为您推荐:
精华内容
最热下载
问答
  • 5星
    27.51MB qq_17695025 2021-02-21 23:19:03
  • 5星
    131.59MB weixin_43800734 2021-05-27 14:30:22
  • 对C++来说进行了简化和一定的提高,如:使用接口代替了复杂的多重继承以及取消了指针,还通过实现垃圾自动回收机制,大大简化了程序员的资源释放管理工作。 提供了丰富的类库和API文档,以及第三方开发包工具包,...

    Java图标

    Java语言是简单的

    1. Java语言的语法与C语言和C++语言很接近,从某种意义上讲,它是由C和C++演变而来,使得大多数程序员很容易学习和使用。
    2. 对C++来说进行了简化和一定的提高,如:使用接口代替了复杂的多重继承以及取消了指针,还通过实现垃圾自动回收机制,大大简化了程序员的资源释放管理工作。
    3. 提供了丰富的类库和API文档,以及第三方开发包工具包,还有大量的基于Java的开源项目,帮助程序设计人员参考学习,JDK就是开放的源代码之一,读者可以通过分析项目的源代码,来提高自己的编程水平。

    Java语言是面向对象的

    面向对象就是Java语言的基础,也是Java语言的重要特性。面向对象是指以对象为基本单元,包含属性和方法。对象的状态用属性表达,对象的行为用方法表达。

    面向对象技术使得应用程序的开发变得简单易用,节省代码。总之,Java语言是一个纯面向对象的程序设计语言。

    Java语言是分布式的

    1. 分布性主要包括两大方面,分别是操作分布和数据分布,其中操作分布指的是在多个不同的主机上布置相关操作,数据分布是将数据分别存放在多个网络中不同的主机上,借助的是URL(统一资源定位符)访问网络对象,访问方式和访问本地系统相似。
    2. Java语言具有一个强大的,易于使用的网络能力,这是非常适合于分布式计算程序的。
    3. Java语言支持Internet应用的开发,在基本的Java应用编程接口中有一个网络应用编程接口(java.net),它提供了用于网络应用编程的类库,包括URL、URLConnection、Socket、ServerSocket等。Java的RMI(远程方法激活)机制也是开发分布式应用的重要手段。

    Java语言是多线程的

    多线程机制使应用程序在同一时间并行执行多项任务,Java语言提供多线程之间的同步机制,这些相应的同步机制可以很好的保证不同线程,能够正确的共享数据。多线程机制使程序具有更好的交互性和实时性。

    Java语言是高性能的

    1. Java是一种先编译后解释的语言,所以它不如全编译性语言快。但是有些情况下性能是很要紧的,为了支持这些情况,Java设计者制作了“及时”编译程序,它能在运行时把Java字节码翻译成特定CPU(中央处理器)的机器代码,也就是实现全编译了。Java字节码格式设计时考虑到这些“及时”编译程序的需要,所以生成机器代码的过程相当简单,它能产生相当好的代码。
    2. 与那些解释型的高级脚本语言相比,Java的确是高性能的。事实上,Java的运行速度随着JIT(Just-In-Time)编译器技术的发展越来越接近于C++。

    Java语言是跨平台的

    1. 所谓的跨平台性,是指软件可以不受计算机硬件和操作系统的约束而在任意计算机环境下正常运行。这是软件发展的趋势和编程人员追求的目标。之所以这样说,是因为计算机硬件的种类繁多,操作系统也各不相同,不同的用户和公司有自己不同的计算机环境偏好,而软件为了能在这些不同的环境里正常运行,就需要独立于这些平台。
    2. 在Java语言中,Java自带的虚拟机很好地实现了跨平台性。Java源代码经过编译后生成二进制的字节码是与平台无关的,Java虚拟机在执行字节码时,把字节码解释成具体平台上的机器指令执行。这就是Java的能够Write once, run anywhere(一次编译,到处运行)的原因。Java虚拟机提供了一个字节码到底层硬件平台及操作系统的屏障,使得Java语言具备跨平台性。

    Java语言是可移植的

    可移植性来源于跨平台性性,另外,Java还严格规定了各个基本数据类型的长度。Java系统本身也具有很强的可移植性,Java编译器是用Java实现的,Java的运行环境是用ANSI C实现的。

    Java语言是安全的

    在Java语言中删除了类似于C语言中的指针和内容释放等语法,有效的避免了非法操作内存,代码要经过校验之后才能够运行,所以未经允许的Java程序不可能出现损害系统平台的行为,最大的好处就是,Java可以编写防病毒和可修复的系统,Java通常被用在网络环境中,为此,Java提供了一个安全机制以防恶意代码的攻击,从而可以提高系统的安全性。

    Java语言是健壮的

    Java语言的强类型机制、异常处理、垃圾的自动收集等是Java程序健壮性的重要保证。对指针的丢弃是Java的明智选择。Java的安全检查机制使得Java更具健壮性。

    Java语言是动态的

    1. Java语言的设计目标之一是适应于动态变化的环境。Java程序需要的类能够动态地被载入到运行环境,也可以通过网络来载入所需要的类,这也有利于软件的升级。
    2. Java中的类有一个运行时刻的表示,能进行运行时刻的类型检查。
    展开全文
    ThinkWon 2019-06-30 19:37:45
  • 22KB pengtaohanyu 2021-05-31 13:13:38
  • 25KB m0_52957036 2020-08-12 05:09:52
  • 网络安全等级保护测评工作过程包括四个基本测评活动:测评准备活动、方案编制活动、现场测评活动、报告编制活动。而测评相关方之间的沟通与洽谈应贯穿整个测评过程。每一项活动有一定的工作任务。如下表。 01基本...

    一、网络安全等级保护测评过程概述

    网络安全等级保护测评工作过程包括四个基本测评活动:测评准备活动、方案编制活动、现场测评活动、报告编制活动。而测评相关方之间的沟通与洽谈应贯穿整个测评过程。每一项活动有一定的工作任务。如下表。

    01 基本工作流程

    ① 测评准备活动

    本活动是开展等级测评工作的前提和基础,是整个等级测评过程有效性的保证。测评准备工作是否充分直接关系到后续工作能否顺利开展。本活动的主要任务是掌握被测系统的详细情况,准备测试工具,为编制测评方案做好准备。

    ② 方案编制活动

    本活动是开展等级测评工作的关键活动,为现场测评提供最基本的文档和指导方案。本活动的主要任务是确定与被测信息系统相适应的测评对象、测评指标及测评内容等,并根据需要重用或开发测评指导书测评指导书,形成测评方案。

    ③ 现场测评活动

    本活动是开展等级测评工作的核心活动。本活动的主要任务是按照测评方案的总体要求,严格执行测评指导书测评指导书,分步实施所有测评项目,包括单元测评和整体测评两个方面,以了解系统的真实保护情况,获取足够证据,发现系统存在的安全问题。

    ④ 分析与报告编制活动

    本活动是给出等级测评工作结果的活动,是总结被测系统整体安全保护能力的综合评价活动。本活动的主要任务是根据现场测评结果和《信息安全技术 网络安全等级保护测评要求》GB/T28448-2019的有关要求,通过单项测评结果判定、单元测评结果判定、整体测评和风险分析等方法,找出整个系统的安全保护现状与相应等级的保护要求之间的差距,并分析这些差距导致被测系统面临的风险,从而给出等级测评结论,形成测评报告文本。

    02 工作方法

    网络安全等级保护测评主要工作方法包括访谈、文档审查、配置检查、工具测试和实地察看

    访谈是指测评人员与被测系统有关人员(个人/群体)进行交流、讨论等活动,获取相关证据,了解有关信息。访谈的对象是人员,访谈涉及的技术安全和管理安全测评的测评结果,要提供记录或录音。典型的访谈人员包括:网络安全主管、信息系统安全管理员、系统管理员、网络管理员、资产管理员等。

    文档审查主要是依据技术和管理标准,对被测评单位的安全方针文件,安全管理制度,安全管理的执行过程文档,系统设计方案,网络设备的技术资料,系统和产品的实际配置说明,系统的各种运行记录文档,机房建设相关资料,机房出入记录。检查信息系统建设必须具有的制度、策略、操作规程等文档是否齐备,制度执行情况记录是否完整,文档内容完整性和这些文件之间的内部一致性等问题。

    配置检查是指利用上机验证的方式检查网络安全、主机安全、应用安全、数据安全的配置是否正确,是否与文档、相关设备和部件保持一致,对文档审核的内容进行核实(包括日志审计等),并记录测评结果。配置检查是衡量一家测评机构实力的重要体现。检查对象包括数据库系统、操作系统、中间件、网络设备、网络安全设备。

    工具测试是利用各种测试工具,通过对目标系统的扫描、探测等操作,使其产生特定的响应等活动,通过查看、分析响应结果,获取证据以证明信息系统安全保护措施是否得以有效实施的一种方法。

