架構師備戰(五)-系統安全(四) 安全服務有哪些方式保障安全性？

在網際網路高度發達的現在，所開發的系統雖然都是在談架構問題，技術問題，但是安全性問題也随處可見。

比如需要使用者登入之後，通路受保護的服務。比如貼吧需要回文章之後才能看到某些您想看到的私密内容.再比如給您授予什麼角色之後,您就能通路某些資料等等.

這些都是服務的安全性保護, 而我們了解安全體系結構之前,我們先了解一下安全保護等級, 看看您所使用的系統或服務是屬于哪個保護級别呢?

1. 安全保護等級

計算機新資訊系統安全保護等級劃分準則(GB17859-1999)

• 使用者自主保護級
• 适用于普通的内聯網使用者(也就是區域網路内使用的系統,沒有暴露在公網)
• 系統被破壞後,對公民,法人和其他組織權益"有損害", 但不損害國家安全社會秩序和公共利益.
• 說白了,就是您的系統隻會影響公司自己的内網業務,對外沒有影響,就屬于自主保護級别.
• 系統審計保護級
• 适用于通過内聯網或國際網進行的商務活動(内網或者公網有商務性的活動的系統),需要保密的重要機關.
• 系統被破壞後,對公民,法人和其他組織權益有"嚴重損害",或對社會秩序和公共利益"有損害",但不損害國家安全.
• 說白了,就是您的服務在内網或公網,與其他公司進行了商務活動,系統被破壞後,讓自己或其他公司受到了嚴重的損害, 但是不影響國家,就屬于審計保護級别.
• 安全标記保護級别
• 适用于地方各級國家機關,金融機構,郵電通信,能源與水源攻擊部門,交通運輸,大型工商與資訊技術企業,重點工程建設機關.
• 系統被破壞後,對社會秩序和公共利益造成"嚴重損害",或對國家安全造成"損害".
• 說白了,就是那些地方級機關,金機構等都是能夠嚴重影響到社會秩序的,甚至可以輕微的對國家安全造成傷害,這種屬于安全标記保護等級.
• 結構化保護級
• 适用于中央級國家機關,廣播電視部門,重要物資儲備機關,社會應急服務,尖端科技企業集團,國家重點科研機構和國防建設等部門
• 系統被破壞後,對社會秩序和公共利益造成"特别嚴重損害",或對國家安全造成"嚴重損害"
• 說白了,就是中央機關,廣播電視,重點科研等對社會影響特别嚴重,對國家也會很嚴重等項目就屬于結構化保護級别.
• 通路驗證保護級别
• 适用于國防關鍵部門和依法需要對計算機資訊系統實施特殊隔離的機關
• 系統被破壞後,對國家安全造成"特别嚴重損害"
• 就是那種國防關鍵部門的系統,破壞之後可能會導緻國家大戰那種系統,就屬于通路驗證保護級别.

其實我們不難看出, 上面的這些安全保護等級, 是随着危害性越來越大,保護的級别就越來越高的. 是以我們借助下面這個表格來記憶.

公民，法人和其他組織權益	社會秩序和公共利益	國家安全
使用者自主保護級	損害
系統審計保護級	嚴重損害	損害
安全标記保護級	嚴重損害	損害
結構化保護級	特别嚴重損害	嚴重損害
通路驗證保護級	特别嚴重損害

學習了這麼多的安全保護等級, 您知道您的個人網站或者你所在的企業網站屬于哪個等級嗎?

其實假如您是個人網站, 您放在了公網中, 并且不會影響社會秩序, 那麼應該就是屬于系統審計保護級别.

假設您是一個大企業的金融機構, 比如支付寶, 那麼您的等級或許應該屬于安全标記保護等級.

假設您是在央企上班, 或者您是廣播電視台的開發人員, 或許您的系統就屬于結構化保護級别.

假設您破天荒的去做了一個國家國防部關鍵部門的技術開發, 或許就是數年都回不了家, 都是在國家内部環境開發. 此時您做的系統可能就是通路驗證保護級别.

我們了解了安全保護等級之後, 我們還是落實一下我們的Web服務的安全體系結構吧, 要知道我們該如何去設計安全性架構, 進而盡可能的保障系統的安全性.

2. 資訊安全體系結構

我們前面了解了網絡層面的資訊安全通常是适用協定,并且進行加密處理的. 比如HTTPS.

從OSI參考模型次元是分為了七層，從最底層到最上層分别是：實體層，資料鍊路層，網絡層，傳輸層，會話層，表示層，應用層。

從安全機制的次元則分為加密,數字簽名,通路控制,資料完整性,資料交換,業務流填充,路由控制等.

從安全服務次元分為了鑒别服務, 通路控制, 資料完整性, 資料保密性, 抵賴性等. 我們需要重點了解一下安全服務次元的這些安全機制, 這些名稱或許您覺得陌生, 但是在系統中可能大多數您都用過.

