在互聯(lián)網(wǎng)應(yīng)用日益普及的今天，信息系統(tǒng)面臨的安全挑戰(zhàn)也日趨嚴(yán)峻，即使最細(xì)小、最隱秘的漏洞也可能馬上被人發(fā)現(xiàn)和利用，進(jìn)而給企業(yè)帶來重大損失； 而另一方面，企業(yè)的IT預(yù)算卻一壓再壓。因此，如何以最經(jīng)濟(jì)、最有效的方式保障信息系統(tǒng)的安全，已經(jīng)成為眾多企業(yè)CIO們必須面對的問題。本期我們圍繞信息系統(tǒng)安全這個話題，結(jié)合安全技術(shù)手段的介紹，提供幾個實(shí)際的系統(tǒng)安全解決方案案例，供讀者參考。

　　信息系統(tǒng)的安全防護(hù)是一項非常復(fù)雜的工程，圍繞它目前已經(jīng)形成了眾多安全技術(shù)。而一個安全的信息系統(tǒng)通常要綜合采用多種技術(shù)和部署相應(yīng)的安全產(chǎn)品，通過建立一個縱深的安全防護(hù)體系，從而增加攻擊者入侵系統(tǒng)所花費(fèi)的時間、成本和所需要的資源，以最終降低系統(tǒng)被攻擊的危險，達(dá)到安全防護(hù)的目標(biāo)。下圖是信息安全防護(hù)的技術(shù)架構(gòu)，它基本上囊括了當(dāng)今安全領(lǐng)域內(nèi)所采用的主要安全技術(shù)，包括身份認(rèn)證、訪問控制、內(nèi)容安全、審計和跟蹤、響應(yīng)和恢復(fù)幾個部分。下面將分別對這些技術(shù)的特點(diǎn)及其使用范圍進(jìn)行介紹�！　　　　�

　　身份認(rèn)證

　　身份認(rèn)證是對網(wǎng)絡(luò)中的主體和客體的身份進(jìn)行驗證的過程，所包括的典型技術(shù)有：口令認(rèn)證機(jī)制、公開密鑰基礎(chǔ)設(shè)施(PKI)強(qiáng)認(rèn)證機(jī)制、基于生物特征的認(rèn)證等。

　　口令認(rèn)證 口令認(rèn)證是最常用的一種認(rèn)證方式�？诹钍窍嗷ゼs定的代碼，通常只有用戶和系統(tǒng)知道�？诹钣袝r由用戶選擇，有時由系統(tǒng)分配。通常情況下，用戶先輸入某種標(biāo)志信息，比如用戶名和ID號，然后系統(tǒng)詢問用戶口令，若口令相匹配，用戶即可進(jìn)入系統(tǒng)訪問�？诹钣卸喾N，如一次性口令，系統(tǒng)生成一次性口令的清單，規(guī)定第一次時必須使用X，第二次時必須使用Y，第三次時用Z……還有基于時間的口令，即訪問者使用的口令隨時間變化，變化基于時間和一個秘密的用戶密鑰，這樣口令隨時都在改變，使其更加難以猜測。

　　PKI的認(rèn)證機(jī)制 PKI（Public Key Infrastructure）技術(shù)是通過公鑰密碼體制中用戶私鑰的機(jī)密性來提供用戶身份的惟一性驗證，并通過數(shù)字證書的方式為每個合法用戶的公鑰提供一個合法性的證明，建立了用戶公鑰到證書ID號之間的惟一映射關(guān)系。PKI主要由證書生產(chǎn)系統(tǒng)和應(yīng)用系統(tǒng)組成，證書生產(chǎn)系統(tǒng)又包括數(shù)字證書認(rèn)證中心（Certification Authority，CA）和密鑰管理中心（Key Management，KM），共同完成數(shù)字證書的申請、審核、簽發(fā)、注銷、更新、查詢等功能。證書應(yīng)用系統(tǒng)提供身份認(rèn)證、加解密、簽名驗簽等安全服務(wù)功能，以解決業(yè)務(wù)應(yīng)用中的機(jī)密性、完整性、認(rèn)證性、不可否認(rèn)性等安全問題。

　　由于數(shù)字證書本身是公開的，因此在身份驗證過程中必須通過公鑰與私鑰之間的惟一映射關(guān)系（由公鑰加密體制自身提供保證）來間接建立用戶私鑰和證書ID號之間的映射關(guān)系。數(shù)字證書可以存儲在多種介質(zhì)上（硬盤、軟盤、IC卡、USB Key等）。若采用硬件形式如智能IC卡、USB Key等，把用戶的私鑰存放其中則更安全。

