2.1.4 信息安全

常见的信息安全问题主要表现为：计算机病毒泛滥、恶意软件的入侵、黑客攻击、利用计算机犯罪、网络有害信息泛滥、个人隐私泄露等。随着物联网、云计算、人工智能、大数据等新一代信息技术的广泛应用，信息安全也面临着新的问题和挑战。

1．信息安全基础

CIA三要素是保密性（Confidentiality）、完整性（Integrity）和可用性（Availability）三个词的缩写。CIA是系统安全设计的目标。保密性、完整性和可用性是信息安全最为关注的三个属性，因此这三个特性也经常被称为信息安全三元组，这也是信息安全通常所强调的目标。信息安全已经成为一门涉及计算机科学、网络技术、通信技术、密码技术、信息安全技术、应用数学、数论和信息论等多种学科的综合性学科。从广义上来说，凡是涉及网络上信息的保密性、完整性、可用性、真实性和可核查性的相关技术和理论都属于信息安全的研究领域。

• （1）保密性是指"信息不被泄露给未授权的个人、实体和过程，或不被其使用的特性"。简单地说，就是确保所传输的数据只被其预定的接收者读取。同时，使用什么样的方式来实现保密性以保护数据、对象、资源机密性尤为关键。加密、访问控制、信息隐写都是实现保密性的方式。机密性还涉及其他的概念、条件和方面，如敏感度、自由裁量权、危机程度、隐蔽、保密、隐私、隔离。
• （2）完整性是指"保护资产的正确和完整的特性"。简单地说，就是确保接收到的数据即是发送的数据，数据不应该被改变。完整性保证没有未授权的用户修改数据，可以从以下3个方面检验完整性：
• · 阻止未授权主体作出的修改；
• · 阻止授权主体可以做未授权的修改，比如误操作；
• · 确保数据没有被改变，这需要某种方法去进行验证。 完整性还包括其他的概念、条件和方面，如准确度、真实性、不可抵赖性、责任和职责、全面性等。
• （3）可用性是指"需要时，授权实体可以访问和使用的特性"。可用性确保数据在需要时可以使用。尽管传统上认为可用性并不属于信息安全的范畴，但随着拒绝服务攻击的逐渐盛行，要求数据总能保持可用性就显得十分关键了。 CIA三要素有其局限性。CIA三元组关注的重心在信息，虽然这是大多数信息安全的核心要素，但对于信息系统安全而言，仅考虑CIA是不够的。信息安全的复杂性决定了还存在其他的重要因素。CIA给出了一个信息系统整体安全模型框架，能帮助信息化工作人员在制定安全策略时形成思路，但这并不是所有需要考虑的策略。CIA三元组可以作为规划、实施量化安全策略的基本原则，但是我们也应该认识到它的局限性。 信息必须依赖其存储、传输、处理及应用的载体（媒介）而存在，因此针对信息系统安全可以划分为以下四个层次：设备安全、数据安全、内容安全和行为安全。 1）设备安全 信息系统设备的安全是信息系统安全的首要问题，主要包括三个方面：
• · 设备的稳定性。设备在一定时间内不出故障的概率。
• · 设备的可靠性。设备能在一定时间内正常执行任务的概率。
• · 设备的可用性。设备随时可以正常使用的概率。 信息系统的设备安全是信息系统安全的物质基础。除了硬件设备外，软件系统也是一种设备，也要确保软件设备的安全。 2）数据安全 数据安全属性包括秘密性、完整性和可用性。很多情况下，即使信息系统设备没有受到损坏，但其数据安全也可能已经受到危害，如数据泄露、数据篡改等。由于危害数据安全的行为具有较高的隐蔽性，数据应用用户往往并不知情，因此危害性很高。 3）内容安全 内容安全是信息安全在政治、法律、道德层次上的要求。内容安全包括：信息内容在政治上是健康的；信息内容符合国家的法律法规；信息内容符合中华民族优良的道德规范等。除此之外，广义的内容安全还包括信息内容保密、知识产权保护、信息隐藏和隐私保护等诸多方面。如果数据中充斥着不健康的、违法的、违背道德的内容，即使它是保密的、未被篡改的，也不能说是安全的。4）行为安全 数据安全本质上是一种静态的安全，而行为安全是一种动态安全，主要包括：

