等保测评认证2.0的核心防御技术：可信计算

在2019年底正式实施的等保2.0中，将“可信计算”列为等保2.0的核心防御技术，并在此基础上构建“一个中心，三重防护”的安全防御体系，是等保2.0的安全架构核心。根据网络安全等级保护制度2.0标准，要求全面使用安全可信的产品和服务来保障关键基础设施安全。

可信计算是在计算和通信系统中广泛使用基于硬件安全模块支持下的可信计算平台，以提高系统整体的安全性。可信计算强调实体行为、能力的可预测性和可验证性，即一个实体可信就是指其行为、能力需要符合预期并可验证其符合预期。目前我国发布的关于可信计算的文件有：

①《GB/T 29829 信息安全技术 可信计算密码支撑平台功能与接口规范》

②《GB/T 29828 信息安全技术 可信计算规范 可信连接架构》

③《GB/T 29827 信息安全技术 可信计算规范 可信平台主板功能接口》

④《GB/T 36639-2018 信息安全技术 可信计算规范 服务器可信支撑平台》

⑤《GB/T 37935-2019 信息安全技术 可信计算规范可信软件基》

等保2.0时代保护策略要变被动防御为主动防御，变层面防御为立体防御。可信计算技术为主动防御提供了新的思路，也在等保2.0中被重点提及。

我国网络安全领域著名专家、中国工程院院士沈昌祥在以《重启可信革命——主动免疫可信计算3.0》为主题的演讲中指出：“当前我国的信息安全的防护工作是比较传统的，也就是说称为老三样：防火墙、杀病毒、入侵监测，这样是解决不了安全问题的。”那么如何解决问题呢？引入可信计算，因为“可信计算包括三方面：可信可用，方能安全交互；主动免疫方能有效保护；自主创新方能安全可控”。所以要利用可信计算技术实现主动免疫。

可信计算的保护思路是变被动为主动，不再像“亡羊补牢”一样后知后觉。因为网络攻击的破坏性和对关键基础设施的巨大影响，能够掌握安全防御的主动权相当重要。

被动防御 主动免疫 

对已知威胁的封堵围杀 立足于为系统培育免疫能力 

封堵：以网络隔离为代表，无法适应云计算环境特性，以及云计算应用导致的边界虚拟化、动态变化；

查杀：以杀病毒、入侵检测为代表，采用基于已知特征的检查技术，不能抵御新出现的未知恶意代码。 通过“计算+保护”的双计算体系，建立可信的计算环境，是其他安全防御机制的基础支撑；

形成自动识别“自我和“非我””程序的安全免疫机制，实现对未知病毒木马的安全免疫。 

设计策略 

一级 所有计算节点都应基于可信根实现开机到操作系统启动的可信验证。 

二级 所有计算节点都应基于可信根实现开机到操作系统启动，再到应用程序启动的可信验证，并将验证结果形成审计记录。 

三级 所有计算节点都应基于可信根实现开机到操作系统启动，再到应用程序启动的可信验证，并在应用程序的关键执行环节对其执行环境进行可信验证，主动抵御病毒入侵行为，并将验证结果形成审计记录，送到管理中心。 

四级 所有计算节点都应基于可信根实现开机到操作系统启动，再到应用程序启动的可信验证，并在应用程序的所有执行环节对其执行环境进行可信验证，主动抵御病毒入侵行为，同时验证结果，进行动态关联感知，形成实时的态势。