　　PKI的認(rèn)證是一種強(qiáng)認(rèn)證機(jī)制，綜合采用了摘要算法、非對稱加密、對稱加密、數(shù)字簽名等技術(shù)，很好地將安全性和高效性結(jié)合起來。這種認(rèn)證方法目前廣泛應(yīng)用在電子郵件、應(yīng)用服務(wù)器訪問、客戶端認(rèn)證、防火墻認(rèn)證等領(lǐng)域。

　　生物特征的認(rèn)證 基于生物特征的認(rèn)證是一項正處于研究開發(fā)階段的技術(shù)，常見的有指紋、聲音、視網(wǎng)膜或虹膜、手掌幾何學(xué)等。這種利用個人生理特征進(jìn)行鑒別的方式具有很高的安全性。目前已推出的設(shè)備包括：視網(wǎng)膜掃描儀、指紋識別儀、聲音驗證設(shè)備、手型識別器。

　　訪問控制

　　訪問控制的主要任務(wù)是保證網(wǎng)絡(luò)資源和應(yīng)用系統(tǒng)不被非法使用和訪問。訪問控制所包括的典型技術(shù)有：防火墻、虛擬專用網(wǎng)(VPN)、授權(quán)管理基礎(chǔ)設(shè)施(PMI)等。

　　防火墻：防火墻是指設(shè)置在不同網(wǎng)絡(luò)（如可信任的內(nèi)部網(wǎng)和不可信的公共網(wǎng)）或網(wǎng)絡(luò)安全域之間的一系列部件的組合，它是不同網(wǎng)絡(luò)或網(wǎng)絡(luò)安全域之間信息的惟一出入口，能根據(jù)單位的安全策略（允許、拒絕等）控制出入網(wǎng)絡(luò)的信息流，且本身具有較強(qiáng)的抗攻擊能力。

　　防火墻是目前用得最廣泛的一種安全技術(shù)，它可以限制外部對系統(tǒng)資源的非授權(quán)訪問，也可以限制內(nèi)部對外部的非授權(quán)訪問，同時還限制內(nèi)部系統(tǒng)之間，特別是安全級別低的系統(tǒng)對安全級別高的系統(tǒng)的非授權(quán)訪問。

　　VPN 虛擬專網(wǎng)（Virtual Private Network，VPN）是指采用隧道技術(shù)以及加密、身份認(rèn)證等方法，在公共網(wǎng)絡(luò)上構(gòu)建專用的網(wǎng)絡(luò)，數(shù)據(jù)通過安全的“加密隧道”在公共網(wǎng)絡(luò)中傳輸。

　　VPN可使用戶或企業(yè)通過公共的互聯(lián)網(wǎng)絡(luò)連接到遠(yuǎn)程服務(wù)器、分部辦公室服務(wù)器或其他企業(yè)的網(wǎng)絡(luò)，同時可以保護(hù)通信的安全。VPN具有安全性、服務(wù)質(zhì)量保證（QoS）、可擴(kuò)充性和靈活性、可管理性、使用價格低廉等特點(diǎn)，正是這些特點(diǎn)使得VPN已得到廣泛應(yīng)用。

　　PMI PMI(Privilege Management Infrastructure) 是屬性機(jī)構(gòu)、屬性證書、屬性證書注冊申請中心、屬性庫、策略庫等部件的集合體，用來實(shí)現(xiàn)權(quán)限和證書的產(chǎn)生、管理、存儲、分發(fā)和撤銷功能。PMI可以向應(yīng)用系統(tǒng)提供對實(shí)體（人、服務(wù)器、程序等）的權(quán)限管理和授權(quán)服務(wù)，實(shí)現(xiàn)實(shí)體身份到應(yīng)用權(quán)限的映射，提供與實(shí)際應(yīng)用處理模式相應(yīng)的、與具體應(yīng)用系統(tǒng)開發(fā)和管理無關(guān)的授權(quán)和訪問控制機(jī)制，簡化具體應(yīng)用系統(tǒng)的開發(fā)與維護(hù)。PMI以應(yīng)用系統(tǒng)的資源管理為核心，將對資源的訪問控制權(quán)統(tǒng)一交由授權(quán)機(jī)構(gòu)進(jìn)行管理，即由資源的所有者——業(yè)務(wù)應(yīng)用系統(tǒng)來進(jìn)行訪問控制。

