中科院高能所计算中心副研究员刘宝旭演讲全文 | ||||||||||||
---|---|---|---|---|---|---|---|---|---|---|---|---|
http://www.sina.com.cn 2004年11月09日 14:25 中国网 | ||||||||||||
刘宝旭 博士、国家计算机网络入侵防范中心主任助理,中科院高能所计算中心副研究员,网络组组长 第四届中国网络媒体论坛于2004年11月8日-10日在江西省南昌市举行。本次论坛由国务院新闻办公室指导,中华全国新闻工作者协会、人民网、新华网、中国网
很高兴有时间跟大家交流,也感谢组委会提供这样的机会。 今天跟大家交流的问题就是结合这次论坛的主题,如何营造健康向上的网络环境。营造一个健康向上的网络环境,相关的安全手段是必要的,我想从四个方面和大家进行一下沟通。 第一是背景情况介绍,第二部分是网站安全保障体系的设计与实现,第三部分是网站安全应急预案的规划设计,第四部分是网络安全防护示例。 首先看第一部分,关于背景情况的介绍,最近一个社会学者写的书叫《都是网络惹的祸》,谈的内容就是随着网络技术信息发布的共享,带来了很多优势,同时也带来了很多问题,这些问题需要安全防护系统,或者说安全技术手段来解决。关于信息安全的特性,主要有五个在建设当中需要考虑的环节。安全没有绝对安全,目前的状态是尽可能采用相应的技术手段来减少风险,降低安全的风险度,来达到安全的需求,找到一个结合点。实效性很容易理解,由于病毒的出现,微软出现了很多添加补丁的功能。配置相关性也很好理解,不同的人管理同一个系统,或者同一个管理员会带来不同的网络安全管理效果。这方面就不用多讲了,这是目前我们国家对安全员急需的先兆。攻击的不确定性也很好理解,一旦接入网,就会导致网络随时随地会面临各方面的攻击,由前面四个特性导致网络安全后面一个特性,就是复杂性。 关于如何衡量信息安全,具体的就不讲述了,就是进不来、拿不走、读不懂、改不了、走不脱。关于互联网安全方面的分析,一个是攻击造成的安全威胁,对媒体网站来讲是最显著的一个现象,或者说是面临的主要威胁。威胁的根源是不断发现安全漏洞,你的应用系统或者服务器、操作系统或者网络设备本身存在的漏洞带来了攻击行为的发生。关于计算机病毒的影响,最近有一个分析对我们有一个启示,病毒的出现,是没有被IT修正的过时技术造成的。如果及时把补丁添加好,把已公布的漏洞解释好的话,就可以很好避免。安全问题前面讲了很多的复杂性或者相关的特性,其实并不那么复杂,只要做好基本的工作,按规范来做,安全性会得到很好的提高。关于安全问题的原因,总结起来就是开放性和攻击导致了不安全的主导因素。软件规模的不断扩大,系统应用程序越来越复杂。应用系统可以设想一下,举一下Win2000,有多少漏洞还没有被发现?应用系统越来越庞大,这是一个趋势。 网络连接也就是带宽越来越多,连接的方式也很多,导致攻击随时随地发生。只要有一台上网的笔记本,就可以实时攻击。再一个就是管理不完善。我们国家信息安全的发展和网络防护安全的发展不对等,或者网络防护安全相对比较滞后。 关于黑客事件的主要趋势就是各种攻击技术、病毒或者蠕虫代码技术的日趋统一和融合,制作出一个成熟的工具出来,给我们防护的时间越来越短。早期在90年代初一般在18个月的时间,而去年缩短了时间为30天,今年年初缩短到28天,就像超级波实例就是这样,把病毒制作出来,大规模爆发,只有30天的时间,也就是给我们预留的时间越来越短,这说明我们响应的时间要越来越高。 突发性越来越强,预警能力要提高,如果没有预警能力,光靠事后来解决问题是很难的。就像防火比救火容易。相应应急能力是解决安全环境的关键环节。