涉密信息系統安全技術探究*

黨 政，楊同慶

(北方通用電子集團有限公司，陜西 西安 710100)

1 某企業涉密信息系統及其安全性設計的目標和特征

1.1 某企業涉密網絡概況

某企業涉密局域網是一個局部包含多臺應用服務器以及大量涉密網絡計算機的涉密局域網，網絡核心帶寬為千兆，桌面帶寬為百兆，為一個集運算、辦公、研發于一體的高速涉密網絡。

1.2 某企業涉密網絡安全性設計的目標

某企業涉密網絡是針對于涉密產品的研發而啟用的網絡，對于保密性和防護都有很高的要求。而計算機局域網安全或是受到由黑客破壞、病毒感染帶來的主動攻擊，或是由于軟、硬件出產設計的不足引起的被動攻擊，甚至因為網絡開放性的逐步擴大，人們對于計算機局域網安全防范意識不強導致對計算機局域網的無意識損壞等等。這些因素都導致了計算機局域網中出現的安全隱患，而計算機局域網安全性設計正是圍繞這些問題，采取一系列的技術手段、操作手段，排除隱患，防患未然，給計算機局域網帶來一個安全、穩定的應用環境，使企業受惠于計算機局域網的使用。

1.3 計算機局域網安全性設計的特性

安全性設計不外乎保密性、防御性和可控性，某企業涉密網絡的安全性設計也突出了這三大特征。保密性集中體現在對信息隱私和數據完整的保護，未經授權不可泄露信息，未經授權不可非法使用信息，未經授權不可任意篡改數據，已經授權也要進行適當的安全過濾。防御性表現在抵抗黑客攻擊，病毒侵擾，系統優化，漏洞修補等方面。常用的防御性工具例如防火墻和VLAN 技術，為計算機局域網提供一個可預測的安全環境。可控性是指對數據的傳輸，信息的傳播，授權者可進行自由的操控，例如當需要網絡達到一個封閉或開放的環境以此獲取信息時，計算機局域網安全型設計不會阻礙授權者的行為，在保證網絡安全的情況下又不剝奪授權者的使用自由。

2 某企業涉密網絡安全性問題面臨的威脅

2.1 黑客攻擊

黑客攻擊是涉密計算機局域網安全的重大威脅因素之一，雖然對黑客的抵御隨著計算機網絡技術的發展不斷升級，但層出不窮的惡意破壞，信息盜取仍然普遍存在。尤其是針對涉密網絡的特種木馬更是層出不窮，它們會造成系統數據丟失、惡意篡改、偽造，利用病毒對軟件、存儲介質進行破壞，信息截獲等等。

2.2 病毒侵害

涉密計算機局域網方便了網內用戶的資源共享和信息傳播，但同時也給了計算機病毒潛入和大量傳播的機會，計算機病毒一般是由兩種情況引起，一是黑客或網內用戶的惡意攻擊感染，二是自我的疏忽大意導致計算機病毒感染，無論感染途徑是什么，它的危害結果都是十分嚴重的。大量病毒不斷復制，導致網絡堵塞，終端計算機癱瘓，甚至發生失泄密事件，后果十分嚴重。常見的病毒有蠕蟲病毒，木馬病毒，在未來還會出現一系列的新型病毒，能否防患未然就需要現在把好計算機局域網安全性技術的重要一關。

2.3 管理漏洞

科學、嚴格的管理是涉密計算機網絡安全性設計的關鍵因素之一，人們對其的嚴格管理意識都不強，這就導致了不同程度的軟、硬件損傷，配置不合理，操作系統混亂，認證安全漏洞等等，一系列的不當管理使計算機局域網安全出現嚴重隱患。因此強化網絡管理意識，合理進行設施配置從能有效填補安全漏洞，防范內外網絡攻擊。

