劉恒　周慶新

【摘要】隨著武器裝備行業(yè)信息化應(yīng)用水平的發(fā)展，網(wǎng)絡(luò)信息安全建設(shè)普遍引起企業(yè)高度重視，如何構(gòu)建安全、快速的信息系統(tǒng)應(yīng)用平臺(tái)已成為關(guān)注焦點(diǎn)。本文由目前國內(nèi)行業(yè)信息安全建設(shè)形勢(shì)引發(fā)思考，從物理安全、運(yùn)行安全、信息安全保密角度介紹了如何加強(qiáng)信息系統(tǒng)安全建設(shè)，結(jié)合不同類型安全產(chǎn)品介紹如何部署及應(yīng)用網(wǎng)絡(luò)安全產(chǎn)品，最大程度做到信息系統(tǒng)可管、可用、可控的高層次管理。

【關(guān)鍵詞】信息系統(tǒng)；安全；建設(shè)

【中圖分類號(hào)】P208 【文獻(xiàn)標(biāo)識(shí)碼】A 【文章編號(hào)】1672-5158（2013）01—0080-01

一、國內(nèi)武器裝備行業(yè)信息安全建設(shè)形勢(shì)

近年武器裝備行業(yè)越來越多的單位組建了局域網(wǎng)或廣域網(wǎng)，營(yíng)造快速、高效的工作氛圍，各類業(yè)務(wù)管理系統(tǒng)得到較高水平應(yīng)用，但信息化快速發(fā)展的腳步已成為一把雙刃劍，信息安全的外憂內(nèi)患（內(nèi)外部安全）已引起高度重視。武器裝備行業(yè)作為特殊行業(yè)，不容有半點(diǎn)涉密信息泄露。但是我們也遺憾的看到，隨著信息技術(shù)的發(fā)展，行業(yè)內(nèi)部失、泄密事件時(shí)有發(fā)生，最常采用的途徑恰恰是通過網(wǎng)絡(luò)盜取、傳輸國家涉密信息，給國家的政治、經(jīng)濟(jì)都帶來了無法彌補(bǔ)的損失。信息安全問題亦引起國家相關(guān)部門高度重視，近年不斷出臺(tái)各類管理制度、管理規(guī)范，總體規(guī)劃指導(dǎo)網(wǎng)絡(luò)安全建設(shè)，使信息網(wǎng)絡(luò)安全建設(shè)逐漸走向成熟。

二、信息安全建設(shè)角度

信息系統(tǒng)安全建設(shè)主要從物理安全、運(yùn)行安全、信息安全保密三方面入手。

物理安全。作為信息化建設(shè)核心部位的中心機(jī)房、信息存儲(chǔ)關(guān)鍵部位的選址應(yīng)符合標(biāo)準(zhǔn)，機(jī)房建設(shè)應(yīng)在防火、防水、防震、電力、布線、配電、溫濕度、防雷、防靜電等方面達(dá)到國家相關(guān)建設(shè)要求，為設(shè)備運(yùn)行提供良好環(huán)境。采用有效的電子門控措施，實(shí)現(xiàn)關(guān)鍵部位的安全控制。加強(qiáng)輸出設(shè)備安全控制，防止打印輸出結(jié)果被非授權(quán)查看和獲取。

運(yùn)行安全。對(duì)關(guān)鍵業(yè)務(wù)數(shù)據(jù)定期備份，除本機(jī)備份外充分考慮物理環(huán)境威脅，防止異常事故發(fā)生時(shí)被同時(shí)破壞。信息系統(tǒng)中關(guān)鍵設(shè)備也應(yīng)備份，可能的話重要服務(wù)器應(yīng)進(jìn)行熱備份，實(shí)現(xiàn)服務(wù)器異常時(shí)的平滑切換，不影響終端業(yè)務(wù)正常運(yùn)行。建立完善的系繞恢復(fù)預(yù)案，對(duì)預(yù)案進(jìn)行完整測(cè)試和演練，充分考慮各種可能，將系統(tǒng)基本功能恢復(fù)時(shí)間或重建能力控制在有效時(shí)間內(nèi)。提高各環(huán)節(jié)反應(yīng)能力及速度，定期對(duì)預(yù)案進(jìn)行演練，根據(jù)演練結(jié)果進(jìn)行修訂，保證預(yù)案的可實(shí)施性。

