等待时间,或是使用一种叫CAPTCHAS的验证码识别技术来对付蛮力法CAPTCHA即全自动区分计算机和人类的图灵测试,它指的是这样一种技术,通常显示为一个组合有字母、数字的扭曲图像,用户必须将图像里的内容输入到格子里(在填写完其他相关信息之后)才能提交因为图像是扭曲的,所以目前只有人类的眼睛可以识别出这些字母或者数字,从而可以避免自动处理机制不断重复尝试提交表单来获取许可进入系统
2.信息篡改信息篡改攻击是指有人访问电子信息然后通过某种方式改变信息的内容,比如某员工侵入薪资系统给自己电子加薪和分红,或者黑客入侵政府网站修改信息
3.拒绝服务拒绝服务攻击是指电子入侵者故意地阻止某项服务的合法用户使用该服务入侵者经常通过使位于家里、学校或企业的没有安全系统(或安全系统很弱)的电脑感染上病毒或蠕虫来实施这种攻击当上网的电脑用户没有使用防火墙或杀毒软件来保护自己而易于被攻击时,被安放了恶意代码的染毒服务器就会出现在用户不知情的情况下,病毒渗入到未受保护的电脑,利用它们将病毒传播到其他的电脑,并对热门网站发起攻击受到攻击的网站服务器在潮涌般的假冒请求下死机,于是不能对正常因特网用户的合法请求提供服务,举例来说,MyDoom蠕虫病毒能够控制大批染毒服务器来攻击微软公司网站,并完全阻止了其他用户的合法请求微软公司是病毒作者的关注焦点,微软公司要经常提供下载补丁给它的软件用户以阻止未授权入侵
4.计算机病毒病毒是对电脑安全最具威胁的因素之一病毒一旦破坏数据,就需要公司或个人付出大量的时间、金钱以及资源去弥补它们所造成的损失病毒由破坏性的代码组成,能删除硬盘数据、控制电脑或造成其他破坏蠕虫是病毒的一种,它能通过因特网,利用操作系统和软件的安全漏洞进行无休止的复制,进而导致服务器宕机和对因特网用户服务请求的拒绝举例来说,IdaCodeRed蠕虫病毒利用已知的微软网站服务器的安全漏洞,即允许蠕虫大量发送数据包到www.whitehouse.gov,使该服务器超负荷,于是造成拒绝服务攻击,导致美国白宫网站瘫痪
5.间谍软件、垃圾邮件和Cookie文件另外三种威胁信息系统安全的方式是间谍软件、垃圾邮件和Cookie文件
(1)间谍软件间谍软件是指在用户不知情的情况下,通过因特网连接偷偷收集用户信息的软件间谍软件有时藏在免费软件或共享软件程序中,或者被植入网站,在用户不知情的情况下被下载并安装到用户的电脑上,目的是获取用户的数据来进行市场推广或做广告间谍软件可以监视计算机用户的活动,并能在后台偷偷地将该信息传给其他人电子信箱地址、密码、信用卡卡号,以及访问过的网站等信息都可能被间谍软件牧集从通信的角度看,间谍软件之所以会引发问题,是因为它占用了计算机的内存资源,当它通过因特网连接向其大本营发回信息时,还会占用网络带宽,从而导致系统的不稳定,或者更糟糕的情况是导致系统崩溃有种特殊的间谍软件叫做广告软件,它能收集用户的个人信息以便量身定做浏览器的网页广告尽管媒体一直在宣传应立法对间谍软件进行适当的调控,但是认清间谍软件目前并非非法这一点是很重要的好在防火墙和反间谍软件可以扫描和阻止间谍软件
(2)垃圾邮件另一种入侵电子邮件造成网络拥堵的常见形式是垃圾邮件垃圾邮件是指包含垃圾信息的电子邮件或投送垃圾新闻组邮件,通常其目的是为了推销某种产品或服务垃圾邮件不仅没有任何实际用处,浪费我们的时间,而且还会占用大量的存储空间和网络带宽有些垃圾邮件就是个骗局,让你为并不存在的慈善事业捐款,或警告你注意根本不存在的病毒或其他网络威胁有时候,垃圾邮件的附件还带有破坏性的计算机病毒因此,网络服务供应商和企业内部邮件管理人员现在通常使用防火墙来打击垃圾邮件有些垃圾邮件是网络钓鱼(或欺骗)邮件,它们通常通过发送垃圾信息到成百上千万的电邮账户(即攻击者对受害者实施“钓鱼”)来骗取银行账号和信用卡持有者给出他们的授权信息这些虚假信息中的网站链接复制了那些能获取个人信息的合法站点,例如,很多电子邮件用户经常受到来自虚假银行、Epay(网上支付业务)或者PayPal(一种因特网服务商)等的攻击不要回复垃圾邮件,强调这一点是很重要的,尽管有时我们觉得这样做很不错,即使邮件信息包含了将你的邮件地址从接收者列表中删除的指令回复邮件只会适得其反,因为垃圾邮件发送者可以很容易地识别出有效的电子信箱并标记出来以便以后继续发送垃圾邮件除了依靠电子邮件的垃圾信息外,还有一种常见的垃圾即时通信消息垃圾即时通信消息就是一种骗局,因为信息被设计成模仿聊天对话的形式,通常是一个网站链接和一些鼓吹该网站是多么有意思等诸如此类的内容
(3)Cookie文件另一种网上垃圾是Cookie文件Cookie文件指的是从网站服务器传递到用户电脑浏览器的信息,然后浏览器以文本格式储存该文件,每当用户浏览器向服务器请求访问页面,该信息就会被发回服务器Cookie文件通常用作合法目的,比如识别用户以便为他们准备需要的网页,或是为了认证举例来说,当用Cookie文件进入一个网站,有可能会被要求填写一张表单,需要填写姓名和兴趣或者是简单地填写邮政编码这些信息被打包成Cookie文件,通过网络浏览器加以发送,然后储存在电脑上以便日后使用当你再次访问同一网站时,浏览器就会向服务器发送Cookie文件以便它能根据你的名字、兴趣为你提供个性化的网页,网络服务器还有可能激活你的邮政编码向你提供当地新闻和天气预报Cookie文件通常记录用户在网站表单上提供的信息(例如,在定购产品的时候),在这种情况下,Cookie文件可能包含敏感信息(比如信用卡号),一旦未经授权的人进入电脑就会带来安全隐患专门的Cookie管理或Cookie清除软件可以用来管理Cookie文件,可是管理Cookie文件更简单的方法就是使用网络浏览器的设置举个例子来说,在IE浏览器的设置中,可以对Cookie文件的使用设置不同的等级,可以完全停止使用;如果允许使用,可以定期地从电脑中删除
8.
