安全基础设施的物理组成包括标准的门钥匙和锁、 钥匙卡、标识标志、安全照相机、活动传感器、声 像报警、安全警卫和系统、设备标签等。根据人的 生物特征检测的设备也属于这一类，如指纹读出器、 面部形状照相机、视网膜扫描器等。这些仿生组件 是通过自然本质来标识和鉴别用户的。属于这一类 的还有网络电缆和后备电源（如UPS系统和自备发电 机）。物理安全设施的基本目的是防止非授权者进 入以及保护安全基础设以应用为目标的安全设计概念
数据机密性的前提是防止非授权者看到非公共使用 的数据。数据机密性应用于本书所定义的具有内部 的、机密的、严格限制的标记的数据。通过安全数 据存储和安全数据传输提供数据机密性保护。满足 数据机密性要求的典型技术包括数据传输、安全在 线和离线存储的加密。
数据完整性是关于对数据的任何非授权改变或破坏 的保护。这个目标的基本点是数据的准确性和合法 性。通过产生原始数据集检查和同复制的数据进行 比较的程序来管理完整性。提供数据完整性的通常 解决方案是使用通用的加密策略，例如前面讲到的 IPSec，使用这样的检查和策略来保证发送的数据等 于接收的数据。保护数据不被更改或破坏，可以用 类似反病毒这样的简单解决方法，也可以用部署关 键通路存储解决方案、高可用性的防火墙簇以及企 业范围的变更管理等复杂的解决方案。为了防止非 授权使用或破坏，鉴别和授权控制是最合适的方法。
网络类包括防火墙、路由器、交换机、远程访问设 备（如VPN和拨号modem池）以及基于网络的入侵 检测，它们分别在整个安全设计中增加某些安全特 性。这些组件通过其网络接口或在软件中定义的逻 辑来监控、过滤或限制通信。这些安全组件的作用 是监控和保护在网络中通过的数据，或保护在应用 中通过、使用的数据。
平台类包括服务器、客户端软件（例如，执行操作 系统和安全应用的控制）。执行一些电子操作（如 智能卡和读卡器、产生凭证的硬件卡、基于硬件的 加密设备）的设备也属于这一类。平台类还包括应 用级访问控制，如产生凭证的软件程序、数字证书、 基于主机的入侵检测、病毒扫描和清除、事件搜集 代理和分析软件程序。应用级访问控制能提供鉴别、 授权、基于主机的入侵检测和分析、病毒检测和清 除、事件账户管理和分析等功能。这些安全功能用 来保护常驻在主要基础设施边界的应用。
虽然安全策略文档提供数据、系统和网络的保护策 略，但它对厂商选择、设计或实施并不规定所需的 详细战术。这些安全组件的成功实施需要了解安全 基础设施目标，否则可能会不合适地保护或完全疏 忽那些关键资产。
18.2 安全基础设施的目标
安全基础设施设计的基本目标是保护企业的资产。 保护这些资产的方法是适当地部署各个安全组件于 有组织的、协同的安全基础设施中。这些资产包括 硬件、软件、网络组件以及知识财产。保护这些资 产应根据企业安全目标和企业安全策略文档。虽然 提到的只是数据的保护，实际上保护数据及其可用 性也意味着保护执行的系统和网络。
处理过程包括企业安全策略和过程文档，用来管理 企业数据的生成、使用、存储和销毁，以及管理这 些数据所在的系统和网络。企业安全策略的目的是 定义企业资产保护的范围以及对这些资产所需的专 门保护机制。企业安全过程是企业安全策略文档的 一个组成，用来指导员工在特定环境下的行动。企 业安全策略和过程是安全基础设施的重要组成。有 了综合的安全策略和过程文档，安全设计师就能明 白什么样的资产是企业需要保护的，以及如何保护 这些资产。
最后，数据可用性也是需要十分关注的。数据可用 性的目标范围是根据数据可用的重要性而变化的。 对某些系统需要高可用性，高达99.999%，而有些系 统可用性要求就较低。提供高可用性系统保护的典 型方法是使用冗余系统，通常包括冗余的电源、数 据访问和存储、网络以及应用服务器处理等。但冗 余并不能满足全部数据可行性问题，尤其是近年来 增多的拒绝服务（DOS）和分布式拒绝服务（DDOS） 的攻击。
反之，如防火墙本身做得很好，其屏幕可显示大部 分入侵的通信，且能在搜集后做日志，但它不能通 知其他任何组件，那防火墙的作用是不完全的。如 果将防火墙和入侵检测、强的身份鉴别、加密的隧 道（VPN）等组件协同作用，就能设计成一个基本 的安全基础设施。
18.1.2 安全基础设施的组成
安全基础设施的主要组成有4部分：网络、平台、物 理设施、处理过程。
根据选择的数据等级分类体制，每种数据保护目标 应按数据机密性、数据完整性和数据可行性来表示 和衡量。
当设计一个安全基础设施时，把应用的最好结果作 为目标。因为应用最靠近数据以及数据的处理、交 换和存储。将设计目标放在数据机密性、数据完整 性和数据可用性上，会发现这不仅使应用得到安全， 而且企业也得到安全。这个概念如图18.1所示。
18.1.1 安全基础设施概述
一个安全基础设施应提供很多安全组件的协同使用， 其体系结构可改进整个的安全特性，而不仅是各个 安全组件的特性。使用这个定义，可推论出安全基 础设施的设计和特性。
以防火墙为例，使用防火墙可以很好地实施安全策 略，但是，如果它不能和体系结构中的其他组件很 好地连接，就不能构成一个安全基础设施。例如， 这个防火墙不能和安全基础设施的其他方面互相联 系、互相作用，那它只是一个安全组件，而不是安 全基础设施的一部分。这就是安全基础设施定义中 的协同组件。再如，假如从防火墙能发送报警至事 件管理站，由事件管理站处理成通知网络运行中心 （Network Operations Center, NOC）的报警，那么， 防火墙可能成为基础设施的一部分。
第18章 安全基础设施设计原理
18.1 安全基础设施概述 18.2 安全基础设施的目标 18.3 安全基础设施的的设计指南 18.4 密钥管理基础设施/公钥基础设施 18.5 证书管理 18.6 对称密钥管理
18.7 基础设施目录服务 18.8 信息系统安全工程 18.9 本章小结 习题
18.1 安全基础设施概述