1.2 信息安全的概念

由于网络空间、信息、安全这几个概念的内涵与外延一直呈现不断扩大和变化的趋势，对于“信息安全”“网络空间安全”等概念目前还没有统一的定义。为此，本节首先介绍本书对于网络空间安全与信息安全关系的认识，然后分别从对信息安全的感性认识、安全事件的发生机理以及安全的几大需求来带领读者认识信息安全。

1.2.1 网络空间安全与信息安全

在网络空间中，网络将信息的触角延伸到社会生产和生活的每一个角落。每一个网络节点、每一台计算机、每一个网络用户都可能成为信息安全的危害者和受害者。在当前这个“无网不在”的信息社会，网络成为整个社会运作的基础，由网络引发的信息安全担忧成为全球性、全民性的问题。

网络空间安全涉及在网络空间中的电磁设备、信息通信系统、运行数据、系统应用中所存在的安全问题，既要防止、保护包括互联网、各种电信网与通信系统、各种传播系统与广电网、各种计算机系统、各类关键工业设施中的嵌入式处理器和控制器等在内的信息通信技术系统及其所承载的数据免受攻击；也要防止、应对运用或滥用这些信息通信技术系统而波及政治安全、国防安全、经济安全、文化安全、社会安全等情况的发生。

从信息论角度来看，系统是载体，信息是内涵。哪里有信息，哪里就存在信息安全问题。因此，网络空间存在更加突出的信息安全问题。网络空间安全的核心内涵仍然是信息安全。本书研究的就是网络空间（Cyberspace）中的计算机信息系统安全。

说明：

1.在英文中，与“信息安全”相关度最高的两个词汇是“Information Security”和“Cyber Security”。从词意本身来讲，“Information Security”的含义较广，包括一切与信息的产生、传递、存储、应用、内容等有关的安全问题。“Cyber Security”则更加明确，是指在网络空间中的安全，这是由于互联网在社会中的角色越来越重要，且信息安全事件通常都与互联网有着直接或间接的关系。因而，近年来在新闻报道、官方文件、学术论文和专著中，“Cyber Security”的使用频率更高。

2 .信息安全、网络空间安全等词汇中的安全在英文中通常使用的是Security，而不是Safety。这是因为，Safety侧重于对无意造成的事故或事件进行安全保护，可以是加强人员培训、规范操作流程、完善设计等方面的安全防护工作。而Security侧重于对人为地、有意地破坏进行保障和保护，如部署安全设备进行防护，加强安全检测等。不过，随着信息系统安全向网络空间安全的发展，既要考虑人为地、故意地针对计算机信息系统的渗透和破坏，也要考虑计算机信息系统的开发人员或使用人员无意的错误。因此，本书不对Security和Safety进行严格区分。

1.2.2 从对信息安全的感性认识理解信息安全

迄今还没有严格的针对信息安全的定义。因此，当你发现以下这些问题的答案时就会有感性认识了。

● 如果计算机的操作系统打过了补丁（Patch），那么是不是就可以说这台机器是安全的？

● 如果邮箱账户使用了强口令（Password），那么是不是就可以说邮箱是安全的？

● 如果计算机与互联网完全断开，那么是不是就可以确保计算机的安全？

从某种程度上讲，上面3个问题的答案都是“No”！因为：

● 即使操作系统及时打过补丁，但是系统中一定还有未发现的漏洞，包括 0 day漏洞，这是系统开发商不知晓或是尚未发布相关补丁前就被掌握或者公开的一类漏洞。

● 即使使用强口令，但是用户对于口令保管不善，例如遭受欺骗而泄露，或是被偷窥，或是由于网站服务商管理不善，明文保存并泄露用户口令，均会造成强口令形同虚设。

● 即使计算机完全与互联网断开，设备硬件仍有被窃或是遭受自然灾害等被破坏的风险，计算机系统仍有被渗透控制的威胁，计算机中的数据仍有通过移动设备或是隐蔽信道被泄露的威胁。案例 1-2就是物理隔离的内网仍遭受渗透破坏的例子。斯诺登还曾向人们演示过间谍们如何使用一个改装过的USB设备来无声无息地偷取目标计算机中的数据，即便物理隔离的计算机也很难躲过这一劫。

