商密網(wǎng)分類分域安全防護(hù)體系設(shè)計(jì)

劉英軍

（中航西飛民用飛機(jī)有限責(zé)任公司，陜西 西安 710089）

隨著涉密網(wǎng)絡(luò)應(yīng)用的不斷開展和人員安全防范意識(shí)的不斷提升，安全問題一直是我國商密網(wǎng)信息系統(tǒng)建設(shè)中面臨的重大難題，雖然內(nèi)網(wǎng)安全管理系統(tǒng)產(chǎn)品不斷涌現(xiàn)，加強(qiáng)了身份認(rèn)證效率，科學(xué)規(guī)范了個(gè)體終端使用情況，但也帶來更多渠道的風(fēng)險(xiǎn)，所以每個(gè)工作系統(tǒng)都必須安裝代理程序，擁有獨(dú)立的工作體系和管理體系，各自為政卻又相互連接，這樣的防護(hù)策略才能以點(diǎn)帶面，消除負(fù)面反應(yīng)。

一、商密網(wǎng)工作現(xiàn)狀

企業(yè)的商業(yè)秘密信息是指不能被公眾所知悉，且能為企業(yè)帶來巨大的經(jīng)濟(jì)收益或潛在商業(yè)價(jià)值的相關(guān)技術(shù)或數(shù)據(jù)。在各行各業(yè)不斷向國際化發(fā)展、經(jīng)濟(jì)貿(mào)易逐漸頻繁的當(dāng)下，市場競爭日益激烈，企業(yè)的商業(yè)秘密信息就代表競爭優(yōu)勢(shì)，也是企業(yè)立足的根基，一旦泄露，會(huì)帶來無法估量的損失，嚴(yán)重者還會(huì)損害國家利益。基于此，國家部委組織發(fā)布了相關(guān)法律法規(guī)對(duì)商業(yè)秘密網(wǎng)絡(luò)和信息進(jìn)行妥善保護(hù)，要求各大企業(yè)做好商業(yè)信息保密工作。總的來說，我國大型企業(yè)眾多，商密網(wǎng)作為儲(chǔ)存、處理企業(yè)商業(yè)秘密信息的網(wǎng)絡(luò)平臺(tái)，同時(shí)也協(xié)助企業(yè)進(jìn)行著人力、財(cái)務(wù)等工作內(nèi)容，是保障企業(yè)發(fā)展和員工日常工作的基礎(chǔ)設(shè)施，各單位應(yīng)該推進(jìn)覆蓋式建設(shè)。但實(shí)際工作過程中，各企業(yè)單位差異較大，有的僅代表自身的經(jīng)濟(jì)效益，有的涉及到商業(yè)秘密，更有企業(yè)每天的工作都會(huì)處理國家秘密，因此，網(wǎng)絡(luò)的保障體系應(yīng)該根據(jù)單位的涉密程度進(jìn)行等級(jí)劃分，避免浪費(fèi)資源。另外，隨著我國社會(huì)的不斷進(jìn)步，科學(xué)技術(shù)的不斷發(fā)展，云端儲(chǔ)存云計(jì)算、大數(shù)據(jù)分析、移動(dòng)辦公等技術(shù)不斷應(yīng)用，商密網(wǎng)和互聯(lián)網(wǎng)之間的數(shù)據(jù)交互越來越頻繁，工作效率大幅提升的同時(shí)，也出現(xiàn)更多渠道的安全風(fēng)險(xiǎn)，所以企業(yè)必須要確保滿足日常經(jīng)營需求的同時(shí)，做好商業(yè)秘密保護(hù)工作，細(xì)化商密網(wǎng)絡(luò)安全防護(hù)體系設(shè)計(jì)以達(dá)到預(yù)期效果。綜上，商業(yè)秘密信息直接關(guān)乎企業(yè)的市場競爭力，合理建設(shè)商業(yè)秘密網(wǎng)絡(luò)，加強(qiáng)密閉保護(hù)力度勢(shì)在必行。基于此，本文在分析企業(yè)不同業(yè)務(wù)場景的基礎(chǔ)上，明確商密網(wǎng)分類分域安全體系的內(nèi)容和安全區(qū)域劃分界限、相關(guān)功能和技術(shù)措施，為商密網(wǎng)安全防護(hù)體系建設(shè)提供參考意見，幫助管理人員明確管理難點(diǎn)和優(yōu)化方向。

