信息系統(tǒng)的安全防護是一項非常復雜的工程，圍繞它目前已經(jīng)形成了眾多安全技術。而一個安全的信息系統(tǒng)通常要綜合采用多種技術和部署相應的安全產(chǎn)品，通過建立一個縱深的安全防護體系，從而增加攻擊者入侵系統(tǒng)所花費的時間、成本和所需要的資源，以最終降低系統(tǒng)被攻擊的危險，達到安全防護的目標。下文是信息安全防護的技術架構，它基本上囊括了當今安全領域內所采用的主要安全技術，包括身份認證、訪問控制、內容安全、審計和跟蹤、響應和恢復幾個部分。下面將分別對這些技術的特點及其使用范圍進行介紹。

身份認證

身份認證是對網(wǎng)絡中的主體和客體的身份進行驗證的過程，所包括的典型技術有：口令認證機制、公開密鑰基礎設施(PKI)強認證機制、基于生物特征的認證等。

口令認證口令認證是最常用的一種認證方式。口令是相互約定的代碼，通常只有用戶和系統(tǒng)知道?？诹钣袝r由用戶選擇，有時由系統(tǒng)分配。通常情況下，用戶先輸入某種標志信息，比如用戶名和ID號，然后系統(tǒng)詢問用戶口令，若口令相匹配，用戶即可進入系統(tǒng)訪問。口令有多種，如一次性口令，系統(tǒng)生成一次性口令的清單，規(guī)定第一次時必須使用X，第二次時必須使用Y，第三次時用Z……還有基于時間的口令，即訪問者使用的口令隨時間變化，變化基于時間和一個秘密的用戶密鑰，這樣口令隨時都在改變，使其更加難以猜測。

PKI的認證機制PKI(PublicKeyInfrastructure)技術是通過公鑰密碼體制中用戶私鑰的機密性來提供用戶身份的惟一性驗證，并通過數(shù)字證書的方式為每個合法用戶的公鑰提供一個合法性的證明，建立了用戶公鑰到證書ID號之間的惟一映射關系。PKI主要由證書生產(chǎn)系統(tǒng)和應用系統(tǒng)組成，證書生產(chǎn)系統(tǒng)又包括數(shù)字證書認證中心(CertificationAuthority，CA)和密鑰管理中心(KeyManagement，KM)，共同完成數(shù)字證書的申請、審核、簽發(fā)、注銷、更新、查詢等功能。證書應用系統(tǒng)提供身份認證、加解密、簽名驗簽等安全服務功能，以解決業(yè)務應用中的機密性、完整性、認證性、不可否認性等安全問題。

由于數(shù)字證書本身是公開的，因此在身份驗證過程中必須通過公鑰與私鑰之間的惟一映射關系(由公鑰加密體制自身提供保證)來間接建立用戶私鑰和證書ID號之間的映射關系。數(shù)字證書可以存儲在多種介質上(硬盤、軟盤、IC卡、USBKey等)。若采用硬件形式如智能IC卡、USBKey等，把用戶的私鑰存放其中則更安全。

PKI的認證是一種強認證機制，綜合采用了摘要算法、非對稱加密、對稱加密、數(shù)字簽名等技術，很好地將安全性和高效性結合起來。這種認證方法目前廣泛應用在電子郵件、應用服務器訪問、客戶端認證、防火墻認證等領域。

生物特征的認證基于生物特征的認證是一項正處于研究開發(fā)階段的技術，常見的有指紋、聲音、視網(wǎng)膜或虹膜、手掌幾何學等。這種利用個人生理特征進行鑒別的方式具有很高的安全性。目前已推出的設備包括：視網(wǎng)膜掃描儀、指紋識別儀、聲音驗證設備、手型識別器。

訪問控制

訪問控制的主要任務是保證網(wǎng)絡資源和應用系統(tǒng)不被非法使用和訪問。訪問控制所包括的典型技術有：防火墻、虛擬專用網(wǎng)(VPN)、授權管理基礎設施(PMI)等。