基于以上的分析，很难对什么是安全给出一个完整的定义，但是可以从反面罗列一些不安全的情况。例如：

● 系统不及时打补丁。

● 使用弱口令，例如使用“1234”甚至是“password”作为账户的口令。

● 随意从网络下载应用程序。

● 打开不熟悉用户发来的电子邮件的附件。

● 使用不加密的无线网络。

读者还可以针对特定的应用列举更多的不安全因素，例如，针对一个电子文档分析它所面临的不安全因素，针对QQ、微博等社交工具分析所面临的不安全因素。

1.2.3 从信息安全事件的发生机理理解信息安全

下面从信息安全事件的发生机理来阐述什么是信息安全。可以说，一个安全事件（Security Event）的发生是由于外在的威胁（Threat）和内部的脆弱点（Vulnerability）所决定的。这里，安全事件发生的可能性称作风险（Risk）。

本书在这里讨论信息安全的概念时，没有直接提及攻击（Attack），因为相对于表象具体的攻击，安全事件更具有一般性。本章案例 1-1中的棱镜计划的泄露算不上是斯诺登发起的一次网络攻击，但这次机密信息的泄露的确算得上是一个安全事件。

发生信息安全事件的根源，是因为信息是有价值的数据，可以成为情报，可以被提炼。人们对信息的依赖或是关注，引发了对信息的外在威胁。另一方面，信息在产生、存储、传播的过程中具有固有的脆弱性，互联网在组建时没有从基础上考虑安全性，它设计之初的公开性与对用户善意的假设也是今天危机的根源。下面，本小节将介绍信息安全威胁和安全脆弱点。

1.信息安全威胁

对信息系统的安全威胁是指潜在的、对信息系统造成危害的因素。威胁是客观存在的，无论对于多么安全的信息系统，它都存在。

对信息系统安全的威胁是多方面的，威胁的存在及其重要性还会随环境的变化而变化，因此，目前还没有统一的安全威胁分类。本书从非人为因素和人为因素的角度给出一种安全威胁分类，如图1-6所示。

（1）非人为因素

非人为因素主要是指对信息系统正常运行造成危害的自然灾害和物理环境影响。

● 自然灾害：如火灾、洪灾、地震等。

● 物理环境影响：如断电、静电、灰尘、潮湿、温度、鼠蚁虫害、电磁干扰、设备硬件故障等。

（2）人为因素

人为的安全威胁又可分为非恶意行为和恶意行为。

● 非恶意行为主要是指由于粗心或未受到良好培训的管理员和用户而导致的无意行为，造成对信息系统的破坏，如操作员安全配置不当，用户安全意识不强，用户口令选择不慎，用户将自己的账号随意转借他人或与别人共享等。

● 恶意行为是指出于各种目的而对信息系统实施的攻击。典型的攻击者涉及 3个层面：国家政府、组织团体及个人，如某国政府、恐怖组织、犯罪团伙、竞争者、黑客、恶意人员。相应地，安全威胁可以分为 3个层面：针对国家层面的国家行为的网络霸权威胁、非国家行为体的网络恐怖主义、网络谣言和网络社会动员；针对组织和个人的网络攻击威胁；针对个人的隐私侵害、网络教唆和网络欺凌等威胁。

1）网络霸权。高度发达的信息网络已然成为国家经济发展的重要支柱与动力。借助网络空间夺取信息霸权，获取软权力，输出意识形态或政治价值观念，塑造国际规则和决定政治议题，成为大国建立国际新秩序的重要方法和途径。美国等超级大国在网络空间的霸权主要体现在以下几个方面：

