某市電子政務網絡安全系統概述(編輯修改稿)

　

【文章內容簡介】 術體系的三維圖示從圖中我們可以看到定量的數據表達不存在于三維體系中，在 X 維中，安全服務是安全機制的上層建筑，且安全機制是借以安全服務來體現其作用的，安全機制并沒有和協議層、系統單元有著直接的聯系。在 X 維中，除了安全體系中鑒別、訪問控制、審計、加密、鑒別交換等八種機制外，還有電磁輻射等物理安全機制，不但有利于數據的非泄露性、能用性等功能發揮意義，而且也將安全機制滲入到物理環境的安全問題當中；在 Y 維中，主要有應用層、傳輸層、網絡層、鏈路層、物理層五層模型，它們基于協議的各種管理方面的高端技術，獨立成為一種概念；在 Z 維中，系統構成單元有物理環境、系統平臺、通信平臺、網絡平臺、應用平臺。信息系統安全的組織保障系統就是組織機構（管理層、決策層和執行層）體系（崗位、機構和人事三個模塊） 。決策層是領導機構，主要決定重大的安全事宜。首要的負責人為單位主管，下設6 / 60信息系統的重要負責人和各部門（國家安全、國家機密、公共安全及公共保密）負責人。單位的骨干領導、計算機實力專家和網絡尖端管理人員則撐起了政府部門的門面。管理層是管理機構，管理日常事務。按照決策層的規劃協調各部門人力物力資源實施安全方案，制定安全決策，為有可能的安全事故設防，增加部分安全工作崗位。執行層是一個群體，具體針對某一個或幾個特定的安全事務問題。它在管理層的協調下分布范圍比較廣泛，比如，各個崗位上、不同的操作層。崗位不屬于機構體系，它只是一種職位，是一種序列，在管理機構的設定下，由人事機構全權管理。崗位分為若干層次，往上有直屬領導，一個人不能一次性從事具體的安全系統管理和業務事項，但卻可以著手不同個安全崗位，這是由系統安全需求在安全管理機關運行下設定的負責某一個、幾個安全事務的特點決定的。崗位在職人員、待職人員、離職人員的素質教育、業務總評、安全監督等需要人事機構。人事機構本身就是管理機構的下設部門，它的活動范圍只能在國家相關法律法規、政策措施之內。管理素來被稱為信息系統安全的靈魂，法律、制度和培訓管理是其組成部分。法律管理具有規范和約束作用，它必須遵守國家的相關法律，切實處理好信息系統主體與客體之間的關系。法律管理的強有力的約束能力和層次分明的管理對信息系統主體的行為活動起著很大的作用，同時它還占據著信息系統安全的絕對行為規則。制度管理由一系列非外部的制度規章組成，它制定規章制度必須以信息系統內部的非隱患需要為依據，它一般將法律法規和實施對象連接起來，確保工作的具體到位，在一定形式上形式化了法律的管理。制度管理涉及的主要方面有：安全管理機構和執行機構在崗位的設定及具體操作、員工素質的培養、內外關系的協調等方面以特定的行為規范。培訓管理培訓了一大批投身于安全業務、安全管理方面的人才，也栽培了絕大多數從事信息系統工作的人員，這就為信息系統的安全提供了前提條件。它具體有律法法規、崗位實踐、業務水平、業務素質、技術技能等培訓，當然培訓管理也較重視常見安全和在職崗位特殊安全意識的有機結合。 網絡安全技術 網絡安全龐雜無比，自然少不了一些常見的安全技術，才能推動此項浩大工程的進程。7 / 60“防火墻” [4] 是一整套的裝置，既可以控制不同網絡之間的訪問人數，又可以監管應用層流動的網絡量。