安全性是聯(lián)網(wǎng)技術(shù)中最關(guān)鍵的問題之一。許多網(wǎng)絡(luò)已經(jīng)發(fā)生了災(zāi)難性事故或是安全方面出現(xiàn)了漏洞。目前,隨著IIIternet的飛速發(fā)展,網(wǎng)絡(luò)安全性問題已變得越來越重要了。信息是社會發(fā)展的重要戰(zhàn)略資源,國際上圍繞信息的獲取、使用和控制展開了全面的競爭。
從廣義上講,網(wǎng)絡(luò)安全性指確保網(wǎng)絡(luò)上的信息和服務(wù)不被未經(jīng)授權(quán)的用戶使用。為提供信息的安全性,對物理和抽象的資源都要加以保護,防止竊聽。物理資源包括無源的存儲設(shè)備,如磁帶、磁盤;有源設(shè)備,如計算機;以及構(gòu)成網(wǎng)絡(luò)基礎(chǔ)結(jié)構(gòu)的電纜、光纜和網(wǎng)絡(luò)設(shè)備。雖然物理安全性很少被提到,但它在全面的安全規(guī)劃中的確經(jīng)常起著重要的作用。
信息安全產(chǎn)品和信息系統(tǒng)固有的敏感性及特殊性,直接影響著國家的安全利益和經(jīng)濟利益。因此,各國政府紛紛采取頒布標(biāo)準、實行測評和認證制度等方式,對信息技術(shù)和安全產(chǎn)品的研制、生產(chǎn)、銷售、使用及進出口實行嚴格、有效的管理與控制,并建立了與自身的信息化發(fā)展相適應(yīng)的測評認證體系。
國外從20世紀70年代起就開展了建立安全保密標(biāo)準的制定工作,美國于1985年批準了"可信計算機系統(tǒng)安全評價準則(TCSEC)",為計算機安全產(chǎn)品的評測提供了測試準則和方法,指導(dǎo)信息安全產(chǎn)品的制造和應(yīng)用,并建立了關(guān)于網(wǎng)絡(luò)系統(tǒng)、數(shù)據(jù)庫等的安全解釋。由于Internet技術(shù)的廣泛應(yīng)用,信息系統(tǒng)安全問題日益嚴重并出現(xiàn)了新的問題,1992年12月,美國頒布了新的聯(lián)邦評測準則(FC)來替代80年代頒布的TCSEC準則。FC中引入了"保護輪廓(PP)"這一重要概念,其分級方式與TCSEC不同,每個輪廓都包括功能部分、開發(fā)保證部分和評測部分。
在歐洲,以英國、荷蘭和法國為主,聯(lián)合研制歐洲共同的安全評測標(biāo)準,并于1991年頒布了包括數(shù)據(jù)保密性、完整性、可用性概念的"信息技術(shù)安全評價準則(ITSEC)"。1993年,加拿大頒布了"加拿大可信計算機產(chǎn)品評測標(biāo)準(CTCPEC)"。近年來,隨著世界市場上對信息安全產(chǎn)品的需求迅速增長以及對系統(tǒng)安全的挑戰(zhàn)不斷加劇,美國、加拿大和歐洲一些國家聯(lián)合起來,在美國的TCSEC、歐洲的ITSEC、加拿大的CTCPEC、美國的FC等信息安全準則的基礎(chǔ)上,提出了"信息技術(shù)安全評價通用準則CC,CC主要面向信息系統(tǒng)的用戶、開發(fā)者和評估者,通過建立這樣一個標(biāo)準,使用戶可以用它確定對各種信息產(chǎn)品的信息安全要求,使開發(fā)者可以用它來描述其產(chǎn)品的安全特性,使評估者可以對產(chǎn)品安全性的可信度進行評估。CC的目的是形成一個關(guān)于信息安全的單一國際標(biāo)準,從而使信息安全產(chǎn)品的開發(fā)者和信息安全產(chǎn)品能在全世界范圍內(nèi)發(fā)展?？傊?CC是安全準則的集合,也是構(gòu)建安全要求的工具,對于信息系統(tǒng)的用戶、開發(fā)者和評估者都有重要的意義。1999年5月,國際標(biāo)準化組織(ISO)和國際電聯(lián)(IEC)通過了將CC作為國際標(biāo)準ISO/IEC15408信息技術(shù)安全評估準則的最后文本。
從TCSEC,ITSEC和ISO/IEC15408信息技術(shù)安全評估準則中可以看出,評估準則不僅評估產(chǎn)品本身,還評估開發(fā)過程和使用操作,強調(diào)安全的全過程性。ISO/IEC15408的出臺,表明了安全技術(shù)的發(fā)展趨勢。
