提升專網運行安全保密性

引言：某單位統計系統專網三級節點是依托基礎設施建設，專網的互聯互通也是依托互聯網網。按照信息系統安全保密結構，該單位組織專網三級節點的基本保護、物理安全、運行安全、信息安全保密、安全保密管理等方面采取下列相應安全保密技術和措施。

系統專網三級節點是依托基礎設施建設，通過其與上級主管部門專網二級節點及四級節點互聯，實現系統專網互聯互通的目標。按照信息系統安全保密結構，在專網三級節點的基本保護、物理安全、運行安全、信息安全保密、安全保密管理等方面采取下列相應安全保密技術和措施。

基本防護措施

按照相關標準規定，涉密系統不得直接或間接接入互聯網，實現物理隔離（上級部門專網為獨立網絡，與互聯網沒有任何連接）。安全保密產品通過測評機構的檢測。通過針對安全域邊界進行明確的劃分，通過防火墻和安全隔離與信息交換系統使安全域與安全域之間的所有數據通信都安全可控。

媒體（存儲介質）包括光盤、硬盤盒磁帶等按照規定管理。對于涉密設備的維修，在保密系統指定服務站進行統一維護，禁止在系統外對設備進行遠程維護和遠程監控，嚴格控制系統內的設備遠程維護和遠程監控操作，并且對所有維修情況進行日志記錄，對于不再使用或無法使用的設備按照有關部門的相關規定在指定銷毀中心及時報廢處理。

物理安全措施

涉密系統與國際互聯網物理隔離，同時對違規上網和非法外聯進行監控，實時阻斷。網絡設備和服務器放置于屏蔽機柜。中心機房用門控系統進行身份鑒別，配備有監視系統。工作人員進行區域保護。

運行安全措施

首先對計算機病毒與惡意代碼防護的部署，通過在客戶端安裝殺病毒軟件，客戶端通過控制中心進行定期升級更新，并制定明確的文檔化計算機病毒與惡意代碼防護策略和制度。

其次進行針對性備份與恢復。在本次組網方案中，針對網絡關鍵節點采用冗余設計，能夠大大提高系統的可靠性，同時配置了專用備份服務器對重要信息進行備份，逐步形成一套完整應急恢復方案，力求在最短時間對信息進行有效恢復。

第三應急計劃和響應策略。針對應急計劃中的異常事件處理辦法和回報流程制定了能夠確保應急計劃和響應策略正確實施的規章制度和管理辦法；對系統內的用戶進行相關應急響應的各項知識、技術、技能的培訓，明確了用戶在系統應急響應中所擔任的角色和責任；對系統內的異常事件結合系統內實施的安全審計措施，進行系統內異常事件的監測。

第四加強運行管理。制定明確的系統運行管理策略和確保系統運行管理策略正確實施的相關規章制度；加強系統配置的管理，并對系統配置操作進行安全審計；加強設備接入的管理，控制違規接入設備對系統資源的訪問；對用戶按最小權限原則進行權限劃分，管理員間的權限能做到互相監督，避免由于用戶權限過于集中帶來的安全風險。

保密防護措施

首先強化訪問控制。訪問控制是對全單位統計系統專網內部用戶進行文件和數據操作權限的限制，主要防范用戶的越權訪問。在各密級安全域之間通過防火墻系統劃分安全域實現網絡層面的權限控制，結合身份鑒別對應用系統進行應用級的訪問控制。防火墻對數據包的檢測是基于源IP、目的IP、源端口、目的端口和協議類型這五個元素。在防火墻上設置源IP、源端口（協議類型）與目的IP、目的端口（協議類型）之間的訪問策略。凡是不符合防火墻訪問策略的數據包一律予以丟棄。人為的造成通信失敗，用以阻斷非授權的網絡訪問。在統計系統專網用戶公共程序區域根據業務應用的服務范圍和用戶類型制定網絡層訪問控制策略。

其次使用身份鑒別。在實現系統專網內部用戶網絡訪問控制的基礎上，依托防火墻系統加強身份認證系統，實現身份統一識別管理和安全訪問的目的，能夠滿足保密標準中關于身份鑒別的技術要求。

第三進行信息完整性校驗。通過身份認證系統中數字簽名的雙重加密的方式來實現防偽、防賴。專網系統內部制定文檔化的明確的信息完整性保護策略，并且通過審計及入侵檢測工具對系統內傳輸的涉密信息進行完整性檢測，及時發現涉密信息被篡改、刪除、插入等情況，并生成審計日志。

第四采取電磁泄漏發射防護。系統內設備及安裝使用滿足BMB2-1998標準要求，機房所處建筑物安裝滿足BMB4-2000要求的電磁干擾器。數據傳輸線路的電磁泄漏發射防護采用良好接地的屏蔽電纜，并與其他并行非屏蔽線纜應保持15cm或45cm（平行長度大于等于30m時）以上的隔離距離，當其他線纜也采取良好接地的屏蔽電纜時，最小間隔距離為5cm。本次組網方案對于綜合布線采用光纖布線到房間結合房間內屏蔽線纜的方式，能夠滿足抗電磁干擾、搭線竊聽、防雷擊等方面的要求，同時在數據核心位置部署屏蔽機柜，在配線間安裝干擾設備。

第五采取網絡加密傳輸措施。涉密網絡中，如采用數據明文傳輸方式，往往使得網絡竊聽可以非常容易得手，針對明文網絡傳輸的弱點，在接受系統專網中，采用數據傳輸加密方法，對重要數據進行加密傳輸，確保數據的安全讀取與傳輸。

第六定期進行性能檢測與評估。采用國家相關主管部門批準使用的檢測工具，對系統專網系統進行定期安全性檢測，檢測內容包括，操作系統版本、更新、開放端口、開放服務等，主要用于分析有關網絡的安全漏洞及被測系統的薄弱環節，給出詳細的檢測報告，并針對檢測的網絡安全隱患給出相應的修補措施和安全建議。加強網絡信息系統安全功能，提高內部網絡安全防護性能和抗破壞能力。

第七加強安全審計和行為審計。在統計專網部署安全行為審計系統，對重要業務數據和敏感信息的存儲、傳播和處理過程實施安全防護。最大限度地防止敏感信息泄漏、被破壞和違規外傳，并完整記錄涉及敏感信息的操作日志，以便日后審計或追究相關的泄漏責任。內網審計系統從內部安全體系架構和網絡管理層面上，實現內部涉密環境安全的統一。通過行為審計有效防止系統內部終端的信息泄漏，同時對終端系統的軟硬件資源實施安全管理，并對終端系統的工作狀況進行監控和審計，實現對電子文檔的加密。

第八采取其他一些防護措施。通過在系統內部部署補丁分發系統，確保服務器和客戶端在專網封閉環境內，可及時安裝重要補丁；通過署數據庫安全審計和運行監測系統，對于專網系統內數據庫前臺應用系統提供安全保護；通過入侵監控對入侵行為的檢測與控制，在監測的同時結合訪問控制系統實現攻擊事件的阻斷。