涉密計算機違規(guī)外聯(lián)原因分析及防范措施

關(guān)鍵詞：涉密計算機;違規(guī)外聯(lián);防范措施

中圖法分類號：TP319 文獻標識碼：A

1引言

隨著我國科學(xué)技術(shù)水平的提升，信息技術(shù)、計算機技術(shù)以及網(wǎng)絡(luò)技術(shù)已經(jīng)逐漸滲透到人們的日常生活中，并改變了人們傳統(tǒng)的生產(chǎn)和生活方式——人們對網(wǎng)絡(luò)的依賴性更強，可以直接從互聯(lián)網(wǎng)獲取自己所需要的知識。也就是說，互聯(lián)網(wǎng)已經(jīng)成為現(xiàn)代社會的重要組成部分，并滲透到各個領(lǐng)域中。對于我國行政部門而言，信息技術(shù)的應(yīng)用已經(jīng)十分普遍，這提高了政府部門的行政效率和行政質(zhì)量。雖然信息技術(shù)的應(yīng)用推動了人類社會的發(fā)展，但是與此同時帶來了日益突出的網(wǎng)絡(luò)安全問題，并受到國家和政府部門的高度重視。由于互聯(lián)網(wǎng)具有開放性、優(yōu)越性以及互聯(lián)性，這給不法分子提供了可乘之機，導(dǎo)致計算機犯罪案件逐年增加，信息安全問題越發(fā)嚴重。

我國政府部門對信息安全的要求較高，為了保證內(nèi)網(wǎng)的安全，通常采用內(nèi)網(wǎng)與外網(wǎng)物理隔離的方式，即在內(nèi)網(wǎng)和外網(wǎng)之間建立一道安全邊界，從而加強內(nèi)網(wǎng)的安全性，也便于對內(nèi)網(wǎng)進行管理。現(xiàn)階段，物理隔離成為網(wǎng)絡(luò)安全保密體系中不可或缺的技術(shù)，也在我國各部門中廣泛應(yīng)用。但是，從該項技術(shù)的實際應(yīng)用情況來看，由于許多用戶缺乏信息安全意識，這就給原本安全的內(nèi)網(wǎng)環(huán)境帶來新的安全風險，也給不法分子提供了一座入侵內(nèi)網(wǎng)的秘密橋梁，對內(nèi)網(wǎng)信息造安全成極大威脅。如果企業(yè)保密數(shù)據(jù)丟失，將會給國家?guī)砭薮蟮慕?jīng)濟損失，也會影響政府部門的公信力。

2違規(guī)外聯(lián)的主要方式

涉密信息系統(tǒng)都需要根據(jù)我國相關(guān)規(guī)定進行物理隔離，但是這只能在一定程度上保護內(nèi)網(wǎng)的物理安全，而違規(guī)外聯(lián)是來自網(wǎng)絡(luò)內(nèi)部的一種主動行為，可以輕松在內(nèi)網(wǎng)中打開一條通往外網(wǎng)的通道，同時該通道可以繞過網(wǎng)絡(luò)安全防護體系，使原本較為安全的物理隔離環(huán)境出現(xiàn)不同程度的安全風險。所以，我們需要采取一定的技術(shù)手段，以此阻斷內(nèi)網(wǎng)通往外網(wǎng)的通道，保證涉密信息的安全。

違規(guī)外聯(lián)的主要方式如下：使用網(wǎng)卡聯(lián)通內(nèi)外網(wǎng)絡(luò)——將內(nèi)網(wǎng)網(wǎng)線拔出或者將本地網(wǎng)卡禁用，再與外網(wǎng)進行違規(guī)外聯(lián)，從而破壞原本的物理隔離環(huán)境;內(nèi)網(wǎng)主機或者單臺計算機使用電話線、ISDN、ADSL等方式進行撥號上網(wǎng)——使用WLAN、GPRS以及CDMA等無線上網(wǎng)進行違規(guī)外聯(lián);非涉密計算機使用內(nèi)網(wǎng)并更改IP進行違規(guī)接入或在涉密網(wǎng)絡(luò)中添加新的主機進行違規(guī)外聯(lián);內(nèi)網(wǎng)主機通過串口、紅外、藍牙、USB接口等外設(shè)設(shè)備接入互聯(lián)網(wǎng)或者與其他設(shè)備交換信息進行違規(guī)外聯(lián)。