　　PKI解決了實(shí)體的身份認(rèn)證問題，即“你是誰”，而PMI解決了實(shí)體的授權(quán)問題，即“你能干什么”。

　　內(nèi)容安全

　　內(nèi)容安全主要是直接保護(hù)系統(tǒng)中傳輸和存儲的數(shù)據(jù)。主要是通過對信息和內(nèi)容本身進(jìn)行變形和變換，或者對具體的內(nèi)容進(jìn)行檢查來實(shí)現(xiàn)。內(nèi)容安全所包括的典型技術(shù)有：加密、防病毒、內(nèi)容過濾等。 
　　

　　加密：加密是信息安全領(lǐng)域的一種基本、實(shí)用且非常重要的技術(shù)。主要分為對稱加密、非對稱加密兩類。對稱加密使用單個密鑰對數(shù)據(jù)進(jìn)行加密或解密，其特點(diǎn)是計算量小、加密效率高。但是此類算法在分布式系統(tǒng)上使用較為困難，主要是密鑰管理困難。這類算法的代表是DES、RC2、 RC4、 RC5、3DES等。

　　非對稱加密算法也稱公開密鑰加密算法，其特點(diǎn)是有兩個密鑰（即公用密鑰和私有密鑰），只有二者搭配使用才能完成加密和解密的全過程。由于非對稱算法擁有兩個密鑰，它特別適用于分布式系統(tǒng)中的數(shù)據(jù)加密，因此在Internet中得到廣泛應(yīng)用。其中公用密鑰在網(wǎng)上公布，為對數(shù)據(jù)加密使用，而用于解密的相應(yīng)私有密鑰則由數(shù)據(jù)的接收方妥善保管。典型算法有: RSA、DSA、ECC等。

　　在實(shí)際應(yīng)用中，通常將對稱加密和非對稱加密結(jié)合起來：即首先由對稱密鑰對輸入的數(shù)據(jù)進(jìn)行加密，然后用公鑰對對稱密鑰進(jìn)行加密。因為它不僅保證了加密的高效性（對稱密鑰的快速加密），還保證了加密的高強(qiáng)度性（公鑰的強(qiáng)加密）。

　　防病毒：病毒是一種進(jìn)行自我復(fù)制、廣泛傳播、對計算機(jī)及其數(shù)據(jù)進(jìn)行嚴(yán)重破壞的程序。由于病毒具有隱蔽性與隨機(jī)性的特點(diǎn)，使用戶防不勝防。特別是隨著信息網(wǎng)絡(luò)規(guī)模不斷擴(kuò)大和高帶寬Internet的多點(diǎn)接入，病毒已成為最大的安全威脅。

　　防范病毒必須建立多層的網(wǎng)絡(luò)級病毒防治系統(tǒng): 第一層是網(wǎng)關(guān)(代理服務(wù)器)防毒，第二層是服務(wù)器防毒，第三層是客戶端計算機(jī)防毒，這樣能有效地防治病毒，并建立完善的病毒管理體系，負(fù)責(zé)防病毒軟件的自動分發(fā)、自動升級、集中配置和管理、統(tǒng)一事件和告警處理、保證整個企業(yè)范圍內(nèi)病毒防護(hù)體系的一致性和完整性。

　　內(nèi)容過濾：內(nèi)容過濾就是采取適當(dāng)?shù)募夹g(shù)措施，對Internet上的不良信息進(jìn)行過濾，既阻止不良信息對人們的侵害，又可以通過規(guī)范用戶的上網(wǎng)行為，提高工作效率，合理利用網(wǎng)絡(luò)資源�！�

　　內(nèi)容過濾技術(shù)還很不成熟，通常內(nèi)容過濾技術(shù)包括關(guān)鍵詞過濾技術(shù)、圖像過濾技術(shù)、模板過濾技術(shù)和智能過濾技術(shù)等。目前，很多防火墻集成了內(nèi)容過濾技術(shù)，能對URL網(wǎng)址和網(wǎng)頁文字等固定內(nèi)容進(jìn)行過濾。

