等保2.0与可信计算有何关系？如何按等保2.0要求实施可信验证？
来源：本站
作者：中联信科
日期：2021-08-02 10:25:37
浏览：
815
一、定义说明
可信计算是在计算和通信系统中广泛使用基于硬件安全模块支持下的可信计算平台，以提高系统整体的安全性。
信息安全等级保护，是对信息和信息载体按照重要性等级分级别进行保护的一种工作，在中国、美国等很多国家都存在的一种信息安全领域的工作。在中国，信息安全等级保护广义上为涉及到该工作的标准、产品、系统、信息等均依据等级保护思想的安全工作；狭义上一般指信息系统安全等级保护，包含定级、备案、安全建设和整改、信息安全等级测评、信息安全检查五个阶段。
二、等保2.0与可信计算
在2019年底正式实施的等保2.0中，将“可信计算”列为等保2.0的核心防御技术，并在此基础上构建“一个中心，三重防护”的安全防御体系，是等保2.0的安全架构核心。根据网络安全等级保护制度2.0标准，要求全面使用安全可信的产品和服务来保障关键基础设施安全。
由此可见，可信计算在新时期等级保护工作中的地位非同小可，在《国家网络空间安全战略》中也提出：“尽快在核心技术上取得突破，加快安全可信的产品推广应用”。
可信计算的保护思路是变被动为主动，不再像“亡羊补牢”一样后知后觉。因为网络攻击的破坏性和对关键基础设施的巨大影响，能够掌握安全防御的主动权相当重要，这也是等保2.0中把可信计算作为核心防御技术的原因。
|
被动防御 |
主动免疫 |
|
对已知威胁的封堵围杀 |
立足于为系统培育免疫能力 |
封堵：以网络隔离为代表，无法适应云计算环境特性，以及云计算应用导致的边界虚拟化、动态变化；
查杀：以杀病毒、入侵检测为代表，采用基于已知特征的检查技术，不能抵御新出现的未知恶意代码。 |
通过“计算+保护”的双计算体系，建立可信的计算环境，是其他安全防御机制的基础支撑；
形成自动识别“自我和“非我””程序的安全免疫机制，实现对未知病毒木马的安全免疫。 |
1、我国可信计算已逐渐形成完备的标准体系
时至今日，使用可信计算构筑网络安全防御已是业内的广泛共识，基于可信计算技术来构建新一代的安全架构已成为国际主流，Intel、AMD、ARM、微软、GOOGLE等都在积极发展可信计算技术以全面提升其产品的安全防护能力。国内飞腾、海光都已经在发展基于CPU的可信计算技术。而在国家层面，可信计算正在逐渐形成完备的标准体，已发布的有：
①《GB/T 29829 信息安全技术 可信计算密码支撑平台功能与接口规范》
②《GB/T 29828 信息安全技术 可信计算规范 可信连接架构》
③《GB/T 29827 信息安全技术 可信计算规范 可信平台主板功能接口》
④《GB/T 36639-2018 信息安全技术 可信计算规范 服务器可信支撑平台》
⑤《GB/T 37935-2019 信息安全技术 可信计算规范可信软件基》
2、如何按等级保护2.0要求实施可信验证？
|
|
设计策略 |
|
一级 |
所有计算节点都应基于可信根实现开机到操作系统启动的可信验证。 |
|
二级 |
所有计算节点都应基于可信根实现开机到操作系统启动，再到应用程序启动的可信验证，并将验证结果形成审计记录。 |
|
三级 |
所有计算节点都应基于可信根实现开机到操作系统启动，再到应用程序启动的可信验证，并在应用程序的关键执行环节对其执行环境进行可信验证，主动抵御病毒入侵行为，并将验证结果形成审计记录，送到管理中心。 |
|
四级 |
所有计算节点都应基于可信根实现开机到操作系统启动，再到应用程序启动的可信验证，并在应用程序的所有执行环节对其执行环境进行可信验证，主动抵御病毒入侵行为，同时验证结果，进行动态关联感知，形成实时的态势。
|