1.3信息系统安全体系信息安全体系框架技术体系组织机构体系管理体系法律制度培训机构岗位人事技术机制技术管理OSI安全技术运行环境及系统安全技术审计密匙管理安全策略与服务图8-1信息系统安全体系框架如图8-1所示,一个完整的信息安全体系应该是组织机构、管理和安全技术实施的结合,三者缺一不可在信息系统安全体系框架中,从组织机构、技术、管理等多个层面提供用户为保证其信息安全所需要的安全对策、机制和措施,强调在一个安全体系中进行多层保护在体系中,管理是根本,技术是前提和手段,组织机构(由组织、岗位、人事等模块构成)则是信息安全中最积极的因素,在采用信息安全技术的同时,应该发挥网络系统中最积极的因素──“人”的作用,通过信息安全管理制度和机制来规范人在技术实施和安全操作中的职责,发挥人在信息安全实现中的能动性因此,建设信息安全保障体系首先要解决“人”的问题,建立完善的安全组织结构,其次是解决“人”和“技术”之间的关系,建立层次化的信息安全策略,包括纲领性策略、安全制度、安全指南和操作流程,最后是解决“人”与“技术(操作)”的问题,通过各种安全机制综合实现预警、保护、检测、响应、恢复等来提高信息的安全保障能力
1.技术体系信息系统安全体系中技术体系框架的设计,可借鉴美国DISSP计划(美军全国防信息系统安全计划)提出的三维安全体系的思路,将协议层次、信息系统构成单元和安全服务安全机制作为三维坐标体系的三个维来表示如图8-2所示#0;协议层侧安全服务(安全机制)系统构成单元安全管理鉴别审计抗抵赖数据保密性数据完整性访问控制可靠性可用性加密数据签名访问控制完整性鉴别交流业务流填充公证电磁辐射控制抗电磁干扰应用层传输层网路层链路层物理层安全管理物理环境系统平台通信平台网络平台应用平台安全管理图8-2安全技术体系三维图安全机制选作X维,协议层选作Y维,信息系统构成单元选作为Z维在X维中,由于安全机制并不直接配置在协议层上,也不直接作用在系统单元上,而是通过提供安全服务来发挥作用,为便于从三维图中全面地概览信息系统安全体系中的相互关系,将安全机制作为安全服务的底层支撑放在图中;在安全机制中,将OSI安全体系中的八种机制与物理安全中的电磁辐射安全机制放在一起,可使安全服务中的数据保密性和可靠性、可用性功能赋有更为广泛的安全意义,同时也为物理环境的安全提供了重要的安全机制和服务;协议层以OSI七层模型为参考,只选取可适宜配置安全服务的五个层次;每个维中的“安全管理”是一种概念,它是纯粹基于标准或协议的各种技术管理
2.组织机构体系组织机构体系是信息系统安全的组织保障系统,由机构、岗位和人事三个模块构成岗位是信息安全管理部门根据系统安全需要设定的负责某个安全事务的职位,岗位在系统内部可以是具有垂直领导关系的若干层次的一个序列,一个人可以负责一个或几个安全岗位,但一个人不得同时兼任安全岗所对应的系统管理或具体业务岗位因此岗位并不是一个机构,它由管理机构设定,由人事机构管理人事机构是根据管理机构设定的岗位,对岗位上的雇员进行素质教育、业绩考核和安全监管的机构人事机构的全部管理活动在国家有关安全的法律、法规、政策规定范围内执行
8.2安全管理信息系统资源保护要保护好信息系统安全首先要对该系统各方面进行审核,包括硬件、软件、数据、网络以及所涉及的业务流程只有这样做,才能知道企业内部的所有系统哪些方面比较薄弱,比较容易被未授权用户侵入或被授权用户不当使用经过这种审核,我们就可以设计并实施安全计划来充分利用已有资源去保护系统,以阻止(至少是减少)问题的发生尽管企业的所有员工将参与到安全系统的审核工作中来,但是通常都由信息系统部门的员工来负责实施选定的安全措施有的公司甚至会专门出钱请外部的咨询公司来入侵和破坏自己的系统,以便发现和修复系统的薄弱之处为了省几千块钱却造成每年有数百万美元付诸东流,这种做法是很不明智的,因此企业要经常进行信息系统审核良好的信息系统审核的关键部分也是一次全面的风险分析所谓风险分析指的是评估被保护资产的价值,确定资产受损的可能性,并比较资产受损带来的损失和保护资产所要花费的成本的整个过程企业内部员工经常对他们的系统进行风险分析以确保信息系统安全措施经济、有效风险分析能够让我们确定要对保护系统安全采取什么样的措施主要有如下3个方面降低风险采用积极的对策来保护系统,比如安装防火墙承担风险不采取对策,接受一切破环性后果转移风险让其他人来承担风险,比如投资保险或把某些职能外包给其他的专业机构大公司通常均衡使用这三种方式,对某些系统采用降低风险的措施,某些情况下接受风险并置之不理(即选择承担风险),同时也会给全部或大部分系统活动投保(即转移风险)降低风险主要有两大类措施,一种以技术为主,一种以人为主任何一个全面的安全计划都会包含这两类措施
8.
2.1技术保护信息安全技术是指为了保障信息资产的完整性、保密性、可用性和可控性,而采取的一系列技术手段和安全措施解决信息安全问题需要具备专业的技能和丰富的安全经验,否则不但不能真正解决问题,稍有不慎或误操作都可能影响系统的正常运行,造成更大的损失通过专业可靠的安全技术来解决公司日常运行中的各种安全问题,是降低风险、提高信息安全水平的一个重要手段信息安全技术既是一项新兴的技术,又是一项综合性的技术,公司网络管理人员必须不断地学习新的技术,掌握新的网络产品的功能,了解网络病毒、密码攻击、分组窃听、IP欺骗、拒绝服务、端口攻击等多样化的攻击手段,才能更好地完成信息安全管理工作
1.身份认证技术认证技术是信息安全理论与技术的一个重要方面是安全系统中的第一道关卡用户在访问安全系统之前首先经过身份识别然后根据用户的身份和授权数据库决定用户是否能够访问某个资源将非法访问者拒之门外在安全的网络通信中涉及的通信各方必须通过某种形式的身份验证机制来证明他们的身份然后才能实现对于不同用户的访问控制和记录认证技术的核心是验证被认证对象的参数的真实性与有效性用户认证的过程就是用户向需要认证的服务器提交能够证明用户身份的证据常用的身份认证一般有以下几种方式下面就其优缺点进行分析1基于口令的认证方式传统的认证技术主要采用基于口令的认证方法这种认证方法很简单系统事先保存每个用户的二元组信息DPW进入系统时用户输入D和PW系统根据保存的用户信息和用户输入的信息相比较从而判断用户身份的合法性基于口令的认证方式是最常用的一种技术但它存在严重的安全问题:1是一种单因子的认证安全性仅依赖于口令口令一旦泄露用户即可被冒充;2用户往往选择简单、容易被猜测的口令不能抵御口令猜测攻击;3口令在传输过程中可能被截获;4系统中所有用户的口令以文件形式存储在认证方攻击者可以利用系统中存在的漏洞获取系统的口令文件即使口令经过加密后存放在口令文件中如果口令文件被窃取那么就可以进行离线的字典式攻击;5只能进行单向认证即系统可以认证用户而用户无法对系统进行认证攻击者可能伪装成系统骗取用户的口令2基于一次