論檢察系統(tǒng)的信息安全保障系統(tǒng)的建設(shè)

摘要:針對近年來隨著網(wǎng)絡(luò)的普及以及各大公司企業(yè)和政府機(jī)構(gòu)的網(wǎng)絡(luò)信息系統(tǒng)安全問題頻出的狀況，該文分析了一般的安全事故種類以及常用的安全技術(shù)的基礎(chǔ)上，闡述了一個較為完整的信息安全保障系統(tǒng)應(yīng)具備的功能，結(jié)合檢察系統(tǒng)的工作實(shí)際，提出了檢察信息安全保障系統(tǒng)的建設(shè)方法。

關(guān)鍵詞:防火墻;入侵檢測;PKI;數(shù)字簽名

中圖分類號:TP309 文獻(xiàn)標(biāo)識碼:A 文章編號:1009-3044(2010)01-45-03

A Construction Method about the Security System of the Prosecutorial Organization

LIU Lian-hao1， LUO Wei1，2

(1.Central-South University College of Information Science and Engineering， Changsha 410083， China; 2.Hunan Provincial People's Procuratorate， Changsha 410001， China)

Abstract: In recent years， with the popularity of the network， the network information system security incidents break out frequent in large companies and government agencies. This paper analyzes the general types of security incidents， as well as common security technology， based on a more elaborated a complete information security system should have the function， combined with the actual prosecutorial work， put forward a construction method about the security system of the prosecutorial organization.

Key words: firewall; intrusion detection; PKI; digital signature

近年來，隨著網(wǎng)絡(luò)的普及，各大公司企業(yè)以及政府機(jī)構(gòu)都建成了網(wǎng)絡(luò)信息系統(tǒng)，大量信息開始在網(wǎng)絡(luò)上傳輸，不少數(shù)據(jù)都屬于內(nèi)部信息。大量網(wǎng)絡(luò)信息系統(tǒng)的建成使得網(wǎng)絡(luò)安全保障體系的建設(shè)顯得極為緊迫。1999年至2008年，國家出臺了一系列的規(guī)章與標(biāo)準(zhǔn)，逐步開始重視信息安全保障體系的建設(shè)。2007年6月四部委聯(lián)合出臺了《信息安全等級保護(hù)管理辦法》(公通字 [2007]43號)，明確了信息安全等級保護(hù)制度的基本內(nèi)容、流程及工作要求，明確了信息系統(tǒng)運(yùn)營使用單位和主管部門、監(jiān)管部門在信息安全等級保護(hù)工作中的職責(zé)、任務(wù);2007年7月，四部委又聯(lián)合下發(fā)了《關(guān)于開展全國重要信息系統(tǒng)安全等級保護(hù)定級工作的通知》(公信安[2007]861號)，就定級范圍、定級工作主要內(nèi)容、定級工作要求等事項(xiàng)進(jìn)行了通知。隨著全國各級檢察機(jī)關(guān)基礎(chǔ)網(wǎng)絡(luò)平臺建設(shè)的基本完成，信息化為檢察機(jī)關(guān)提升司法水平、增強(qiáng)法律監(jiān)督能力提供了很大的幫助。與此同時(shí)，信息安全也日益成為各級檢察機(jī)關(guān)非常關(guān)注的問題，建設(shè)一個可靠的檢察系統(tǒng)信息安全保障體系顯得日益重要。

1 威脅信息系統(tǒng)的主要方法

在對信息系統(tǒng)的安全威脅中，某些方法被經(jīng)常和大量使用，因?yàn)檫@些方法具有易學(xué)性和易傳播性。這些方法的某一實(shí)現(xiàn)或某幾個實(shí)現(xiàn)的組合，會直接導(dǎo)致基本威脅演變?yōu)槌晒Φ墓舭咐Ｍǔ：诳统Ｓ玫姆椒ㄓ幸韵聨追N[1]:

1.1 身份欺騙

某個未授權(quán)的實(shí)體(人或系統(tǒng))假裝成另一個不同的實(shí)體，使其相信它是一個合法的用戶(比如攻擊者截收有效信息甚至是密文，以后在攻擊時(shí)重放這些消息，達(dá)到假冒合法用戶的目的)，進(jìn)而非法獲取系統(tǒng)訪問權(quán)利或得到額外的特權(quán)。冒充通常與某些別的主動攻擊形式一起使用，特別是消息的重放與篡改。攻擊者可以假冒管理者發(fā)布命令和調(diào)閱密件，或者假冒主機(jī)欺騙合法主機(jī)及合法用戶，然后套取或修改使用權(quán)限、口令、密鑰等信息，越權(quán)使用網(wǎng)絡(luò)設(shè)備和資源甚至接管合法用戶欺騙系統(tǒng)，占用或支配合法用戶資源。