信息安全保密管理。對(duì)系統(tǒng)內(nèi)部本地登錄和遠(yuǎn)程登錄進(jìn)行身份鑒別，對(duì)信息系統(tǒng)中重要信息的訪問應(yīng)采取強(qiáng)制訪問控制策略，按照主體類別、客體類別進(jìn)行訪問控制設(shè)置。

三、安全產(chǎn)品部署及應(yīng)用

防火墻：網(wǎng)絡(luò)安全建設(shè)初期，綜合考慮各部分訪問控制情況，至少規(guī)劃三個(gè)安全域，應(yīng)用服務(wù)器域、安全管理服務(wù)器域、終端應(yīng)用域，三個(gè)安全域接人防火墻不同接口，通過設(shè)置訪問控制策略限制各域訪問端口，實(shí)現(xiàn)第一層網(wǎng)絡(luò)級(jí)訪問控制，企業(yè)還可根據(jù)需要增加其他安全域滿足其他訪問控制需求，提高訪問控制強(qiáng)度。訪問控制列表最后應(yīng)增加一條any到any的禁止策略，封鎖一切不必要的端口。

CA認(rèn)證系統(tǒng)：CA認(rèn)證系統(tǒng)包含證書密鑰管理系統(tǒng)、身份認(rèn)證介質(zhì)、安全代理網(wǎng)關(guān)和系統(tǒng)控制中心。證書密鑰管理系統(tǒng)部署在信息系統(tǒng)安全管理組，身份認(rèn)證介質(zhì)配發(fā)給終端用戶，證書密鑰管理系統(tǒng)為身份認(rèn)證介質(zhì)分發(fā)數(shù)字證書，證書代表介質(zhì)持有人用戶身份；安全代理網(wǎng)關(guān)部署在防火墻與應(yīng)用服務(wù)器組間，所有應(yīng)用系統(tǒng)被代理網(wǎng)關(guān)隔離在受信網(wǎng)段內(nèi)，安全代理網(wǎng)關(guān)代理應(yīng)用服務(wù)器的服務(wù)端口，用戶需要訪問代理網(wǎng)關(guān)后面的應(yīng)用服務(wù)器時(shí)，首先需通過身份認(rèn)證系統(tǒng)認(rèn)證，認(rèn)證通過后，身份認(rèn)證系統(tǒng)自動(dòng)建立用戶身份傳遞給應(yīng)用系統(tǒng)。根據(jù)終端用戶不同職能賦予每個(gè)人不同的角色，按照角色分配可以訪問對(duì)應(yīng)服務(wù)器端口。

漏洞掃描：漏洞掃描系統(tǒng)一般可分為獨(dú)立式部署和分布式部署。對(duì)于規(guī)模較大的武器裝備企業(yè)，一般都是組織結(jié)構(gòu)復(fù)雜、分布點(diǎn)多、數(shù)據(jù)相對(duì)分散，因此多采用樹形拓?fù)浠蛘呋旌闲屯負(fù)?。企業(yè)可根據(jù)自身的情況設(shè)置一臺(tái)或多臺(tái)漏洞掃描分析機(jī)，若拓?fù)浣Y(jié)構(gòu)簡(jiǎn)單，建議設(shè)置一臺(tái)分析機(jī)，部署在核心交換設(shè)備上，漏洞掃描分析機(jī)通過核心交換設(shè)備掃描網(wǎng)絡(luò)內(nèi)部所有計(jì)算機(jī)，若拓?fù)浣Y(jié)構(gòu)復(fù)雜，建議使用分布式系統(tǒng)部署。

入侵檢測(cè)：入侵檢測(cè)部署方式較為單一，一般旁掛在核心交換機(jī)上。交換機(jī)開啟鏡像端口，將其他干線接口或普通接口鏡像到鏡像口，然后與入侵檢測(cè)業(yè)務(wù)口相連接即可。同時(shí)為了對(duì)網(wǎng)絡(luò)中的攻擊達(dá)到較好的防御效果，一般采取入侵檢測(cè)和防火期聯(lián)動(dòng)。即在入侵檢測(cè)設(shè)備檢測(cè)網(wǎng)絡(luò)攻擊行為時(shí)，及時(shí)和防火墻通信，由防火墻阻斷非正常流量。

