劉英軍

（中航西飛民用飛機有限責任公司，陜西 西安 710089）

隨著涉密網(wǎng)絡應用的不斷開展和人員安全防范意識的不斷提升，安全問題一直是我國商密網(wǎng)信息系統(tǒng)建設中面臨的重大難題，雖然內(nèi)網(wǎng)安全管理系統(tǒng)產(chǎn)品不斷涌現(xiàn)，加強了身份認證效率，科學規(guī)范了個體終端使用情況，但也帶來更多渠道的風險，所以每個工作系統(tǒng)都必須安裝代理程序，擁有獨立的工作體系和管理體系，各自為政卻又相互連接，這樣的防護策略才能以點帶面，消除負面反應。

一、商密網(wǎng)工作現(xiàn)狀

企業(yè)的商業(yè)秘密信息是指不能被公眾所知悉，且能為企業(yè)帶來巨大的經(jīng)濟收益或潛在商業(yè)價值的相關技術或數(shù)據(jù)。在各行各業(yè)不斷向國際化發(fā)展、經(jīng)濟貿(mào)易逐漸頻繁的當下，市場競爭日益激烈，企業(yè)的商業(yè)秘密信息就代表競爭優(yōu)勢，也是企業(yè)立足的根基，一旦泄露，會帶來無法估量的損失，嚴重者還會損害國家利益?；诖?，國家部委組織發(fā)布了相關法律法規(guī)對商業(yè)秘密網(wǎng)絡和信息進行妥善保護，要求各大企業(yè)做好商業(yè)信息保密工作?？偟膩碚f，我國大型企業(yè)眾多，商密網(wǎng)作為儲存、處理企業(yè)商業(yè)秘密信息的網(wǎng)絡平臺，同時也協(xié)助企業(yè)進行著人力、財務等工作內(nèi)容，是保障企業(yè)發(fā)展和員工日常工作的基礎設施，各單位應該推進覆蓋式建設。但實際工作過程中，各企業(yè)單位差異較大，有的僅代表自身的經(jīng)濟效益，有的涉及到商業(yè)秘密，更有企業(yè)每天的工作都會處理國家秘密，因此，網(wǎng)絡的保障體系應該根據(jù)單位的涉密程度進行等級劃分，避免浪費資源。另外，隨著我國社會的不斷進步，科學技術的不斷發(fā)展，云端儲存云計算、大數(shù)據(jù)分析、移動辦公等技術不斷應用，商密網(wǎng)和互聯(lián)網(wǎng)之間的數(shù)據(jù)交互越來越頻繁，工作效率大幅提升的同時，也出現(xiàn)更多渠道的安全風險，所以企業(yè)必須要確保滿足日常經(jīng)營需求的同時，做好商業(yè)秘密保護工作，細化商密網(wǎng)絡安全防護體系設計以達到預期效果。綜上，商業(yè)秘密信息直接關乎企業(yè)的市場競爭力，合理建設商業(yè)秘密網(wǎng)絡，加強密閉保護力度勢在必行?；诖耍疚脑诜治銎髽I(yè)不同業(yè)務場景的基礎上，明確商密網(wǎng)分類分域安全體系的內(nèi)容和安全區(qū)域劃分界限、相關功能和技術措施，為商密網(wǎng)安全防護體系建設提供參考意見，幫助管理人員明確管理難點和優(yōu)化方向。

二、分類分域防護理念

商密網(wǎng)建立的初衷是力求保障企業(yè)商業(yè)利益，避免商業(yè)秘密信息外泄，核心工作就是保障數(shù)據(jù)安全、降低網(wǎng)絡風險。實施過程中要嚴格按照國家頒發(fā)的法律法規(guī)進行防護體系建設，加強預防力度，開展防護體系優(yōu)化。其中最先進的理念就是分類分域防護理念，其內(nèi)容是將業(yè)務應用場景按照數(shù)據(jù)交互情況進行等級劃分，通過不同的類別進行定向防護。其內(nèi)部的分類方法主要是數(shù)據(jù)縱深防御體系，根據(jù)不同單位和互聯(lián)網(wǎng)交互的程度，分為強關聯(lián)，弱關聯(lián)和無關聯(lián)三個級別，這樣分類是因為我國商業(yè)秘密生成和使用體系已經(jīng)相對成熟，商密網(wǎng)開始和互聯(lián)網(wǎng)技術進行不斷交互，因此帶來更多的網(wǎng)絡風險，所以現(xiàn)階段的安全防護工作必須和互聯(lián)網(wǎng)技術相關聯(lián)。等級劃分之后，工作人員需要根據(jù)不同場景配置針對性的防護策略，把安全防護需求相同的工作內(nèi)容劃分到同一區(qū)域，配備定向的防護方案，形成完善的防線。

三、分類分域內(nèi)容

（一）業(yè)務場景分類

通過對當前工作信息的統(tǒng)一處理，絕大部分信息系統(tǒng)可以根據(jù)其是否包含商業(yè)數(shù)據(jù)和與互聯(lián)網(wǎng)的關聯(lián)程度以及數(shù)據(jù)流傳的方向來進行分類，且通常會分為強關聯(lián)，弱關聯(lián)和無關聯(lián)三種：

