黨 政，楊同慶

(北方通用電子集團(tuán)有限公司，陜西 西安 710100)

1 某企業(yè)涉密信息系統(tǒng)及其安全性設(shè)計(jì)的目標(biāo)和特征

1.1 某企業(yè)涉密網(wǎng)絡(luò)概況

某企業(yè)涉密局域網(wǎng)是一個(gè)局部包含多臺(tái)應(yīng)用服務(wù)器以及大量涉密網(wǎng)絡(luò)計(jì)算機(jī)的涉密局域網(wǎng)，網(wǎng)絡(luò)核心帶寬為千兆，桌面帶寬為百兆，為一個(gè)集運(yùn)算、辦公、研發(fā)于一體的高速涉密網(wǎng)絡(luò)。

1.2 某企業(yè)涉密網(wǎng)絡(luò)安全性設(shè)計(jì)的目標(biāo)

某企業(yè)涉密網(wǎng)絡(luò)是針對(duì)于涉密產(chǎn)品的研發(fā)而啟用的網(wǎng)絡(luò)，對(duì)于保密性和防護(hù)都有很高的要求。而計(jì)算機(jī)局域網(wǎng)安全或是受到由黑客破壞、病毒感染帶來(lái)的主動(dòng)攻擊，或是由于軟、硬件出產(chǎn)設(shè)計(jì)的不足引起的被動(dòng)攻擊，甚至因?yàn)榫W(wǎng)絡(luò)開(kāi)放性的逐步擴(kuò)大，人們對(duì)于計(jì)算機(jī)局域網(wǎng)安全防范意識(shí)不強(qiáng)導(dǎo)致對(duì)計(jì)算機(jī)局域網(wǎng)的無(wú)意識(shí)損壞等等。這些因素都導(dǎo)致了計(jì)算機(jī)局域網(wǎng)中出現(xiàn)的安全隱患，而計(jì)算機(jī)局域網(wǎng)安全性設(shè)計(jì)正是圍繞這些問(wèn)題，采取一系列的技術(shù)手段、操作手段，排除隱患，防患未然，給計(jì)算機(jī)局域網(wǎng)帶來(lái)一個(gè)安全、穩(wěn)定的應(yīng)用環(huán)境，使企業(yè)受惠于計(jì)算機(jī)局域網(wǎng)的使用。

1.3 計(jì)算機(jī)局域網(wǎng)安全性設(shè)計(jì)的特性

安全性設(shè)計(jì)不外乎保密性、防御性和可控性，某企業(yè)涉密網(wǎng)絡(luò)的安全性設(shè)計(jì)也突出了這三大特征。保密性集中體現(xiàn)在對(duì)信息隱私和數(shù)據(jù)完整的保護(hù)，未經(jīng)授權(quán)不可泄露信息，未經(jīng)授權(quán)不可非法使用信息，未經(jīng)授權(quán)不可任意篡改數(shù)據(jù)，已經(jīng)授權(quán)也要進(jìn)行適當(dāng)?shù)陌踩^(guò)濾。防御性表現(xiàn)在抵抗黑客攻擊，病毒侵?jǐn)_，系統(tǒng)優(yōu)化，漏洞修補(bǔ)等方面。常用的防御性工具例如防火墻和VLAN 技術(shù)，為計(jì)算機(jī)局域網(wǎng)提供一個(gè)可預(yù)測(cè)的安全環(huán)境?？煽匦允侵笇?duì)數(shù)據(jù)的傳輸，信息的傳播，授權(quán)者可進(jìn)行自由的操控，例如當(dāng)需要網(wǎng)絡(luò)達(dá)到一個(gè)封閉或開(kāi)放的環(huán)境以此獲取信息時(shí)，計(jì)算機(jī)局域網(wǎng)安全型設(shè)計(jì)不會(huì)阻礙授權(quán)者的行為，在保證網(wǎng)絡(luò)安全的情況下又不剝奪授權(quán)者的使用自由。

2 某企業(yè)涉密網(wǎng)絡(luò)安全性問(wèn)題面臨的威脅

2.1 黑客攻擊

黑客攻擊是涉密計(jì)算機(jī)局域網(wǎng)安全的重大威脅因素之一，雖然對(duì)黑客的抵御隨著計(jì)算機(jī)網(wǎng)絡(luò)技術(shù)的發(fā)展不斷升級(jí)，但層出不窮的惡意破壞，信息盜取仍然普遍存在。尤其是針對(duì)涉密網(wǎng)絡(luò)的特種木馬更是層出不窮，它們會(huì)造成系統(tǒng)數(shù)據(jù)丟失、惡意篡改、偽造，利用病毒對(duì)軟件、存儲(chǔ)介質(zhì)進(jìn)行破壞，信息截獲等等。

