信息保障技术框架 是由美国国家安全局指定的描述信息保障的指导性文件。我国在2002年将IATF3.0版引进国内后，IATF开始对我国信息安全工作的发展和信息安全保证体系的建设起到重要的参考和指导作用。
IATF提出的信息保障的核心思想是纵深防御战略。所谓纵深防御战略，就是采用多层次的、纵深的安全措施来保障用户信息及信息系统的安全。在纵深防御战略中，人员、技术和操作是核心因素。要保障信息及信息系统的安全，三者缺一不可。
IATF提出了3个核心要素：人员、技术和操作。尽管IATF的重点是讨论技术因素，但是它也提出了“人员”这一要素的重要性。人即管理，管理在信息安全保障体系建设中同样起着十分关键的作用。可以说，技术是安全的基础，管理是安全的灵魂。因此，应当在重视安全技术应用的同时加强安全管理。
在这个战略的3个主要层面中，IATF强调技术并提供一个框架以进行多层保护，以此来防范面向信息系统的威胁。该方法使能够攻破一层或一类保护的攻击行为无法破坏整个信息基础设施。
IATF将信息系统的信息保障技术层面划分成了4个技术框架焦点域：本地计算环境、区域边界、网络及基础设施、支撑性基础设施。在每个焦点域范围内，IATF都描绘了其特有的安全需求和相应的可供选择的技术措施。
1）保护本地计算环境
用户需要保护内部系统应用和服务器，这包括在系统高端环境中，多种现有和新出现的应用从分利用识别与认证访问控制、机密性、数据完整性和不可否认性等安全服务。为满足上述要求应实现下列安全目标：确保对客户机、服务器和应用实施重分的保护，已防止拒绝服务、数据未授权泄露和数据更改；无论客户机、服务器或应用位于某区域之内或之外，都必须确保由其所处理的数据具有机密性和完整性；防止未授权使用客户机、服务器或应用的情况；保障客户机和服务器遵守安全配置指南并正确安装了所有补丁；对所有的客户机与服务器的配置管理进行维护，跟踪补丁和系统配置更改信息；对于内部和外部的受信任人员对系统从事违规和攻击活动具有足够的防范能力。
2）保护区域边界
为了从专业或公共网络上获得信息和服务许多组织通过其信息基础设施与这些网络连接。一次，这些组织必须对其信息基础设施实施保护，如保护其本地计算机环境不受入侵。一次成功的入侵可能会导致对于可用性、完整性或机密性的损坏。符合该要求的目标包括：确信对物理和逻辑区域进行充分保护；针对变化性的威胁采用动态抑制服务；确信在被保护区域内的系统与网络保持其可接受的可用性，并且不会被不适宜地泄露；为区域内由于技术或配置问题无法自行实施保护的系统提供边界保护；提供风险管理办法，有选择地允许重要信息跨界区域边界流动；对被保护区域内的系统和数据进行保护，使之免受外部系统或攻击的破坏；针对用户向区域之外发送或接受区域之外的信息提供强认证以及经认证的访问控制。
3）保护网络及基础设施
为维护信息服务，并对公共的、私人的或保密的信息进行保护，避免无意中泄露或更改这些信息，机构必须保护其网络和基础设施。符合该要求的目标保护：保证整个广域网上交换的数据不会泄露给任何未授权的网络访问者；保证广域网支持关键任务和支持数据任务，防止受到拒绝服务攻击；防止受到保护的信息在发送过程中的时延、误传和未发送；保护网络基础设施控制信息；确信保护机制不受那些存在于其他授权枢纽或区域网络之间的各种无缝操作的干扰。
4）保护支撑性基础设施
支撑性基础设施是实现纵深防御的另一技术层面。它可为纵深防御策略提供密钥管理、检测和响应功能。所要求的能够进行检测和响应的支撑性基础设施组件包括入侵检测系统 和审计配置系统。符合该要求的目标如下：提供支持密钥、优先权与证书管理的密码基础设施，并能够识别使用网络服务的个人；能够对入侵和其他违规事件进行快速检测和响应；执行计划并报告连续性与重建方面的要求。
原文地址：http://necde.blog.51cto.com/9839599/1604075