1.2 破壞信息的完整性

一般網(wǎng)絡(luò)黑客可以從三方面破壞信息的完整性，即改變信息流的次序、時(shí)序、流向、內(nèi)容和形式，刪除消息全部或其一部分，或是在消息中插入一些無意義或有害消息。

1.3 破壞系統(tǒng)的可用性

攻擊者可以通過使合法用戶不能正常訪問網(wǎng)絡(luò)資源、使有嚴(yán)格時(shí)間要求的服務(wù)不能及時(shí)得到響應(yīng)等方法破壞信息系統(tǒng)的可用性，直至使整個系統(tǒng)癱瘓。

1.4 截收和輻射值測

攻擊者通過搭線竊聽和對電磁輻射探測等方法截獲機(jī)密信息，或者從流量、流向、通信總量和長度等參數(shù)分析出有用信息。

1.5 后門程序

在某個(硬件或軟件)系統(tǒng)或某個文件中設(shè)置的“機(jī)關(guān)”，使得當(dāng)提供特定的輸入條件(或某一信號，或某一信息)時(shí)，允許違反安全策略而產(chǎn)生非授權(quán)的影響。一個典型的例子是口令的有效性可能被修改，使得除了其正常效力之外也使攻擊者的口令生效。例如，一個登錄處理子系統(tǒng)允許處理一個特定的用戶識別號，可以繞過通常的口令檢查。“后門”一般是在程序或系統(tǒng)設(shè)計(jì)時(shí)插入的一小段程序，用來測試這個模塊或者將來為程序員提供一些方便。通常在程序或系統(tǒng)開發(fā)后期會去掉這些“后門”，但是由于種種原因，“后門”也可能被保留下來，一旦被人利用，將會帶來嚴(yán)重的安全后果。利用“后門”可以在程序中建立隱蔽通道，植入一些隱蔽的病毒程序，還可以使原來相互隔離的網(wǎng)絡(luò)信息形成某種隱蔽的關(guān)聯(lián)，進(jìn)而可以非法訪問網(wǎng)絡(luò)，達(dá)到竊取、更改、偽造和破壞信息資料的目的，甚至可能造成系統(tǒng)的大面積癱瘓。

1.6 特洛伊木馬

特洛伊木馬指的是一類惡意的妨害安全的計(jì)算機(jī)程序或者攻擊手段。它是指一個應(yīng)用程序表面上在執(zhí)行一個任務(wù)，實(shí)際上卻在執(zhí)行另一個任務(wù)。同一般應(yīng)用程序一樣，能實(shí)現(xiàn)任何軟件的任何功能，例如拷貝、刪除文件、格式化硬盤，甚至發(fā)電子郵件，而實(shí)際上往往會導(dǎo)致意想不到的后果，如用戶名和密碼的泄露等。例如，它有時(shí)在用戶合法登錄前偽造一登錄現(xiàn)場，提示用戶輸入賬戶和口令，然后將賬戶和口令保存至一個文件中，顯示登錄錯誤，退出特洛伊木馬程序。用戶還以為自己錯了，再試一次時(shí)，已經(jīng)是正常的登錄了，用戶也就不會有懷疑，其實(shí)，特洛伊木馬已完成用戶登錄信息的竊取，更為惡性的特洛伊木馬則會對系統(tǒng)進(jìn)行全面破壞。

1.7 抵賴

抵賴行為并非來自于攻擊者，而是來自于網(wǎng)絡(luò)的通信雙方，即通信雙方中的某一方出于某種目的而否認(rèn)自己曾經(jīng)做過的動作，比如發(fā)信者事后否認(rèn)曾經(jīng)發(fā)送過某些消息或收信者事后否認(rèn)曾經(jīng)接收過某些消息等。

2 目前安全保障體系中信息安全常用技術(shù)

通常我們建設(shè)安全保障體系的時(shí)候，會從兩個方面去進(jìn)行考慮，即以防火墻、入侵檢測技術(shù)為代表的網(wǎng)絡(luò)訪問控制技術(shù)和以PKI體系、數(shù)字簽名技術(shù)為代表的身份認(rèn)證技術(shù)。

2.1 防火墻技術(shù)