換種說法，防火墻在高度保護內、外部網安全的前提下，使所有的信息無巨細地強制性地流經過內、外部網，并對所有進進出出防火墻的數據資源進行檢測、限制、修改，從而保證了內部網絡系統的安全，非法侵入者只會無功而返。在這里，我們需要說明的是，內部網也被稱為可信網絡，外部網也被稱作不可信網絡，比如因特網。 防火墻的設置原則是：（1）禁止即未被允許；（2）允許即未被禁止。兩條原則各有其利弊，優勢為：第一條原則認真選擇服務內容，保證了絕對的安全；第二條原則靈活多變，先將全部信息流通過防火墻，再逐條檢測屏蔽一切有害的服務項，為廣大用戶提供了安全的使用環境。劣勢為：第一條原則應用效率不高，主要受制于一味追求高安全，刻板呆滯，大大損傷了網絡用戶的方便；第二條原則雖然發揮防火墻的巨大作用屏蔽了很多有害的服務，但是網絡是不斷發展的，隨著地域范圍的擴大和網絡服務的多樣化，網絡工作者將會殫精竭慮，可靠安全的網絡防護難免會出差錯。當今防火墻以代理的服務器、包過濾、網關的服務器為核心技術，以網絡的拓撲結構、配置技術和位置技術的有度使用為輔助技術。1) 數據包過濾的有關技術網絡防火墻技術的最基本的構件除了技術、還包括包過濾（在網絡的 OSI 模型網絡層將數據包有選擇性地篩選）原理，篩選判據通常為系統內部設計的接入控制表，有時也叫做過濾邏輯。在嚴格遵守 TCP 或者是 IP 協議技術的網絡中，數據是通過數據包的形式進行傳送的，這樣數據包的本源的地址、目標的地址、UDP 源端口、TCP 源目標端口及它們的不同組合等就會在數據流中 IP 包中檢查出來，并判斷應不應該讓數據包順利通過。一般來說，數據包除了符合過濾規則之外，其它不合理的統統從數據流中被清除殆盡，那些符合規則的就被轉發到對應的目的地輸出端口。包過濾的該種防火墻技術一般而言被裝在網絡路由器上，差不多所有的商業運用的路由器又有相應的包過濾的功能。包過濾技術有它的優點，也有它的缺點。優點是：成本較低，實用不繁瑣，能以最小的投入獲取最大的效益，確保了一定程度上系統的安全。缺點主要有三點：第一： 數據包的網絡保護功能受制于包過濾的工具的完美與否，數據包的過濾規則需要非常完美的工具才能得以實現，可是實際上包過濾的工具很不完美。第二：包過濾技術是網絡應用層的安全性技術，它只能在該范圍內發揮作用，一旦涉及到通過網絡高協議層的信息的保護和理解等問題時，他將難以勝任安全防護的任務。第三：由于數據包過濾邏輯是非動態指定的，因此動態分配、隨機分配等端口的服8 / 60務（遠程過程控制、基于遠程控制的協議網絡文件系統）將難以實現非常有效的過濾，它只能實現靜態狀態下系統的操作和工作量的維護等目標。包過濾技術不斷進行自身技術的提高，狀態監測型防火墻就是很好的體現。這種防火墻是一種軟件引擎，在鏈路層和網絡層之間實現安全的相互對接，執行相關的安全策略，被叫做檢測模塊。狀態監測型防火墻分析各層的網絡通信、提取一些通信信息和相關狀態信息、存貯或者革新狀態信息及上下文信息，為的就是能夠讓累積數據滿足于下一個的通信檢查。狀態監測型防火墻能夠大額度的提供非靜態分配端口協議層應用的高度支持，這樣就無形中減少了相應端口的開放時間的長度，還有一點值得注意，該防火墻沒有鑒別用戶的機制，它不反對外部客戶和內部主機之間的非間接性連接狀態。2）網關服務器的相關情況 網關服務器也是一種防火墻，適用于特定的因特網服務（HTTP/FTP） ，它的物理位置位于 OSI 相關的七層協議的應用層，在該層上，它由所要求的應用過濾一些訪問問題。