4886a威尼斯城官网-威尼斯论坛-首页

4886a威尼斯城官网 观点正文

关于网络安全本质的讨论

春节前,网上有篇关于网络安全本质的文章,先容了当前对网络安全本质的各种说法,而我一直关注对网络安全本质的探讨,所以对这篇文章认真地学习了几遍,可惜的是这篇文章并没有给出编辑对网络安全本质的观点。

对于网络安全本质的理解是非常重要的,不是从哲学层面上对网络安全进行理解,就能真正把网络安全体系构建好。

一、关于安全的定义

什么是安全?大家谈安全,肯定是要先弄清楚是谁的安全,就算是网络安全,也不是泛泛而谈的,一定要有具体的目标或者对象。

笔者给一个目标或者对象的安全的定义是:(这个目标或者对象)没有受到侵害的状态。

产生侵害的根本原因是存在着威胁,如果把威胁(源)看成是侵害的主体,被侵害的对象当然就是客体。

对于“没有受到侵害”这个定义,大家可以做以下的分析:一是不存在威胁主体;二是由于客体自身的强壮性,主体无法构成对客体的侵害。

对于这个概念可以从两个方面来理解:一是客体足够强壮,威胁(主体)很难有效地构成对客体的侵害,客体被动的防御足可以抵御威胁主体的侵害,如一个三岁的小孩子对一个健康成年人的侵害行为,是很难有效的;二是客体本身也具备相应的对主体的威胁,当主体对客体构成侵害时,客体完全可以用反制的手段对侵害主体行为进行制止,甚至可以消除这个威胁主体。如,当年大家被核讹诈,后来大家也有了核武器,也可以反制了,这种讹诈的声音就没了。

二、两大类安全问题

威胁来自于两大方面:一是由于自然和自我的因素产生的威胁,这种威胁导致的对客体的侵害,大家把它定义为“天灾”,对应于英语中Safety;二是由他人构成的威胁,大家把这类侵害称为“人祸”,对应的英语是Security。当然,我不是搞英语的,能否这样的对应,笔者也不敢肯定。

前面的讨论,大家只说了“安全”这两个字,并没有提及网络安全。网络安全现在有多种概念,从早期的计算机安全,通信安全,一直说到信息安全,信息内容的安全,网络安全,网络空间安全,信息系统安全,还有人分得更细,应用安全,数据安全,操作系统安全,数据库安全等等。

“没有网络安全,就没有国家安全”,现在官方的文件直接用“网络安全”这个概念了。当然大家心里都清楚,总书记所指的网络安全,并不是Network的安全,而是Cyber Space的安全。

大家在英文中对应的说法是,Cyber Space Security。在这里用的单词,是Security,这就说明,大家对网络(Cyber Space)的安全,更关注的是他人所构成的威胁。

三、安全的本质

什么是安全的本质呢,更具体的,什么是网络安全的本质呢?

安全的本质,应该是“消除或者是有效的抵御威胁”的侵害,无论是天灾还是人祸,对于网络来说也是如此。

对于天灾的威胁,大家只能是有针对性的进行解决,对于雷击,大家就要做好接地、防雷;对于火灾,一是要控制火源,二是大家就得利用各种检测手段,及时发现可能的火源,三是要有消防手段;对于鼠害,大家的线缆,就要穿金属管等等。

对于人祸的侵害,大家需要解决的是“保证正确的授权操作”。

这里有三层含义:一是所有的操作应该是经过授权的;二是这种授权应该是正确的;三 正确的授权是有保证的。

对于授权,包括:

默认的授权:操作不会构成对其他合法主体权益侵害就可以是默认的授权,这种对其他主体不构成侵害的操作,法律、法规和制度一般都不会有相关的限制,从这个意义上来说,没有明确限制的操作,都可以是默认的授权操作。

禁止的行为:各类法律、法规、制度明确规定不允许实行的操作行为。

职务行为:法律、法规和制度赋予的操作,对于这种操作,授权人必须实行,这是职责所在。

对于授权的正确性,包括:

不能对其他主体的合法权益构成侵害;

是最小的授权;

符合分权制衡的原则;

符合被保护对象的安全属性要求;

符合被保护对象的安全强度要求。

对于正确的授权机制是有保证的:

大家可以通过隔离、检查等手段,发现违背授权机制的路径或者是机制,同时也要从机制上来保证授权本身的可靠性。如强制访问控制,一方面是授权机制,同时也是对授权机制的一种保证;沈昌祥院士的可信计算3.0也是对授权机制的保证;大家进行的测评、风险评估,渗透性测试,都是为了保证这种授权操作机制不被违背。

三、安全措施的实现方法

从保证正确的授权操作这个意义上来说,由于人祸而导致的安全问题本质是对人行为的控制,是属于管理范畴的问题,不存在几分对几分的问题。以前笔者也经常说,三分技术,七分管理。现在不说了,因为针对人祸,安全的本质就是管理问题。

说到管理,就要有目标,有手段,有过程。

管理目标

就是大家网络安全的任务目标:包括对数据的保护,对各类应用系统服务功能的保护,对网络与计算资源的保护,对所有利用网络的行为的确认。对于智慧城市的网络来说,还要加上一项:对于利用网络向现实目标实施侵害行为的打、防、管、控。当然,这五大任务并不是相互正交的,而是互相扭扯在一起的。

