打造可信平台 联想安全产品及解决方案亮相

10月20日，第二届联想商用技术论坛在京召开。作为商用技术论坛的核心组成部分，联想安全分论坛同期举行。会上，包括联想昭阳系列安全笔记本，ThinkCentre M系列安全PC，昭阳系列加固笔记本、安全服务器、SMC安全解决方案在内的联想安全产品及解决方案家族闪亮登场。同时，联想与来自政府、大型机构及在京央企等近百家客户的信息化负责人一道，深入探讨在信息化应用日益深入的环境下，如何通过安全技术、产品和方案，构筑“可控安全”信息防御系统，应对IT安全威胁，保障商用信息安全等问题。国家密码管理局商用密码办公室副主任安晓龙、联想集团副总裁兼中国区大客户业务总经理童夫尧、联想集团副总裁兼联想研究院常务副院长韦卫等嘉宾出席本次论坛。

联想集团中国区大客户业务高级总监王俊杰（点此查看大图

）

“在高速发展的信息时代，信息安全技术呈现出可信化、网络化、标准化、集成化四大趋势”，国家密码管理局商用密码办公室安晓龙副主任表示，我国政府历来重视商用信息数据的安全防护工作。在国家密码管理局的牵头带领下，我国先后出台了一系列信息安全规范、标准，以联想为代表的企业，正积极投身于信息安全技术的研发、生产和产业生态圈的构建工作中。为保障国家、社会和各行各业稳定发展做出了贡献。

联想集团副总裁兼中国区大客户业务总经理童夫尧表示，近年来关键信息泄密事件时有发生，由此造成的损失不容小觑。在相关政府部门的推动和领导下，联想作为全球PC的领导者品牌，长期致力于信息安全技术的研究与探索，不断通过创新的安全技术和产品方案，帮助用户迎击不断升级的安全威胁，为广大用户带来最为可靠的安全体验。信息安全已成为联想商用产品的特质“DNA”，伴随着联想发展的每一个脚步。

联想集团副总裁兼联想研究院常务副院长韦卫向与会嘉宾详细介绍了联想安全技术的发展。韦卫表示，从网络安全到系统安全，再到现在的云安全，每个阶段的发展都留下了联想技术、产品的印记。可信计算、密码技术、TCM芯片以及软硬件体系架构，共同构筑了可信的商用计算环境。可信计算将会在政府和业界的共同推动下进入快速发展的时期。联想通过安全技术打造的可信链条，为千万用户的数据安全保驾护航。

本次全新亮相的联想系列安全产品和方案，以符合国家标准的可信计算密码模块——TCM安全芯片为基础部件，从物理安全、数据安全、身份安全等多方面构建了用户终端全方位的安全体系。联想安全产品家族囊括了从U盘到笔记本，从台式电脑到服务器，从打印机到安全服务的一整套解决方案。安全U盘解决了商用信息数据交换的问题，不仅可以限制本地U盘无法再外网使用，也可以限制外来U盘无法在本地读取，从内外两个方向屏蔽了信息泄露的窗口；以昭阳K43A、昭阳K23为代表的安全笔记本，依托LTT五维安全技术，将双重硬盘防护系统和悬浮式硬盘缓冲设计囊括其中，为珍贵的商用信息数据打造了可靠的生存空间；联想安全家族的重量级产品ThinkCentre M系列台式机，可以充分满足用户对文件实时加密/解密，防止数据恶意拷贝的需求，同时可以防护来自网络内外的安全威胁，此外独具的密钥备份/恢复功能，使得即使在电脑安全芯片硬件损坏时，系统仍可进行数据恢复和还原。不仅如此，此次论坛亮相的安全解决方案还包括高可靠、高稳定的万全系列安全服务器，安全管理客户端SMC2.0等。这些从前端到后台，从单一应用到系统应用的安全方案，不仅以“可信”的宗旨为用户的打造了稳定可靠的IT基石，而且以无懈可击的安全特性构筑了保密信息的立体屏障。

据介绍，联想的安全产品不仅以创新的安全技术，展现了联想全产业链资源整合能力和全球研发体系实力，更在历次国内外重大项目的实战中得到了检验，无论是伴随神州飞船遨游太空，克服严酷挑战，还是在奥运会上创造的“零故障”的完美表现，无论是为人大、政协两会打造安全的无纸化办公环境，还是在即将举行的上海世博会上担当核心应用，安全家族的产品为联想赢得一次又一次地获得了广泛的国际赞誉，更被深深打上了“安全、稳定、可靠”的品质烙印。

业内人士表示，本次由联想发起的安全技术论坛，将为业界构建安全的信息应用环境起到推动作用。同时，联想不断升级的安全技术、产品和方案，也将极大促进安全产业链条的各个环节共同应对信息安全威胁和信息安全技术的发展革新，使广大政府机构、军队等行业、机构的用户都能分享信息安全的成果，为保障国家安全、促进国民经济发展注入安全的源动力。