1999年2月,我國正式成立了"中國國家信息安全測評認證中心(CNISTEC)"。同時,國家質(zhì)量技術(shù)監(jiān)督局成立了"國家信息安全測評認證管理委員會",并批準了"國家信息安全測評認證管理辦法"、"國家信息安全測評認證標(biāo)志"和"第一批實施測評認證的信息安全產(chǎn)品目錄.由于信息的特殊性,保護像信息這樣的資源,一般來說,比提供物理安全性更加困難,數(shù)據(jù)完整性(即保護信息不被未授權(quán)地改變)是關(guān)鍵;數(shù)據(jù)可用性(即保證非法者不能阻止對數(shù)據(jù)的合法訪問)也是個關(guān)鍵;又由于信息在穿越網(wǎng)絡(luò)時可以被復(fù)制,所以必須防止數(shù)據(jù)未經(jīng)授權(quán)被監(jiān)聽,也就是網(wǎng)絡(luò)安全性必須保護隱私,即確保數(shù)據(jù)的保密性。一般說來,網(wǎng)絡(luò)環(huán)境下的信息安全問題包括:密碼體系、安全體系、信息偽裝、信息對抗等很多方面。
網(wǎng)絡(luò)安全提供的服務(wù):實體認證、訪問控制、數(shù)據(jù)保密、信息流安全、數(shù)據(jù)完整性、數(shù)據(jù)源點認證、防止否認等。網(wǎng)絡(luò)安全方面的主要策略:安全計劃、站點安全、安全責(zé)任、應(yīng)急計劃、事件報告、監(jiān)視計劃、安全策略宣傳。
網(wǎng)絡(luò)安全技術(shù)主要有四個方面:一是主動防御技術(shù),主要包括密碼機制、身份認證、存取控制、授權(quán)、VPN(虛擬專用網(wǎng));二是被動防御技術(shù):防火墻、安全掃描、防病毒、密碼檢查、計賬、路由過濾、物理及管理安全等;三是加密技術(shù):四是身份認證和數(shù)字簽名。網(wǎng)絡(luò)安全方面的主要產(chǎn)品:防火墻、入侵檢測系統(tǒng)、認證系統(tǒng)、加密解密系統(tǒng)、防病毒工具、漏洞掃描系統(tǒng)、審計系統(tǒng)、訪問控制系統(tǒng)等。
從廣義上講,網(wǎng)絡(luò)安全性指確保網(wǎng)絡(luò)上的信息和服務(wù)不被未經(jīng)授權(quán)的用戶使用。為提供信息的安全性,對物理和抽象的資源都要加以保護,防止竊聽。物理資源包括無源的存儲設(shè)備,如磁帶、磁盤;有源設(shè)備,如計算機;以及構(gòu)成網(wǎng)絡(luò)基礎(chǔ)結(jié)構(gòu)的電纜、光纜和網(wǎng)絡(luò)設(shè)備。雖然物理安全性很少被提到,但它在全面的安全規(guī)劃中的確經(jīng)常起著重要的作用。
信息安全產(chǎn)品和信息系統(tǒng)固有的敏感性及特殊性,直接影響著國家的安全利益和經(jīng)濟利益。因此,各國政府紛紛采取頒布標(biāo)準、實行測評和認證制度等方式,對信息技術(shù)和安全產(chǎn)品的研制、生產(chǎn)、銷售、使用及進出口實行嚴格、有效的管理與控制,并建立了與自身的信息化發(fā)展相適應(yīng)的測評認證體系。
國外從20世紀70年代起就開展了建立安全保密標(biāo)準的制定工作,美國于1985年批準了"可信計算機系統(tǒng)安全評價準則(TCSEC)",為計算機安全產(chǎn)品的評測提供了測試準則和方法,指導(dǎo)信息安全產(chǎn)品的制造和應(yīng)用,并建立了關(guān)于網(wǎng)絡(luò)系統(tǒng)、數(shù)據(jù)庫等的安全解釋。由于Internet技術(shù)的廣泛應(yīng)用,信息系統(tǒng)安全問題日益嚴重并出現(xiàn)了新的問題,1992年12月,美國頒布了新的聯(lián)邦評測準則(FC)來替代80年代頒布的TCSEC準則。FC中引入了"保護輪廓(PP)"這一重要概念,其分級方式與TCSEC不同,每個輪廓都包括功能部分、開發(fā)保證部分和評測部分。
