目前国际网络信息安全的研究进展

张秀梅

摘要随着计算机技术和通信技术的发展,计算机网络将日益成为重要信息交换手段,渗透到社会生活的各个领域。因此,认清网络的脆弱性和潜在威胁以及现实客观存在的各种安全问题,采取强有力的安全策略,保障网络信息的安全,是每一个国家和社会以及每一个团体和个人必须正视的事情。本文对国际网络信息安全的研究进行了探讨。

关键词计算机网络安全研究

中图分类号:TP393.08文献标识码:A

1 前言

随着现代信息技术的发展和网络技术的普遍应用,信息服务行业在服务内容、服务方式与服务对象等方面发生了革命性变化,运作效率也有了显著提升。在网络环境下,信息服务行业在国家经济生活中的地位日益重要。但是,网络同时也是攻击事件和病毒蠕虫等滋生之地。信息安全事件已经不单单是影响个别民众、企业的小事,而是影响到国家的安全。

随着信息安全事件发生的日益频繁,发达国家和地区对信息安全问题都予以了高度重视。我国长期以来信息安全意识不强,即使是重视,也仅限于政治和军事领域。近几年来,面对国际信息环境的变化与挑战,我国也采取了一系列对策。在法律法规建设方面,《计算机软件保护条例》、《计算机信息系统安全保护条例》、《计算机病毒防治管理办法》等相继出台。

2 信息安全基本概念

国内外对“信息安全”没有统一的定义。《中华人民共和过计算机信息系统安全保护条例》的定义:“保障计算机及其相关的和配套的设备、设施(网络)的安全,运行环境的安全,保障信息安全,保障计算机功能的正常发挥,以维护计算机信息系统的安全”。国家信息安全重点实验室的定义:“信息安全涉及到信息的机密性、完整性、可用性、可控性。综合起来说,就是要保障电子信息的有效性。国际标准化委员会的定义:“为数据处理系统而采取的技术的和管理的安全保护,保护计算机硬件、软件、数据不因偶然的或恶意的原因而遭到破坏、更改、显露”。英国信息安全管理标准的定义:“信息安全是使信息避免一系列威胁,保障商务的连续性,最大限度地减少商务损失,最大限度地获取投资和商务的回报,涉及信息的机密性、完整性、可用性”。美国人则认为:“信息安全包括信息的机密性、完整性、可用性、真实性和不可抵赖性”。其实,当前信息安全的概念正在与时俱进,它从早期的通信保密发展到关注信息的保密、完整、可用、可控和不可否认的信息安全,并进一步发展到如今的信息保障和信息保障体系。信息保障依赖于人、操作和技术实现组织的任务运作,针对技术信息基础设施的管理活动同样依赖于这三个因素,稳健的信息保障状态意味着信息保障和政策、步骤、技术和机制在整个组织的信息基础设施的所有层面上均能得到实施,即面向数据安全概念是信息保密性、完整性和可用性;面向使用者的安全概念则是鉴别、授权、访问、控制、抗否认性和可服务性以及基于内容的个人隐私、知识产权等的保护,这两者的结合就是信息安全保障体现的安全服务,而这些安全问题又要依赖于密码、数字签名、身份验证技术、防火墙、灾难恢复、防毒墙和防黑客入侵等安全机制加以解决,其中密码技术和管理是信息安全的核心,而安全标准和系统评估则是信息安全的基础。因此,信息安全就是指一个国家的社会信息化的状态不受外来威胁与侵害,一个国家的信息技术体系不受到外来的威胁与侵害。

3 信息安全的基本属性

信息安全有以下几点基本属性:

3.1 完整性

信息存储和传输的过程保持被修改不被破坏的,不被插入,不延迟,不乱序和不丢失的数据特征。对于军用信息来说完整性遭破坏导致延误战机,自相残杀或闲置战斗力,破坏信息完整性是对信息安全发动攻击的最终目的。

3.2 可用性

信息可被合法用户访问并能按照要求顺序使用的特征,既在需要时就可以去用所需信息。可用性攻击就是阻断信息的可用性。例如破坏网络和有关系统的正常运行就属于这种类型攻击。

3.3 保密性

信息给非授权个人/实体或供其使用的特征。军用信息安全尤为注重信息保密性。

3.4 可控性

授权机构可以随时控制信息的机密性。美国的政府提倡“密钥托管、“密钥恢复”等措施就是实现信息安全可控性的例子。

3.5 可靠性

信息用户认可的质量连续服务于用户的特征,但也有人认为可靠性是人们对信息系统而不是信息本身的要求。总体来看,信息安全就是要保证信息的基本属性不被破坏,信息按照发送方的意愿成功被接收方接收。

4 网络安全的威胁

4.1 人为的无意失误

如操作员安全配置不当造成的安全漏洞,用户安全意识不强,用户口令选择不慎,用户将自己的账号随意转借他

人或与别人共享等都会对网络安全带来威胁。

4.2 人为的恶意攻击

此类攻击又可以分为以下两种:一种是主动攻击,它以各种方式有选择地破坏信息的有效性和完整性;另一类是被动攻击,它是在不影响网络正常工作的情况下,进行截获、窃取、破译以获得重要机密信息。这两种攻击均可对计算机网络造成极大的危害,并导致机密数据的泄漏。

4.3 网络软件的漏洞和“后门”

网络软件不可能是百分之百的无缺陷和无漏洞的,然而,这些漏洞和缺陷恰恰是黑客进行攻击的首选目标。另外,软件的“后门”都是软件公司的设计编程人员为了自便而设置的,一般不为外人所知,但一旦“后门”洞开,其造成的后果将不堪设想。计算机网络设备安全和网络信息安全实际上是密不可分的,两者相辅相成,缺一不可。计算机网络设备安全特征是针对计算机网络本身可能存在的安全问题,实施网络安全增强方案,以保证计算机网络自身的安全。网络信息安全则紧紧围绕信息在互联网络上应用时产生的各种安全问题,在计算机网络设备安全的基础上,如何保障信息应用过程的顺利进行。没有计算机网络设备安全作为基础,网络信息安全就犹如空中楼阁,无从谈起。没有信息安全保障,即使计算机网络本身再安全,仍然无法达到计算机网络信息应用的最终目的。

5 信息安全策略

信息安全策略是指为保证提供一定级别的安全保护所必须遵守的规则。实现信息安全,不但靠先进的技术,而且也得靠严格的安全管理,法律约束和安全教育。

5.1 先进的信息安全技术是网络安全的根本保证

用户对自身面临的威胁进行风险评估,决定其所需要的安全服务种类,选择相应的安全机制,然后集成先进的安全技术,形成一个全方位的安全系统;

5.2 严格的安全管理

各计算机网络使用机构,企业和单位应建立相应的网络安全管理办法,加强内部管理,建立合适的网络安全管理系统,加强用户管理和授权管理,建立安全审计和跟踪体系,提高整体网络安全意识;

5.3 制订严格的法律、法规

计算机网络是一种新生事物。它的许多行为无法可依,无章可循,导致网络上计算机犯罪处于无序状态。面对日趋严重的网络犯罪,必须建立与网络安全相关的法律、法规,使非法分子慑于法律,不敢轻举妄动。