系统架构设计师教程（十八）安全架构设计理论与实践

18.1 安全架构概述

数字化服务已成为社会运行的基础，但随之而来的计算机犯罪也在激增。因此，确保信息的可用性、完整性、机密性、可控性和不可抵赖性变得至关重要。实现这些安全目标需要良好的安全架构设计，该设计基于风险和策略，并覆盖信息系统的整个生命周期。安全保护不仅包括技术和管理措施，还涉及人员和工程过程的整体安全，以及组织机构的完善。面对信息化技术的多重威胁，我们需要从系统层面考虑全面的防御策略。

18.1.1 信息安全面临的威胁

随着信息技术的发展，社会对计算机和网络的依赖加深，尤其是云计算、边缘技术和人工智能的进步，推动了信息化的广泛应用。企业越来越多地将业务托管在混合云上，这增加了数据保护和业务安全的难度。信息系统的安全威胁包括物理环境、通信链路、网络系统、操作系统、应用系统和管理系统等方面。安全威胁的具体形式包括信息泄露、破坏信息完整性、拒绝服务、非授权使用、窃听、业务流分析、假冒、旁路控制、授权侵犯、特洛伊木马、陷阱门、抵赖、重放、计算机病毒、人员渎职、媒体废弃、物理侵入、窃取和业务欺骗等。为了应对这些威胁，需要从技术、管理、人员和流程等方面综合考虑，设计全面的安全架构。

18.1.2 安全架构的定义和范围

安全架构是针对安全性细分的架构领域，包括产品安全架构、安全技术体系架构和审计架构，它们共同构成安全防线。

1. 产品安全架构：目标是打造自身安全的产品，不依赖外部防御系统。
2. 安全技术体系架构：任务是构建安全技术基础设施，增强产品的安全防御能力。
3. 审计架构：涉及独立审计部门或其风险发现能力，审计范围包括安全风险在内的所有风险。

安全架构应具备可用性、完整性和机密性等特性。在设计系统时，需要识别潜在安全威胁，评价安全威胁与控制措施，提出安全技术，形成安全方案，以提高信息系统的安全性。安全架构设计可从身份鉴别、访问控制、内容安全、冗余恢复、审计响应、恶意代码防范和密码技术等方面考虑。

18.1.3 与信息安全相关的国内外标准及组织

在信息安全领域，存在多种国际和国内的标准与评估准则，这些标准与准则为信息系统的安全评估和设计提供了指导。
国际标准包括：

• TCSEC（可信计算机系统评估准则）
• ITSEC（信息技术安全评估准则）
• CTCPEC（加拿大可信计算机产品评估准则）
• FC（美国联邦准则）
• CC（信息技术安全性评价通用准则）
• ISO/IEC 7498-2（信息处理系统开放系统互联基本参考模型安全结构）
• IATF（信息保障技术框架）
• IEC 61508-2010（电气/电子/可编程电子安全系统的功能安全）

国内标准包括：

• GA（国家安全行业标准规范）
• GB（国家标准规范）
• GJB（国家军用标准规范）
• 例如GB 15834-1995、GB 17859-1999、GB/T 20269-2006等

这些标准由不同的组织发布，如ISO、IEC、中国国家标准化管理委员会（SAC）等。这些组织负责制定和维护与信息安全相关的国际和国内标准。
例如，ISO/TC97专门负责信息技术安全标准的制定，而IEC负责电气和电子安全标准的制定。中国国家标准化管理委员会则负责全国标准化工作的统一管理。
这些标准涵盖了信息系统的各个方面，包括数据加密、安全评估、功能安全等，为信息安全提供了全面的指导。

18.2 安全模型

信息系统的安全目标是控制和管理主体（如用户和进程）对客体（如数据和程序）的访问，以实现保护系统的可用性、连续性、防范非法访问和攻击、保护传输中的机密性和完整性、防范病毒侵害以及实现安全管理。安全模型是描述安全的重要方面及其与系统行为关系的工具，而安全策略是系统安全目标的基本规范。

安全模型分为基本模型和当前被公认的模型。基本模型包括访问控制矩阵模型（HRU）、强制访问控制模型（MAC）、自主访问控制模型（DAC）和基于角色的访问控制模型（RBAC）。

当前被公认的安全模型包括状态机模型、Bell-LaPadula（BLP）模型、Biba模型、Clark-Wilson（CWM）模型、Chinese Wall模型，以及信息流模型、非干涉模型、格子模型、Brewer and Nash模型和Graham-Denning模型等。这些模型针对不同的特性、场景和控制关系提供不同的安全解决方案。

18.2.1 状态机模型

状态机模型是一种安全模型，它描述了一个系统在任何状态都是安全的。这种模型使用状态语言将安全系统描述成抽象的状态机，通过状态变量表示系统的状态，以及转换规则描述变量变化的过程。在状态机模型中，如果一个状态满足安全策略的所有要求，则该状态被认为是安全的。系统总是从一个安全状态开始，并在所有迁移中保持安全状态，只允许主体以与安全策略一致的方式访问资源。
Bell-LaPadula模型是由David Bell和Len LaPadula于1973年提出的第一个正式的安全模型，属于强制访问控制模型。该模型主要用于多级安全系统，其中数据被划分为多个安全级别和敏感度。模型通过主体、客体、访问操作（如读、写、读/写）以及安全级别等概念，确保信息不被不安全的主体访问。

18.2.2 Bell-LaPadula模型

Bell-LaPadula模型是David Bell和Len LaPadula于1973年提出的第一个正式的安全模型，属于强制访问控制模型。该模型主要用于多级安全系统，其中数据被划分为多个安全级别和敏感度。模型的基本原理是当主体和客体位于不同的安全级别时，主体对客体存在一定的访问限制，以保证信息不被不安全的主体访问。
模型的安全规则包括：

1. 简单安全规则