淺說資訊安全
一、 前言
目前，資訊安全事件頻頻發生，支付寶、攜程先后中招，更有恐怖的，波蘭航空的地面作業系統都被黑了。資訊安全問題已經越來越嚴重，毫不夸張滴說，資訊安全的威力絕不下于核武器，可以輕而易舉地摧毀一個國家。試想一下，哪一天我們到銀行發現里面的錢沒了、飛機起飛不了、火車發不了班了、電網無法供電了、通信中斷了等等，我們的生活會變成怎樣？因此，資訊安全已經是一個事關國家生死存亡的必爭之地。
二、 什么是資訊安全
然而，什么是資訊安全？資訊安全包含了哪些內容？如何做到資訊安全？大多數人并不了解，感覺那太高大上，離我們太遙遠，這主要是因為大家對資訊安全的不了解，也很少有人全面通俗地說過什么是資訊安全。
總的來說，資訊安全包含了攻和防兩個對立面，即是攻什么，防什么。
從“攻”的角度，攻擊者想要做什么？不外乎兩方面：破壞和竊取。“破壞”也就是攻擊者讓被攻擊者的網路系統、計算機系統受得人為的非法破壞使之不能提供正常的服務，或者篡改資訊使用系統受到欺騙從而獲得非法利益。“竊取”即是從被攻擊者的計算機系統、網路系統中獲取得到未經允許的資訊。無論“破壞”還是“竊取”，都會讓被攻擊者受到巨大的損失，甚至是毀滅性的。
有攻自然就有防，從“防”的角度，資訊安全就是防止攻擊者的“破壞”和“竊取”，要讓攻擊者：進不來，拿不走，打不開。從技術上說這基本上就包含了資訊安全防護的全部內容。
光從技術上還不能保證資訊安全，還需要一個完善的管理制度并且堅決地貫徹執行。因此，資訊安全防護包含了技術和管理兩方面，技術是工具，管理的人是主體，只有兩方面雙管齊下才有可能保護資訊的安全。
一般來說，資訊安全是指保護計算機資訊系統及系統中的資訊資料免遭破壞、泄露，保障系統的正常運行，維護使用者的合法利益，主要是針對“防”的一方來說。
三、 資訊安全如何做
根據對資訊安全的理解，要做到資訊安全，需要從多個層次上下功夫，多管齊下 。
1. 讓攻擊者“進不來”
“進不來”是目前大多數人對于資訊安全的理解，顧名思義，就是讓攻擊者進不了、破壞不了你的系統和資料，這是最常見的資訊安全技術，是資訊安信最外圍的防御。它保護的物件主要是系統本身，如：網路系統、作業系統、資料庫系統、服務系統等。
先說說攻擊者是如何對系統進行破壞的，一般從兩方面進行破壞。
1) 對網路系統進行破壞
計算機系統之間是通過網路的連接通信的，如果網路被破壞了，計算機系統之間就無法進行資料交換，業務就無法正常開展。
這類似于對生活中對交通道路的破壞，比如,攻擊者在網路中發送大量的非法資料包，造成通信負荷過大，從而癱瘓通信，就好比在高速公路上故意放入了大量的汽車、非機動車，人為造堵，從而讓交通的正常次序被破壞。或者，攻擊者故意修改了通信的路由資訊，讓正常的資訊無法到達正確的地方，就好像高速公路的路牌、導航資訊被修改或破壞了，讓人找不到正確道路一樣。更有甚者，干脆直接破壞通信線路，就比如直接炸掉高速公路，讓通信直接中斷。
從技術角度來說，DDOS攻擊、DNS攻擊、ARP攻擊、物理損壞等等都是這一類攻擊破壞。這種破壞一般受害面積都很廣，但對計算機資料本身不會有損害。
2) 對計算機系統進行破壞
