信息保障战略与信息安全发展趋势.ppt

1、,信息安全保障战略与技术发展趋势,信息安全国家重点实验室赵战生2003.9.25,报 告 内 容,一、信息安全的内涵与外延二、各国信息安全战略三、信息保障技术发展四、几点个人看法,原始社会 农业革命 工业革命 信息革命,一、信息安全的内涵与外延发展三阶段：保密、保护、保障 当前趋势：以“信息保障”为中心的新思路,保密、保护、保障,保密性：首先认识的安全属性要求：保证信息在授权者之间共享手段：加密隐形访问控制与授权,保护,信息安全：INFOSEC,操作系统安全（OSSEC）,数据库安全（DBSEC）,网络安全（NETSEC）,计算机安全（COMPUSEC）,信息安全（INFOSEC）,TCSEC

2、,ITSEC,CC,计算机安全定义：“为数据处理系统建立的安全保护，保护计算机硬件、软件数据不因偶然和恶意的原因而遭到破坏、更改和泄露。（ISO）（该概念偏重于静态信息保护）“计算机的硬件、软件和数据受到保护，不因偶然和恶意的原因而遭到破坏、更改和泄露，系统连续正常运行。”（该定义着重于动态意义描述）,早期信息安全被定义为：“保护信息系统防范未经认可的访问或对存储、处理、传输的信息的修改以及对授权用户的拒绝服务，包括对检测、文档和对抗的威胁的必要测度。”,欧共体对信息安全给出如下定义：“网络与信息安全可被理解为在既定的密级条件下，网络与信息系统抵御意外事件或恶意行为的能力。这些事件和行为将危及

3、所存储或传输数据以及经由这些网络和系统所提供的服务的可用性、真实性、完整性和秘密性。”,1991年，John McCumber在第十四届国家计算机安全会议上，提出了一个有关信息安全的模型,信息保障的定义：“确保信息和信息系统的可用性、完整性、可认证性、保密性和不可否认性的保护和防范活动。它包括了以综合保护、检测、反应能力来提供信息系统的恢复。”-1996年美国国防部（DoD）国防部令S-3600.1,美国西点军校的W.Victor Maconachy,Corey D.Schou,Daniel Ragsdale 和 Don Welch在2001年在IEEE信息保障和安全会议上发表的对信息保障模型

4、的综合近似中，对信息安全模型进行改进,信息安全和信息保障的关系:,到底信息保障应该包括那些方面？！,一.对象（两个）信息信息系统二.层面（五个）信息内容应用服务局域计算环境边界和外部连接基础设施,三.信息状态（五个）产生存储处理传输消亡,四.安全属性（七个？）保密性完整性可用性可控性不可否认性真实性？彻底性？,五.安全保障能力来源（三个）技术管理人,六.信息保障的环节（六个）预警（W）保护（P）检测（D）响应（R）恢复（R）反击（C）,与时俱进，关注风险，动态反馈。,二、各国信息安全战略,三个历史阶段20世纪90年代 以PDD63为代表2000年1月-2001年9月 以克林顿政府国家信息保障计

5、划为代表2001年9月至今 以布什政府国家信息保障战略为代表,美国的战略,20世纪90年代初期的背景,信息技术迅速发展；NII（国家信息基础设施）和GII（全球信息基础设施）概念提出，信息基础设施成为国家经济和安全命脉；电子商务方兴未艾，克林顿政府提出全球电子商务框架；自从1988年小莫里斯以来，信息安全事件频繁发生，国家信息基础设施存在不安全隐患；,PCCIP的成立,在1996年国防部授权令中，国会要求总统从防止战略攻击的角度向国会报告联邦政府对保护国家信息基础设施的策略；作为对国会要求的回应，经过一系列国家安全会议的讨论，1996年7月15日，克林顿发布第13010号行政令：关键基础设施保

6、护，宣布成立关键基础设施保护总统委员会（PCCIPPresidents Commission on Critical Infrastructure Protection）,PDD63的出台,1997年10月，PCCIP向克林顿提交了关键基础：保护美国的基础设施的报告。报告研究了美国的关键基础设施安全状况，提交了一篇行动战略，要求：促进私营和政府部门间的合作和交流；建设实时的攻击预警能力；建立并推动综合性的教育和意识培养计划；优化并理顺相关的法律基础设施；扩大对技术的研发，尤其是更强的入侵检测技术；PCCIP的报告开始引导政府各部开始思考如何行动，并直接促使了PDD63出台；1998年5月22日