二、分類分域防護(hù)理念

商密網(wǎng)建立的初衷是力求保障企業(yè)商業(yè)利益，避免商業(yè)秘密信息外泄，核心工作就是保障數(shù)據(jù)安全、降低網(wǎng)絡(luò)風(fēng)險(xiǎn)。實(shí)施過程中要嚴(yán)格按照國家頒發(fā)的法律法規(guī)進(jìn)行防護(hù)體系建設(shè)，加強(qiáng)預(yù)防力度，開展防護(hù)體系優(yōu)化。其中最先進(jìn)的理念就是分類分域防護(hù)理念，其內(nèi)容是將業(yè)務(wù)應(yīng)用場景按照數(shù)據(jù)交互情況進(jìn)行等級(jí)劃分，通過不同的類別進(jìn)行定向防護(hù)。其內(nèi)部的分類方法主要是數(shù)據(jù)縱深防御體系，根據(jù)不同單位和互聯(lián)網(wǎng)交互的程度，分為強(qiáng)關(guān)聯(lián)，弱關(guān)聯(lián)和無關(guān)聯(lián)三個(gè)級(jí)別，這樣分類是因?yàn)槲覈虡I(yè)秘密生成和使用體系已經(jīng)相對(duì)成熟，商密網(wǎng)開始和互聯(lián)網(wǎng)技術(shù)進(jìn)行不斷交互，因此帶來更多的網(wǎng)絡(luò)風(fēng)險(xiǎn)，所以現(xiàn)階段的安全防護(hù)工作必須和互聯(lián)網(wǎng)技術(shù)相關(guān)聯(lián)。等級(jí)劃分之后，工作人員需要根據(jù)不同場景配置針對(duì)性的防護(hù)策略，把安全防護(hù)需求相同的工作內(nèi)容劃分到同一區(qū)域，配備定向的防護(hù)方案，形成完善的防線。

三、分類分域內(nèi)容

（一）業(yè)務(wù)場景分類

通過對(duì)當(dāng)前工作信息的統(tǒng)一處理，絕大部分信息系統(tǒng)可以根據(jù)其是否包含商業(yè)數(shù)據(jù)和與互聯(lián)網(wǎng)的關(guān)聯(lián)程度以及數(shù)據(jù)流傳的方向來進(jìn)行分類，且通常會(huì)分為強(qiáng)關(guān)聯(lián)，弱關(guān)聯(lián)和無關(guān)聯(lián)三種：

1.強(qiáng)關(guān)聯(lián)

強(qiáng)關(guān)聯(lián)的業(yè)務(wù)場景及業(yè)務(wù)系統(tǒng)是主要部署在互聯(lián)網(wǎng)環(huán)境內(nèi)，數(shù)據(jù)的傳輸調(diào)用檢索分析都需要和互聯(lián)網(wǎng)數(shù)據(jù)頻繁交互，不會(huì)涉及到商業(yè)數(shù)據(jù)，也不會(huì)產(chǎn)生商業(yè)秘密數(shù)據(jù)，所以該單位可以放置在互聯(lián)網(wǎng)，根據(jù)不同的系統(tǒng)等級(jí)進(jìn)行簡單的定向防護(hù)即可。該業(yè)務(wù)單位的管控重點(diǎn)就是涉及商業(yè)秘密的區(qū)域和互聯(lián)網(wǎng)區(qū)域要進(jìn)行強(qiáng)行隔離，其他信息都可以在互聯(lián)網(wǎng)區(qū)進(jìn)行正常運(yùn)作，重點(diǎn)做好區(qū)域邊界和互聯(lián)網(wǎng)內(nèi)安全檢測工作即可。

