2.1.4信息安全

       常见的信息安全问题主要表现为：计算机病毒泛滥、恶意软件的入侵、黑客攻击、利用计算机 犯罪、网络有害信息泛滥、个人隐私泄露等。随着物联网、云计算、人工智能、大数据等新一代信 息技术的广泛应用，信息安全也面临着新的问题和挑战。

1.信息安全基础

       CIA三要素是保密性（ Confidentiality）、完整性（Integrity）和可用性（Availability）（ 中23下 2次、23上、22下、22下广、中21上）三个词的缩写。CIA是系统安全设计的目标。保密性、完整  性和可用性是信息安全最为关注的三个属性，因此这三个特性也经常被称为信息安全三元组，这也 是信息安全通常所强调的目标。信息安全已经成为一门涉及计算机科学、网络技术、通信技术、密 码技术、信息安全技术、应用数学、数论和信息论等多种学科的综合性学科。从广义上来说，凡是 涉及网络上信息的保密性、完整性、可用性、真实性和可核查性的相关技术和理论都属于信息安全 的研究领域。

（1）保密性是指“信息不被泄露给未授权的个人、实体和过程，或不被其使用的特性 ”（中23 下） 。简单地说，就是确保所传输的数据只被其预定的接收者读取。同时，使用什么样的方式来实 现保密性以保护数据、对象、资源机密性尤为关键。加密、访问控制、信息隐写都是实现保密性的 方式。机密性还涉及其他的概念、条件和方面，如敏感度、 自由裁量权、危机程度、隐蔽、保密、 隐私、隔离。

（2）完整性是指“保护资产的正确和完整的特性 ”。简单地说，就是确保接收到的数据即是发 送的数据，数据不应该被改变。完整性保证没有未授权的用户修改数据，可以从以下3个方面检验 完整性：（ 高23上、21上、20下、中22上广、中21下、21上、19下）

●阻止未授权主体作出的修改；

●阻止授权主体可以做未授权的修改，比如误操作；

●确保数据没有被改变，这需要某种方法去进行验证。

完整性还包括其他的概念、条件和方面，如准确度、真实性、不可抵赖性、责任和职责、全面 性等。

（3）可用性是指“需要时，授权实体可以访问和使用的特性 ”。可用性确保数据在需要时可以 使用。尽管传统上认为可用性并不属于信息安全的范畴，但随着拒绝服务攻击的逐渐盛行，要求数 据总能保持可用性就显得十分关键了。

       CIA三要素有其局限性。CIA三元组关注的重心在信息，虽然这是大多数信息安全的核心要素，但对于信息系统安全而言，仅考虑CIA是不够的。信息安全的复杂性决定了还存在其他的重要因素。CIA给出了一个信息系统整体安全模型框架，能帮助信息化工作人员在制定安全策略时形成 思路，但这并不是所有需要考虑的策略。CIA三元组可以作为规划、实施量化安全策略的基本原则，但是我们也应该认识到它的局限性。

       信息必须依赖其存储、传输、处理及应用的载体（媒介）而存在，因此针对信息系统安全可以 划分为以下四个层次：设备安全、数据安全、内容安全和行为安全（ 高19上）。

1 ）设备安全

信息系统设备的安全是信息系统安全的首要问题，主要包括三个方面：（ 高21下）

●设备的稳定性。设备在一定时间内不出故障的概率。（ 高18上）

●设备的可靠性。设备能在一定时间内正常执行任务的概率。

●设备的可用性。设备随时可以正常使用的概率。

信息系统的设备安全是信息系统安全的物质基础。除了硬件设备外，软件系统也是一种设备， 也要确保软件设备的安全。

2 ）数据安全

数据安全属性包括秘密性、完整性和可用性。很多情况下，即使信息系统设备没有受到损坏， 但其数据安全也可能已经受到危害，如数据泄露、数据篡改等。由于危害数据安全的行为具有较高 的隐蔽性，数据应用用户往往并不知情，因此危害性很高。（ 高19下）

