中國資訊保安體系機構基本框架與構想(轉)

中國資訊保安體系機構基本框架與構想(轉)[@more@]

　　在資訊保障的概念下，把資訊保安保障分出了四個環節，而不只是三個環節了，它們是PDRR，即保護（P）檢測（D）、反應（R）、恢復（R）。認為這些是資訊保障必須的環節。他們用一個圖反映他們的思想，認為現在面臨的資訊環境，一是局域的計算環境，一個是包括專網、公網和電話交換的網路基礎設施。在他們眼裡看來，我們面臨的資訊環境，絕不僅僅是一個Internet。因此要保障資訊安就應該保護局域計算環境，保護網路技術設施，還要保護局域計算環境的邊界和對外部網路的連線。靠什麼保護？靠PDRR。支撐基礎設施由金鑰管理基礎設施和公開金鑰基礎設施（KMI/PKI）、檢測、響應組成。金鑰管理是核心的東西，因此有KMI。

　　我們的企業需要一個什麼樣的科學的資訊保安保障體系結構呢？PDRR是不是就夠了？我認為要提出這個結構，起碼應該考慮以下幾個問題：一是保障資訊保安，必須哪些環節；二是這些環節應該能夠全面衡量資訊保安的保障能力；三是應該能夠從宏觀上指導資訊保安保障的體系的建設，而且從微觀上能夠推動具體的技術、政策、管理、法規、標準、產業發展和人員素質的發展和提高等等，而且應該把握住相應的評測原則。

　　我們設想把原來PDRR前頭加上一個W，後頭加上一個C，試圖用WPDRRC這六個環節和人、政策（包括法律、法規、制度、管理）和技術三大要素來構成宏觀的資訊網路安全保障體系結構的框架。它可以反映六大能力、它們是：預警能力、保護能力、檢測能力、反應能力、恢復能力、反擊能力。因為資訊保安保障不是單一因素的，不僅僅是技術問題，是人、政策和技術三大要素的結合。六個環節是有時間關係的，是有動態反饋關係的。三個因素：人、技術和政策，它們是有層次關係的，人是打底座的，是根本的；技術是頂端的東西，但是技術是要透過人，透過相應的政策和策略去操作這個技術的。這三個因素在六個環節中都是起作用的。這些想法可以涵蓋成這樣一張圖，外圍是依次連線的預警、保護、檢測、反應、恢復、反擊六個環節，內層是人、政策、技術三個逐步擴充套件的同心圓。內圈是人，人是核心，中圈是政策，政策是橋樑，外圈是技術，技術將應是落實在WPDRRC六個環節的各個方面，在各個環節中起作用。技術也不是單一的技術，要支援資訊系統的安全應用，我們認為密碼理論和技術是一個核心，安全協議是一個橋樑，安全體系結構是一個基礎，安全的晶片是關鍵，監控管理是保障。攻擊和評測的理論和實踐是考驗。

　　什麼是預警？基本宗旨就是根據以前掌握系統的脆弱性和了解當前的犯罪趨勢，預測未來可能受到的攻擊和危害。這一點，美國去年１月，在所謂國家資訊科技保護計劃中間，克林頓提出來，全國團結，舉國體制的問題。因此，我們怎麼把個人自掃門前雪，變成舉國體制、協作機制，雖然目前Internet是以光速傳播的，他攻擊A，傳播到B站點，裡面還是有時間差和空間差，你以舉國體制，或者機構的能力，和一個人，這裡體現了知識差和能力差。

　　如果說我們只以個人的能力實施保護，它的結果永遠是保障能力小於或者等於攻擊的能力。如果你是把集團的能力，國家的能力，甚至於國際的能力集中，大家一起來做這個事情，就可能做到你的保障能力是大於等於攻擊能力，當然這個是我們希望的。

　　作為預警，你搞資訊系統建設，首先要分析威脅到底來自什麼地方，什麼方式？，系統可能有什麼脆弱性，我的家當有什麼，要做資產評估，用一萬美元保護一百美元的東西當然不划算。這樣就可以分析出我還面臨著什麼風險，用什麼強度的保護可以消除、避免、轉嫁這個風險，剩下的風險我們承受得了，還是承受不了？如果認為這是我們能夠承受的適度風險，就可以在這個基礎上考慮建設我們的系統。“預則利” 是一個系統建設的前提。

　　一旦我們的系統建成運轉起來，這個時間段的預警對下個時間段的後續環節能夠起到警示作用，甲地的警示可以為乙地獲得後續環節的提前量。如果甲地在這個時間段裡瞭解到駭客攻擊，病毒氾濫等等因 素的時候，在乙地得到警示就可能提前及早打好補丁，為下一個時段帶來相應的好處。預警的問題，雖然美國人沒有把它單獨拿出來說，但是他做了，他們用建設FEDNET網路等方式部署網路聯防和系統預警。

　　所謂保護，就是採用一切的手段保護我們資訊系統的保密性、完整性、可用性、可控性和不可否認性。我們國家已經提出來實行計算機資訊系統的等級保護的問題，我們應該依據不同等級的系統安全要求來完善自己系統的安全功能、安全機制，這都是大家熟知的。目前，這塊技術和產品是最豐富的，也是市場競爭相對最擁擠的。但是，在其它一些資訊保障環節，現在還缺乏很多技術，需要大家去思考它、研發它。

　　所謂檢測，就是利用高技術提供的工具來檢查系統存在的，可能提供駭客攻擊、白領犯罪、病毒氾濫等等這樣一些脆弱性。因此，要求具備相應的技術工具，形成動態檢測的制度，建立報告協調機制，儘量來提高這種檢測的實時性，當然需要的是脆弱性掃描、入侵檢測、惡意程式碼過濾等等這樣一些技術。

　　所謂反應，就是對於危及安全的事件、行為、過程，及時做出響應的處理，杜絕危害進一步擴大，使得我們的系統力求提供正常的服務。要求透過綜合建立起來反應的機制，提高實時性，形成快速響應的能力，當然這個報警、跟蹤、處理，處理中間包括封堵、隔離、報告，這些系統都要開發的。

　　對於恢復，原來對於天災提的比較多，現在對人禍的問題也必須 考慮，特別這次“9.11”，有些公司兩座樓炸了以後，乾脆死定了。但是有的公司（如摩根.斯坦利公司），這炸了，反過來能翻過身來，它有所有資料的備份，它有運轉機制有另外的備份，馬上可以運轉起恢復技術如容錯、冗餘、替換、修復和一致性保證等都是需要發展的。

　　所謂反擊，就是利用高技術工具，提供犯罪分子犯罪的線索、犯罪依據，依法偵查犯罪分子處理犯罪案件，要求形成取證能力和打擊手段，依法打擊犯罪和網路恐怖主義分子。國際上已經發展起一個像法醫學一樣的，有人翻譯成計算機取證的學科。我們必須要用法律手段保護我們自己。但是法律的手段能不能用得起來，在數字化的環境中間，拿到證據是比較困難的。因此需要發展相應的取證、證據保全、舉證、起訴、打擊這樣的技術，要發展相應的媒體修復、媒體恢復、資料檢查、完整性分析、系統分析、密碼分析破譯、追蹤等等這樣的技術工具。

　　最後，我國的資訊保安保障能力，不能僅從零零星星的技術產品的使用來得到。我們需要一個宏觀資訊保安保障體系結構，需要大家從各自擅長的方向努力，為我們國家最終解決資訊保安問題而努力，資訊革命的成功才能得到保證

　　

·上一篇：

·下一篇：

最新更新
	· · · · · · · · · · · · · · · · · · · · · · · · · · · · · ·