安全性是聯(lián)網(wǎng)技術(shù)中最關(guān)鍵的問(wèn)題之一。許多網(wǎng)絡(luò)已經(jīng)發(fā)生了災(zāi)難性事故或是安全方面出現(xiàn)了漏洞。目前,隨著IIIternet的飛速發(fā)展,網(wǎng)絡(luò)安全性問(wèn)題已變得越來(lái)越重要了。信息是社會(huì)發(fā)展的重要戰(zhàn)略資源,國(guó)際上圍繞信息的獲取、使用和控制展開(kāi)了全面的競(jìng)爭(zhēng)。
從廣義上講,網(wǎng)絡(luò)安全性指確保網(wǎng)絡(luò)上的信息和服務(wù)不被未經(jīng)授權(quán)的用戶使用。為提供信息的安全性,對(duì)物理和抽象的資源都要加以保護(hù),防止竊聽(tīng)。物理資源包括無(wú)源的存儲(chǔ)設(shè)備,如磁帶、磁盤(pán);有源設(shè)備,如計(jì)算機(jī);以及構(gòu)成網(wǎng)絡(luò)基礎(chǔ)結(jié)構(gòu)的電纜、光纜和網(wǎng)絡(luò)設(shè)備。雖然物理安全性很少被提到,但它在全面的安全規(guī)劃中的確經(jīng)常起著重要的作用。
信息安全產(chǎn)品和信息系統(tǒng)固有的敏感性及特殊性,直接影響著國(guó)家的安全利益和經(jīng)濟(jì)利益。因此,各國(guó)政府紛紛采取頒布標(biāo)準(zhǔn)、實(shí)行測(cè)評(píng)和認(rèn)證制度等方式,對(duì)信息技術(shù)和安全產(chǎn)品的研制、生產(chǎn)、銷(xiāo)售、使用及進(jìn)出口實(shí)行嚴(yán)格、有效的管理與控制,并建立了與自身的信息化發(fā)展相適應(yīng)的測(cè)評(píng)認(rèn)證體系。
國(guó)外從20世紀(jì)70年代起就開(kāi)展了建立安全保密標(biāo)準(zhǔn)的制定工作,美國(guó)于1985年批準(zhǔn)了"可信計(jì)算機(jī)系統(tǒng)安全評(píng)價(jià)準(zhǔn)則(TCSEC)",為計(jì)算機(jī)安全產(chǎn)品的評(píng)測(cè)提供了測(cè)試準(zhǔn)則和方法,指導(dǎo)信息安全產(chǎn)品的制造和應(yīng)用,并建立了關(guān)于網(wǎng)絡(luò)系統(tǒng)、數(shù)據(jù)庫(kù)等的安全解釋。由于Internet技術(shù)的廣泛應(yīng)用,信息系統(tǒng)安全問(wèn)題日益嚴(yán)重并出現(xiàn)了新的問(wèn)題,1992年12月,美國(guó)頒布了新的聯(lián)邦評(píng)測(cè)準(zhǔn)則(FC)來(lái)替代80年代頒布的TCSEC準(zhǔn)則。FC中引入了"保護(hù)輪廓(PP)"這一重要概念,其分級(jí)方式與TCSEC不同,每個(gè)輪廓都包括功能部分、開(kāi)發(fā)保證部分和評(píng)測(cè)部分。
在歐洲,以英國(guó)、荷蘭和法國(guó)為主,聯(lián)合研制歐洲共同的安全評(píng)測(cè)標(biāo)準(zhǔn),并于1991年頒布了包括數(shù)據(jù)保密性、完整性、可用性概念的"信息技術(shù)安全評(píng)價(jià)準(zhǔn)則(ITSEC)"。1993年,加拿大頒布了"加拿大可信計(jì)算機(jī)產(chǎn)品評(píng)測(cè)標(biāo)準(zhǔn)(CTCPEC)"。近年來(lái),隨著世界市場(chǎng)上對(duì)信息安全產(chǎn)品的需求迅速增長(zhǎng)以及對(duì)系統(tǒng)安全的挑戰(zhàn)不斷加劇,美國(guó)、加拿大和歐洲一些國(guó)家聯(lián)合起來(lái),在美國(guó)的TCSEC、歐洲的ITSEC、加拿大的CTCPEC、美國(guó)的FC等信息安全準(zhǔn)則的基礎(chǔ)上,提出了"信息技術(shù)安全評(píng)價(jià)通用準(zhǔn)則CC,CC主要面向信息系統(tǒng)的用戶、開(kāi)發(fā)者和評(píng)估者,通過(guò)建立這樣一個(gè)標(biāo)準(zhǔn),使用戶可以用它確定對(duì)各種信息產(chǎn)品的信息安全要求,使開(kāi)發(fā)者可以用它來(lái)描述其產(chǎn)品的安全特性,使評(píng)估者可以對(duì)產(chǎn)品安全性的可信度進(jìn)行評(píng)估。