工程設(shè)計仿真網(wǎng)絡(luò)環(huán)境信息安全技術(shù)架構(gòu)

工程設(shè)計仿真網(wǎng)絡(luò)環(huán)境

信息安全技術(shù)架構(gòu)研究

中物院信息安全技術(shù)中心姜建國研究意義和應(yīng)用前景涉密內(nèi)網(wǎng)雖然與因特網(wǎng)物理隔離，仍同樣面臨著漏洞、蠕蟲、病毒、木馬和后門等威脅。

目前，我院各所已建或擬建的工程設(shè)計仿真網(wǎng)絡(luò)是處理復(fù)雜設(shè)計、計算及仿真業(yè)務(wù)的計算機(jī)網(wǎng)絡(luò),正在成為我院武器工程研制的關(guān)鍵基礎(chǔ)設(shè)施，應(yīng)用范圍也不斷深入和拓寬，建立相關(guān)信息安全保障體系成為必備條件之一。

工程設(shè)計仿真網(wǎng)絡(luò)環(huán)境有自身的特點(diǎn)，應(yīng)用類別多，軟硬件環(huán)境復(fù)雜，異構(gòu)、海量、集成，高密級等。信息安全問題自身的復(fù)雜性使得單一功能性產(chǎn)品不勝負(fù)荷，如何從整體、從頂層設(shè)計、從體系的高度來考慮信息和信息系統(tǒng)的保障，是我們急需解決的問題。從體系高度來探討整體性信息安全技術(shù)架構(gòu)，對于為工程設(shè)計仿真環(huán)境的安全保障提供整體解決方案和技術(shù)路線，解決目前簡單堆砌安全產(chǎn)品帶來的安全隱患，從而切實(shí)保障信息與信息系統(tǒng)的安全，具有重要的科學(xué)意義和現(xiàn)實(shí)意義。

面向工程設(shè)計仿真環(huán)境的信息安全技術(shù)架構(gòu)及其系統(tǒng)的研究實(shí)現(xiàn)，主要構(gòu)建高度可信的信任系統(tǒng)、高效的行為監(jiān)控系統(tǒng)以及相應(yīng)的數(shù)據(jù)保護(hù)系統(tǒng)等。對于有效防范涉密網(wǎng)絡(luò)的安全威脅，為實(shí)現(xiàn)網(wǎng)絡(luò)化設(shè)計、制造和數(shù)字軍工提供安全保障，具有重大的工程意義，并可以在我院的各類工程設(shè)計仿真網(wǎng)絡(luò)和各單位的內(nèi)部科研辦公網(wǎng)絡(luò)提供借鑒和示范。

國內(nèi)外研究現(xiàn)狀分析

90年代后期到現(xiàn)在，人們也開始認(rèn)識到安全的概念已經(jīng)不局限于信息的保護(hù)，人們需要的是對整個信息和信息系統(tǒng)的保護(hù)和防御，包括了保護(hù)、檢測、反應(yīng)和恢復(fù)能力。于是出現(xiàn)了信息保障的概念。美國國家安全局制定的《信息保障技術(shù)框架》（IATF）則是這個時代的一個典型標(biāo)志?！缎畔⒈Ｕ霞夹g(shù)框架》（IATF）的主要內(nèi)容可以歸納為“三保衛(wèi)一支持”，即：保衛(wèi)網(wǎng)絡(luò)和基礎(chǔ)設(shè)施，保衛(wèi)邊界，保衛(wèi)計算環(huán)境，支持必要的安全基礎(chǔ)設(shè)施。國家主管部門適時推出相應(yīng)戰(zhàn)略舉措。我國從國家層面提出了加強(qiáng)信息安全保障的意見（中辦發(fā)[2003]27號），中辦27號文提出了信息安全保障戰(zhàn)略方針是積極防御和綜合防范。