    实地查看根据被测系统的实际情况,测评人员到系统运行现场通过实地的观察人员行为、技术设施和物理环境状况判断人员的安全意识、业务操作、管理程序和系统物理环境等方面的安全情况,测评其是否达到了相应等级的安全要求。

    二、网络安全等级保护测评工作流程

    01 测评准备活动阶段

    首先,被测评单位在选定测评机构后,双方需要先签订《测评服务合同》,合同中对项目范围(系统数量)、项目内容(差距测评?验收测评?协助整改?)、项目周期(什么时间进场?项目计划做多长时间?)、项目实施方案(测评工作的步骤)、项目人员(项目实施团队人员)、项目验收标准、付款方式、违约条款等等内容逐一进行约定。

    签订《测评服务合同》同时,测评机构应签署《保密协议》。《保密协议》一般分两种,一种是测评机构与被测单位(公对公)签署,约定测评机构在测评过程中的保密责任;一种是测评机构项目组成员与被测单位之间签署。

    ①项目启动会

    在双方签完委托测评合同之后,双方即可约定召开项目启动会时间。项目启动会的目的,主要是由甲方领导对公司内部涉及的部门进行动员、提请各相关部门重视、协调内部资源、介绍测评方项目实施人员、计划安排等内容,为整个等级测评项目的实施做基本准备。

    ②系统情况调研

    启动会后,测评方开展调研,通过填写《信息系统基本情况调查表》,掌握被测系统的详细情况,为编制测评方案做好准备。测评项目组进场前,应熟悉被测定级对象,调试测评工具,准备各种表单。

    02 方案编制活动阶段

    方案编制活动的目的是整理测评准备活动中获取的定级对象资料,为现场测评活动提供最基础文档和测评方案。

    方案编制活动包括测评对象确定、测评指标确定、测评内容确定、工具测试方法确定、测评指导书开发、测评方案编制六项主要任务。

    ①确定测评对象。根据系统调查结果,分析整个被测定级对象业务流程、数据流程、范围、特点确定测评对象,一般采用抽查的方法,即:抽查信息系统中具有代表性的组件作为测评对象。

    ② 确定测评指标及测评内容。根据被测定级对象结果确定测评的基本指标,根据测评委托单位定级对象业务自身需求确定特殊测评指标。

    ③ 确定测评工具接入点。一般来说,测评工具的接入采取从外到内,从其他网络到本地网段的逐步逐点接入,即:测评工具从被测系统边界外接入、在被测系统内部与测评对象不同网段及同一网段内接入等几种方式。从被测系统边界外接入时,测评工具一般接在系统边界设备(通常为交换设备)上。在该点接入漏洞扫描器,扫描探测被测系统的主机、网络设备对外暴露的安全漏洞情况;从系统内部与测评对象不同网段接入时,测评工具一般接在与被测对象不在同一网段的内部核心交换设备上;在系统内部与测评对象同一网段内接入时,测评工具一般接在与被测对象在同一网段的交换设备上;结合网络拓扑图,采用图示的方式描述测评工具的接入点、测评目的、测评途径和测评对象等相关内容。

    ④ 确定测评内容与方法。将测评对象与测评指标进行映射构成测评内容,并针对不同的测评内容合理地选择测评方法形成具体的测评实施内容。

    ⑤ 确定测评指导书。测评指导书是指导和规范测评人员现场测评活动的文档,包括测评项、测评方法、操作步骤和预期结果等四部分。在测评对象和指标确定的基础上,将测评指标映射到各测评对象上,然后结合测评对象的特点,选择应采取的测评方法并确定测评步骤和预期结果,形成不同测评对象的具体测评指导书。

    ⑥ 确定测评方案。综合以上结果内容以及测评工作计划形成测评方案,测评方案主要内容包括测评概述、目标系统概述、定级情况、网络结构、主机设备情况、应用情况、测评方法与工具、测评内容、时间安排、风险揭示与规避等。

    03 现场测评活动

    现场测评活动通过与测评委托单位进行沟通和协调,为现场测评的顺利开展打下良好基础,然后依据测评方案实施现场测评工作,将测评方案和测评工具等具体落实到现场测评活动中。现场测评工作应取得分析与报告编制活动所需的、足够的证据和资料。

    现场测评活动包括现场测评准备、现场测评和结果记录、结果确认和资料归还三项主要任务。

    ①现场测评准备

    为保证测评机构能够顺利实施测评,测评准备工作需要包括以下内容:

    ● 测评委托单位签署现场测评授权书;

    ● 召开测评现场首次会;

    ● 测评双方确认现场测评需要的各种资源,包括测评委托单位的配合人员和需要提供的测评条件等,确认被测系统已备份过系统及数据;

    ● 测评人员根据会议沟通结果,对测评结果记录表单和测评程序进行必要的更新。

    ②现场测评和结果记录

    现场测评覆盖到被测系统安全技术的5个层面和安全管理的5方面。安全技术的5个层面具体为:安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心;安全管理的5方面具体为:安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理。

    ③结果确认和资料归还

    现场测评结束时,需要做好记录和确认工作,并将测评的结果征得评测双方认同确认。主要包括测评人员在现场测评完成之后,应首先汇总现场测评的测评记录,对漏掉和需要进一步验证的内容实施补充测评;召开测评现场结束会,测评双方对测评过程中发现的问题进行现场确认。测评机构归还测评过程中借阅的所有文档资料,并由测评委托单位文档资料提供者签字确认。

    04 报告编制活动

    测评人员在初步判定单项测评结果后,还需进行单元测评结果判定、整体测评、系统安全保障评估等方法,找出整个系统的安全保护现状与相应等级的保护要求之间的差距,并分析这些差距导致被测系统面临的风险,从而给出等级测评结论,形成测评报告文本。

    三、测评委托单位需要配合的工作

    测评准备阶段:

    ①被测方成立项目组,并任命项目经理;

    ②向测评机构介绍本单位的信息化建设状况与发展情况;

    ③准备测评机构需要的资料,比如系统定级报告、备案表、自查或上次测评报告、联系方式等;

    ④为测评人员的信息收集提供支持和协调;

    ⑤准确填写信息系统基本信息调查表;

    ⑥根据被测系统的具体情况,如业务运行高峰期、网络布置情况等,为测评时间安排提供适宜的建议;

    方案编制阶段:

    ①为测评机构完成测评方案提供有关信息和资料;

    ②评审和确认测评方案文本。

    现场测评阶段:

    ①此阶段工作测评方人员需要在客户现场完成。需要被测方提供办公位(基本的办公环境)。

    ②备案单位需要机房管理员、网络管理员、安全主管、系统管理员、系统开发人员、运维人员等进行配合。

    ③测评前备份系统和数据,并确认被测设备状态完好;

    ④协调被测系统内部相关人员的关系,配合测评工作的开展;

    ⑤相关人员回答测评人员的问询,对某些需要验证的内容上机进行操作;

    ⑥相关人员确认测试前协助测评人员实施工具测试并提供有效建议,降低安全测评对系统运行的影响;

    ⑦相关人员对测评结果进行确认;

    ⑧相关人员确认工具测试后被测设备的状态完好。

    报告编制阶段:

    ①签收测评报告;

    ②向公安机关递交测评报告。

    展开全文
    xinzhouqifu6 2021-10-11 12:59:34
  • 防火墙作为一种安全设备被广泛使用于各种网络环境中,他在网络间起到了间隔作用。华为作为著名的网络设备厂商,2001年便发布了首款防火墙插卡,而后根据网络发展及技术需求,推出了一代又一代防护墙及安全系列产品。...

    防火墙作为一种安全设备被广泛使用于各种网络环境中,他在网络间起到了间隔作用。华为作为著名的网络设备厂商,2001年便发布了首款防火墙插卡,而后根据网络发展及技术需求,推出了一代又一代防护墙及安全系列产品。这篇博文主要介绍华为防火墙产品及其工作原理。

    博文大纲:
    一、华为防火墙产品简介
    1.USG2110
    2.USG6600
    3.USG9500
    4.NGFW
    二、防火墙的工作原理
    1.防火墙的工作模式
    (1)路由模式
    (2)透明模式
    (3)混合模式
    2.华为防火墙的安全区域划分
    3.防火墙Inbound和Outbound
    4.状态化信息
    5.安全策略

    一、华为防火墙产品简介

    USG2000、USG5000、USG6000和USG9500构成了华为防火墙的四大部分,分别适用于不同的网络需求。其中,USG2000和USG5000系列定位于UTM(统一威胁管理)产品,USG6000系列属于下一代防火墙产品,USG9500系列属于高端防火墙产品。接下来详细介绍一下各个版本系列防火墙的区别!