防火墻：防火墻是指設置在不同網(wǎng)絡(如可信任的內部網(wǎng)和不可信的公共網(wǎng))或網(wǎng)絡安全域之間的一系列部件的組合，它是不同網(wǎng)絡或網(wǎng)絡安全域之間信息的惟一出入口，能根據(jù)單位的安全策略(允許、拒絕等)控制出入網(wǎng)絡的信息流，且本身具有較強的抗攻擊能力。

防火墻是目前用得最廣泛的一種安全技術，它可以限制外部對系統(tǒng)資源的非授權訪問，也可以限制內部對外部的非授權訪問，同時還限制內部系統(tǒng)之間，特別是安全級別低的系統(tǒng)對安全級別高的系統(tǒng)的非授權訪問。

VPN虛擬專網(wǎng)(VirtualPrivateNetwork，VPN)是指采用隧道技術以及加密、身份認證等方法，在公共網(wǎng)絡上構建專用的網(wǎng)絡，數(shù)據(jù)通過安全的“加密隧道”在公共網(wǎng)絡中傳輸。

VPN可使用戶或企業(yè)通過公共的互聯(lián)網(wǎng)絡連接到遠程服務器、分部辦公室服務器或其他企業(yè)的網(wǎng)絡，同時可以保護通信的安全。VPN具有安全性、服務質量保證(QoS)、可擴充性和靈活性、可管理性、使用價格低廉等特點，正是這些特點使得VPN已得到廣泛應用。

PMIPMI(PrivilegeManagementInfrastructure)是屬性機構、屬性證書、屬性證書注冊申請中心、屬性庫、策略庫等部件的集合體，用來實現(xiàn)權限和證書的產(chǎn)生、管理、存儲、分發(fā)和撤銷功能。PMI可以向應用系統(tǒng)提供對實體(人、服務器、程序等)的權限管理和授權服務，實現(xiàn)實體身份到應用權限的映射，提供與實際應用處理模式相應的、與具體應用系統(tǒng)開發(fā)和管理無關的授權和訪問控制機制，簡化具體應用系統(tǒng)的開發(fā)與維護。PMI以應用系統(tǒng)的資源管理為核心，將對資源的訪問控制權統(tǒng)一交由授權機構進行管理，即由資源的所有者——業(yè)務應用系統(tǒng)來進行訪問控制。

PKI解決了實體的身份認證問題，即“你是誰”，而PMI解決了實體的授權問題，即“你能干什么”。

內容安全

內容安全主要是直接保護系統(tǒng)中傳輸和存儲的數(shù)據(jù)。主要是通過對信息和內容本身進行變形和變換，或者對具體的內容進行檢查來實現(xiàn)。內容安全所包括的典型技術有：加密、防病毒、內容過濾等。

加密：加密是信息安全領域的一種基本、實用且非常重要的技術。主要分為對稱加密、非對稱加密兩類。對稱加密使用單個密鑰對數(shù)據(jù)進行加密或解密，其特點是計算量小、加密效率高。但是此類算法在分布式系統(tǒng)上使用較為困難，主要是密鑰管理困難。這類算法的代表是DES、RC2、RC4、RC5、3DES等。

非對稱加密算法也稱公開密鑰加密算法，其特點是有兩個密鑰(即公用密鑰和私有密鑰)，只有二者搭配使用才能完成加密和解密的全過程。由于非對稱算法擁有兩個密鑰，它特別適用于分布式系統(tǒng)中的數(shù)據(jù)加密，因此在Internet中得到廣泛應用。其中公用密鑰在網(wǎng)上公布，為對數(shù)據(jù)加密使用，而用于解密的相應私有密鑰則由數(shù)據(jù)的接收方妥善保管。典型算法有：RSA、DSA、ECC等。

在實際應用中，通常將對稱加密和非對稱加密結合起來：即首先由對稱密鑰對輸入的數(shù)據(jù)進行加密，然后用公鑰對對稱密鑰進行加密。因為它不僅保證了加密的高效性(對稱密鑰的快速加密)，還保證了加密的高強度性(公鑰的強加密)。