2.弱關(guān)聯(lián)

弱關(guān)聯(lián)是業(yè)務(wù)系統(tǒng)會(huì)部署在商業(yè)秘密區(qū)域內(nèi)，權(quán)限僅向內(nèi)部人員開放，和互聯(lián)網(wǎng)之間的交互少、頻率低，且交互過程中不會(huì)涉及商業(yè)秘密數(shù)據(jù)，也不會(huì)進(jìn)行商業(yè)秘密業(yè)務(wù)，這類工作單位應(yīng)該強(qiáng)化內(nèi)部商密網(wǎng)絡(luò)和互聯(lián)網(wǎng)訪問控制。將安全防護(hù)重點(diǎn)放在互聯(lián)網(wǎng)區(qū)和商密網(wǎng)區(qū)之間的隔離、各區(qū)之間的安全防護(hù)工作和內(nèi)部人員的權(quán)限管理上。

3.無關(guān)聯(lián)

無關(guān)聯(lián)是業(yè)務(wù)整個(gè)系統(tǒng)都必須放置在商密網(wǎng)內(nèi)，工作過程中不會(huì)使用互聯(lián)網(wǎng)或者極少與互聯(lián)網(wǎng)產(chǎn)生交互，日常工作會(huì)涉及商業(yè)秘密信息，同時(shí)也會(huì)產(chǎn)生較多的商業(yè)秘密數(shù)據(jù)。因此類工作應(yīng)該嚴(yán)格控制互聯(lián)網(wǎng)訪問權(quán)限，加強(qiáng)數(shù)據(jù)保護(hù)工作。主要安全防護(hù)方向仍然是加強(qiáng)互聯(lián)網(wǎng)區(qū)域和商密網(wǎng)區(qū)域之間的隔離管理，同時(shí)還要增加數(shù)據(jù)庫審查行為、審查權(quán)限管控等多方面措施，如果數(shù)據(jù)較為重要，則可以使用白名單策略，通過固定權(quán)限識(shí)別來獲取數(shù)據(jù)，提升穩(wěn)定性。

（二）區(qū)域邊界防護(hù)

1.邊界分類原理

為確保防御體系完善，網(wǎng)絡(luò)安全區(qū)域需規(guī)劃精確，內(nèi)部多個(gè)層面要進(jìn)行網(wǎng)絡(luò)連接歸類，包括：互聯(lián)網(wǎng)邊界、三方邊界、內(nèi)外邊界、橫向邊界和縱向邊界。針對(duì)性的風(fēng)險(xiǎn)識(shí)別措施包括：首先，互聯(lián)網(wǎng)邊界是來自互聯(lián)網(wǎng)內(nèi)部多方面的風(fēng)險(xiǎn)威脅，主要包括服務(wù)器攻擊，黑客入侵、木馬病毒、bug、垃圾郵件、信息泄露等。其次是三方邊界，主要的風(fēng)險(xiǎn)來源于工作人員濫用口令，模糊不清的口令識(shí)別系統(tǒng)和信息泄露。第三是縱向邊界，縱向邊界主要是包括人員濫用職權(quán)、越俎代庖，導(dǎo)致信息泄露或密碼病毒大面積傳播。最后是橫向邊界，風(fēng)險(xiǎn)來源于未經(jīng)授權(quán)訪問、誤操作、人員綜合素質(zhì)缺失、口令模糊不清和信息泄露等。