手段

应该首先考虑的是技术手段,因为网络安全不像现实社会安全那样的直观,没有有效的技术手段,是无法实现大家的管理目标的。相应的还要有有效的行政手段,一方面保证大家的技术手段能够有效地实施,另一方面可以补充技术手段的不足。

这些手段,可以归结为:

控制:这个控制是在计算环境中,以授权操作为目的,以访问控制为核心的安全功能;

隔离:是对授权操作的保证,通过对计算环境、网络环境的隔离,保证授权人可以操作,而防止非授权人进入的相关的区域;

检查:包括大家的渗透性测试,各类的检查,测评等手段,这也是对授权操作机制的保证措施。检查,可以分为发现性检查、匹配性检查、判断性检查和验证性检查。

过程

是在网络(Cyber Space)存续的生命期内,对不同阶段,采取的不同措施的总和,这一过程是一个时间函数,是动态的。

四、几种安全本质说法的讨论

前面提到的网上关于网络安全本质的文章,列举了多种安全本质的说法。如漏洞说、对抗说、信任说、风险管理说、安全意识说、成本说、安全管理说和数据的CIA保护说。本文对这几种说法进行讨论。

1、关于安全是漏洞说,这显然是不全面的,授权机制是安全的第一道关,如果没有了操作授权机制,任何人、任何时候在任何位置上都可以随便的进入一个系统的话,漏洞显然就没有价值了。漏洞是导致授权机制失效的路径,先于攻击者发现漏洞,是对授权机制的保证措施之一,可惜的是漏洞是不可能全部被发现的。

2、关于安全是对抗说,这只能说是一种主动防御的反制措施,也不是安全的全部。

3、关于安全是信任说,信任就不是威胁,大家对朋友信任,可以放心的把一些需要保护的财产交由朋友保护。但是,信任是有条件,需要有机制保证才行。现在零信任的提法,笔者并不反对,只是想告诉大家,那东西并不是新东西,一些厂商拿来炒作,是有积极意义的,但是不要被人给忽悠了。

4、关于安全是风险管理说,风险管理是方法,通过对资产的识别,对威胁的识别,对自身脆弱性的识别,动态地进行风险控制,是一种好的思想和方法。说到底,就是如何抵御威胁的问题,大家自身强壮了,足够保护大家的资产时,大家就能够有效地抵御威胁的侵害。而实际上,最后还是要归结到“保证正确的授权操作”问题上。脆弱性,可不仅仅是“漏洞”,没有正确的授权操作机制,同样也是脆弱性问题。

5、关于安全是人的意识说,这也是不全面的,但是人的安全意识确实是非常重要的,对威胁的反应是否敏感,是否能积极的响应,确实对安全是非常重要的,但是,意识还需要有其他的手段来保证。

6、关于安全是成本说,安全是要有投入的,肯定是有成本的,“花钱买安全”是大家常说的一句话。但是,如果你的授权操作是不正确的,那么就可能是“花钱买破坏”。大家从1994年开始就有了全国性的计算机安全保护问题了,各单位可以总结一下,这么多年来所花出去的钱,是否都真的有效的,是否存在“花钱买破坏”的问题。笔者这个说法,可不是空穴来风,凭脑子一想就提出来的。

实际上入侵者也是有成本的。

7、关于安全是管理说,前面本文已经明确的说明了,从本质上来说,Security的问题是要解决对人的控制问题,从这个意义上讲对于人祸的安全,就是管理问题。但是笔者所说的管理,是要有目标,有手段,有过程。而手段,笔者更推崇技术手段优先的原则,ISMS的思想方法是对的,但是如果没有技术手段的保证,ISMS也是无法实现的。笔者反对把技术与管理分为两个独立体系的做法,更反对将行政手段与技术手段进行对立。

8、关于安全是对数据的CIA的防护能力说,这显然是把保护任务当成安全的本质了,并且这个安全任务也不完整。对数据的保护肯定是网络安全当中最重要、最核心的任务,但是并不是全部的任务。应用系统的服务功能,也是保护任务之一,当一个系统受到DDoS攻击时,数据并没有受到任何的破坏,但是对于授权人来说,这个系统就不能为他提供服务了。同时,对于今天的Internet,大家的网络和计算资源,往往可能被人非法控制,大家的数据并不是他所关心的,他所关心是要利用大家的算力为他服务,包括挖矿和僵尸网络等等。利用网络,现在可以做很多的事,包括电子政务、电子商务、网上银行、物流等等,这些都是人的行为,这些行为是需要得到确认的,特别是一些人的非法行为,更需要得到确认。对于智慧城市来说,网络空间与现实社会已经融合为一个整体了,对于这样的整体,安全上不再是网络安全与现实安全两个独立的体系了,攻击者完全可以利用网络对现实社会的目标进行攻击,进而实现硬伤害。这些都是大家网络(Cyber Space)安全必须要完成的任务。

一篇小文,只能点到为止,无法展开讨论。对于网络安全本质的讨论是有意义的,笔者提到的那篇文章,有很好的价值。

?

?

注:本文由编辑投稿至数据观并授权发布,仅供参考、交流之目的,不代表数据观立场,转载请注明来源及编辑信息。

责任编辑:姚治

分享:
速读区块链
贵州

贵州大数据产业政策

贵州大数据产业动态

贵州大数据企业

更多
大数据概念_大数据分析_大数据应用_大数据百科专题
企业
更多

4886a威尼斯城官网|威尼斯论坛

XML 地图 | Sitemap 地图