CC的目的是形成一個(gè)關(guān)于信息安全的單一國(guó)際標(biāo)準(zhǔn),從而使信息安全產(chǎn)品的開(kāi)發(fā)者和信息安全產(chǎn)品能在全世界范圍內(nèi)發(fā)展?？傊?CC是安全準(zhǔn)則的集合,也是構(gòu)建安全要求的工具,對(duì)于信息系統(tǒng)的用戶、開(kāi)發(fā)者和評(píng)估者都有重要的意義。1999年5月,國(guó)際標(biāo)準(zhǔn)化組織(ISO)和國(guó)際電聯(lián)(IEC)通過(guò)了將CC作為國(guó)際標(biāo)準(zhǔn)ISO/IEC15408信息技術(shù)安全評(píng)估準(zhǔn)則的最后文本。
從TCSEC,ITSEC和ISO/IEC15408信息技術(shù)安全評(píng)估準(zhǔn)則中可以看出,評(píng)估準(zhǔn)則不僅評(píng)估產(chǎn)品本身,還評(píng)估開(kāi)發(fā)過(guò)程和使用操作,強(qiáng)調(diào)安全的全過(guò)程性。ISO/IEC15408的出臺(tái),表明了安全技術(shù)的發(fā)展趨勢(shì)。
1999年2月,我國(guó)正式成立了"中國(guó)國(guó)家信息安全測(cè)評(píng)認(rèn)證中心(CNISTEC)"。同時(shí),國(guó)家質(zhì)量技術(shù)監(jiān)督局成立了"國(guó)家信息安全測(cè)評(píng)認(rèn)證管理委員會(huì)",并批準(zhǔn)了"國(guó)家信息安全測(cè)評(píng)認(rèn)證管理辦法"、"國(guó)家信息安全測(cè)評(píng)認(rèn)證標(biāo)志"和"第一批實(shí)施測(cè)評(píng)認(rèn)證的信息安全產(chǎn)品目錄.由于信息的特殊性,保護(hù)像信息這樣的資源,一般來(lái)說(shuō),比提供物理安全性更加困難,數(shù)據(jù)完整性(即保護(hù)信息不被未授權(quán)地改變)是關(guān)鍵;數(shù)據(jù)可用性(即保證非法者不能阻止對(duì)數(shù)據(jù)的合法訪問(wèn))也是個(gè)關(guān)鍵;又由于信息在穿越網(wǎng)絡(luò)時(shí)可以被復(fù)制,所以必須防止數(shù)據(jù)未經(jīng)授權(quán)被監(jiān)聽(tīng),也就是網(wǎng)絡(luò)安全性必須保護(hù)隱私,即確保數(shù)據(jù)的保密性。一般說(shuō)來(lái),網(wǎng)絡(luò)環(huán)境下的信息安全問(wèn)題包括:密碼體系、安全體系、信息偽裝、信息對(duì)抗等很多方面。
網(wǎng)絡(luò)安全提供的服務(wù):實(shí)體認(rèn)證、訪問(wèn)控制、數(shù)據(jù)保密、信息流安全、數(shù)據(jù)完整性、數(shù)據(jù)源點(diǎn)認(rèn)證、防止否認(rèn)等。網(wǎng)絡(luò)安全方面的主要策略:安全計(jì)劃、站點(diǎn)安全、安全責(zé)任、應(yīng)急計(jì)劃、事件報(bào)告、監(jiān)視計(jì)劃、安全策略宣傳。
網(wǎng)絡(luò)安全技術(shù)主要有四個(gè)方面:一是主動(dòng)防御技術(shù),主要包括密碼機(jī)制、身份認(rèn)證、存取控制、授權(quán)、VPN(虛擬專用網(wǎng));二是被動(dòng)防御技術(shù):防火墻、安全掃描、防病毒、密碼檢查、計(jì)賬、路由過(guò)濾、物理及管理安全等;三是加密技術(shù):四是身份認(rèn)證和數(shù)字簽名。網(wǎng)絡(luò)安全方面的主要產(chǎn)品:防火墻、入侵檢測(cè)系統(tǒng)、認(rèn)證系統(tǒng)、加密解密系統(tǒng)、防病毒工具、漏洞掃描系統(tǒng)、審計(jì)系統(tǒng)、訪問(wèn)控制系統(tǒng)等。
