20212322《网空专业导论》第十周学习总结

4.1 系统安全概述

4.1.1 系统安全的演进

网络空间是人类活动的第五大疆域，不同于海陆空天这四大疆域的来源不清，网络空间的起源一定是清晰的——随着计算机的诞生而诞生。在网络空间中，系统安全由操作系统的问世而催生。

沿着相关历史的脉络摸索前进，我们终于了解系统安全的广阔前景和深远意义。

4.1.2 系统与系统安全

系统多种多样，只能下一个简单的描述性的定义：

一个系统是由互相作用或互相依赖的元素或成分构成的某种类型的一个统一整体，其中的元素完整地关联在一起，它们之间的这种关联关系有别于它们与系统外其他元素之间可能存在的关系。

一个系统是一个统一整体，同时系统由元素构成。元素与元素之间的关系内外有别，即同属于一个系统的元素之间的关系不同于它们与该系统外其他元素之间的关系。该定义隐含着系统存在边界，它们把系统包围起来，区分出内部元素和外部元素，位于系统边界内部的属于系统的组成元素，位于系统边界外部的属于系统的环境。

不管如何，系统是存在边界的。

我们可以采取自外观察法、自内观察法观察系统，我们观察到网络空间中的系统处在各式各样的安全风险之中。

4.1.3 整体论与还原论

研究系统安全必须要有正确的方法论。因为还原论存在着一些局限性，我们便提出了整体论。

系统的宏观特性（整体特性）可以区分为涌现性和综合特性。

综合特性可以通过系统组成部分的特性的综合而得到。而涌现性是系统组成部分相互作用产生的组成部分所不具有的新特性，是不可还原的特性。网络空间中的安全性属于涌现性。

现在国际上已经意识到整体论在解决网络空间安全问题中的重要性，大量问题有待不断探索。

4.1.4 系统安全思维

网络空间安全系统安全知识领域的核心包含着两大理念，一是保护对象，二是思维方法。系统一方面表示会受到威胁因此需要保护的对象，另一方面表示考虑安全问题时应具有的思维方法，即系统化思维方法。系统化思维方法具有普适性，不是网络空间独有，运用到网络空间安全之中就称为系统安全思维。

系统工程是涵盖系统生命周期的具有关联活动和任务的技术性和非技术性过程的集合，技术性过程应用工程分析与设计原则建设系统，非技术性过程通过工程管理保障系统建设工程项目的顺利实施。

系统工程的主要目标是获得总体上可信赖的系统，核心是系统整体思想。它为建设可信赖的人工系统提供了一套基础保障，适用于网络空间中的系统建设。

简而言之，系统安全思维重视整体论思想，强调从系统的全生命周期衡量系统的安全性，主张通过系统安全工程措施建立和维护系统的安全性。当然并不是否认还原论，而是说，仅仅靠还原论是不够的。

4.2 系统安全原理

站在系统建设者的位置，要把安全理念贯彻到系统建设之中。

4.2.1 基本原则

在网络空间中，系统的设计与实现是系统生命周期中分量很重的两个阶段，长期以来受到人们高度关注，形成了一系列对系统安全具有重要影响的基本原则。划分为三类：

一.限制性原则：

①最小特权原则

②失败-保险默认原则

③完全仲裁原则

④特权分离原则

⑤信任最小化原则

二.简单性原则：

①机制经济性原则

②公共机制最小化原则

③最小惊讶原则

三.方法性原则：

①公开设计原则

②层次化原则

③抽象化原则

④模块化原则

⑤完全关联原则

⑥设计迭代原则

系统的设计者和开发者应该深入理解。正确把握、自觉遵守以上原则。

4.2.2 威胁建模

安全是一种应对威胁的属性，二者是一对对立统一的矛盾。只有把威胁弄清楚，才可能知道安全问题会出现在哪里。

我们需要知晓安全、威胁、风险的相关概念。

4.2.3 安全控制

“宜未雨而绸缪，毋临渴而掘井”