2.4 網絡使用人員問題

涉密網絡使用人員在使用過程中，不可避免地會有誤操作，這就使得涉密計算機網絡存在大量的失泄密隱患，所以不斷地通過系統設計和實施，逐步減少因使用過程中產生的隱患。

2.5 邊界防護隱患

涉密局域網絡的各個邊界是風險的存在，可能導致非法接入和不可控因素的發生，因此在設計網絡時，物理和虛擬安全都必須充分考慮。

3 某企業涉密網絡的安全解決方案及措施

3.1 網絡整體設計

某企業因為是涉密網絡，必須在網絡初始設計階段就有充分地安全設計。方案主要為劃分安全域，分域進行管理，增加安全性。網絡設計拓撲圖如圖1 所示。

圖1 設計終端圖

服務器域:服務器域的設計遵循的就是最安全原則，因為它是整個涉密局域網絡的核心，它包含有整個企業的核心數據，而且設計中只有它來保管整個企業的數據，所有客戶機均不存儲涉密信息和關鍵技術信息，這樣就杜絕了人員使用中產生的大部分誤操作以及計算機系統的安全。

安全域:安全軟件域是對整個網絡提供安全防護的區域，該域中包含的軟件主要是對服務器域和終端計算機提供安全防護，既對終端計算機的訪問、操作控制，也對服務器端的操作進行記錄和審計，保證整個網絡的合理運行。

終端域:該域是整個涉密網絡體現的域，是用戶產生最終產品的平臺，它的硬盤不在本機，而是通過網絡硬盤的方式，由服務器域映射到物理機上，達到基本安全的目的。

3.2 實現方案的措施

3.2.1 防火墻

作為提供網絡信息安全的基礎防御措施，防火墻的積極作用不言而喻。在局域網中，不同網絡及網域間交叉相錯，為信息的傳播，數據的傳輸提供通道，作為信息通道的疏通、結扎口，防火墻通過自動化安全控制，對信息進行篩選、比對，確認協議允許被訪問的服務和人員，排除含帶病毒的插件，在監測、允許、拒絕的服務項目中實現計算機局域網的安全環境。

3.2.2 VLAN 技術

不同的VLAN 間不能進行相互的聯系和通訊，這就抑制了病毒感染和廣播風暴。此外VLAN 技術中對于交換機端口的劃分操作簡單靈活，這就使得在計算機局域網中網絡設備的靈活移動成為可能，單位不同部門可以規劃到不同的VLAN 中來，既方便了數據的傳輸，信息的共享，又提高了計算機局域網安全性。防火墻在配置時，禁止不同vlan 在非應用系統使用時相互訪問，同時在交換機配置階段，就進行端口隔離，這樣同部門同vlan 之間也存在了基礎的安全網絡防護。并為每臺涉密計算機分配靜態IP 地址(該IP 地址需與計算機MAC 地址以及接入交換機端口進行綁定)，這樣就基本達到了物理接入的安全防護。

3.2.3 入侵檢測

入侵檢測一般配合防火墻來使用，防火墻更多關注的是網外攻擊而忽視了網內人員的惡意破壞，這就給入侵檢測一個彌補防火墻監測漏洞的機會。入侵檢測可以對網內網絡形成保護層，采用檢測手段和自動防護措施，及時恢復、斷開網絡，保留證據的同時對惡意竊入信息進行跟蹤以此實現網內安全，排除隱患。

3.2.4 訪問控制

訪問控制是涉密信息系統安全防護的主要核心策略，它的主要任務是保證信息資源不被非法使用和訪問。訪問控制規定了主題對客體訪問的限制，并在身份鑒別的基礎上，根據身份對提出資源訪問的請求加以控制。它是對涉密信息系統資源加以保護的重要措施，也是整個計算機系統最重要的最基礎的安全機制。某企業因為是涉密網絡需采用強制訪問控制(強制訪問控制是一種基于安全標識和信息分級等敏感性信息的訪問控制)。

3.2.5 終端身份鑒別與授權

終端用戶各種操作行為均需要進行個人身份驗證(使用USBkey +口令的方式)，包括計算機登錄認證、網絡接入的認證、登錄應用的認證、終端用戶均需要通過身份鑒別來判斷其身份。身份鑒別是保證涉密信息系統安全的重要措施。經過身份鑒別進入涉密信息系統的合法用戶，需要對其訪問系統資源的權限進行限制。設置訪問控制應當遵循“最小授權原則”，即在應當授權的范圍內有權使用資源，非授權范圍內無權使用資源。并且在授權時按照該人員的最高涉密等級進行身份認證授權。