從廣義上講,網(wǎng)絡(luò)安全性指確保網(wǎng)絡(luò)上的信息和服務(wù)不被未經(jīng)授權(quán)的用戶使用。為提供信息的安全性,對(duì)物理和抽象的資源都要加以保護(hù),防止竊聽(tīng)。物理資源包括無(wú)源的存儲(chǔ)設(shè)備,如磁帶、磁盤(pán);有源設(shè)備,如計(jì)算機(jī);以及構(gòu)成網(wǎng)絡(luò)基礎(chǔ)結(jié)構(gòu)的電纜、光纜和網(wǎng)絡(luò)設(shè)備。雖然物理安全性很少被提到,但它在全面的安全規(guī)劃中的確經(jīng)常起著重要的作用。
信息安全產(chǎn)品和信息系統(tǒng)固有的敏感性及特殊性,直接影響著國(guó)家的安全利益和經(jīng)濟(jì)利益。因此,各國(guó)政府紛紛采取頒布標(biāo)準(zhǔn)、實(shí)行測(cè)評(píng)和認(rèn)證制度等方式,對(duì)信息技術(shù)和安全產(chǎn)品的研制、生產(chǎn)、銷(xiāo)售、使用及進(jìn)出口實(shí)行嚴(yán)格、有效的管理與控制,并建立了與自身的信息化發(fā)展相適應(yīng)的測(cè)評(píng)認(rèn)證體系。
國(guó)外從20世紀(jì)70年代起就開(kāi)展了建立安全保密標(biāo)準(zhǔn)的制定工作,美國(guó)于1985年批準(zhǔn)了"可信計(jì)算機(jī)系統(tǒng)安全評(píng)價(jià)準(zhǔn)則(TCSEC)",為計(jì)算機(jī)安全產(chǎn)品的評(píng)測(cè)提供了測(cè)試準(zhǔn)則和方法,指導(dǎo)信息安全產(chǎn)品的制造和應(yīng)用,并建立了關(guān)于網(wǎng)絡(luò)系統(tǒng)、數(shù)據(jù)庫(kù)等的安全解釋。由于Internet技術(shù)的廣泛應(yīng)用,信息系統(tǒng)安全問(wèn)題日益嚴(yán)重并出現(xiàn)了新的問(wèn)題,1992年12月,美國(guó)頒布了新的聯(lián)邦評(píng)測(cè)準(zhǔn)則(FC)來(lái)替代80年代頒布的TCSEC準(zhǔn)則。FC中引入了"保護(hù)輪廓(PP)"這一重要概念,其分級(jí)方式與TCSEC不同,每個(gè)輪廓都包括功能部分、開(kāi)發(fā)保證部分和評(píng)測(cè)部分。
在歐洲,以英國(guó)、荷蘭和法國(guó)為主,聯(lián)合研制歐洲共同的安全評(píng)測(cè)標(biāo)準(zhǔn),并于1991年頒布了包括數(shù)據(jù)保密性、完整性、可用性概念的"信息技術(shù)安全評(píng)價(jià)準(zhǔn)則(ITSEC)"。1993年,加拿大頒布了"加拿大可信計(jì)算機(jī)產(chǎn)品評(píng)測(cè)標(biāo)準(zhǔn)(CTCPEC)"。近年來(lái),隨著世界市場(chǎng)上對(duì)信息安全產(chǎn)品的需求迅速增長(zhǎng)以及對(duì)系統(tǒng)安全的挑戰(zhàn)不斷加劇,美國(guó)、加拿大和歐洲一些國(guó)家聯(lián)合起來(lái),在美國(guó)的TCSEC、歐洲的ITSEC、加拿大的CTCPEC、美國(guó)的FC等信息安全準(zhǔn)則的基礎(chǔ)上,提出了"信息技術(shù)安全評(píng)價(jià)通用準(zhǔn)則CC,CC主要面向信息系統(tǒng)的用戶、開(kāi)發(fā)者和評(píng)估者,通過(guò)建立這樣一個(gè)標(biāo)準(zhǔn),使用戶可以用它確定對(duì)各種信息產(chǎn)品的信息安全要求,使開(kāi)發(fā)者可以用它來(lái)描述其產(chǎn)品的安全特性,使評(píng)估者可以對(duì)產(chǎn)品安全性的可信度進(jìn)行評(píng)估。