3 ） 内容安全

内容安全是信息安全在政治、法律、道德层次上的要求。内容安全包括：信息内容在政治上是 健康的；信息内容符合国家的法律法规；信息内容符合中华民族优良的道德规范等。除此之外，广 义的内容安全还包括信息内容保密、知识产权保护、信息隐藏和隐私保护等诸多方面。如果数据中充斥着不健康的、违法的、违背道德的内容，即使它是保密的、未被篡改的，也不能说是安全的。 （高22下）

4 ）行为安全（ 不是指人的行为）

数据安全本质上是一种静态的安全，而行为安全是一种动态安全，主要包括：

●行为的秘密性。行为的过程和结果不能危害数据的秘密性。必要时，行为的过程和结果也应 是秘密的。

●行为的完整性。行为的过程和结果不能危害数据的完整性，行为的过程和结果是可预期的。

●行为的可控性。行为的过程出现偏离预期时，能够发现、控制或纠正。

行为安全强调过程安全，体现在组成信息系统的硬件设备、软件设备和应用系统协调工作的程 序（执行序列）符合系统设计的预期.这样才能保证信息系统的整体安全。

2.加密与解密

       为了保证信息的安全性，就需要采用信息加密技术对信息进行伪装，使得信息非法窃取者无法 理解信息的真实含义，信息的合法拥有者可以利用特征码对信息的完整性进行校验。采用加密算法 对信息使用者的身份进行认证、识别和确认， 以对信息的使用进行控制。

       加密技术包括两个元素：算法和密钥。密钥加密技术的密码体制分为对称密钥体制和非对称密 钥体制两种。相应地，对数据加密的技术分为两类，即对称加密（私人密钥加密）和非对称加密 （公开密钥加密） 。对称加密以数据加密标准（DataEncryptionStandard ，DES）算法为典型代表， 非对称加密通常以RSA（RivestShamirAdleman）算法为代表（ 高22上） 。对称加密的加密密钥和 解密密钥相同，而非对称加密的加密密钥和解密密钥不同，加密密钥可以公开而解密密钥需要保 密。

1 ）对称加密技术DE（ 高22下）

       对称加密采用了对称密码编码技术，它的特点是文件加密和解密使用相同的密钥，即加密密钥 也可以用作解密密钥，这种方法在密码学中叫作对称加密算法，对称加密算法使用起来简单快捷， 密钥较短，且破译困难。

2 ）非对称加密技术RSA（ 高21下、21上）

       公开密钥密码的基本思想是将传统密码的密钥K一分为二，分为加密钥Ke和解密钥Kd ，用加  密钥Ke控制加密，用解密钥Kd控制解密，这样即使是将Ke公开也不会暴露Kd ，也不会损害密码的 安全。由于Ke是公开的，只有Kd是保密的，所以便从根本上克服了传统密码在密钥分配上的困难。当前公开密钥密码有基于大合数因子分解困难性的RAS密码类和基于离散对数问题困难性的  EIGamal密码类。由于RSA密码既可用于加密，又可用于数字签名，安全、易懂，因此RSA密码已成为目前应用最广泛的公开密钥密码。

3 ）Hash函数

       Hash函数将任意长的报文M映射为定长的Hash码，也称报文摘要，它是所有报文位的函数，具 有错误检测能力：即改变报文的任何一位或多位，都会导致Hash码的改变。在实现认证过程中，发 送方将Hash码附于要发送的报文之后发送给接收方，接收方通过重新计算Hash码来认证报文，从而实现保密性、报文认证以及数字签名的功能。

4 ）数字签名

       签名是证明当事者的身份和数据真实性的一种信息（ 中21下） 。在信息化环境下，以网络为信 息传输基础的事务处理中，事务处理各方应采用电子形式的签名，即数字签名（Digital

