計算機網絡中涉密信息系統安全控制方案設計與實現

沙艷鑫

（吉林職業技術學院，吉林 龍井）

涉密信息系統包含了大量的敏感、涉密信息，一旦發生信息泄露除了會造成財產和信譽的損失外，還有可能危及國家和社會安全，加強涉密信息系統的安全控制尤為重要。在設計安全控制方案時，應結合涉密信息系統的物理架構，分別從物理層、網絡層、系統層和應用層等方面開展安全風險的檢測、識別和控制，切實提高安全控制水平。

1 涉密信息系統安全控制方案的設計

1.1 涉密信息系統安全控制管理體系的架構

本文圍繞保障涉密信息系統安全和盡量減少效率損失兩個目標，基于成本效益原則、可評估原則、易實現原則，設計了涉密信息系統安全控制管理體系。該體系采用“四縱兩橫”架構，“四縱”包括物理層、網絡層、系統層、應用層，“兩橫”包括預防性安全控制和檢測性安全控制，整體結構如圖1 所示。

1.2 物理層的安全控制

面向物理層的安全控制可保護計算機網絡設備、設施等硬件免遭破壞，具體設計內容如下：

（1） 預防性安全控制措施，嚴格按照《數據中心設計規范》(GB 50174-2017) 等相關規定，建設獨立的計算機中心機房，機房墻壁涂刷電磁屏蔽涂料，并設置防火、防潮、防雷設施。配備UPS（不間斷電源），當發生電力故障時提供電源中斷保護。對于涉密信息系統所在區域，實行門禁隔離，出入人員核驗身份和權限，同時進行全天候視頻監控[1]。

（2） 檢測性安全控制措施，定期檢測設備維修記錄，所有計算機網絡設備、設施必須定期檢查、維護。檢查設備鎖和封條，確認鎖、封條完好。對重點設備和敏感數據存儲介質的物理訪問進行重點控制。

1.3 網絡層的安全控制

網絡層負責完成涉密信息系統內部之間，以及涉密信息系統與其他系統之間的數據傳輸，是安全控制的重點對象，設計內容如下：

（1） 預防性安全控制措施，對內網（局域網）和外網（互聯網）做物理隔離，避免互聯網上的木馬、病毒等危害涉密信息系統的安全。需要傳輸涉密信息時，對信息進行加密后才允許傳輸，避免出現第三方攔截、竊聽的情況[2]。對于閑置的交換機端口予以關閉，對于正常使用的交換機端口要綁定IP 地址，避免非法訪問的情況。配置了VLAN 的通信設備，只允許“一對一”通信，本文設計的涉密信息系統根據部門職能的不同細分為5個VLAN，VLAN 名稱與IP 地址的分配見表1。

表1 涉密信息系統VLAN 規劃

通過上述劃分，不同職能的部門之間無法做到數據共享，切斷了病毒、木馬在各個部門之間橫向傳播的途徑，保證了涉密信息系統的安全；同時，切斷了各職能部門訪問服務器群的路徑。

（2） 檢測性安全控制措施，目前主流的網絡檢測方法有防火墻和入侵檢測兩種方式。防火墻位于內網和外網之間，對來自外網的訪問行為進行驗證，如果存在安全隱患則禁止訪問，從而保護涉密信息系統的安全。根據過濾機制的不同，又可分為包過濾防火墻、狀態檢測防火墻等若干類型。本文在設計安全控制方案時，選擇了包過濾防火墻，其核心是ACL(訪問控制列表)，判斷訪問涉密信息系統的數據包是否在ACL 中，如果在則允許訪問，反之則禁止訪問。包過濾防火墻的原理如圖2 所示。

圖2 包過濾防火墻工作原理

入侵檢測通過檢測涉密信息系統所在的計算機網絡中是否存在違反安全策略的行為，進而決定是否允許訪問[3]。本文設計的入侵檢測系統（IDS）基于通用入侵檢測框架（CIDF）建立起來，該框架包含響應單元、事件數據庫、事件分析器和事件產生器4 個模塊，如圖3 所示。

圖3 CIDF 模型示意

本文在設計安全控制方案時，將IDS 與防火墻同時應用于網絡層的安全控制，能夠保障網絡層的深度安全。

1.4 系統層的安全控制

黑客攻擊和病毒入侵主要危害涉密信息系統的系統層，本文面向系統層設計的安全控制方案如下：

（1） 預防性控制措施，啟用身份鑒別、密碼管理、桌面鎖定等策略，禁止非相關人員登錄該系統。

（2） 檢測性控制措施，除了安裝防病毒軟件外，同時應用漏洞掃描技術和內網審計技術。

1.5 應用層的安全控制

應用層存在的安全威脅也會對系統層產生影響，本文從兩方面進行了應用層安全控制設計：

（1） 預防性控制措施，包括安裝補丁、默認設置更改、關閉不需要服務等。由于涉密信息系統中的許多應用軟件會定期升級，每次升級后可能會出現軟件不兼容而導致的安全風險。在軟件升級后安裝不定可以修補漏洞，從而保障應用安全。