CC的目的是形成一個(gè)關(guān)于信息安全的單一國(guó)際標(biāo)準(zhǔn),從而使信息安全產(chǎn)品的開(kāi)發(fā)者和信息安全產(chǎn)品能在全世界范圍內(nèi)發(fā)展?？傊?CC是安全準(zhǔn)則的集合,也是構(gòu)建安全要求的工具,對(duì)于信息系統(tǒng)的用戶、開(kāi)發(fā)者和評(píng)估者都有重要的意義。1999年5月,國(guó)際標(biāo)準(zhǔn)化組織(ISO)和國(guó)際電聯(lián)(IEC)通過(guò)了將CC作為國(guó)際標(biāo)準(zhǔn)ISO/IEC15408信息技術(shù)安全評(píng)估準(zhǔn)則的最后文本。
從TCSEC,ITSEC和ISO/IEC15408信息技術(shù)安全評(píng)估準(zhǔn)則中可以看出,評(píng)估準(zhǔn)則不僅評(píng)估產(chǎn)品本身,還評(píng)估開(kāi)發(fā)過(guò)程和使用操作,強(qiáng)調(diào)安全的全過(guò)程性。ISO/IEC15408的出臺(tái),表明了安全技術(shù)的發(fā)展趨勢(shì)。
1999年2月,我國(guó)正式成立了"中國(guó)國(guó)家信息安全測(cè)評(píng)認(rèn)證中心(CNISTEC)"。同時(shí),國(guó)家質(zhì)量技術(shù)監(jiān)督局成立了"國(guó)家信息安全測(cè)評(píng)認(rèn)證管理委員會(huì)",并批準(zhǔn)了"國(guó)家信息安全測(cè)評(píng)認(rèn)證管理辦法"、"國(guó)家信息安全測(cè)評(píng)認(rèn)證標(biāo)志"和"第一批實(shí)施測(cè)評(píng)認(rèn)證的信息安全產(chǎn)品目錄.由于信息的特殊性,保護(hù)像信息這樣的資源,一般來(lái)說(shuō),比提供物理安全性更加困難,數(shù)據(jù)完整性(即保護(hù)信息不被未授權(quán)地改變)是關(guān)鍵;數(shù)據(jù)可用性(即保證非法者不能阻止對(duì)數(shù)據(jù)的合法訪問(wèn))也是個(gè)關(guān)鍵;又由于信息在穿越網(wǎng)絡(luò)時(shí)可以被復(fù)制,所以必須防止數(shù)據(jù)未經(jīng)授權(quán)被監(jiān)聽(tīng),也就是網(wǎng)絡(luò)安全性必須保護(hù)隱私,即確保數(shù)據(jù)的保密性。一般說(shuō)來(lái),網(wǎng)絡(luò)環(huán)境下的信息安全問(wèn)題包括:密碼體系、安全體系、信息偽裝、信息對(duì)抗等很多方面。
網(wǎng)絡(luò)安全提供的服務(wù):實(shí)體認(rèn)證、訪問(wèn)控制、數(shù)據(jù)保密、信息流安全、數(shù)據(jù)完整性、數(shù)據(jù)源點(diǎn)認(rèn)證、防止否認(rèn)等。網(wǎng)絡(luò)安全方面的主要策略:安全計(jì)劃、站點(diǎn)安全、安全責(zé)任、應(yīng)急計(jì)劃、事件報(bào)告、監(jiān)視計(jì)劃、安全策略宣傳。
網(wǎng)絡(luò)安全技術(shù)主要有四個(gè)方面:一是主動(dòng)防御技術(shù),主要包括密碼機(jī)制、身份認(rèn)證、存取控制、授權(quán)、VPN(虛擬專用網(wǎng));二是被動(dòng)防御技術(shù):防火墻、安全掃描、防病毒、密碼檢查、計(jì)賬、路由過(guò)濾、物理及管理安全等;三是加密技術(shù):四是身份認(rèn)證和數(shù)字簽名。網(wǎng)絡(luò)安全方面的主要產(chǎn)品:防火墻、入侵檢測(cè)系統(tǒng)、認(rèn)證系統(tǒng)、加密解密系統(tǒng)、防病毒工具、漏洞掃描系統(tǒng)、審計(jì)系統(tǒng)、訪問(wèn)控制系統(tǒng)等。