安全產(chǎn)品從功能性產(chǎn)品向體系化產(chǎn)品的轉(zhuǎn)化成為必然。安全廠商已經(jīng)開始把握新形勢下的網(wǎng)絡(luò)安全問題和用戶的最新需求，正在開發(fā)相應(yīng)的架構(gòu)體系產(chǎn)品。但是國內(nèi)信息安全研究和市場發(fā)展的重點(diǎn)主要在于因特網(wǎng)、電子政務(wù)、金融、軍事指揮自動化等領(lǐng)域，而由于工程設(shè)計仿真網(wǎng)絡(luò)環(huán)境的復(fù)雜性和特殊性，不可能有現(xiàn)成的產(chǎn)品或解決方案能夠滿足需求。我們必須結(jié)合實(shí)際網(wǎng)絡(luò)環(huán)境特點(diǎn)，在掌握先進(jìn)、成熟的國內(nèi)外技術(shù)的基礎(chǔ)上大膽探索、適時跟蹤、面向?qū)嶋H應(yīng)用、加強(qiáng)合作交流，通過集成創(chuàng)新，設(shè)計實(shí)現(xiàn)能夠滿足需求的安全信任平臺，并在此基礎(chǔ)上構(gòu)建網(wǎng)絡(luò)安全保障體系。

研究目標(biāo)預(yù)期通過集成創(chuàng)新和相關(guān)研究，實(shí)現(xiàn)下列目標(biāo)：a）提出適用于工程設(shè)計仿真網(wǎng)絡(luò)的信息安全技術(shù)架構(gòu)和相關(guān)網(wǎng)絡(luò)信任模型。根據(jù)IATF的思想，在統(tǒng)一安全策略的基礎(chǔ)上，由安全支撐基礎(chǔ)設(shè)施支持下的三重保障結(jié)構(gòu)構(gòu)成架構(gòu)體系（可信的應(yīng)用操作平臺、安全的服務(wù)資源邊界保護(hù)和全程網(wǎng)絡(luò)通信保護(hù)），并提出適用的信任模型。

b）建成一個面向工程設(shè)計仿真環(huán)境、基于網(wǎng)絡(luò)信任平臺、重點(diǎn)解決行為監(jiān)控和數(shù)據(jù)保護(hù)關(guān)鍵技術(shù)的信息安全架構(gòu)原型系統(tǒng)。

研究內(nèi)容

根據(jù)應(yīng)用需求和研究目標(biāo)，將對以下一些研究方向進(jìn)行深入研究：

工程設(shè)計仿真網(wǎng)絡(luò)信任體系研究。

研究適合于工程仿真網(wǎng)絡(luò)的可擴(kuò)展的信任體系模型；研究適合于封閉內(nèi)部網(wǎng)的公鑰體制及應(yīng)用；研究基于密碼技術(shù)的信任管理系統(tǒng)，實(shí)現(xiàn)身份認(rèn)證、授權(quán)管理、責(zé)任認(rèn)定等功能；行為監(jiān)控技術(shù)研究。

研究基于行為模式的監(jiān)控策略表示；

研究與工程仿真網(wǎng)絡(luò)物理結(jié)構(gòu)和邏輯結(jié)構(gòu)相適應(yīng)的行為監(jiān)控體系結(jié)構(gòu)；研究用戶行為的監(jiān)控方法和技術(shù)；研究基于行為監(jiān)控的數(shù)據(jù)保護(hù)方法；

數(shù)據(jù)保護(hù)技術(shù)研究。研究工程設(shè)計仿真網(wǎng)絡(luò)數(shù)據(jù)保護(hù)體系結(jié)構(gòu)；

研究工程設(shè)計仿真網(wǎng)絡(luò)中數(shù)據(jù)安全存儲和安全傳輸技術(shù)解決方案。

關(guān)鍵技術(shù)

針對應(yīng)用特點(diǎn)，將現(xiàn)有產(chǎn)品和技術(shù)有機(jī)結(jié)合，形成一個整體解決方案和技術(shù)體系，在網(wǎng)絡(luò)信任基礎(chǔ)平臺上實(shí)現(xiàn)行為監(jiān)控、數(shù)據(jù)保護(hù)等功能。