（2） 檢測性控制措施，包括使用內網安全審計系統，以及對各類應用的日志信息進行定期審計等。

2 涉密信息系統安全控制方案的實現

2.1 物理層安全控制的實現

面向物理層的安全控制是基于各類安全產品實現的，如電磁屏蔽機柜、微機視頻信息保護機、電磁泄漏防護插座等。電磁屏蔽機柜能夠對涉密信息系統中服務器、路由器、交換機等設備進行電磁泄露防護，從而保障涉密信息的存儲安全和傳輸安全。本文選用了HLS-G 型電磁屏蔽機柜，尺寸為800 mm×800 mm×1500 mm，屏蔽殼體是由冷軋鋼板焊接而成的密封箱體，并在鋼板內外側使用鍍鋅處理。殼體上預留直徑為15 mm 的出線孔，從內部引出超五類屏蔽線與外部設備連接[4]。本文選用VIP-3 型微機視頻信息保護，可有效屏蔽干擾信號，縮短干擾輻射的有效時間，該設備的技術指標如表2 所示。

表2 VIP-3 型危機視頻信息保護機的技術指標

2.2 網絡層安全控制的實現

面向網絡層的安全控制產品是國內某公司研發的入侵檢測和管理系統，該產品可以量化、定位來自網絡內、外部的威脅信息，并根據信息來源、信息類型，自動給出相應的安全決策，從而保障涉密信息的安全。該入侵檢測和管理系統可以做到全面的協議分析和事件分析，具有檢測范圍大、檢測效率高等優勢。同時，還能直觀、精確地呈現報警信息，方便管理員及時采取應對操作，保障網絡層的安全。在部署入侵檢測和管理系統時，將其安裝在一臺專用PC 機上，相當于獨立的網絡設備接入交換機，可以實時采集涉密信息系統的運行情況，達到實時監控的效果。該系統提供“入侵檢測報告”功能，利用日志管理工具，調用日志展開分析，根據分析結果評估涉密信息系統的入侵風險。管理人員參考評估結果，對入侵風險較高的部分采取重點保護，從而保證網絡層安全控制目標的實現。

2.3 系統層安全控制的實現

本文使用Windows 平臺作為涉密信息系統的操作系統，客戶端選用Windows 10，服務器選用Windows Server 2008 企業版。調用Windows 組策略配置工具，在“組策略”界面中依次選擇“計算機配置-軟件設置-Windows 設置- 安全設置- 密碼策略”，在彈出的對話框中設置密碼策略，包括密碼長度、密碼留存期、密碼復雜性要求等。選擇“密碼復雜性要求”，彈出新的對話框，并在“定義這個策略設置”選項下勾選“已啟用”選項。重啟系統后，新用戶在注冊時，設置的密碼必須符合復雜性要求，從而保障用戶涉密信息的安全。系統層安全控制功能基于某公司研發的脆弱性掃描和管理系統實現，該系統通過“發現- 掃描-定性- 修復- 審核”處理流程，能夠對涉密信息系統存在的安全漏洞作出準確識別，并通過智能算法評估風險級別，給出修復建議并對風險控制策略的執行情況進行審核，顯著提升了系統層的安全性[5]。

2.4 應用層安全控制的實現

本文研究的涉密信息系統，應用層由郵件子系統、數據庫子系統等構成，各系統的名稱與應用服務器見表3。

表3 涉密信息系統應用層數據

上述系統的安全控制可通過身份鑒別與口令管理、禁用不需要服務等方式實現。除此之外還使用了某公司研發的內網審計系統，可以對涉密信息系統運行的內網環境進行全面監測，并提供報警管理、補丁分發、桌面遠程管理等功能。該安全產品可通過I/O 端口禁用的方式控制敏感數據的輸出，同時在敏感數據出現刪除、修改、復制等操作時進行報警，以便于系統管理員核實。

結束語

與一般信息系統相比，涉密信息系統對計算機網絡的安全性、可靠性提出了更高的要求。本文設計的適用于涉密信息系統的安全控制方案，結合物理層、網絡層、系統層、應用層的安全控制需要，選擇了電磁屏蔽機柜、入侵檢測和管理系統等多種安全產品，對識別和預防安全風險，切實保障涉密信息系統運行安全起到了積極幫助。