• ·行为的秘密性。行为的过程和结果不能危害数据的秘密性。必要时，行为的过程和结果也应是秘密的。

• ·行为的完整性。行为的过程和结果不能危害数据的完整性，行为的过程和结果是可预期的。

• ·行为的可控性。行为的过程出现偏离预期时，能够发现、控制或纠正。 行为安全强调过程安全，体现在组成信息系统的硬件设备、软件设备和应用系统协调工作的程序（执行序列）符合系统设计的预期，这样才能保证信息系统的整体安全。

  2．加密与解密

  为了保证信息的安全性，就需要采用信息加密技术对信息进行伪装，使得信息非法窃取者无法理解信息的真实含义，信息的合法拥有者可以利用特征码对信息的完整性进行校验。采用加密算法对信息使用者的身份进行认证、识别和确认，以对信息的使用进行控制。 加密技术包括两个元素：算法和密钥。密钥加密技术的密码体制分为对称密钥体制和非对称密钥体制两种。相应地，对数据加密的技术分为两类，即对称加密（私人密钥加密）和非对称加密（公开密钥加密）。对称加密以数据加密标准（Data Encryption Standard，DES）算法为典型代表，非对称加密通常以RSA（Rivest Shamir Adleman）算法为代表。对称加密的加密密钥和解密密钥相同，而非对称加密的加密密钥和解密密钥不同，加密密钥可以公开而解密密钥需要保密。 1）对称加密技术 对称加密采用了对称密码编码技术，它的特点是文件加密和解密使用相同的密钥，即加密密钥也可以用作解密密钥，这种方法在密码学中叫作对称加密算法，对称加密算法使用起来简单快捷，密钥较短，且破译困难。 2）非对称加密技术 公开密钥密码的基本思想是将传统密码的密钥K一分为二，分为加密钥Ke和解密钥Kd，用加密钥Ke控制加密，用解密钥Kd控制解密，这样即使是将Ke公开也不会暴露Kd，也不会损害密码的安全。由于Ke是公开的，只有Kd是保密的，所以便从根本上克服了传统密码在密钥分配上的困难。当前公开密钥密码有基于大合数因子分解困难性的RAS密码类和基于离散对数问题困难性的E1Gamal密码类。由于RSA密码既可用于加密，又可用于数字签名，安全、易懂，因此RSA密码已成为目前应用最广泛的公开密钥密码。 3）Hash函数 Hash函数将任意长的报文M映射为定长的Hash码，也称报文摘要，它是所有报文位的函数，具有错误检测能力：即改变报文的任何一位或多位，都会导致Hash码的改变。在实现认证过程中，发送方将Hash码附于要发送的报文之后发送给接收方，接收方通过重新计算Hash码来认证报文，从而实现保密性、报文认证以及数字签名的功能。4）数字签名 签名是证明当事者的身份和数据真实性的一种信息。在信息化环境下，以网络为信息传输基础的事务处理中，事务处理各方应采用电子形式的签名，即数字签名（Digital Signature）。目前，数字签名已得到一些国家的法律支持。完善的数字签名体系应满足：

• · 签名者事后不能抵赖自己的签名；
• · 任何其他人不能伪造签名；
• · 如果当事的双方关于签名的真伪发生争执，能够在公正的仲裁者面前通过验证签名来确认其真伪。 利用RSA密码可以同时实现数字签名和数据加密。 5）认证 认证（Authentication）又称鉴别或确认，它是证实某事是否名副其实或是否有效的一个过程。 认证和加密的区别在于：加密用以确保数据的保密性，阻止对手的被动攻击，如截取、窃听等；而认证用以确保报文发送者和接收者的真实性以及报文的完整性，阻止对手的主动攻击，如冒充、篡改、重播等。认证往往是许多应用系统中安全保护的第一道防线，因而极为重要。认证系统常用的参数有口令、标识符、密钥、信物、智能卡、指纹、视网纹等。认证和数字签名技术都是确保数据真实性的措施，但两者有着明显的区别：