3違規(guī)外聯(lián)的原因分析

近年來，相關(guān)調(diào)查發(fā)現(xiàn)：違規(guī)外聯(lián)行為在黨政機關(guān)和企業(yè)中均有發(fā)生，而其中黨政機關(guān)占比62%，企業(yè)占比38%。通過對違規(guī)外聯(lián)行為進行分析，本文將其分為以下4種類型：第一類，更換辦公地點或者在維護網(wǎng)絡(luò)的過程中與外網(wǎng)相連，這種違規(guī)外聯(lián)行為占比38%;第二類，在當事人并不知情的情況下，在升級系統(tǒng)或病毒庫的過程中與外網(wǎng)相連，這類違規(guī)外聯(lián)行為占比15%;第三類，工作人員自身并未接受保密技能培訓(xùn)，缺乏對網(wǎng)絡(luò)安全的認知，在操作計算機的過程中存在錯誤行為，導(dǎo)致自身的操作行為與外網(wǎng)發(fā)生互聯(lián)，此類違規(guī)外聯(lián)行為占比15%;第四類，技術(shù)人員在安裝防護系統(tǒng)的過程中存在不恰當行為，導(dǎo)致違規(guī)外聯(lián)行為的發(fā)生，此類違規(guī)外聯(lián)行為占比32%。由于在發(fā)生上述違規(guī)外聯(lián)行為后多經(jīng)過及時阻斷，因此多數(shù)事件并未造成較為嚴重的后果。而通過上述數(shù)據(jù)分析，可以發(fā)現(xiàn)違規(guī)外聯(lián)行為發(fā)生的主要原因有以下幾點。

其一，由于第一類和第二類違規(guī)外聯(lián)類型的占比高達53%，因此企業(yè)和政府單位在涉密計算機管理制度上并不健全，這也是違規(guī)外聯(lián)行為發(fā)生的主要原因。管理制度不健全使涉密計算機的管理工作存在較大的漏洞，如涉密計算機標識模糊、淘汰不及時、具體數(shù)量不清晰、管理人員交接不認真、更換辦公地點并未按管理制度對涉密計算機進行相應(yīng)保護。

其二，安裝防護產(chǎn)品的技術(shù)人員的業(yè)務(wù)并不熟練，這也是導(dǎo)致涉密計算機發(fā)生違規(guī)外聯(lián)的一個主要原因。違規(guī)行為主要表現(xiàn)在：技術(shù)人員自身缺乏相關(guān)防護軟件的安裝經(jīng)驗，導(dǎo)致在安裝過程中出現(xiàn)違規(guī)行為;在涉密筆記本電腦上安裝防護產(chǎn)品時，并未檢查筆記本電腦是否拆除無線模塊就對其進行安裝，導(dǎo)致筆記本電腦重啟后自動連接外網(wǎng)。

其三，涉密計算機操作人員的保密意識較為淡薄，同時缺乏計算機安全相關(guān)的保密知識，導(dǎo)致涉密計算機違規(guī)外聯(lián)行為時有發(fā)生。計算機操作人員在缺少保密知識技能培訓(xùn)的情況下，對涉密計算機的使用情況并不了解，在使用計算機時出現(xiàn)不正確的操作行為，使涉密計算機與外網(wǎng)相連。

4違規(guī)外聯(lián)的防范措施

通過上述分析可以看出，人為因素是涉密計算機出現(xiàn)違規(guī)行為的主要原因。同時，在防護軟件升級和安裝方面也存在著一定的弊端，因此本文從管理和技術(shù)兩個方面探討違規(guī)外聯(lián)的防范措施。

4.1管理方面的防范措施

（1）對涉密計算機的管理制度進行規(guī)范。違規(guī)外聯(lián)最容易發(fā)生在計算機安裝、維修和淘汰三個階段，而這三個階段都屬于動態(tài)管理，具有一定的風險性，存在較大的安全隱患，需要對這三個階段的保密措施進行加強，同時企業(yè)或機關(guān)單位應(yīng)明確提出相應(yīng)的保密要求。如在辦公室搬遷的過程中應(yīng)提前制定相應(yīng)的保密工作方案;在安裝防護軟件時要求安裝人員具備一定的計算機能力。此外，管理人員也要增強自身的責任心，密切關(guān)注涉密計算機的各個動態(tài)管理環(huán)節(jié)，保證每項管理措施能夠得到有效落實。同時，管理人員也要保證涉密計算機在自己的管理范圍之內(nèi)，防止他人私自對涉密計算機進行檢查、打開或者搬運;對于需要淘汰的涉密計算機應(yīng)做好標記，及時進行銷毀，防止誤用或誤搬行為的發(fā)生。