7、，美国总统发布了第63号总统决定令（PDD63）：克林顿政府对关键基础设施保护的政策。,两个重要概念,之一：公-私合作为什么要有公-私合作？怎样开展共-私合作？如何通过公-私合作来实现关键基础设施保障是美国政府一直面对的主题。之二：关键基础设施“对国家来说非常重要的那些系统和资产既有物理基础设施也有信息基础设施。它们非常重要，以至于其遇到的任何瘫痪或损毁将对国家安全、国家经济安全、和/或国家公众健康和安全产生巨大的破坏性影响。”-摘自信息系统保护国家计划 v1.0,关键基础设施的分类,谁来管理,部门联络官与部门协调员,“对于我们经济中的每一个易于受到基础设施攻击的大型部门来说，联邦政府将从指定

8、的领导机构中指派一名高级官员，作为部门联络官来与私营部门合作。经过与他们所负责的基础设施领域内的私营部门实体的交流和合作，部门协调官将确定一个私营部门内代表该部门的合作者（部门协调员）。”,其他新的机构和职务,国家协调员(负责协调总统令的执行)首席基础设施保障官(联邦各部内均须设置)关键基础设施协调组（CICG）政府机构性质国家基础设施保障委员会(由大型基础设施提供商和州及地方官员组成，主席由国家协调员担任)国家基础设施保护中心（NIPC）信息共享和分析中心（ISAC）,PDD63的时间要求,“最迟不晚于2000年，美国应当实现初步的信息保障能力；从这份总统令发布之日起，五年后美国将已经获得并

9、能够维持对我们国家的关键基础设施进行保护的能力”；“从这部总统令的发布时起，不超过180天，每一个部局到时都应该制定其保护自身关键基础设施的计划，包括但不限于基于计算机和网络的系统”；“在180天内，首脑委员会应当向总统提交一份制定国家基础设施保障计划的日程表”；,第一版国家信息保障计划,应PDD63的要求，2001年1月7日，克林顿政府发布了National Plan for Information Systems Protection的第1.0版。,“这个计划是世界上第一次由国家政府实施的、用来设计其国家的网络空间保护方案的尝试活动。”,三大目标,准备和防范检测和响应建立牢固的基础,10项

10、行动,目标一：准备和防范 1.确定关键基础设施资产以及互依赖性,寻找 脆弱性目标二：检测和响应 2.建设能够检测攻击及非法入侵的多层系统 3.创建、维持和协调执法手段以及情报功能，保持与 法律的一致 4.共享攻击警报和事件信息 5.建立国家范围的响应、重建和恢复系统,目标三：建立牢固的基础 6.加强对关键基础设施保护的研发 7.培训和教育 8.进行拓广和意识培养 9.法律及立法分析和改革 10.在计划的每一步骤和每一部分中，要完全保护美国公民的自由权、隐私权以及私有数据。,几个特点,主要针对政府部门的工作，但面向全民，希望建立一种举国参与的信息安全格局；希望能在将来同物理基础设施国家计划合并；

11、经过美国审计总署（GAO）评审后提出了两点批评意见：1.不应对法律过于依赖；2.入侵检测不是万能的，应多在管理系统上下功夫,2001年1月的追踪报告,分如下几个方面：公-私合作关系的建设 八个基础设施部门与政府的关系；各基础设施部门之间的关系；联邦内部的工作 各部 各局 教育和培训 关键基础设施保护研发 各关键基础设施部门内部报告 总的结论：执行不力,布什政府执政之后的情况,2001年5月，布什政府猛烈抨击了这部计划，并宣布将立即着手开始撰写第二版，原计划预计于年底问世。全国各机构同时开始提交第二版建议。2001年10月，布什政府宣布推迟第二版的撰写。2001年10月16日，布什发布第1323

