信息安全的发展综述研究

薛 鹏

（北京联合大学信息网络中心，北京 100101）

0 引 言

随着网络应用服务日趋丰富、应用服务范围全面渗透，信息安全的重要性日益突出．网络信息应用对安全需求的持续高增长与信息安全本身的发展状态始终是业内呈现的一对主要矛盾．因此，信息安全问题已成为全球关注的主题．与此同时，漏洞扫描、Web防火墙等信息安全技术和产品不断涌现，容易给人们造成某种错觉，似乎足够的安全技术和产品就能完全保证信息安全．其实问题远没有想象的简单．

首先，许多安全技术或产品远未达到需要的标准．例如，主流的企业级操作系统不断被发现存在安全漏洞；互联网上大约25%的防火墙被攻破［1］．其次，即使网络设备指标达到了安全需要标准，若管理不当，还是不能充分实现安全需求．例如，许多单位只是通过购买安全设备进行不太具有针对性的网络系统加固，安全管理过程存在缺失；因用户意识淡漠，密码口令的泄露将导致网络身份认证机制完全失效等．

上述两方面是信息安全面临的两个基础性问题，由此指明了当前信息安全建设的两大主线：即在依靠技术获得整体的信息安全的同时，需要有效的安全管理，两者互为支持和补充；同时，上述事例等具体问题又为我们提供了寻找突破点的机会，每一个具体问题背后往往都隐藏着一种解决方案．

本文将从信息安全的发展视角较为全面地勾勒思想和实践的历次跨越．这将有助于更立体地理解信息安全建设，在较高的层次谋划与布局信息安全保障实施．

1 国内外信息安全发展

信息安全的概念历经从浅入深、由片面到全面、由离散到整体的发展历程．业内普遍认为，信息安全的发展可以划分为三个阶段：即通信安全（COMSEC）阶段、计算机安全（COMPUSEC）和信息安全（INFOSEC）阶段、信息保障（IA）阶段．

1．1 通信安全（COMSEC）阶段

这一阶段起源于计算机问世之初，主要标志是1949年信息论创始人Shanon发表的《保密系统的通信理论》．1975年1月，美国国家标准局（NBS）公布《国家数据加密标准》，并由美国国家标准局颁布为国家标准，这是密码术历史上的里程碑事件．随后的1977年，美国罗纳德·里维斯特（Ronald Rivest）等提出了第一个较为完善的RSA公钥密码体制［2］．

贯穿整个通信安全阶段，研究的关注对象主要为军方和政府，所面临的主要安全威胁是搭线窃听和密码学分析，需要解决的问题是在远程通信中拒绝非授权用户的信息访问以及确保信息的真实性［3］．本阶段信息安全的内涵就是通信保密，采用的保护措施是数据加密．

1．2 计算机系统安全（COMPUSEC）和信息安全（INFOSEC）阶段

信息安全在20世纪70年代过渡到了计算机安全阶段．此阶段的信息安全研究目标扩展到信息系统的安全．随着数据库技术广泛应用，信息安全概念从仅注重保密性扩充到完整性，访问控制技术变得更加重要，出现了一系列突破性研究：最早成果是1969年由B．Lampson提出的访问控制矩阵模型；为增强授权的灵活性，业界于20世纪90年代提出了把许可权与角色联系在一起的基于角色的访问控制RBAC模型［2］，即不把系统操作的各种权限直接授予具体用户，而是在用户集合与权限集合之间建立角色集合，每一种角色对应一组权限．

因信息及信息技术具有相当的敏感性与特殊性，信息产品及由其构成的信息网络系统是否安全可靠成为信息安全的又一重要课题，而问题解决首先就需要对信息网络实施“体检”，即发现安全问题．因此，在这一阶段多个国家纷纷启动了围绕信息安全评估领域的研究：编制和颁布安全标准，以系统评估安全状况．

20世纪70年代初，美国国防部就开始对计算机安全评估标准进行研究，其中里程碑事件是1985年12月美国国防部发布《可信计算机系统评估准则》（TCSEC），又称橘皮书，该标准是计算机系统安全评估的第一个正式标准［3］，它的发布成为计算机安全阶段又一个里程碑事件．TCSEC的设计初衷是针对操作系统的安全性进行评估，其最初只是军用标准，后来延伸到民用领域．在此之后，美国国防部又陆续发布了可信数据库解释、可信网络解释等一系列相关的说明和指南．因这些文件发行时封面为不同颜色，故常被称为“彩虹系列”［4］．

