一、等級保護的相關概念
（一）等級保護的概念及構成
所謂信息系統安全等級保護，指的是對信息安全問題進行等級化的保護與管理。信息安全屬于系統工程的范疇，而非一個層面意義的產品。等級保護的內涵可以由以下幾個層面進行理解：
第一，等級保護體系的組成，其包括法律、組織、標準以及技術與管理等不同的體系。
第二，保證信息安全的五個要素，即保密、完整、可用及可控和不可否認等，其中至為重要的為數據信息的可控性，如果沒有控制好重要的數據，就會出現泄密的問題。不過在信息技術領域不可能實現絕對意義上的安全，只有將安全與應用加以平衡，發生安全問題時能夠做到責任制，就代表做到了不可否認性。等級保護要圍繞信息安全的五要素來展開。
第三，等級保護的分層，此處分層的概念等同于計算機網絡及系統的分層概念。在對計算機操作系統進行分析、理解時，會將其分為由硬件層到核心層，還有操作系統的應用層等。這就很好的說明了一個問題，即我們探索出各種各樣諸如殺毒軟件、防火墻等各種提升網絡安全性能的技術，但是網絡安全問題仍然無法得到徹底的解決，就是因為這些層面未全面涵蓋上述的信息安全五要素，所以無法保證網絡安全。
（二）等級保護的主要內容
其實不管在哪個層面進行安全管理，均能夠有五個級別上的保護。隨著安全等級的不斷提高，計算機系統安全保護能力的等級也會相應的逐漸增強。其中用戶自主保護級具有一定的隨意性，用戶可以自主定義受保護對象，現在很多主流操作系統均要高于該級別一個層面。需要注決的是，如果不添加其它配置，系統默認的配置無法達到第二級別的安全要求。第二級為系統審計保護級，其與上述用戶自主定義的級別相比，本級別中計算機信息系統可信計算機實行了粒度更細的自主訪問控制，其利用登錄規程、審計安全性相關事件以及隔離資源等手段，促使用戶對自身的行為負責任，二級以下的均為自主訪問。第三個級別則為安全標記保護體，即在主客體中記錄安全標記。第四級是結構化保護級。第五級則為訪問驗證保護級。
二、利用等級保護提高服務器系統的安全性
（一）分層解決網絡安全問題
第一，按照不同的分層解決網絡安全問題，使得每層的技術點均按照相關的安全等級標準進行構建，從而形成一個可靠的安全體系。首先來看實體層面的安全問題，實現安全所提供的是保證信息系統與設備安全的保護措施，比如機房人員進出的管制、設備的監控及防火防雷等技術均為實體安全機制的范疇。為了進一步避免實體設備受到損壞，在進行計算機系統實體層面的設計與規劃過程中，就要嚴格控制相關的安全等級保護技術要求來執行。
第二，系統層面的安全策略，從系統層面來看，其安全問題包括兩個部分，即操作系統與數據庫。操作系統在某種程度上為數據庫提供一定的安全保護，其是數據庫運行的平臺。操作系統與數據庫的安全要嚴格按照相關的技術要求，準確選擇安全保護等級，立足于信息安全的各個要素做出合理規劃，從而實行更為有效的安全功能。比如我們要提高操作系統的安全性能，則安全要素就包括安全策略以及安全管理策略和數據安全等各技術面。操作系統安全策略的主要作用就是對本地計算機的安全設置進行配置，其包括密碼、賬戶的鎖定、審核以及IP安全和恢復代理加密數據等等，我們常用到的賬戶、口令、訪問權限等均可以體現出操作系統的安全策略。安全管理策略主要指的是網管員采取相應的措施對系統進行安全管理。數據安全則主要體現在數據的加密、備份、存儲及傳輸的安全性管理等各個方面。
第三，網絡層面的安全，其實網絡層面的安全防范技術有很多種，大概可以將其分為防火墻技術、入侵檢測技術以及協作式入侵檢測技術等幾個類型。在進行網絡層面的安全防范過程中，要按照相關的規范要求確定出系統的安全保護等級，從而有針對性的進行安全防范，提高系統的安全性。我們可以對網絡層面的安全防范技術做出簡單的介紹：
防火墻：目前防火墻技術的應用最為廣泛，它是系統安全的第一防線，主要用于對可信任網絡與不可信息網絡間的訪問通道進行監控，從而在內部網絡與外部網絡之間形成一道屏障，將外部網絡中的非法訪問加以攔截，并進一步阻止內部信息的向外泄露，不過針對網絡內部的非法操作它就無能為力了。防火墻技術按照設定的規則確定是否允許信息流進出，但是卻不能進行動態識別，或者自適應的對規則加以調整，所以智能化程度相對有限。防火墻技術主要包括數據包過濾器、代理及狀態分析等三種，很多防火墻產品都是將這三種技術混合應用。