2.風(fēng)險(xiǎn)識(shí)別渠道

不同安全領(lǐng)域之間形成諸多網(wǎng)絡(luò)邊界，但因?yàn)槊總€(gè)領(lǐng)域的防護(hù)等級(jí)和防護(hù)要求都存在差異，所以在邊界加強(qiáng)安全防護(hù)、確保適應(yīng)兩方的防護(hù)等級(jí)是必要的。基于此，首先要實(shí)現(xiàn)集中防護(hù)，在各安全領(lǐng)域邊界的基礎(chǔ)上，部署防火墻和入侵檢測系統(tǒng)，當(dāng)存在IP 地址非法瀏覽時(shí)，會(huì)立刻做出反應(yīng)隔絕并報(bào)告，同時(shí)輔助異常流量監(jiān)測技術(shù)，判斷各設(shè)備是否處于正常運(yùn)行狀態(tài)，若出現(xiàn)不正當(dāng)?shù)牧髁孔兓瑒t立刻確定位置，探測原因，擴(kuò)大防護(hù)范圍，提升防護(hù)頻率，確保區(qū)域安全。其次是等級(jí)保護(hù)，每個(gè)不同區(qū)域都有自身獨(dú)立的等級(jí)和體系，所以邊界需要針對(duì)兩側(cè)的等級(jí)進(jìn)行定向防護(hù)，按照統(tǒng)一的手段進(jìn)行安全防護(hù)，確保質(zhì)量。最后是縱深防護(hù)，在區(qū)域劃分過程中，從外部網(wǎng)絡(luò)連接到內(nèi)部核心網(wǎng)絡(luò)時(shí)，會(huì)經(jīng)過多層安全篩查系統(tǒng)，該系統(tǒng)會(huì)判斷瀏覽行為是否合法，手段是否正當(dāng)，進(jìn)而從內(nèi)到外形成防護(hù)體系，若出現(xiàn)不正當(dāng)行為，直接攔截并提醒。

四、系統(tǒng)防護(hù)功能

（一）用戶身份確認(rèn)

智能終端用戶的各項(xiàng)操作都會(huì)認(rèn)證個(gè)人數(shù)字證書，并連接獨(dú)立的IP 地址，由網(wǎng)絡(luò)接入，通過認(rèn)證后，借由PC 端登錄認(rèn)證完畢后，借助移動(dòng)儲(chǔ)存設(shè)備的憑證接入網(wǎng)站內(nèi)部。這個(gè)過程需要數(shù)字證書或驗(yàn)證碼來明確用戶權(quán)限，確保安全后方可通過防火墻進(jìn)入到內(nèi)部信息庫，通常情況下，會(huì)有以下幾個(gè)步驟來判斷權(quán)限：

1.計(jì)算機(jī)登錄認(rèn)證

當(dāng)用戶使用計(jì)算機(jī)登錄自身信息系統(tǒng)安全防護(hù)裝置，便會(huì)開啟第一道門檻，明確權(quán)限，提升認(rèn)證安全強(qiáng)度，并對(duì)個(gè)人終端的安全防護(hù)系統(tǒng)進(jìn)行連接，實(shí)時(shí)信息交換將登陸所需要的數(shù)字證書和智能驗(yàn)證碼結(jié)合錄入的分析系統(tǒng)中，若該用戶需要登錄終端，且具有足夠權(quán)限的證書設(shè)備時(shí)則會(huì)同意，并打開防火墻。若用戶個(gè)人證書未通過認(rèn)證或驗(yàn)證碼時(shí)，則會(huì)被系統(tǒng)攔截，防火墻會(huì)將動(dòng)態(tài)信息傳遞到工作人員智能終端中。為防護(hù)網(wǎng)絡(luò)安全，客戶在使用計(jì)算機(jī)時(shí)，必須確保個(gè)人證書設(shè)備始終鎖定在該計(jì)算機(jī)內(nèi)部，如果過程中使用PIN 碼登錄并解開鎖定時(shí)，用戶登錄信息自動(dòng)失效。