防火墻用于對網(wǎng)絡(luò)之間交換的信息流進(jìn)行過濾，執(zhí)行每個網(wǎng)絡(luò)的訪問控制策略。防火墻常常保護(hù)內(nèi)部的“可信”網(wǎng)絡(luò)，使之免遭“不可信”的外來者的攻擊。它是信息的唯一出入口，能根據(jù)安全政策控制(允許、拒絕、監(jiān)測)出入網(wǎng)絡(luò)的信息流，且本身具有較強(qiáng)的抗攻擊能力。它是提供信息安全服務(wù)，實(shí)現(xiàn)網(wǎng)絡(luò)和信息安全的基礎(chǔ)設(shè)施。防火墻實(shí)現(xiàn)網(wǎng)與網(wǎng)之間的訪問隔離，以保護(hù)整個網(wǎng)絡(luò)抵御來自其它網(wǎng)絡(luò)的入侵者。防火墻按實(shí)現(xiàn)的技術(shù)手段總的來說可以分為以下幾種類型:

1)包過濾防火墻

通過檢查數(shù)據(jù)流中每一個數(shù)據(jù)包的源地址、目的地址、所用端口號、協(xié)議狀態(tài)等因素，或它們的組合來確定是否允許該數(shù)據(jù)包通過。其特點(diǎn)是:速度快、費(fèi)用低，并且對用戶透明，但是對網(wǎng)絡(luò)的保護(hù)很有限，因?yàn)樗粰z查地址和端口，對網(wǎng)絡(luò)更高協(xié)議層的信息無理解能力。

2)應(yīng)用級防火墻

工作在應(yīng)用層，又稱為應(yīng)用級網(wǎng)關(guān)，它此時(shí)也起到一個網(wǎng)關(guān)的作用。應(yīng)用級防火墻檢查進(jìn)出的數(shù)據(jù)包，通過自身(網(wǎng)關(guān))復(fù)制傳遞數(shù)據(jù)，防止在受信主機(jī)與非受信主機(jī)間直接建立聯(lián)系。其特點(diǎn)是:訪問控制能力強(qiáng)，但對每種應(yīng)用協(xié)議都需提供相應(yīng)的代理程序，同時(shí)網(wǎng)絡(luò)性能比較低。

3)混合型防火墻

既具有包過濾防火墻以及應(yīng)用級防火墻的特點(diǎn)，同時(shí)增加了一些其它功能，如具有狀態(tài)檢測技術(shù)、應(yīng)用代理、NAT、VPN等功能。無論何種類型防火墻，從總體上看，都應(yīng)具有以下基本功能:過濾進(jìn)、出網(wǎng)絡(luò)的數(shù)據(jù);管理進(jìn)、出網(wǎng)絡(luò)的訪問行為;封堵某些禁止的業(yè)務(wù)和端口;網(wǎng)絡(luò)地址轉(zhuǎn)換;記錄通過防火墻的信息內(nèi)容和活動;對網(wǎng)絡(luò)攻擊的檢測和告警[2]。

2.2 入侵檢測技術(shù)

利用防火墻并經(jīng)過嚴(yán)格配置，可以阻止各種不安全訪問通過防火墻，從而降低安全風(fēng)險(xiǎn)。但是，網(wǎng)絡(luò)安全不可能完全依靠防火墻單一產(chǎn)品來實(shí)現(xiàn)，網(wǎng)絡(luò)安全是個整體的，必須配相應(yīng)的安全產(chǎn)品，作為防火墻的必要補(bǔ)充，入侵檢測系統(tǒng)就是最好的安全產(chǎn)品。入侵檢測系統(tǒng)是根據(jù)已有的、最新的攻擊手段的信息代碼對進(jìn)出網(wǎng)段的所有操作行為進(jìn)行實(shí)時(shí)監(jiān)控、記錄，并按制定的策略實(shí)行響應(yīng)(阻斷、報(bào)警、發(fā)送E-mail)，從而防止針對網(wǎng)絡(luò)的攻擊與犯罪行為。入侵檢測系統(tǒng)通過監(jiān)控來自網(wǎng)絡(luò)內(nèi)部的用戶活動，偵察系統(tǒng)中存在的現(xiàn)有和潛在的威脅，對與安全活動相關(guān)的信息進(jìn)行識別、記錄、存儲和分析[3]。入侵檢測系統(tǒng)可以對突發(fā)事件進(jìn)行報(bào)警和響應(yīng)，通過對計(jì)算機(jī)網(wǎng)絡(luò)或計(jì)算機(jī)系統(tǒng)中的若干關(guān)鍵信息的收集和分析，從中發(fā)現(xiàn)網(wǎng)絡(luò)或系統(tǒng)中是否有違反安全策略的行為和被攻擊的跡象;通過對安全事件的不斷收集、積累、加以分析后，可有選擇性地對其中的某些特定站點(diǎn)或用戶進(jìn)行詳細(xì)跟蹤，為發(fā)現(xiàn)或防止破壞網(wǎng)絡(luò)或系統(tǒng)安全的行為提供有力的安全決策依據(jù)。入侵檢測系統(tǒng)一般包括控制臺和探測器(網(wǎng)絡(luò)引擎)。控制臺用于制定及管理所有探測器(網(wǎng)絡(luò)引擎)。探測器(網(wǎng)絡(luò)引擎)用于監(jiān)聽進(jìn)出網(wǎng)絡(luò)的訪問行為，根據(jù)控制臺的指令執(zhí)行相應(yīng)行為。由于探測器采取的是監(jiān)聽不是過濾數(shù)據(jù)包，因此入侵檢測系統(tǒng)的應(yīng)用不會對網(wǎng)絡(luò)系統(tǒng)性能造成多大影響，根據(jù)檢測業(yè)務(wù)流量的多少可選用千兆或百兆入侵監(jiān)測系統(tǒng)。