20世纪90年代初，英、法、德、荷四国在吸收了TCSEC经验的基础上，提出“信息技术安全评估准则（ITSEC）”，俗称白皮书．其中首次提出了信息安全的保密性、完整性及可用性等概念，将可信计算机的概念提高到可信信息技术的高度．

为了建立一个各国都能接受的通用的信息安全产品和系统的安全性评估准则，1993年6月，美国政府同加拿大及欧共体共同起草单一的通用准则——CC标准，并将结果作为对国际标准的贡献提交至国际标准化组织（ISO）．1999年12月ISO在修订后正式将CC2．1版颁布为国际标准ISO／IEC15408标准．这一国际标准中充分突出“保护轮廓”，将评估过程分为“功能”和“保证”两个部分．此国际标准是当前最全面的信息技术安全评估准则［4］．

英国在这一时期开展了总体侧重于管理的信息安全研究．值得一提的是英国标准协会（BIS）于1999年制定了目前在国际上具有广泛代表性的信息安全管理标准，此标准随后被ISO／IEC正式采纳为国际标准《信息技术—信息安全管理实施规则》（ISO／IEC17799）［5］．

中国自这一时期也启动了围绕信息安全管理评估的系统研究和实践．1999年9月，国家质量技术监督局颁布了国家强制性标准《计算机信息系统安全保护等级划分准则》（GB 17859—1999），并于2001年元旦始实施．此标准将安全保护等级分为五级．2001年，中国直接等同采用ISO／IEC15408国际标准为GB／T18336—2002，中国公安部围绕管理的现实要求制定了行业推荐标准《计算机信息系统安全等级保护管理要求》（GA／T391）［5］．

21世纪初，网络通信技术和计算机技术进一步发展，人们对安全要求的关注对象逐步从计算机转向信息本身，需要保护信息在存储、处理或传输过程中不被非法访问或更改，确保对合法用户的服务并限制非授权用户的服务．故信息安全又注入了新内涵．信息安全的概念中增加了信息和系统的可控性、信息行为的不可否认性要求，即保护和防御信息及信息系统，确保五个方面安全可靠：保密性、完整性、可用性、可控性及不可否认性．

1．3 信息保障（IA）阶段

20世纪末21世纪初，信息系统遭受攻击频繁，网络黑客和病毒技术层出不穷，形式多样．人们认识到任何单一的信息安全技术和手段都存在弱点，需要寻找一种可持续的保护机制，对信息和信息系统进行全方位的、动态的保护．其实，早在1989年美国卡内基·梅隆大学计算机应急小组就开始研究了如何从静态信息安全防护向动态防护转变．美国国防部在吸收这一思想后于1995年提出了“信息保障”（IA）概念．1996年美国国防部在令S－3600．1对信息保障做出如下定义：保护盒防御信息及信息系统，确保其可用性、完整性、保密性、可认证性、不可否认性等特性，提出信息保障的PDRR模型，如图1所示．

图1 PDRR模型示意图

安全已不仅限于信息的保护，人们需要对整个信息和信息系统进行保护盒防御，包括，即保护、检测、反应和恢复总共四个动态的信息安全环节［6］，如表1所示．

表1 信息保障四环节

在信息保障研究中，美国军方始终走在前列．1998年5月，美国国家安全局NSA制定了《信息保障技术框架》（IATF）的1．0版本，随后又推出了2．0、3．0等修订版本．2000年9月，考虑到安全的整体性，美国制定并颁布了《信息时代的关键基础设施保护》．在信息保障阶段，国际标准化组织继续细化信息安全管理标准，推出了ISO27000标准簇．ISO／IEC27001即是前文提到的ISO17799在该阶段的修订版本．

同时，中国在这一时期在引进IATF和ISO27000系列标准的基础上，由中国公安部于2008年编制并颁布了侧重于实施层面的《信息安全技术信息系统安全等级保护定级指南》（GB／T22240）、《信息安全技术信息系统安全等级保护基本要求》（第三版）（GB／T 22239）［7］．特别在GB／T22239中，每一等级都对应由技术与管理构成的十大安全域，而根据不同等级每个域设有若干控制点．同年，国家启动了符合ISO27001标准的信息安全管理认证工作．具体参见表2．