2.網(wǎng)絡(luò)終端接入認(rèn)證

該方法是為防止非法設(shè)備接入商密網(wǎng)，對(duì)接入的設(shè)備進(jìn)行嚴(yán)格的身份認(rèn)證，確保系統(tǒng)所需的證書滿足需求才能接入網(wǎng)絡(luò)。同時(shí)，網(wǎng)絡(luò)接入屏障應(yīng)該基于原有網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)方可使用，不能影響上層應(yīng)用服務(wù)。通常情況下，網(wǎng)絡(luò)接入和認(rèn)證體系是以IEEE 802.1x 協(xié)議為核心，采取接入端口點(diǎn)到點(diǎn)連接的方式來判斷接入設(shè)備權(quán)限。同時(shí)在去往內(nèi)部進(jìn)行接入設(shè)備的認(rèn)證和控制物理層面進(jìn)行端口信息交換，確保符合規(guī)格需求。技術(shù)層面要通過端口連接的用戶設(shè)備和內(nèi)部的個(gè)人信息證書向驗(yàn)證權(quán)限正確，且信息精確才可以訪問局域網(wǎng)內(nèi)的資源，弱認(rèn)證信息缺失或無法認(rèn)證都會(huì)立刻斷開鏈接。該接入憑證之所以能和用戶智能終端系統(tǒng)中的數(shù)字證書結(jié)合并提供認(rèn)證權(quán)限，是因?yàn)槠浔旧砜梢岳脙?nèi)部智能芯片讀取證書，辨別真?zhèn)危鞔_詳細(xì)信息，大幅增加網(wǎng)絡(luò)安全性和客戶管理能力。這種方法也可以防止其他人以本人名義介入網(wǎng)絡(luò)，導(dǎo)致信息泄露，這種網(wǎng)絡(luò)終端接入認(rèn)證方式更加靈活，可以針對(duì)客戶使用的系統(tǒng)進(jìn)行多方面組合配置，多樣化的接入方式和設(shè)備可以提升準(zhǔn)確率，同時(shí)對(duì)全過程進(jìn)行詳細(xì)審計(jì)，標(biāo)注認(rèn)證失敗的位置，必要時(shí)自動(dòng)報(bào)警。

3.登錄應(yīng)用認(rèn)證

數(shù)字證書設(shè)備作為網(wǎng)絡(luò)認(rèn)證的基本信息，用戶在登錄時(shí)會(huì)第一時(shí)間進(jìn)行登錄認(rèn)證工作，結(jié)合管理員所提出的訪問權(quán)限進(jìn)行查驗(yàn)合格后，便完成系統(tǒng)的安全認(rèn)證工作，一旦用戶注冊(cè)完畢，即可以開放對(duì)應(yīng)權(quán)限。

（二）數(shù)據(jù)加密保護(hù)

1.文件儲(chǔ)存加密

這種加密方式通常會(huì)在本地硬盤提供一個(gè)位置來存放重要文件，并且此空間為加密不可見的，通過固定的加密算法，可以實(shí)現(xiàn)智能終端對(duì)文檔完全透明化的操作和使用，即使在使用過程中出現(xiàn)文檔遺失情況，也會(huì)因?yàn)椴痪邆涔餐木钟蚓W(wǎng)IP 而無法使用，這樣就可以確保商密網(wǎng)中的一些核心數(shù)據(jù)控制在安全可靠的環(huán)境內(nèi)，有效保障核心數(shù)據(jù)的安全性。另外，這種方式也可以方便信息傳遞，對(duì)于重要文件而言，其加密方式就決定了訪問權(quán)限的判定方式，多樣化的檢查手段使得密保工作更加穩(wěn)定。

2.網(wǎng)絡(luò)傳輸加密

系統(tǒng)各個(gè)組件之間以及服務(wù)器之間會(huì)采用特殊的加密技術(shù)，確保通訊安全，不會(huì)在過程中丟失信號(hào)。

結(jié)論：綜上所述，商業(yè)秘密信息直接關(guān)系到企業(yè)的經(jīng)濟(jì)收益和市場競爭力，是核心資產(chǎn)，對(duì)于任何企業(yè)而言，商密網(wǎng)體系保護(hù)都是最重要的指標(biāo)。基于此的企業(yè)應(yīng)該做好商業(yè)秘密信息的保護(hù)，妥善處理業(yè)務(wù)需求和安全防護(hù)之間的關(guān)系，分類分域的進(jìn)行科學(xué)防護(hù)，不斷優(yōu)化防護(hù)，提出全新的設(shè)計(jì)思路。