安全基础设施的设计方案原理

• 平台类包括服务器、客户端软件（例如，执行操 作系统和安全应用的控制）。执行一些电子操作 （如智能卡和读卡器、产生凭证的硬件卡、基于 硬件的加密设备）的设备也属于这一类。平台类 还包括应用级访问控制，如产生凭证的软件程序、 数字证书、基于主机的入侵检测、病毒扫描和清 除、事件搜集代理和分析软件程序。应用级访问 控制能提供鉴别、授权、基于主机的入侵检测和 分析、病毒检测和清除、事件账户管理和分析等 功能。这些安全功能用来保护常驻在主要基础设 施边界的应用。
第18章 安全基础设施设计原理
• 18.1 安全基础设施概述 • 18.2 安全基础设施的目标 • 18.3 安全基础设施的的设计指南 • 18.4 密钥管理基础设施/公钥基础设施 • 18.5 证书管理 • 18.6 对称密钥管理
• 18.7 基础设施目录服务 • 18.8 信息系统安全工程 • 18.9 本章小结 • 习题
• 虽然安全策略文档提供数据、系统和网络的保护 策略，但它对厂商选择、设计或实施并不规定所 需的详细战术。这些安全组件的成功实施需要了 解安全基础设施目标，否则可能会不合适地保护 或完全疏忽那些关键资产。
18.2 安全基础设施的目标
• 安全基础设施设计的基本目标是保护企业的资产。 保护这些资产的方法是适当地部署各个安全组件 于有组织的、协同的安全基础设施中。这些资产 包括硬件、软件、网络组件以及知识财产。保护 这些资产应根据企业安全目标和企业安全策略文 档。虽然提到的只是数据的保护，实际上保护数 据及其可用性也意味着保护执行的系统和网络。
• 根据选择的数据等级分类体制，每种数据保护目 标应按数据机密性、数据完整性和数据可行性来 表示和衡量。
• 当设计一个安全基础设施时，把应用的最好结果 作为目标。因为应用最靠近数据以及数据的wenku.baidu.com理、
交换和存储。将设计目标放在数据机密性、数据
完整性和数据可用性上，会发现这不仅使应用得 到安全，而且企业也得到安全。这个概念如图18.1 所示。
• 处理过程包括企业安全策略和过程文档，用来管 理企业数据的生成、使用、存储和销毁，以及管 理这些数据所在的系统和网络。企业安全策略的 目的是定义企业资产保护的范围以及对这些资产 所需的专门保护机制。企业安全过程是企业安全 策略文档的一个组成，用来指导员工在特定环境 下的行动。企业安全策略和过程是安全基础设施 的重要组成。有了综合的安全策略和过程文档， 安全设计师就能明白什么样的资产是企业需要保 护的，以及如何保护这些资产。
• 反之，如防火墙本身做得很好，其屏幕可显示大 部分入侵的通信，且能在搜集后做日志，但它不
能通知其他任何组件，那防火墙的作用是不完全
的。如果将防火墙和入侵检测、强的身份鉴别、 加密的隧道（VPN）等组件协同作用，就能设计 成一个基本的安全基础设施。
18.1.2 安全基础设施的组成
• 安全基础设施的主要组成有4部分：网络、平台、 物理设施、处理过程。
18.1 安全基础设施概述
18.1.1 安全基础设施概述
• 一个安全基础设施应提供很多安全组件的协同使 用，其体系结构可改进整个的安全特性，而不仅 是各个安全组件的特性。使用这个定义，可推论 出安全基础设施的设计和特性。
• 以防火墙为例，使用防火墙可以很好地实施安全 策略，但是，如果它不能和体系结构中的其他组 件很好地连接，就不能构成一个安全基础设施。 例如，这个防火墙不能和安全基础设施的其他方 面互相联系、互相作用，那它只是一个安全组件， 而不是安全基础设施的一部分。这就是安全基础 设施定义中的协同组件。再如，假如从防火墙能 发送报警至事件管理站，由事件管理站处理成通 知网络运行中心（Network Operations Center, NOC）的报警，那么，防火墙可能成为基础设施 的一部分。
• 最后，数据可用性也是需要十分关注的。数据可 用性的目标范围是根据数据可用的重要性而变化 的。对某些系统需要高可用性，高达99.999%，而 有些系统可用性要求就较低。提供高可用性系统 保护的典型方法是使用冗余系统，通常包括冗余 的电源、数据访问和存储、网络以及应用服务器 处理等。但冗余并不能满足全部数据可行性问题， 尤其是近年来增多的拒绝服务（DOS）和分布式 拒绝服务（DDOS）的攻击。
• 数据完整性是关于对数据的任何非授权改变或破 坏的保护。这个目标的基本点是数据的准确性和 合法性。通过产生原始数据集检查和同复制的数 据进行比较的程序来管理完整性。提供数据完整 性的通常解决方案是使用通用的加密策略，例如 前面讲到的IPSec，使用这样的检查和策略来保证 发送的数据等于接收的数据。保护数据不被更改 或破坏，可以用类似反病毒这样的简单解决方法， 也可以用部署关键通路存储解决方案、高可用性 的防火墙簇以及企业范围的变更管理等复杂的解 决方案。为了防止非授权使用或破坏，鉴别和授 权控制是最合适的方法。
• 网络类包括防火墙、路由器、交换机、远程访问 设备（如VPN和拨号modem池）以及基于网络的 入侵检测，它们分别在整个安全设计中增加某些 安全特性。这些组件通过其网络接口或在软件中 定义的逻辑来监控、过滤或限制通信。这些安全 组件的作用是监控和保护在网络中通过的数据， 或保护在应用中通过、使用的数据。
• 安全基础设施的物理组成包括标准的门钥匙和锁、 钥匙卡、标识标志、安全照相机、活动传感器、 声像报警、安全警卫和系统、设备标签等。根据 人的生物特征检测的设备也属于这一类，如指纹 读出器、面部形状照相机、视网膜扫描器等。这 些仿生组件是通过自然本质来标识和鉴别用户的。 属于这一类的还有网络电缆和后备电源（如UPS系 统和自备发电机）。物理安全设施的基本目的是 防止非授权者进入以及保护安全基础设施的电力 供应和网络连接。
• 图18.1 以应用为目标的安全设计概念
• 数据机密性的前提是防止非授权者看到非公共使 用的数据。数据机密性应用于本书所定义的具有 内部的、机密的、严格限制的标记的数据。通过 安全数据存储和安全数据传输提供数据机密性保 护。满足数据机密性要求的典型技术包括数据传 输、安全在线和离线存储的加密。