    1.USG2110

    USG2110系列是华为针对中小型企业及连锁机构等发布的防火墙设备,其功能包含防火墙、UTM、虚拟专用网、路由、无线等。USG2110系列防火墙具有性能高、可靠性高、配置方便等特性,且价格相对较低,支持多种虚拟专用网组网方式,为用户提供安全、灵活、便捷的一体化组网解决方案。如图:

    2.USG6600

    USG6600系列是华为面向下一代网络环境防火墙产品,适用于大中型企业及数据中心等网络环境,具有访问控制精准、防护范围全面、安全管理简单、防护性能高等特点。可进行企业内网边界防护、互联网出口防护、云数据中心边界防护、虚拟专用网远程互联等组网应用。如图:

    3.USG9500

    USG9500系列包含USG9520、USG9560、USG9580三种系列,适用于云服务提供商、大型数据中心、大型企业园区网络等。它拥有最精准的访问控制、最实用的NGFW特性、最领先的“NP+多核+分布式”结构即最丰富的虚拟化,被称为最稳定可靠的安全网关产品,可用于大型数据中心边界防护、广电和二级运营商网络出口安全防护、教育网出口安全防护等网络场景等。如图:

    4.NGFW

    NGFW即下一代防火墙,更适用于新的网络环境。NGFW在功能方面不仅要具备标准的防火墙功能,如网络地址转换、状态检测、虚拟专用网和大企业需要的功能,而且要实现IPS和防火墙真正的一体化,而不是简单地基于模块。另外,NGFW还需要具备强大的应用程序感知和应用可视化能力,基于应用策略、日志统计、安全能力与应用识别深度融合,使用更多的外部信息协助改进安全策略,如用户身份识别等。

    传统的防火墙只能基于时间、IP和端口进行感知,而NGFW防火墙基于六个维度进行管理控制和防护,分别是应用、用户、内容、时间、威胁、位置。

    其中:

    • **基于应用:**运用多种手段准确识别Web应用内超过6000以上的应用协议及其附属功能,从而进行精确的访问控制和业务加速。其中也包含移动应用,如可以通过防火墙区分微信流量中的语音和文字,进而实现不同的控制策略;
    • **基于用户:**借助于AD活动目录、目录服务或AAA服务器等,基于用户进行访问控制、QoS管理和深度防护;
    • *基于位置:结合全球位置信息,智能识别流量的发起位置,从而获取应用和的发起位置。其根据位置信息实现对不同区域访问流量的差异化控制,同时支持根据IP信息自定义位置;

    在实际应用中,应用可能使用任意端口,而传统FW无法根据端口识别和控制应用。NGFW的进步在于更精细的访问控制。其最佳使用原则为“基于应用+白名单控制+最小授权”。

    目前,华为的NGFW产品主要是USG6000系列,覆盖从低端的固定化模块产品到高端的可插拔模块产品。华为下一代防火墙的应用识别能力范围领先同行业产品20%,超出国产品牌3~5倍。

    二、防火墙的工作原理

    1.防火墙的工作模式

    华为防火墙具有三种工作模式:路由模式、透明模式、混合模式。

    (1)路由模式

    如果华为防火墙连接网络的接口配置IP地址,则认为防火墙工作在路由模式下。当华为防火墙位于内部网络与外部网络之间,需要将防火墙与内部网络、外部网络以及DMZ三个区域相连的接口分别布配置成不同网段的IP地址,所以需要重新规划原有的网络拓补,此时防火墙首先是一台路由器,然后提供其他防火墙功能。路由模式需要对网络拓补进行修改,比较麻烦!

    (2)透明模式

    如果华为防火墙通过第二层对外连接(接口无IP地址),则防火墙工作在透明模式下。如果华为防火墙采用透明模式进行工作,只需在网络中像连接交换机一样连接华为防火墙即可,其最大的优点是武侠修改任何已有的IP配置;此时防火墙就像一个交换机一样工作,内部网络和外部网络必须处于同一个子网。此模式下,报文在防火墙当中不仅进行二层的交换,还会对报文进行高层分析处理。

    (3)混合模式

    如果华为防火墙既存在工作在路由模式的接口(接口具有IP地址),又存在工作在透明模式的接口(接口无IP地址),则防火墙工作在混合模式下。这种工作模式基本上是透明模式和路由模式的混合,目前只用于透明模式下提供双机热备的特殊应用中,别的环境下不建议使用!

    2.华为防火墙的安全区域划分

    安全区域,简称区域。防火墙通过区域区分安全网络和不安全网络,在华为防火墙上安全区域是一个或多个接口的集合,是防火墙区分于路由器的主要特性。防火墙通过安全区域来划分网络,并基于这些区域控制区域间的报文传递。当数据报文在不同的安全区域之间传递时,将会触发安全策略进行检查。

    当给一个接口指定安全区域之后,该接口及身后的网络就被当做一个安全区域,一个安全区域可以包含一个或多个网段。安全区域是基于网络的信任区域程度或保护程度来划分的。将不同的接口划分相应的安全区域后,防火墙通过接口就可以把安全区域与网络关联到一起。当我们提到某个安全区域中的流量时,就会联想到这个安全区域下所管理的接口与网络的对应关系。

    华为防火墙默认有四个区域,分别是Trust、Untrust、DMZ和Local。不同的区域拥有不同的受信优先级,防火墙则根据这些区域的受信优先级来区分区域的保护级别。

    在华为防火墙上,每个安全区域都有唯一的安全级别,用数字1~100来表示,数字越大,则代表该区域内的网络越可信。对于默认的安全区域,他们的安全区域是固定的:Local区域的安全级别是100,Trust区域的安全级别是85,DMZ区域的安全级别是50,Untrust区域的安全级别是5。

    用户可以根据自己的实际情况,自行创建更多的安全区域,并为这些安全区域配置优先级,在配置优先级时需要注意安全级别之间的相互关系,如一个自定义网络的安全性比目前已经存在的DMZ区域要差,但是比互联网安全,那么优先级的取值应该是5~50范围内。

    华为防火墙常见的几种区域:

    • **Trust区域:**主要用于连接公司内部网络,优先级为85,安全等级较高;
    • **DMZ区域:**非军事化区域,是介于严格的军事管制区和公共区域之间的一种区域,在防火墙中通常定义为需要对外提供服务的网络,其安全性介于Trust区域和Untrust区域之间,优先级为50,安全等级中等;
    • **Untrust区域:**通常定义外部网络,优先级为5,安全级别很低。Untrust区域表示不受信任的区域,互联网上威胁较多,所以一般把Internet等不安全网络划入Untrust区域;
    • **Local区域:**通常定义防火墙本身,优先级为100。防火墙除了转发区域之间的报文之外,还需要自身接收和发送流量,如网络管理、运行动态路由协议等。由防火墙主动发起的报文被认为是从Local区域传出的,需要防火墙响应并处理(不是穿越)的报文被认为是由Local区域接收并进行相应处理的。Local区域并不需要添加接口,但所有接口隐含属于Local区域,虽然我们一个接口划分到某个区域中,但也只是表示由这个接口发送或接受的报文属于该区域,并不代表接口本身;
    • **其他区域:**用户自定义区域,默认最多自定义16个区域,自定义区域没有默认优先级,所以需要手工指定;

    注意:

    • 华为防火墙中,一个接口只能加入一个安全区域;
    • 华为传统防火墙默认情况下,对从高优先级区域到低优先级区域方向的流量默认放行,但是华为最新的NGFW防火墙默认禁止一切流量。如需放行指定的流量,需要管理员设置策略;

    3.防火墙Inbound和Outbound

    防火墙基于区域之间处理流量,即使由防火墙自身发起的流量也属于Local区域和其他区域之间的流量传递。当数据流在安全区域之间流动时,才会激发华为防火墙进行安全策略的检查,即华为防火墙的安全策略通常都是基于域间的,不同的区域之间可以设置不同的安全策略。

    域间的数据流分为两个方向:

    • **入方向(Inbound):**数据由低级别的安全区域向高级别的安全区域传输的方向;
    • **出方向(Outbound):**数据由高级别的安全区域向低级别的安全区域传输的方向;

    在防火墙技术中,通常把两个方向的流量区别来看待。因为防火墙的状态化检测机制,所以针对数据流通常只重点处理首个报文。

    如图:内网计算机属于Trust区域,互联网计算机属于Untrust区域。当内网计算机访问互联网计算机时,属于正常的公司业务流量,请求包属于Outbound流量,而且是第一个包,所以防火墙需要基于策略处理该Outbound流量,而返回响应包时,流量属于Inbound流量,直接查询状态化信息放行流量。而外部Untrust区域的互联网计算机访问内网计算机可能是来自于外部的非法行为,此时流量风险较大,请求包属于Inbound流量,而且是第一个包,所以防火墙需要基于安全策略处理该Inbound流量。而返回响应包时,流量属于Outbound流量,直接查询状态化信息放行流量。所以首个包是Inbound的入站包的风险远远大于首个包的是Outbound的出站包。在指定防火墙策略时,也应该重点指定严格的Inbound域间策略和相对宽松的OUtbound域间策略。