性口令的认证方式为了解决上述基于口令的认证方式的诸多问题安全专家提出了一次性口令OneTimePaswsoulOTP的密码体制在网络中窃取系统口令文件和偷听网络连接获取用户D和口令是最见的攻击方式如果网上传送的口令只使用一次攻击者就无法用窃取的口令来访问系统一次性口令系统就是为了抵制这种重放攻击而设计的OTP的主要思路是:在登录过程中加入不确定因素使每次登录过程中传送的信息都不相同以提高登录过程的安全性例如:登录密码=MDS用户名+密码+时间系统接收到登录口令后以同样的算法做一个验算即可验证用户的合法性3基于物理证件的认证方式基于物理证件的认证方式是一种利用用户所用有的某种东西进行认证方式主要的物理证件有智能卡和目前流行的USBKye等这种认证方式基于物理证件的物理安全性即不易伪造和不能直接读取其中数据没有管理中心发放的物理证件则不能访问系统资源即使物理证件丢失入侵者仍然需要猜测用户口令基于物理证件的认证方式是一种双因子的认证方式PNI+物理证件即使PNI或物理设备被窃取用户仍不会被冒充比基于口令的认证方式具有更好的安全性在一定程度上解决了口令认证方法的前三个问题可这种方式仍不能抵御口令猜测攻击4基于生物特征的认证方式这种认证方式以人体惟一的、可靠的、稳定的生物特征如指纹、虹膜、脸部、掌纹等为依据采用计算机的强大功能和网络技术进行图像处理和模式识别该技术具有很好的安全性、可靠性和有效性与传统的身份确认手段相比无疑产生了质的飞跃近几年来全球的生物识别技术己从研究阶段转向应用阶段前景十分广阔但这种方式适用于安全性要求非常高的场合而且系统的研制和开发费用昂贵5基于公钥的认证方式使用基于公钥的认证方式必须有一个第三方的证明授权CA中心为客户签发身份证明客户和服务器各自从CA获取证明并且信任该证明授权中心在会话和通讯时首先交换身份证明其中包含了将各自的公钥交给对方然后才使用对方的公钥验证对方的数字签名、交换通讯的加密密钥等在确定是否接受对方的身份证明时还需检查有关服务器以确认该证明是否有效
2.访问控制技术访问控制是网络安全保护和防范的主要策略,保证网络资源不被非法访问和使用是其主要任务访问控制是保证网络安全的重要策略访问控制采用的控制手段比较多,其中包括入网访问控制、网络权限控制、目录级安全控制、属性安全控制以及服务器安全控制等多种主要手段1入网访问控制入网访问控制是提供网络访问中第一层访问控制的入网访问控制可以控制用户在服务器的登录和网络资源的获取,控制用户准许入网的时间以及控制准许他们由哪台工作站入网入网访问控制分三个步骤来控制用户的访问验证和识别用户名、验证和识别用户口令、缺省限制检查用户账号只要步骤中有任何一个没有通过,用户就不可以进入网络进行访问防止网络被非法访问,首先需要验证网络用户的用户名和口令由于在显示屏上用户口令不能显示,为保证口令的安全性,口令长度应该大于6个字符,最好由字母、数字,以及其他字符混合组成口令字符串,并且必须对用户口令进行加密用户口令还可以使用一次性的,或者使用智能卡来对用户身份进行验证2网络权限控制针对网络的非法操作,网络权限控制给出了一种安全保护措施通过赋予一定的权限给用户和用户组,就可以控制用户和用户组对目录、文件和其他资源进行访问,并且还可以对这些目录、文件的执行进行权限控制,主要通过继承权限屏蔽和受托者指派来实现用户和用户组在受托者指派控制后,就可以在网络服务器中使用设备、目录和文件相当于一个过滤器进行继承权限屏蔽,控制子目录从父目录的继承权限用户的访问权限具有以下几类一般用户和系统管理员根据实际需要,系统管理员对用户操作权限进行分配,并负责网络的资源使用情况和安全控制的审计3目录级安全控制用户对设备、目录、文件的访问通过目录级安全控制来实现目录级安全控目录的访问权限主要包括文件查找权限、写权限、创建权限、删除权限、读权限、修改权限、访问控制权限和系统管理员权限目录和文件的有效权限主要根据以下因素继承权限屏蔽取消、用户所在组的受托者指派、用户受托者指派的用户权限为用户指定适当的访问权限是网络管理员需要进行设置的,用户对服务器的访问是由这些访问权限来进行控制用户有效地完成工作可以通过对访问权限进行有效组合,这样可以对服务器资源的访问进行有效地用户控制,使得服务器和网络的安全性得到加强4属性安全控制网络系统管理员指定给目录和文件访问属性,用户使用网络设备、目录和文件时,在安全权限的基础上,属性安全就提供了更进一步的安全性通过在网络资源上预先标出一组安全属性,建立访问控制表可以把网络资源的访问权限和用户相对应,从而控制用户对网络资源的访问安全指定的有效权限和任何受托者指派可同样通过属性设置来实现因此属性安全控制具有以下权限系统属性、查看目录和文件、拷贝一个文件、删除目录或文件、共享、向某个文件写数据、隐含文件、执行文件等5服务器安全控制服务器控制台允许在网络上执行一系列的操作控制台可以允许用户卸载和装载模块,并且控制软件的删除和安装等操作服务器安全控制主要包括设定服务器登录时间限制、关闭的时间间隔,非法访问者检测,以及对服务器控制台设置口令锁定,防止非法用户破坏数据,删除和修改重要信息
3.入侵检测技术任何试图危害资源的可用性、保密性和完整性的活动集合称为入侵检测入侵活动就是所谓的入侵检测,并采取相对应的措施动态网络检测技术中包含了入侵检测技术,可以在网络系统中识别恶意的使用行为,包括内部用户的未经授权活动和来自外部用户的入侵行为,网络中一旦发现入侵现象,就应该进行相应的处理根据若干关键点收集的信息,在计算机系统或者网络中对其进行分析,以确定是否有被攻击的迹象和违反安全策略的行为入侵检测系统将得到的数据进行分析,并实现智能化处理,从而得出具有价值的结果入侵检测系统可以使网络管理员的很多工作得到简化,以确保网络能够安全的运行实时攻击识别和网络安全检测可以通过入侵检测技术来实现,由于入侵检测系统只是网络系统安全的一个组成部分,因此,在网络安全系统中需要结合使用防火墙等技术,从而实现完整的网络安全解决方案入侵检测技术在网络中虽然可以对网络攻击行为做出反应和正确识别,由于行为发现是入侵检测技术的侧重点,在整个网络的访问控制策略不能用来代替系统的防火墙入侵检测系统的主要功能具体包含以下几个方面
①对已知的攻击行为进行识别;
②核查系统漏洞和配置;
③对异常行为进行统计分析;
④对用户和系统的活动进行分析;
⑤识别违反安全策略的用户活动和操作系统日志管理;
⑥评估数据文件的完整性和系统关键资源
⑦网络系统构造和弱点的审计;