（2）避免過度防護。安全防護軟件主要用于涉密計算機的防護工作，但在對事業(yè)單位檢查的過程中發(fā)現(xiàn)部分管理人員對涉密的理解存在一定的偏差，如在財務(wù)專用設(shè)備上安裝安全防護產(chǎn)品，但是又不能按照涉密計算機管理條例來對財務(wù)專用設(shè)備進行日常管理，這就導(dǎo)致違規(guī)外聯(lián)行為經(jīng)常發(fā)生，而這一行為并不是存在于單一機關(guān)單位。由此說明，我國機關(guān)單位在保密教育、涉密界定以及保密范圍方面，仍然存在許多不足，還具有較大的提升空間。

（3）加強涉密人員的培訓(xùn)工作。涉密人員在上崗前應(yīng)做好審查和崗前培訓(xùn)工作，特別是在涉密計算機的使用方面，應(yīng)做好相關(guān)的技能培訓(xùn)工作。保證每位涉密人員上崗之前，都能做到“先培訓(xùn)后上崗”，并定期舉辦相關(guān)知識交流會。同時，管理人員應(yīng)以技能培訓(xùn)為切入口，在培訓(xùn)的過程中提升涉密人員的榮譽感、使命感和責任感，使涉密人員在意識層面重視保密工作，嚴格牢記保密要求，減少違規(guī)外聯(lián)行為的發(fā)生。

（4）要求提供防護軟件的企業(yè)，其安裝技術(shù)人員也應(yīng)具備相同的保密資質(zhì)。防護軟件通常需要安裝在涉密計算機的底層，如果這時對涉密計算機安裝非法程序來竊取機密資料，后果無法設(shè)想。在調(diào)查的過程中，我們發(fā)現(xiàn)甲方通常具備保密意識，而安裝技術(shù)崗位卻并不屬于涉密崗位，且甲方并未對安裝人員進行資質(zhì)審核和保密教育，這在安裝中存在較大的安全隱患。因此，應(yīng)要求防護軟件供應(yīng)商，在企業(yè)內(nèi)部設(shè)置合理的涉密崗位，完善涉密人員的審查工作。

（5）重視涉密計算機的采購安全。通過調(diào)查發(fā)現(xiàn)，行業(yè)在現(xiàn)階段依然將涉密計算機當作一般商品進行采購，在選擇涉密計算機時對代理商或中間商是否具有保密機制，最終的用戶是否用于正當合法的用途，都沒有明確的規(guī)定和要求。因此，建議我國保密行政管理部門，開展相應(yīng)的安全風險調(diào)查并出臺相關(guān)政策，對涉密計算機的銷售和流通環(huán)節(jié)進行有效管理。

4.2技術(shù)方面的防范措施

在技術(shù)層面，為了保證內(nèi)部數(shù)據(jù)信息的安全，機關(guān)單位或企業(yè)應(yīng)限制內(nèi)網(wǎng)與外網(wǎng)的連接，其具體情況可以分為以下兩種：一是禁止內(nèi)網(wǎng)與外網(wǎng)直接進行連接;二是內(nèi)網(wǎng)只允許通過指定網(wǎng)關(guān)與外網(wǎng)進行連接。目前，內(nèi)網(wǎng)在建設(shè)的過程中都采用TCP/IP協(xié)議組網(wǎng)，并給涉密計算機配備私有的IP地址，也就是說在內(nèi)網(wǎng)中每臺主機都有屬于自己的IP協(xié)議棧，且每臺主機的IP地址是唯一的。而在內(nèi)網(wǎng)中，違規(guī)外聯(lián)的主機與其他主機的不同之處在于其擁有分配公有IP地址的功能，在連接外網(wǎng)的過程中，其IP地址會存在較大的浮動。因此只要對每臺主機的IP地址信息進行查詢，就可以及時發(fā)現(xiàn)存在違規(guī)外聯(lián)行為的主機?；诖?，本文在技術(shù)層面上提出以下幾點建議。

4.2.1安裝SNMP服務(wù)

對內(nèi)網(wǎng)的每臺涉密計算機都提供SNMP服務(wù)，SNMP服務(wù)可以對涉密計算機的撥號行為進行檢測。同時，運用SNMP服務(wù)開發(fā)一款監(jiān)控軟件，監(jiān)控軟件定期向內(nèi)網(wǎng)中其他涉密計算機詢問當前IP地址信息，如果發(fā)現(xiàn)有不屬于范圍內(nèi)的IP地址則可以對其進行判定——該涉密計算機是否通過撥號上網(wǎng)。不過，運用該監(jiān)控軟件的前提是：對每臺涉密計算機提供SNMP服務(wù)。