1.強關聯(lián)

強關聯(lián)的業(yè)務場景及業(yè)務系統(tǒng)是主要部署在互聯(lián)網(wǎng)環(huán)境內(nèi)，數(shù)據(jù)的傳輸調(diào)用檢索分析都需要和互聯(lián)網(wǎng)數(shù)據(jù)頻繁交互，不會涉及到商業(yè)數(shù)據(jù)，也不會產(chǎn)生商業(yè)秘密數(shù)據(jù)，所以該單位可以放置在互聯(lián)網(wǎng)，根據(jù)不同的系統(tǒng)等級進行簡單的定向防護即可。該業(yè)務單位的管控重點就是涉及商業(yè)秘密的區(qū)域和互聯(lián)網(wǎng)區(qū)域要進行強行隔離，其他信息都可以在互聯(lián)網(wǎng)區(qū)進行正常運作，重點做好區(qū)域邊界和互聯(lián)網(wǎng)內(nèi)安全檢測工作即可。

2.弱關聯(lián)

弱關聯(lián)是業(yè)務系統(tǒng)會部署在商業(yè)秘密區(qū)域內(nèi)，權限僅向內(nèi)部人員開放，和互聯(lián)網(wǎng)之間的交互少、頻率低，且交互過程中不會涉及商業(yè)秘密數(shù)據(jù)，也不會進行商業(yè)秘密業(yè)務，這類工作單位應該強化內(nèi)部商密網(wǎng)絡和互聯(lián)網(wǎng)訪問控制。將安全防護重點放在互聯(lián)網(wǎng)區(qū)和商密網(wǎng)區(qū)之間的隔離、各區(qū)之間的安全防護工作和內(nèi)部人員的權限管理上。

3.無關聯(lián)

無關聯(lián)是業(yè)務整個系統(tǒng)都必須放置在商密網(wǎng)內(nèi)，工作過程中不會使用互聯(lián)網(wǎng)或者極少與互聯(lián)網(wǎng)產(chǎn)生交互，日常工作會涉及商業(yè)秘密信息，同時也會產(chǎn)生較多的商業(yè)秘密數(shù)據(jù)。因此類工作應該嚴格控制互聯(lián)網(wǎng)訪問權限，加強數(shù)據(jù)保護工作。主要安全防護方向仍然是加強互聯(lián)網(wǎng)區(qū)域和商密網(wǎng)區(qū)域之間的隔離管理，同時還要增加數(shù)據(jù)庫審查行為、審查權限管控等多方面措施，如果數(shù)據(jù)較為重要，則可以使用白名單策略，通過固定權限識別來獲取數(shù)據(jù)，提升穩(wěn)定性。

（二）區(qū)域邊界防護

1.邊界分類原理

為確保防御體系完善，網(wǎng)絡安全區(qū)域需規(guī)劃精確，內(nèi)部多個層面要進行網(wǎng)絡連接歸類，包括：互聯(lián)網(wǎng)邊界、三方邊界、內(nèi)外邊界、橫向邊界和縱向邊界。針對性的風險識別措施包括：首先，互聯(lián)網(wǎng)邊界是來自互聯(lián)網(wǎng)內(nèi)部多方面的風險威脅，主要包括服務器攻擊，黑客入侵、木馬病毒、bug、垃圾郵件、信息泄露等。其次是三方邊界，主要的風險來源于工作人員濫用口令，模糊不清的口令識別系統(tǒng)和信息泄露。第三是縱向邊界，縱向邊界主要是包括人員濫用職權、越俎代庖，導致信息泄露或密碼病毒大面積傳播。最后是橫向邊界，風險來源于未經(jīng)授權訪問、誤操作、人員綜合素質(zhì)缺失、口令模糊不清和信息泄露等。

2.風險識別渠道

不同安全領域之間形成諸多網(wǎng)絡邊界，但因為每個領域的防護等級和防護要求都存在差異，所以在邊界加強安全防護、確保適應兩方的防護等級是必要的?；诖?，首先要實現(xiàn)集中防護，在各安全領域邊界的基礎上，部署防火墻和入侵檢測系統(tǒng)，當存在IP 地址非法瀏覽時，會立刻做出反應隔絕并報告，同時輔助異常流量監(jiān)測技術，判斷各設備是否處于正常運行狀態(tài)，若出現(xiàn)不正當?shù)牧髁孔兓?，則立刻確定位置，探測原因，擴大防護范圍，提升防護頻率，確保區(qū)域安全。其次是等級保護，每個不同區(qū)域都有自身獨立的等級和體系，所以邊界需要針對兩側(cè)的等級進行定向防護，按照統(tǒng)一的手段進行安全防護，確保質(zhì)量。最后是縱深防護，在區(qū)域劃分過程中，從外部網(wǎng)絡連接到內(nèi)部核心網(wǎng)絡時，會經(jīng)過多層安全篩查系統(tǒng)，該系統(tǒng)會判斷瀏覽行為是否合法，手段是否正當，進而從內(nèi)到外形成防護體系，若出現(xiàn)不正當行為，直接攔截并提醒。