    4.状态化信息

    状态化检测防火墙使用的状态化检测和会话机制,目前已经成为防火墙产品的基本功能,也是防火墙实现安全防护的基础技术。

    防火墙对于数据流的处理,是针对首个报文在访问发起的方向检查安全策略,如果允许转发,同时将生成状态化信息——会话表。而后续的报文及返回的报文如果匹配到会话表,将直接转发而不经过策略的检查,进而提高转发效率,这也是状态化防火墙的典型特性。

    防火墙通过五元组来唯一地区分一个数据流,即源IP、目标IP、协议、源端口和目标端口。防火墙把具有相同五元组内容的数据当做一个数据流。防火墙对于同一个数据流只对首个报文检查一次安全策略,同时创建会话表来匹配数据流中的后续报文及返回报文。该会话表无法匹配其他流量,所以防火墙的这种状态化机制保证了同一会话的数据流高效转发。但是对于其他流量,依然要经过防火墙的安全策略检查,防火墙的这种特性使每个数据流都至少一个包必须匹配安全策略,而非法的流量在执行安全策略时将会被丢弃。

    状态检测防火墙使用基于连接状态的检测机制,将通信双方交互的属于同一连接的所有报文都作为整体的数据流来对待。在状态检测防火墙看来,同一个数据流内的报文不再是孤立的个体,而是存在联系的,如果为数据流的第一个报文建立会话,数据流内的后续报文将直接根据会话进行转发,从而提高了效率。

    会话是通信双方的连接在防火墙上的具体体现,代表两者的连接状态,一条会话就表示通信双方的一个连接。防火墙上多余会话的集合就称为会话表。在华为防火墙上,执行以下命令可以查看当前的会话表:

    重点介绍这个表中的关键字段:

    • http代表协议;
    • 1.1.1.1代表源地址;
    • 2049代表源端口;
    • 2.2.2.2代表目的地址;
    • 80表示目标端口;
    • 通过“–>”号可以直观的区分源和目标,符号前是源,符号后是目标。

    注意:会话时动态生成的,不可能会永久存在。如果长时间没有报文匹配,则说明通信双方已经断开了连接,不再需要该条会话。此时,为了节约资源,防火墙会在一段时间后删除会话,该时间成为会话老化时间。

    5.安全策略

    防火墙的基本作用是保护特定网络免受“不信任”网站的非法操作,但是同时还必须允许两个网络之间可以进行合法的通信。安全策略的作用就是对通过防火墙的数据流进行检验,符合安全策略的合法数据流才能通过防火墙。可以在不同的域间方向应用不同的安全策略进行不同的控制。

    随着网络的高速发展,应用的不断增加,大量基于Web的应用和基于移动的应用越来越多,网络安全对防火墙提出了新的挑战。传统的基于IP、端口及协议的访问控制已经不能满足当前的网络需求。华为针对当前的网络需求。提出了一体化的安全策略。目前USG6000系列防火墙的V100R001版本采用的是一体化安全策略。

    所谓一体化,可以体现在两个方面:

    • 其一是配置上的一体化,如邮件过滤、内容过滤、应用行为过滤等安全监测通过策略中引用配置文件就可实现,降低了网络管理员的配置难度;
    • 其二是业务上的一体化,一体化的策略只对报文进行一次检测,多业务功能可以并行处理,从而大大提高了处理效率;而传统的防火墙是采用串行方式,流量每经过一个模块便进行一次检测;

    华为新一代防火墙对报文的检测除了基于传统的五元组(源IP、目标IP、协议、源端口、目标端口)之外,还可以基于应用、内容、时间、用户、威胁及位置对流量进行深层检测,真正实现全方位立体化的检测能力及精准的访问控制和安全策略。如图:

    一体化的安全策略由若干规则组成,而规则由条件、动作、配置文件和选项构成。如图:

    其中配置文件的作用是对报文进行内容安全检测,其中包括反病毒、非法进入防御、URL过滤、文件过滤、内容过滤、应用行为及邮件过滤。一条规则可以引用一个或多个配置文件。不同类型的规则包含对应对应的默认配置文件,管理员也可以手动引用一个或多个配置文件。配置文件只有在动作允许时,才能被引用。

    条件是匹配某条规则的依据,如报文的源区域、目标地址、时间等。满足规则的所有条件才算匹配该条规则,如报文匹配规则1的源区域、源地址、用户、应用、服务。但是就是没有匹配时间,那么该报文也不能匹配第一条规则,而是应该继续往下继续匹配。一条规则中,不需要配置所有的条件,可以指定一个或多个条件。

    • 条件中的各个元素如果在多条规则中重复使用,或者该元素本身包含多个相关内容,可以考虑配置为对象,对象可被多条规则调用。如果定义一个地址类型的对象,包含公司中多个网段,那么该对象就可以在规则条件中被源地址或目标地址引用;
    • 动作是防火墙对于匹配的流量采用的处理方式,包含允许、拒绝等。不同的策略可以选择不同的处理方式。如果处理方式时运管系,那么还可以继续基于配置文件对报文做后续处理;
    • 选项时规则中的附加功能,如是否针对该条规则记录日志,本条规则是否生效等;

    **注意:**条件中的各个元素之间是“并且”的关系,报文的属性与各个元素必须全部匹配,才认为该报文匹配这条规则;而条件中的同一元素的多个对象之间是“或者”的关系,报文的属性只要匹配其中的一个对象,就认为报文的属性匹配这个元素。

    区别于传统的安全策略,一体化的安全策略具有如下特点:

    • 策略配置基于全局,不再基于区域间配置,安全区域只是条件的可选配置项,也可以在一条规则中配置多个源区域或目标区域;
    • 默认情况下,所有的区域间通信都被拒绝,包括Outbound流量。必须通过策略配置放行所需流量;
    • 安全策略中的默认动作代替了默认包过滤。传统防火墙的包过滤是基于区间的,只针对指定的区域间生效,而新一代防火墙的默认动作全局生效,且默认动作为拒绝,且拒绝一切流量,除非允许;

    防火墙对规则的处理顺序和ACL非常类似。从上往下依次匹配,找到即停,默认拒绝!

    默认情况下,华为防火墙的策略有如下特点:

    • 任何两个安全区域的优先级不能相同;
    • 本域内不同接口间的报文不过滤直接转发;
    • 接口没有加入域之前不能转发报文;
    • 在USG6000系列的防火墙上是没有安全策略的,也就是说,不管是什么区域之间互相访问,都必须配置安全策略,除非是同一区域报文传递;

    ———————— 本文至此结束,感谢阅读 ————————

    展开全文
    weixin_45186298 2019-10-26 16:00:52
  • 本节书摘来自华章出版社《信息安全保障》一书中的...为构建信息安全保障体系,我国已经在信息安全标准化、应急处理与信息通报、等级保护、风险评估和人才队伍建设等方面展开工作,并取得了一些成果。 2.2.1 信息安...

