信息安全需要技术保障

　　 

信息安全为何如此脆弱？

　　计算机网络之所以存在着脆弱性，主要是由于技术本身存在着安全弱点、系统的安全性差、缺乏安全性实践等。

　　首先，TCP/IP协议集就存在着基本的安全缺点。如大多数低层协议为广播方式，网上的任何机器均有可能窃听到情报；较易推测出系统中所使用的序号，从而较容易从系统的“后门”进入系统等。这使得网络系统出现了许多漏洞和隐患。由于在每一层，数据存在的方式和遵守的协议各不相同，而这些协议在开始制定时就没有考虑通信路径的安全性，从而导致了安全漏洞。从纯技术的角度上说，缺乏安全防护设备与管理系统，缺乏通信协议的基本安全机制、基于HTTP与FTP上的应用软件问题以及不够完善的服务程序等也是产生系统安全漏洞的主要原因。

　　此外，信息安全处在初期发展阶段，缺少网络环境下用于产品评价的安全性准则和评价工具。系统管理人员的安全意识和安全管理培训等也相对缺乏。在系统安全受到威胁时，缺少应有的完整的安全管理方法、步骤和安全对策，如事故通报、风险评估、改正安全缺陷、评估损失、相应的补救恢复措施等。

　　根据攻击能力的组织结构程度和使用的手段，可以将威胁归纳为四种基本类型：无组织结构的内部和外部威胁与有组织结构的内部和外部威胁。一般来讲，对外部威胁，安全性强调防御；对内部威胁，安全性强调威慑。
目前，网络安全系统常用的防范措施主要有：防火墙技术、病毒防治技术、安全入侵检测与预警技术、路由器技术等。在未来的研究中，必须建立自主产权的网络操作系统、研制高强度的保密算法、研究新一代的防病毒软件、防火墙和入侵测试软件等，可以说是任重而道远。

技术保障策略

　　不安全的网络一旦遭到恶意攻击，将意味着一场灾难。网络信息安全是一项系统工程，针对来自不同方面的安全威胁，需要采取不同的安全对策。需要从法律、制度、管理和技术上采取综合措施，以便相互补充，达到较好的安全效果。目前，技术措施仍是最直接的屏障，常用而有效的网络信息安全技术策略有如下几种：

(1)加密

　　加密方法多种多样，在网络信息中一般是利用信息变换规则把明文的信息变成密文的信息。既可对传输信息加密，也可对存储信息加密，把计算机数据变成一堆乱七八糟的数据，攻击者即使得到经过加密的信息，也不过是一串毫无意义的字符。加密可以有效地对抗截收、非法访问等威胁。

(2)数字签名

　　数字签名机制提供了一种鉴别方法，以解决伪造、抵赖、冒充和篡改等安全问题。数字签名采用一种数据交换协议，使得收发数据的双方能够满足两个条件：接受方能够鉴别发送方宣称的身份；发送方以后不能否认他发送过数据这一事实。数据签名一般采用不对称加密技术，发送方对整个明文进行加密变换，得到一个值，将其作为签名。接收者使用发送者的公开密钥对签名进行解密运算，如其结果为明文，则签名有效，证明对方身份是真实的。

(3)鉴别

　　鉴别的目的是验明用户或信息的正身。对实体声称的身份进行惟一识别，以便验证其访问请求，或保证信息来源以验证消息的完整性，有效地对抗冒充、非法访问、重演等威胁。按照鉴别对象的不同，鉴别技术可以分为消息鉴别和通信双方相互鉴别；按照鉴别内容不同，鉴别技术可以分为用户身份鉴别和消息内容鉴别。鉴别的方法很多：利用鉴别码验证消息的完整性；利用通行字、密钥、访问控制机制等鉴别用户身份，防止冒充、非法访问；当今最佳的鉴别方法是数字签名。

(4)访问控制

　　访问控制的目的是防止非法访问。访问控制是采取各种措施保证系统资源不被非法访问和使用。一般采用基于资源的集中式控制、基于资源和目的地址的过滤管理以及网络签证等技术来实现。

(5)防火墙

　　防火墙技术是建立在现代通信网络技术和信息安全技术基础上的应用性安全技术，越来越多地应用于专用网络与公共网络的互联环境中。大型网络系统与Inte.net互联的第一道屏障就是防火墙。防火墙通过控制和监测网络之间的信息交换和访问行为来实现对网络安全的有效管理，其基本功能为：过滤进、出网络的数据；管理进、出网络的访问行为；封堵某些禁止行为；记录通过防火墙的信息内容和活动；对网络攻击进行检测和告警。

机遇与挑战并存

　　信息安全产业是一个机遇与挑战并存的领域。如前所述，由于信息安全技术的特殊性，国家必须依靠自己的力量发展自己的信息安全产业。因此在资金、政策、税收等方面，国家的扶持力度将会加大。虽然我们的信息安全产业相对国外起步较晚，但国内企业具有非常高的胜算机会，尤其在近年来整体IT环境下滑的情况下，信息安全无疑是国内企业的突破口。

　　信息安全领域也具有自身的行业门槛，这一点和其他行业一样。目前的厂商数量太多、规模普遍偏小，使得厂商的抗风险能力较差，影响了风险投资的进入，不利于产业的迅速扩张。而在市场产品中，大多数厂商提供的产品依然集中在防火墙、IDS、反病毒、VPN等主流产品上。这使产业走上了一条“千军万马过独木桥”的现象，在这几类主流的产品中，厂商拼杀得你死我活。而用户需要的一些专业防护安全产品，如审计工具、预防入侵工具等，市场却难觅踪影，这就是业内专家所说的“产业结构失衡”状态。　　其实，对业内的厂商而言，不妨尝试多动动脑筋开发一些功能性能独特的产品。具有创新性的安全产品目前在市场上依然非常紧俏。用户因为自身安全需求一直在不断寻找适合自己的安全新产品，而厂商的产品只要能解决特定安全问题，总会有用户需要，同时厂商所面临的竞争环境也不会那么激烈。　　总之，需求决定市场，需求决定技术。目前信息安全领域虽然有着自身的行业门槛、风险和竞争，但是在市场需求的推动下，在国家政策的鼓励下，必将有着广阔的发展前景。让我们拭目以待。

原文转自：http://www.ltesting.net