構造積極防禦的安全保障框架概述(PPT 29頁)

構造積極防禦的安全保障框架
一、對當前信息安全係統的反思
當前大部分信息安全係統主要是由防火牆、入侵監測和病毒防範等組成
常規的安全手段隻能是在網絡層（IP）設防，
在外圍對非法用戶和越權訪問進行封堵，以達到防止外部攻擊的目的
對訪問者源端不加控製
操作係統的不安全導致應用係統的各種漏洞層出不窮，無法從根本上解決
封堵的辦法是捕捉黑客攻擊和病毒入侵的行為特征，其特征是已發生過的滯後信息
惡意用戶的攻擊手段變化多端,防護者隻能:
防火牆越砌越高
入侵檢測越做越複雜
惡意代碼庫越做越大
導致：
誤報率增多，
安全投入不斷增加
維護與管理更加複雜和難以實施
信息係統的使用效率大大降低
對新的攻擊入侵毫無防禦能力（如衝擊波）
反思：老三樣、堵漏洞、作高牆、
防外攻、防不勝防
產生安全事故的技術原因：
PC機軟、硬件結構簡化，導致資源可任意使用，尤其是執行代碼可修改，惡意程序可以被植入
病毒程序利用PC操作係統對執行代碼不檢查一致性弱點，將病毒代碼嵌入到執行代碼程序，實現病毒傳播
黑客利用被攻擊係統的漏洞竊取超級用戶權限，肆意進行破壞
更為嚴重的是對合法的用戶沒有進行嚴格的訪問控製，可以進行越權訪問，造成不安全事故
如果從終端操作平台實施高等級防範，這些不安全因素將從終端源頭被控製。
這種情況在工作流程相對固定的重要信息係統顯得更為重要而可行。
在電子政務的內外網中
政務內網與政務外網物理隔離，政務外網與Internet邏輯隔離
要處理的工作流程都是預先設計好的
操作使用的角色是確定的
應用範圍和邊界都是明確的
..............................