Signature） 。 目前，数字签名已得到一些国家的法律支持。完善的数字签名体系应满足：

●签名者事后不能抵赖自己的签名；

●任何其他人不能伪造签名；

●如果当事的双方关于签名的真伪发生争执，能够在公正的仲裁者面前通过验证签名来确认其 真伪。

利用RSA密码可以同时实现数字签名和数据加密。

5 ）认证

       认证（Authentication）又称鉴别或确认，它是证实某事是否名副其实或是否有效的一个过程。认证和加密的区别在于：加密用以确保数据的保密性，阻止对手的被动攻击，如截取、窃听等；而认证用以确保报文发送者和接收者的真实性以及报文的完整性，阻止对手的主动攻击，如冒 充、纂改、重播等。认证往往是许多应用系统中安全保护的第一道防线，因而极为重要。认证系统 常用的参数有口令、标识符、密钥、信物、智能卡、指纹、视网纹等。认证和数字签名技术都是确 保数据真实性的措施，但两者有着明显的区别：（ 高18上）

●认证总是基于某种收发双方共享的保密数据来认证被鉴别对象的真实性，而数字签名中用于 验证签名的数据是公开的。

●认证允许收发双方互相验证其真实性，不准许第三者验证，而数字签名允许收发双方和第三 者验证。

●数字签名具有发送方不能抵赖、接收方不能伪造和具有在公证人前解决纠纷的能力，而认证 则不一定具备。

3.信息系统安全

       信息系统一般由计算机系统、网络系统、操作系统、数据库系统和应用系统组成，与此对应，信息系统安全主要包括计算机设备安全、网络安全、操作系统安全、数据库系统安全和应用系统安 全等。

1 ）计算机设备安全

保证计算机设备的运行安全是信息系统安全最重要的内容之一。除完整性、机密性和可用性 外，计算机设备安全还要包括：

●抗否认性。抗否认性是指能保障用户无法在事后否认曾经对信息进行的生成、签发、接收等 行为的特性。一般通过数字签名来提供抗否认服务。

●可审计性。利用审计方法，可以对计算机信息系统的工作过程进行详尽的审计跟踪，同时保 存审计记录和审计日志，从中可以发现问题。

●可靠性。可靠性指计算机在规定的条件下和给定的时间内完成预定功能的概率。

2 ）网络安全

       网络作为信息的收集、存储、分配、传输、应用的主要载体，其安全对整个信息的安全起着至 关重要甚至是决定性的作用。网络环境是信息共享、信息交流、信息服务的理想空间。互联网（Internet）与生俱来的开放性、交互性和分散性特征，在满足人们开放、灵活、快速地分享信息的 同时，也同时带来了网络安全的相关问题。

●信息泄露、信息污染、信息不易受控。

●信息泄密、信息破坏、信息侵权和信息渗透。

●网站遭受恶意攻击而导致损坏和瘫痪。

       互联网是以TCP/IP网络协议为基础的，没有针对信息安全问题在协议层面做专门的设计、这是 网络信息安全问题频繁出现且不易解决的根本原因。常见的网络威胁包括：

●网络监听。

●口令攻击。

●拒绝服务（DoS）攻击及分布式拒绝服务（DDoS）攻击。

●漏洞攻击。例如利用Web安全漏洞和OpenSSL安全漏洞实施攻击。

●僵尸网络（Botnet）。

●网络钓鱼（Phishing）。

●网络欺骗。网络欺骗主要有ARP欺骗、DNS欺骗、IP欺骗、Web欺骗、E-mail欺骗等。

●网站安全威胁。网站安全威胁主要有SQL注入攻击、跨站攻击、旁注攻击等。

●高级持续性威胁（APT）。

3 ）操作系统安全

       操作系统是计算机系统最基础的软件，实质上是一个资源管理系统，管理着计算机系统的各种 资源，用户通过它获得对资源的访问权限。

       操作系统安全是计算机系统软件安全的必要条件，若没有操作系统提供的基础安全性，信息系 统的安全性是没有基础的。按照安全威胁的表现形式来划分，操作系统面临的安全威胁主要有：