3.2.6 安全審計

在涉密網絡中審計是在計算機系統中用來監視、記錄和控制用戶活動的一種機制。通過對審計日志文件的分析，可以有效阻止非法訪問，并為事后分析的追查責任提供依據。涉密信息系統安全審計的重點有以下幾個方面:

1)網絡通信系統:主要包括對網絡流量中典型協議進行分析、識別、判斷和記錄;

2)重要服務器主機操作系統:主要包括對系統啟動/運行情況、管理員登陸、操作情況、系統配置更改、以及病毒感染、資源消耗情況的審計;還包括硬盤、CPU、內存、網絡負載、進程、操作系統安全日志、系統內部事件、以及對重要文件訪問的審計;

3)重要數據庫操作的審計:主要包括對數據庫進程運轉情況、繞過應用軟件直接操作數據庫的違規訪問行為、對數據庫配置的更改、數據庫備份操作和其他維護管理操作、對重要數據的訪問和更改、數據完整性等內容的審計;

4)重要應用系統的審計:主要包括對辦公自動化系統、公文流轉和操作、網頁完整性、相關業務系統等內容的審計;

5)客戶端計算機的審計:主要包括對客戶端計算機的病毒感染情況、訪問應用系統情況、文件的拷貝/打印操作，擅自連接互聯網的情況、非工作軟件的安裝和運行等內容的審計。

3.2.7 數據加密

數據加密是提高涉密信息系統安全性的必要手段，在客戶端的文件都是通過加密文件解密來展現，加密解密文件通過安全域內的加解密服務器來實現涉密局域網內的私密性，這樣就保證了涉密局域網內數據被非法竊取后無法被識別。

3.2.8 對計算機局域網建立完善的管理制度

無論是物理管理還是虛擬網絡管理，都配以全套的防患措施。在物理管理方面，實現主機、服務器、路由器等硬件設備的科學集中管理，通信線路盡量架空或深埋，防止他人惡意挖掘和無意識損毀。在網絡虛擬管理方面，成立高素質的管理團隊，對網內外信息進行核實和系統的及時升級、修護，設立共享資源用戶權限和口令并進行加密和保護，防止他人對IP 地址的修改和身份的偽裝。同時進行計算機局域網用戶的安全防范教育，提高防范意識和技能。

3.2.9 涉密資料的分類管理、操作行為與訪問控制相結合

涉密信息系統中的涉密信息要控制其知悉范圍，必須對涉密信息及其使用人員進行分類，建立一種相對固定的關聯規則。國家秘密信息在軍工單位涉密信息系統中主要表現為文字和圖形，為了防止無關人員接觸秘密信息和通過更名等方式改變國家秘密的表現形式而造成秘密泄露，必須對使用人員的計算機操作行為(打開、創建、更名、復制、編輯)進行控制。要在涉密信息系統上實現訪問控制，使涉密信息只被授權的人員知悉，必須建立涉密信息與授權人員的對應關系規則，確定其可以進行的操作類型。

4 結語

要想實現涉密計算機網絡的安全，需要我們在實踐的過程中不斷完善，科學嚴格的管理措施，全面系統的防范體制，高度的局域網內用戶防范意識都是保證計算機局域網安全不可或缺的重要手段。本文針對涉密信息網絡的安全從問題出發，到解決問題，給出了一個比較完成的解決方案，對提高涉密計算機網絡安全有比較重要的意義。

［1］楊 蕓，朱標明.涉密網絡與云計算［J］.保密工作，2013(9):46－49.

［2］李廣潤.淺析計算機網絡日常管理與維護［J］.電腦知識與技術，2013(5):976－977.

［3］池義勇.探討計算機網絡安全與防御［J］.網絡安全技術與應用，2013(7):71－74.

［4］張 靜.芻議計算機網絡的安全與維護對策［J］.信息與電腦:理論版，2013(1):63－64.

［5］魏清斌，左勇濤.計算機網絡可靠性優化探析［J］.計算機光盤軟件與應用，2013(6):236，238.

［6］夏 炎，徐東晨.計算機信息數據安全及加密技術研究［J］.硅谷，2013(9):61，30.

［7］高金鎖.淺談計算機網絡信息安全與防范［J］.電子技術與軟件工程，2013(17):257.

［8］周 娟，周 亮.解析計算機網絡信息安全及防護策略研究［J］.信息系統工程，2013(8):73.