案例，供讀者參考。

信息系統的安全防護是一項非常復雜的工程，圍繞它目前已經形成了眾多安全技術。而一個安全的信息系統通常要綜合采用多種技術和部署相應的安全產品，通過建立一個縱深的安全防護體系，從而增加攻擊者信息安全防護的技術架構，它基本上囊括了當今安全領域內所采用的主要安全技術，包括身份認證、訪問控制、內容安全、審計和跟蹤、響應和恢復幾個部分。下面將分別對這些技術的特點及其使用范圍進行介紹。

身份認證

身份認證是對網絡中的主體和客體的身份進行驗證的過程，所包括的典型技術有：口令認證機制、公開密鑰基礎設施(PKI)強認證機制、基于生物特征的認證等。

口令認證口令認證是最常用的一種認證方式。口令是相互約定的代碼，通常只有用戶和系統知道。口令有時由用戶選擇，有時由系統分配。通常情況下，用戶先輸入某種標志信息，比如用戶名和ID號，然后系統詢問用戶口令，若口令相匹配，用戶即可進入系統訪問。口令有多種，如一次性口令，系統生成一次性口令的清單，規定第一次時必須使用X，第二次時必須使用Y，第三次時用Z……還有基于時間的口令，即訪問者使用的口令隨時間變化，變化基于時間和一個秘密的用戶密鑰，這樣口令隨時都在改變，使其更加難以猜測。

PKI的認證機制PKI(PublicKeyInfrastructure)技術是通過公鑰密碼體制中用戶私鑰的機密性來提供用戶身份的惟一性驗證，并通過數字證書的方式為每個合法用戶的公鑰提供一個合法性的證明，建立了用戶公鑰到證書ID號之間的惟一映射關系。PKI主要由證書生產系統和應用系統組成，證書生產系統又包括數字證書認證中心(CertificationAuthority，CA)和密鑰管理中心(KeyManagement，KM)，共同完成數字證書的申請、審核、簽發、注銷、更新、查詢等功能。證書應用系統提供身份認證、加解密、簽名驗簽等安全服務功能，以解決業務應用中的機密性、完整性、認證性、不可否認性等安全問題。

由于數字證書本身是公開的，因此在身份驗證過程中必須通過公鑰與私鑰之間的惟一映射關系(由公鑰加密體制自身提供保證)來間接建立用戶私鑰和證書ID號之間的映射關系。數字證書可以存儲在多種介質上(硬盤、軟盤、IC卡、USBKey等)。若采用硬件形式如智能IC卡、USBKey等，把用戶的私鑰存放其中則更安全。

PKI的認證是一種強認證機制，綜合采用了摘要算法、非對稱加密、對稱加密、數字簽名等技術，很好地將安全性和高效性結合起來。這種認證方法目前廣泛應用在電子郵件、防火墻認證等領域。

生物特征的認證基于生物特征的認證是一項正處于研究開發階段的技術，常見的有指紋、聲音、視網膜或虹膜、手掌幾何學等。這種利用個人生理特征進行鑒別的方式具有很高的安全性。目前已推出的設備包括：視網膜掃描儀、指紋識別儀、聲音驗證設備、手型識別器。

訪問控制

訪問控制的主要任務是保證網絡資源和應用系統不被非法使用和訪問。訪問控制所包括的典型技術有：防火墻、虛擬專用網(VPN)、授權管理基礎設施(PMI)等。

防火墻：防火墻是指設置在不同網絡(如可信任的內部網和不可信的公共網)或網絡安全域之間的一系列部件的組合，它是不同網絡或網絡安全域之間信息的惟一出入口，能根據單位的安全策略(允許、拒絕等)控制出入網絡的信息流，且本身具有較強的抗攻擊能力。

防火墻是目前用得最廣泛的一種安全技術，它可以限制外部對系統資源的非授權訪問，也可以限制內部對外部的非授權訪問，同時還限制內部系統之間，特別是安全級別低的系統對安全級別高的系統的非授權訪問。

VPN虛擬專網(VirtualPrivateNetwork，VPN)是指采用隧道技術以及加密、身份認證等方法，在公共網絡上構建專用的網絡，數據通過安全的“加密隧道”在公共網絡中傳輸。

