信息安全解决方案.pdf

信息安全解决方案

（6）安全与密码产品具有合法性，并便于安全管理单位与密码管理单位的检查

与监督。

基于上述思想，网络信息安全系统应遵循如下设计原则：

1．1满足因特网的分级管理需求

根据Internet网络规模大、用户众多的特点，对Internet/Intranet信息安全

实施分级管理的解决方案，将对它的控制点分为三级实施安全管理。

第一级：中心级网络，主要实现内外网隔离；内外网用户的访问控制；内部网

的

（2）保持网络原有的性能特点，即对网络的协议和传输具有很好的透明性；

（3）易于操作、维护，并便于自动化管理，而不增加或少增加附加操作；

（4）尽量不影响原网络拓扑结构，便于系统及系统功能的扩展；

（5）安全保密系统具有较好的性能价格比，一次性投资，可以长期使用；

监控；内部网传输数据的备份与稽查。

第二级：部门级，主要实现内部网与外部网用户的访问控制；同级部门间的访

问控制；部门网内部的安全审计。

第三级：终端/个人用户级，实现部门网内部主机的访问控制；数据库及终端信

息资源的安全保护。

1．2需求、风险、代价平衡的原则

对任一网络，绝对安全难以达到，也不一定是必要的。对一个网络进行实际额

研究（包括任务、性能、结构、可靠性、可维护性等），并对网络面临的威胁

及可能承担的风险进行定性与定量相结合的分析，然后制定规范和措施，确定

本系统的安全策略。

1．3综合性、整体性原则

应用系统工程的观点、方法，分析网络的安全及具体措施。安全措施主要包括：

行政法律手段、各种管理制度（人员审查、工作流程、维护保障制度等）以及

专业措施（识别技术、存取控制、密码、低辐射、容错、防病毒、采用高安全

产品等）。一个较好的安全措施往往是多种方法适当综合的应用结果。一个计

算机网络，包括个人、设备、软件、数据等。这些环节在网络中的地位和影响

作用，也只有从系统综合整体的角度去看待、分析，才能取得有效、可行的措

施。即计算机网络安全应遵循整体安全性原则，根据规定的安全策略制定出合

理的网络安全体系结构。

另外，使用IP信道加密技术（IPSEC）也可以在两个网络结点之间建立透明的

安全加密信道。其中利用IP认证头（IPAH）可以提供认证与数据完整性机制。

利用IP封装净载（IPESP）可以实现通信内容的保密。IP信道加密技术的优点

是对应用透明，可以提供主机到主机的安全服务，并通过建立安全的IP隧道实

现虚拟专网即VPN。目前基于IPSEC的安全产品主要有网络加密机，另外，有些

防火墙也提供相同功能。

4．3信息安全（应用与数据安全）

在这里，我们把信息安全定义为应用层与数据安全。在这一层次上，主要是应

用密码技术解决用户身份鉴别、用户权限控制、数据的机密性、完整性等网络

上信息的安全问题。由于网络的开放性和资源的共享，使得网络上的信息（无

论是动态的还是静态的）的使用和修改都是自由的，如非法修改、越权使用、

改变信息的流向等。这也必然威胁到信息的可控性、可用性、保密性、完整性

等安全属性。为了保证信息的安全，我们必须采取有效的技术措施。这些措施

主要从以下几个方面解决信息的安全问题，即：用户身份鉴别、用户权限控制、

信息的传输安全、信息的存储安全以及对信息内容的审计。

北京天融信公司为解决这一层次的安全问题而提供的相关产品有：

·wInternet/Intranet加密系统：它为应用程序提供身份

鉴别、数据加密、数字签名和自动密钥分发等安全功能。

·CA系统：建立证书中心（CA）即公钥密码证书管理中心，

是公钥密码技术得以大规模应用的前提条件。公钥密码算法在密钥自动

管理、数字签名、身份识别等方面是传统对称密码算法所不可代替的一

项关键技术。尤其在当前迅猛发展的电子商务中，数字签名是电子商务

安全的核心部分。公钥密码算法用于数字签名时须借助可信的第三方对

签名者的公开密钥提供担保，这个可信的第三方就是CA。因此，建立CA

是开展电子商务的先决条件。另外，CA还可为各种基于公钥密码算法建

立的网络安全系统提供认证服务。

·端端加密机：这类密码机只对用户数据中的数据字段部

分加密，控制字段部分则不加密，用户数据加密后通过网络路由交换到

达目