• ·认证总是基于某种收发双方共享的保密数据来认证被鉴别对象的真实性，而数字签名中用于验证签名的数据是公开的。

• ·认证允许收发双方互相验证其真实性，不准许第三者验证，而数字签名允许收发双方和第三者验证。

• ·数字签名具有发送方不能抵赖、接收方不能伪造和具有在公证人前解决纠纷的能力，而认证则不一定具备。

  3．信息系统安全

  信息系统一般由计算机系统、网络系统、操作系统、数据库系统和应用系统组成，与此对应，信息系统安全主要包括计算机设备安全、网络安全、操作系统安全、数据库系统安全和应用系统安全等。 1）计算机设备安全 保证计算机设备的运行安全是信息系统安全最重要的内容之一。除完整性、机密性和可用性外，计算机设备安全还要包括：

• ·抗否认性。抗否认性是指能保障用户无法在事后否认曾经对信息进行的生成、签发、接收等行为的特性。一般通过数字签名来提供抗否认服务。

• ·可审计性。利用审计方法，可以对计算机信息系统的工作过程进行详尽的审计跟踪，同时保存审计记录和审计日志，从中可以发现问题。

• ·可靠性。可靠性指计算机在规定的条件下和给定的时间内完成预定功能的概率。 2）网络安全 网络作为信息的收集、存储、分配、传输、应用的主要载体，其安全对整个信息的安全起着至关重要甚至是决定性的作用。网络环境是信息共享、信息交流、信息服务的理想空间。互联网（Internet）与生俱来的开放性、交互性和分散性特征，在满足人们开放、灵活、快速地分享信息的同时，也同时带来了网络安全的相关问题。

• · 信息泄露、信息污染、信息不易受控。
• · 信息泄密、信息破坏、信息侵权和信息渗透。
• · 网站遭受恶意攻击而导致损坏和瘫痪。 互联网是以TCP／IP网络协议为基础的，没有针对信息安全问题在协议层面做专门的设计，这是网络信息安全问题频繁出现且不易解决的根本原因。常见的网络威胁包括：
• · 网络监听。
• · 口令攻击。
• · 拒绝服务（DoS）攻击及分布式拒绝服务（DDoS）攻击。
• · 漏洞攻击。例如利用Web安全漏洞和OpenSSL安全漏洞实施攻击。
• · 僵尸网络（Botnet）。
• · 网络钓鱼（Phishing）。
• · 网络欺骗。网络欺骗主要有ARP欺骗、DNS欺骗、IP欺骗、Web欺骗、E-mail欺骗等。
• · 网站安全威胁。网站安全威胁主要有SQL注入攻击、跨站攻击、旁注攻击等。
• · 高级持续性威胁（APT）。 3）操作系统安全 操作系统是计算机系统最基础的软件，实质上是一个资源管理系统，管理着计算机系统的各种资源，用户通过它获得对资源的访问权限。 操作系统安全是计算机系统软件安全的必要条件，若没有操作系统提供的基础安全性，信息系统的安全性是没有基础的。按照安全威胁的表现形式来划分，操作系统面临的安全威胁主要有：
• · 计算机病毒。
• · 逻辑炸弹。
• · 特洛伊木马。
• · 后门。后门指的是嵌在操作系统中的一段非法代码，渗透者可以利用这段代码侵入系统。安装后门的目的就是为了渗透。
• · 隐蔽通道。隐蔽通道可定义为系统中不受安全策略控制的、违反安全策略、非公开的信息泄露路径。 4）数据库系统安全 数据库系统是存储、管理、使用和维护数据的平台。数据库安全主要指数据库管理系统安全，其安全问题可以认为是用于存储而非传输的数据的安全问题。 5）应用系统安全 应用系统安全是以计算机设备安全、网络安全和数据库安全为基础的，采取有效的防病毒、防篡改和版本检查审计，确保应用系统自身执行程序和配置文件的合法性、完整性是极其重要的安全保证措施。 当前大部分应用系统的数据管理、业务处理逻辑、结果展现控制、并发处理等都是由服务器端完成的，而服务器端的应用大部分是基于Web的，因此围绕Web的安全管理是应用系统安全最重要的内容之一。