　　審計和跟蹤

　　審計和跟蹤這種機(jī)制一般情況下并不干涉和直接影響主業(yè)務(wù)流程，而是通過對主業(yè)務(wù)進(jìn)行記錄、檢查、監(jiān)控等來完成以審計、完整性等要求為主的安全功能。審計和跟蹤所包括的典型技術(shù)有：入侵檢測系統(tǒng)(IDS)、漏洞掃描系統(tǒng)、安全審計系統(tǒng)等。

　　IDS 入侵檢測是一種主動保護(hù)網(wǎng)絡(luò)和系統(tǒng)安全的技術(shù)，它從計算機(jī)系統(tǒng)或網(wǎng)絡(luò)中采集、分析數(shù)據(jù)，查看網(wǎng)絡(luò)或主機(jī)系統(tǒng)中是否有違反安全策略的行為和遭到攻擊的跡象，并采取適當(dāng)?shù)捻憫?yīng)措施來阻擋攻擊，降低可能的損失。它能提供對內(nèi)部攻擊、外部攻擊和誤操作的保護(hù)。

　　入侵檢測系統(tǒng)可分為基于網(wǎng)絡(luò)（NIDS)和基于主機(jī)（HIDS)兩種。通過在特定網(wǎng)段、關(guān)鍵服務(wù)器上安裝IDS，可實(shí)時檢測出大多數(shù)攻擊，并采取相應(yīng)的行動（如斷開網(wǎng)絡(luò)連接、記錄攻擊過程、跟蹤攻擊源等）。

　　漏洞掃描系統(tǒng) 漏洞掃描是自動檢測網(wǎng)絡(luò)或主機(jī)安全漏洞的技術(shù)，通過執(zhí)行一些腳本文件對系統(tǒng)進(jìn)行攻擊并記錄它的反應(yīng)，從而發(fā)現(xiàn)其中的漏洞并采取補(bǔ)救措施。

　　不管攻擊者是從外部還是從內(nèi)部攻擊某一網(wǎng)絡(luò)系統(tǒng)，攻擊機(jī)會來自已經(jīng)知道的漏洞。對于系統(tǒng)管理員來說，漏洞掃描系統(tǒng)是最好的助手，它能夠主動發(fā)現(xiàn)系統(tǒng)的漏洞，在主機(jī)系統(tǒng)安全保衛(wèi)戰(zhàn)中做到“有的放矢”，及時修補(bǔ)漏洞。

　　漏洞掃描系統(tǒng)分為網(wǎng)絡(luò)掃描系統(tǒng)、主機(jī)掃描系統(tǒng)和數(shù)據(jù)庫掃描系統(tǒng)三種。網(wǎng)絡(luò)掃描系統(tǒng)主要依靠安全漏洞庫對服務(wù)器、路由器、防火墻、操作系統(tǒng)和網(wǎng)絡(luò)應(yīng)用進(jìn)程等進(jìn)行基于網(wǎng)絡(luò)層面的安全掃描；主機(jī)掃描系統(tǒng)主要是針對操作系統(tǒng)內(nèi)部問題進(jìn)行更深入的掃描，如Unix、NT、Linux，它可彌補(bǔ)網(wǎng)絡(luò)掃描系統(tǒng)只通過網(wǎng)絡(luò)檢查系統(tǒng)安全的不足；數(shù)據(jù)庫掃描系統(tǒng)是一種專門針對數(shù)據(jù)庫進(jìn)行安全漏洞檢查的掃描器，其主要功能是找出不良的密碼設(shè)定、過期密碼設(shè)定、偵測登錄攻擊行為、關(guān)閉久未使用的賬號等。

　　安全審計：安全審計是對網(wǎng)絡(luò)或主機(jī)的活動軌跡進(jìn)行記錄形成日志，并對日志進(jìn)行審計，從而發(fā)現(xiàn)可疑行為。

　　響應(yīng)和恢復(fù)：從過程上看，響應(yīng)和恢復(fù)是對異常、故障、事故、入侵等事件發(fā)生后做出的反應(yīng)，但從根本的實(shí)現(xiàn)上看，事前的準(zhǔn)備才是該技術(shù)的關(guān)鍵。這方面的技術(shù)主要有數(shù)據(jù)備份和恢復(fù)、容災(zāi)。