同时微软的一些产品的漏洞导致了大量攻击行为,是导致攻击的一个根本原因或者基本原因。病毒、垃圾邮件现在也是感受得到的。 这有一个图表,就是攻击的周期,就是漏洞发现到攻击的发现的时间越来越短。我们面临着安全威胁,给我们预留的响应时间越来越短,要提高安全响应的能力。如何应对这种变化呢?过去是被动响应模式为主,现在要自动或者主动响应的防护系统的建设,过去是分立式的,现在需要集成的多层防御。同时从产品支持到服务系统支持,现在发现光靠产品支持不能很好解决问题,需要系统级服务,来提高自我防御系统的能力,来实现安全防护的建设。 第二步,如何实施安全系统的建设呢?大家都看过三只小猪的故事,为了防止大灰狼,我们的漏洞相当于三只小猪建的房子,这个故事给我们一个启示,在门窗关好的同时,还有一个大漏洞就是烟囱,就烧了一锅水,大灰狼来了以后,就发现水很烫就回去了。我们也是这样,把黑洞发现了,攻击的可能性就会控制在一个很好的范围。 关于防护系统建设的关键,提出了四中心的概念,这四个中心是从逻辑方面划出来的,给大家提出一个启示。首先是预警中心的建设,预警中心对防护能力的提高是很有作用的。现在针对对抗提出了一种说法,防护时间小于攻击发生的时间,你的网络就安全了,谈到攻击开始到发生效果,你把攻击对抗住了,你的网络就没有受到影响,就是安全了。预警中心的建设是安全防护建设的关键环节,具体手段是通过安全评估、监控、检测、日志分析等技术手段,响应时间要尽量小于攻击奏效的时间,预警就是一个非常关键的环节。 第二个中心就是控管中心,通过产品、技术、制度等手段,主动提高信息系统对网络威胁的防护能力及网络安全问题的控制能力,并加强运维人员对信息系统的管理能力。 第三个中心就是应急响应中心,你在预警中心发现问题的时候,能够尽快付诸于实施,要有应急的人员,要有响应的规范操作流程和制度以及工具、响应的手段。 第四个中心就是灾备恢复中心。关键的一些信息内容要采取备份的方式,以便于发生事故后可以尽快恢复过来。 刚才我们提到攻击行为的转变,防护方式也体现出主动防御的概念,针对不同的阶段采取不同的应对措施。时间关系就不展开了。 第三部分,应急预案的分析。今年六月份的时候我参加了一个年会,是国际上业界最重要的会议,在上面最热点的内容,我列了一下,对早期的漏洞发现,应急响应组织的管理问题,以及相关工作的介绍,讨论的是最热烈的,也说明世界上对应急能力、预警能力的要求和国内网络安全发展的形势是一致的。 关于应急预案的基本架构就不多介绍了,应急预案的建设是非常关键的,对预警能力的提高和响应能力的提高有一个决定的因素。如何建立一个应急预案,北京一个专家组做了一个东西,提供了一个目录供大家参考,应急预案的编制过程有一个实例。 安全防护示例,这有一个图,也是一个很复杂的网络环境,跟国际交流合作非常多,对开放性的要求非常多,通过防火墙全部隔离起来也不行,我们就采取四中心的建设。在安全管理中心,集中了前面讲的三个中心的概念,就是控管中心、预警中心、应急响应中心的概念,采用的产品可以看出来,由于开放性的要求,采用了2G的防火墙,外网主要提供静态策略,如果采取最外层防火墙,重新制定会带来一些影响,动态策略采用第二大防火墙,就是我提出的隔离,一旦有问题发现,会把机器隔离开来。采取的其他措施,诸如管理制度的制定、防病毒的制定,同时对管理平台采用了网络交换机以及路由器和主服务器的性能及状态进行监控,以及时发现异常来解决问题。同时还有评估系统和监管系统,监管系统对日常的行为或者哪一台机器,把流量过大的机器统计出来,然后进行剖析。还采用了防御技术,比如像备份技术,都在相应的位置上发挥了作用。 这是控管中心的示意图,任何异常行为或者问题主机一旦出现会及时控制出来,使影响面尽量减少。再一个,有问题发现的话,可以及时处理,防止问题的扩散。 |