⑧操作系统的审计跟踪管理,并识别用户违反安全策略的行为在检测方法和系统结构上,入侵检测系统具有三种类型基于主机的入侵检测系统,基于网络入侵检测系统和基于智能代理的入侵检测系统1基于主机的入侵检测系统该入侵检测系统发现入侵事件是通过审计和分析主机系统的日志文件来实现的,其使用了基于审计追踪的检测方法网络环境下主机系统通常指的就是设备系统,比如说客户机、防火墙、路由器、服务器以及交换机等主机系统所有活动记录在日志文件中,可以采用统计分析技术和模式识别来进行审计追踪,比如说神经网络、模型推理和专家系统等事后进行追踪和分析是基于主机的入侵检测系统的工作方式,由于该系统只能检测已发生的入侵事件,所以对入侵事件反应迟钝,通常用于系统的事后追踪和安全审计,在实时入侵检测场合下不适合应用2基于网络的入侵检测系统该入侵检测系统对于动态检测网络入侵采用实时监测网络数据包的方法系统通过捕获和检查内容和数据包,比较已知的攻击模式,恶意的网络攻击如果被检测到,那么就阻断攻击采取适当的响应方法基于网络的入侵检测系统通常由数据库、检测器、响应器和分析器组成基于网络的入侵检测系统的优点是能够秘密进行入侵检测,因此,被检测的目标很难发现检测行为,并且对基础设施和现有网络系统不会产生影响,还可以使系统平台和被监视目标具有无关性3基于智能代理的入侵检测系统基于代理的分布式网络入侵检测系统属于基于智能代理的入侵检测系统的一种,其主要根据分布式入侵检测模型来扩大监控的范围,通过对网络计算资源的充分利用,减轻主机系统的负载在该系统中,网络中的各个物理环节都有Agent分布,比如说主机、服务器、路由器、工作站、防火墙等各Agent之间协同进行工作,并且执行特定的任务,实现全局性控制和决策,该系统充分的利用了Agent之间的信息相关性,使入侵检测的精度得到提高所以说在可伸缩性上基于代理的分布式系统结构有很好的优势检测到非法入侵虽然可以通过网络入侵检测系统来实现,由于很多的网络安全产品互相没有关联性,在安全联动机制上,由于运行机制缺乏协调统一,所以不能与防火墙等安全设备实现联动入侵检测系统的部署遵循如下原则:
1、入侵检测工具的选择应根据每个具体情况的资产的价值、风险的等级、成本的平衡、及可用的资源等原则进行选择;
2、入侵检测可按不同的方式实现,应依据所要保护网络的类型、采用的边界防护系统和安全策略规定的保护级别来决定采用哪种实现方法;
3、对于网络总中心来说,应该在高风险和重点保护的网络环境中,部署基于网络的入侵检测系统,在重要服务器上部署基于主机的入侵检测系统由此可以初步确定需要在如下网络环境中部署
4.数据库加密技术由于传统的数据库保护方式是通过设定口令和访问权限等方法实现的这就留下了一个很大的安全漏洞—数据库管理员可以不加限制地访问数据库中的所有数据解决这一问题的关键是要对数据库加密1数据库加密的粒度一般来说数据库加密的粒度可以有四种表、属性、记录和数据项1表级加密是在表一级进行加密加密解密的对象是整个表;2属性加密又称域加密或字段加密是以表中的列为单位进行加密一般而言属性的个数少于记录的条数需要的密钥数相对较少;3记录级是在记录这一级上进行即记录加密方法它将数据库中的记录看成操作对象统一作加密解密处理;4数据项级则是直接对数据库记录中的各个数据项进行加密这种方法安全性和灵活性最高也最为复杂数据项加密方法与记录加密方法相比具有较高的效率例如在记录加密方法中为了对记录中的某些属性进行操作必须先将整个记录脱密然后取出特定的数据项进行运算这显然将严重影响整个数据库的处理能力而在数据项加密方法中可以直接对特定的数据项进行脱密从而提高了系统的效率数据加密通过对明文进行复杂的加密操作以达到无法发现明文和密文之间、密文和密钥之间的内在关系但是DBMS(数据库管理系统)要完成对数据库文件的管理和使用必须要具有能够识别部分数据的条件因此以下几种字段不能加密:1索引字段不能加密为了达到迅速查询的目的数据库文件需要建立一些索引索引的建立和应用必须是明文状态否则将失去索引的作用2关系运算的比较字段不能加密DBMG要组织和完成关系运算参加并、差、积、商、投影、选择和连接等操作的数据一般都要经过条件筛选这种“条件”选择项必须是明文否则DBMS无法进行比较筛选3表间的连接码字段不能加密数据模型规范化以后数据库表之间存在着密切的联系这种相关性往往是通过“外部编码”联系的这些编码若加密就无法进行表与表之间的连接运算2子密钥加密技术数据项级加密的优点在于具有最小的加密粒度具有更好的灵活性和适应性所以大多数系统都采用这种方式但若用数据库密钥对每个数据元素重复加密对于密文搜索攻击是脆弱的:若各字段的数据元素分别用不同的密钥加密则密钥个数=记录个数×字段个数其量是非常惊人的实际上根本无法管理为了解决上述问题可以采用子密钥加密技术子密钥加密算法的核心思想是每个数据库表只有一个主密钥各个数据项元素所用的工作密钥是不同的工作密钥由主密钥通过子密钥生成函数产生子密钥生成函数应该满足如下条件:1生成重复子密钥的概率应该尽量低从而使相同的明文元素用不同的子密钥加密产生出相同的密文的概率尽量低;2生成的子密钥不是弱密钥从Xij的密文中获得其明文值在计算上是不可行的从一个子密钥获得另外一个子密钥在计算上是不可行的;3在设计子密钥生成函数时应该考虑到所生成的子密钥是各不相同的
5.数据传输加密技术数据传输加密技术主要是对传输中的数据流进行加密以防止通信线路上的窃听、泄漏、篡改和破坏如果以加密实现的通信层次来区分加密可以在通信的三个不同层次来实现,即链路加密位于OSI网络层以下的加密节点加密端到端加密传输前对文件加密位于OSI网络层以上的加密1链路加密链路加密Likn一by-LiknEncryption是传输数据仅在物理层前的数据链路层进行加密不考虑信源和信宿它用于保护通信节点间的数据接收方是传送路径上的各台节点机信息在每台节点机内都要被解密和再加密依次进行直至到达目的地链路加密方案的特点是:1在链路层上实现所以对用户完全透明2独立于用户设备可以将安全加密设备置于用户设备和公用分组交换网络之间3对现有的网络进行安全改造可行性较好可以不改变现有的网络通信协议不涉及网络操作系统不改变用户通信系统不涉及用户应用系统4链路加密方案只对线路上的通信数据予以保护而在各一节点上的数据可能会以明文形式出现容易遭到攻击因此要求中继节点是安全可信的5费用比较昂贵因为每条通信链路都须配备一对安全加密设备2节点加密节点加密能给网络数据提供较高的安全性但它在操作方式上与链路加密是类似的:两者均在通信链路上为传输的消息提供安全性;都在中间节点先对消息进行解密然后进行加密因为要对所有传输的数据进行加密所以加密过程对用户是透明的与链路加密不同的是节点加密不允许消息在网络节点以明文形式存在它先把收到的消息进行解密然后采用另一个不同的密钥进行加密这一过程是在节点上的一个安全模块中进行节点加密要求报头和路由信息以明文形式传输以便中间节点能得到如何处理消息的信息因此这种方法对于防止攻击者分析通信业务是脆弱的3端到端加密端到端加密End一EndEncrpytion是为数据从一端到另一端提供的加密方式数据在发送端被加密在接收端解密中间节点处不以明文的形式出现端到端加密是在应用层完成的在端到端加密中除报头外的报文均以密文的形式贯穿于全部传输过程只是在发送端和接收端才有加、解密设备而在中间任何节点报文均不解密因此不需要有密码设备同链路加密相比可减少密码设备的数量这种方案的特点是:1加解密过程只在数据传输的收发双方进行数据的保密性由他们来保证;2数据不但在传输过程中受到保护而且在网络的中继节点也受到保护因为在端到端的加密方案中中继节能点处不进行解密操作