    本节书摘来自华章出版社《信息安全保障》一书中的第2章,第2.2节,作者 吴世忠 江常青 孙成昊 李华 李静,更多章节内容可以访问云栖社区“华章计算机”公众号查看

    2.2 我国信息安全保障工作主要内容

    为构建信息安全保障体系,我国已经在信息安全标准化、应急处理与信息通报、等级保护、风险评估和人才队伍建设等方面展开工作,并取得了一些成果。

    2.2.1 信息安全标准化

    信息安全标准为信息安全保障各项工作提供规范,为保障工作的各参与方提供交流和评判的基准,因此,信息安全标准化是国家构建信息安全保障体系的重要基础环节。
    1.?意义
    信息安全标准化工作是我国信息安全保障工作的重要组成部分之一,也是政府进行宏观管理的重要依据,同时也是保护国家利益、促进产业发展的重要手段之一。虽然国际上有很多标准化组织研究制定了多个信息安全标准,但是由于信息安全标准事关国家安全利益,因此不能过分依赖于国际标准,而是要在充分借鉴国际标准的前提下,通过本国组织和专家制定出符合本国国情并可以信任的信息安全技术和管理等领域的标准,切实有效地保护国家利益和安全。
    信息安全标准是解决信息安全产品和系统在设计、研发、生产、建设、使用和测评中的一致性、可靠性、可控性、先进性和符合性的技术规范与依据。信息安全保障体系的建设是一个极其庞大的复杂系统,没有配套的安全标准,就不能构造出一个可用、实用的信息安全保障体系。信息安全标准化建设作为我国信息安全保障体系的重要组成部分,具有极其重要的意义。
    信息安全标准化工作是解决信息安全问题的重要技术支撑,其作用突出地体现在能够确保有关产品、设施的技术先进性、可靠性和一致性。在按国际规则实行IT产品市场准入时能够为相关产品的安全性合格评定提供依据,以强化和保证我国信息化的安全产品、工程、服务的技术自主可控。
    2.?实践历程
    目前,国务院授权在国家质量监督检验检疫总局管理下,由国家标准化管理委员会统一管理全国标准化工作,下设有529个专业技术委员会。中国标准化工作实行统一管理与分工负责相结合的管理体制,由88个国务院有关行政主管部门和国务院授权的有关行业协会分工管理本部门、本行业的标准化工作,由31个省、自治区、直辖市政府有关行政主管部门分工管理本行政区域内本部门、本行业的标准化工作。
    1984年7月,在我国的全国计算机与信息处理标准化技术委员会下,建立了相应的数据加密分技术委员会,在国家技术监督局和原电子工业部的领导下,归口管理国内外的信息技术数据加密的标准化工作。1997年8月,随着信息技术的发展和工作范围的扩大,在原数据加密分委员会的基础上,改组成立了信息技术安全分技术委员会(与国际ISO/IEC JTC1/SC27信息技术的安全技术分委会对应)。它是一个具有广泛代表性、权威性和军民结合的信息安全标准化组织,其工作范围是负责信息和通信安全的通用框架、方法、技术和机制的标准化,归口国内外对应的标准化工作。2002年4月,经国家标准化管理委员会批准,全国信息安全标准化技术委员会(简称“信安标委”,委员会编号为TC260)正式成立。
    信安标委成立后,逐步形成“基础性研究——标准预研——标准制定”3个阶段波浪式的标准研制新模式,以工作组为主体开展信息安全标准的研究制定工作。工作组由国内信息安全技术领域的有关部门、研究机构、企事业单位及高等院校等代表组成,是标准研制的技术力量。目前正式成立了信息安全标准体系与协调工作组(WG1)、涉密信息系统安全保密工作组(WG2)、密码工作组(WG3)、鉴别与授权工作组(WG4)、信息安全评估工作组(WG5)、通信安全工作组(WG6)和信息安全管理工作组(WG7)7个工作组。
    信安标委制定形成了我国信息安全标准体系框架,并以该标准体系框架作为指导我国信息安全标准制订工作的指导性技术文件,围绕信息安全保障体系建设,积极开展了配套标准的研究制定工作。
    除全国信息安全标准化委员会、公安部信息系统安全标准化技术委员会、中国通信标准化协会网络与信息安全技术工作委员会3个专业性信息安全标准化组织外,我国其他有关主管部门和地方政府也发布了部分信息安全行业标准或地方标准。

    2.2.2 信息安全应急处理与信息通报

    发生信息安全事件可能造成严重损失和恶劣社会影响,我国非常重视信息安全事件管理。应急处理与信息通报是信息安全事件管理的重要内容。加强信息安全应急处理与信息通报是信息安全保障实践活动的重要内容,能够提高安全事件的整体应对能力。
    1.?意义
    国家信息基础设施安全应急保障工作是国家信息安全保障体系建设的重要组成部分。建立健全应急处理与信息通报机制依赖于建设和完善信息安全监控体系,提高网络安全事件应对和防范能力,防止有害信息传播。因此,高度重视信息安全应急处置工作,健全信息安全应急指挥和安全通报制度,不断完善信息安全应急处置预案,具有十分重要的意义。
    1)信息安全应急处理与信息通报工作是国家信息安全保障工作的基本制度和重要措施。
    建立国家网络与信息安全通报机制,有利于各部门、各领域实现信息交流与共享,综合分析安全威胁和安全状况,做好信息安全预警和防范工作,提升对信息安全事件的快速反应和整体应对能力,保证应对措施的及时性和有效性;有利于国家调动和整合各领域的有利资源,迅速、全面掌握整体情况,及时做出决策部署;有利于全社会增强安全防范意识,共同参与信息安全保障工作。因此,建立国家网络与信息安全通报制度,是国家信息安全保障工作的基本制度和重要举措。
    2)信息安全应急处理与信息通报工作有利于提高基础信息网络与重要信息系统的信息安全防范、保障能力。
    建立国家网络与信息安全信息通报制度,能够及时、全面地收集、汇总各方面的网络与信息安全信息,经过综合研判分析,提出对策、建议并及时通报基础信息网络和重要信息系统,为事件发生单位提供对策和技术支持,为其他单位提供预警信息,从而协助基础信息网络和重要信息系统全面掌握国内、外网络与信息安全政策和技术动态,有针对性地制定和实施安全防范措施,增强网络与信息安全防范、保障能力,确保涉及国计民生的基础信息网络和重要信息系统的安全。
    3)信息安全应急处理与信息通报工作有助于加强国家网络与信息安全应急处置工作。
    建立国家网络与信息安全通报制度,能够在发生重大网络与信息安全事件时,在国家网络与信息安全协调小组和成员单位之间以及各成员单位之间,建立畅通的信息交流渠道,全面收集事件的相关情况,及时上报协调小组,同时将协调小组的预警命令和决策部署下达到成员单位,做好预警和防范工作,建立健全国家信息安全应急处置协调机制和指挥调度机制,提高对网络与信息安全事件的快速反应和整体应对能力,保证应急处置措施的及时性和有效性,确保国家基础信息网络和重要信息系统的安全。
    2.?实践历程
    信息安全应急保障体系包括组织机构、标准法规、支撑系统和运行能力4个方面。组织机构是负责国家信息基础设施安全应急处理与通报工作的主体;标准法规是实施国家信息基础设施安全应急处理与通报工作的行为准则和技术标准;支撑系统是支持国家信息基础设施安全应急处理与通报工作实施的技术手段;运行能力是组织机构按照标准法规、利用支撑系统处置国家信息基础设施安全应急事件的能力。
    (1)信息安全应急处理机制的建立
    2000年,我国成立了国家计算机网络应急技术处理协调中心(National Computer network Emergency Response technical Team Coordination Center of China,CNCERT/CC)、国家计算机病毒应急处理中心和国家计算机网络入侵防范中心,建立了最早的技术合作雏形。后来根据在2001年应对一系列大规模网络安全事件中得到的经验教训,这个合作体系又扩大到各骨干互联网运营单位。扩展后的合作体系使我国对大规模网络安全事件的应急响应效率和能力有了极大的提高。自2003年起,各部门都开始制定与互联网相关的应急预案,开始重视应急协调预案和不同部门间的协调。根据新的网络安全威胁特点,这个体系在2004年又进行了进一步的扩展和调整,形成了我国公共互联网络应急处理体系,以便发挥政府、产业界、专业组织、研究机构和安全企业等方面的作用,在中央和地方组成的核心框架下,形成有机整体,使网络安全事件的预防、应对能力均得到更全面、更有效的加强。
    我国的应急响应机构包括CNCERT/CC、中国教育和科研计算机网紧急响应组(China Education and Research Network Computer Emergency Response Team,CCERT)及其他专业性的组织。CNCERT/CC由工业和信息化部(以下简称“工信部”)互联网应急处理协调办公室直接领导,负责协调我国各计算机网络安全事件应急组(Computer Emergency Response Team,CERT),共同处理国家公共互联网上的安全紧急事件,为国家公共互联网、国家主要网络信息应用系统以及关键部门提供计算机网络安全的监测、预警、应急和防范等安全服务和技术支持,及时收集、核实、汇总和发布有关互联网安全的权威性信息,组织国内计算机网络安全应急组织进行国际合作和交流。CCERT是中国教育和科研计算机网CERNET专家委员会领导之下的一个公益性的服务和研究组织,从事网络安全技术的研究和非营利性质的网络安全服务。目前,CCERT的应急响应体系已经包括CERNET内部各级网络中心的安全事件响应组织或安全管理相关部门,是一个由30多个单位组成、覆盖全国的应急响应组织。其他专业性的应急组织还包括国家计算机病毒应急处理中心、国家计算机网络入侵防范中心、国家863计划反计算机入侵和防病毒研究中心。
    (2)信息安全通报机制的建立
    网络信息的安全保障和应急处置涉及多个部门、多个层次,需要建立和规范对影响网络与信息安全的事件的发现、分析、通报、预警以及处置的工作机制,以便统一发布危害警报,统一协调行动。协同加强安全防范,确保一旦发生大规模病毒感染、网络攻击及其他网络信息安全事件时,能够及时有效处置,减少危害损失和影响范围。
    根据“谁主管、谁负责;谁经营,谁负责”的原则,强化各个部门的信息汇总和研判工作,在国家网络与信息安全协调小组的领导下,形成跨部门的网络与信息安全有关信息的共享机制。坚持政府主导,充分发挥社会中介的作用。采用分类、分级的处理方式,规范网络与信息安全的预警和通报工作,及时有效地化解安全风险。
    “分类、分级”的预警与通报机制由公安部负责协调小组成员单位和各重要信息系统主管部门的网络与信息安全信息汇总和反馈工作。发生网络信息安全事件后,协调小组成员单位和各重要信息系统主管部门除按正常渠道上报外,必须及时通知公安机关,公安部在综合分析后,及时将研判结果通报各有关单位。公安部公共信息网络安全监察部门,面向全国接受网络与信息安全方面的报警,组织对计算机安全犯罪行为的调查和打击,研究并提出相应的应对措施,分析研判信息安全问题的性质、危害程度和可能的影响范围,必要时向政府机关、科研单位和网络营运管理部门发布安全预警信息。发生网络安全事件后,各部门、各单位、各网络运营单位和社会公众有义务及时向各级公安机关报告。
    工信部负责基础电信网络和互联网的网络与信息安全事件通报,通过CERT的协作机制,接受网络与信息安全事件报告,分析研判信息安全事件的性质和危害程度,研究提出相应的对应措施,组织技术应急,面向基础电信网络和互联网发布预警信息。
    国家网络与信息安全协调小组办公室将定期对国家网络与信息安全的总体形势进行综合研究和会商,研究提出相应的管理和技术政策建议,并向国务院报告。出现可能影响社会稳定和国民经济正常运行的网络与信息安全威胁时,随时组织会商,及时报告。

