论文部分内容阅读
部分在过去一年里取得显著进步的安全企业及产品荣获２００８年度中国信息安全值得信赖品牌奖等奖项（详见第九届中国信息安全大会特刊）。
那么，该如何保证网络可信接入？杨庆华表示，第一，要禁止外部非法设备的接入；第二，要限制合法设备的非法接入；第三，要限制合法接入设备的非法访问；第四，对网络行为要进行监测和保护。对于主体可信的接入要做上述接入来源认证控制，而对于客体的访问则要做访问对象的监控。第一，要根据安全级别的不同来划分不同的安全域；第二，要在不同安全域之间划分边界隔离与访问控制；第三，对内部的网络要做IP与MAC绑定；第四，要对每一个计算环境做安全管理；第五，对远程接入的用户要做控制；第六，要对所有接入行为进行监控。
目前，很多企业都在提出关于网络接入的技术标准，包括思科的网络接入控制（NAC）、微软的网络准入保护（NAP）、可信计算组的可信网络连接（TNC）等。尽管标准尚不统一，但是它们都遵循一个基本的框架和基础，这样就会明显提升网络接入的可信度。
信息泄漏有新特点
信息防泄漏一直是信息安全的焦点问题之一。在这次大会上，与会专家认为，信息泄漏的形势依然严峻，但是在解决方案的探索方面，也有了积极的进展。
信息是多样化的，可以是个人的信息，可以是企业的信息，甚至是国家的信息。依据信息内容的不同，泄漏以后影响的范围也不一样。信息泄漏的方式也是多样的，可能是信息存在的介质、设备被不可靠的人使用，或者说这些介质和设备被遗失会造成信息的泄漏；也有可能是操作系统或者是软件的漏洞造成信息的泄漏；同样，未经保护的信息通过网络传输的时候，也会造成信息的泄漏；而未能有效地防木马和病毒造成的信息泄漏会大面积地发生。
现在，病毒和木马已经成为窃取信息并造成信息泄漏的主要方式。根据IronPort威胁运营中心发布的《2008年互联网安全趋势》报告，2007年，病毒种类接近30万种，70%为木马程序，每天感染的用户数量接近100万。而且从病毒到恶意软件再到木马，这些恶意软件的制造目的也发生了本质的变化。以前可能单纯是搞破坏，或者说显示自己的技术特点或者是技术的能力，到现在已经转变成了以获取他人隐私和追求实际利益为主要目标。
针对这种新形势，恶意软件制造者也呈现出了新的特点。他们不再是个人，或者说小的团体，已演变为散布在网络上，以分工严密的庞大组织为特征，以追逐利益为目标，形成了包括发现漏洞、制造木马、传播木马并窃取信息在内的利益链条。他们在利益的驱使下，在网络上以极高的速度传播木马并窃取信息。受害对象已经不仅仅局限于互联网用户，也包括企业内部的网络用户。
为此，卫士通信息产业股份有限公司副总经理李学军表示：“在防止信息泄漏的总体思路上，我们对信息泄漏的问题需要做一个综合的 判断。尤其是企业和组织，要知道信息泄漏的途径和方式，造成的危害有哪些。而且现在泄漏涉及到的不仅仅是技术方面的问题，同时涉及到了监管、政策和法律等多个方面。”
李学军还提出，由于目前缺乏一些相关的法律法规，对这些违法行为的打击力度也不够，使得以木马为核心的利益链条存在着生存的空间，因此需要安全企业在技术方面能够提供可靠的终端控制机制，保证终端的环境可信、终端的信息源头准确、数据安全，还要能够提供灵活的、安全的共享机制。而在关键的技术方面，需要将多种密码技术有效地融入到信息安全的控制和防御技术手段中，为信息安全提供一个有效的全方位的保障。
等级保护成为必然