呵呵，用比较正统的说法就是：为全球网络安全人士提供技术交流、安全评估、黑客入侵取证、安全渗透、漏洞扫描、安全检测、服务器安全配置等为一体的红客(HUC)网络安全技术组.。。。。。。。。。。

就是IE存在一些缺陷，可以让黑客利用这个漏洞，写一些恶意代码，对你IE进行攻击。。 所以最好去下载漏洞补丁。。 微软一般都会在发现漏洞后进行补丁更新。。你去更新就好了 。。。

漏洞是在硬件、软件、协议的具体实现或系统安全策略上存在的缺陷，从而可以使攻击者能够在未授权的情况下访问或破坏系统。具体举例来说，比如在Intel Pentium芯片中存在的逻辑错误，在Sendmail早期版本中的编程错误，在NFS协议中认证方式上的弱点，在Unix系统管理员设置匿名Ftp服务时配置不当的问题都可能被攻击者使用，威胁到系统的安全。因而这些都可以认为是系统中存在的安全漏洞。 7}^~

©黑色海岸线网络安全技术论坛 -- 自由，开放，免费，共享 &[,

漏洞与具体系统环境之间的关系及其时间相关特性 4O.,U6

漏洞会影响到很大范围的软硬件设备，包括作系统本身及其支撑软件，网络客户和服务器软件，网络路由器和安全防火墙等。换而言之，在这些不同的软硬件设备中都可能存在不同的安全漏洞问题。在不同种类的软、硬件设备，同种设备的不同版本之间，由不同设备构成的不同系统之间，以及同种系统在不同的设置条件下，都会存在各自不同的安全漏洞问题。 ut](

©黑色海岸线网络安全技术论坛 -- 自由，开放，免费，共享 ^Fwl

漏洞问题是与时间紧密相关的。一个系统从发布的那一天起，随着用户的深入使用，系统中存在的漏洞会被不断暴露出来，这些早先被发现的漏洞也会不断被系统供应商发布的补丁软件修补，或在以后发布的新版系统中得以纠正。而在新版系统纠正了旧版本中具有漏洞的同时，也会引入一些新的漏洞和错误。因而随着时间的推移，旧的漏洞会不断消失，新的漏洞会不断出现。漏洞问题也会长期存在。 c

©黑色海岸线网络安全技术论坛 -- 自由，开放，免费，共享 ow?jl

因而脱离具体的时间和具体的系统环境来讨论漏洞问题是毫无意义的。只能针对目标系统的作系统版本、其上运行的软件版本以及服务运行设置等实际环境来具体谈论其中可能存在的漏洞及其可行的解决办法。 R9Y:i

©黑色海岸线网络安全技术论坛 -- 自由，开放，免费，共享 @d

同时应该看到，对漏洞问题的研究必须要跟踪当前最新的计算机系统及其安全问题的最新发展动态。这一点如同对计算机病毒发展问题的研究相似。如果在工作中不能保持对新技术的跟踪，就没有谈论系统安全漏洞问题的发言权，既使是以前所作的工作也会逐渐失去价值。 ?HRQ

©黑色海岸线网络安全技术论坛 -- 自由，开放，免费，共享 C$Vw

二、漏洞问题与不同安全级别计算机系统之间的关系 K /y?"

目前计算机系统安全的分级标准一般都是依据“橘皮书”中的定义。橘皮书正式名称是“受信任计算机系统评量基准”（Trusted Computer System Evaluation Criteria)。橘皮书中对可信任系统的定义是这样的：一个由完整的硬件及软件所组成的系统，在不违反访问权限的情况下，它能同时服务于不限定个数的用户，并处理从一般机密到最高机密等不同范围的信息。 |V$,

©黑色海岸线网络安全技术论坛 -- 自由，开放，免费，共享 81vVT

橘皮书将一个计算机系统可接受的信任程度加以分级,凡符合某些安全条件、基准规则的系统即可归类为某种安全等级。橘皮书将计算机系统的安全性能由高而低划分为A、B、C、D四大等级。其中： 92.us

©黑色海岸线网络安全技术论坛 -- 自由，开放，免费，共享 1<`e

D级——最低保护（Minimal Protection)，凡没有通过其他安全等级测试项目的系统即属于该级，如Dos，Windows个人计算机系统。 ]Zl

©黑色海岸线网络安全技术论坛 -- 自由，开放，免费，共享 LSI'fr

C级——自主访问控制（Discretionary Protection)，该等级的安全特点在于系统的客体（如文件、目录）可由该系统主体（如系统管理员、用户、应用程序）自主定义访问权。例如：管理员可以决定系统中任意文件的权限。当前Unix、Linux、Windows NT等作系统都为此安全等级。 TKGp,[