這就是直接對計算機系統本身進行破壞，這類破壞一般是利用計算機病毒、木馬、后門或者利用計算機系統的本身漏洞，非法進入計算機系統內部進行破壞。這種破壞造成的后果包括有：計算機中的檔案被破壞、資料被竊取、服務程式被破壞、資訊被篡改、計算機系統被非法控制等。比如，計算機機病毒和木馬是廣大普通用戶經常面臨的威脅，也是廣大用戶對于資訊安全最直接的體驗。
面對這兩種威脅，防守一方最直接的作法就是讓攻擊者“進不來”：讓非法資料進不了網路，計算機病毒、木馬程式進入不了系統，感染病毒后能夠有效地發現并進行發現和查殺，堵住系統的漏洞讓入侵者不能非法進入計算機系統等。
為了讓攻擊者“進不來”，市場上出現大量的安全產品來保護系統：網路防火墻、入侵檢測系統、堡壘主機、殺毒軟體、系統補丁等等，分別抵御各類針對網路和系統的攻擊。同時，為了應對在網路、系統在遭遇破壞的情況，許多系統在設計時就設計了各種冗余備份、各個環節的防護，在一個系統遭遇破壞時，可以繼續使用冗余的備份系統進行服務，把破壞的影響降到最低。
“進不來”是資訊安全中的基本防御，保護的是網路和系統，是所有計算機應用中都需要面臨的問題。
2. 讓攻擊者“拿不走”
讓攻擊者“進不來”的資訊安全防御對于一般的用戶來說大多數情況下都已經夠用，但對于許多領域來說還遠遠不夠，如軍、政、金融、通信、交通等等應用中。因此，在“進不來”的防御基礎上，需要再進行“拿不走”的系統防御。
“拿不走”的保護物件主要是系統中的資訊資料，一般是在系統出入口的防御，它的防御目標是防止計算機系統中的資訊資料被非法帶離系統，也就是防止入侵者的“竊取”。
“進不來”的防御可能存在漏洞（包括技術漏洞和管理漏洞），很難做到百分百的安全，入侵者是有可能突破“進不來”所部署的防御圈進入系統的，如不加以防護，入侵者就可以隨意竊取系統中的資訊資料。因此，就需要部署更高層次的防護系統來保護資訊資料免遭竊取，讓入侵者進了系統也“拿不走”資訊資料。
“拿不走”的防御，通常是基于系統鑒權，控制對系統中的使用權限，讓有權限的人才可以對受保護的資料進行操作。這些權限包括：
1) 進入系統的權限。
2) 訪問受保護資料的權限。
3) 復制資料的權限。
4) 使用存盤介質的權限。
5) 使用通信設備的權限。
6) 以及一些其他的權限控制。
在系統鑒權時，身份鑒定是一個重要環節，如何標識和鑒定用戶的身份是一項關鍵的技術所在，目前通常使用的是證書系統及PKI技術。它們的基礎是非對稱加密解密技術，目前常用的是RSA演算法和橢圓曲線演算法。RSA演算法經過數十年的發展，應用非常廣泛，但隨著技術的發展，它正在逐步退出歷史舞臺，比之更安全更高效的橢圓曲線演算法正在一步一步成為新的標準。
對于普通用戶來說，直接使用這種防御技術的機會并不多，但是在許多的特殊領域，如金融、黨政、軍事等等領域，這則是一項不可或缺的資訊安全保護技術， 典型的應用產品是終端防護類產品。
3. 讓攻擊者“打不開”
從前面可以看到，“帶不走”的資訊安全防護主要是一項面向系統出入口的資訊安全防護，一旦出現管理漏洞，依然存在著巨大的資訊泄漏風險，并且無論是“進不來”還是“帶不走”，均不能做到全生命周期的資料安全保護。因此，還需要一項更高層次的資訊安全保護，這就是“打不開”的資訊安全保護。
“打不開”保護的物件是資訊資料本身，目的是讓入侵者即便突破了“進不來”和“帶不走”的防護竊走了資訊資料，也不能獲取到資料的真實資訊，也是防止入侵者的“竊取”。這種資訊保護技術就是對資訊資料進行加密，資料在傳輸和存盤程序中被竊取的風險最大，因此在此程序中資料需要進行加密，只有在使用的時候才解開得到真實資料。