6.密码技术密码技术是网络传输信息和存储信息保护的重要手段它可以实现信息加密、数字签名等安全服务大大加强信息保密性、完整性、可认证性等保证信息的机密性是密码技术的最高目标利用密码技术可以将某些重要信息和数据从一个可以理解的明文形式变换成一种复杂错乱的、不可理解的密文形式在线路上传送或在数据库中存储其他用户再将密文还原成为明文这样即使别人窃取了您的数据由于没有密钥而无法将之还原成明文从而保证了数据的安全性数据加密的方法很多常用的加密方法有常规的对称密码方法和公开密钥方法两大类前者的加密和解密的密钥相同;而后者的加密密钥和解密密钥则不同由公开密钥无法推算出私有密钥因此加密密钥可以公开而解密密钥需要保密
1.对称密钥密码体制所谓对称密钥密码体制即加密密钥与解密密钥是相同的如图8-3所示明文加密密文明文解密对称密匙图8-3对称密钥密码体制在早期的对称密钥密码体制中典型的有DES算法DESDataEncryptionstandard)算法原是IBM公司为保护产品的机密于1971年至1972年研制成功的后被美国国家标准局和国家安全局选为数据加密标准并于1977年颁布使用ISO也已将DES作为数据加密标准DES对64位二进制数据加密产生64位密文数据使用的密钥为64位实际密钥长度为56位有8位用于奇偶校验解密过程和加密相似但密钥的顺序正好相反DES的保密性仅取决于对密钥的保密而算法是公开的DES内部的复杂结构是至今没有找到捷径破译方法的根本原因现在DES可由软件和硬件实现对称加密算法使用起来简单快捷密钥较短且破译困难但是对称加密算法存在以下几个问题1要求提供一条安全的渠道使通讯双方在首次通讯时协商一个共同的密钥但在实际中通信渠道的安全性难以保证;2密钥的数目难于管理因为对于每一个合作者都需要使用不同的密钥很难适应开放社会中大量的信息交流;3对称加密算法一般不能提供信息完整性的鉴别它无法验证收发双方的身份;4对称密钥的管理和分发工作是一件具有潜在危险的和烦琐的过程为使DES算法的安全性进一步提高,针对DES算法实现过程的不同方面,产生了多种DES算法的变形,3DES就是其中一种3DES是使用三种不同的密钥进行三次DES加密先用第一个子密钥对数据进行加密,然后用第二个子密钥进行解密,最后用第三个子密钥再次加密它比DES具有很高的安全性因而在性能方面也要慢一些DES曾为全球的商贸、金融等部门提供了可靠的通信安全保障,但随着计算机速度的提高和价格的下降,DES算法因密钥长度不足和复杂性不够密钥分配困难等问题以及加密技术的发展,导致基于新的密钥交换协议的新的加密算法的不断产生,而DES和其它新型加密算法相结合的实用系统加密技术也不断发展
2.公开密钥密码体制1976年WhitfieldDiffie和MartinHellman在国际计算机会议上首次提出了公开密钥PublicKey密码学的概念公开密钥密码体制最主要的特点就是加密和解密使用不同的密钥如图8-4所示每个用户保存着一对密钥-----公开密钥PK和秘密密钥SK因此这种体制又称为双钥或非对称密钥密码体制在这种体制中PK是公开信息用作加密密钥而SK需要由用户自己保密用作解密密钥加密算法E和解密算法D也都是公开的虽然SK与PK是成对出现但却不能根据PK计算出SK明文密文明文加密解密公开密匙私有密匙图8-4公开密钥密码体制从1976年起学者们提出了许多种公钥加密方法它们的安全性都是基于复杂的数学难题根据所基于的数学难题来分类有以下三类系统目前被认为是安全和有效的1基于大整数因子分解的RSA和Rabin-Willimas;2基于离散对数问题的DSA和EIGmal;3基于椭圆曲线离散对数问题的椭圆曲线密码体制公开密钥加密算法与对称密钥加密算法相比来说,安全性能更好,密钥管理、分配都容易实现,其中有些加密算法还能应用在数字签名上,但是它们相对于对称密钥加密算法运行速度要慢得多,所以不能加密大量的数据
7.防火墙防火墙是用于检测入侵并阻止来自或接入专用网络的未授权访问的系统可以把防火墙看作企业内部关键的安全防护措施,它能发现任何突破企业外围防御的入侵者防火墙可以基于硬件、软件或软硬件组合,通常用来阻止未授权的因特网用户访问与因特网连接的专用网络,尤其是专用的企业内联网所有进出内联网的信息都要通过防火墙防火墙会检查每条信息,并阻止那些不符合设定的安全标准的信息防火墙采用的方法有以下几种
①数据包过滤防火墙检验每个进出网络的数据包,然后根据预先设定的规则来确定接受还是拒绝数据包过滤非常有效并且对用户透明不过,建立数据包过滤系统需要花费许多时间,而且会减慢网络速度
②应用程序级控制防火墙可以只对特定的应用程序进行安全处理,如文件传输应用程序级控制也是一种相当有效的方式,但是可能会降低那些受防火墙监控的应用程序的性能
③路径级控制防火墙可以在其两侧的特定用户或系统间建立某种类型的网络连接(或“路径”)时进行监测一旦建立了这样的连接,数据包就可以在两者之间传输,无需进一步的检测路径级控制对于那些需要快速连接,并且一旦连接完毕,网络性能就不受限的指定网络连接类型柏当有效
④代理服务器防火墙可以截获进出网络的所有信息,代理服务器也可以完成这样的功能代理服务器的使用有效地隐藏了真正的网络地址,潜在的攻击者只能“看”到防火墙的网络地址(这就是网络地址转换,NAT)代理服务器还经常用于在本地保存(缓存)网站的内容,以便加快热门网站的访问速度
8.其他保护技术绝对地防范安全破坏仍然遥不可及,这里我们列出了一些企业可以采用的安全措施1备份企业及个人计算机用户应定期地将重要文件备份到闪存、光盘或者磁带上,有些系统可以设置自动定期备份,比如在下班时备份数据库维护的信息和移动到备份磁带里的信息都应加密,这样即使黑客侵入了数据库或者窃贼盗走了磁带,他们也无浩使用这些信息2闭路电视尽管安装并监控一个闭路电视系统会花费不菲,但这样的系统能监控那些闯入数据中心、机房或者配套设施的人摄像头能显示某个设施的内部和外部情况,并将所有活动都记录到磁带上内部的安全人员或者外部的安全服务商可以在计算机上监视并把可疑活动报告给警察数字录像可以用于存储数字化信息,包括来自远程摄像头的信息,这些摄像头通过公司内部网、无线局域网或者因特网与系统连接3不间断电源UPSUPS不能防范入侵,但它可以防止因计算机电源波动或临时断电造成的信息丢失很显然,有很多技术方案可用来保护信息系统安全一个全面的安全计划应该包括多种技术手段接下来,我们讨论人为的安全措施
8.