● 掌控国际互联网关键基础设施和关键基础资源。由于国际互联网发源于美国，美国利用先发优势掌控了国际互联网关键基础设施和关键基础资源，形成了对全球各国互联网发展的把控和威慑。以发挥互联网运行总控作用的根域名服务器为例，它犹如互联网运行的“心脏”，美国掌控了全球 13台根域名服务器中的 10台，只要简单配置一下根域名服务器，就可以让某个国家在网络空间中消失。另外，IP地址资源犹如地址门牌号，是发展互联网业务不可或缺的重要资源。美国政府长期利用互联网域名与地址管理公司（Internet Corporation for Assigned Names and Numbers，ICANN）操控国际互联网地址分配，而自己占据了大量优质地址资源，造成了全球网络地址资源分配严重不均，对包括我国在内的互联网业务快速崛起国家形成了有效的资源遏制。尽管ICANN管辖权已经移交，但美国政府仍然能通过多种手段形成对ICANN机构业务管理的影响。本章案例1-1中斯诺登披露的美国针对全球的大规模网络监视就是其利用掌控的国际互联网关键基础设施和关键基础资源实施网络霸权的突出体现。

● 实施网络空间战略。这一战略包括争夺制网权战略、通过网络赋能提高武器打击效果的“网络中心战”战略、网络空间安全战略以及利用网络空间对他国进行政治和思想渗透的战略等。美国是目前世界上唯一提出主动网络攻击的国家，并由国家安全局牵头组建了世界上规模最大的网络战部队。本章案例 1-2中涉及的震网病毒也被认为是美国针对敌对国的一次网络战。

● 将互联网当作对他国进行意识形态渗透的重要工具。网络空间中不仅仅是信息的流动，还涉及网络参与者对信息的共享、协商、妥协和对抗，其中包括行动背后的观念、意志、情绪等深层次的活动。美国充分利用网络空间的这些特性，同时倚重它在互联网技术方面拥有的国际霸权地位，利用互联网对他国进行意识形态渗透，进行破坏甚至颠覆政权。例如，始于突尼斯的“阿拉伯之春”就是美国利用具有“点对点”和“互动”特点的互联网，“自下而上”地推行其民主扩展战略的结果。

2）网络恐怖主义。网络恐怖主义是传统恐怖主义在网络上的延伸，与传统恐怖主义相比，网络恐怖主义实施成本更低、恐怖来源分散、恐怖分子更加隐蔽、恐怖袭击的目标更大更多，影响范围更广，防范难度更大。例如，“基地组织”以及ISIS（Islamic State of Iraq and al-Sham，伊拉克和沙姆伊斯兰国）就非常善于利用网络，通过散布激进言论、谣言、血腥视频，攻击和破坏网络系统等方式造成社会轰动效应，增加对方（通常是国家）民众的恐惧心理，以达到破坏其社会稳定，甚至颠覆国家政权的目的。

3）网络谣言和网络政治动员。互联网是匿名的，在虚拟的网名背后，现实世界中人物的背景和动机很难在网络上真实体现出来，这就给一些怀有特定目的的网络用户有了可乘之机，网络谣言和网络社会动员就是两种最常见的表现。

● 网络谣言是指通过网络介质（例如社交软件、网络论坛、邮箱等）传播的没有事实依据的话语，主要涉及突发事件、公共领域、名人要员、颠覆传统、离经叛道等内容。谣言传播具有突发性且流动速度极快，因此极易对正常的社会秩序造成不良影响。

● 社会动员是指在一定的社会环境与政治局势下，动员主体为实现特定的目的，利用互联网在网络虚拟空间有意图地传播针对性的信息，诱发意见倾向，获得人们的支持和认同，号召和鼓动网民在现实社会进行政治行动，从而扩大自身政治资源和政治行动能力的行为与过程。当然，网络政治动员的作用是双面的，如果合理利用，也可以产生良好的正面效果。

4）网络攻击。随着网络应用越来越广泛，网络对社会的生产和生活的影响越来越大，越来越多的人在政治、经济等因素的驱动下，开始从事以达到政治目的或以获取经济利益为目标的网络攻击。由于巨大利益的驱动，网络攻击从以往的“单兵作战”逐渐转变为有组织的“集群作战”，在政治和军事上表现为政府和军队组织下的“网军”，在经济上表现为规模庞大的黑客产业链。