4.2.2利用802.1x協(xié)議進行控制

為了實現(xiàn)對內(nèi)網(wǎng)涉密計算機端口的接入控制，可以采用802.1x協(xié)議對內(nèi)網(wǎng)中以太網(wǎng)端口的訪問權(quán)限進行控制。正常情況下，涉密計算機與交換機相連，這時交換機會運行一個認證代理協(xié)議（EAP協(xié)議），用戶要想使用這一協(xié)議就需要在涉密計算機上運行EAPoL，完成與交換機的數(shù)據(jù)通信。而802.1x協(xié)議可以對以太網(wǎng)端口進行邏輯控制，將其編程為受控和不受控兩種，只有涉密計算機使用不受控端口才可以在交換機中完成EAP認證，從而通過端口獲取自己所需要的資源。此外，受控端口將無法在交換機中進行認證，其會一直處于拒絕訪問的狀態(tài)。這種控制方式極大地提高了內(nèi)網(wǎng)涉密計算機連接外網(wǎng)的難度，提高了內(nèi)網(wǎng)的安全性。

4.2.3構(gòu)建雙機架構(gòu)監(jiān)控系統(tǒng)

雙機架構(gòu)監(jiān)控系統(tǒng)主要由監(jiān)控模塊和報警模塊兩個部分組成，該系統(tǒng)有兩種運行模式：一是將監(jiān)控模塊安裝到內(nèi)網(wǎng)之中，該模塊會定期主動向內(nèi)網(wǎng)中的涉密計算機發(fā)送探測包，對其進行撥號探測。而將報警模塊安裝在外網(wǎng)時，其主要作用是對撥號報警信息進行解析，從而鎖定存在違規(guī)外聯(lián)的涉密計算機。監(jiān)控模塊通過連續(xù)的詢問輪詢方式向各個涉密計算機發(fā)送探測包，如果這時內(nèi)網(wǎng)中有涉密計算機正在通過撥號上網(wǎng)，探測包會主動通過該涉密計算機的撥號網(wǎng)絡(luò)向外部的報警模塊發(fā)送報警信息。報警模塊在收到報警信息后對其進行解析，從而獲取正在撥號上網(wǎng)的涉密計算機的IP地址。如果內(nèi)網(wǎng)中沒有涉密計算機上網(wǎng)，探測包將無法誘導(dǎo)涉密計算機發(fā)送報警信息;二是將發(fā)送模塊和探測模塊安裝在內(nèi)網(wǎng)中，將探測模塊設(shè)置成混雜模式，發(fā)送模塊所發(fā)送的數(shù)據(jù)幀源地址則設(shè)置成外網(wǎng)的任意IP地址。在對內(nèi)網(wǎng)撥號上網(wǎng)的探測上與第一種方法具有較大的差異，主要是用否認判斷模式，發(fā)送模塊會定期向每臺涉密計算機發(fā)送探測信號，如果接收不到某臺涉密計算機的響應(yīng)數(shù)據(jù)，則可以判定該臺計算機存在違規(guī)外聯(lián)的情況。

5結(jié)束語

隨著互聯(lián)網(wǎng)技術(shù)的發(fā)展，我國絕大多數(shù)的部門和企業(yè)都實現(xiàn)了信息化辦公，這雖極大提高了辦公效率，但同時也帶來了一定的網(wǎng)絡(luò)安全問題。目前，物理隔離是將內(nèi)網(wǎng)與外網(wǎng)進行分離，這種方式具有較高的安全性，但是內(nèi)網(wǎng)中的違規(guī)外聯(lián)行為無疑給內(nèi)網(wǎng)的安全帶來了嚴重威脅。相關(guān)部門非常重視網(wǎng)絡(luò)的安全性，并采取了多種安全防護措施來保證內(nèi)網(wǎng)數(shù)據(jù)信息的安全，但是這些預(yù)防手段往往會被缺乏安全意識的人員所破壞。如內(nèi)部人員私自將內(nèi)網(wǎng)與外網(wǎng)建立連接，這樣就形成了內(nèi)外網(wǎng)絡(luò)的雙向連接，從而給不法分子入侵內(nèi)網(wǎng)打開方便之門。網(wǎng)絡(luò)中的重要數(shù)據(jù)信息一旦發(fā)生丟失，將會造成不可估量的損失。因此，為了從根本上防止違規(guī)外聯(lián)行為的發(fā)生，相關(guān)部門必須制定有效的監(jiān)管機制，保證內(nèi)網(wǎng)數(shù)據(jù)信息的安全。

作者簡介：

馮秀清（1987—），碩士，助理研究員，研究方向：計算機應(yīng)用。