2.2 病毒侵害

涉密計(jì)算機(jī)局域網(wǎng)方便了網(wǎng)內(nèi)用戶的資源共享和信息傳播，但同時(shí)也給了計(jì)算機(jī)病毒潛入和大量傳播的機(jī)會(huì)，計(jì)算機(jī)病毒一般是由兩種情況引起，一是黑客或網(wǎng)內(nèi)用戶的惡意攻擊感染，二是自我的疏忽大意導(dǎo)致計(jì)算機(jī)病毒感染，無(wú)論感染途徑是什么，它的危害結(jié)果都是十分嚴(yán)重的。大量病毒不斷復(fù)制，導(dǎo)致網(wǎng)絡(luò)堵塞，終端計(jì)算機(jī)癱瘓，甚至發(fā)生失泄密事件，后果十分嚴(yán)重。常見(jiàn)的病毒有蠕蟲(chóng)病毒，木馬病毒，在未來(lái)還會(huì)出現(xiàn)一系列的新型病毒，能否防患未然就需要現(xiàn)在把好計(jì)算機(jī)局域網(wǎng)安全性技術(shù)的重要一關(guān)。

2.3 管理漏洞

科學(xué)、嚴(yán)格的管理是涉密計(jì)算機(jī)網(wǎng)絡(luò)安全性設(shè)計(jì)的關(guān)鍵因素之一，人們對(duì)其的嚴(yán)格管理意識(shí)都不強(qiáng)，這就導(dǎo)致了不同程度的軟、硬件損傷，配置不合理，操作系統(tǒng)混亂，認(rèn)證安全漏洞等等，一系列的不當(dāng)管理使計(jì)算機(jī)局域網(wǎng)安全出現(xiàn)嚴(yán)重隱患。因此強(qiáng)化網(wǎng)絡(luò)管理意識(shí)，合理進(jìn)行設(shè)施配置從能有效填補(bǔ)安全漏洞，防范內(nèi)外網(wǎng)絡(luò)攻擊。

2.4 網(wǎng)絡(luò)使用人員問(wèn)題

涉密網(wǎng)絡(luò)使用人員在使用過(guò)程中，不可避免地會(huì)有誤操作，這就使得涉密計(jì)算機(jī)網(wǎng)絡(luò)存在大量的失泄密隱患，所以不斷地通過(guò)系統(tǒng)設(shè)計(jì)和實(shí)施，逐步減少因使用過(guò)程中產(chǎn)生的隱患。

2.5 邊界防護(hù)隱患

涉密局域網(wǎng)絡(luò)的各個(gè)邊界是風(fēng)險(xiǎn)的存在，可能導(dǎo)致非法接入和不可控因素的發(fā)生，因此在設(shè)計(jì)網(wǎng)絡(luò)時(shí)，物理和虛擬安全都必須充分考慮。

3 某企業(yè)涉密網(wǎng)絡(luò)的安全解決方案及措施

3.1 網(wǎng)絡(luò)整體設(shè)計(jì)

某企業(yè)因?yàn)槭巧婷芫W(wǎng)絡(luò)，必須在網(wǎng)絡(luò)初始設(shè)計(jì)階段就有充分地安全設(shè)計(jì)。方案主要為劃分安全域，分域進(jìn)行管理，增加安全性。網(wǎng)絡(luò)設(shè)計(jì)拓?fù)鋱D如圖1 所示。

圖1 設(shè)計(jì)終端圖

服務(wù)器域:服務(wù)器域的設(shè)計(jì)遵循的就是最安全原則，因?yàn)樗钦麄€(gè)涉密局域網(wǎng)絡(luò)的核心，它包含有整個(gè)企業(yè)的核心數(shù)據(jù)，而且設(shè)計(jì)中只有它來(lái)保管整個(gè)企業(yè)的數(shù)據(jù)，所有客戶機(jī)均不存儲(chǔ)涉密信息和關(guān)鍵技術(shù)信息，這樣就杜絕了人員使用中產(chǎn)生的大部分誤操作以及計(jì)算機(jī)系統(tǒng)的安全。

安全域:安全軟件域是對(duì)整個(gè)網(wǎng)絡(luò)提供安全防護(hù)的區(qū)域，該域中包含的軟件主要是對(duì)服務(wù)器域和終端計(jì)算機(jī)提供安全防護(hù)，既對(duì)終端計(jì)算機(jī)的訪問(wèn)、操作控制，也對(duì)服務(wù)器端的操作進(jìn)行記錄和審計(jì)，保證整個(gè)網(wǎng)絡(luò)的合理運(yùn)行。