请读者完成本章思考与实践第10题，访问攻击事件统计和攻击数据可视化站点。

5）隐私侵害。隐私是与个人相关的具有不被他人搜集、保留和处分的权利的信息资料集合，并且它应该能够按照所有者的意愿在特定时间、以特定方式、在特定程度上被公开。然而，随着云计算、大数据及人工智能等新技术和新服务的广泛应用，出现了越来越多的非法获取、截留、监看、篡改、利用他人隐私，擅自在网上宣扬、公布他人隐私等侵害行为。

6）网络教唆和网络欺凌。网络教唆和网络欺凌都是通过网络传播的信息内容对人的精神和意志进行负面影响，迫使受害者厌世、逃避现实，扼杀对生活的希望。两者的区别无非是网络教唆通常是在网络游戏、网络言论中潜移默化地影响，而网络欺凌则更多是通过谩骂、嘲讽、侮辱、威胁、骚扰等人身攻击，造成受害者精神和心理创伤。网络教唆和网络欺凌会给受害者造成巨大的心理伤害，尤其是对于青少年，会严重影响他们的健康成长。国内外曾发生多宗儿童受网络教唆或网络欺凌而患上抑郁症，甚至自毁生命的事情。

知识拓展：黑客

2.信息安全脆弱点

信息系统中的脆弱点，有时又被称作脆弱性、弱点（Weaknesses）、安全漏洞（Holes）。脆弱点为安全事件的发生提供了条件，安全威胁利用脆弱点产生安全问题。

一种信息安全的脆弱点划分如图1-7所示。

（1）技术脆弱点

技术脆弱点主要涉及物理环境、软件系统、网络及通信协议等。

1）物理环境方面的脆弱点。它包括设备的环境安全、位置安全、限制物理访问、电磁防护等。例如，机房安排的设备数量超过了空调的承载能力，移动存储器小巧易携带、即插即用、容量大等特性实际上也是这类设备的脆弱性。本书将在第2章进一步讨论物理环境脆弱点及对策。

2）软件系统方面的脆弱点。计算机软件可分为操作系统软件、应用平台软件（如数据库管理系统）和应用业务软件 3类，以层次结构构成软件体系。

● 操作系统软件处于基础层，它维系着系统硬件组件协调运行的平台，因此操作系统软件的任何风险都可能直接危及、转移或传递到应用平台软件。

● 应用平台软件处于中间层次，它是在操作系统支撑下，运行支持和管理应用业务的软件。一方面，应用平台软件可能受到来自操作系统软件风险的影响；另一方面，应用平台软件的任何风险可以直接危及或传递给应用业务软件。

● 应用业务软件处于顶层，直接与用户或实体打交道。应用业务软件的任何脆弱点，都将直接表现为信息系统的风险。

随着软件系统规模的不断增大，软件组件中的安全漏洞或“后门”也不可避免地存在着，这也是信息安全问题的主要根源之一。例如常用的操作系统，无论是Windows还是Mac OS（苹果计算机操作系统），几乎都存在或多或少的安全漏洞。众多的服务器软件（典型的如微软的IIS）、浏览器、数据库管理系统等都被发现过存在安全漏洞。可以说，任何一个软件系统都会因为程序员的一个疏忽、开发中的一个不规范等原因而存在漏洞。本书将在第5章和第7章进一步讨论软件系统的脆弱点及对策。

3）网络和通信协议方面的脆弱点。TCP/IP协议族在设计时，只考虑了互联互通和资源共享的问题，并未考虑也无法同时解决来自网络的大量安全问题。例如，SYN Flooding拒绝服务攻击，即是利用TCP三次握手中的脆弱点进行的攻击，用超过系统处理能力的消息来淹没服务器，使之不能提供正常的服务功能。本书将在第6章中进一步讨论网络系统安全的脆弱点及对策。

