信息安全技术框架(IATF )位于美国
国家安全局发布了保障美国政府和工业信息基础设施的技术指导方针。
IATF的目的是帮助定义和理解技术要求，选择满足要求的方案，是目标读者
包括系统安全工程师、用户、科学家、研究者、产品和服务制造商、标准化团体和相关联盟。
1 .核心思想
IATF提倡信息安全保障的核心思想是“纵深防御”，采用了多层的、纵深的安全
保障信息系统安全的措施。 因为信息系统的安全性并不仅仅依赖于一两种技术或简单的安全性
要实现全部防御工事，必须在各级、不同的技术框架区域实施保障机制，不能做到最大限度
降低风险，应对攻击，保护信息系统的安全。 图1-5表示IATF纵深防御的战略体系。
2 .核心3要素
IATF提出的深度防御战略的三个核心要素是人、技术和操作。 信息系统的安全性
如表1-1所示，通过人、技术和操作共同实现组织功能。
表1-1深度防御个人、技术、操作
人(People )是信息系统中的主体，信息系统的所有者、hxsdmy、使用者、信
信息安全的核心也是信息安全的第一要素。
技术是实现信息安全保障的重要手段，是信息安全保障体系所需的各项
项目安全服务通过技术机制实现。
操作(Operation )也被称为运用，是用于信息系统安全保障的主动防御系统和技术手段
的被动防御不同，操作是将各方面技术紧密结合的主动过程，风险评估、
安全监视、安全监测、跟踪警告、入侵检测、响应恢复等内容。
3 .四个焦点领域
IATF为阐明和说明信息系统提供了共同的框架。 技术上，IATF备受关注
网络和基础设施、地域边界、计算环境、支持基础设施4个焦点领域。 基于这四个焦点
领域结合IATF的纵深防御思想进行信息安全防御，形成保障框架。
(一)网络和基础设施的保护
网络和其他基础设施是信息系统和业务的支撑是整个信息系统安全的基础应该拿
对策网络和基础设施稳定，可以进行可靠的运用，确保没有故障和外部影响引起的服务中断和数据
延迟可防止接收者正确获取要在网络上传输的公共和私有信息，但不能将其解决
许可的访问、变更等。 网络和基础设施保护措施包括但不限于以下方法：
1 )合理规划以确保主干网的可用性。
2 )使用安全的技术体系结构。 例如，在使用无线网络时考虑安全的技术架构。
3 )使用冗余设备提高可用性。
4 )使用VPN )保护通信。
(2)保护区域的边界
信息系统通常根据业务、管理方式和安全级别分为多个区域。 这些区域
域或多或少都有与其他区域的边界。 保护区的边界关注如何进出这些区的边缘
边界数据流有效地进行控制和监测。 根据业务、管理方式、安全等级合理配置信息系统
划分不同的安全区域，明确定义不同网络区域之间所需的数据传输。 在此基础上采取措施
进行数据的控制和监视。 通常采取的措施包括但不限于：
端口为地域边界设置认证和访问控制措施，包括通过部署防火墙对来访者进行认证。
在地域边界部署人入侵检测系统，发现对安全地域内的攻击行为。
在区域边界部署防病毒网关，以检测和过滤数据中的恶意代码。
端口使用VPN设备以确保安全连接。
为了应对拒绝服务攻击，将拒绝服务攻击对策设备引入嘴里。
口流量管理、行为管理等其他措施。
)3)保护计算环境
计算环境是指信息系统中的服务器、客户机、安装在其中的操作系统、APP等。 保护
计算环境通常使用验证、访问控制、加密等一系列技术来确保计算环境中数据的机密性
性、完整性、可用性、不可否认性等。 保护计算环境的措施包括但不限于以下方法：
(4)支持基础设施
支持基础设施是指提供安全服务的基础设施及其相关活动的综合体。 IATF
支持基础架构：密钥管理基础架构(KMI ) /公钥基础架构) p块)
检测和响应。
KMI/PKI:提供加密基础架构，以支持密钥、许可和证书的管理，并允许使用
网络服
务人员确实的身份识别。
口检测与响应:提供入侵检测、报告、分析、评估和响应基础设施，它能迅速检测
和响应人侵、异常事件并提供运行状态的情况。
4. 其他安全原则
除了纵深防御这个核心思想之外， IATF 还提出了其他一些信息安全原则，这些原则对
指导我们建立信息安全保障体系具有非常重大的意义。
( 1 )保护多个位置
保护多个位置包括保护网络和基础设施、区域边界、计算环境等，这一原则提醒我们，
仅仅在信息系统的重要敏感区域设置一些保护装置是不够的，任意一个系统漏洞都有可能
导致严重的攻击和破坏后果，所以在信息系统的各个方位布置全面的防御机制，才能将风
险降至最低。
(2 )分层防御
如果说保护多个位置原则是横向防御，那么这一原则就是纵向防御，这也是纵深防御
思想的一个具体体现。分层防御即在攻击者和目标之间部署多层防御机制，每一个这样的
机制必须对攻击者形成一道屏障。而且每一个这样的机制还应包括保护和检测措施，以使
攻击者不得不面对被检测到的风险，迫使攻击者由于高昂的攻击代价而放弃攻击行为，如
表1-2 所示。
表1-2 分层防御示例
( 3 )安全强健性
不同的信息对于组织有不同的价值，该信息丢失或破坏所产生的后果对组织也有不同
的影响。所以对信息系统内每一个信息安全组件设置的安全强健性(即强度和保障) ，取
决于被保护信息的价值以及所遭受的威胁程度。在设计信息安全保障体系时，必须要考虑
到信息价值和安全管理成本的平衡。
5. 特点
IATF 的4 个技术焦点区域是一个逐层递进的关系，从而形成一种纵深防御系统。因此，
以上4 个方面的应用充分贯彻了纵深防御的思想，对整个信息系统的各个区域、各个层次，
甚至在每一个层次内部都部署了信息安全设备和安全机制，保证访问者对每一个系统组件
进行访问时都受到保障机制的监视和检测，以实现系统全方位的充分防御，将系统遭受攻
击的风险降至最低，确保数据的安全和可靠。IATF 认为，信息、安全并不是纯粹的技术问题，
而是一项复杂的系统工程，表现为具体实施的一系列过程， 这就是信息系统安全工程
(ISSE) 。通过完整实施的ISSE 过程，组织应该能够建立起有效的信息安全体系。IATF
提出了3 个主要核心要素:人、技术和操作。尽管IATF 重点是讨论技术因素，但是它也
提出了”人”这一要素的重要性， 人即管理，管理在信息安全保障体系建设中同样起到了
十分关键的作用，可以说技术是安全的基础，管理是安全的灵魂，所以在重视安全技术应
用的同时，必须加强安全管理。
IATF 最大的缺陷在于缺乏流程化的管理要求和对业务相关性在信息安全管理体系中
的体现。在体系中更注重技术消减策略。将管理局限于人的因素，难以有效体现业务与安
全的平衡概念。
我是疯狂的爆米花，一位信息安全领域从业者，@疯狂的爆米花将一直带给大家信息安全知识，每天两篇安全知识、由浅至深、采用体系化结构逐步分享，大家有什么建议和问题，可以及留言，多谢大家点击关注、转发、评论，谢谢大家。
大家如果有需要了解安全知识内容需求的可以留言，沟通，愿与大家携手前行。