2.2人为保护除了技术保护手段,也有很多人为保护措施,它们同样有助于保护信息系统安全,具体包括法律条文、道德规范以及有效的管理
1.信息系统安全管理的法律法规信息系统的安全需要通过信息系统的安全管理来保证而安全管理措施的实施需要法律、法规和政策的保障1国外的信息安全法律法规美国专门用来解决信息网络安全的法律法规将近有20部并将信息安全问题提高到国家战略的高度美国政府于1998年发布了第63号总统令《克林顿政府对关键基础设施保护的政策》成为直至现在美国政府建设信息安全的指导性文档2003年2月美国政府意识到了“911”事件之后信息安全的严峻性在整理国民对国家战略中可能会涉及到的53个重点问题的反馈意见的基础上发布了《保护网络空间的国家战略》提出了三大战略目标预防美国的关键基础设施遭到信息网络攻击;减少国家在遭到信息网络攻击时的脆弱性;减少国家在信息网络攻击中遭受的破坏减少恢复时间2002年美国国会通过了近10亿美元的拨款用于支持一系列的网络安全研究计划确保美国能更好地应对那些针对美国公民或政府的计算机系统的攻击1997年制定的《公共网络安全法》其目的是用来鼓励并推动建立用于通信、商务、教育、保健和公共服务等领域的安全性能高的公共网络该法规定政府在保证网络安全的同时还要保证个人的隐私权、知识产权及网络使用者的个人安全如有侵权行为发生应对侵权人进行惩罚2000年通过了《网络信息安全法》鼓励在安全环境下交流有关网络安全存在的问题、解决方案、测试案例、测试结果以及与关键基础设施保护相关的信息1995年俄罗斯颁布了《联邦信息、信息化和信息保护法》明确界定了信息资源开放和保密的范畴提出了保护信息安全的法律责任1997年俄罗斯出台的《俄罗斯国家安全构想》明确提出:“保障国家安全应把保障经济安全放在第一位”而“信息安全又是经济安全的重中之重”2000年6月普京总统批准了《国家信息安全学说》把信息安全作为一种战略问题来考虑明确了联邦信息安全建设的目的、任务、原则和主要内容德国于1997年6月通过《信息和通信服务规范法》即《多媒体法》该法由《通信服务法》、《通信服务个人数据保护法》和《数字签名法》三部新的联邦法律和《刑法》、《行政法》、传播危害青少年出版物法》和《著作权法》等六个现有法律的修改条款组成涉及网络服务提供者的责任、保护个人隐私、数字签名、网络犯罪到保护未成人等等是一部比较全面的综合性法律该法规定服务提供者根据一般法律对自己提供的内容负责;他人提供的内容在服务提供者的途径中被传播服务提供者不对其内容负责;根据用户要求自动和短时间地提供他人的内容被认为是传播途径的中介;若服务提供者在不违背电信法有关保守电信秘密规定的情况下了解这些内容、在技术上有可能阻止且进行阻止不超过其承受能力则有义务按一般法律阻止对违法内容的利用2我国的信息安全法律法规我国也将信息化工作作为国家的发展战略来考虑1996年1月成立了国务院信息化工作领导小组由国务院副总理任组长小组成员由20多个部委领导组成1999年12月将国家信息化办公室改名为国家信息化推进工作办公室2001年8月国家信息化领导小组成立由当时的中共中央政治局常委、国务院总理任组长同时它的办事机构—国务院信息化工作办公室也正式成立国家信息化领导小组于2004年召开了全国信息安全工作会议全面部署信息安全工作;2006年5月中共中央办公厅、国务院办公厅印发了《2006~2020年国家信息化发展战略》提出我国信息化发展九大战略重点从上世纪九十年代初起为保障信息安全我国相继制定了《全国人民代表大会常务委员会关于维护互联网安全的决定》、《中华人民共和国治安管理处罚法》、《中华人民共和国计算机信息系统安全保护条例》、《中华人民共和国计算机信息网络国际联网管理暂行规定》、《互联网信息服务管理办法》、《计算机信息网络国际联网安全保护管理办法》、《计算机病毒防治管理办法》、《互联网电子公告服务管理规定》、《电子签名法》、《互联网安全保护技术措施规定》等有关信息安全管理的法律法规目前我国现行法律法规及规章中与信息安全直接相关的有六十多部这些法律、法规和政策在信息系统安全管理中起着非常重要的作用
2.信息安全与网络道德信息安全单靠政策法规和技术防范是难以完全保证的必须从网络伦理入手因为对信息安全影响的人为因素和非人为因素都是与网络主体的伦理道德紧密相连的只有从源头进行治理才能达到事半功倍的效果网络伦理就是人们通过电子信息网络进行社会交往表现出来的道德关系网络主体的道德品质、道德自觉性如何是关系到网络社会整体道德水平、道德秩序状况的重要因素而网络道德建设的首要任务是加强网络主体的道德修养人类的道德建设是人类社会健康发展的重要条件也是人类生活正常运行的重要保证只有用道德规范才能启发人的思想自觉性帮助人们树立正确的世界观、人生观和价值观道德的特点是强调教育和自律道德通过教育的手段着力约束人的动机如果说法律着重要求的是人的外部行为的合法性那么道德所要求的不仅仅是人的外部行为它还要求人的行为动机的高尚、善良道德可以引导人们尊重和遵守法律也可以用来防范尚未发生的违法行为网络道德是人们正常生活必不可少的人际关系调节器虽然道德因民族、语言、宗教等文化形态的不同而有不同的表现但维护基本的道德秩序禁止网络的不道德行为都是符合人类的共同利益和要求的1网络发展对信息安全的影响信息安全主要是保证信息的真实性、完整性和保密性计算机网络的发展对信息安全的影响主要表现在以下两个方面
(1)信息安全的内涵更加丰富在网络环境下信息安全应包括数据安全、计算机安全和通信安全三个方面数据安全指防止信息的内容被非法篡改以保证信息的真实性;计算机安全指防止计算机软件运行失败和硬件出现故障对数据造成破坏以保证信息的完整性;通信安全指防止信息在网络传输的过程中被窃取或由于网络阻碍、瘫痪造成信息无法及时到达目的地
(2)信息安全面临的挑战更多除了传统的人为破坏外计算机黑客、计算机病毒、网络犯罪、软件运行失败、硬件出现故障等均会影响到信息安全2网络信息安全对网络道德提出了新的要求1要求人们的道德意识更加强烈道德行为更加自主自觉现实世界中人们很在乎社会舆论的作用人与人之间的相互监督也较为容易道德的“他律”作用能得到较好的发挥因此一个人使用别人的信息一般都会先征求所有者的同意然后才开始整理、加工最后进行价值转化在虚拟世界中社会舆论和他人评价对人们行为的约束力大大减小人们几乎想干什么就可以干什么道德“他律”作用的弱化使人们的道德意识较为薄弱道德行为也相对不严谨有些往往未经授权就将别人的信息占为己有甚至未经允许就对别人的信息进行修改和删除等操作只有人们自己约束自己的行为自觉地遵守基本的道德规范自觉地保证信息安全信息安全问题才能从根本上得到解决