●计算机病毒。

●逻辑炸弹。

●特洛伊木马。

●后门。后门指的是嵌在操作系统中的一段非法代码，渗透者可以利用这段代码侵入系统。安 装后门的目的就是为了渗透。

●隐蔽通道。隐蔽通道可定义为系统中不受安全策略控制的、违反安全策略、非公开的信息泄 露路径。

4）数据库系统安全

       数据库系统是存储、管理、使用和维护数据的平台。数据库安全主要指数据库管理系统安全， 其安全问题可以认为是用于存储而非传输的数据的安全问题。

5）应用系统安全

       应用系统安全是以计算机设备安全、网络安全和数据库安全为基础的，采取有效的防病毒、防 篡改和版本检查审计，确保应用系统自身执行程序和配置文件的合法性、完整性是极其重要的安全 保证措施。

       当前大部分应用系统的数据管理、业务处理逻辑、结果展现控制、并发处理等都是由服务器端 完成的，而服务器端的应用大部分是基于Web的，因此围绕Web的安全管理是应用系统安全最重要 的内容之一。

4. 网络安全技术（ 高19下、19上）

       网络安全技术主要包括：防火墙、入侵检测与防护、VPN 、安全扫描、网络蜜罐技术、用户和 实体行为分析技术等。

1 ）防火墙（ 中23下2次、20下）

       防火墙是建立在内外网络边界上的过滤机制， 内部网络被认为是安全和可信赖的，而外部网络 被认为是不安全和不可信赖的。防火墙可以监控进出网络的流量，仅让安全、核准的信息进入，同 时抵御企业内部发起的安全威胁。防火墙的主要实现技术有：数据包过滤、应用网关和代理服务等。

2 ）入侵检测与防护

       入侵检测与防护技术主要有两种：入侵检测系统（Intusion Detection System ，IDS）和入侵防 护系统（Intrusion Prevention System ，IPS）。

       入侵检测系统（IDS）注重网络安全状况的监管，通过监视网络或系统资源，寻找违反安全策 略的行为或攻击迹象并发出报警（ 高18上）。因此绝大多数IDS系统都是被动的。

       入侵防护系统（IPS）倾向于提供主动防护，注重对入侵行为的控制。其设计宗旨是预先对入  侵活动和攻击性网络流量进行拦截，避免造成损失。IPS是通过直接嵌入到网络流量中实现这一功  能的，即通过一个网络端口接收来自外部系统的流量，经过检查确认其中不包含异常活动或可疑内 容后，再通过另外一个端口将它传送到内部系统中。这样一来，有问题的数据包以及所有来自同一 数据流的后续数据包，都能在IPS设备中被清除掉。

3 ）虚拟专用网络（VirtualPrivateNetwork ，VPN）

       VPN是依靠ISP（Internet服务提供商）和其他NSP（网络服务提供商），在公用网络中建立专  用的、安全的数据通信通道的技术。VPN可以认为是加密和认证技术在网络传输中的应用。VPN网 络连接由客户机、传输介质和服务器三部分组成，VPN的连接不是采用物理的传输介质，而是使用 称之为“隧道 ”的技术作为传输介质，这个隧道是建立在公共网络或专用网络基础之上的。常见的 隧道技术包括：点对点隧道协议（Point-to-Point Tunneling Protocol ，PPTP）、第2层隧道协议（Layer 2 Tunneling Protocol ，L2TP）和IP安全协议（IPSec）。

4 ）安全扫描

       安全扫描包括漏洞扫描、端口扫描、密码类扫描（发现弱口令密码）等。安全扫描可以应用被 称为扫描器的软件来完成，扫描器是最有效的网络安全检测工具之一，它可以自动检测远程或本地 主机、网络系统的安全弱点以及可能被利用的系统漏洞。（ 中22下广、中21上）