　　備份和恢復(fù)：備份系統(tǒng)通常由備份管理系統(tǒng)和備份設(shè)備構(gòu)成，備份設(shè)備主要有：磁帶庫、磁盤陣列、光盤、SAN等。備份系統(tǒng)的目的是盡可能快地全盤恢復(fù)計算機(jī)系統(tǒng)所需的數(shù)據(jù)和系統(tǒng)信息。備份不僅在網(wǎng)絡(luò)系統(tǒng)硬件故障或人為失誤時起到保護(hù)作用，也在入侵者非授權(quán)訪問或?qū)�網(wǎng)絡(luò)攻擊及破壞數(shù)據(jù)完整性時起到保護(hù)作用。一般的數(shù)據(jù)備份策略有三種：全備份、增量備份和差分備份。全備份備份系統(tǒng)中所有的數(shù)據(jù)；增量備份只備份上次備份以后有變化的數(shù)據(jù)；而差分備份則備份上次完全備份以后有變化的數(shù)據(jù)。全備份所需時間最長，但恢復(fù)時間最短，操作最方便，當(dāng)系統(tǒng)中數(shù)據(jù)量不大時，采用全備份最可靠。隨著數(shù)據(jù)量的不斷增大，將無法每天做全備份，但可以在周末進(jìn)行全備份，其他時間可采用用時更少的增量備份或采用介于兩者之間的差分備份。

　　恢復(fù)措施在整個備份機(jī)制中占有相當(dāng)重要的地位�；謴�(fù)操作通�？梢苑譃閮深悾旱谝活愂侨�盤恢復(fù)，第二類是個別文件恢復(fù)。為了防備數(shù)據(jù)丟失，需要做好詳細(xì)的恢復(fù)計劃，同時還要定期進(jìn)行恢復(fù)演練。

　　容災(zāi)：容災(zāi)系統(tǒng)可以分為數(shù)據(jù)容災(zāi)和應(yīng)用容災(zāi)兩種。主要取決于對故障停機(jī)時間的設(shè)計要求。如果要求系統(tǒng)恢復(fù)時間很短，就要采用應(yīng)用級的容災(zāi)，同時也要做好網(wǎng)絡(luò)鏈路的冗余和應(yīng)用的異地接管。如果能夠容忍較長一點(diǎn)的系統(tǒng)恢復(fù)時間，還可以采用數(shù)據(jù)級的容災(zāi)。

　　從對數(shù)據(jù)一致性的要求上來說，容災(zāi)實(shí)現(xiàn)數(shù)據(jù)傳輸?shù)姆绞娇梢苑譃橥�步和異步兩種，同步數(shù)據(jù)復(fù)制將嚴(yán)格保持生產(chǎn)系統(tǒng)和備份系統(tǒng)之間數(shù)據(jù)的同步，災(zāi)難發(fā)生后幾乎沒有數(shù)據(jù)的丟失，但對容災(zāi)距離和系統(tǒng)性能會有一定的影響；異步數(shù)據(jù)復(fù)制將保持生產(chǎn)系統(tǒng)和備份系統(tǒng)之間的數(shù)據(jù)在一定時間點(diǎn)的一致性，災(zāi)難發(fā)生后數(shù)據(jù)有部分的丟失，但對容災(zāi)距離和系統(tǒng)性能的影響相對同步要小。

　　容災(zāi)可以采用磁帶庫或者遠(yuǎn)程拷貝等。磁帶庫依靠備份系統(tǒng)，在每次系統(tǒng)做完一次全備份后，手工將磁帶取出，保存到一個相對安全的地方，地理位置至少不應(yīng)該在同一個大樓內(nèi)；遠(yuǎn)程拷貝可以依靠SAN架構(gòu)，在存儲服務(wù)器時間內(nèi)進(jìn)行同步拷貝。

核心關(guān)注：拓步ERP系統(tǒng)平臺是覆蓋了眾多的業(yè)務(wù)領(lǐng)域、行業(yè)應(yīng)用，蘊(yùn)涵了豐富的ERP管理思想，集成了ERP軟件業(yè)務(wù)管理理念，功能涉及供應(yīng)鏈、成本、制造、CRM、HR等眾多業(yè)務(wù)領(lǐng)域的管理，全面涵蓋了企業(yè)關(guān)注ERP管理系統(tǒng)的核心領(lǐng)域，是眾多中小企業(yè)信息化建設(shè)首選的ERP管理軟件信賴品牌。

轉(zhuǎn)載請注明出處：拓步ERP資訊網(wǎng)http://www.ezxoed.cn/

本文標(biāo)題：信息系統(tǒng)安全防護(hù)技術(shù)全掃描

本文網(wǎng)址：http://www.ezxoed.cn/html/consultation/10839511586.html