目前，我国正在大力推行信息安全等级保护制度。谈到等级保护，对一些用户来讲多少还是带有被动性质。事实上，等级保护不是一个产品，更不是一个项目，它应该是一个过程。
据绿盟科技服务产品部高级安全顾问孙铁介绍，等级保护是一个政策性的工作，它的实施要参考相关文件相应的技术要求，对各个等级保护单元测评项进行详细的归类，采用的是风险评估手段。
对等级保护和风险评估这两个概念的关系，很多用户存在一定的困惑。对此，孙铁解释说，风险评估是等级保护工作中的重要工具和方法。在等级保护过程中，无论是产品的实施，还是技术的应用，都需要风险评估作为重要手段。风险评估所采用的技术测试工具和数据收集手段，对等级保护也是适用的。
等级保护是一种安全服务，而且是一个过程。因此，等级保护的目标绝对不是完成一个简单的项目就算结束了。这个目标是什么呢？孙铁认为，应该是围绕着用户的安全战略，围绕着用户的业务安全需求，对组织体系、管理体系、技术体系的建设。
Ｓｅｃｕｒｅ Ｃｏｍｐｕｔｉｎｇ大中华区总经理蔡勇
怎么去保证网络安全呢？我们认为要在扎实的应用安全基础上部署独有防御模块。
今天我们迫切需要进行一些针对自身漏洞的主动防护，包括对外部威胁的主动判断，对应用层的分析，做双向流量的分析和安全审计、审核。
天融信战略方案中心总监杨庆华
如何做到可信接入？第一，要禁止外部非法设备的接入；第二，要限制合法设备的非法接入；第三，要限制合法接入设备的非法访问；第四，要对网络行为进行监测和保护。
东软软件股份有限公司安全解决方案部部长曹鹏
今天的安全产品不应该再是传统的安全产品延伸，我们不应该一再购买很多安全产品，而不去注重它们。
安全管理平台应该是面向未来的管理方向之一。对于厂商来讲，我们必须要承担起这个责任。
虽然，我们在过去十年一直在重复国外厂商所走的路，但是拐点即将出现，我们必须要走出具有中国特色的信息安全道路。
那么，该如何保证网络可信接入？杨庆华表示，第一，要禁止外部非法设备的接入；第二，要限制合法设备的非法接入；第三，要限制合法接入设备的非法访问；第四，对网络行为要进行监测和保护。对于主体可信的接入要做上述接入来源认证控制，而对于客体的访问则要做访问对象的监控。第一，要根据安全级别的不同来划分不同的安全域；第二，要在不同安全域之间划分边界隔离与访问控制；第三，对内部的网络要做IP与MAC绑定；第四，要对每一个计算环境做安全管理；第五，对远程接入的用户要做控制；第六，要对所有接入行为进行监控。
目前，很多企业都在提出关于网络接入的技术标准，包括思科的网络接入控制（NAC）、微软的网络准入保护（NAP）、可信计算组的可信网络连接（TNC）等。尽管标准尚不统一，但是它们都遵循一个基本的框架和基础，这样就会明显提升网络接入的可信度。
信息泄漏有新特点
信息防泄漏一直是信息安全的焦点问题之一。在这次大会上，与会专家认为，信息泄漏的形势依然严峻，但是在解决方案的探索方面，也有了积极的进展。
信息是多样化的，可以是个人的信息，可以是企业的信息，甚至是国家的信息。依据信息内容的不同，泄漏以后影响的范围也不一样。信息泄漏的方式也是多样的，可能是信息存在的介质、设备被不可靠的人使用，或者说这些介质和设备被遗失会造成信息的泄漏；也有可能是操作系统或者是软件的漏洞造成信息的泄漏；同样，未经保护的信息通过网络传输的时候，也会造成信息的泄漏；而未能有效地防木马和病毒造成的信息泄漏会大面积地发生。