網關服務器以中心點為據點，分類、登陸、分析、仲裁全部的請求，并杜絕存在非危險威脅的程序通過防火墻，但它也有自身的缺陷問題，即鼓勵內部的主機和外部的客戶之間的非間接連接。3）代理服務器的有關介紹代理服務器由服務器端、客戶端程序組成，它是一種專門的服務器程序，運行在防火墻的主機上，它采用的技術主要是應用協議的代理服務。為了防止網絡數據在內外網絡之間直接流動，代理服務器與因特網之間的網絡通訊協議是通過標準的 IP 實現的，而與內部網絡之間則沒有太嚴格的 IP 等協議通訊。代理服務器方式下，內外網絡是不能直接通訊的。代理服務器的優點是通過用戶對因特網服務的請求來體現的。首先，它得把相關的請求轉化為實際的服務內容，并保證安全有效，這樣，內部的網絡計算機可以限制對外部計算機的訪問情況，屏蔽被保護的網絡的內部結構，加強網絡的安全性能，同樣，數據流的有效監制、詳細記錄、完整過濾、合理審計等也適用于代理服務器。 代理技術的缺點有三點：第一：一對一的客戶請求與內網用戶創建，勢必造成內網用戶過于密集，導致效率的相當低下。第二：代理的不透明性，妨礙了用戶訪問因特網的知情權，相關客戶的軟件系統在內部計算的訪問中直接被屏蔽。第三：代理技術缺乏靈活度，它需要對每一種的協議都設定相應的代理服務器，增加了工作的不方便。代理服務器的工作原理圖示：9 / 60圖 22 工作原理圖示4）其它類型的一些防火墻技術防火墻技術類型眾多，其中，屏蔽主機的防火墻、雙宿主機的防火墻、屏蔽子網的防火墻等是通過復合包過濾技術、網關服務器技術、代理服務器技術的“綜合型防火墻” ，這些防火墻技術更加有利于網絡安全的保障和運行方式大的靈活多樣。 防火墻技術的缺點主要包括五點：（一）防火墻技術的內部網絡防護遠遠低于外部網絡防護。（二）對人為的攻擊手足無措，造成安全隱患。（三）不能識別內部人員的有誤操作、有意泄露等，而造成威脅和引發不必要的攻擊問題。（四）由于網絡的應用不斷在更新，因此傳統的防火墻技術很難跟得上，比如當下比較常用的視頻會議和電子政務，它們基于 Web 技術，訪問規則較為復雜。（五）防火墻不能發揮因特網的優勢，只通過了一部分規則性的外網服務，而忽視了大部分的正常的外網通信信息。 加密組織信息采用的是硬、軟件的方法，即通過加密鑰匙、函數把一個信息進行轉換，而接收方得到的密文通常是沒有什么意義的，但是他們還是用一些解密函及相關的解密鑰匙的途徑將密文最終變成了明文。以上種種做法防止了非法獲取者對信息內容的竊取現象，加密的具體流程如圖：圖 23 加密的模型圖示 最基本的安全技術通常是加密技術，除了提供與之相對應的機密服務，還在其他相關安全服務中也發揮著重要的作用。共享的、公開的密鑰加密是加密技術的主要形10 / 60式，在具體的技術操作中，密碼的算法想要使加密信息和解密信息成為可能，最佳的選擇便是密鑰，密碼的算法中，在保證加密信息安全的前提下，密鑰的長度成為決定加密強度的關鍵因素。如果密鑰太長，就會有太多的計算難題和隨之而來的開銷，這勢必會消弱系統的性能；反之，密鑰太短，不足以計算的需要，這樣較容易用光全部的密鑰，大大影響了加密的強度，所以說，一個加密系統的恰當的密鑰長度是保障其系統安全的重要環節。