終端域:該域是整個(gè)涉密網(wǎng)絡(luò)體現(xiàn)的域，是用戶產(chǎn)生最終產(chǎn)品的平臺(tái)，它的硬盤(pán)不在本機(jī)，而是通過(guò)網(wǎng)絡(luò)硬盤(pán)的方式，由服務(wù)器域映射到物理機(jī)上，達(dá)到基本安全的目的。

3.2 實(shí)現(xiàn)方案的措施

3.2.1 防火墻

作為提供網(wǎng)絡(luò)信息安全的基礎(chǔ)防御措施，防火墻的積極作用不言而喻。在局域網(wǎng)中，不同網(wǎng)絡(luò)及網(wǎng)域間交叉相錯(cuò)，為信息的傳播，數(shù)據(jù)的傳輸提供通道，作為信息通道的疏通、結(jié)扎口，防火墻通過(guò)自動(dòng)化安全控制，對(duì)信息進(jìn)行篩選、比對(duì)，確認(rèn)協(xié)議允許被訪問(wèn)的服務(wù)和人員，排除含帶病毒的插件，在監(jiān)測(cè)、允許、拒絕的服務(wù)項(xiàng)目中實(shí)現(xiàn)計(jì)算機(jī)局域網(wǎng)的安全環(huán)境。

3.2.2 VLAN 技術(shù)

不同的VLAN 間不能進(jìn)行相互的聯(lián)系和通訊，這就抑制了病毒感染和廣播風(fēng)暴。此外VLAN 技術(shù)中對(duì)于交換機(jī)端口的劃分操作簡(jiǎn)單靈活，這就使得在計(jì)算機(jī)局域網(wǎng)中網(wǎng)絡(luò)設(shè)備的靈活移動(dòng)成為可能，單位不同部門(mén)可以規(guī)劃到不同的VLAN 中來(lái)，既方便了數(shù)據(jù)的傳輸，信息的共享，又提高了計(jì)算機(jī)局域網(wǎng)安全性。防火墻在配置時(shí)，禁止不同vlan 在非應(yīng)用系統(tǒng)使用時(shí)相互訪問(wèn)，同時(shí)在交換機(jī)配置階段，就進(jìn)行端口隔離，這樣同部門(mén)同vlan 之間也存在了基礎(chǔ)的安全網(wǎng)絡(luò)防護(hù)。并為每臺(tái)涉密計(jì)算機(jī)分配靜態(tài)IP 地址(該IP 地址需與計(jì)算機(jī)MAC 地址以及接入交換機(jī)端口進(jìn)行綁定)，這樣就基本達(dá)到了物理接入的安全防護(hù)。

3.2.3 入侵檢測(cè)

入侵檢測(cè)一般配合防火墻來(lái)使用，防火墻更多關(guān)注的是網(wǎng)外攻擊而忽視了網(wǎng)內(nèi)人員的惡意破壞，這就給入侵檢測(cè)一個(gè)彌補(bǔ)防火墻監(jiān)測(cè)漏洞的機(jī)會(huì)。入侵檢測(cè)可以對(duì)網(wǎng)內(nèi)網(wǎng)絡(luò)形成保護(hù)層，采用檢測(cè)手段和自動(dòng)防護(hù)措施，及時(shí)恢復(fù)、斷開(kāi)網(wǎng)絡(luò)，保留證據(jù)的同時(shí)對(duì)惡意竊入信息進(jìn)行跟蹤以此實(shí)現(xiàn)網(wǎng)內(nèi)安全，排除隱患。

3.2.4 訪問(wèn)控制

訪問(wèn)控制是涉密信息系統(tǒng)安全防護(hù)的主要核心策略，它的主要任務(wù)是保證信息資源不被非法使用和訪問(wèn)。訪問(wèn)控制規(guī)定了主題對(duì)客體訪問(wèn)的限制，并在身份鑒別的基礎(chǔ)上，根據(jù)身份對(duì)提出資源訪問(wèn)的請(qǐng)求加以控制。它是對(duì)涉密信息系統(tǒng)資源加以保護(hù)的重要措施，也是整個(gè)計(jì)算機(jī)系統(tǒng)最重要的最基礎(chǔ)的安全機(jī)制。某企業(yè)因?yàn)槭巧婷芫W(wǎng)絡(luò)需采用強(qiáng)制訪問(wèn)控制(強(qiáng)制訪問(wèn)控制是一種基于安全標(biāo)識(shí)和信息分級(jí)等敏感性信息的訪問(wèn)控制)。