  4．网络安全技术

  网络安全技术主要包括：防火墙、入侵检测与防护、VPN、安全扫描、网络蜜罐技术、用户和实体行为分析技术等。 1）防火墙 防火墙是建立在内外网络边界上的过滤机制，内部网络被认为是安全和可信赖的，而外部网络被认为是不安全和不可信赖的。防火墙可以监控进出网络的流量，仅让安全、核准的信息进入，同时抵御企业内部发起的安全威胁。防火墙的主要实现技术有：数据包过滤、应用网关和代理服务等。 2）入侵检测与防护 入侵检测与防护技术主要有两种：入侵检测系统（Intrusion Detection System，IDS）和入侵防护系统（Intrusion Prevention System，IPS）。 入侵检测系统（IDS）注重网络安全状况的监管，通过监视网络或系统资源，寻找违反安全策略的行为或攻击迹象并发出报警。因此绝大多数IDS系统都是被动的。 入侵防护系统（IPS）倾向于提供主动防护，注重对入侵行为的控制。其设计宗旨是预先对入侵活动和攻击性网络流量进行拦截，避免造成损失。IPS是通过直接嵌入到网络流量中实现这一功能的，即通过一个网络端口接收来自外部系统的流量，经过检查确认其中不包含异常活动或可疑内容后，再通过另外一个端口将它传送到内部系统中。这样一来，有问题的数据包以及所有来自同一数据流的后续数据包，都能在IPS设备中被清除掉。 3）虚拟专用网络（Virtual Private Network， VPN） VPN是依靠ISP（Internet服务提供商）和其他NSP（网络服务提供商），在公用网络中建立专用的、安全的数据通信通道的技术。VPN可以认为是加密和认证技术在网络传输中的应用。VPN网络连接由客户机、传输介质和服务器三部分组成，VPN的连接不是采用物理的传输介质，而是使用称之为"隧道"的技术作为传输介质，这个隧道是建立在公共网络或专用网络基础之上的。常见的隧道技术包括：点对点隧道协议（Point-to-Point Tunneling Protocol，PPTP）、第2层隧道协议（Layer 2 Tunneling Protocol，L2TP）和IP安全协议（IPSec）。 4）安全扫描 安全扫描包括漏洞扫描、端口扫描、密码类扫描（发现弱口令密码）等。安全扫描可以应用被称为扫描器的软件来完成，扫描器是最有效的网络安全检测工具之一，它可以自动检测远程或本地主机、网络系统的安全弱点以及可能被利用的系统漏洞。 5）网络蜜罐技术 蜜罐（Honeypot）技术是一种主动防御技术，是入侵检测技术的一个重要发展方向，也是一个"诱捕"攻击者的陷阱。蜜罐系统是一个包含漏洞的诱骗系统，它通过模拟一个或多个易受攻击的主机和服务，给攻击者提供一个容易攻击的目标。攻击者往往在蜜罐上浪费时间，延缓对真正目标的攻击。由于蜜罐技术的特性和原理，使得它可以对入侵的取证提供重要的信息和有用的线索，便于研究入侵者的攻击行为。

  5．Web威胁防护技术

  基于Web的业务平台已经得到广泛应用，网络攻击者利用相关漏洞获取Web服务器的控制权限，轻则篡改网页内容，重则窃取重要内部数据，更为严重的则是在网页中植入恶意代码，带来严重的安全事故。当前Web面临的主要威胁包括：可信任站点的漏洞、浏览器和浏览器插件的漏洞、终端用户的安全策略不健全、携带恶意软件的移动存储设备、网络钓鱼、僵尸网络、带有键盘记录程序的木马等。 Web威胁防护技术主要包括：Web访问控制技术、单点登录技术、网页防篡改技术和Web 内容安全等。 1）Web访问控制技术 访问控制是Web站点安全防范和保护的主要策略，它的主要任务是保证网络资源不被非法访问者访问。访问Web站点要进行用户名、用户口令的识别与验证、用户账号的默认限制检查。只要其中任何一关未过，该用户便不能进入某站点进行访问。Web服务器一般提供通过IP 地址、子网或域名，用户名／口令，公钥加密体系PKI（CA认证）等访问控制方法。 2）单点登录（Single Sign On，SSO）技术 单点登录技术为应用系统提供集中统一的身份认证，实现"一点登录、多点访问"。单点登录系统采用基于数字证书的加密和数字签名技术，基于统一策略的用户身份认证和授权控制功能，对用户实行集中统一的管理和身份认证。 3）网页防篡改技术 网页防篡改技术包括时间轮询技术、核心内嵌技术、事件触发技术、文件过滤驱动技术等。