入侵檢測技術：入侵檢測技術綜合了統計、規則方法、人工智能以及網絡通信、密碼學和邏輯推理技術等，其主要功能是對網絡及計算機系統是否存在被入侵或濫用等問題進行實時監控。通常入分檢測技術又可以分為簽名分析、統計分析以及數據完整性分析等三大類。其中簽名分析的主要作用是對系統已知弱點做出攻擊的行為的監測，技術人員由攻擊模式中歸納出其簽名，并寫入IDS系統代碼中，其實質屬于一種模板匹配操作模式。統計分析法則是基于統計學理論，根據系統處于正常狀態下的動作模式對某個動作做出判斷，評價其是否與正常的軌道有所偏離。而數據完整性分析則是基于密碼學原理，對文件或者對象是否存在被修改過的痕跡進行查證。
協作式入侵檢測技術：獨立的入侵監測系統無法針對各種入侵活動做出有效的監測與反應，因此為彌補此點不足，協作式入侵監測系統應用而生。在該技術中，IDS以一種統一的規范為基礎，各入侵監測組件之間進行自動的信息交換，并且在信息交換的過程對入侵行為進行有效監測，且其適用性較強，不同的網絡環境均能夠應用。
第四，應用層面的安全。從某種程度上來說，系統安全是系統管理員日常工作中的重中之重，如果未作好系統安全工作，造成系統受到入侵，那么程序中的各種防范均會功虧一簣。其實系統中很多漏洞如果管理員制定出嚴格的安全策略，或者勤打補丁，對文件系統、數據庫系統以及WEB系統的權限及配置進行科學、合理的設置，不但可以保證系統的正常運行，又會由于權限管理的嚴格使得入侵者無機可乘，則應用系統的安全性能就會得大幅的提高。不過系統安全問題的防范僅靠系統管理員單薄的力量是遠遠不夠的，它需要各單位、各崗位人員的共同努力。如果系統管理員的責任心及能力均十分到位，其自會制訂一套安全防范策略以維護系統的穩定性、安全性以及高效性，但是有時程序員一個低級的錯誤就有可能引發非常嚴重的系統安全問題，不過針對這種失誤系統管理員也不是沒有預先防范的可能。例如程序員由于操作不慎，未對上傳附件的擴展名加以限制，從而造成用戶上傳可執行文件到了指定的目錄。在這個過程中，如果系統管理員對其上傳的文件進行相應的權限設置，嚴禁此文件中文件的執行權限，那么就避免了應用系統出現安全問題。由此可見，應用系統的安全保護工作是靠系統管理員及其它系統應用人員的共同努力才得以實現的，各個崗位、單位上的系統應用人員均要從自身作起，基于本崗位的角度共同維護系統的安全防護，從而保證系統整體的安全性。
（二）安全服務器
以應用保障為前提所實現的第三級保護要求即為安全服務器。它是系統在三級中的解決方案，但并不意味著將客戶的應用全部丟掉以實現三級要求。安全服務器的技術特點體現在四個方面：
第一，強制訪問控制模型對所有的客體實行控制，客體包括內存、設備以及文件和注冊表等。其中控制內存的主要目的是避免系統遭受某些程序的惡意攻擊。對于一些網絡黑客而言，只需利用一段過長的字符，就可以將堆棧中的地址進行改寫，從而對程序進行改寫，使其改變更為合理；當程序的運行流程被改變后，再將一個代碼寫出內存中，它跳到此處運行，即可獲取相應的控制權限。
第二，控制細粒度的主客體信道，在一定范圍內對某些訪問進行控制。
第三，其身份鑒別機制十分強大。
第四，加密文件系統。安全服務器主要利用訪問控制來解決系統安全問題。此外還有一個WEB過濾技術，其能夠在最大范圍內將動態腳本的安全問題徹底解決。服務器本身的系統安全、訪問權限控制安全、動態腳本的安全以及應用安全等均是對服務器的安全要求。
總之，提高信息安全工作的有效性，實施等級保護是個非常有效的途徑。因為網絡安全技術是一項系統工程，因此在信息安全管理過程中要避免產品堆砌，提出體系化的、可以真正解決問題的方案。
核心關注：拓步ERP系統平臺是覆蓋了眾多的業務領域、行業應用，蘊涵了豐富的ERP管理思想，集成了ERP軟件業務管理理念，功能涉及供應鏈、成本、制造、CRM、HR等眾多業務領域的管理，全面涵蓋了企業關注ERP管理系統的核心領域，是眾多中小企業信息化建設首選的ERP管理軟件信賴品牌。
轉載請注明出處：拓步ERP資訊網http://www.guhuozai8.cn/
本文標題：等級保護與服務器系統的安全探究
相關文章
