信息系统实体安全

第一节　信息系统实体安全

一、信息系统安全概念

多年来，国内外对信息系统安全的概念众说纷纭，包括国际信息处理联合会（IFIP）、计算机安全技术委员会（TC11）在内的不少具有一定权威的学术技术组织机构，一直未能就此统一看法。我国公安部在国内外众多说法的基础上，提出了信息系统安全的概念。

信息系统安全是指信息系统的硬件、软件、数据受到保护，系统能连续正常运行，不因偶然的或恶意的原因而遭到破坏、更改、显露。反过来，信息系统的不安全则称为信息系统危害。对照信息系统安全的概念，信息系统危害的概念就是：信息系统的硬件、软件、数据未受到保护，因偶然的或意外的原因而遭到破坏、更改、显露，系统不能连续正常运行。

上述定义，既说清了计算机安全的本质和核心，又顾及了安全所涉及的方面。从定义可知，安全的核心对象是信息系统。定义中所提到的信息系统，指的是信息赖以存在的实体和依赖于计算机实体所生成及运行的信息系统。

所谓信息系统实体，应包括计算机本身的硬件、软件、数据和各种接口，也应包括各种相应的外部设备以及形成计算机网络时应有的通信设备、线路和信道。信息系统之所以有用，是在信息形成了系统之后。信息系统实体本身再昂贵也是有价的；而形成的信息系统则是无价的，它所遭受的损害往往是无法弥补、难以挽回的。

“系统能连续正常运行”的安全定义进一步阐明信息系统的动态安全，所以一定要保证信息系统能正常运转，为我所用，发挥应有的效益。

“保护”的终极目标是信息系统的安全。为此，必须保护信息系统实体及其所在的环境。所谓环境，不仅指机房等物理环境，也包括系统所处的社会人文环境。

安全对抗的核心因素是人。信息系统、物理环境和社会人文环境，皆为人所控制，各种计算机危害除了难以预知和抗拒的天灾外，皆为人所致。人是最为活跃、能动的核心因素。唯有依靠人，采取技术的、管理的和法律的得力措施，才能把计算机危害抑制到最低限度。从这个意义上讲，计算机安全治理的核心问题是人的技术和职业道德教育。

二、信息系统面临的威胁和攻击

由于信息系统涉及有关国家安全的政治、经济和军事情况以及一些工商企业单位与私人的机密及敏感信息，因此它已成为敌对国家和组织以及一些非法用户或别有用心者威胁和攻击的主要对象。所以信息系统的安全越来越受到人们的广泛重视。

信息系统所面临的威胁和攻击，大体上可以分为两类：一类是对实体的威胁和攻击；另一类是对信息的威胁和攻击。计算机犯罪和计算机病毒则包括了对信息系统实体和信息两个方面的威胁和攻击。

1．对实体的威胁和攻击

对实体的威胁和攻击主要是指对计算机机器外部设备与网络的威胁和攻击，如各种自然灾害与人为的破坏、设备故障、场地和环境因素的影响、电磁场的干扰或电磁泄露、战争的破坏、各种媒体的被盗和失散等。这些因素所造成的损失的大小姑且不论，单就设备故障所造成的损失已使人们触目惊心。

对信息系统实体的威胁和攻击，不仅会造成国家财产的重大损失，而且会使信息系统的机密信息严重泄露和破坏。因此，对信息系统实体的保护是防止对信息威胁和攻击的首要一步，也是防止对信息威胁和攻击的天然屏障。

2．对信息的威胁和攻击

对信息的威胁和攻击主要有两种：一种是信息的泄露；另一种是信息的破坏。

（1）信息泄露：所谓信息泄露，就是偶然地或故意地获得（侦收、截获、窃取或分析破译）目标系统中的信息，特别是敏感信息，造成泄露事件。

（2）信息破坏：信息破坏是指由于偶然事故或人为破坏，使信息的正确性、完整性和可用性受到破坏，使得系统的信息被修改、删除、添加、伪造或非法复制，造成大量的信息被修改或丢失。