• ·时间轮询技术。时间轮询技术利用网页检测程序，以轮询方式读出要监控的网页，通过与真实网页相比较来判断网页内容的完整性，对于被篡改的网页进行报警和恢复。

• ·核心内嵌技术。核心内嵌技术即密码水印技术，该技术将篡改检测模块内嵌在Web服务器软件里，它在每一个网页流出时都进行完整性检查，对于篡改网页进行实时访问阻断，并予以报警和恢复。

• ·事件触发技术。事件触发技术就是利用操作系统的文件系统或驱动程序接口，在网页文件被修改时进行合法性检查，对于非法操作进行报警和恢复。

• ·文件过滤驱动技术。文件过滤技术是一种简单、高效且安全性又极高的一种防篡改技术，通过事件触发方式，对Web服务器所有文件夹中的文件内容，对照其底层文件属性，经过内置散列快速算法进行实时监测；若发现属性变更，则将备份路径文件夹中的内容复制到监测文件夹的相应文件位置，使得公众无法看到被篡改页面。 4）Web内容安全 内容安全管理分为电子邮件过滤、网页过滤、反间谍软件三项技术，这三项技术不仅对内容安全市场发展起到决定性推动作用，而且对于互联网的安全起到至关重要的保障作用。

  6．下一代防火墙

  下一代防火墙（Next Generation Firewall，NGFW）是一种可以全面应对应用层威胁的高性能防火墙。通过深入洞察网络流量中的用户、应用和内容，并借助全新的高性能单路径异构并行处理引擎，NGFW能够为组织提供有效的应用层一体化安全防护，帮助组织安全地开展业务并简化组织的网络安全架构。 随着信息系统采用SOA和Web 2.0普及使用，更多的通信量都只是通过少数几个端口及采用有限的几个协议进行，这也就意味着基于端口／协议类安全策略的关联性与效率都越来越低，传统防火墙已基本无法探测到利用僵尸网络作为传输方法的威胁。 NGFW在传统防火墙数据包过滤、网络地址转换（NAT）、协议状态检查以及VPN功能的基础上，新增如下功能：

• · 入侵防御系统（IPS）。NGFW的DPI功能中包含IPS。

• ·基于应用识别的可视化。NGFW根据数据包的去向，阻止或允许数据包。它们通过分析第7层（应用程序层）的流量来做到这一点。传统的防火墙不具备这种能力，因为它们只分析第3层和第4层的流量。

• ·智能防火墙。智能防火墙可收集防火墙外的各类信息，用于改进阻止决策或作为优化阻止规则的基础。比如利用目录集成来强化根据用户身份实施的阻止或根据地址编制黑名单与白名单。 随着云计算的深入应用，NGFW的发展面临巨大挑战：网络边界"消失"、新型架构的涌现以及安全人员的不足等，都在驱动着NGFW的变革。

  7．安全行为分析技术

  传统的安全产品、技术、方案基本上都是基于已知特征进行规则匹配，从而进行分析和检测。然而，以"特征"为核心的检测分析存在安全可见性盲区，如滞后效应、不能检测未知攻击、容易被绕过，以及难以适应攻防对抗的网络现实和快速变化的组织环境、外部威胁等。另一方面，大部分造成严重损坏的攻击往往来源于内部，只有管理好内部威胁，才能保证信息和网络安全。 用户和实体行为分析（User and Entity Behavior Analytics，UEBA）提供了用户画像及基于各种分析方法的异常检测，结合基本分析方法（利用签名的规则、模式匹配、简单统计、阈值等）和高级分析方法（监督和无监督的机器学习等），用打包分析来评估用户和其他实体（主机、应用程序、网络、数据库等），发现与用户或实体标准画像或行为异常的活动所相关的潜在事件。 UEBA是一个完整的系统，涉及算法、工程等检测部分以及用户与实体风险评分排序、调查等用户交换、反馈。从架构上来看，UEBA系统通常包括数据获取层、算法分析层和场景应用层。

