鹰之旅 Falcon's Blog

国内互联网系统以及信息化建设基本上采用国外硬、软件系统构建的现状以及安全性问题，已引起国内有识之士的担忧。‘微软黑屏事件’已让大家见证了‘网络世界帝国’的威力，而国内对国外信息安全产品（直接进入或经过OEM进入）的规模应用，则又主动放弃或部分放弃了对网络虚拟世界帝国(入侵与控制我们自己网络虚拟空间)的抵抗能力，这些做法的后果更为严重：会极大地帮助这些‘网络世界帝国’从容构建它们的“网络虚拟世界的殖民地”。因为信息安全类产品是约束网络世界中活动的监控、管理机制，如果这些机制的相关产品也大量引进,进而放弃自主研发的话，在网络虚拟世界中，我们所面对的结局将只能是：
物理世界的互联网系统的所有权、维护义务都是我们的（要花费巨资购买各种硬软件系统以及相关的服务、组建网络的维护团队以及信息资源创造团队），但是这些资源所构建的网络虚拟世界的控制权却掌握在微软等等国际互联网巨头的手里。一旦我们失去了对网络世界的行为监控与管理能力，这些网络世界帝国的缔造者们就可以利用它们遍布网络中的硬、软件系统中的相应功能，随意地处理、获取你的信息，甚至控制我们构建的整个网络空间。这样一来我们就是在努力地替别人维护一个虚拟世界的帝国，我们在网络空间中的一切（信息）资源、网络行为都将在别人的管理、控制、监管之下，这意味着什么？----也许我们只能在网络虚拟世界里当“亡国奴”了，我们花费巨资构建并维护的网络空间成了这些网络虚拟世界帝国的“殖民地”，而获得经济、信息、情报等诸多利益的将是那些网络世界帝国的创建者以及他们所属的国家。
因此，可以说现在网络虚拟世界已经发展到“网络世界的帝国殖民主义时代”了。显然在这个时期，‘如何争夺网络世界的控制与管理权？’已成了整个信息化建设所要重点关心和急迫需要解决的问题。

不知国内的信息安全产业能否从容应对？是否准备好了约束网络虚拟世界中各种行为的应对方案？

  通过IT行业的资源整合以及系统的互连互通，以期使信息化建设发挥最大的综合效益和使用价值，已成了业内IT技术发展的共识（参考Gartner 2009年IT行业10大战略性技术）。做为信息产业的重要分支的信息安全产业，近年来也在关注信息安全的综合治理并积极开展信息安全体系架构的研究。这些工作也都是期望能够通过各种安全机制、人员以及管理制度的协同与整合，通过体系化的安全解决方案以及合规性约束来提升用户的信息安全保障能力以及产业的综合服务能力。本站的可信网络主题中的可信网络体系架构（TCAF）的安全管理平台就是基于安全资源整合思想设计的，此外已被业内普遍接受的SOC的概念也可认为是安全资源整合的一个成功案例。

原 文章:[转载]Gartner发布2009年IT行业十大战略技术

 由Gartner的2009年IT行业的10大战略性技术的预测中可以看出，IT行业目前关注的主题就是“IT资源的整合” 。

为了说明这个问题，我们来看报告的介绍：其中排名前五的战略技术中就基本上是IT资源整合性的关键技术：虚拟化技术可以让用户“组合不同种类和代际的存储技术、云计算技术解决的计算与信息处理能力的整合、计算架构则是考虑了在服务器体系中如何把需要的硬件资源（存储器、I/O、处理器等）组合起来（形成一个资源池）、企业级混搭技术则是通过使用公共APIs，迅速整合各种服务或能力（这个内容整合工具使商业用户有能力迅速处理企业内外的大量数据）。另外排名稍微靠后的商业情报技术，则自然会涉及到信息的汇总、综合以及关联性分析，这显然也应该是IT信息资源整合的范畴。而去年排名第二的统一通信技术，则是指把计算机技术与传统通信技术融合一体的新通信模式，既融合计算机网络与传统通信网络在一个网络平台上，实现电话、传真、数据传输、音视频会议、呼叫中心、即时通信等众多应用服务（而在融合通信中，网络电话(VoIP)是其中的重点。因此也叫“三网融合”）；显然该项技术也应属于IT资源整合的范畴。

因此说，IT资源的整合是当前IT行业技术发展的主题。

       计算机软硬件基础平台及其技术都掌握在外人之手的客观事实，使得我们必须考虑如何在不可信的网络世界中，尽力提高对自己拥有所有权的信息系统与资源的使用权加强行为监管与控制的能力，来尽可能降低危及自己信息资源的风险。这也是“可信网络世界体系架构”这些年来一直强调需要对网络虚拟世界中主体行为的预期控制和可信监管的根本原因。我们对网络虚拟世界的信任，只能建立在我们自己对暴露在网络世界中的信息资源的掌控能力上。如果没有这个能力，在网络世界中就只能被任意欺凌。

      “微软黑屏事件”也许会极大地促进国内对网络行为监管能力的研究与建设，这也可能就是国内信息安全产业的又一个好的发展机会。

原 文章:第九届中国信息安全大会4月22日北京

四年了，信息安全领域的可信概念总算被领导们、市场关注了......

关注之......

观点：安全机制在安全体系中的价值及实际能力发挥的不确定性将造成安全风险评估建模或安全机制能力评测量化过程中的难题；因此网络世界中安全问题的解决，需要从全局、系统化、体系化以及协同关联等角度进行综合的考虑、分析与实施。同时也需要新的安全理论、计算能力模型等来支持安全风险的评估分析以及协调安全机制的综合能力的发挥。

     可信网络世界体系架构（TCAF）理论体系及标准化工作的目的就是要通过规范化的安全资源管理以及网络虚拟主体的组织、管理及其行为监管，来建立网络虚拟世界的可信秩序，并以此来指导用户的信息化安全体系的建设，并促进信息安全产业的安全服务能力的提升。

      TCAF对于“网络世界安全”问题研究的多视图概念，认为用户、监管部门、政府以及信息安全产业是从各自的出发点，以不同的视角来看待同一个研究对象，给出的结果自然是要求、需求或是服务。显然，信息安全产业则是考虑如何针对用户的需求，在遵循一定的国家标准、要求的前提下，为用户提供相应的服务。在不同的发展阶段，国内信息安全产业提供的核心服务能力还是有很大的差别的：