防病毒：病毒是一種進行自我復制、廣泛傳播、對計算機及其數(shù)據(jù)進行嚴重破壞的程序。

由于病毒具有隱蔽性與隨機性的特點，使用戶防不勝防。特別是隨著信息網(wǎng)絡規(guī)模不斷擴大和高帶寬Internet的多點接入，病毒已成為最大的安全威脅。

防范病毒必須建立多層的網(wǎng)絡級病毒防治系統(tǒng)：第一層是網(wǎng)關(代理服務器)防毒，第二層是服務器防毒，第三層是客戶端計算機防毒，這樣能有效地防治病毒，并建立完善的病毒管理體系，負責防病毒軟件的自動分發(fā)、自動升級、集中配置和管理、統(tǒng)一事件和告警處理、保證整個企業(yè)范圍內病毒防護體系的一致性和完整性。

內容過濾：內容過濾就是采取適當?shù)募夹g措施，對Internet上的不良信息進行過濾，既阻止不良信息對人們的侵害，又可以通過規(guī)范用戶的上網(wǎng)行為，提高工作效率，合理利用網(wǎng)絡資源。

內容過濾技術還很不成熟，通常內容過濾技術包括關鍵詞過濾技術、圖像過濾技術、模板過濾技術和智能過濾技術等。目前，很多防火墻集成了內容過濾技術，能對URL網(wǎng)址和網(wǎng)頁文字等固定內容進行過濾。

審計和跟蹤

審計和跟蹤這種機制一般情況下并不干涉和直接影響主業(yè)務流程，而是通過對主業(yè)務進行記錄、檢查、監(jiān)控等來完成以審計、完整性等要求為主的安全功能。審計和跟蹤所包括的典型技術有：入侵檢測系統(tǒng)(IDS)、漏洞掃描系統(tǒng)、安全審計系統(tǒng)等。

IDS入侵檢測是一種主動保護網(wǎng)絡和系統(tǒng)安全的技術，它從計算機系統(tǒng)或網(wǎng)絡中采集、分析數(shù)據(jù)，查看網(wǎng)絡或主機系統(tǒng)中是否有違反安全策略的行為和遭到攻擊的跡象，并采取適當?shù)捻憫胧﹣碜钃豕?，降低可能的損失。它能提供對內部攻擊、外部攻擊和誤操作的保護。

入侵檢測系統(tǒng)可分為基于網(wǎng)絡(NIDS)和基于主機(HIDS)兩種。通過在特定網(wǎng)段、關鍵服務器上安裝IDS，可實時檢測出大多數(shù)攻擊，并采取相應的行動(如斷開網(wǎng)絡連接、記錄攻擊過程、跟蹤攻擊源等)。

漏洞掃描系統(tǒng)漏洞掃描是自動檢測網(wǎng)絡或主機安全漏洞的技術，通過執(zhí)行一些腳本文件對系統(tǒng)進行攻擊并記錄它的反應，從而發(fā)現(xiàn)其中的漏洞并采取補救措施。

不管攻擊者是從外部還是從內部攻擊某一網(wǎng)絡系統(tǒng)，攻擊機會來自已經(jīng)知道的漏洞。對于系統(tǒng)管理員來說，漏洞掃描系統(tǒng)是最好的助手，它能夠主動發(fā)現(xiàn)系統(tǒng)的漏洞，在主機系統(tǒng)安全保衛(wèi)戰(zhàn)中做到“有的放矢”，及時修補漏洞。

漏洞掃描系統(tǒng)分為網(wǎng)絡掃描系統(tǒng)、主機掃描系統(tǒng)和數(shù)據(jù)庫掃描系統(tǒng)三種。網(wǎng)絡掃描系統(tǒng)主要依靠安全漏洞庫對服務器、路由器、防火墻、操作系統(tǒng)和網(wǎng)絡應用進程等進行基于網(wǎng)絡層面的安全掃描;主機掃描系統(tǒng)主要是針對操作系統(tǒng)內部問題進行更深入的掃描，如Unix、NT、Linux，它可彌補網(wǎng)絡掃描系統(tǒng)只通過網(wǎng)絡檢查系統(tǒng)安全的不足;數(shù)據(jù)庫掃描系統(tǒng)是一種專門針對數(shù)據(jù)庫進行安全漏洞檢查的掃描器，其主要功能是找出不良的密碼設定、過期密碼設定、偵測登錄攻擊行為、關閉久未使用的賬號等。

