从信息安全五大要素谈安全架构建设

整个的互联网各种应用有各种各样安全的威胁，首先是社交网站和Web2.0网站成为了黑客攻击的目标，其次是僵尸网络将继续繁殖。面对这种情况，我们如何构建更安全的系统，涉及到了不断升级的安全威胁分布在各个角落。作为企业如何站在安全的角度去设置，而不是头痛医头，脚痛医脚。某种程度上，我们应该看发生的情况，从更深的层次找到问题的所在。

　　认识五大关键核心要素

　　实现信息化系统安全最基本的出发点就是认识安全体系中的关键核心要素，然后，围绕这些要素在系统的每一个环节和系统运行中进行安全防护。因此，这里首先说明安全的五大核心要素。

　　认证(Authentication)。认证是安全的最基本要素。信息系统的目的就是供使用者使用的，但只能给获得授权的使用者使用，因此，首先必须知道来访者的身份。使用者可以是人、设备和相关系统，无论是什么样的使用者，安全的第一要素就是对其进行认证。认证的结果无非是三种：可以授权使用的对象，不可以授权使用的对象和无法确认的对象。在信息化系统中，对每一个可能的入口都必须采取认证措施，对无法采取认证措施的入口必须完全堵死，从而防堵每一个安全漏洞。来访对象的身份得到认证之后，对不可授权的对象就必须拒绝访问，对可授权的对象则进到下一步安全流程，对无法确认的对象则视来访的目的采取相应的步骤。例如，公众Web的使用和邮件的接收等，虽然对来访对象无法完全认证，但也不能拒之门外。

　　授权(Authorization)。授权就是授予合法使用者对系统资源的使用权限并且对非法使用行为进行监测。授权可以是对具体的对象进行授权，例如，某一用户或某台设备可以使用所指定的资源。授权可以是对具体的对象进行授权，也可以是对某一组对象授权，也可以是根据对象所扮演的角色授权。授权除了授予某种权利之外，对于非法使用的发现和管理也是很重要的部分。尽管使用各种安全技术，非法使用并不是可以完全避免的，因此，及时发现非法使用并马上采取安全措施是非常重要的。例如，当病毒侵入信息系统后，如果不及时发现并采取安全措施，后果可以是非常严重的。

　　保密(Confidentiality)。认证和授权是信息安全的基础，但是光有这两项是不够的。保密是要确保信息在传送过程和存储时不被非法使用者“看“到。一个典型的例子是，合法使用者在使用信息时要通过网络，这时信息在传送的过程中可能被非法“截取“并导致泄密。一般来说，信息在存储时比较容易通过认证和授权的手段将非授权使用者“拒之门外“。但是，数据在传送过程中则无法或很难做到这一点，因此，加密技术就成为了信息保密的重要手段。

　　完整性(Integrity)。如果说信息的失密是一个严重的安全问题，那么信息在存储和传送过程中被修改则更严重了。例如，A给B传送一个文件和指令。在其传送过程中，C将信息截取并修改，并将修改后的信息传送给B，使B认为被C修改了的内容就是A所传送的内容。在这种情况下，信息的完整性被破坏了。信息安全的一个重要方面就是保证信息的完整性，特别是信息在传送过程中的完整性。

　　不可否认(Non-repudiation)。无论是授权的使用还是非授权的使用，事后都应该是有据可查的。对于非授权的使用，必须是非授权的使用者无法否认或抵赖的，这应该是信息安全的最后一个重要环节。

　　全方位的安全技术实现

　　企业信息化的安全架构就是根据信息安全的五大要素，从整体上考虑信息的安全防护问题。企业的信息化安全架构应该是一个整体统一考虑，将安全的五大要素落实在信息化系统的每一个环节之上，从而形成对企业信息资源的全面保护。

　　首先是要有一个统一的身份管理系统。统一的身份管理系统不仅仅需要对人进行管理，也要对相应的各种设备的身份进行管理，如自动柜员机、路由器和主机等等。另外，对企业之外的相关人员和设备也要进行管理，如某个IP地址所代表的设备等。身份的管理也包含了“黑名单“的管理，如垃圾邮件服务器等。

　　在统一的身份管理的基础上，实现统一的认证机制和认证系统。认证系统负责对所有来访对象进行认证以确认来访者的合法身份。一旦来访者的身份获得认证之后，来访者取得合法的身份证并获得对资源访问的通行证。

　　然而，有了通行证并不能够对信息资源进行无限制的访问和使用。对某一个具体资源的使用权则需要相应的授权管理机制和系统。因此，建立一个统一的授权管理机制和系统也是非常重要的。而且，认证机制和授权机制之间的匹配问题也是必须要考虑的，例如，是按组织机构还是按照角色进行授权就决定了“身份证“或“通行证“所必须提供的不同身份信息。

　　统一的信息保密技术和完整性保护技术也是在安全架构体系下必须考虑的问题。PKI技术的广泛使用已经为信息保密技术和完整性保护提供了标准化的技术。另外，针对安全问题的日志和审计系统也是非常重要的。

　　有了统一的身份管理、认证管理、授权管理，以及统一的信息保密技术和完整性保护技术，信息化的安全架构雏形就基本形成。接下来的问题就是怎样与各个具体的资源管理和使用系统相结合，从而形成完整严密的信息安全体系。例如，企业内的认证需针对桌面系统用户，业务应用系统(基于Web或传统的)用户以及网络上直接的来访者，统一的认证体系一方面要利用统一的方式给合法用户“最大的方便“，另一方面要将统一认证的技术与具体的资源环境相结合。

　　企业的安全架构就是要制定出这些统一的安全机制和系统体系，同时考虑在信息化的各个环节的具体实施方法。

　　安全架构的形成也是制定企业安全标准体系的一个不可缺少的途径。在安全架构之下，结合国家和国际的安全标准建立起一套完整的企业安全规范。

　　安全涉及到人/技术/操作三个方面

　　无论什么样的安全技术都不可能十全十美，更何况，在安全技术的利用上也不可能尽善尽美。因此，仅仅靠技术手段建立起来的安全体系过于单薄，真正的安全必须是技术与管理并重。

　　安全管理的首先第一条就是安全管理的组织保障。安全管理的组织机构要保证安全政策的制定和执行，以及对安全问题的应急响应和支援处理。一支强有力的安全应急处理队伍是非常重要的，安全应急处理队伍由技术和管理人员组成。当信息系统受到攻击或出现安全隐患时，安全应急处理队伍能快速反应，在出现真正危机时排除安全隐患，或尽量减少因安全问题带来的损失。

　　很多安全问题的出现并不一定是技术上的漏洞，更多的是人为的原因。因此，安全规章制度的建立和安全意识的培养是信息化安全的重要组成部分。有了安全规章制度和安全意识的培养机制之后，对规章制度落实情况的检查是必须的。例如，有些企业对系统进行定期的模拟攻击就是一种很好的办法。