3.2.5 終端身份鑒別與授權(quán)

終端用戶各種操作行為均需要進(jìn)行個(gè)人身份驗(yàn)證(使用USBkey +口令的方式)，包括計(jì)算機(jī)登錄認(rèn)證、網(wǎng)絡(luò)接入的認(rèn)證、登錄應(yīng)用的認(rèn)證、終端用戶均需要通過(guò)身份鑒別來(lái)判斷其身份。身份鑒別是保證涉密信息系統(tǒng)安全的重要措施。經(jīng)過(guò)身份鑒別進(jìn)入涉密信息系統(tǒng)的合法用戶，需要對(duì)其訪問(wèn)系統(tǒng)資源的權(quán)限進(jìn)行限制。設(shè)置訪問(wèn)控制應(yīng)當(dāng)遵循“最小授權(quán)原則”，即在應(yīng)當(dāng)授權(quán)的范圍內(nèi)有權(quán)使用資源，非授權(quán)范圍內(nèi)無(wú)權(quán)使用資源。并且在授權(quán)時(shí)按照該人員的最高涉密等級(jí)進(jìn)行身份認(rèn)證授權(quán)。

3.2.6 安全審計(jì)

在涉密網(wǎng)絡(luò)中審計(jì)是在計(jì)算機(jī)系統(tǒng)中用來(lái)監(jiān)視、記錄和控制用戶活動(dòng)的一種機(jī)制。通過(guò)對(duì)審計(jì)日志文件的分析，可以有效阻止非法訪問(wèn)，并為事后分析的追查責(zé)任提供依據(jù)。涉密信息系統(tǒng)安全審計(jì)的重點(diǎn)有以下幾個(gè)方面:

1)網(wǎng)絡(luò)通信系統(tǒng):主要包括對(duì)網(wǎng)絡(luò)流量中典型協(xié)議進(jìn)行分析、識(shí)別、判斷和記錄;

2)重要服務(wù)器主機(jī)操作系統(tǒng):主要包括對(duì)系統(tǒng)啟動(dòng)/運(yùn)行情況、管理員登陸、操作情況、系統(tǒng)配置更改、以及病毒感染、資源消耗情況的審計(jì);還包括硬盤(pán)、CPU、內(nèi)存、網(wǎng)絡(luò)負(fù)載、進(jìn)程、操作系統(tǒng)安全日志、系統(tǒng)內(nèi)部事件、以及對(duì)重要文件訪問(wèn)的審計(jì);

3)重要數(shù)據(jù)庫(kù)操作的審計(jì):主要包括對(duì)數(shù)據(jù)庫(kù)進(jìn)程運(yùn)轉(zhuǎn)情況、繞過(guò)應(yīng)用軟件直接操作數(shù)據(jù)庫(kù)的違規(guī)訪問(wèn)行為、對(duì)數(shù)據(jù)庫(kù)配置的更改、數(shù)據(jù)庫(kù)備份操作和其他維護(hù)管理操作、對(duì)重要數(shù)據(jù)的訪問(wèn)和更改、數(shù)據(jù)完整性等內(nèi)容的審計(jì);

4)重要應(yīng)用系統(tǒng)的審計(jì):主要包括對(duì)辦公自動(dòng)化系統(tǒng)、公文流轉(zhuǎn)和操作、網(wǎng)頁(yè)完整性、相關(guān)業(yè)務(wù)系統(tǒng)等內(nèi)容的審計(jì);

5)客戶端計(jì)算機(jī)的審計(jì):主要包括對(duì)客戶端計(jì)算機(jī)的病毒感染情況、訪問(wèn)應(yīng)用系統(tǒng)情況、文件的拷貝/打印操作，擅自連接互聯(lián)網(wǎng)的情況、非工作軟件的安裝和運(yùn)行等內(nèi)容的審計(jì)。

3.2.7 數(shù)據(jù)加密

數(shù)據(jù)加密是提高涉密信息系統(tǒng)安全性的必要手段，在客戶端的文件都是通過(guò)加密文件解密來(lái)展現(xiàn)，加密解密文件通過(guò)安全域內(nèi)的加解密服務(wù)器來(lái)實(shí)現(xiàn)涉密局域網(wǎng)內(nèi)的私密性，這樣就保證了涉密局域網(wǎng)內(nèi)數(shù)據(jù)被非法竊取后無(wú)法被識(shí)別。