2.3 PKI/CA技術(shù)

公鑰基礎(chǔ)設(shè)施(PKI)是利用公鑰密碼理論和技術(shù)建立的提供安全服務(wù)的基礎(chǔ)設(shè)施。PKI的簡單定義是指一系列基礎(chǔ)服務(wù)，這些服務(wù)主要用來支持以公開密鑰為基礎(chǔ)的數(shù)字簽名和加密技術(shù)的廣泛應(yīng)用。PKI以公鑰加密技術(shù)為基本技術(shù)手段來實(shí)現(xiàn)安全性，它將公鑰密碼和對稱密碼結(jié)合起來，希望從技術(shù)上解決身份認(rèn)證、信息的完整性和不可抵賴性等安全問題，為網(wǎng)絡(luò)應(yīng)用提供可靠的安全服務(wù)。PKI最基本的元素是數(shù)字證書，所有的操作都是通過證書來實(shí)現(xiàn)的。一個完整的PKI/CA體系包括簽署數(shù)字證書的認(rèn)證中心CA(Certificate Authority)，登記和批正證書簽署的登記機(jī)構(gòu)RA(Registration Authority)，數(shù)字證書庫CR(Certificate Repository)，密鑰備份及恢復(fù)系統(tǒng)，證書作廢系統(tǒng)，應(yīng)用接口等基本構(gòu)成部分。其中，認(rèn)證中心CA和數(shù)字證書是PKI/CA體系的核心。CA是數(shù)字證書的申請及簽發(fā)機(jī)關(guān)，它是PKI/CA的核心執(zhí)行機(jī)構(gòu)，主要是標(biāo)識和驗(yàn)證證書的身份，保證了交易的安全性;數(shù)字證書是一個經(jīng)CA數(shù)字簽名的、包含證書申請人信息及公開密鑰的電子文件，可以保證信息在傳輸過程中不被除發(fā)送方和接收方以外的其他人竊取和篡改[4]。

基于PKI的數(shù)字簽名技術(shù)類似于現(xiàn)實(shí)中的簽名或印章，保證了傳輸數(shù)據(jù)的真實(shí)性、完整性和不可否認(rèn)性。其簽名和驗(yàn)證過程如下(假設(shè)簽名方是A，驗(yàn)證方是B):

步驟1:A使用對稱密鑰將文件加密生成密文，然后使用單向散列函數(shù)得到待簽名文件的散列值1;

步驟2:A用自己的私鑰將此散列值1轉(zhuǎn)換成數(shù)字簽名，同時(shí)用B的公鑰加密對稱密鑰算法中的密鑰;

步驟3:A將密文、數(shù)字簽名、加密密鑰和時(shí)間戳放置到數(shù)字信封，發(fā)送給B;

步驟4:B使用自己的私鑰解密A發(fā)送的加密文件的對稱密鑰;再用A的公鑰解密A發(fā)送的數(shù)字簽名得到文件的散列值1;

步驟5:B用獲得的對稱密鑰解密文件，并使用相同的單向散列函數(shù)生成散列值2，若該值與A發(fā)送的散列值1相等，則簽名得到驗(yàn)證。

該簽名方法可在很大的可信PKI域中進(jìn)行相互認(rèn)證(或交叉認(rèn)證)，擴(kuò)展了隸屬于不同CA的實(shí)體間的認(rèn)證范圍。