四、系統(tǒng)防護功能

（一）用戶身份確認

智能終端用戶的各項操作都會認證個人數(shù)字證書，并連接獨立的IP 地址，由網(wǎng)絡接入，通過認證后，借由PC 端登錄認證完畢后，借助移動儲存設備的憑證接入網(wǎng)站內(nèi)部。這個過程需要數(shù)字證書或驗證碼來明確用戶權限，確保安全后方可通過防火墻進入到內(nèi)部信息庫，通常情況下，會有以下幾個步驟來判斷權限：

1.計算機登錄認證

當用戶使用計算機登錄自身信息系統(tǒng)安全防護裝置，便會開啟第一道門檻，明確權限，提升認證安全強度，并對個人終端的安全防護系統(tǒng)進行連接，實時信息交換將登陸所需要的數(shù)字證書和智能驗證碼結(jié)合錄入的分析系統(tǒng)中，若該用戶需要登錄終端，且具有足夠權限的證書設備時則會同意，并打開防火墻。若用戶個人證書未通過認證或驗證碼時，則會被系統(tǒng)攔截，防火墻會將動態(tài)信息傳遞到工作人員智能終端中。為防護網(wǎng)絡安全，客戶在使用計算機時，必須確保個人證書設備始終鎖定在該計算機內(nèi)部，如果過程中使用PIN 碼登錄并解開鎖定時，用戶登錄信息自動失效。

2.網(wǎng)絡終端接入認證

該方法是為防止非法設備接入商密網(wǎng)，對接入的設備進行嚴格的身份認證，確保系統(tǒng)所需的證書滿足需求才能接入網(wǎng)絡。同時，網(wǎng)絡接入屏障應該基于原有網(wǎng)絡拓撲結(jié)構方可使用，不能影響上層應用服務。通常情況下，網(wǎng)絡接入和認證體系是以IEEE 802.1x 協(xié)議為核心，采取接入端口點到點連接的方式來判斷接入設備權限。同時在去往內(nèi)部進行接入設備的認證和控制物理層面進行端口信息交換，確保符合規(guī)格需求。技術層面要通過端口連接的用戶設備和內(nèi)部的個人信息證書向驗證權限正確，且信息精確才可以訪問局域網(wǎng)內(nèi)的資源，弱認證信息缺失或無法認證都會立刻斷開鏈接。該接入憑證之所以能和用戶智能終端系統(tǒng)中的數(shù)字證書結(jié)合并提供認證權限，是因為其本身可以利用內(nèi)部智能芯片讀取證書，辨別真?zhèn)?，明確詳細信息，大幅增加網(wǎng)絡安全性和客戶管理能力。這種方法也可以防止其他人以本人名義介入網(wǎng)絡，導致信息泄露，這種網(wǎng)絡終端接入認證方式更加靈活，可以針對客戶使用的系統(tǒng)進行多方面組合配置，多樣化的接入方式和設備可以提升準確率，同時對全過程進行詳細審計，標注認證失敗的位置，必要時自動報警。

3.登錄應用認證

數(shù)字證書設備作為網(wǎng)絡認證的基本信息，用戶在登錄時會第一時間進行登錄認證工作，結(jié)合管理員所提出的訪問權限進行查驗合格后，便完成系統(tǒng)的安全認證工作，一旦用戶注冊完畢，即可以開放對應權限。

（二）數(shù)據(jù)加密保護

1.文件儲存加密

這種加密方式通常會在本地硬盤提供一個位置來存放重要文件，并且此空間為加密不可見的，通過固定的加密算法，可以實現(xiàn)智能終端對文檔完全透明化的操作和使用，即使在使用過程中出現(xiàn)文檔遺失情況，也會因為不具備共同的局域網(wǎng)IP 而無法使用，這樣就可以確保商密網(wǎng)中的一些核心數(shù)據(jù)控制在安全可靠的環(huán)境內(nèi)，有效保障核心數(shù)據(jù)的安全性。另外，這種方式也可以方便信息傳遞，對于重要文件而言，其加密方式就決定了訪問權限的判定方式，多樣化的檢查手段使得密保工作更加穩(wěn)定。

2.網(wǎng)絡傳輸加密

系統(tǒng)各個組件之間以及服務器之間會采用特殊的加密技術，確保通訊安全，不會在過程中丟失信號。

結(jié)論：綜上所述，商業(yè)秘密信息直接關系到企業(yè)的經(jīng)濟收益和市場競爭力，是核心資產(chǎn)，對于任何企業(yè)而言，商密網(wǎng)體系保護都是最重要的指標?；诖说钠髽I(yè)應該做好商業(yè)秘密信息的保護，妥善處理業(yè)務需求和安全防護之間的關系，分類分域的進行科學防護，不斷優(yōu)化防護，提出全新的設計思路。