从军队信息安全测评透视军事电子信息系统安全保障体系_图文_百.

从军队信息安全测评透视军事电子信息系统安全保障体系李娜周学锋杨风瑞摘要：本文首先介绍了中国人民解放军信息安全测评认证中心的基本情况，并列举出测评认证信息安全防护产品的数量变化和种类分布；然后详细分析了军队单位送检的信息安全产品的发展变化，提出了基于安全保密防护产品的信息安全保障架构；最后用“医”、“药”观念引出军事电子信息系统的威胁的“病源”，得出终端的安全是构建信息安全保障体系的基石的结论。

并运用免疫学的理论提出基于免疫终端的军事电子信息系统安全保障体系结构的设想。

关键词：解放军信息安全测评认证中心信息安全保密产品架构免疫终端引言目前军队信息化的进展情况如何？引用今年３月中旬中共中央办公厅、国务院办公厅印发的（２００６—２０２０年国家信息化发展战略》的表述，即可了解：“国防和军队信息化取得重要进展，组织实施了一批军事信息系统重点工程，军事信息基础设施建设取得长足进步，主战武器系统信息技术含量不断提高，作战信息保障能力显著增强。

”那么在发展中存在的问题呢？参专同样是在３月由国务院信息化办公室对外发布的《中围信息化发展报告２００６）可见一斑，该份报告在全面总结“十五”期问尤其２００５年中国信息化成就的同时，指出“我国信息发展总体水平与世界发达围家相比仍然存在较大差距”，主要表现为关键信息技术自主创新能力不足，信息技术应用水平落后于实际需求，信息安全问题仍比较突出，体制机制改革有待继续深化，信息化法制建设需要进一步加快等。

我们注意到其中对信息安全的描述是“问题仍比较突出”，其实，党中央对信息安全是非常重视的，早在党的十六届四中全会，信息安全和政治安全、经济安全、文化安全就已经被并列为国家安全的四大范畴之一。

信息安全问题不仅关系到同家信息化发展，在军队信息化进程中显得尤为重要而紧迫。

ｌ军队信息安全测评认证工作在推进军队信息化建设的进程中，中国人民解放军信息安全测评认证中心（以下简称中心）是全军唯一的代表军队对拟进入军队的信息安全保密防护产品（含技术系统）的安全保密性能进行检测、评估与认证的技术监督机构。

中心积极适应军队信息化建设的发展需求和信息安全产品开发商推广新产品的需要，紧密跟踪信息安全技术的发展动态，深人研究测评技术，完善测试标准，加强手段建设，不断扩大认汪产品种类和认证产品的覆盖区域。

通过定期向全军发布《中国人民解放军信息安全认证产品目录》，为军队用户选用信息安全产品提供依据和指导。

中心的基本职责就足面向军内和国内的信息安全产品研制单位提供测评认证技术服务，面向军队有关用户提供相应的技术支持。

１．１测评认证信息安全产品年度数量变化中心成立于９０年代后期，认证产品种类数量的迅猛发展是在２００１年２月解放军四总部联合颁发《中国人民解放军计算机信息系统安全保密规定》之后，规定中明确了中心的职责“解放军信息安全测评认证中心负责军队计算机信息系统安全技术和产品的测评认证工作”；中心的任务“用于军队计算机信息系统安全保密防护与检测的硬件濑件和系统，必须选用军内或者国内研制开发并经解放军信息安全测评认证中心认证的产品”。

未取得解放军信息安全测评认证中心发放的《军用信息安全产品认证证书》的信息安全产品，不得进入军队使用。

２０１／６军事电子信息学术会议论文集图１测评认证信息安全产品数量变化从图１可以看出，测评认证信息安全产品数量变化情况，２００１年与２０（１０年同比增长１６３％，２００２年超过了前两年的总和，２００３年与２００２年同比增长２０．５％，从２００３年到２００５年测评认证产品数量呈现稳定趋势。