12、1号行政令信息时代的关键基础设施保护，宣布成立“总统关键基础设施保护委员会”（PCIPB），取代PCCIP，并负责制定新的信息保障国家战略。PCIPB成为了美国信息保障工作的行政主管机构。,PCIPB在2002年3月20日委托SANS学会发布了保护网络空间安全的国家战略的公告，在综合各方专家意见的基础上提出了与国家信息保障战略有关的53个重要问题。作为其制定国家战略任务的第一阶段工作，PCIPB希望广泛征求公众的反馈意见，以便于国家战略草案的撰写。这53个问题分为5级：家庭用户和小型商业机构；大型企业；国家信息基础设施部门；国家机构和政策；全球。,2002年下半年，以国土安全战略为引导，美国政

13、府逐步出台一系列国家安全，将信息保障战略纳入总体国家战略之中：国土安全战略，2002年7月保护网络空间的国家战略（草案），2002年9月18日国家安全战略，2002年9月20日打击大规模毁灭性武器的国家战略，2002年12月打击恐怖主义的国家战略，2003年2月国家毒品管制战略，2003年2月保护网络空间的国家战略，2003年2月保护关键基础设施和重要资产的国家战略，2003年2月,美国国家战略规划,美国的基本思考和结论,对世界形势的判断 二十世纪自由和专制主义之间的大决战以自由之师的决定性胜利而告终实现国家富强的唯一持久有效的模式是：自由、民主和自由企业。,今天，美国具有无可比拟的军事实力和

14、举足轻重的经济和政治影响。保卫我们的国家，抗击敌人，是联邦政府最根本的首要职责。我们国家面临的最严重的威胁在于极端主义与技术的结合。,为了战胜这一威胁，我们必须利用拥有的一切手段军事力量、更好的国土保卫、执法、情报及各种积极努力来切断恐怖主义分子的经费来源。美国将利用这个充满机遇的时刻将自由的成果扩大到全球。任何国家如决心为自己的人民谋求自由的果实以建设更美好的未来，美国将与这些国家站在一起。,为了建立有利于自由的均势，美国遵循所有国家都肩负重任的信念。我们坚持的另一个信念是，没有哪一个国家能够单独建立一个更安全、更美好的世界。今天，人类手中把握着进一步实现自由战胜所有宿敌的机遇。美国愿承担领

15、导这项伟大使命的重任。,战略意图“我们必须向敌人主动出击，挫败他们的计划，在最严重的威胁出现以前就予以迎头痛击。在我们所处的世界里，通向安全的唯一道路是采取行动的道路。美国将采取行动。”布什总统，2002年6月1日,反恐和国家安全,美国打击恐怖主义的战略致力于把反恐之战打到恐怖主义分子的所在之处。但在必要时，我们将毫不犹豫地单独行动，行使我们的自卫权利，包括先发制人地攻击恐怖主义分子，防止他们伤害我们的人民和我们的国家。我们将用我们价值观的威力来创造一个自由的、更加繁荣的世界。我们永远不会忘记我们斗争的最终目标我们根本的民主价值观和生活方式。在领导反恐之战的过程中，为适应21世纪的跨国挑战，我

16、们正在缔造新的国际关系并重新确定现有的关系。,战略目标,“美国不能再依靠浩瀚海洋的保护。我们的保护只能来自在国外采取强有力的行动和在国内提高警惕。”布什总统，2002年1月29日,4-D战略：击败（Defeat）杜绝（Deny）减少（Diminish）保卫（Defend）,击败恐怖主义分子及其组织找到恐怖主义分子及其组织的藏身之地。消灭恐怖主义分子及其组织。,杜绝对恐怖主义分子的赞助、支持和庇护。结束国家对恐怖主义的支持。建立和维持打击恐怖主义的国际问责标准。加强和维持打击恐怖主义的国际努力。与有意愿、有能力的国家合作发展弱国的能力说服不情愿的国家强制没有意愿反恐的国家阻止和挫败对恐怖主义分子的物质支持消灭恐怖主义分子的藏身地和庇护所。,减少恐怖主义分子企图利用的基础条件。与国际社会合作，增强弱国的力量，防止恐怖（再）出现。打赢理念战。我们将同国际社会一道发动一场理念战，说明一切恐怖主义行径都不正当，不让鼓励恐怖主义的条件和意识形态在任何国家找到滋生土壤，在那些最易受影响的地区削弱恐怖主义分子企图利用的基础，并在由支持全球恐怖主义的政权统治的社会里，激发人们对自由的希望和向往。,保卫国