3.2.8 對(duì)計(jì)算機(jī)局域網(wǎng)建立完善的管理制度

無(wú)論是物理管理還是虛擬網(wǎng)絡(luò)管理，都配以全套的防患措施。在物理管理方面，實(shí)現(xiàn)主機(jī)、服務(wù)器、路由器等硬件設(shè)備的科學(xué)集中管理，通信線路盡量架空或深埋，防止他人惡意挖掘和無(wú)意識(shí)損毀。在網(wǎng)絡(luò)虛擬管理方面，成立高素質(zhì)的管理團(tuán)隊(duì)，對(duì)網(wǎng)內(nèi)外信息進(jìn)行核實(shí)和系統(tǒng)的及時(shí)升級(jí)、修護(hù)，設(shè)立共享資源用戶權(quán)限和口令并進(jìn)行加密和保護(hù)，防止他人對(duì)IP 地址的修改和身份的偽裝。同時(shí)進(jìn)行計(jì)算機(jī)局域網(wǎng)用戶的安全防范教育，提高防范意識(shí)和技能。

3.2.9 涉密資料的分類(lèi)管理、操作行為與訪問(wèn)控制相結(jié)合

涉密信息系統(tǒng)中的涉密信息要控制其知悉范圍，必須對(duì)涉密信息及其使用人員進(jìn)行分類(lèi)，建立一種相對(duì)固定的關(guān)聯(lián)規(guī)則。國(guó)家秘密信息在軍工單位涉密信息系統(tǒng)中主要表現(xiàn)為文字和圖形，為了防止無(wú)關(guān)人員接觸秘密信息和通過(guò)更名等方式改變國(guó)家秘密的表現(xiàn)形式而造成秘密泄露，必須對(duì)使用人員的計(jì)算機(jī)操作行為(打開(kāi)、創(chuàng)建、更名、復(fù)制、編輯)進(jìn)行控制。要在涉密信息系統(tǒng)上實(shí)現(xiàn)訪問(wèn)控制，使涉密信息只被授權(quán)的人員知悉，必須建立涉密信息與授權(quán)人員的對(duì)應(yīng)關(guān)系規(guī)則，確定其可以進(jìn)行的操作類(lèi)型。

4 結(jié)語(yǔ)

要想實(shí)現(xiàn)涉密計(jì)算機(jī)網(wǎng)絡(luò)的安全，需要我們?cè)趯?shí)踐的過(guò)程中不斷完善，科學(xué)嚴(yán)格的管理措施，全面系統(tǒng)的防范體制，高度的局域網(wǎng)內(nèi)用戶防范意識(shí)都是保證計(jì)算機(jī)局域網(wǎng)安全不可或缺的重要手段。本文針對(duì)涉密信息網(wǎng)絡(luò)的安全從問(wèn)題出發(fā)，到解決問(wèn)題，給出了一個(gè)比較完成的解決方案，對(duì)提高涉密計(jì)算機(jī)網(wǎng)絡(luò)安全有比較重要的意義。

［1］楊 蕓，朱標(biāo)明.涉密網(wǎng)絡(luò)與云計(jì)算［J］.保密工作，2013(9):46－49.

［2］李廣潤(rùn).淺析計(jì)算機(jī)網(wǎng)絡(luò)日常管理與維護(hù)［J］.電腦知識(shí)與技術(shù)，2013(5):976－977.

［3］池義勇.探討計(jì)算機(jī)網(wǎng)絡(luò)安全與防御［J］.網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2013(7):71－74.

［4］張 靜.芻議計(jì)算機(jī)網(wǎng)絡(luò)的安全與維護(hù)對(duì)策［J］.信息與電腦:理論版，2013(1):63－64.

［5］魏清斌，左勇濤.計(jì)算機(jī)網(wǎng)絡(luò)可靠性優(yōu)化探析［J］.計(jì)算機(jī)光盤(pán)軟件與應(yīng)用，2013(6):236，238.

［6］夏 炎，徐東晨.計(jì)算機(jī)信息數(shù)據(jù)安全及加密技術(shù)研究［J］.硅谷，2013(9):61，30.

［7］高金鎖.淺談?dòng)?jì)算機(jī)網(wǎng)絡(luò)信息安全與防范［J］.電子技術(shù)與軟件工程，2013(17):257.

［8］周 娟，周 亮.解析計(jì)算機(jī)網(wǎng)絡(luò)信息安全及防護(hù)策略研究［J］.信息系統(tǒng)工程，2013(8):73.