评论：找寻安全技术在中国的市场空间

　　崔轶

　　去年五一黄金周的第一天，一个名为Worm.Sasser的病毒开始在互联网肆虐开来，该病毒利用windows安全认证子系统进程——lsass.exe缓冲区溢出的漏洞进行传播，造成了很多计算机运行缓慢、反复重启、网络堵塞。可它在人们意识中的影响却远没有在计算机网络中来得强烈，人们更多时候只是把它当作了一条新闻，而并没有过多地去关注这个事件背后

　　自从中航嘉信成立以来，公司一直在从事着服务器操作系统领域安全产品的开发工作。这个由当时在中国安全领域中很有名的几个技术专家成立的公司，提出了通过加强操作系统内核的方式来提高服务器安全等级的技术理念，从操作系统粒度级别提供安全保障，并根据该理念推出了他们的SSR产品，并结合公司的SSR Web卫士形成了一套完整的TSOC解决方案。公司称，加固操作系统内核的这个理念很早就在发团队中形成了，而之所以到今天才有成熟的产品应用出台，则是安全产品和网络应用之间的互补关系造成的。

　　谈到网络在中国的发展，从1998年开始，人们开始利用互联网收发邮件、浏览网页，此时网络的发展还处在一种萌芽的阶段，防火墙和IDS等网络安全工具从某种意义上说可以满足用户对于安全的需求，形象的说，在用户的计算机和互联网之间放一道门，阻止非法的进入，仅此而已。但是，一旦系统被攻破，那就不是他们能解决的问题了。而真正意义上的应用得从2001、2002年说起，那时候像sohu，sina等网站开始在网络上赚钱，盛大也开始逐渐发展起来，大量的业务都开始在网络上进行，伴随着各种网络应用的出现，才出现了真正的网络安全产业。而伴随着政府、企业信息化建设的迅速发展，信息安全很快就成为了人们关注的焦点，这就使得安全应用从以前的网络层平面应用向着从系统内核到高级应用的立体化方向发展。但在各种杀毒软件、防火墙充斥着安全产品市场的情况乱下，人们似乎很少有机会去鸟瞰这个我们耳熟能详但又不太熟悉的领域。

　　首先，从技术的角度来看这个市场。一个完整的网络安全防范体系应该是立体的，不同层次反映了不同的安全问题，根据网络的应用现状情况和网络的结构，划分为物理层安全、系统层安全、网络层安全、应用层安全和安全管理。而目前大多数计算机使用的杀毒软件和防火墙则都处在应用层和网络层，主要负责包括网络设施防病毒，网络隔离等问题在内的网络方面的安全性的问题，当然，其实这个防护还是很具有局限性的。因为由操作系统本身的缺陷带来的不安全因素如：身份认证、访问控制、系统漏洞等问题(系统层安全)，网络层的应用程序是看不到的，另外，服务器软件本身的安全性(应用层安全)以及安全管理制度的完整和严格执行(安全管理)，这些都不是防火墙和杀毒软件可以关注到的领域。所以，安全问题正在向着多元化的方向发展，在上面提到的各个领域，都应该有完善的产品支持，只有这样，一个安全的网络环境才可以得以保障。

　　其次，任何一个领域可以被称之为产业后，都意味着要有一整套完整的东西存在，这种东西有的时候不单指技术上的成熟，有的时候甚至是政治上的。面对着日益严峻的网络安全问题，我国起初根据美国的TCSEC制定了符合中国国情的国标17859，并且正在以国标17859为技术模型制定了国家信息安全等级保护操作系统安全标准。我们现在使用的自主防护体系的计算机在标准中被定在了二级，由于系统中存在着依靠密码来辨别的管理员身份，这种方式已被现实证明是不安全的，而三级操作系统的标准则是要求系统达到强制访问控制的级别，即系统中所有用户的所有访问都是要受到限制的，这当然也包括根用户，当然，操作系统自身还应有具有对病毒的免疫能力。就目前的技术来说，三级应该是兼顾安全与应用前提下最好的解决方案之一，在三级之后，国家还规定了四级和五级。从技术来说，四级、五级这样的高标准会牺牲掉很多应用，因此目前还停留在规范的级别。

　　了解了整个产业的大视图，我们不难发现，原来现在很多软件厂商都在网络安全应用这一块相互拼杀，力图在市场中分得一杯羹。然而，国家信息安全等级保护需要有人去实现吗？系统层的安全需要被关心吗？为什么会有曾出不穷的病毒和攻击出现呢？谈到最后一个问题，同样是技术和政治两方面因素造成的。从技术上说，由于操作系统的设计本身存在着漏洞，所以总是可以被一些人利用，而查漏补缺总是被动的行为，但是要想从系统自身提升免疫力往往技术难度又较大，很容易导致企业血本无归，所以很少有人愿意做这个事情；从政治上说，由于国家信息安全等级保护标准还处于市场验证阶段，再加上政府机构普遍的安全意识有待提高，导致了大部分关键性信息服务器的安全性不达标，一有利用非公开漏洞进行攻击的病毒，整个系统就瘫痪了。正是因为如此，我想在这段一开始提出的两个问题就也应该得到解答了。站在更高的层次，从内核提高操作系统的安全等级，在内核中实施以数字签名作为身份验证的方法进行强制访问控制，这是有效防止病毒的根本方法，而这也正是等级化标准中三级标准对于系统的要求。

　　综上所述，打造一个绿色的网络环境是需要多方面来共同努力的，一方面，应用需要成熟的技术带来的全面的网络安全产品，另一方面，健全的安全管理机制和完善的安全标准要被严格的贯彻和执行，这当然不是单靠防火墙和杀毒软件可以解决的问题，而中航嘉信正是看准了这个市场中服务器操作系统领域这个点，并试图从这个点带动整个安全产业的发展，从现在企业的发展来看，这个理念是成功的，至少可以在中国的安全产业中算做“朝阳产业”。无论是想在安全领域创业的开拓者，还是已经在安全领域打拼多年的企业，也都应该重新审视下自己在安全市场中的位置，进而为绿色可信网络的建设贡献自己的力量。