安全審計：安全審計是對網(wǎng)絡或主機的活動軌跡進行記錄形成日志，并對日志進行審計，從而發(fā)現(xiàn)可疑行為。

響應和恢復：從過程上看，響應和恢復是對異常、故障、事故、入侵等事件發(fā)生后做出的反應，但從根本的實現(xiàn)上看，事前的準備才是該技術的關鍵。這方面的技術主要有數(shù)據(jù)備份和恢復、容災。

備份和恢復：備份系統(tǒng)通常由備份管理系統(tǒng)和備份設備構成，備份設備主要有：磁帶庫、磁盤陣列、光盤、SAN等。備份系統(tǒng)的目的是盡可能快地全盤恢復計算機系統(tǒng)所需的數(shù)據(jù)和系統(tǒng)信息。備份不僅在網(wǎng)絡系統(tǒng)硬件故障或人為失誤時起到保護作用，也在入侵者非授權訪問或對網(wǎng)絡攻擊及破壞數(shù)據(jù)完整性時起到保護作用。一般的數(shù)據(jù)備份策略有三種：全備份、增量備份和差分備份。全備份備份系統(tǒng)中所有的數(shù)據(jù);增量備份只備份上次備份以后有變化的數(shù)據(jù);而差分備份則備份上次完全備份以后有變化的數(shù)據(jù)。全備份所需時間最長，但恢復時間最短，操作最方便，當系統(tǒng)中數(shù)據(jù)量不大時，采用全備份最可靠。隨著數(shù)據(jù)量的不斷增大，將無法每天做全備份，但可以在周末進行全備份，其他時間可采用用時更少的增量備份或采用介于兩者之間的差分備份。

恢復措施在整個備份機制中占有相當重要的地位?；謴筒僮魍ǔ？梢苑譃閮深悾旱谝活愂侨P恢復，第二類是個別文件恢復。為了防備數(shù)據(jù)丟失，需要做好詳細的恢復計劃，同時還要定期進行恢復演練。

容災：容災系統(tǒng)可以分為數(shù)據(jù)容災和應用容災兩種。主要取決于對故障停機時間的設計要求。如果要求系統(tǒng)恢復時間很短，就要采用應用級的容災，同時也要做好網(wǎng)絡鏈路的冗余和應用的異地接管。如果能夠容忍較長一點的系統(tǒng)恢復時間，還可以采用數(shù)據(jù)級的容災。

從對數(shù)據(jù)一致性的要求上來說，容災實現(xiàn)數(shù)據(jù)傳輸?shù)姆绞娇梢苑譃橥胶彤惒絻煞N，同步數(shù)據(jù)復制將嚴格保持生產(chǎn)系統(tǒng)和備份系統(tǒng)之間數(shù)據(jù)的同步，災難發(fā)生后幾乎沒有數(shù)據(jù)的丟失，但對容災距離和系統(tǒng)性能會有一定的影響;異步數(shù)據(jù)復制將保持生產(chǎn)系統(tǒng)和備份系統(tǒng)之間的數(shù)據(jù)在一定時間點的一致性，災難發(fā)生后數(shù)據(jù)有部分的丟失，但對容災距離和系統(tǒng)性能的影響相對同步要小。

容災可以采用磁帶庫或者遠程拷貝等。磁帶庫依靠備份系統(tǒng)，在每次系統(tǒng)做完一次全備份后，手工將磁帶取出，保存到一個相對安全的地方，地理位置至少不應該在同一個大樓內;遠程拷貝可以依靠SAN架構，在存儲服務器時間內進行同步拷貝。