（2）管理脆弱点

网络系统的严格管理是组织机构及用户免受攻击的重要措施。事实上，很多组织机构及用户的网站或系统都疏于安全方面的管理。例如，组织在安全管理机构、职能部门、岗位、人员等方面设置不合理，分工不明确；安全管理制度的制定不到位；员工缺乏安全培训、缺乏安全意识，安全措施执行不到位。本书将在第9章中进一步讨论信息安全管理的重要性及多种措施。

1.2.4 从信息安全的几大需求理解信息安全

本节通过分析人们对信息安全的几大需求（或称作属性）来帮助读者理解什么是信息的“安全”。

1.CIA安全需求模型

如图1-8所示，CIA是典型的3大安全需求。

（1）保密性（Confidentiality）

保密性也称为机密性，是指信息仅被合法的实体（如用户、进程等）访问，而不被泄露给未授权实体的特性。

这里所指的信息不但包括国家秘密，而且包括各种社会团体、企业组织的工作秘密及商业秘密，个人秘密和个人隐私（如浏览习惯、购物习惯等）。保密性还包括保护数据的存在性，有时候存在性比数据本身更能暴露信息。特别要说明的是，不仅要对人保密，对计算机的进程、中央处理器、存储设备、打印设备的使用也必须实施严格的保密措施，以避免产生电磁泄漏等安全问题。

实现保密性的方法一般是通过物理隔离、信息加密，或是访问控制（对信息划分密级并为用户分配访问权限，系统根据用户的身份权限控制对不同密级信息的访问）等。

（2）完整性（Integrity）

完整性是指信息在存储、传输或处理等过程中不被未授权、未预期或无意的操作破坏（如篡改、销毁等）的特性。

不仅要考虑数据的完整性，还要考虑系统的完整性，即保证系统以无害的方式按照预定的功能运行，不被有意的或者意外的非法操作所破坏。

实现完整性的方法一般分为预防和检测两种机制。预防机制通过阻止任何未经授权的行为来确保数据的完整性，如加密、访问控制。检测机制并不试图阻止完整性的破坏，而是通过分析数据本身或是用户、系统的行为来发现数据的完整性是否遭受破坏，如数字签名、哈希（Hash）值计算等。

（3）可用性（Availability）

可用性是指信息、信息系统资源和系统服务可被合法实体访问并按要求使用的特性。

对信息资源和系统服务的拒绝服务攻击就属于对可用性的破坏。

实现可用性的方法有应急响应、备份与灾难恢复等措施。

2.其他需求

除了以上介绍的一些得到广泛认可的安全需求，一些学者还提出了其他安全需求，如可认证性、授权、可审计性、不可否认性、可控性、可存活性等。

1）可认证性（Authenticity）又称为真实性，是指能够对信息的发送实体和接收实体的真实身份，以及信息的内容进行鉴别（Authentication）的特性。可认证性可以防止冒充、重放、欺骗等攻击。实现可认证性的方法主要有数字签名、哈希函数、基于口令的身份认证、生物特征认证、生物行为认证以及多因素认证。

2）授权（Authority）是指在信息访问主体与客体之间介入的一种安全机制。该机制根据访问主体的身份和职能，为其分配一定的权限，访问主体只能在权限范围内合法访问客体。实现授权的基础是访问控制模型，如数据库系统中常采用的基于角色的访问控制模型。

3）可审计性（Accountability或Auditability）也称为可审查性，是指一个实体（包括合法实体和实施攻击的实体）的行为可以被唯一地区别、跟踪和记录，从而能对出现的安全问题提供调查依据和手段的特性。审计内容主要包括谁（用户、进程等实体）、在哪里、在什么时间、做了什么。审计是一种威慑控制措施，对于审计的预知可以潜在地威慑用户不去执行未授权的动作。不过，审计也是一种被动的检测控制措施，因为审计只能确定实体的行为历史，而不能阻止实体实施攻击。

4）不可否认性（Non-Repudiation）也称为抗抵赖性，是指信息的发送者无法否认已发出的信息或信息的部分内容，信息的接收者无法否认已经接收的信息或信息的部分内容。实现不可抵赖性的措施主要有数字签名、可信第三方认证技术等。可审计性也是有效实现抗抵赖性的基础。