    2.2.3 信息安全等级保护

    实施信息安全等级保护能够针对不同系统有效实现恰当保护,提供所需级别的保护能力,是我国在相应法规、政策和标准的基础上推行的一项重要信息安全保障工作。
    1.?意义
    近年来,党中央、国务院高度重视,各有关部门协调配合、共同努力,我国信息安全保障工作取得了很大进展。但是从总体上看,我国的信息安全保障工作尚处于起步阶段,基础薄弱,水平不高,存在以下突出问题:信息安全意识和安全防范能力薄弱,信息安全滞后于信息化发展;信息系统安全建设和管理的目标不明确;信息安全保障工作的重点不突出;信息安全监督管理缺乏依据和标准,监管措施不到位,监管体系尚待完善。随着信息技术的高速发展和网络应用的迅速普及,我国国民经济发展和社会信息化进程全面加快,信息系统的基础性、全局性作用日益增强,信息资源已经成为国家经济建设和社会发展的重要战略资源之一。保障信息安全,维护国家安全、公共利益和社会稳定是当前信息化发展中迫切需要解决的重大问题。
    实施信息安全等级保护,能够有效地提高我国信息和信息系统安全建设的整体水平,有利于在信息化建设过程中同步建设信息安全设施,保障信息安全与信息化建设相协调;有利于为信息系统安全建设和管理提供系统的指导和服务,有效控制信息安全建设成本;有利于优化信息安全资源的配置,对信息系统实施分等级保护,重点保障基础信息网络和关系国家安全、经济命脉和社会稳定等方面的重要信息系统的安全;有利于明确国家、法人和其他组织、公民的信息安全责任,加强信息安全管理;有利于推动信息安全产业的发展,逐步探索出一条适合社会主义市场经济发展的信息安全模式。
    实行信息安全等级保护,本质上就是要明确重点、确保重点。首先是要明确重点,在国家层面,这个重点就是那些关系国家安全、经济命脉、社会稳定的基础网络和重要信息系统。对于部门、地方和企业而言,也应根据实际确定自己的保护重点。其次,在系统定级的基础上,还要综合平衡信息安全风险和建设成本,进一步确定重点部位,将有限的资源用到最急需、最核心的地方,根据安全等级进行建设和管理,确保核心系统安全。最后,实行等级保护要坚持从实际出发。我国的信息化发展不平衡,东中西部差异较大,不同部门、不同地区信息化所处的发展阶段不同,面临的信息安全风险和信息安全需求也不一样。因此,在信息安全保障中必须从实际安全需求出发,不能片面追求“绝对安全”,搞不计成本的安全,也不能搞一刀切、上下一般粗、全国一个模式。必须区分轻重缓急,根据不同等级、不同类别、不同阶段,突出重点,将有限的资源用到最急需保障的地方。这也是实事求是思想路线在信息安全保障工作中的具体体现。
    信息安全等级保护是国家信息安全保障的基本制度和方法,开展信息安全等级保护工作是促进信息化发展,保障国家信息安全的重要举措,也是我国多年来信息安全工作的经验总结。开展信息安全等级保护,就是要解决我国信息安全面临的威胁和存在的主要问题,有效体现“适度安全、保护重点”的目的,将有限的财力、物力和人力投入重要信息系统安全保护中,按标准建设安全保护措施,建立安全保护制度,落实安全责任,加强监督检查,有效提高我国信息和信息系统安全建设的整体水平。
    2.?实践历程
    1994年2月18日,《中华人民共和国计算机信息系统安全保护条例》(国务院令第147号)发布,以国务院行政法规的形式正式确定对我国境内的计算机信息系统实行安全等级保护制度,明确公安部作为主管单位,对具体工作从法律上做了明确规定,由公安机关负责国家信息安全等级保护工作的监督、检查和指导,公安部会同有关部门制定安全等级划分标准和保护的具体办法,公安部根据本条例制定实施办法。
    (1)研究制定等级保护的准则、规范和标准
    1999年,GB 17859—1999《计算机信息系统安全保护等级划分准则》(以下简称《划分准则》)发布。这是一部强制性国家标准,它既是一部技术法规,也是等级保护的重要基础标准,它从功能上把信息系统的安全等级划分为5个级别的安全保护能力。随后,国家先后颁布了多部信息安全等级保护相关标准,逐步形成等级保护标准体系。
    (2)强化等级保护
    为了进一步贯彻落实27号文件精神,推动等级保护工作,2004年9月15日,公安部会同国家保密局和国信办共同研究制定《关于信息安全等级保护工作的实施意见》(公通字[2004]66号,以下简称《实施意见》),把等级保护确认为国家信息安全的基本制度和根本方法,明确了信息安全等级保护的建设原则、工作要求、实施计划,对信息等级保护工作做了更加具体的明确,把等级保护提到一个新的高度。2005年《实施意见》下发,等级保护工作全面启动。
    2005年9月15日,国信办正式发布《电子政务信息安全等级保护实施指南(试行)》(国信办[2005]25号)(以下简称《实施指南(试行)》),着重阐述了电子政务信息安全等级保护的基本概念、工作方法和实施过程,供各级党政机关在新建和已建电子政务系统中开展信息安全等级保护工作参考。
    (3)开展等级保护基础调研
    2005年底,公安部和国信办联合印发了《关于开展信息系统安全等级保护基础调查工作的通知》(公信安[2005]1431号),就此拉开2006年信息安全等级保护工作的序幕。2006年1月17日,根据《实施意见》,公安部、国家保密局、国家密码管理局和国务院信息化工作办公室(以下简称“国信办”)联合发布《关于印发〈信息安全等级保护管理办法(试行)〉的通知》(公通字[2006]7号),于2006年3月1日起实施。
    2006年5月20日,信息安全等级保护基础调查工作初步完成,共调研了涉及各级财政、金融、税务、海关、审计、工商、社会保障、能源、交通运输、国防工业、公用通信和广播电视传媒等4897个信息系统。
    (4)开展等级保护试点工作
    2006年5月19日,由公安部副部长任组长,公安部、国家保密局、国家密码管理局和国信办有关领导为成员的国家等级保护工作协调小组召开了第一次会议。信息产业部、广电总局、铁道部、人民银行、海关总署、国税总局、民航总局、国家电网公司、证监会和保监会等国家基础信息网络和重要信息系统主管部门的有关领导参加了本次会议。2006年6月6日,公安部、国家保密局、国家密码管理局和国信办联合正式下发了《关于开展信息安全等级保护试点工作的通知》(公信安[2006]573号),确定从2006年7~10月组织开展信息安全等级保护试点工作。
    (5)开展等级保护定级工作,等级保护获得快速推进
    2007年6月22日,公安部、保密局、密码管理局和国信办四部委联合正式下发《关于印发〈信息安全等级保护管理办法〉的通知》(公通字[2007]43号),标志着信息安全等级保护工作的正式实行。该管理办法正式确定了信息安全等级保护制度的基本内容及各项工作要求,进一步明确了国家、公民、法人和其他组织在等级保护工作中的责任和义务,各职能部门在信息安全等级保护工作中的职责分工,以及信息系统运营使用单位、行业主管部门的安全保障法律责任。
    公安部、国家保密局、国家密码管理局和国信办于2007年7月26日联合下发《关于开展全国重要信息系统安全等级保护定级工作的通知》(公信安[2007]861号),部署各省、自治区、直辖市公安、保密、密码管理、信息化领导小组办公室以及中央和国家机关各部委相关部门组织开展重要信息系统安全等级保护定级工作。