  8．网络安全态势感知

  网络安全态势感知（Network Security Situation Awareness）是在大规模网络环境中，对能够引起网络态势发生变化的安全要素进行获取、理解、显示并据此预测未来的网络安全发展趋势。安全态势感知不仅是一种安全技术，也是一种新兴的安全概念。它是一种基于环境的、动态、整体地洞悉安全风险的能力。安全态势感知的前提是安全大数据，其在安全大数据的基础上，进行数据整合、特征提取等，然后应用一系列态势评估算法生成网络的整体态势状况，应用态势预测算法预测态势的发展状况。并使用数据可视化技术，将态势状况和预测情况展示给安全人员，方便安全人员直观便捷地了解网络当前状态及预期的风险。 网络安全态势感知的相关关键技术主要包括：海量多元异构数据的汇聚融合技术、面向多类型的网络安全威胁评估技术、网络安全态势评估与决策支撑技术、网络安全态势可视化等。 1）海量多元异构数据的汇聚融合技术 目前，在大规模网络中，网络安全数据和日志数据由海量设备和多个应用系统产生，且这些安全数据和日志数据缺乏统一标准与关联，在此基础上进行数据分析，无法得到全局精准的分析结果。新的网络安全分析和态势感知要求对网络安全数据的分析能够打破传统的单一模式，打破表与表、行与行之间的孤立特性，把数据融合成一个整体，能够从整体上进行全局的关联分析，可以对数据整体进行高性能的处理，以及以互动的形式对数据进行多维度的裁剪和可视化。 因此需要通过海量多元异构数据的汇聚融合技术实现PB量级多元异构数据的采集汇聚、多维度深度融合、统一存储管理和安全共享。将采集到的多元异构数据进行清洗、归一化后，采用统一的格式进行存储和管理。通过属性融合、关系拓展、群体聚类等方式挖掘数据之间的直接或潜在的相关性，进行多维度数据融合。这样才可以为网络安全分析、态势感知与决策提供高效、稳定、灵活、全面的数据支撑。 2）面向多类型的网络安全威胁评估技术 从流量、域名、报文和恶意代码等多元数据入手，有效处理来自互联网探针、终端、云计算和大数据平台的威胁数据，分解不同类型数据中潜藏的异常行为，对流量、域名、报文和恶意代码等安全元素进行多层次的检测。通过结合聚类分析、关联分析和序列模式分析等大数据分析方法，对发现的恶意代码、域名信息等威胁项进行跟踪分析。利用相关图等相关性方法检测并扩建威胁列表，对网络异常行为、已知攻击手段、组合攻击手段、未知漏洞攻击和未知代码攻击等多种类型的网络安全威胁数据进行统计、建模与评估。 只有通过网络安全威胁评估完成从数据到信息、从信息到网络安全威胁情报的完整转化过程，网络安全态势感知系统才能做到对攻击行为、网络系统异常等的及时发现与检测，实现全貌还原攻击事件和攻击者意图，客观评估攻击投入和防护效能，为威胁溯源提供必要的线索支撑。3）网络安全态势评估与决策支撑技术 网络安全态势评估与决策支撑技术需要以网络安全事件监测为驱动，以安全威胁线索为牵引，对网络空间安全相关信息进行汇聚融合，将多个安全事件联系在一起进行综合评估与决策支撑，实现对整体网络安全状况的判定。 对安全事件尤其是对网络空间安全相关信息进行汇聚融合后所形成针对人、物、地、事和关系的多维安全事件知识图谱，是网络安全态势评估分析的关键。 网络安全态势评估与决策支撑技术从"人"的角度评估攻击者的身份、团伙关系、行为和动机意图；从"物"的角度评估其工具手段、网络要素、虚拟资产和保护目标；从"地"的角度评估其地域、关键部位、活动场所和途径轨迹；从"事"的角度评估攻击事件的相似关系、同源关系。 4）网络安全态势可视化 网络安全态势可视化的目的是生成网络安全综合态势图，使网络安全态势感知系统的分析处理数据可视化、态势可视化。 网络安全态势可视化是一个层层递进的过程，包括数据转化、图像映射、视图变换3个部分。数据转化是把分析处理后的数据映射为数据表，将数据的相关性以关系表的形式存储；图像映射是把数据表转换为对应图像的结构和图像属性；视图变换是通过坐标位置、缩放比例、图形着色等方面来创建视图，并可通过调控参数，完成对视图变换的控制。