5 ）网络蜜罐技术

       蜜罐（Honeypot）技术是一种主动防御技术，是入侵检测技术的一个重要发展方向，也是一个 “诱捕 ”攻击者的陷阱。蜜罐系统是一个包含漏洞的诱骗系统，它通过模拟一个或多个易受攻击的  主机和服务，给攻击者提供一个容易攻击的目标。攻击者往往在蜜罐上浪费时间，延缓对真正目标 的攻击。由于蜜罐技术的特性和原理，使得它可以对入侵的取证提供重要的信息和有用的线索，便 于研究入侵者的攻击行为。

5.Web威胁防护技术

       基于Web的业务平台已经得到广泛应用，网络攻击者利用相关漏洞获取Web服务器的控制权 限，轻则纂改网页内容，重则窃取重要内部数据，更为严重的则是在网页中植入恶意代码，带来严 重的安全事故。当前Web面临的主要威胁包括：可信任站点的漏洞、浏览器和浏览器插件的漏洞、终端用户的安全策略不健全、携带恶意软件的移动存储设备、网络钓鱼、僵尸网络、带有键盘记录 程序的木马等。

       Web威胁防护技术主要包括：Web访问控制技术、单点登录技术、网页防篡改技术和Web内容 安全（ 高18上）等。

1）Web访问控制技术

       访问控制是Web站点安全防范和保护的主要策略，它的主要任务是保证网络资源不被非法访问 者访问。访问Web站点要进行用户名、用户口令的识别与验证、用户账号的默认限制检查。只要其 中任何一关未过，该用户便不能进入某站点进行访问。Web服务器一般提供通过IP地址、子网或域 名，用户名/口令，公钥加密体系PKI（CA认证）等访问控制方法。

2）单点登录（Single Sign On ，SSO）技术

       单点登录技术为应用系统提供集中统一的身份认证，实现“一点登录、多点访问 ”。单点登录 系统采用基于数字证书的加密和数字签名技术，基于统一策略的用户身份认证和授权控制功能，对 用户实行集中统一的管理和身份认证。

3）网页防篡改技术

       网页防篡改技术包括时间轮询技术、核心内嵌技术、事件触发技术、文件过滤驱动技术等（ 高 19上）。

●时间轮询技术。时间轮询技术利用网页检测程序，以轮询方式读出要监控的网页，通过与真 实网页相比较来判断网页内容的完整性，对于被篡改的网页进行报警和恢复。

●核心内嵌技术。核心内嵌技术即密码水印技术，该技术将篡改检测模块内嵌在Web服务器软  件里，它在每一个网页流出时都进行完整性检查，对于篡改网页进行实时访问阻断，并予以报警和 恢复。

●事件触发技术。事件触发技术就是利用操作系统的文件系统或驱动程序接口，在网页文件被 修改时进行合法性检查，对于非法操作进行报警和恢复。

●文件过滤驱动技术。文件过滤技术是一种简单、高效且安全性又极高的一种防篡改技术，通  过事件触发方式，对Web服务器所有文件夹中的文件内容，对照其底层文件属性，经过内置散列快 速算法进行实时监测；若发现属性变更，则将备份路径文件夹中的内容复制到监测文件夹的相应文 件位置，使得公众无法看到被篡改页面。

4）Web内容安全

       内容安全管理分为电子邮件过滤、网页过滤、反间谍软件三项技术，这三项技术不仅对内容安 全市场发展起到决定性推动作用，而且对于互联网的安全起到至关重要的保障作用。

6.下一代防火墙

       下一代防火墙（Next Generation Firewall ，NGFW）是一种可以全面应对应用层威胁的高性能 防火墙。通过深入洞察网络流量中的用户、应用和内容，并借助全新的高性能单路径异构并行处理 引擎，NGFW能够为组织提供有效的应用层一体化安全防护，帮助组织安全地开展业务并简化组织 的网络安全架构。