如何針對工程設(shè)計仿真網(wǎng)絡(luò)的環(huán)境和應(yīng)用特點(diǎn)，結(jié)合相關(guān)技術(shù)，提出適用的信任模型和認(rèn)證授權(quán)機(jī)制。

研究并實(shí)現(xiàn)一個可擴(kuò)展的、分布式的策略框架系統(tǒng)，在異構(gòu)互連的復(fù)雜系統(tǒng)的情況下，管理、發(fā)現(xiàn)和協(xié)商安全策略，以便管理、控制和發(fā)布統(tǒng)一的安全策略。

研究并開發(fā)在異構(gòu)環(huán)境中有一定通用性的安全中間件（安全構(gòu)件）。

技術(shù)路線

針對工程設(shè)計仿真網(wǎng)絡(luò)與外部網(wǎng)絡(luò)物理隔離、各個子網(wǎng)絡(luò)具有明確物理邊界，以及可以采用秘密的或安全的密碼傳輸通道等特點(diǎn)，擬建立由信任體系支撐、統(tǒng)一安全策略管理下的信息安全技術(shù)架構(gòu)。這種體系架構(gòu)以可信終端（例如新一代可信計算機(jī)）為末端設(shè)施，與已部署的、將部署的主要安全設(shè)施（如防火墻、入侵檢測等）密切協(xié)同，實(shí)現(xiàn)對訪問主體行為和被訪問客體屬性狀態(tài)的有效監(jiān)視和/或控制，達(dá)到數(shù)據(jù)保護(hù)、網(wǎng)絡(luò)運(yùn)行有序和安全保密的目的。針對工程設(shè)計仿真網(wǎng)絡(luò)的特點(diǎn)，項(xiàng)目擬綜合應(yīng)用CPK/PKI技術(shù)、多因子身份鑒別技術(shù)、基于屬性的權(quán)限管理技術(shù)，完成基于統(tǒng)一安全策略的實(shí)體身份鑒別與權(quán)限管理，從而建立起工程設(shè)計仿真網(wǎng)絡(luò)信任體系的基礎(chǔ)平臺。