資料加密技術應該非常廣泛，分為對稱和非對稱兩種，常用的對稱加密演算法有AES、DES等，非對稱演算法有RSA、橢圓曲線演算法。對稱演算法的特點是加密和解密的密鑰是一樣的，加密解密的效率比非對稱演算法要高；而非對稱演算法的特點是加密和解密的密鑰不一樣，但效率要比對稱加密低，非對稱密鑰分為公鑰和私鑰兩個，公鑰是可以公開的，誰都可以獲取得到，但私鑰只有其所有者才擁有，是私密不可公開的。在實際應用中，通常是對稱和非對稱演算法結合使用，由于對稱加密效率高，因此可以用來加密資料，而非對稱演算法的加密和解密密鑰不一樣，便于密鑰管理，可以用來加密對稱演算法的密鑰。當要加密一段資料時，先隨機生成一個對稱演算法的密鑰，用來加密資料，再用非對稱演算法的公鑰加密對稱演算法的密鑰；解密資料時，先用私鑰解密得到對稱密鑰，再用該對稱密鑰解密得到明文資料。在此程序中，由于公鑰可以公開誰都可以用來加密資料，而只有私鑰擁有者才可以解密資料，因此只要保管好私鑰就可以保證資料的安全。
4. 完善的管理制度
除了技術上“進不來”、“拿不走”、“解不開”這三個層次的防護，在管理上還需要有一套完善的管理制度，并且要貫穿整個系統。再好的技術，如果維護和使用不到位，依然還會存在得安全漏洞，而且這種威脅是致命的，可以讓整個安全系統完全失效。一個完善的管理制度，在系統上，要在建設、維護、操作、巡查、災備上配備規范制度；應用上在系統使用、資料使用、權限分配上配備管理辦法；在責任上針對維護人員、使用人員制定明確職責，設立日志審查及追責制度。總結大概就是以下十類：
1) 建設規范。
2) 日常維護管理辦法。
3) 操作規范。
4) 巡查制度。
5) 應急預案。
6) 使用制度。
7) 資訊資料管理制度。
8) 管理職責及責任。
9) 使用權限管理。
10) 日志管理。
針對不同的行業，資訊安全的要求程度，在管理制度上的要求也會不一樣，比如在某些特種領域，除了這十類制度，還會有更為細致管理制度，細致程度可能會精確到系統中的某個檔案的管理。而在一般的小企業，安全等級要求低，可能就完全用不著這么多的制度。但是，無論哪一行業，只要是希望建設完善的管理制度，這都是應該考慮的。
再完善的制度，如果不執行或者執行不了，那也是一紙空文。因此，制度的合理性、可操作性以及能否堅定地執行，這才是評價制度成敗的關鍵。
總的來說，資訊安全就是要從通信網路、計算機系統、訪問控制、資料保護、系統管理等幾個方面構筑一道保護資訊安全的長城，通俗地總結為進不來、帶不走、解不開三個技術層次和一個管理層次。要構筑一道可靠的資訊安全長城，這四個層次都不可或缺，目前來說國內具備從四個層次通盤考慮構建設出一套完整的整體安全體系的企業并不多，這方面的能力還非常薄弱。
四、 資訊安全的負面影響
當然，資訊安全也并不是越完善越好，資訊安全越完善也會帶來越多的負面影響。這些負責影響表現在：
1) 資訊安全系統越完善，系統的投入成本越高。
2) 資訊安全系統越完善，系統運行效率越低。
3) 資訊安全管理越完善，維護作業量越大。
4) 資訊安全越完善，日常使用越麻煩，作業效率越低。
5) 資訊安全越完善，監管成本越高。
因此，明確自身的定位，確定資訊安全要求，設計合理的資訊安全系統，制定合理、可操作的管理制度，讓資訊安全系統、管理制度與自身定位相匹配，這是資訊安全的關鍵。