人为破坏有以下几种情况：

●利用系统本身的脆弱性。

●滥用特权身份。

●不合法地使用。

●修改或非法复制系统中的数据。

偶然事故有以下几种情况：

●软硬件的故障引起安全策略失效。

●工作人员的误操作使系统出错，使信息严重破坏或无意中让别人看到了机密信息。

●自然灾害的破坏，如洪水、地震、风暴、泥石流，使信息系统受到严重破坏。

●环境因素的突然变化，如高温或低温、各种污染破坏了空气洁净度，电源突然断电或受冲击而造成系统信息出错、丢失或破坏。

对信息的人为威胁称为攻击。对信息的攻击，可归纳为被动攻击和主动攻击两类。

被动攻击是指一切窃密的攻击。它是在不干扰系统正常工作的情况下进行侦收、截获、窃取系统信息，以便破译分析；利用观察信息、控制信息的内容来获得目标系统的位置、身份；利用研究机密信息的长度和传递的频度获得信息的性质。被动攻击不容易被用户察觉出来，因此它的攻击持续性和危害性都很大。

被动攻击的方法有：

●直接侦收。利用电磁传感器或隐藏的收发信息设备直接侦收或搭线侦收信息系统的中央处理机、外围设备、终端设备、通信设备或线路上的信息。

●截获信息。系统及设备在运行时，散射的电磁信号容易被截获。如离计算机显示终端百米左右，辐射信息强度可达30dBuV以上，因此可以在那里接受到稳定、清晰可辨的信息图像。此外，短波、超短波、微波和卫星等无线电通信设备也有相当大的辐射面，市话线路、长途架空明线等电磁辐射也相当严重，因此可利用系统设备的电磁辐射截获信息。

●合法窃取。利用合法用户身份，设法窃取未被授权的信息。

●破译分析。对于已经加密的机要信息，利用各种破译分析手段，获得机密信息。

●从遗弃的媒体中分析获取信息。如从信息中心遗弃的打印纸、各种记录和统计报表、丢失的软盘中获得有用的信息。

主动攻击：指篡改信息的攻击。它不仅能窃密，而且威胁到信息的完整性和可靠性。它是用各种各样的方式，有选择地修改、删除、添加、伪造和重排信息内容，造成信息破坏。

主动攻击包括：

●窃取并干扰通信线路中的信息。

●返回渗透。有选择地截取系统重要处理机的通信，然后将伪信息返回系统用户。

●线间插入。当合法用户已占用信道，但是终端设备还没有动作时，插入信息进行窃听或信息破坏活动。

●非法冒充。采取非常规的方法和手段，窃取合法用户的标识符，冒充合法用户进行窃取或信息破坏。

●系统人员的窃密和毁坏系统数据、信息的活动等。

3．计算机犯罪

计算机犯罪是利用暴力和非暴力形式，故意泄漏或破坏信息系统中的机密信息，以及危害系统实体和信息安全的不法行为。暴力形式是对计算机设备和设施进行物理破坏，如使用武器摧毁计算机设备，炸毁计算机中心建筑等。而非暴力形式是利用计算机技术进行犯罪活动。

三、信息系统的脆弱性

信息系统本身因为存在着一些脆弱性，所以常被非授权用户不断利用。他们对信息系统进行非法访问，这种非法访问使系统中存储的信息的完整性受到威胁，使信息被修改或破坏而不能继续使用，更为严重的是系统中有价值的信息被非法篡改、伪造、窃取或删除而不留任何痕迹。另外，计算机还易受到各种自然灾害和各种误操作的破坏。认识了信息系统的这种脆弱性，可以帮助我们找出有效的措施，来保证信息系统的安全。