VPN可使用戶或企業通過公共的互聯網絡連接到遠程通信的安全。VPN具有安全性、服務質量保證(QoS)、可擴充性和靈活性、可管理性、使用價格低廉等特點，正是這些特點使得VPN已得到廣泛應用。

PMIPMI(PrivilegeManagementInfrastructure)是屬性機構、屬性證書、屬性證書注冊申請中心、屬性庫、策略庫等部件的集合體，用來實現權限和證書的產生、管理、存儲、分發和撤銷功能。PMI可以向應用系統提供對實體(人、服務器、程序等)的權限管理和授權服務，實現實體身份到應用權限的映射，提供與實際應用處理模式相應的、與具體應用系統開發和管理無關的授權和訪問控制機制，簡化具體應用系統的開發與維護。PMI以應用系統的資源管理為核心，將對資源的訪問控制權統一交由授權機構進行管理，即由資源的所有者——業務應用系統來進行訪問控制。

PKI解決了實體的身份認證問題，即“你是誰”，而PMI解決了實體的授權問題，即“你能干什么”。

內容安全

內容安全主要是直接保護系統中傳輸和存儲的數據。主要是通過對信息和內容本身進行變形和變換，或者對具體的內容進行檢查來實現。內容安全所包括的典型技術有：加密、防病毒、內容過濾等。

加密：加密是信息安全領域的一種基本、實用且非常重要的技術。主要分為對稱加密、非對稱加密兩類。對稱加密使用單個密鑰對數據進行加密或解密，其特點是計算量小、加密效率高。但是此類算法在分布式系統上使用較為困難，主要是密鑰管理困難。這類算法的代表是DES、RC2、RC4、RC5、3DES等。

非對稱加密算法也稱公開密鑰加密算法，其特點是有兩個密鑰(即公用密鑰和私有密鑰)，只有二者搭配使用才能完成加密和解密的全過程。由于非對稱算法擁有兩個密鑰，它特別適用于分布式系統中的數據加密，因此在Internet中得到廣泛應用。其中公用密鑰在網上公布，為對數據加密使用，而用于解密的相應私有密鑰則由數據的接收方妥善保管。典型算法有：RSA、DSA、ECC等。

在實際應用中，通常將對稱加密和非對稱加密結合起來：即首先由對稱密鑰對輸入的數據進行加密，然后用公鑰對對稱密鑰進行加密。因為它不僅保證了加密的高效性(對稱密鑰的快速加密)，還保證了加密的高強度性(公鑰的強加密)。

防病毒：病毒是一種進行自我復制、廣泛傳播、對計算機及其數據進行嚴重破壞的程序。由于病毒具有隱蔽性與隨機性的特點，使用戶防不勝防。特別是隨著信息網絡規模不斷擴大和高帶寬Internet的多點接入，病毒已成為最大的安全威脅。

防范病毒必須建立多層的網絡級病毒防治系統：第一層是代理服務器)防毒，第二層是服務器防毒，第三層是客戶端計算機防毒，這樣能有效地防治病毒，并建立完善的病毒管理體系，負責防病毒軟件的自動分發、自動升級、集中配置和管理、統一事件和告警處理、保證整個企業范圍內病毒防護體系的一致性和完整性。

內容過濾：內容過濾就是采取適當的技術措施，對Internet上的不良信息進行過濾，既阻止不良信息對人們的侵害，又可以通過規范用戶的上網行為，提高工作效率，合理利用網絡資源。

內容過濾技術還很不成熟，通常內容過濾技術包括關鍵詞過濾技術、圖像過濾技術、模板過濾技術和智能過濾技術等。目前，很多防火墻集成了內容過濾技術，能對URL網址和網頁文字等固定內容進行過濾。

審計和跟蹤

審計和跟蹤這種機制一般情況下并不干涉和直接影響主業務流程，而是通過對主業務進行記錄、檢查、監控等來完成以審計、完整性等要求為主的安全功能。審計和跟蹤所包括的典型技術有：入侵檢測系統(掃描系統、安全審計系統等。