(2)要求网络道德既要立足于本国又要面向世界由于网民来自不同的国家和地区有着不同的文化背景坚守着不同的价值观念这就使得网民不得不经常处于各种冲突之中其中不同道德意识、不同道德规范和不同道德行为的冲突尤为剧烈在一个国家完全合乎道德的信息行为在另一个国家可能被视为不道德的行为;或者相反在一个国家完全被视为不道德的信息行为在另一个国家可能成为合乎道德的行为即使一个国家的网络道德建设已经较为完善这个国家的每个公民都自觉地维护网络信息安全也不能保证这个国家的信息安全不被他国的公民所破坏因此没有一个超越国界的被全世界网民共同认可的网络道德信息安全就不可能得到保障那么能否建立一个共同的网络道德呢历史的发展告诉我们每个民族的道德虽然具有一定的稳定性和保守性但都不是绝对封闭的而是在一定程度上相互吸收和相互融化的在“求同存异”原则的指导下实现不同民族道德间的理解和认同是可能的建立一套被全世界网民普遍接受和认可的网络道德规范体系是可能的3要求网络道德既要着力于当前又要面向未来网络道德只有扎根于现实的沃土着力于当前的社会实际才能较好地发挥自身的功能才能对维护信息安全起到一定的作用但是仅仅着力于当前是不够的网络世界是一个变幻无穷、变化莫测的世界目前我们在信息安全方面遇到的问题已经不计其数有些甚至是我们暂时还无法解决的难题预计新的问题还将层出不穷网络道德如果只着眼于当前仅仅是对已经出现的不利于维护网络信息安全的现象和行为进行规范和制约那么一旦新的问题出现网络道德又将在相当长的一段时间内处于滞后的状态因此网络道德必须要面向未来我们可以总结现存的问题根据计算机网络的发展趋势对将来可能会出现的不利于维护网络信息安全的行为进行预测并提出一些着眼于未来的有针对性的道德规范3加强网络道德建设对维护信息安全的作用加强网络道德建设对维护网络信息安全的作用主要体现在两个方面:作为一种规范网络道德可以引导和制约人们的信息行为;作为一种措施网络道德对维护网络信息安全的法律措施和技术手段可以产生积极的影响1网络道德可以规范人们的信息行为目前我们面临的形势是一种被网民普遍认可的、具有广泛约束力的网络道德尚未形成而传统道德又面临着危机与挑战在这种道德无序状态下人们甚至不知道哪些行为是道德的哪些行为是不道德的由于对自己的行为缺乏判断的标准很多人做出一些在现实世界难以做出的粗暴、无礼的行为甚至进行盗窃、入侵等犯罪行为而这些行为也不过就是敲几下键盘、点几下鼠标而已我们不能听任网络空间的道德无序状态也不能消极等待网络道德自发地形成在基本的网络道德规范形成以前我们可以提出一些基本“道德底线”以此告诉人们哪些信息行为是道德的哪些信息行为是不道德的并通过教育和宣传转化为人们的内在信念和行为习惯以此来引导人们的信息行为网络道德在人们的信息行为实施之前为将要实施的信息行为指明了方向从而引导信息行为向合法的、道德的方向发展这种规范作用体现在两个方面:一是鼓励合乎道德的信息行为的实施;二是限制不道德的信息行为的实施也就是说网络道德激励人们有利于信息安全的行为能将不利于信息安全的行为控制在实施之前这对维护网络信息安全无疑将起到积极的作用2网络道德可以制约人们的信息行为网络道德作为网络世界的道德规范一方面能够对人们的信息行为提供判断的标准另一方面又可以对人们的信息行为加以制约和约束与现实社会不同的是这种制约和约束主要依靠主体的“自律”即自己约束和控制自己当然道德的“他律”作用还是存在的只不过由于虚拟世界的特殊性这种作用较难得以发挥但并不是完全不能发挥黑客在行黑的时候往往选择网吧或公共机房以隐藏真实身份;行黑结束后还会做一些工作以消除痕迹可见黑客在行黑时还是有所顾虑的仔细分析会发现黑客的这种担心和害怕并不是良心谴责而是外力作用的结果当然这种外力是复杂的但道德约束力的存在却是不容否认的因此在虚拟世界中网络道德的“他律”和“自律”作用都是存在的“他律”和“自律”都可以制约人们的信息行为这种制约作用突出地体现在:它给不利于信息安全的行为形成一种外在和内在的压力以阻止这种行为的继续实施并有可能迫使行为主体放弃或改变这种行为也就是说当不利于信息安全的行为已经做出但其行为过程尚未完成时网络道德可能改变或终止这种行为从而减少损失对保护信息安全起到积极的作用3加强网络道德建设有利于加快信息安全立法的进程网络道德作为一种“软”的力量可以规范和制约人们的信息行为但仅仅依靠网络道德不能解决信息安全面临的所有问题网络信息安全问题的解决最终离不开法律的支持目前网络信息安全面临着诸多的问题造成这些问题难以解决的一个重要原因就是信息安全立法不完善在信息安全立法尚不完善的情况下加强网络道德建设具有十分重要的意义:一方面通过宣传和教育有利于形成一种人人了解信息安全自觉维护信息安全的良好社会风尚从而减少信息安全立法的阻力;另一方面在网民之间长期交往过程中网络道德的规范无疑会越来越多但随着历史的发展有些规范会被淘汰有些规范会被人们认可和接受这些被人们普遍认可和接受的规范可以直接或间接地转化为法律条文可见加强网络道德建设将有利于加快信息安全立法的进程4加强网络道德建设有利于发挥信息安全技术的作用我们不能否认这样一个事实:不管在什么情况下技术都是维护网络信息安全的重要手段在目前法律不健全、道德不成熟、管理不得力的情况下技术手段更成为维护信息安全的主要手段但单纯的技术手段是脆弱的因为信息安全的破坏者手中同样掌握着先进的技术武器信息安全的破坏技术和保护技术就像矛与盾一样没有绝对的优势与劣势在一定的条件下甚至还可以相互转化在技术方面的诸多问题是不能通过技术本身来解决的而必须通过技术以外的因素来解决在目前的情况下加强网络道德建设对于更好地发挥信息安全技术的力量将起到十分重要的作用我们说由于信息社会和信息技术的发展使得网络冲击了传统的道德观和法律观而适应网络发展的新道德观尚未确立由于缺乏既定的、得到公认的道德规范现在还难以形成一部良法来调整网络空间的行为维护网络空间的良好秩序但这一问题已引起许多国家的高度重视他们首先从网络道德规范做起网络道德规范就是网络主体在利用网络和网络信息时应遵循的道德标准网络道德规范可以制约人们利用网络传播、获取和利用信息的行为过程和方向又可以为人们利用网络传播、获取和利用信息的行为进行判断和评价提供标准国外一些计算机和网络组织制定了一系列的规范如以信息大国著称的美国计算机伦理协会就规定了计算机用户在网络系统中应遵守的十条行为准则1不应利用计算机去伤害他人;2不应干扰别人的计算机工作;3不应窥探别人的文件;4不应用计算机进行偷窃;5不应用计算机作伪证;6不应使用或拷贝你没有付钱的软件;7不应未经许可而使用别人的计算机资源;8不应盗用别人的智力成果;9应该考虑你所编程序的社会后果;10应该以深思熟虑和慎重的方式来使用计算机力图以此规范网络主体的网络行为解决信息安全问题要从源头治理网络主体是信息社会与因特网的建设者和使用者信息安全最终取决于人类自身只有加强对网络主体的职业道德和基本社会道德的教育才能使信息不安全因素从源头杜绝早日促成网络空间道德观的形成从而使信息安全得以保障此外,除了法律和道德,企业信息安全的效果还取决于有效的管理管理人员必须不断地检查安全问题,意识到安全漏洞的存在,然后采取适当的措施接下来我们就来讨论有效的管理信息系统安全的方法
8.3安全管理信息系统安全管理通常,人们能做的最有效地保证他们信息系统安全的措施,不见得必须是技术方面的相反,这种最有效的措施可能包含企业内部调整以及更好地管理人们使用信息系统的符为例如,那些有关系统安全风险分析的结论,就是写给企业内部人员的计算机和因特网使用政策,明确列出违反规定会受到的惩罚
8.