信息系统的脆弱性主要表现在以下几个方面。

1．信息的高密度存储

在一张软盘或磁带中可以存储大量的信息，而它们又很容易放在口袋中带出去。这些存储介质也很容易受到意外损坏。不管哪种情况，都会造成大量信息的丢失。另外，存储介质还具有剩磁特点，存储介质中的信息如擦除不干净或不能完全擦除掉，会留下可读信息的痕迹，一旦被利用，就会泄密，同时大多数系统中，文件的删除仅仅是删除文件名，释放存储空间，并不是真正将信息全部擦除，利用这一特点，就可以窃得信息。

2．数据的易访问性

数据信息可以很容易地被拷贝下来而不留下任何痕迹，一台远程的终端上的用户可以通过计算机网络连接到信息中心的计算机上。在一定的条件下，终端用户可以访问到系统中的所有数据，并可以方便地将其复制、删改或破坏。

3．信息的聚集性

当信息以小块的分离的形式出现时，它的价值往往不大，但当大量信息聚集在一起时则显出它的重要性。信息系统的特点之一就是能将大量信息收集在一起，进行自动高效的处理，产生很有价值的结果，信息的这种聚集性与安全密切相关。信息系统的目的就是为用户提供所需要的信息，一些别有用心的人利用这一特点，就会突破系统保护数据所设置的关卡，非法取得信息。

4．电磁的泄露性

计算机的设备工作时，会辐射出电磁波，可以借助一些仪器在一定的范围里接收到这些电磁波。

5．通信网络的弱点

连接信息系统的网络有不少弱点，比如通过未受到保护的外部线路可以窃听和破坏传到系统的内部数据。

四、影响信息系统安全的因素

影响计算机安全的因素，可以分为自然因素和人为因素两大类。

1．自然因素

自然因素是指会对信息系统产生影响的各种自然力，它可以破坏信息系统的实体，也可以破坏信息。自然因素可以分为自然灾害、自然损坏、环境干扰等因素。

自然灾害：包括失火、地震、风暴、洪水、雷击、静电等灾害。

自然损坏：指因系统本身的脆弱性而造成的威胁。例如，元器件失效、设备故障、软件故障、设计问题、保护功能差和整个系统不协调等。

环境干扰：如高低温冲击、电压降低、过压或过载、震动冲击、电磁波干扰和辐射干扰等因素。

2．人为因素

人为因素分为无意损坏和有意破坏两种。

无意损坏：无意损坏是过失性的，是因人的疏忽大意造成的。例如，操作失误、错误理解、无意造成的信息泄露或破坏。

有意破坏：有意破坏是指直接破坏信息系统的设施或设备、盗窃资料及信息、非法使用资源、释放计算机病毒、篡改系统功能等。

另外，我们还可以从计算机安全治理的角度来划分，影响计算机安全的因素可以分为：自然灾害、故障、失误、违纪、违法、犯罪等。

五、信息系统的安全需求

信息系统的安全需求包括保密性、安全性、完整性、可靠性和可用性以及信息的有效性和合法性。

1．保密性

保密性就是利用密码技术对信息进行加密处理，以防信息被不合法的用户使用。信息系统能对信息的存储、传输进行加密保护，所采用的加密算法要有足够的保密强度，并有有效的密钥管理措施，在密钥的产生、存储、分配、更换、保管、使用和销毁过程中，密钥要难以被窃取，即使被窃取也没有关系。此外，还要能防止因电磁泄露而造成的信息泄密。

2．安全性

安全性指的是系统的程序和数据的安全程度，即防止非法使用和访问的程度。它分为内部安全和外部安全。内部安全是信息系统内部实现的，外部安全是在信息系统之外实现的。

3．完整性

完整性指程序和信息的完整程度，指程序和数据是否可以满足预定的要求。它是防止系统的程序和数据不被非法删改、复制和破坏，并保证其真实性和有效性的一种技术手段。完整性通常分为软件完整性和数据完整性。

