今天我們先簡(jiǎn)單概括性談一下有關(guān)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本技術(shù)，等級(jí)保護(hù)工作是系統(tǒng)性、體系性的工作，其技術(shù)可以用龐大或龐雜來(lái)形容。

如果你對(duì)安全知識(shí)體系有了一個(gè)真正的認(rèn)知，那么你對(duì)其感覺(jué)是龐大而有條理的，但是如果你對(duì)安全知識(shí)體系一知半解，那么就變得龐大而雜亂，很多東西似是而非，總能找到不同的解答。

究其原因，就是對(duì)知識(shí)的把握不全面，不牢固造成的，這個(gè)是每一個(gè)人都可能經(jīng)歷的過(guò)程，不必為此而煩惱，做事秉持著當(dāng)下最佳就行了。

下面我們概括性探討一下等級(jí)保護(hù)用到的一些技術(shù)，有關(guān)這些技術(shù)的每一個(gè)方面的每一個(gè)部分都可以是一部大塊頭，甚至一部大塊頭都無(wú)法介紹清楚，需要系列性的書籍去展開(kāi)，所以這里也只能做到拋磚而已。期望起到拋磚引玉的作用！

1.標(biāo)識(shí)與鑒別技術(shù)

標(biāo)識(shí)是區(qū)別實(shí)體身份的方法。

用戶標(biāo)識(shí)通常由用戶名和用戶標(biāo)識(shí)符（UID）表示，設(shè)備標(biāo)識(shí)通常由設(shè)備名和設(shè)備號(hào)表示。用戶標(biāo)識(shí)確保系統(tǒng)中標(biāo)識(shí)用戶的唯一性，這種唯一性要求在信息系統(tǒng)的整個(gè)生存周期起作用，從而支持系統(tǒng)安全事件的可審計(jì)性；設(shè)備標(biāo)識(shí)確保連接到系統(tǒng)中的設(shè)備的可管理性。

鑒別是確認(rèn)實(shí)體真實(shí)性的方法。

用戶鑒別用以確認(rèn)試圖進(jìn)入系統(tǒng)的用戶身份的真實(shí)性，防止攻擊者假冒合法用戶進(jìn)入系統(tǒng)；設(shè)備鑒別用以確認(rèn)接入系統(tǒng)的設(shè)備身份的真實(shí)性，防止設(shè)備的非法接入。

鑒別的主要特點(diǎn)是鑒別信息的不可見(jiàn)性和難以偽造。

常見(jiàn)的鑒別技術(shù)有：

a) 口令鑒別

口令鑒別是長(zhǎng)期以來(lái)主要使用的用戶身份鑒別方法。但簡(jiǎn)單的口令容易被猜測(cè)，復(fù)雜的口令用戶又難以記憶。

b) 生物特征鑒別

主要用于用戶身份真實(shí)性鑒別，包括以指紋特征信息為鑒別信息的用戶身份鑒別，以虹膜特征信息為鑒別信息的用戶身份鑒別，具有唯一性好和難以偽造等優(yōu)點(diǎn)。

c) 數(shù)字證書鑒別

以數(shù)字形式表示的用于鑒別實(shí)體身份的證書信息，以一定的格式存放在證書載體之中，系統(tǒng)通過(guò)檢驗(yàn)證書載體中的證書信息，實(shí)現(xiàn)對(duì)實(shí)體身份鑒別的目的。證書信息的不可見(jiàn)性通常是由密碼支持的安全機(jī)制實(shí)現(xiàn)的，也可以由其它安全機(jī)制，如采用信息隱藏技術(shù)安全機(jī)制實(shí)現(xiàn)。數(shù)字證書鑒別既可以用于用戶身份的真實(shí)性鑒別，也可以用于設(shè)備身份的真實(shí)性鑒別。

基于生物特征識(shí)別的移動(dòng)智能終端身份鑒別技術(shù)架構(gòu)

2.訪問(wèn)控制技術(shù)