五、 資訊安全事件分析
針對近期的幾個資訊安全事件，可以分析一下他們的安全體系在哪里出了問題。在2015年5月，支付寶出現了大面積訪問故障，全國多省市支付寶用戶出現手機和電腦支付寶無法登錄、余額錯誤等問題，最終找到的原因是通信線路受到了物理破壞。印證四個層次，是“進不來”的防護出現了問題，盡管在數小時后便恢復了服務，就目前的國內技術水平來說已算是相當不錯，但作為國內最頂尖的互聯網企業之一，基本上代表了民用企業的最高水平，我們認為理想的情況是，即便某一條通信線路出現了故障也能夠在瞬間自動切換到備份的通信線路上，讓用戶基本感覺不到故障的發生。要知道如果是發生戰爭，幾個小時已經足以摧毀一個國家了。
2014年3月，攜程網發生了用戶信用卡資訊被泄露的嚴重事故。事后說原因是因為開發人員打開了所謂的除錯功能。這一事故暴露了哪些資訊安全短版呢？首先，用戶信用卡資料屬于敏感資訊（直接關乎用戶經濟利益），包括開發人員在內的所有人員都不應該具有查看的權限，這說明它們的系統在“帶不走”的層次出現了問題。同時，對于敏感資訊，無論是傳輸或是存盤都不應該以明文出現，在事故中出現了明文，這說明了他們在“打不開”層次出現了問題。該事件是由黑客入侵系統后所暴露，這又說明了在“進不來”的層次也出現了問題。2015年5月，又再次發生了系統癱瘓事故，進一步說明了在“進不來”的防護中存在巨大問題。更嚴重的是在管理制度上的漏洞，在操作規范、維護管理、巡查制度上均有嚴重問題。攜程對于其在資訊安全要求上的定位并不合理，明顯過低，它們所犯的錯誤就像是銀行作業人員可以知道我們銀行帳號密碼一樣可怕，開發或管理人員竟可以直接明文查看用于支付的信用卡資訊，一旦他們將之泄漏，這個后果將是萬劫不復的。最后我們得到的結論是網在“進不來”、“帶不走”、“打不開”三個技術層次以及管理制度上都存在嚴重的安全漏洞。
2015年6月21日，波蘭航空公司的地面作業系統遭遇黑客襲擊,致使系統癱瘓長達5小時,至少10個班次的航班被取消,1400多名乘客滯留華沙弗雷德里克?肖邦機場。如果，前面兩次事故中損失的可能只是金錢，但在這一次的事故中則已經威脅到了乘客的生命安全了，假設黑客攻擊的是空中調度系統那么乘客的安全就可怕了。明顯地在“進不來”層次出現了漏洞。
通過這幾個安全事故，說明資訊安全技術是一個系統級的技術要求，需要從三個技術層次進行體系的系統的安全設計，同時還需要配合完善的管理制度，任何一個方面出現短版都可能出現漏洞，只有幾個方面多管齊下才可能構筑成一道可靠的資訊安全長城。
六、 對我國資訊安全的思考
2013年，斯諾登暴出了“棱鏡”門事件，這讓全世界都對資訊安全的擔憂提到了嗓子眼上，對資訊安全的各個層次、各個環節都提出了嚴峻的挑戰。中國一直是美國“棱鏡”的首要目標，如何面對，這是一個事關國家存亡的戰略問題。
我們的薄弱點在哪里？我認為在兩點，一是人才，二是基礎系統。
基礎系統是指我們目前的核心芯片、作業系統、資料庫、設計軟體、辦公軟體等基礎軟體均需要廣泛依賴于美國，還無法離開美國而獨立運行，也就是我們的命脈還掌握在美國人的手里。國家已經意識到了這一點，啟動了核高基戰略，然而，這是一個國家行為，卻也是一個市場行為，我們要走的路還很遠，這還只是萬里長征的第一步。