    2.2.4 信息安全风险评估

    重视信息安全风险评估是信息化发达国家的重要经验,作为风险评估先驱者的信息化发达国家越来越重视信息系统风险评估工作。早在20世纪70年代初期,美国政府就提出了风险评估的要求,要求联邦政府部门依据信息和信息系统所面临的风险,根据信息丢失、滥用、泄露和未授权访问等造成损失的大小,制订、实施和维持信息安全计划,以保证信息和信息系统的适度安全。2002年颁布的《2002联邦信息安全管理法》对信息安全风险评估提出了更加具体的要求,指定联邦管理和预算办公室(Office of Management and Budget,OMB)督促这项工作,要求各联邦机构周期性地评估各自信息和信息系统的未授权访问、信息泄露、服务中断和系统破坏所造成的风险和危害,周期性地测试信息安全措施和技术的有效性。
    2006年6月,美国国土安全部正式发布了《国家基础设施保护计划》(National Infrastructure Protection Plan,NIPP)。NIPP是美国国土安全框架的一个关键要素,它是建立于一系列国家战略之上,包括2002年7月发布的《国土安全战略》,2003年2月发布的《关键基础设施和重要资产物理保护的国家战略》,2003年2月发布的《保护网际空间国家战略》,以及2003年12月发布的第7号国土安全总统令。从NIPP和这一系列美国国家战略中可以看出,以风险管理框架为基础开展风险评估工作,已经成为美国等西方发达国家保障关键基础设施和重要资源,从而保护国土安全的一个核心要素和重要手段。
    1.?意义
    信息安全风险评估是信息安全保障体系建立过程中一种重要的评价方法和决策机制,在信息安全保障体系建设中具有不可替代的地位和重要作用。信息安全风险评估是信息安全保障的基础性工作,它既是明确安全需求、确定安全保障重点的科学方法和手段,又是信息安全建设和管理的重要保证。没有准确及时的风险评估,各个机构无法对其信息安全的状况做出准确的判断。
    风险评估工作的目的是为国家信息化发展服务,促进信息安全保障体系的建设,提高信息系统的安全保护能力。目前,国家关键基础设施对信息系统的依赖性越来越强,因此,许多重要信息网络和重要信息系统单位开展信息安全风险评估的需求越来越迫切,一些大型应用行业在考虑信息系统建设的布局时,已经在信息安全评估、咨询和规划方面投入了实质性的资金支持。现阶段,风险评估工作的主要任务是要认清信息安全环境和状况,采取和完善安全保障措施,使其更加经济有效,并使信息安全策略保持一致性和持续性。
    风险评估工作的意义和作用,具体体现在以下几个方面。
    (1)信息安全风险评估是信息安全建设的起点和基础
    信息安全风险评估是科学分析信息和信息系统在保密性、完整性和可用性等方面所面临的风险,揭示一个组织机构的风险状况,并提出改进风险状况的建议的工作。只有在正确、全面认识风险后,才能在控制风险、减少风险、转移风险和接受风险之间做出正确的判断,才能决定调动多少资源,采取何种应对措施去化解、降低风险。所有信息安全建设和管理都应该是基于信息安全风险评估的结果,只有这样,信息安全建设才能做到从实际出发,坚持需求主导、突出重点,以最小的代价去最大程度地保障安全。
    风险评估既是实施信息系统安全等级保护的前提,又是信息系统安全建设和安全管理的基础工作。通过风险评估,能及早发现和解决问题,防患于未然。当前,尤其迫切需要对我国基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统进行持续的风险评估,随时掌握其安全状态,及时采取有针对性的应对措施,为建立全方位的国家信息安全保障体系提供服务。通过风险评估可以有助于认清信息安全环境和信息安全状况,明确信息化建设中各级的责任,采取或完善更加经济有效的安全保障措施,保证信息安全策略的一致性和持续性,进而服务于国家信息化的发展,促进信息安全保障体系的建设,全面提高信息安全保障能力。
    (2)信息安全风险评估是信息安全建设和管理的科学方法
    信息系统的安全性取决于系统的资产、脆弱性和威胁等多种安全要素,这些要素之间的关系以及与系统环境的关系。资产包括设备、软件、数据以及人员等,脆弱性包括系统自身在结构上、管理上和技术上的弱点和不足,威胁有自然威胁与人为威胁、内部威胁与外部威胁等,包括病毒传播、黑客攻击、网络窃密等。风险评估提供了这样一种科学的方法,它将系统的风险理论应用于某一组织的具体生产运营环境,使组织的管理层和决策层能了解组织信息安全的客观状况,基于对现状的了解,才能做出后续信息安全相关建设的正确决策。
    (3)风险评估实际上是在倡导一种适度安全
    从理论上讲,不存在绝对的安全,风险总是客观存在的。风险评估并不追求零风险,不计成本的绝对安全,或者试图完全消灭风险。信息安全风险评估要求在认清风险的基础上,决定哪些风险是必须要避免的,哪些风险是可以容忍的。也就是说,信息安全风险评估要求组织的管理者在风险与成本之间寻求一个最佳平衡点,这体现了适度安全的原则。
    2.?实践历程
    在我国,实施信息安全风险评估已有十余年。国家政策性文件《国家信息化领导小组关于加强信息安全保障工作的意见》(中办发[2003]27号)对信息安全风险评估工作的重视,促使我国的信息安全风险评估工作开始进入快车道。为贯彻国家政策对风险评估工作的要求,2003年,国信办成立课题组,启动了信息安全风险评估工作。课题组通过调研、标准编写和试点3个阶段的工作,先后对北京、广州、深圳和上海4个地区十几个行业的50多家单位进行了深入细致的调查与研究。在调查研究的基础上,课题组撰写了《信息安全风险评估调查报告》和《信息安全风险评估研究报告》,全面介绍信息安全风险评估的基本概念、基本理论和基本方法,阐述了信息安全风险评估的意义以及在我国推动信息安全风险评估工作的具体建议。
    2004年1月9日,全国信息安全保障工作会议在北京召开,该会对风险评估工作提出了明确要求,要“抓紧研究制定基础信息网络和重要信息系统风险评估的管理规范,并组织力量提供技术支持。根据风险评估结果,进行相应等级的安全建设和管理,特别是对涉及国家机密的信息系统,要按照党和国家有关保密规定进行保护。对涉及国计民生的重要信息系统,要进行必要的信息安全检查。”2004年3~9月,国家信息中心组织国内二十多家单位,编制完成了《信息安全风险评估指南》、《信息安全风险管理指南》等标准规范草案。
    2005年2~8月,国务院信息办在北京市、上海市、黑龙江省、云南省、人民银行、税务总局、国家电网公司、国家信息中心等地方、部门和单位组织开展了国家基础信息网络和重要信息系统信息安全风险评估试点工作,进一步完善两个标准草案并验证两个标准草案的可用性,为全面推广信息安全风险评估工作,出台信息安全风险评估相关政策文件进行了实践探索。开展风险评估试点工作显著提高了试点单位信息安全防护和管理水平,探索了风险评估工作的基本规律和方法,检验并完善了有关标准,培养和锻炼了人才队伍。
    2005年12月16日,国家网络与信息安全协调小组正式通过了《关于开展信息安全风险评估的意见》,于2006年1月正式发布,标志着我国将开始在全国范围内,尤其是基础信息网络和重要信息系统,推进信息安全风险评估工作,使信息安全风险评估工作在实践中更加深入。该意见明确关系国计民生和社会稳定的基础信息网络和重要信息系统的信息安全风险评估技术服务由国家专控队伍承担。中国信息安全测评中心和国家信息技术安全研究中心是国家信息安全风险评估专控队伍。自2006年起,每年国信办都组织风险评估专控队伍对全国基础信息网络和重要信息系统进行检查。2006年3月7日,国信办分别在北京、云南组织召开了全面推进信息安全风险评估工作的宣贯会,由此拉开我国分步全面推广信息安全风险评估工作的序幕。
    2007年发布的GB/T 20984—2007《信息安全风险评估规范》和2009年发布的GB/Z 24364—2009《信息安全风险管理指南》,使我国的风险评估和风险管理工作更趋规范。