对系统进行安全保护的最美好的愿景是提前做好准备，防止安全事件的发生。访问控制就是这方面的努力之一，它的目标是防止系统中出现不按规矩对资源进行访问的事件。

有很多身份认证方法，如口令认证、生物特征认证、物理介质认证等等。

在实际应用中，涉密等级和保密级别分别是给主体和客体打上的安全标签。访问控制策略是为了满足应用的需要指定的，由于应用需求多种多样，所以访问控制策略也就多种多样。

4.2.4 安全监测

亡羊补牢为时不晚。各种监控摄像早已融入网络空间之中，网络空间安全事件的监测也是有基础的。

系统的完整性检查机制提供从开机引导到应用运行各个环节的完整性检查功能，可以帮助发现系统中某些重要组成部分受到篡改或破坏的现象。入侵检测是安全监测中广泛采用的重要形式，它对恶意行为或违反安全策略的现象进行监测，一旦发现情况就及时报告，必要时发出告警。

从监测对象的角度看，入侵检测可分为主机入侵检测和网络入侵检测。

4.2.5 安全管理

一般意义上的安全管理指的是把一个组织的资产标识出来，并制定、说明和实施保护这些资产的策略和流程，其中资产包括人员、建筑物、机器、系统和信息资产。安全管理的目的是使一个组织的资产得到保护，由资产的范围可知，该目的涵盖了使系统和信息得到保护。

我们需要牢记国际标准化组织确定的风险管理原则。

还应掌握一些相关的内容，比如安全模型、内部威胁等。

4.3系统安全结构

我们要从硬件系统安全、操作系统安全、数据库系统安全、应用系统安全和安全生态系统等角度研究系统安全的体系结构。

4.3.1 硬件系统安全

网络空间是个计算环境，由各式各样的计算机通过网络连接构成，关键特征是都有处理器。

计算机由硬件和软件构成，硬件是软件的载体，软件在硬件之上工作。硬件为软件提供了许多安全支持，最平凡的就是保护操作系统的功能。硬件把指令和内存地址空间都分成了两大部分，内核态程序可以看到所有的指令和地址空间，用户态程序只能看到其中一个部分的指令和地址空间。用户态程序看不到的指令叫做特权指令，看不到的地址空间叫做内盒地址空间。操作系统由此得到保护。对于用户程序破坏操作系统这样的威胁模型，用户态/内核态策略是有效的。可是黑客有可能继续篡改，任何程序都有可能被篡改。

于是我们需要了解一些支持硬件系统安全的东西。

4.3.2 操作系统安全

操作系统是直接控制硬件工作的基础软件系统，地位特殊，不可替代。

如果没有操作系统，应用程序完成加密就会有薄弱之处：

一是无法保证硬件设备的加密机制能够顺利启动。

二是无法保障硬件设备的加密机制不被滥用。等

用户身份标识与认证是操作系统提供的最基础的安全功能……

看了一些抽象（读不懂+读不下去）的内容，我们知道了操作系统安全极其重要。

4.3.3 数据库系统安全

数据库系统是提供数据管理功能的软件系统，它由数据库管理系统和数据库应用构成。对于数据库系统安全，我们要从DBMS角度增强数据库应具有的安全功能，还要从数据库应用的角度缓解数据库系统无法回避的安全风险。

4.3.4 应用系统安全

书上举了翔实的例子为我们展现了应用系统安全。

4.3.5 安全生态系统

这个概念强调整体思想，互联网生态系统组成部分可以划分成6类。

①域名和地址分配②开放标准开发③全球共享服务与运营④用户⑤教育与能力建设⑥地方地区与国家和全球政策制定

在网络空间中从生态系统的角度应对系统安全问题，要把系统概念从传统意义拓展到生态系统范围，还要有新的支撑技术，有新突破