5）可控性（Controllability）是指对于信息安全风险的控制能力，即通过一系列措施，对信息系统安全风险进行事前识别、预测，并通过一定的手段来防范、化解风险，以减少遭受损失的可能性。实现可控性的措施很多，例如，可以通过信息监控、审计、过滤等手段对通信活动、信息的内容及传播进行监管和控制。

6）可存活性（Survivability）是指计算机系统在面对各种攻击或故障的情况下继续提供核心的服务，而且能够及时地恢复全部服务的能力。可存活性的焦点不仅是对抗计算机入侵者，还要保证在各种网络攻击的情况下业务目标得以实现，以及关键的业务功能得以保持。实现可存活性的措施主要有系统容侵、灾备与恢复等。

总之，计算机信息系统安全的最终目标就是在安全法律、法规、政策的支持与指导下，通过采用合适的安全技术与安全管理措施，确保信息系统具备上述安全需求。

【例1-1】 信息流动过程面临的安全问题分析。

下面综合运用前面介绍的安全威胁、安全脆弱点以及安全需求等知识来分析信息流动过程面临的安全问题。

正常的信息流向应当是从合法源（发送）端流向合法目的（接收）端，如图1-9所示。

然而，信息在产生、存储、传输、处理，乃至删除的这一过程中面临着一系列安全问题。

（1）物理设备遭受自然灾害或物理环境因素的影响

物理设备遭遇火灾、地震，设备故障，缺乏防盗、物理访问控制措施等。

（2）系统/应用软件或网络协议漏洞被利用遭受攻击

下面介绍信息流动过程中面临的4类典型攻击威胁，更多攻击形式将在后续章节中介绍。

1）中断威胁。如图1-10所示，中断（Interruption）威胁使得在用的信息系统毁坏或不能使用，即破坏系统或信息的可用性。

这种攻击的主要形式有：

● 拒绝服务攻击或分布式拒绝服务攻击。它使合法用户不能正常访问网络资源，或是使有严格时间要求的服务不能及时得到响应。

● 摧毁系统。物理破坏网络系统和设备组件使网络不可用，或者破坏网络结构使之瘫痪等，如硬盘等硬件的毁坏、通信线路的切断、文件管理系统的瘫痪等。

2）截获威胁。如图1-11所示，截获（Interception）威胁是指一个非授权方介入系统，使得信息在传输中被丢失或泄露的攻击，即破坏信息的保密性。非授权方可以是一个人、一段程序或一台计算机。

这种攻击的主要形式有：

● 在信息传递过程中，利用电磁泄漏或搭线窃听等方式截获机密信息，或是通过对信息流向、流量、通信频度和长度等参数的分析，推测出有用信息，如用户口令、账号等。

● 在信息源端，利用恶意代码等手段非法复制敏感信息。

3）篡改威胁。如图1-12所示，篡改（Modification）威胁以非法手段窃得对信息的管理权，对信息进行未授权的创建、修改、删除和重放等操作，破坏信息的完整性。

这种攻击的主要形式有：

● 改变数据文件，如修改数据库中的某些值等。

● 替换某一段程序，使之执行另外的功能。

4）伪造威胁。如图1-13所示，在伪造（Fabrication）威胁中，一个非授权方将伪造的客体插入系统中，即破坏信息的可认证性。

这种攻击的主要形式有：

● 在网络通信系统中插入伪造的事务处理。

● 向数据库中添加记录。

（3）人因问题

人是网络空间中信息活动的主体，人的因素其实是影响信息安全问题的最主要因素，因此，在分析安全威胁和安全脆弱点时必须重视以下3类人为因素。

1）人为的无意失误。

2）人为的恶意攻击。

3）管理上的漏洞。 6DsI0evTd/peweWYSMR0XIH6ypKfSShZAo4hu/8i1yp8EHaYNma+L/VEEViRcWRb