    2.2.5 灾难恢复

    灾难恢复能力是信息安全保障能力的重要组成部分。灾难性事件的破坏力是巨大的,然而最近几年,灾难性事件频发,由此导致很多关键业务系统中断,造成严重后果。确保灾难过后关键业务能在较短时间内恢复是信息安全保障工作的目标之一。灾难恢复规划是实现业务连续性的重要步骤,是信息安全保障实践的重要内容。
    1.?意义
    灾难恢复是指将信息系统从灾难造成的故障或瘫痪状态恢复到可正常运行状态,并将其支持的业务功能从不正常状态恢复到可接受状态而设计的活动和流程。
    当前,信息系统灾难恢复工作已经引起了国家、社会和单位的高度重视。灾难恢复是单位保持业务连续运作的需要,长期可持续发展的要求。它是单位加强风险管理,提高市场竞争力的重要手段,同时也是保证国家安全、人民利益、社会稳定和经济发展的需要。国内、外一系列已经发生的信息安全事件表明,如果没有应对灾难的准备和一定的恢复能力,重要信息系统一旦发生重大事故或者遭遇突发事件,将严重影响国民经济发展和社会稳定。灾难恢复是为高风险、低概率事件所准备的。在一般情况下,灾难恢复资源处于闲置状态,但当灾难来临时,若灾难备份中心不能正常发挥作用,将对单位和社会造成巨大的损失和影响。而信息系统灾难恢复管理是信息安全保障的重要组成部分,灾难恢复建设是现有信息系统安全保护的延伸,承载灾难恢复系统建设的灾备中心是保障信息安全的重要基础设施。灾难恢复是整个信息安全应急工作的一个重要环节,是信息安全综合保障的最后一道防线。我国政府高度重视重要信息系统的灾难备份和灾难恢复工作,出台了有关政策和指南。
    2.?实践历程
    20世纪90年代末期,一些单位在信息化建设的同时,开始关注数据的安全保护,进行数据的备份和恢复。但当时,无论从灾难恢复理论水平、重视程度、从业人员数量和质量,还是技术水平方面都很不成熟。
    2000年的“千年虫”事件和2001年的“9•11”事件引发了国内对信息系统灾难的集体性关注。随着国内信息化建设的不断完善,以及数据大集中的开展,国家对灾难恢复工作高度重视,越来越多的单位和部门认识到灾难恢复的重要性和必要性,开展灾难恢复建设的时机已基本成熟。
    2002年4月,银监会颁布了《商业银行内部控制指引》,其中第八章《计算机信息系统的内部控制》第一百一十七条指出:建立和健全计算机信息系统风险防范的制度,确保计算机信息系统设备、数据、系统运行和系统环境的安全;第一百三十一条中明确规定:商业银行应当建立计算机安全应急系统,制订详细的应急方案,并定期进行修订和演练。数据备份应当做到异地存放,在条件允许时,应当建立异地计算机灾难备份中心。2002年8月,人民银行下发的《中国人民银行关于加强银行数据集中安全工作的指导意见》中明确规定:“为保障银行业务的连续性,确保银行稳健运行,实施数据集中的银行必须建立相应的灾难备份中心”。
    2004年9月,国信办印发了《关于做好重要信息系统灾难备份工作的通知》(信安通[2004]11号),对做好国家重要信息系统灾难备份工作的主要目标、基本原则和近期任务提出了明确要求。文件强调了“统筹规划,资源共享,平战结合”的灾备工作原则。为进一步推动8个重点行业加快实施灾难恢复工作,国信办于2005年4月下发了《重要信息系统灾难恢复指南》(以下简称《指南》),指明了灾难恢复工作的流程,灾备中心的等级划分及灾难恢复预案的制定,使得灾难恢复建设迈上了一个新的台阶。
    2006年,在《指南》工作组的基础上,成立了标准工作组,编写《信息系统灾难恢复规范》(以下简称《规范》),编制任务由全国信息安全标准化委员会下达,由中国信息安全测评中心承担。2007年6月14日《规范》正式发布,编号为GB/T 20988—2007,这是我国灾难恢复行业第一部国家标准。
    除了国家政策上的支持,近年来,各行业为了提高信息系统的可靠性,也逐步展开了信息系统的灾难恢复建设。随着各单位对灾难恢复重视程度的提高,相关管理办法和规范陆续出台,2004年,中国灾难恢复市场开始初具规模。目前,深圳市已经开始建设灾备中心,北京、上海、广州和杭州等地方政府正在研究建设灾备中心。有关部委也在启动灾难恢复工作,海关总署已建成灾备中心,其他一些单位的灾备中心也在建设或规划中。
    2005年5月和2006年7月,在国务院信息办的指导下,中国信息产业商会信息安全产业分会分别在广东南海和北京成功举办了灾难恢复行业高层论坛和研讨会,对中国灾难恢复行业有序、健康发展起到了积极推动作用。
    2.2.6 人才队伍建设
    构建信息安全保障体系的各项工作,都需要具有相应信息安全知识和技能的人员来推动。然而,信息安全人才短缺却是当前我国信息安全保障工作面临的主要问题之一。针对这一现状,国家已经先后在多个政策和规划当中提出加快加强信息安全人才队伍建设的要求。
    1.?意义
    在整个信息安全保障工作中,人是最核心、最活跃的因素,信息安全保障工作最终也是通过人来落实的。因此,加快信息安全人才培养体系建设是发展我国信息安全保障体系必备的基础和先决条件。
    多年来,国家高度重视我国信息安全人才队伍的培养和建设。2003年9月,中共中央办公厅、国务院办公厅转发了《国家信息化领导小组关于加强信息安全保障工作的意见》(中办发[2003] 27号),针对信息安全人才建设与培养工作提出了“加快信息安全人才培养,增强全民信息安全意识”的指导精神。2010年4月6日,中央军委印发《关于加强新形势下军队信息安全保障工作的意见》,意见提出要加强信息安全人才队伍建设,抓好专业力量训练和组织运用,要充分发挥广大官兵在信息安全防护中的主体作用,采取多种形式开展信息安全教育,进一步增强信息安全意识。2012年5月,国务院常务会议发布了《关于大力推进信息化发展和切实保障信息安全的若干意见》,明确提出加强宣传教育和人才培养,开展面向全社会的信息化应用和信息安全宣传教育培训。
    我国培养信息安全人才以建成国家信息安全保障体系为目标,明确信息安全人才培养的使命,把培养信息安全高级人才与信息安全的普及教育相结合,提高公民的信息安全意识。在加强学科教育的同时,加大信息安全职业培训的规模,满足社会信息化发展的需求。
    2.?实践历程
    2005年,教育部发布《教育部关于进一步加强信息安全学科、专业建设和人才培养工作的意见》,从加强信息安全学科体系研究、信息安全硕士和博士点建设、稳定信息安全本科专业设置和建立信息安全继续教育制度等十个方面提出了指导性意见。2007年我国成立了“教育部高等学校信息安全类专业教学指导委员会”,进一步促进了高校的信息安全学科建设。
    1999~2012年,我国已有80余所高校建立了信息安全本科专业,每年培养信息安全类专业本科毕业生近万人,信息安全学科建设和人才培养进入热潮阶段。从2001年武汉大学创建全国第一个信息安全本科专业,到北京大学软件与微电子学院宣布正式成立信息安全系,各高校在互联网安全监察、等级保护、风险评估、网络攻防、内容安全、数字版权保护、安全策略管理、安全系统设计与监理、计算机犯罪取证、安全标准与管理规范等多个方面形成了信息安全工程硕士的培养体系,并已经向政府立法、执法、监管和广大企、事业单位输送了大批专门人才。我国信息安全专业教育已基本形成了从专科、本科、硕士、博士到博士后的正规高等教育人才培养体系。
    除正规大学教育外,我国信息安全非学历教育已基本形成了以各种认证为核心,辅以各种职业技能培训的信息安全人才培训体系。这种培训认证是提高信息安全从业人员整体水平,解决信息安全专业人才缺口的重要方法和途径。目前,我国信息安全认证培训主要是政府相关部门的认证,如中国信息安全测评中心的“注册信息安全专业人员”(Certified Information Security Professional,CISP)资质认证;以及一些信息安全企业认证,如微软、思科等。这些都对提高信息安全专业人员的理论和技术水平,提升信息安全产业的竞争能力,强化国家信息安全管理起到了重要作用。
    然而,我国现有信息安全人才培养状况尚不能满足国家政府部门、基础信息系统和网络等关系到国计民生的重要部门与行业的需求。一方面,国内每年对信息安全人才的需求量高达数十万,今后一段时间,还将持续增长,而人才供给(包括学历教育和在职教育)每年不到3万人,在未来一段时间内,信息安全从业人员的数量同社会实际需求仍然存在较大缺口。另一方面,信息安全人才综合能力要求高,知识更新快,而当前我国信息安全教育应用实践性不足,难以满足用人单位的深层次、个性化要求。

    展开全文
    weixin_34203426 2017-07-03 14:14:00
  • lemon89 2020-01-26 17:39:56
  • m0_47157676 2020-10-20 08:31:41
  • weixin_45448056 2019-08-21 20:16:10
  • wzhqazcscs 2016-10-06 10:11:44
  • ypshowm 2019-04-12 15:21:35
  • Hu1510592894 2019-03-26 17:22:01
  • yu826103408 2020-05-31 09:09:32
  • studyphp123 2018-11-07 15:19:50
  • weixin_42119753 2019-09-11 00:18:12
  • bring_ljw0086 2019-05-20 16:14:35
  • meili_xiaojiejie 2021-07-23 15:13:34
  • pk5478 2019-04-15 21:23:07
  • weixin_42137700 2019-03-12 12:48:59
  • qq_45180475 2020-07-04 17:53:10
  • system_err 2017-08-02 18:01:24
  • xiangyuenacha 2018-11-14 10:37:35
  • JimmyLincole 2013-11-03 13:15:21
  • love_Aym 2017-11-20 15:46:59
  • jdq8576 2018-05-15 09:09:43
  • lijock 2018-05-02 20:24:52
  • weixin_46495366 2020-04-13 18:08:57
  • weixin_42162940 2018-05-08 16:39:44

空空如也

空空如也

1 2 3 4 5 ... 20
收藏数 141,558
精华内容 56,623
关键字:

安全检查工作的特点