截止２００６年５月，中心已经通过信息安全测评认证的近５００件产品发放了《军用信息安全产品认证证书》，其中不少产品已在全军指挥自动化网三期工程和总部、各大单位的技术安全保密防护手段建设中被选用。

１．２测评认证信息安全产品种类分布中心目前开展的测评认证的产品主要有：防火墙、入侵检测、漏洞扫描分析、网络隔离、非法外联监控、安全管理审计、安全管理授权、数字签名、数据备份与恢复、数据安全保护、视频干扰器、移动电话干扰器、ＣＡ认证、病毒防护、网络安全设备擞据库安全、操作系统安全、存储介质安全产品、安全计算机、低辐射信息产品、屏蔽机柜、屏蔽室、暗室、屏蔽材料等二十几类，涵盖了信息安全主要领域。

图２各种信息安全产品的测评认证数量２军队信息安全保密防护产品目前，军内各种形式的广域网、局域网、内部专网发展迅速，各种网络应用层山不穷，网络系统越来越庞大，各种安全保密产品也不断的被附加到网络边界、用户终端和提供服务的应用系统上，由此带来的问题是病毒增大了传播和影响面，各种隐患和漏洞越来越容易被别有用心的人利用，令许多网络应用难以开放更多的服务，制约了军队信息化的发展进程。

同时，复杂的网络应用环境和多样的攻击手一１１２一段使军事电子信息系统面临的安全威胁越来越复杂，已有的信息安全产品在一定程度上保障了系统的安全，但是面对复杂多变的网络环境，单一的安全保密产品能够解决局部的安全问题，但是从系统的、全局的、整体的、动态的角度如何构建军事电子信息系统安全保障体系？这已经成为军内信息安全专家和技术人员不得不反复思考的课题。

２．１军队计算机信息系统安全保密产品分析在通过认证的产品中，由军队单位送检的产品从军队信息安全测评逢视军事电子信息系统安全保障体系占全部送检产品的１０％左右。

通过比较可知，军队有涉猎。

详见图３。

单位仅在病毒防护方面没有自研产品，其他种类均图３测评军队信息安全产品种类数量年度变化情况中心认证的军队单位送检的信息安全产品最初是防火墙、安全管理和网络安全设备，说明在军事电子信息系统安全保障体系中，军队的信息安全领域的专家和学者从一开始就认识到了军事电子信息系统安全保障体系中最根本的需求是“具有自主的通联设备”、“实现访问的可控”和“达到管理的可信”。

接下来的一年中，军队单位送检的产品增加了网络隔离和视频干扰器，并延续至今，中心虽然认汪网络隔离产品，但明确规定“该产品不得用于军内涉密网络与因特网之间的隔离”，也就是说隔离产品只能用于内部不同网络之间，因为在军事电子信息系统中明确要求对内部网络与因特网采取的是物理隔绝措施，这也就是安全管理中具有拨号上网功能的产品在后来的几年不断到中心送检的原因；视频干扰器是军队信息化过程中针对电磁辐射泄漏产生的泄密隐患而开发的产品，和随后认证的移动电话干扰器同样是具有军队特色的安全产品。

对这两种干扰器的认证从很大程度推动了该类产品的社会化发展，由此往后，很多地方单位也开始从事这类产品的研发，相继通过了中心的认证，并服务应用于军事电子信息系统中。

随着信息安全到信息保障的发展，军队的信息安全专家和技术人员又从被动的防护发展到主动防御，推出了入侵检测系统、漏洞扫描分析系统和身份认证的产品等。

近两年军队送检的信息安全产品的功能更是出现由单一到综合，由外防到内查的变化，采用整合＋集成技术的信息安全产品有增加的趋势。

从以上对中心认证的军队信息安全产品的分析来看，信息安全产品的变化正可以映射出在军队信息化过程中对信息安全的认识是一个不断发展变化的过程：从单一到综合、由被动到主动、先防外后内控，并且将会随着对信息安全技术、管理的研究而逐渐深化。