3 完善的檢察信息安全保障系統(tǒng)的構(gòu)成

目前，我國的檢察系統(tǒng)已經(jīng)建成了一套覆蓋全國各級檢察院的信息網(wǎng)絡(luò)體系，同時(shí)，檢察業(yè)務(wù)對信息系統(tǒng)的依賴性也越來越強(qiáng)，在檢察系統(tǒng)信息網(wǎng)絡(luò)體系中存在著較多的敏感信息，而這些信息通常是控制在一定范圍內(nèi)的人員才可查看的(如辦案干警、主管領(lǐng)導(dǎo)等)，因此對系統(tǒng)的保密性要求很高，一旦對數(shù)據(jù)庫中的數(shù)據(jù)進(jìn)行非法訪問與操作，會造成很大的影響。應(yīng)用系統(tǒng)中的數(shù)據(jù)信息將決定業(yè)務(wù)工作能否順利開展，例如案卡信息等數(shù)據(jù)一旦被篡改會，將會對辦案干警的工作造成重大影響，甚至可能出現(xiàn)錯案，因此對應(yīng)用系統(tǒng)的數(shù)據(jù)完整性要求也很高。結(jié)合檢察系統(tǒng)的工作實(shí)際，檢察系統(tǒng)信息安全保障體系應(yīng)由以下幾個方面共同組建而成，其構(gòu)成如下:

3.1 身份認(rèn)證系統(tǒng)

全國檢察系統(tǒng)應(yīng)建立一套基于PKI/CA技術(shù)的統(tǒng)一身份認(rèn)證系統(tǒng)，結(jié)合目前檢察系統(tǒng)信息系統(tǒng)中開展的各項(xiàng)應(yīng)用，嚴(yán)格定義和識別信息系統(tǒng)內(nèi)每個用戶的訪問權(quán)限，及時(shí)發(fā)現(xiàn)并阻止非法用戶的越權(quán)限訪問。

3.2 防火墻和入侵檢測系統(tǒng)

各級檢察院應(yīng)在其本院網(wǎng)絡(luò)對外的接口處部署防火墻以及入侵檢測系統(tǒng)，利用防火墻用來阻止非法用戶進(jìn)入內(nèi)部網(wǎng)絡(luò)系統(tǒng)，入侵檢測系統(tǒng)則是利用審計(jì)跟蹤數(shù)據(jù)監(jiān)視入侵活動。

3.3 安全的操作系統(tǒng)

針對檢察干警普遍使用微軟操作系統(tǒng)的實(shí)際情況，應(yīng)在全國檢察信息系統(tǒng)中部署一套微軟操作系統(tǒng)補(bǔ)丁分發(fā)系統(tǒng)，為各類服務(wù)器提供安全運(yùn)行的平臺，保障操作系統(tǒng)本身是無漏洞的。

3.4 容災(zāi)備份系統(tǒng)

針對服務(wù)器系統(tǒng)可能崩潰以及硬件可能發(fā)生損壞等情況，建立容災(zāi)備份相當(dāng)有必要，容災(zāi)備份系統(tǒng)要能夠把數(shù)據(jù)恢復(fù)到損壞發(fā)生前的狀態(tài)。較為安全的容災(zāi)系統(tǒng)應(yīng)在相隔較遠(yuǎn)的異地建立多套功能相同的系統(tǒng)，進(jìn)行監(jiān)視和功能切換。數(shù)據(jù)容災(zāi)是信息安全戰(zhàn)略中非常重要的一個環(huán)節(jié)。

3.5 防病毒系統(tǒng)

針對目前網(wǎng)絡(luò)上病毒泛濫的實(shí)際情況，給整個體系中的所有服務(wù)器及客戶終端安裝病毒防護(hù)軟件相當(dāng)?shù)挠斜匾?/p>

4 結(jié)束語

該文著重介紹了兩個方面的安全保障技術(shù)以及檢察信息安全保障體系在技術(shù)上需要達(dá)到的一些基本要求，但要真正建立起一個完善的安全保障系統(tǒng)，只從技術(shù)手段方面著手是遠(yuǎn)遠(yuǎn)不夠的，只有擁有安全的運(yùn)行環(huán)境、規(guī)范化的管理、高素質(zhì)的人員配備再輔以完善的技術(shù)，才能真正建立起一套完整的安全保障體系。

參考文獻(xiàn):

[1] 嚴(yán)偉.成都市保密專用網(wǎng)絡(luò)安全設(shè)計(jì)[D].四川:四川大學(xué)，2003.

[2] 朱革娟，周傳華，趙保華.網(wǎng)絡(luò)安全與新型防火墻技術(shù)[J].計(jì)算機(jī)工程與技術(shù)，2001，1(22):16-19.

[3] Michael Wenstrom.管理Cisco網(wǎng)絡(luò)安全[M].北京:人民郵電出版社，2001:557-583.

[4] 劉平.電子政務(wù)中PKI的應(yīng)用及其互操作性的研究[D].廈門:廈門大學(xué)，2007.