四、控制關(guān)鍵點(diǎn)：三分技術(shù)，七分管理

在信息安全領(lǐng)域“三分技術(shù)，七分管理”已成為不爭(zhēng)的事實(shí)。任何高水平的技術(shù)措施或多或少摻雜人為因素，因此必須輔以嚴(yán)謹(jǐn)?shù)墓芾泶胧┎拍苓_(dá)到最佳的應(yīng)用效果。武器裝備企業(yè)涉密信息的外泄已成為管理重點(diǎn)，必須嚴(yán)防死守信息的輸入輸出控制。系統(tǒng)內(nèi)信息的輸入輸出有多種途徑，包括承載電子格式數(shù)據(jù)的光盤、軟盤、U盤、硬盤等，輸入輸出紙介質(zhì)的掃描儀、打印機(jī)等。

介質(zhì)安全：近年網(wǎng)絡(luò)上流行擺渡病毒，以隱藏文件的形式存留在移動(dòng)存儲(chǔ)介質(zhì)中達(dá)到竊取信息的目的。由于此病毒較為隱蔽不易被人發(fā)現(xiàn)，操作不當(dāng)很容易將系統(tǒng)內(nèi)部信息帶出內(nèi)部網(wǎng)絡(luò)。針對(duì)這種可在介質(zhì)中回寫的病毒，開發(fā)商已研制出集單項(xiàng)導(dǎo)入、專用移動(dòng)存儲(chǔ)介質(zhì)和違規(guī)外聯(lián)相結(jié)合的三合一產(chǎn)品。單項(xiàng)導(dǎo)入設(shè)備，即普通U口移動(dòng)存儲(chǔ)介質(zhì)可以直接插在該設(shè)備上，設(shè)備內(nèi)部采用光纖傳輸，在物理?xiàng)l件上杜絕信息回寫的可能。專用移動(dòng)存儲(chǔ)介質(zhì)，與普通移動(dòng)存儲(chǔ)介質(zhì)接口不同，須插入專用設(shè)備后接入受控計(jì)算機(jī)，方可實(shí)現(xiàn)讀寫功能，對(duì)于其他未授權(quán)計(jì)算機(jī)無法使用。管理上，封閉信鼠系統(tǒng)內(nèi)部所有光驅(qū)、軟驅(qū)、USB移動(dòng)存儲(chǔ)設(shè)備接口，信鼠輸出工作歸口到不連接任何網(wǎng)絡(luò)的單機(jī)計(jì)算機(jī)。

打印安全：集中控制，設(shè)立獨(dú)立打印間，保證輸出介質(zhì)可控，嚴(yán)格履行打印審批手續(xù)，打印管理員依據(jù)審批單發(fā)放打印文件。不具備集中打印條件的企業(yè)應(yīng)限制打印輸出點(diǎn)數(shù)量，為防止打印信息被非授權(quán)查看，禁止網(wǎng)絡(luò)共享打印功能，只授權(quán)打印管理員打印權(quán)限，履行打印審批手續(xù)后由打印負(fù)責(zé)人打印相關(guān)內(nèi)容，并及時(shí)交予申請(qǐng)人。

完善制度和管理措施：建立完善的信息系統(tǒng)管理制度。管理制度應(yīng)結(jié)合武器裝備企業(yè)自身實(shí)際情況，達(dá)到嚴(yán)謹(jǐn)、操作性強(qiáng)的標(biāo)準(zhǔn)，從系統(tǒng)安全策略管理、操作系統(tǒng)管理、設(shè)備管理、應(yīng)用軟件開發(fā)管理、應(yīng)急備份管理、人員行為管理、文檔管理、涉密載體管理等多方面，建立起一整套具有權(quán)威性信息安全保密管理制度，用鐵的手段保證制度的執(zhí)行，靠制度來管人管事，最終建立長(zhǎng)效機(jī)制，使信息安全保密管理更加規(guī)范有序。