訪問(wèn)控制是通過(guò)對(duì)信息系統(tǒng)中主、客體之間的訪問(wèn)關(guān)系進(jìn)行控制，實(shí)現(xiàn)對(duì)主體行為進(jìn)行限制、對(duì)客體安全性進(jìn)行保護(hù)的技術(shù)。訪問(wèn)控制是以授權(quán)管理為基礎(chǔ)實(shí)現(xiàn)的。由系統(tǒng)按照統(tǒng)一的規(guī)則進(jìn)行授權(quán)管理所實(shí)現(xiàn)的訪問(wèn)控制稱為強(qiáng)制訪問(wèn)控制；由用戶按照個(gè)人意愿自主進(jìn)行授權(quán)管理所實(shí)現(xiàn)的訪問(wèn)控制稱為自主訪問(wèn)控制。

其實(shí)，除了下面談到的幾種訪問(wèn)控制兩大類，還有基于對(duì)象、基于任務(wù)等訪問(wèn)類型，這里主要談兩種最基礎(chǔ)的類型，順便提及基于角色的訪問(wèn)。

a) 自主訪問(wèn)控制

自主訪問(wèn)控制是一種提供由用戶對(duì)自身所創(chuàng)建的客體的訪問(wèn)權(quán)限進(jìn)行控制的安全機(jī)制。這些訪問(wèn)權(quán)限包括允許或拒絕其它用戶對(duì)該用戶所創(chuàng)建客體進(jìn)行讀、寫、執(zhí)行、修改、刪除操作，以及授權(quán)轉(zhuǎn)移等。自主訪問(wèn)控制的主要特點(diǎn)是由用戶自主進(jìn)行授權(quán)管理。

目前常見(jiàn)的實(shí)現(xiàn)自主訪問(wèn)控制的方法是各種形式的訪問(wèn)控制表（ACL），目錄表訪問(wèn)控制、訪問(wèn)控制矩陣、能力表等。

b) 強(qiáng)制訪問(wèn)控制

強(qiáng)制訪問(wèn)控制是一種提供由系統(tǒng)按確定的規(guī)則對(duì)每一個(gè)用戶所創(chuàng)建的客體的訪問(wèn)權(quán)限進(jìn)行控制的安全機(jī)制。這種訪問(wèn)權(quán)限包括主體對(duì)客體的讀、寫、修改、刪除等操作。強(qiáng)制訪問(wèn)控制的主要特點(diǎn)是由系統(tǒng)安全員統(tǒng)一進(jìn)行授權(quán)管理。強(qiáng)制訪問(wèn)控制安全策略，通過(guò)對(duì)主體訪問(wèn)客體的訪問(wèn)操作的控制，實(shí)現(xiàn)對(duì)客體的保密性保護(hù)和完整性保護(hù)。

目前常見(jiàn)的強(qiáng)制訪問(wèn)控制有基于多級(jí)安全模型的訪問(wèn)控制和基于角色的訪問(wèn)控制（BRAC）。在多級(jí)安全模型中，Bell-La Padula信息保密性模型是實(shí)現(xiàn)保密性保護(hù)的安全策略，Biba信息完整性模型是實(shí)現(xiàn)完整性保護(hù)安全策略。

c)基于角色的訪問(wèn)控制

基于角色的訪問(wèn)控制（BRAC）則是既可以實(shí)現(xiàn)保密性保護(hù)，也可以實(shí)現(xiàn)完整性保護(hù)的安全策略。強(qiáng)制訪問(wèn)控制通常需要按照最小授權(quán)原則，對(duì)系統(tǒng)管理員、系統(tǒng)安全員和系統(tǒng)審計(jì)員的權(quán)限進(jìn)行合理的分配和嚴(yán)格的管理。

三種訪問(wèn)控制之間的關(guān)系

3.存儲(chǔ)和傳輸數(shù)據(jù)的完整性保護(hù)技術(shù)

完整性保護(hù)是對(duì)因各種原因引起的數(shù)據(jù)信息和系統(tǒng)破壞進(jìn)行對(duì)抗的安全保護(hù)技術(shù)，包括傳輸數(shù)據(jù)的完整性保護(hù)和存儲(chǔ)數(shù)據(jù)的完整性保護(hù)。由于系統(tǒng)的破壞實(shí)際上是對(duì)系統(tǒng)中的軟件和數(shù)據(jù)信息的破壞，所以系統(tǒng)破壞可以歸結(jié)為是信息破壞。