（1）软件完整性：指软件要具有唯一标识，要拒绝跟踪；为了防止修改，软件要有抗分析能力和完整性检验手段，软件要进行加密处理。

（2）数据完整性：是指保证存储或传输的数据不被非法篡改或不被意外事件所破坏，从而使数据完整。

4．可靠性和可用性

可靠性即保证系统硬件和软件无故障或差错，具有完成指定任务的能力。可用性即保证合法用户能正确使用而不出现拒绝访问或使用，并且要防止非法用户进入系统访问、窃取系统资源和破坏系统，也要防止合法用户对系统的非法操作或使用。因此，要使用可靠性保证和故障诊断技术、识别技术和访问控制技术等。

5．信息的有效性和合法性

信息的接收方应能证实它所收到信息的内容和顺序都是真实的，应能检验接收到的信息是否错误或是某种信息的重播。信息交换的双方应能对对方的身份进行鉴别，以保证收到的信息是由确认的对方送过来的。信息的发送方可以要求对方提供回执，但不能否认从未发送过何种信息，信息的接收方不能对收到的信息进行任意修改或伪造，也不能抵赖所收到的信息。

六、安全系统的设计原则

为了保证信息系统的安全，防止非法入侵对系统进行威胁和攻击，要根据系统需求进行安全设计，美国著名的信息系统安全顾问C·C·沃德提出了23条设计原则，可作为设计依据和参考。

（1）成本效率原则：追求系统效率最高而成本最低，除军事设备外，不应用“大炮”去打“蚊子”。

（2）简单性原则：简单易行的控制比复杂控制更有效和更可靠，也更受人欢迎，而且省钱。

（3）超越控制原则：一旦控制失灵（紧急情况下）时，要采取预定的控制措施和方法步骤。

（4）公开设计与操作原则：保密并不是强有力的安全方式，过分依赖可能会导致控制失灵。对控制的公开设计和操作，反而会使信息保护得以增强。

（5）最小特权原则：只限于需要才基于这部分特权，但应限定其他系统特权。

（6）分工独立原则：控制、负责设计、执行和操作不应该是同一个人。

（7）设置陷阱原则：在访问控制中设置一种易入的“孔穴”，易引诱某些人进行非法访问，然后将其抓获。

（8）环境控制原则：对于环境控制这类问题，应予重视，而不能忽视。

（9）接受能力原则：如果各种控制手段不能为用户或受这种控制影响的人所接受，控制则无法实现。因此，采取的控制措施应使用户能够接受。

（10）承受能力原则：应该把各种控制设计成可对付最大多数的威胁，同时也能对付那些很少遇到威胁的系统。

（11）检查能力原则：要求各种控制手段能产生充分的证据，以显示已完成的操作是正确无误的。

（12）防御层次原则：要建立多重控制的强有力系统，如信息加密、访问控制和审计跟踪等。

（13）记账能力原则：无论谁进入系统后，对其所作所为一定要负责，且系统要予以详细登记。

（14）分割原则：把需要保护的东西分割为几个部分，并一一加以保护，以增强其安全性。

（15）环状结构原则：采用环状结构的控制方式最保险。

（16）外围控制原则：重视“篱笆”和“围墙”的控制作用。

（17）规范化原则：控制设计要规范化，建设成为“可论证的安全系统”。

（18）错误拒绝原则：当控制出错时，必须能完全关闭系统，以防止受到攻击。

（19）参数化原则：使控制方式能随着环境的改变予以调节。

（20）敌对环境原则：系统要建设成为可以抵御最坏的用户企图、容忍最差的用户能力及其他的用户错误。

（21）人为干预原则：在紧急关头或作出重大决策时，为慎重起见，必须有人为干预。

（22）隐蔽性原则：对职员和受控对象要隐蔽控制手段或操作的详情。

（23）安全印象原则：在公众面前应保持一种安全、平静的形象。

这些安全设计原则，对于任何一个信息系统的开发、使用、维护和管理都是十分重要的，具体实现这些原则，可以通过具体的安全技术方面来考虑并实现。

信息系统的安全技术主要包括以下几个方面：

●系统实体安全。

●系统操作系统安全。

●系统数据库安全。

●系统网络安全。