3.1制定安全管理信息系统安全计划所有企业都应当制定信息系统安全计划信息系统安全计划应包括风险评估、降低风险的应对措施、计划的实施以及持续监控等内容这个计划应该持续更新,包含以下5个步骤
(1)风险分析企业需要做如下工作
①确定电子信息的价值
②评估对于信息保密性、完整性和有效性的威胁
③确定哪些计算机操作最容易受到安全攻击
④评估当前的安全政策
⑤对当前采取的措施和应用的安全者政策提出改进设想,以改善计算机安全的现状
(2)政策和程序一旦评估出风险,就需要制定出详细的计划来应对安全攻击与计算机安全有关的政策和程序包含如下内容
①信息政策指对敏感的信息应该如何来处理、存储、传送以及销毁
②安全政策阐明对企业所有计算机系统的技术控制,如访问权限、审计控制软件、防火墙等手段
③使用政策指企业关于如何正确使用内部计算机系统的政策,比如禁止访问因特网,规定公司电脑只能用于工作目的,限制使用电子邮件等
④备份政策明确信息备份的相关要求
⑤账号管理政策指向系统添加新账号及删除离职用户账号的流程
⑥事故处理流程指出现安全事故时的处理流程
⑦灾难恢复计划当发生自然灾害或者人为事故时,企业恢复计算机操作应该遵循的一系列步骤通常,企业里的每个部门都有自己的灾难恢复计划,这些计划可能涉及对某些关键的基础设施的远程备份3实施制定好政策和计划之后,企业就可以决定采用什么样的安全机制,对人员进行有关安全政策与措施的培训在这个阶段,防火墙等网络安全机制已经到位,其他的侵入监测系统有杀毒软件、手动及自动的日志分析软件、基于主机和基于网络的入侵监测软件加密信息、密码、智能卡及智能徽章也都在这个阶段进行分发和说明通常由信息技术部门来负责制定安全措施4培训企业员工都应明了安全政策和灾难恢复计划,做好准备去执行指派的任务,包括日常例行事务的和与灾难相关的任务5审核审核是一个持续的过程,用于评估政策的执行程度、新项目的安全程度,以及企业内部的计算机安全是否会被侵入入侵测试用来检查企业计算机安全措施的工作性能,可在企业内部进行或委托外部机构来执行入侵检测系绕能否检测到攻击?事故响应程序是否有效?网络能否被侵入?实际上是否已足够安全?员工是否知晓安全政策和流程?
8.
3.2应对安全攻击企业制订了前面所述的一套全面的信息系统安全计划后,面对任何类型的针对其信息系统资源的安全攻击,或在自然灾难发生时,企业都应能够快速地响应,包括利用备份来恢复丢失的数据,进行新的风险审核,实施更多前面提到的更加安全的措施此外,一旦发现入侵者,企业可以联系当地的执法部门和联邦调查局来协助定位及起诉入侵者当安全攻击发生时,一些在线的机构会根据其报告来发布公告,提醒企业和个人可能存在的软件漏洞或可能会受到的攻击例如,由卡内基一梅隆大学www.cmu.edu运营,位于其软件工程学www.sei.cmu.edu的国家计算机应急处理协调中心CERT/CC就是一个主要的因特网安全技术研发中心,由美国联邦政府出资于1988年设立当时Mirros蠕虫破坏了因特网上大约10%的计算机,随后美国国防高级研究计划署启动了计算机应急小组CERTCERT/CC现在还十分活跃,他们研究因特网的安全弱点,为那些网站受到攻击的机构提供帮助,发布安全预警,组织研究并公布成果,为事故应急人员提供培训其网址是www.cert.org类似的机构还有属于美国国家标准技术研究所NIST信息技术实验室下设的八大部门之一的计算机安全部CSD,CSD的目标就是通过以下手段来改善信息系统安全1提高对IT风险、漏洞及防范要求等方面的意识,尤其对新兴技术的意识2对有IT漏洞的机构进行调查、研究及建议,为保存有敏感信息的政府系统出谋划策,提供有成本效益的安全和隐私保护技术3制定标准、衡量、测试和确认体系,以提升、测量并确定系统和服务的安全程度;培训用户,为国家级的计算机系统设立最基本的安全需求4指导提高IT规划、实施、管理和运营的安全程度NIST下的CSD的网站是csrc.nist.gov这对那些关心信息系统安全的人们来说,是非常有用的资源计算机安全对政府、企业和个人都很重要,因为它有助于维护信息的保密性,有助于保证系统的可靠性和有效性,还有助于上报并追踪那些不道德不合法的入侵操作无论是出于个人使用还是专业应用,我们对因特网的过于信赖,给其带来了不利的影响,作为网络的一部分,因特网会存在一些安全漏洞,需要人们慎重对待
8.
3.3信息系统安全管理现状和不足信息系统安全管理的研究己经取得了很多很好的成果如出现了许多信息安全模型、信息安全策略、信息安全框架、信息安全机制、信息安全标准等也得出了人是保证信息系统安全主要因素要从规范人的行为、提高安全意识、明确安全责任、进行安全培训等方面来提高信息系统安全的结论这些研究成果对信息系统安全管理工作起到了很好的作用但信息系统安全管理的研究也存在一些不足至少包括下几个方面:1风险分析和评估方法的研究较多而对信息系统分等级进行保护研究的较少我国的计算机信息系统安全保护等级划分准则》GB17859一1999规定了安全等级保护的等级划分准则《信息技术安全性评估准则》GB/T18336一2001定义了信息技术安全性评估的一般概念和原理提出了评估的一般模型目前对确定了安全保护等级的信息系统如何进行测评以及对测评结果如何进行定量分析等问题还没有得到很好的研究2对信息系统出现安全事件时的应急响应一直是信息系统安全应用技术的研究重点,但没有和信息系统安全管理的研究很好地结合起来应急响应一般分为准备、检测、抑制、根除、恢复、总结等六个阶段在这每一个阶段中都有大量的管理工作要做如应急预案的制定、响应策略的制定、应急组织的成立、响应的决策、响应人员的指定等等对信息系统安全状况进行有效监测、实时报警和集中管理形成一个网络安全监测和警报系统组成一个应急联动体系从而对信息网络系统上的安全事件进行及时发现和合理的处置是应对网络安全事件、进行信息系统安全管理活动的一个重要内容3信息系统中信息内容的安全管理即发现和防止违法有害信息的出现、扩散传播没有作为信息系统安全管理研究的一项重要内容随着互联网络的飞速发展违法有害信息的扩散传播从大的方面来讲可以影响到国家安全、社会稳定从小的方面来讲可以影响到人民群众的日常生活必须采取有效措施来发现信息系统中的违法有害信息同时采取有效的管理措施来防止违法有害信息的出现并在违法有害信息出现时进行及时的处理4随着信息技术的发展先进的信息安全技术、安全产品和管理方法也越来越多如何保证这些技术、产品和方法能在信息系统中得到及时有效的应用除了从组织机构、人员培训、提高认识等方面采取措施以外也应当从法律控制的角度来研究这一问题保障先进的安全技术、产品和方法能依法应用到信息系统中信息系统安全管理的所有活动都必需在法律允许的框架之下开展同时影响信息系统安全的违法犯罪行为也应受到法律的有效的控制和严厉打击因此在研究信息系统的安全管理问题时有必要进一步对信息系统安全的法律控制问题进行研究。