信息保障与以往信息安全最大区别是更加重视系统的入侵检测能力、系统的事件反应能力以及系统遭受破坏后的快速恢复能力，重点关注信息系统整个生命周期的防御和恢复．

表2 ISO 27000系列标准（部分）［8］

参考以上标准规范，在信息安全建设工程实施中，首先具有横纵交织的防御体系思想：构建横向覆盖物理、网络、主机、数据、应用等关键域、纵向从制度、流程到表单的三级粒度的安全体系．同时，关注横纵层面和功能之间的连接、交互、依赖、协调、协同等相互关联，尤其是关键域的建设需建立在安全强度一致的基础上，避免不经论证主观色彩浓厚的分散建设．工程实践中，抵御攻击和快速恢复是信息安全建设的并行目标和切入点．

2 信息安全的最新发展趋向

在信息技术高速发展的背景下，网络应用和普及引发的技术和应用模式的变革推动着信息安全的不断创新，促使信息安全的内涵持续拓展．根据目前国际发展趋势，移动网络、以动态服务计算为技术特征的“云计算”应用日趋成熟，其在诸多领域的应用初见端倪．它们的出现是信息技术领域的重大变革．这种变革也为信息安全领域带来了巨大发展契机．

首先，安全工具趋向集成化和强针对性［1］．多种单一功能的信息安全技术与产品向多种功能或融于某一信息产品的信息安全技术与产品的方向发展．例如防火墙就已研制出增加防病毒、加入虚拟专用网络（VPN）、加入入侵检测系统（IDS）以及安全网关、主机安全防护系统及网络监控系统等多种功能于一身的产品．具备强针对性的专用安全工具则是针对某些影响范围广、危害严重的少数类别的威胁．如专门针对分布式拒绝服务（DDoS）攻击的防范系统、内网非法外联系统、便捷的安全U盘等．

同时，基于管理思想的安全工具是信息安全管理的具体实践手段，也是安全技术发展的大趋势．管理类工具有安全管理平台、统一威胁管理工具和日志分析系统等．随着解决信息安全问题的要求越来越高，还出现了信息安全服务机构，即把信息系统的安全加固需求委托给专业从事信息安全服务的专业公司或团队实施．信息安全服务是信息安全产业分工和细化的进一步发展，是信息安全设计动态性的延伸．

尽管当前信息安全技术与管理得到了很大发展，但信息技术与应用的不断发展变化也给其带来了巨大挑战．这些挑战主要有以下几方面：

（1）通用计算设备的计算能力越来越强，对计算的安全性形成突出考验．

（2）随着网络高速化、无线化、移动化和设备小开支化的发展，信息安全的计算环境可能附加越来越多的制约．美国计算研究协会（CRA）认为，创建无所不在的安全网络需求是对信息安全的最大挑战．

（3）网络与系统攻击的复杂性和动态性直接造成防护方法主要依靠经验的局面．网络与系统攻击防护理论较难准确完整地刻画网络与系统攻击行为．

特别要指出的是，“云计算”也同时为信息安全研究出了许多待解新课题．例如云平台中运行的各类“云应用”没有固定不变的基础设施，没有固定不变的安全边界，很难实现用户数据安全与隐私保护．其次，“云服务”所涉及的资源由多个管理者所有，存在利益冲突，无法统一规划部署安全防护措施．此外，云平台中数据与计算高度集中，安全措施须满足海量信息处理的要求．针对这些问题的求解已成为信息安全未来研究的主要目标：改进完善基于“云计算”应用模式的信息安全管理体系；建立以安全目标验证、安全服务等级测评为核心的“云计算”安全标准及其测评体系；建立以数据安全和隐私保护为主要目标的“云安全”技术框架．

［1］ 徐国爱，陈秀波，郭燕慧．信息安全管理［M］．第2版．北京：北京邮电大学出版社，2012．

［2］ 李红娇．信息安全概论［M］．北京：中国电力出版社，2012．

［3］ 印润远．信息安全导论［M］．北京：中国铁道出版社，2011．

［4］ 张建标，赖英旭，侍伟敏．信息安全体系结构［M］．北京：北京工业大学出版社，2011．

［5］ 吕韩飞，冯前进．信息安全管理实务［M］．北京：清华大学出版社，2011．

［6］ 赵泽茂．信息安全技术［M］．西安：西安电子科技大学出版社，2009．

［7］ 中国国家标准化管理委员会．GB／T22239—2008信息安全技术信息系统安全等级保护基本要求［S］．北京：中国标准出版社，2008．

［8］ The International Organization for Standardization．ISO／IEC27001—2005 Information Technology－Security Techniques－Information Security Management Systems Requirements［S］．2005．