主要技術(shù)關(guān)關(guān)鍵設(shè)計思思路（1）工程程設(shè)計仿真真網(wǎng)絡(luò)的信信任模型在一個有邊邊界、有中中心、存在在秘密通道道的內(nèi)部環(huán)境中，規(guī)規(guī)?；拿苊荑€管理是是可以用簡簡化的方法法來實(shí)現(xiàn)的的，用以建立真正的的信任系統(tǒng)統(tǒng)。實(shí)施網(wǎng)絡(luò)信信任體系的的基礎(chǔ)就是是構(gòu)建身份份認(rèn)證體系系，需要建建立數(shù)字證證書認(rèn)證中中心，即CA中心，負(fù)責(zé)責(zé)網(wǎng)絡(luò)上的的身份證、、工作證的的管理。由于我院工工程設(shè)計仿仿真網(wǎng)絡(luò)是是一個高密密級的有組組織的封閉閉內(nèi)網(wǎng)，根根據(jù)其自上上而下的管管理特性，，采用單CA信任模型是是實(shí)現(xiàn)最簡簡單也最有有效的模型型。通過這這種主管方方的單層管管理結(jié)構(gòu),可以建立立用戶和管管理中心的的直接級信信任關(guān)系,管理、維維護(hù)、操作作十分簡便便。CA中心的實(shí)現(xiàn)現(xiàn)采用集中中式管理模模式，由主主管部門頒頒發(fā)證書。。證書的功能能要求：要要滿足提供供包括身份份認(rèn)證、授授權(quán)管理、、責(zé)任認(rèn)定定三個層次次的安全服服務(wù)的網(wǎng)絡(luò)絡(luò)信任體系系建設(shè)的要要求。據(jù)了解，2004年年7月，美美軍開始使使用一種計計算機(jī)身份份證，每名名從事計算算機(jī)網(wǎng)絡(luò)工工作的人員員，都要領(lǐng)領(lǐng)取一種身身份證，內(nèi)內(nèi)置含有姓姓名、軍銜銜、指紋、、序列號等等信息的計計算機(jī)芯片片，CA中心實(shí)體A1實(shí)體A2實(shí)體A3網(wǎng)絡(luò)工作人員只只有將身份份證插入計計算機(jī)終端端設(shè)備，才才能訪問和和使用網(wǎng)上上授權(quán)文件件。此外，，系統(tǒng)可以以跟蹤登錄錄人員，了了解他們使使用的文件件內(nèi)容、性性質(zhì)。（2）安全全支撐基礎(chǔ)礎(chǔ)設(shè)施CA中心：結(jié)合應(yīng)用網(wǎng)網(wǎng)絡(luò)特點(diǎn)，，基于CPK或PKI技術(shù)構(gòu)建。。頒發(fā)網(wǎng)絡(luò)絡(luò)身份證/工作證。。信任管理系系統(tǒng)：網(wǎng)絡(luò)中的每每個用戶都都持有CA中心頒發(fā)的的證書，以以此為基礎(chǔ)礎(chǔ)可以設(shè)計計實(shí)現(xiàn)相應(yīng)應(yīng)的網(wǎng)絡(luò)安安全信任管管理系統(tǒng)，，實(shí)現(xiàn)身份份認(rèn)證、授授權(quán)管理和和責(zé)任認(rèn)定定。鑒別管理授權(quán)與權(quán)限管理資源映射監(jiān)控審計安全服務(wù)數(shù)據(jù)信任管理系統(tǒng)用戶網(wǎng)絡(luò)傳輸平臺安全策略管理系統(tǒng)安全策略管管理系統(tǒng):一個集成化化的防衛(wèi)體體系，遵循循P2DR模型，支持持分布式結(jié)結(jié)構(gòu)，通過過多種技術(shù)術(shù)手段的融融合幫助組組織有效達(dá)達(dá)成在物理理、鏈路、、操作、網(wǎng)網(wǎng)絡(luò)、設(shè)備備、系統(tǒng)、、應(yīng)用、數(shù)數(shù)據(jù)及人員員等方面的的安全策略略集中定制制、自動分分發(fā)和自動動實(shí)現(xiàn)，安全策略較較之證書可可以實(shí)現(xiàn)更更細(xì)粒度的的訪問控制制，比如證證書可以通通過授權(quán)，，控制進(jìn)入入信任域或或服務(wù)器，，而通過域域策略或服服務(wù)器策略略可以控制制對設(shè)備或或文件資源源的訪問。。另外，安安全策略可可以更加靈靈活，由安安全管理員員負(fù)責(zé)，修修改比較方方便。（3）行為為監(jiān)控管理理系統(tǒng)監(jiān)控體系結(jié)結(jié)構(gòu)：按照行政或或業(yè)務(wù)隸屬屬關(guān)系，將將工程設(shè)計計仿真網(wǎng)絡(luò)絡(luò)劃分成多多個監(jiān)管域域，形成成一種樹型型監(jiān)控體系系結(jié)構(gòu),如如圖。