五大安全服務

• 鑒别服務：指的是身份認證
• 使用者名+密碼
• 大多數的網站都是使用者名密碼做身份認證
• 數字證書
• 比如有些銀行登入時，就讓您适用數字證書，它給您一個USBKEY，它尾部還有一個按鈕，您按一下之後USBKEY才能完成登入，安全性比較高。
• 生物特征識别
• 常見的就是指紋登陸，人臉識别登入都已經被廣泛使用
• 通路控制：指的就是權限控制，身份認證之後，通常就是要進行權限控制
• 自主通路控制(DAC)
• 一般是對主體，指定哪些客體的通路權限。
• 比如A是最高管理者，他可以設定B成為最高管理者。他一位就他倆成為了最高管理者，然後B又可以設定C為最高管理者。這樣就讓權限蔓延，導緻整個權限體系很不可控。
• 比如A是最高管理者，擁有所有的權限資源字元串，就指定了哪些資源可以通路，這就叫做自主通路
• 通路控制清單(ACL)
• 對客體指定允許的主體
• 比如回帖看下載下傳位址，這個文章已經釋出了，但是平常是隐藏了一部分内容，不讓您看的，回帖之後，您就被進入到了允許通路的名單裡面，您就可以看到下載下傳位址了。
• 再比如IP白名單
• 訪強制控制清單(MAC)
• 先對主體和客體都先繼續分級，讓後進行權限控制
• 比如有些大銀行您通過刷卡做電梯時，就有這種強制通路控制。将電梯分為了多個等級，訪客通常隻能到某一層電梯。而内部員工則可以去大部分樓層。而銀行高管則可以去更多的樓層。這就是強制通路控制古。
• 基于角色的通路控制(RBAC)
• 就是我們後端系統常見的使用者管理，角色管理，權限管理部分的内容。先把某些權限分給某個或多個角色。而給使用者配置設定一個或多個角色時，使用者就擁有了對應角色的權限。這就是基于角色的通路控制。
• 基于任務的通路控制(TBAC)
• 比如工作流體系中，把您加入到這個流程體系中，您就有對應的權限去進行任務。沒有假如進來您就沒有權限。這就是基于任務的通路控制。
• 資料完整性
• 阻止對媒體的通路機制：隔離，通路控制，路由控制
• 就是您的系統沒有外界的幹擾，就不容易被破壞完整性，杜絕别人去篡改。是以可以采用隔離，通路控制，路由控制等措施。
• 比如您在雲端開了3306端口到公網中，恰好3306是您運作的mysql服務，那麼您可能過短時間就會收到伺服器被攻擊的短信，于是幹掉攻擊程式，關閉了3306公網端口進行隔離操作，終于松了口氣，不再被攻擊。
• 探測非授權修改的機制： 數字簽名， 資料重複， 數字指紋，消息序列号
• 就是防止被篡改，主要就是數字簽名
• 資料保密性（主要通過加密機制）
• 通過禁止通路提供機密性（不加密，我直接封閉起來，不讓大家通路，等過個十幾年再公布出來，這樣保密性就得到了保障）
• 通過加密提供機密性（通過加密算法加密資料）
• 抵賴性
• 數字簽名（數字簽名就是為了防止抵賴，因為您使用自己的私鑰進行加密，私鑰隻有您自己有，是以抵不了賴）

3.小結

這次主要就學習了安全保護等級劃分，和五大安全服務。

安全保護等級

安全保護等級主要是針對公民，法人和其他組織權益；社會秩序和公共利益；國家安全的損害結果的遞增，所對應的保護等級是不同的。

使用者自主保護級對公民，法人，其他組織權益有損害，但對社會秩序和國家安全沒有損害。如公司内網獨立使用的某些系統

系統審計保護級對公民，法人和其他組織權益有嚴重損害，對社會秩序有損害，對國家安全沒有損害。如普通公司對内和對外的業務系統

安全标記保護級别對公民法人對社會秩序有嚴重損害，對國家安全有損害。如金融機構，各級地方機關。

結構化保護級對社會秩序有特别嚴重損害，對國家安全有嚴重損害。如中央級别機關，廣播電視台

通路驗證保護級對國家安全有特别嚴重損害。如國家的國防關鍵的項目

是以我們的傷害性是越來越高的。

五大安全服務

鑒别服務：就是身份認證，比如使用者名密碼登入，數字證書登入，指紋登入，人臉登入。

通路控制：就是權限控制。有自主通路控制，通路控制清單，訪強制控制清單，基于角色的通路控制，基于任務的通路控制

資料完整性：保護資料的完整性。比如阻止對媒體的通路機制，探測非授權修改的機制

資料保密性：通過禁止通路提供機密性，通過加密提供機密性

抵賴性：數字簽名

學習的知識大概就是這些，學無止境，加油！