1）共享的密鑰加密技術 共享密鑰加密（對稱密鑰加密）是一種較為古老的密碼體制，它加密數據、解密數據都是采用相同的一個密鑰，IDEA、DES 是共享密鑰加密最常見的計算方法。共享密鑰加密技術的優缺點分別是加密、解密速度十分的快和密鑰的管理非常的困難。現具體將管理困難的情況舉例說明。一般情況下，通信雙方交換密鑰是加密技術的第一步，在 WEB 系統用戶擁擠時，我們舉出一例：網購中，賣方必須與大量的買方進行相關的物品交易，如若僅僅用簡簡單單的共享加密技術，賣方的工作量將會過于繁重，他必須處理數以千計的密鑰及眾多的通信對象，解決了龐大的存儲開銷，密鑰的管理又是一個相當棘手的問題；還有，買賣雙方交換密鑰無論是采用傳統的手段還是現代的因特網技術，都關系到信息傳送過程中的安全問題；再有，我們的現實生活中，密鑰的改換過于頻繁，甚至每次傳輸的密鑰技術都是變幻多端的，大大影響了共享密鑰技術的管理和共享密鑰技術的發布效益。現今國際上以共享密鑰加密系統的密鑰長度的 128 比特為標準，來實現加密系統有效保護信息的功能。然而，由于國際貿易的利益不均衡及相關的貿易壁壘，進出口存在著嚴重的不公平，其中，進口到我國的產品的密鑰長度僅僅在 56 比特以下，如，我們較為常用的瀏覽器和服務器等，根本無法達到安全的相關需要，這無疑制約了我國網絡技術的快速發展。2）公開的密鑰加密技術公開密鑰加密(不對稱密鑰加密)系統中，公開密鑰和秘密密鑰是用戶使用的兩個密鑰，信息的加密和解密都是利用發方的密鑰，加密是發方運用接收方的公開密鑰來實現的，而解密是接收方自己通過密鑰解密來實現的，且它的解密過程是難以逆轉的，只有靠秘密密鑰，解密中的方法主要有 RSA 等。我們必須要明確一點，信息的加密和解密適用于任何人。 公開密鑰技術的用戶在密鑰的發布方面和管理上具有高度的透明性，同時又很好地屏蔽了私有密鑰的有關情況，該技術同樣還可以用來進行身份的認證和數字的簽名。 公開密鑰技術的劣勢在于加密及解密速度的過于緩慢，它沒有足夠的能力將大量11 / 60的信息傳遞出去，造成系統性能的低下狀況。此外，PKI 技術的采用將確保非隱蔽性密鑰的高度的真實性。 目前國際上一致同意只有公鑰密碼系統長度達 1024 比特的密鑰才能完成保護信息的任務。它的局限性跟我們前面提到的共享密鑰系統一樣，也受進出口的限制，從國外進口來的密鑰長度遠遠小于 1024 比特，以 512 比特的長度怎么能發揮出瀏覽器和服務器等的優勢，以其滿足相關的一些安全需要呢？在我們生活的電子世界中，簽名已不再局限于手寫形式了，它可以在一定程度上用數字簽名替換手寫簽名。以前我們對自己的文章、畫作等的簽名通常采用手寫，來作為一種身份的認證，現在一個電子簽名同樣能起到發送方的絕對保真服務。圖示如下：圖 24 數字簽名的具體流程 相關的步驟是：報文雙方通過具體算法，約定成一個較為固定的報文摘寫數值，這樣，假若報文的某一方未經另一方的同意，私自改動位置，新的摘要數值就會不符合原先的摘值。這實際上也是防止報文亂改現象的一種可行之策。發送方傳遞報文的摘值時用的是私人的密鑰加密方式，接受者將一起收到密文和原報文，從而出現數字簽名。接收方在收到簽名后，認證報文是否來自發送者的方法是計算傳送過來的摘值，然后與發送者本人解密的報文摘值進行對比，相匹配的話就是發送者的報文。 數字簽名優于手寫簽名，表現在：數字簽名緊扣報文內容及擁有者的秘密密鑰，具有不可復制性和難以篡改性。 12 / 6