監(jiān)管中心是是行為監(jiān)控控的管理中中心，對重重要的管理理操作采用用口令分割割、權(quán)限分分割等技術(shù)術(shù)，將單個個管理員的的管理權(quán)限限限制到最最小和必需需的程度，，防止單個個管理員的的違法操作作對系統(tǒng)造造成重大損損失。監(jiān)管管中心體系系結(jié)構(gòu)如圖圖所示。(4)數(shù)數(shù)據(jù)保護(hù)數(shù)據(jù)保護(hù)的的層次結(jié)構(gòu)構(gòu)：第一層次是是通過物理理安全措施施，實(shí)現(xiàn)對對存儲介質(zhì)質(zhì)物理安全全。通過管管理策略與與技術(shù)手段段相結(jié)合，，實(shí)現(xiàn)對存存儲介質(zhì)的的訪問控制制。第二層層次是依據(jù)據(jù)相關(guān)的密密碼算法實(shí)實(shí)現(xiàn)數(shù)據(jù)存存儲的安全全保護(hù)和數(shù)數(shù)據(jù)傳輸過過程中的安安全，如圖圖。(特別別需要針對對移動存儲儲介質(zhì)進(jìn)行行保護(hù)）數(shù)據(jù)據(jù)保保護(hù)護(hù)體體系系結(jié)結(jié)構(gòu)構(gòu)：與網(wǎng)網(wǎng)絡(luò)絡(luò)行行為為監(jiān)監(jiān)控控體體系系結(jié)結(jié)構(gòu)構(gòu)合合并并為為網(wǎng)網(wǎng)絡(luò)絡(luò)監(jiān)監(jiān)管管體體系系結(jié)結(jié)構(gòu)構(gòu)，包括括數(shù)數(shù)據(jù)據(jù)保保護(hù)護(hù)中中心心與與網(wǎng)網(wǎng)絡(luò)絡(luò)行行為為監(jiān)監(jiān)控控中中心心實(shí)實(shí)際際合合并并為為網(wǎng)網(wǎng)絡(luò)絡(luò)監(jiān)監(jiān)管管中中心心。。數(shù)據(jù)據(jù)安安全全存存儲儲和和安安全全傳傳輸輸方方法法：：通通過過建建立立的的仿仿真真網(wǎng)網(wǎng)絡(luò)絡(luò)信信任任體體系系提提供供的的相相應(yīng)應(yīng)密密碼碼算算法法和和認(rèn)認(rèn)證證機(jī)機(jī)制制，，實(shí)實(shí)現(xiàn)現(xiàn)數(shù)數(shù)據(jù)據(jù)加加密密存存儲儲和和加加密密傳傳輸輸，，如如圖圖。。數(shù)據(jù)據(jù)加加密密存存儲儲和和加加密密傳傳輸輸如如圖圖所所示示的的三三大大模模塊塊組組成成。。被被監(jiān)監(jiān)管管機(jī)機(jī)代代理理模模塊塊、、數(shù)數(shù)據(jù)據(jù)服服務(wù)務(wù)器器代代理理模模塊塊和和通通信信模模塊塊。。被監(jiān)監(jiān)管管機(jī)機(jī)代代理理模模塊塊接接收收應(yīng)應(yīng)用用程程序序?qū)?shù)數(shù)據(jù)據(jù)庫庫接接口口函函數(shù)數(shù)的的調(diào)調(diào)用用，，將將這這些些調(diào)調(diào)用用向向數(shù)數(shù)據(jù)據(jù)服服務(wù)務(wù)器器代代理理進(jìn)進(jìn)行行轉(zhuǎn)轉(zhuǎn)發(fā)發(fā)，，并并接接收收數(shù)數(shù)據(jù)據(jù)服服務(wù)務(wù)器器代代理理送送回回的的執(zhí)執(zhí)行行結(jié)結(jié)果果，，返返回回給給應(yīng)應(yīng)用用程程序序。。數(shù)據(jù)據(jù)服服務(wù)務(wù)器器代代理理模模塊塊判判斷斷被被監(jiān)監(jiān)管管計計算算機(jī)機(jī)有有訪訪問問權(quán)權(quán)限限后后為為被被監(jiān)監(jiān)管管機(jī)機(jī)代代理理模模塊塊提提供供訪訪問問密密文文數(shù)數(shù)據(jù)據(jù)庫庫的的服服務(wù)務(wù)。。通信信模模塊塊完完成成數(shù)數(shù)據(jù)據(jù)中中心心與與被被監(jiān)監(jiān)管管計計算算機(jī)機(jī)之之間間的的加加密密傳傳輸輸。。被監(jiān)監(jiān)管管機(jī)機(jī)代代理理模模塊塊被監(jiān)監(jiān)管管機(jī)機(jī)端通通信信模模塊塊數(shù)據(jù)據(jù)服服務(wù)務(wù)器器代理理模模塊塊數(shù)據(jù)據(jù)服服務(wù)務(wù)器