杨庆华：各位来宾上午好，刚才前面几位专家都在讲可信网络，我今天的演讲题目是怎样构建一个相对可信的网络。

        我今天谈的这个题目是可信网络接入，为什么会提出的问题？我们首先看一下信息安全发展趋势，这个趋势不是我总结的，这是美国国防部总结IT20年的总结报告，我们看这个报告中，从单一的技术部门需求发展到整个网络世界的安全，从面向脆弱性的安全，发展到现在是面向结构性的安全。现在发生了这么多的安全问题，实际上很多问题是我们在替操作系统厂商、替主机厂商、替协议的协议发起方，我们所有的工作是在为他们买单，为什么？因为我们过去完全是被动的，所以我们要向主动性转变。从这里面我们可以看到，在这个报告中围绕着从过去的信息安全要转向网络安全的发展。

        我们在这里给可信网络一个定义，刚才曲老师讲了可信网络未来的结构。我们说是通过各种安全手段和措施，在开放的网络系统中构建一个边界清晰和安全网络，那么现在如何构建一个安全的边界？这是安全业界一个非常大的难题。在这个网络中我们应该满足什么？第一个要满足边界的安全、满足主体的安全、课题的安全、满足行为的安全、监管的安全，通俗的解释我们要做到，网络边界安全、用户身份可信、数据资源安全、访问行为可控这样一些目标。

        我们以生活的实例解释一下什么叫可信。我们看到这个人如果去银行去办理一笔业务，我们知道储蓄所任何人都有权利进去，但是对于银行来说不知道他这个人是不是安全，他具体要做什么我们不知道，所以我们需要做到主体的可信。同时对于储户来说，这个银行是不是可信的，我进这个银行是不是黑屋子，你这个银行是否是可信的。所以生活中无时不刻都存在着信任的问题，那么如何构建合法用户，到合法的银行网点，办理合法的业务，那么我们才说这是一个可信的事件。

        这是一个真实发生的案例，因为特殊的关系我们不能说这位用户的名称。这个案例大概是06年4月份发生的案例，一个很重要的单位网络突然中段，中段了26个小时，在3天之后恢复了整个的业务，作这个网络中我们看到它的安全措施已经部署的非常多了，但是就在那天突然间整个网络，核心交换机发生了网络瘫痪，整个网络带宽全部被淹没。归其原因，非常非常简单的一个原因，就是因为一个业务部门的小伙子把一个女朋友的电脑拿到单位里面拷电影，这个电脑接上去没多久，这台电脑里面含有SQL尾虫（音），大家知道SQL尾虫是03年爆发的，那么经过了三年再一次在这里发生了安全事件。

        我们说这样一个问题，我如果带一台电脑接入其它公司的网络，你能相信我的计算机吗？如果你能相信我这个计算机，你相信我的计算机不带有病毒吗？这样的话就非常容易把带有危害性的病毒带到你的办公室来，这就是所谓不可信的安全行为。另外绝大多数的安全事件都是来自于内部，而恰恰在现在的网络安全系统里面内部防护是非常脆弱的。另外，主机系统的漏洞没有得到及时修补。另外内部缺乏可信的监控与分析制度，也就是发生了一个安全事故没有及时解决这个事件。那么我们可以说对接入行为缺乏严格有效的可信监控措施。那么我们如何对主体可信和个体可信做一个全面的安全认证！

        可以看出我们整个访问会有四类。第一，内部人员，这个访问是必须的，但是内部人员的不安全怎样去规避？比如说我到了一个单位去拜访用户的时候接入一个网络，这叫第三方访问，甚至有些用户当我出了问题的时候我要求服务商远程接到我的网络之中，确实给我带来了很多方便，响应速度很快了，而且不需要来人去做，但是你访到你内网里的过程你是否会检测到，你是否可以信任它的整个行为？第三，我们的应用软件也是由远程的服务商进行维护、升级，那么这些你是否可以信任？另外，第四个叫做误操作，比如我有两套网，一套办公内网，一套联互联网，但是我把网线接错了，把信息暴露给了互联网，那么我们可以称之为误操作。

        我们最后看一下我们要做什么？第一，我们要禁止外部非法设备的接入；第二，我们要限制合法设备的非法接入；第四，限制合法接入设备的非法详文，你可以接进来，设备也是合法的，但是你的访问行为是不合法的；第四，网络行为的监测和保护。

        另外我们要分为主体的可信、行为可信与客体的可信，对于主体可信我们做接入来源认证控制，对于客体的访问做访问对象的监控。我们看怎么来做？第一，我们要根据安全级别的不同来划分不同的安全域；第二，我们要在不同安全域之间划分边界隔离与访问控制；对内部的昂落我们要做基础的一点就是做IP与MAC绑定；第四个部分要对每一个计算环境做安全管理；第五，对远程接入的用户要做控制；第六，要对所有接入行为进行监控。

        我们看对于经常有人来访或者进入的单位，我们建议你可以设计一个第三方独立的防御趣闻，可以保证既保证服务又不受到侵害，所以我们就要设计一个第三方网络区域。另外我们还有很多的划分原则，比如说按照业务类型划分，按照资产属性划分，安全单独的接入规律划分。另外我们有多种的技术，包括防火墙技术、网闸技术、入侵防护技术、UTM、病毒网关等等技术。

        而对于内网这种接入的话可以由多种方式，比如说最基本的方式是在计算机上设IP和MAC的绑定，对所有入和出，可以在网关处这样做，但是这样做只能限制最基础的用户，因为IP和MAC是可以互换、修改的，我们在每一个终端上可以装一个终端管理系统，而它能够保证每一个接入点、每一个系统环境自身的安全，来保证在整个计算机系统的每一个源头都是安全的，来验证我的整个接入网络的安全。

        对整个网络中，不管是内网还是外网，所有的接入我们要有一套系统来进行所有各个单点信息的汇总，来还原出它的行为、验证它的行为是否是可信的，比如说这个用户它的全县只能访问到这个网，但是他访问到了另外一个网，那么他的行为是否是可行的，所以我们要对他的行为进行监控。在这里面我们解决了几个问题，第一个问题，解决了非法接入的问题，这是我们做可信客体的鉴别；解决了合法设备的非法接入问题；以及解决了远程设备安全接入的问题。

        这是我们天融信公司为大家设计的可信的安全设计方案，我的演讲就到这里，谢谢大家。