现在，病毒和木马已经成为窃取信息并造成信息泄漏的主要方式。根据IronPort威胁运营中心发布的《2008年互联网安全趋势》报告，2007年，病毒种类接近30万种，70%为木马程序，每天感染的用户数量接近100万。而且从病毒到恶意软件再到木马，这些恶意软件的制造目的也发生了本质的变化。以前可能单纯是搞破坏，或者说显示自己的技术特点或者是技术的能力，到现在已经转变成了以获取他人隐私和追求实际利益为主要目标。
针对这种新形势，恶意软件制造者也呈现出了新的特点。他们不再是个人，或者说小的团体，已演变为散布在网络上，以分工严密的庞大组织为特征，以追逐利益为目标，形成了包括发现漏洞、制造木马、传播木马并窃取信息在内的利益链条。他们在利益的驱使下，在网络上以极高的速度传播木马并窃取信息。受害对象已经不仅仅局限于互联网用户，也包括企业内部的网络用户。
为此，卫士通信息产业股份有限公司副总经理李学军表示：“在防止信息泄漏的总体思路上，我们对信息泄漏的问题需要做一个综合的 判断。尤其是企业和组织，要知道信息泄漏的途径和方式，造成的危害有哪些。而且现在泄漏涉及到的不仅仅是技术方面的问题，同时涉及到了监管、政策和法律等多个方面。”
李学军还提出，由于目前缺乏一些相关的法律法规，对这些违法行为的打击力度也不够，使得以木马为核心的利益链条存在着生存的空间，因此需要安全企业在技术方面能够提供可靠的终端控制机制，保证终端的环境可信、终端的信息源头准确、数据安全，还要能够提供灵活的、安全的共享机制。而在关键的技术方面，需要将多种密码技术有效地融入到信息安全的控制和防御技术手段中，为信息安全提供一个有效的全方位的保障。
等级保护成为必然
目前，我国正在大力推行信息安全等级保护制度。谈到等级保护，对一些用户来讲多少还是带有被动性质。事实上，等级保护不是一个产品，更不是一个项目，它应该是一个过程。
据绿盟科技服务产品部高级安全顾问孙铁介绍，等级保护是一个政策性的工作，它的实施要参考相关文件相应的技术要求，对各个等级保护单元测评项进行详细的归类，采用的是风险评估手段。
对等级保护和风险评估这两个概念的关系，很多用户存在一定的困惑。对此，孙铁解释说，风险评估是等级保护工作中的重要工具和方法。在等级保护过程中，无论是产品的实施，还是技术的应用，都需要风险评估作为重要手段。风险评估所采用的技术测试工具和数据收集手段，对等级保护也是适用的。
等级保护是一种安全服务，而且是一个过程。因此，等级保护的目标绝对不是完成一个简单的项目就算结束了。这个目标是什么呢？孙铁认为，应该是围绕着用户的安全战略，围绕着用户的业务安全需求，对组织体系、管理体系、技术体系的建设。
Ｓｅｃｕｒｅ Ｃｏｍｐｕｔｉｎｇ大中华区总经理蔡勇
怎么去保证网络安全呢？我们认为要在扎实的应用安全基础上部署独有防御模块。
今天我们迫切需要进行一些针对自身漏洞的主动防护，包括对外部威胁的主动判断，对应用层的分析，做双向流量的分析和安全审计、审核。
天融信战略方案中心总监杨庆华
如何做到可信接入？第一，要禁止外部非法设备的接入；第二，要限制合法设备的非法接入；第三，要限制合法接入设备的非法访问；第四，要对网络行为进行监测和保护。
东软软件股份有限公司安全解决方案部部长曹鹏
今天的安全产品不应该再是传统的安全产品延伸，我们不应该一再购买很多安全产品，而不去注重它们。
安全管理平台应该是面向未来的管理方向之一。对于厂商来讲，我们必须要承担起这个责任。
虽然，我们在过去十年一直在重复国外厂商所走的路，但是拐点即将出现，我们必须要走出具有中国特色的信息安全道路。