實(shí)現(xiàn)完整性保護(hù)的安全技術(shù)和機(jī)制包括一般的校驗(yàn)碼機(jī)制（如奇偶校驗(yàn)、海明校驗(yàn)等）、密碼系統(tǒng)支持的校驗(yàn)機(jī)制、隱藏信息技術(shù)支持的糾錯(cuò)機(jī)制等。訪問(wèn)控制、身份鑒別、邊界隔離與防護(hù)等實(shí)際上也都是與完整性保護(hù)有關(guān)的安全技術(shù)和機(jī)制。

4.存儲(chǔ)和傳輸數(shù)據(jù)的保密性保護(hù)技術(shù)

保密性保護(hù)是對(duì)因各種原因引起的信息和系統(tǒng)的非法泄露進(jìn)行對(duì)抗的安全保護(hù)技術(shù)，包括數(shù)據(jù)傳輸?shù)谋Ｃ苄员Ｗo(hù)、數(shù)據(jù)存儲(chǔ)的保密性保護(hù)。由于系統(tǒng)的非法泄露實(shí)際上是對(duì)系統(tǒng)中的軟件和數(shù)據(jù)信息的泄露，所以系統(tǒng)泄露同樣可以歸結(jié)為是信息泄露。

實(shí)現(xiàn)保密性保護(hù)的安全技術(shù)和機(jī)制主要包括密碼系統(tǒng)支持的加密機(jī)制、隱藏信息技術(shù)支持的信息保護(hù)機(jī)制等。訪問(wèn)控制、身份鑒別、邊界隔離與防護(hù)等實(shí)際上也都是與保密性保護(hù)有關(guān)的安全技術(shù)和機(jī)制。

5.邊界隔離與防護(hù)技術(shù)

邊界隔離與防護(hù)是一種適用于信息系統(tǒng)邊界（也稱網(wǎng)絡(luò)邊界）安全防護(hù)的安全技術(shù)，主要包括防火墻、入侵檢測(cè)、防病毒網(wǎng)關(guān)、非法外連檢測(cè)、網(wǎng)閘、邏輯隔離、物理隔離、信息過(guò)濾等，用于阻止來(lái)自外部網(wǎng)絡(luò)的各種攻擊行為。

使用邊界隔離與防護(hù)技術(shù)進(jìn)行安全防護(hù)首先要有明確的邊界，包括整個(gè)信息系統(tǒng)的外部邊界和信息系統(tǒng)中各個(gè)安全域的內(nèi)部邊界。

6.系統(tǒng)安全運(yùn)行及可用性保護(hù)技術(shù)

為了確保信息系統(tǒng)的安全運(yùn)行，確保信息系統(tǒng)中的信息及信息系統(tǒng)所提供的安全功能達(dá)到應(yīng)有的可用性要求，除了上述信息安全保護(hù)技術(shù)和邊界防護(hù)技術(shù)外，還應(yīng)提供以下安全技術(shù)：

a) 安全審計(jì)技術(shù)

對(duì)信息安全系統(tǒng)運(yùn)行過(guò)程中的每一個(gè)安全相關(guān)事件，應(yīng)提供審計(jì)支持。審計(jì)機(jī)制應(yīng)能及時(shí)發(fā)現(xiàn)并記錄各種與安全事件有關(guān)的行為，成功的或失敗的，并根據(jù)不同安全等級(jí)的要求，對(duì)發(fā)現(xiàn)的安全事件作出不同的處理。

b) 安全性檢測(cè)分析技術(shù)

對(duì)運(yùn)行中的信息系統(tǒng)，應(yīng)定期或不定期進(jìn)行信息系統(tǒng)安全性檢測(cè)分析，發(fā)現(xiàn)存在的問(wèn)題和漏洞。信息系統(tǒng)安全性檢測(cè)分析機(jī)制應(yīng)提供對(duì)信息系統(tǒng)的各個(gè)重要組成部分，如硬件系統(tǒng)、操作系統(tǒng)、數(shù)據(jù)庫(kù)管理系統(tǒng)、應(yīng)用軟件系統(tǒng)、網(wǎng)絡(luò)系統(tǒng)的各關(guān)鍵設(shè)備、設(shè)施，以及電磁泄露發(fā)射等，提供安全性檢測(cè)分析功能。高安全等級(jí)的信息系統(tǒng)應(yīng)由安全機(jī)制管理控制中心集中管理系統(tǒng)安全性檢測(cè)分析功能。

c) 系統(tǒng)安全監(jiān)控技術(shù)