再者，人才的缺乏才是我們目前最嚴峻的考驗，系統設計、系統開發、系統維護、日常管理，各個方面的才人我們都極其缺乏，而且越是高端的人才缺乏得越嚴重，而且是指數式的下降。造成這樣的原因與我們國家的社會環境密切相關，因傳統思想的影響，管理人才比技術人才普遍要吃香，大多數的軟體開發人員在年過三十以后的奮斗目標都會是管理人員，或者轉型，不再愿意再承擔一線的代碼撰寫開發作業，這給我們帶來了非常嚴重的技術斷層問題。資訊安全領域是一個面廣而深的領域，需要大量的一線積累、磨練、鉆研，花費數年、數十年才能掌握其精髓，一個三十歲的開發人員，可能只是剛剛初窺門徑，但許多人這個時候轉型了，從此失去了繼續打磨的機會，企業也失去了培養高精人才的機會。出現這種狀況，也怨不得開發人員，這與我們的從業環境密切相關：一是待遇，二是作業環境。一說待遇，一線開發人員的待遇遠遠低于管理人員及市場人員，能開百萬豪車的管理人員、市場人員比比皆是，但開發人員能有幾人？二說作業環境，在我國開發作業被稱為吃青春飯的作業，特點是作業強度大，加班多。年過三十以后，由于身體精力下降的原因、家庭的原因，這種強度大，加班多的作業往往就不適合了。基于這些，年過三十后，除了少量因興趣或性格原因的，大量開發人員紛紛轉型。對于企業而言，如果不改變這種傳統考核方式以及奴隸式剝削的作業環境，不營造一個培養高精人才的搖籃，讓開發人員哪怕年過三十也愿意一直從事這一行業，不斷積累磨煉鉆研，我們很難培養出高精的資訊安全人才。2000年前后，表面上高工資的開發作業曾經盛極一時，然而時過境遷，十多年過去，這種曾經的表面繁榮已經被嚴酷的現實打擊得支離破碎，開發類作業日漸衰落，愿意從事這一行業的年青人還能占到幾成？ 也無怪幾乎所有的軟體開發企業都在哭訴：開發人員太難招了！
軟體開發人員是資訊社會的基本建設者，如果這一群體出現了問題，我們的資訊社會如何發展，資訊長城由誰去修筑？我們常常在抱怨，像什么芯片、什么系統、什么發動機，國家投入了這么多錢，為什么出不了成果或者收效奇慢？錢都被吃掉了？其實原因就是這么簡單，缺乏人才，就是做不出來，只能慢慢摸索，錢再多也是白搭。一句常說的話：二十一世紀最重要的是人才。然而，人才不是天生的，人才都是由普通人培養而成。因此，在新的形勢下，我認為當下我們最重要的最基本的，不是啟動了什么什么專案，而是是否培育了一個良好的人才成長環境，搭建了一個良好的人才搖籃。有了人才，就什么事都可以做，有了人才的搖籃，就可以源源不斷地產生人才。
因此，不光是資訊安全領域，當你的企業還在抱怨找不到好的人才時，為什么不想想如何改善自己的人才成長環境，自己來培養人才呢？如果每個企業都是想讓別人去培養 ，自己來享用，那我們的社會就是病態的，如果每個企業都能培養人才，又何愁沒有人才呢？
最后，無論是資訊安全亦或是核高基，決定其最終成敗的，不是投入了多少錢，而是是否搭建了一個良性的人才培養搖籃。
uj5u.com熱心網友回復：
已經收藏，感謝分享，很不錯的見解。順便問下樓主：我的草民，不是不關心國家安危，是實在無能為力，所以能否普及下我等小人物如何自我防范個人資訊安全？
uj5u.com熱心網友回復：
說的不錯！！！！！！！！！轉載請註明出處，本文鏈接：https://www.uj5u.com/caozuo/136990.html
標籤：非技術區
上一篇：ArcGIS10.2許可啟動不了