IDS入侵檢測是一種主動保護網絡和系統安全的技術，它從計算機系統或網絡中采集、分析數據，查看網絡或主機系統中是否有違反安全策略的行為和遭到攻擊的跡象，并采取適當的響應措施來阻擋攻擊，降低可能的損失。它能提供對內部攻擊、外部攻擊和誤操作的保護。

入侵檢測系統可分為基于網絡(NIDS)和基于主機(HIDS)兩種。通過在特定網段、關鍵服務器上安裝IDS，可實時檢測出大多數攻擊，并采取相應的行動(如斷開網絡連接、記錄攻擊過程、跟蹤攻擊源等)。

漏洞掃描系統漏洞掃描是自動檢測網絡或主機安全漏洞的技術，通過執行一些腳本文件對系統進行攻擊并記錄它的反應，從而發現其中的漏洞并采取補救措施。

不管攻擊者是從外部還是從內部攻擊某一網絡系統，攻擊機會來自已經知道的漏洞。對于系統管理員來說，漏洞掃描系統是最好的助手，它能夠主動發現系統的漏洞，在主機系統安全保衛戰中做到“有的放矢”，及時修補漏洞。

漏洞掃描系統分為網絡掃描系統、主機掃描系統和Linux，它可彌補網絡掃描系統只通過網絡檢查系統安全的不足;數據庫掃描系統是一種專門針對數據庫進行安全漏洞檢查的掃描器，其主要功能是找出不良的密碼設定、過期密碼設定、偵測登錄攻擊行為、關閉久未使用的賬號等。

安全審計：安全審計是對網絡或主機的活動軌跡進行記錄形成日志，并對日志進行審計，從而發現可疑行為。

響應和恢復：從過程上看，響應和恢復是對異常、故障、事故、入侵等事件發生后做出的反應，但從根本的實現上看，事前的準備才是該技術的關鍵。這方面的技術主要有數據備份和恢復、容災。

備份和恢復：備份系統通常由備份管理系統和備份設備構成，備份設備主要有：磁帶庫、SAN等。備份系統的目的是盡可能快地全盤恢復計算機系統所需的數據和系統信息。備份不僅在網絡系統硬件故障或人為失誤時起到保護作用，也在入侵者非授權訪問或對網絡攻擊及破壞數據完整性時起到保護作用。一般的數據備份策略有三種：全備份、增量備份和差分備份。全備份備份系統中所有的數據;增量備份只備份上次備份以后有變化的數據;而差分備份則備份上次完全備份以后有變化的數據。全備份所需時間最長，但恢復時間最短，操作最方便，當系統中數據量不大時，采用全備份最可靠。隨著數據量的不斷增大，將無法每天做全備份，但可以在周末進行全備份，其他時間可采用用時更少的增量備份或采用介于兩者之間的差分備份。

恢復措施在整個備份機制中占有相當重要的地位。恢復操作通常可以分為兩類：第一類是全盤恢復，第二類是個別文件恢復。為了防備數據丟失，需要做好詳細的恢復計劃，同時還要定期進行恢復演練。

容災：容災系統可以分為數據容災和應用容災兩種。主要取決于對故障停機時間的設計要求。如果要求系統恢復時間很短，就要采用應用級的容災，同時也要做好網絡鏈路的冗余和應用的異地接管。如果能夠容忍較長一點的系統恢復時間，還可以采用數據級的容災。

從對數據一致性的要求上來說，容災實現數據傳輸的方式可以分為同步和異步兩種，同步數據復制將嚴格保持生產系統和備份系統之間數據的同步，災難發生后幾乎沒有數據的丟失，但對容災距離和系統性能會有一定的影響;異步數據復制將保持生產系統和備份系統之間的數據在一定時間點的一致性，災難發生后數據有部分的丟失，但對容災距離和系統性能的影響相對同步要小。

容災可以采用磁帶庫或者遠程拷貝等。磁帶庫依靠備份系統，在每次系統做完一次全備份后，手工將磁帶取出，保存到一個相對安全的地方，地理位置至少不應該在同一個大樓內;遠程拷貝可以依靠SAN架構，在存儲服務器時間內進行同步拷貝。