對(duì)運(yùn)行中的信息系統(tǒng)，應(yīng)實(shí)時(shí)地進(jìn)行安全監(jiān)控，及時(shí)發(fā)現(xiàn)并處理各種攻擊和入侵。信息系統(tǒng)安全監(jiān)控機(jī)制應(yīng)通過(guò)設(shè)置分布式探測(cè)機(jī)制監(jiān)測(cè)并截獲與攻擊和入侵有關(guān)的信息，在信息系統(tǒng)安全機(jī)制管理控制中心設(shè)置安全監(jiān)控集中管理機(jī)制，匯集由探測(cè)機(jī)制截獲的信息，并在綜合分析的基礎(chǔ)上對(duì)攻擊和入侵事件作出處理。

d) 信息系統(tǒng)容錯(cuò)備份與故障恢復(fù)技術(shù)

確保信息系統(tǒng)不間斷運(yùn)行和對(duì)故障的快速處理和恢復(fù)，是提供信息和信息系統(tǒng)功能可用性的基礎(chǔ)和前提。信息系統(tǒng)容錯(cuò)、備份與故障恢復(fù)，要求對(duì)信息系統(tǒng)的各個(gè)重要組成部分應(yīng)提供復(fù)算、熱備份等容錯(cuò)機(jī)制，使可能出現(xiàn)的某些錯(cuò)誤消除在內(nèi)部，對(duì)上層應(yīng)用透明；應(yīng)提供信息備份與故障恢復(fù)、系統(tǒng)備份與故障恢復(fù)等機(jī)制，對(duì)出現(xiàn)的某些故障通過(guò)備份所提供的支持實(shí)現(xiàn)恢復(fù)。對(duì)于重要的信息系統(tǒng)，通過(guò)設(shè)置主機(jī)系統(tǒng)的異地備份，當(dāng)主機(jī)系統(tǒng)發(fā)生災(zāi)難性故障中斷運(yùn)行時(shí)，能在較短時(shí)間內(nèi)啟動(dòng)，替代主機(jī)系統(tǒng)工作，使系統(tǒng)不間斷運(yùn)行，以確保業(yè)務(wù)應(yīng)用的連續(xù)性。

災(zāi)難恢復(fù)服務(wù)生命周期示意圖

7.密碼技術(shù)

應(yīng)根據(jù)信息系統(tǒng)安全保護(hù)的要求配置國(guó)家批準(zhǔn)的相應(yīng)密碼技術(shù)。密碼技術(shù)包含對(duì)稱密鑰密碼、非對(duì)稱密鑰密碼和單向函數(shù)。密碼技術(shù)可用于實(shí)現(xiàn)數(shù)據(jù)加密、數(shù)字簽名、身份認(rèn)證、權(quán)限驗(yàn)證、數(shù)據(jù)完整性驗(yàn)證等安全需求的場(chǎng)合。

電子文件密碼應(yīng)用技術(shù)框架

后記：宋郭若虛《圖畫見(jiàn)聞志》有關(guān)閻立本的記載：唐閻立本至荊州，觀張僧繇舊跡，曰：‘定虛得名耳?！魅沼滞?，曰：‘猶是近代佳手？’ 明日又往，曰：‘名下無(wú)虛士?！P觀之，留宿其下，十余日不能去。我曾思考數(shù)日，如何表述這段文字描述的故事。其中義理大部分人都一眼明了，人卻都在其中。試看文字描述，同樣一幅畫，三看三異三得，次次都有新境界。

故事在告誡我們自身的知識(shí)和認(rèn)知尚不圓滿，需日日不斷精進(jìn)，故學(xué)習(xí)這事情需要保持空杯心態(tài)，茍日新、日日新！等級(jí)保護(hù)這些基本技術(shù)，我個(gè)人自是都很熟悉，但卻又不深入，也需要時(shí)時(shí)多讀，做到“舊書重讀添新味”，一次要比一次多得一些吧。