在歐洲,以英國、荷蘭和法國為主,聯(lián)合研制歐洲共同的安全評測標(biāo)準,并于1991年頒布了包括數(shù)據(jù)保密性、完整性、可用性概念的"信息技術(shù)安全評價準則(ITSEC)"。1993年,加拿大頒布了"加拿大可信計算機產(chǎn)品評測標(biāo)準(CTCPEC)"。近年來,隨著世界市場上對信息安全產(chǎn)品的需求迅速增長以及對系統(tǒng)安全的挑戰(zhàn)不斷加劇,美國、加拿大和歐洲一些國家聯(lián)合起來,在美國的TCSEC、歐洲的ITSEC、加拿大的CTCPEC、美國的FC等信息安全準則的基礎(chǔ)上,提出了"信息技術(shù)安全評價通用準則CC,CC主要面向信息系統(tǒng)的用戶、開發(fā)者和評估者,通過建立這樣一個標(biāo)準,使用戶可以用它確定對各種信息產(chǎn)品的信息安全要求,使開發(fā)者可以用它來描述其產(chǎn)品的安全特性,使評估者可以對產(chǎn)品安全性的可信度進行評估。CC的目的是形成一個關(guān)于信息安全的單一國際標(biāo)準,從而使信息安全產(chǎn)品的開發(fā)者和信息安全產(chǎn)品能在全世界范圍內(nèi)發(fā)展?？傊?CC是安全準則的集合,也是構(gòu)建安全要求的工具,對于信息系統(tǒng)的用戶、開發(fā)者和評估者都有重要的意義。1999年5月,國際標(biāo)準化組織(ISO)和國際電聯(lián)(IEC)通過了將CC作為國際標(biāo)準ISO/IEC15408信息技術(shù)安全評估準則的最后文本。
從TCSEC,ITSEC和ISO/IEC15408信息技術(shù)安全評估準則中可以看出,評估準則不僅評估產(chǎn)品本身,還評估開發(fā)過程和使用操作,強調(diào)安全的全過程性。ISO/IEC15408的出臺,表明了安全技術(shù)的發(fā)展趨勢。
1999年2月,我國正式成立了"中國國家信息安全測評認證中心(CNISTEC)"。同時,國家質(zhì)量技術(shù)監(jiān)督局成立了"國家信息安全測評認證管理委員會",并批準了"國家信息安全測評認證管理辦法"、"國家信息安全測評認證標(biāo)志"和"第一批實施測評認證的信息安全產(chǎn)品目錄.由于信息的特殊性,保護像信息這樣的資源,一般來說,比提供物理安全性更加困難,數(shù)據(jù)完整性(即保護信息不被未授權(quán)地改變)是關(guān)鍵;數(shù)據(jù)可用性(即保證非法者不能阻止對數(shù)據(jù)的合法訪問)也是個關(guān)鍵;又由于信息在穿越網(wǎng)絡(luò)時可以被復(fù)制,所以必須防止數(shù)據(jù)未經(jīng)授權(quán)被監(jiān)聽,也就是網(wǎng)絡(luò)安全性必須保護隱私,即確保數(shù)據(jù)的保密性。一般說來,網(wǎng)絡(luò)環(huán)境下的信息安全問題包括:密碼體系、安全體系、信息偽裝、信息對抗等很多方面。
網(wǎng)絡(luò)安全提供的服務(wù):實體認證、訪問控制、數(shù)據(jù)保密、信息流安全、數(shù)據(jù)完整性、數(shù)據(jù)源點認證、防止否認等。網(wǎng)絡(luò)安全方面的主要策略:安全計劃、站點安全、安全責(zé)任、應(yīng)急計劃、事件報告、監(jiān)視計劃、安全策略宣傳。
網(wǎng)絡(luò)安全技術(shù)主要有四個方面:一是主動防御技術(shù),主要包括密碼機制、身份認證、存取控制、授權(quán)、VPN(虛擬專用網(wǎng));二是被動防御技術(shù):防火墻、安全掃描、防病毒、密碼檢查、計賬、路由過濾、物理及管理安全等;三是加密技術(shù):四是身份認證和數(shù)字簽名。網(wǎng)絡(luò)安全方面的主要產(chǎn)品:防火墻、入侵檢測系統(tǒng)、認證系統(tǒng)、加密解密系統(tǒng)、防病毒工具、漏洞掃描系統(tǒng)、審計系統(tǒng)、訪問控制系統(tǒng)等。