©黑色海岸线网络安全技术论坛 -- 自由，开放，免费，共享 x

B级——强制访问控制（Mandatory Protection)，该等级的安全特点在于由系统强制对客体进行安全保护，在该级安全系统中，每个系统客体（如文件、目录等资源）及主体（如系统管理员、用户、应用程序）都有自己的安全标签（Security Label），系统依据用户的安全等级赋予其对各个对象的访问权限。 L)

©黑色海岸线网络安全技术论坛 -- 自由，开放，免费，共享 z>C

A级——可验证访问控制（Verified Protection)，而其特点在于该等级的系统拥有正式的分析及数学式方法可完全证明该系统的安全策略及安全规格的完整性与一致性。 '

©黑色海岸线网络安全技术论坛 -- 自由，开放，免费，共享 5

可见，根据定义，系统的安全级别越高，理论上该系统也越安全。可以说，系统安全级别是一种理论上的安全保证机制。是指在正常情况下，在某个系统根据理论得以正确实现时，系统应该可以达到的安全程度。 Ou@

©黑色海岸线网络安全技术论坛 -- 自由，开放，免费，共享 8*DX_

系统安全漏洞是指可以用来对系统安全造成危害，系统本身具有的，或设置上存在的缺陷。总之，漏洞是系统在具体实现中的错误。比如在建立安全机制中规划考虑上的缺陷，作系统和其他软件编程中的错误，以及在使用该系统提供的安全机制时人为的配置错误等。 Yu

©黑色海岸线网络安全技术论坛 -- 自由，开放，免费，共享 uv?

安全漏洞的出现，是因为人们在对安全机制理论的具体实现中发生了错误，是意外出现的非正常情况。而在一切由人类实现的系统中都会不同程度的存在实现和设置上的各种潜在错误。因而在所有系统中必定存在某些安全漏洞，无论这些漏洞是否已被发现，也无论该系统的理论安全级别如何。 v&T

©黑色海岸线网络安全技术论坛 -- 自由，开放，免费，共享 \

所以可以认为，在一定程度上，安全漏洞问题是独立于作系统本身的理论安全级别而存在的。并不是说，系统所属的安全级别越高，该系统中存在的安全漏洞就越少。 N7

©黑色海岸线网络安全技术论坛 -- 自由，开放，免费，共享 9nx'

可以这么理解，当系统中存在的某些漏洞被入侵者利用，使入侵者得以绕过系统中的一部分安全机制并获得对系统一定程度的访问权限后，在安全性较高的系统当中，入侵者如果希望进一步获得特权或对系统造成较大的破坏，必须要克服更大的障碍。 yF0#Ci

©黑色海岸线网络安全技术论坛 -- 自由，开放，免费，共享 S$'

三、安全漏洞与系统攻击之间的关系 D/5>H

系统安全漏洞是在系统具体实现和具体使用中产生的错误，但并不是系统中存在的错误都是安全漏洞。只有能威胁到系统安全的错误才是漏洞。许多错误在通常情况下并不会对系统安全造成危害，只有被人在某些条件下故意使用时才会影响系统安全。 (d\R>

©黑色海岸线网络安全技术论坛 -- 自由，开放，免费，共享 -k5yx[

漏洞虽然可能最初就存在于系统当中，但一个漏洞并不是自己出现的，必须要有人发现。在实际使用中，用户会发现系统中存在错误，而入侵者会有意利用其中的某些错误并使其成为威胁系统安全的工具，这时人们会认识到这个错误是一个系统安全漏洞。系统供应商会尽快发布针对这个漏洞的补丁程序，纠正这个错误。这就是系统安全漏洞从被发现到被纠正的一般过程。 8+b6'

©黑色海岸线网络安全技术论坛 -- 自由，开放，免费，共享 [na/k

系统攻击者往往是安全漏洞的发现者和使用者，要对于一个系统进行攻击，如果不能发现和使用系统中存在的安全漏洞是不可能成功的。对于安全级别较高的系统尤其如此。 z.Ul

©黑色海岸线网络安全技术论坛 -- 自由，开放，免费，共享 )P<#[

系统安全漏洞与系统攻击活动之间有紧密的关系。因而不该脱离系统攻击活动来谈论安全漏洞问题。了解常见的系统攻击方法，对于有针对性的理解系统漏洞问题，以及找到相应的补救方法是十分必要的。 0}V

©黑色海岸线网络安全技术论坛 -- 自由，开放，免费，共享 `k2G

四、常见攻击方法与攻击过程的简单描述 uNRz]N

系统攻击是指某人非法使用或破坏某一信息系统中的资源，以及非授权使系统丧失部分或全部服务功能的行为。 m*

©黑色海岸线网络安全技术论坛 -- 自由，开放，免费，共享 E-

通常可以把攻击活动大致分为远程攻击和内部攻击两种。现在随着互联网络的进步，其中的远程攻击技术得到很大发展，威胁也越来越大，而其中涉及的系统漏洞以及相关的知识也较多，因此有重要的研究价值。 jU

参考资料：http://www.thysea.com/lb/cgi-bin/topic.cgi?forum=126&topic=336

---