近年來(lái)，隨著市場(chǎng)競(jìng)爭(zhēng)的激烈化與網(wǎng)絡(luò)攻擊技術(shù)的飛速發(fā)展，CSDN數(shù)據(jù)泄露等安全事件爆發(fā)的頻率越來(lái)越高，國(guó)內(nèi)外信息安全形勢(shì)變得日益嚴(yán)峻。在信息攻防戰(zhàn)中，信息系統(tǒng)內(nèi)部的重要數(shù)據(jù)通常是攻擊者發(fā)動(dòng)攻擊行為的驅(qū)動(dòng)力和重要目標(biāo)，同時(shí)也是用戶著力保護(hù)的對(duì)象，圍繞數(shù)據(jù)機(jī)密性與完整性展開(kāi)的安全保護(hù)工作逐漸成為信息安全建設(shè)的重心，同時(shí)也是橫亙?cè)谟脩裘媲暗囊坏乐匾}，引起了用戶、專家、信息安全產(chǎn)品與服務(wù)提供商等業(yè)界各方的廣泛關(guān)注。
數(shù)據(jù)機(jī)密性與完整性難以兩全？
信息安全建設(shè)是一項(xiàng)復(fù)雜的系統(tǒng)工程，內(nèi)容涵蓋物理安全、系統(tǒng)安全、網(wǎng)絡(luò)安全等等，數(shù)據(jù)安全是其中較為重要的一個(gè)環(huán)節(jié)。國(guó)家標(biāo)準(zhǔn)《信息安全技術(shù)- 信息系統(tǒng)安全等級(jí)保護(hù)基本要求》（GB/T22239-2008）明確指出，在基本安全要求中，技術(shù)類安全要求與信息系統(tǒng)提供的技術(shù)安全機(jī)制有關(guān)，主要通過(guò)在信息系統(tǒng)中部署軟硬件并正確的配置其安全功能來(lái)實(shí)現(xiàn)。根據(jù)保護(hù)側(cè)重點(diǎn)的不同，技術(shù)類安全要求細(xì)分為數(shù)據(jù)保護(hù)、系統(tǒng)服務(wù)功能保護(hù)、通用安全保護(hù)三大類，其中數(shù)據(jù)保護(hù)是信息安全建設(shè)的重要目標(biāo)和核心內(nèi)容。
“保護(hù)數(shù)據(jù)，要保護(hù)數(shù)據(jù)的什么？我們必須清楚，保護(hù)數(shù)據(jù)就是要保護(hù)數(shù)據(jù)的安全屬性不被破壞，也就是保護(hù)數(shù)據(jù)的機(jī)密性（C）、完整性（I）和數(shù)據(jù)的可用性（A）。”信息安全專家陸寶華指出，由于數(shù)據(jù)的可用性是建立在數(shù)據(jù)的機(jī)密性、完整性及系統(tǒng)的可用性基礎(chǔ)上，而系統(tǒng)的可用性實(shí)際上是對(duì)系統(tǒng)服務(wù)功能的保護(hù)，所以，“從保護(hù)數(shù)據(jù)的角度看，我們只要注重保護(hù)數(shù)據(jù)的機(jī)密性和完整性就足夠了。”
從安全策略的角度看，數(shù)據(jù)機(jī)密性保護(hù)和完整性保護(hù)是相互矛盾的：數(shù)據(jù)機(jī)密性是指信息不能被非授權(quán)者、實(shí)體或進(jìn)程利用或泄露的特性，可以通過(guò)禁止 “向上讀、向下寫(xiě)”的策略，確保數(shù)據(jù)不會(huì)被泄露;而數(shù)據(jù)完整性是指數(shù)據(jù)沒(méi)有受到非授權(quán)方式所做的篡改，同時(shí)也沒(méi)有出現(xiàn)未經(jīng)授權(quán)的使用情況，如果充許“向上寫(xiě)、向下讀”，那么高安全等級(jí)的數(shù)據(jù)就有可能被低安全等級(jí)的用戶、進(jìn)程等主體篡改，數(shù)據(jù)完整性將沒(méi)有任何安全保障可言。
那么，在安全風(fēng)險(xiǎn)變化難測(cè)的信息化應(yīng)用環(huán)境下，如何兼顧數(shù)據(jù)的機(jī)密性與完整性保護(hù)，最大限度地提升數(shù)據(jù)的安全水平？
“問(wèn)題”系統(tǒng)難以承載安全構(gòu)想
在IT系統(tǒng)架構(gòu)中，操作系統(tǒng)是計(jì)算機(jī)資源的直接管理者，承載著大量重要的數(shù)據(jù)信息和關(guān)鍵的業(yè)務(wù)應(yīng)用，在數(shù)據(jù)保護(hù)中占據(jù)著非常重要的地位。為了提升數(shù)據(jù)的安全性，國(guó)家標(biāo)準(zhǔn)《信息安全技術(shù)-操作系統(tǒng)安全技術(shù)要求》（GB/T20272-2006）對(duì)數(shù)據(jù)機(jī)密性和完整性制定了詳細(xì)的規(guī)范，例如在三級(jí)操作系統(tǒng)的數(shù)據(jù)機(jī)密性保護(hù)方面，要求“非授權(quán)用戶不能查找系統(tǒng)現(xiàn)已分配給他的記錄介質(zhì)中以前的信息內(nèi)容”;數(shù)據(jù)完整性方面，GB/T20272-2006建議為主體和客體設(shè)置完整性標(biāo)簽，并建立完整性保護(hù)策略模型，保護(hù)用戶數(shù)據(jù)在存儲(chǔ)、傳輸和處理過(guò)程中的完整性。此外，GB/T20272-2006還從磁盤(pán)掃描、邏輯隔離等方面制定規(guī)范，增強(qiáng)三級(jí)操作系統(tǒng)對(duì)數(shù)據(jù)機(jī)密性和完整性的保護(hù)力度。
然而，在實(shí)際應(yīng)用中，國(guó)內(nèi)普遍使用的操作系統(tǒng)大多數(shù)來(lái)自國(guó)外，根據(jù)TCSEC標(biāo)準(zhǔn)安全等級(jí)為C2級(jí)，低于國(guó)標(biāo)GB/T20272-2006第二、三級(jí)操作系統(tǒng)的安全水平，存在超級(jí)管理員（root/Administrator）權(quán)力過(guò)度集中的問(wèn)題，攻擊者一旦通過(guò)非法手段獲得管理員權(quán)限，就可以對(duì)數(shù)據(jù)機(jī)密性和完整性進(jìn)行破壞。
推薦閱讀
肯尼亞將嚴(yán)打山寨手機(jī) 中國(guó)廠商首當(dāng)其沖
肯尼亞政府官員表示，此舉是為了保護(hù)消費(fèi)者免受有毒物質(zhì)之害，同時(shí)保證手機(jī)支付的安全性。肯尼亞執(zhí)法部門(mén)認(rèn)為，山寨機(jī)大量使用虛假串號(hào)，導(dǎo)致他們?cè)诟櫹臃肝恢脮r(shí)遇到困難。英國(guó)廣播公司報(bào)道稱，肯尼亞的山寨機(jī)，主>>>詳細(xì)閱讀
本文標(biāo)題：信息安全形勢(shì)日益嚴(yán)峻 再引業(yè)界廣泛關(guān)注
地址：http://www.sdlzkt.com/a/xie/20120201/114909.html
網(wǎng)友點(diǎn)評(píng)
精彩導(dǎo)讀
科技快報(bào)
品牌展示