       随着信息系统采用SOA和Web2.0普及使用，更多的通信量都只是通过少数几个端口及采用有 限的几个协议进行，这也就意味着基于端口/协议类安全策略的关联性与效率都越来越低，传统防 火墙已基本无法探测到利用僵尸网络作为传输方法的威胁。

       NGFW在传统防火墙数据包过滤、网络地址转换（NAT）、协议状态检查以及VPN功能的基础 上，新增如下功能：

●入侵防御系统（IPS）。NGFW的DPI功能中包含IPS。

●基于应用识别的可视化。NGFW根据数据包的去向，阻止或允许数据包。它们通过分析第7层 （应用程序层）的流量来做到这一点。传统的防火墙不具备这种能力，因为它们只分析第3层和第4   层的流量。

●智能防火墙。智能防火墙可收集防火墙外的各类信息，用于改进阻止决策或作为优化阻止规 则的基础。比如利用目录集成来强化根据用户身份实施的阻止或根据地址编制黑名单与白名单。

随着云计算的深入应用，NGFW的发展面临巨大挑战：网络边界“消失 ”、新型架构的涌现以 及安全人员的不足等，都在驱动着NGFW的变革。

7.安全行为分析技术

       传统的安全产品、技术、方案基本上都是基于已知特征进行规则匹配，从而进行分析和检测。 然而， 以“特征 ”为核心的检测分析存在安全可见性盲区，如滞后效应、不能检测未知攻击、容易 被绕过，以及难以适应攻防对抗的网络现实和快速变化的组织环境、外部威胁等。另一方面，大部 分造成严重损坏的攻击往往来源于内部，只有管理好内部威胁，才能保证信息和网络安全。

       用户和实体行为分析（User and Entity Behavior Analytics ，UEBA）提供了用户画像及基于各种 分析方法的异常检测，结合基本分析方法（利用签名的规则、模式匹配、简单统计、阈值等）和高 级分析方法（监督和无监督的机器学习等） ，用打包分析来评估用户和其他实体（主机、应用程 序、网络、数据库等），发现与用户或实体标准画像或行为异常的活动所相关的潜在事件。

       UEBA是一个完整的系统，涉及算法、工程等检测部分以及用户与实体风险评分排序、调查等 用户交换、反馈。从架构上来看，UEBA系统通常包括数据获取层、算法分析层和场景应用层。

8. 网络安全态势感知

2.1.5信息技术的发展

       作为信息技术的基础，计算机软硬件、网络、存储和数据库、信息安全等都在不断发展创新， 引领着当前信息技术发展的潮流。

       在计算机软硬件方面，计算机硬件技术将向超高速、超小型、平行处理、智能化的方向发展， 计算机硬件设备的体积越来越小、速度越来越高、容量越来越大、功耗越来越低、可靠性越来越  高。计算机软件越来越丰富，功能越来越强大，“软件定义一切 ”概念成为当前发展的主流。

       在网络技术方面，计算机网络与通信技术之间的联系日益密切，甚至是已经融为一体。面向物 联网、低时延场景的NB-IoT和eMTC增强、IoT和URLLC增强技术等，将进一步得到充分发展。

       在存储和数据库方面，随着数据量的不断爆炸式增长，数据存储结构也越来越灵活多样， 日益 变革的新兴业务需求催生数据库及应用系统的存在形式愈发丰富，这些变化均对各类数据库的架构 和存储模式提出了挑战，推动数据库技术不断向着模型拓展、架构解耦的方向演进。

       在信息安全方面，传统计算机安全理念将过渡到以可信计算理念为核心的计算机安全， 由网络 应用、普及引发的技术与应用模式的变革，正在进一步推动信息安全网络化关键技术的创新； 同时 信息安全标准的研究与制定，信息安全产品和服务的集成和融合，正引领着当前信息安全技术朝着标准化和集成化的方向发展。