２．２基于安全保密防护产品的信息安全保障架构根据对信息安全各个层而的分析，我们提出目前最常用的基于安全保密产品的信息安全保障体系框架，详见图４。

其中不仅考虑到硬件设备、操作系统和上层应用，同时涵盖了具体数据、普通用户和管理层面；而军队各大机关单位、研究所、大专院校研发的信息安全保密产品已经涉及到军事电子信息系统中安全保障体系的这些要素，表明军队用户在安全保密防护产品的研发方面已经实现了从无到有的跨越式发展，具备了提供军队所需信息安全保密产品的基本能力，能够搭建成初具规模的信息安全防一１１３一２。

０６军事电子信息学术会议论文集护体系。

图４基于安全保密产品的信息安全保障体系框架图４中，物理安全产品是指防止电磁声光泄漏，保护计算机信息系统所处环境及其相关设备、设施安全的产品；平台安全产品是指保护计算机信息系统中支撑软硬件平台的安全产品，可以使其免遭破坏和攻ａｉ－；网络安全产品是指防护网络边界、链路、节点安全，以保证网络正常运行的产品；数据安全产品是指防止数据信息被非授权读写、更改、破坏或被非法辨识，控制的产品；用户安全产品是指防止用户对计算机信息系统的非授权使用、滥用、误用以及保证计算机信息系统的正常安全运行的安全产品；管理安全产品是指为保障计算机信息系统正常工作，而采用的具有强制性监督检查功能的安全保密产品。

３基于免疫终端的信息安全保障体系是否拥有了安全保密产品就能构成“积极防御，综合防范”的军事电子信息系统安全保障体系呢？这就如同“医”和“药”的关系，“无药可医”常常用来比喻病症的严重性，连药都没有了，医生只能束手无策；就好比一个军事电子信息系统，存在安全问题的疾病，却没有安全保密产品当药，那这个系统的生存期恐怕不会长了。

反过来说，我们有很多好药，却没有医生束开药方，由着人乱吃药，这个人估计没病也得折腾出病来；一个刚刚建成的网络应用系统，花大价钱购进了信息安全保密产品，还没用试用两天就一１１４一死机了，由此可见好的安全保密产品还以应遵照正确的安全策略才能发挥其应有的效能。

３．１终端安全是构建信息安全保障体系的基石医生诊断病人讲究的是“望、闻、问、切”，以此判断病情，才会下医嘱，开药方。

构建信息安全保障体系同样可以采取类似的方法。

病人最可能得的是什么病？对于一个军事电子信息系统来说，就是这个信息系统所面ｆｌ矗ｉ的威胁是什么？无论是在局域网还是在广域网中，都存在着自然和人为等诸多因素的脆弱性和潜在威胁。

按照威胁作用的目标来分，可分为对信息的威胁和对设备的威胁；考虑威胁的操纵者，可分为有意或无意，人为或非人为；根据威胁使用的手段可分为窃听、假冒、重放攻击、流量分析、破坏完整性、拒绝服务攻击、行为否认、非法访问、利用陷阱、施放木马、传播病毒等；按照威胁的动机可分为竞争对手、国家利益、打击报复、扬名、恶作剧、无知。

不管按照什么来区分，笔者认为在军事电子信息系统安全保障体系中威胁可以这样理解：“对脆弱性的潜在利用。

造成军事电子信息系统的失常或数据失泄密等”。

病人只有接近了病源才会感染的疾病？俗话说“病从口人”，对于军事电子信息系统来说，终端就是网络与用户的人口，据统计，网络上超过一半的安全问题来自网络用户终端，例如，攻击者可以通过终端非法访问网络、偷窃或破坏信息所有权或涉密信息、传播恶意代码、占用网络资源、非法享受业务／服务、攻陷更多的终端、甚至使网络瘫痪，其目的就是“搞破坏”或“窃密”。

积极的防御就应该是主动防止此类行为的发生，从客户终端的操作平台开始加载安全策略，实施防范措施，把不安全因素控制在源头。