關(guān)鍵詞：涉密計(jì)算機(jī);違規(guī)外聯(lián);防范措施

中圖法分類號(hào)：TP319 文獻(xiàn)標(biāo)識(shí)碼：A

1引言

隨著我國(guó)科學(xué)技術(shù)水平的提升，信息技術(shù)、計(jì)算機(jī)技術(shù)以及網(wǎng)絡(luò)技術(shù)已經(jīng)逐漸滲透到人們的日常生活中，并改變了人們傳統(tǒng)的生產(chǎn)和生活方式——人們對(duì)網(wǎng)絡(luò)的依賴性更強(qiáng)，可以直接從互聯(lián)網(wǎng)獲取自己所需要的知識(shí)。也就是說(shuō)，互聯(lián)網(wǎng)已經(jīng)成為現(xiàn)代社會(huì)的重要組成部分，并滲透到各個(gè)領(lǐng)域中。對(duì)于我國(guó)行政部門而言，信息技術(shù)的應(yīng)用已經(jīng)十分普遍，這提高了政府部門的行政效率和行政質(zhì)量。雖然信息技術(shù)的應(yīng)用推動(dòng)了人類社會(huì)的發(fā)展，但是與此同時(shí)帶來(lái)了日益突出的網(wǎng)絡(luò)安全問(wèn)題，并受到國(guó)家和政府部門的高度重視。由于互聯(lián)網(wǎng)具有開(kāi)放性、優(yōu)越性以及互聯(lián)性，這給不法分子提供了可乘之機(jī)，導(dǎo)致計(jì)算機(jī)犯罪案件逐年增加，信息安全問(wèn)題越發(fā)嚴(yán)重。

我國(guó)政府部門對(duì)信息安全的要求較高，為了保證內(nèi)網(wǎng)的安全，通常采用內(nèi)網(wǎng)與外網(wǎng)物理隔離的方式，即在內(nèi)網(wǎng)和外網(wǎng)之間建立一道安全邊界，從而加強(qiáng)內(nèi)網(wǎng)的安全性，也便于對(duì)內(nèi)網(wǎng)進(jìn)行管理?，F(xiàn)階段，物理隔離成為網(wǎng)絡(luò)安全保密體系中不可或缺的技術(shù)，也在我國(guó)各部門中廣泛應(yīng)用。但是，從該項(xiàng)技術(shù)的實(shí)際應(yīng)用情況來(lái)看，由于許多用戶缺乏信息安全意識(shí)，這就給原本安全的內(nèi)網(wǎng)環(huán)境帶來(lái)新的安全風(fēng)險(xiǎn)，也給不法分子提供了一座入侵內(nèi)網(wǎng)的秘密橋梁，對(duì)內(nèi)網(wǎng)信息造安全成極大威脅。如果企業(yè)保密數(shù)據(jù)丟失，將會(huì)給國(guó)家?guī)?lái)巨大的經(jīng)濟(jì)損失，也會(huì)影響政府部門的公信力。

2違規(guī)外聯(lián)的主要方式

涉密信息系統(tǒng)都需要根據(jù)我國(guó)相關(guān)規(guī)定進(jìn)行物理隔離，但是這只能在一定程度上保護(hù)內(nèi)網(wǎng)的物理安全，而違規(guī)外聯(lián)是來(lái)自網(wǎng)絡(luò)內(nèi)部的一種主動(dòng)行為，可以輕松在內(nèi)網(wǎng)中打開(kāi)一條通往外網(wǎng)的通道，同時(shí)該通道可以繞過(guò)網(wǎng)絡(luò)安全防護(hù)體系，使原本較為安全的物理隔離環(huán)境出現(xiàn)不同程度的安全風(fēng)險(xiǎn)。所以，我們需要采取一定的技術(shù)手段，以此阻斷內(nèi)網(wǎng)通往外網(wǎng)的通道，保證涉密信息的安全。

違規(guī)外聯(lián)的主要方式如下：使用網(wǎng)卡聯(lián)通內(nèi)外網(wǎng)絡(luò)——將內(nèi)網(wǎng)網(wǎng)線拔出或者將本地網(wǎng)卡禁用，再與外網(wǎng)進(jìn)行違規(guī)外聯(lián)，從而破壞原本的物理隔離環(huán)境;內(nèi)網(wǎng)主機(jī)或者單臺(tái)計(jì)算機(jī)使用電話線、ISDN、ADSL等方式進(jìn)行撥號(hào)上網(wǎng)——使用WLAN、GPRS以及CDMA等無(wú)線上網(wǎng)進(jìn)行違規(guī)外聯(lián);非涉密計(jì)算機(jī)使用內(nèi)網(wǎng)并更改IP進(jìn)行違規(guī)接入或在涉密網(wǎng)絡(luò)中添加新的主機(jī)進(jìn)行違規(guī)外聯(lián);內(nèi)網(wǎng)主機(jī)通過(guò)串口、紅外、藍(lán)牙、USB接口等外設(shè)設(shè)備接入互聯(lián)網(wǎng)或者與其他設(shè)備交換信息進(jìn)行違規(guī)外聯(lián)。

3違規(guī)外聯(lián)的原因分析

近年來(lái)，相關(guān)調(diào)查發(fā)現(xiàn)：違規(guī)外聯(lián)行為在黨政機(jī)關(guān)和企業(yè)中均有發(fā)生，而其中黨政機(jī)關(guān)占比62%，企業(yè)占比38%。通過(guò)對(duì)違規(guī)外聯(lián)行為進(jìn)行分析，本文將其分為以下4種類型：第一類，更換辦公地點(diǎn)或者在維護(hù)網(wǎng)絡(luò)的過(guò)程中與外網(wǎng)相連，這種違規(guī)外聯(lián)行為占比38%;第二類，在當(dāng)事人并不知情的情況下，在升級(jí)系統(tǒng)或病毒庫(kù)的過(guò)程中與外網(wǎng)相連，這類違規(guī)外聯(lián)行為占比15%;第三類，工作人員自身并未接受保密技能培訓(xùn)，缺乏對(duì)網(wǎng)絡(luò)安全的認(rèn)知，在操作計(jì)算機(jī)的過(guò)程中存在錯(cuò)誤行為，導(dǎo)致自身的操作行為與外網(wǎng)發(fā)生互聯(lián)，此類違規(guī)外聯(lián)行為占比15%;第四類，技術(shù)人員在安裝防護(hù)系統(tǒng)的過(guò)程中存在不恰當(dāng)行為，導(dǎo)致違規(guī)外聯(lián)行為的發(fā)生，此類違規(guī)外聯(lián)行為占比32%。由于在發(fā)生上述違規(guī)外聯(lián)行為后多經(jīng)過(guò)及時(shí)阻斷，因此多數(shù)事件并未造成較為嚴(yán)重的后果。而通過(guò)上述數(shù)據(jù)分析，可以發(fā)現(xiàn)違規(guī)外聯(lián)行為發(fā)生的主要原因有以下幾點(diǎn)。

其一，由于第一類和第二類違規(guī)外聯(lián)類型的占比高達(dá)53%，因此企業(yè)和政府單位在涉密計(jì)算機(jī)管理制度上并不健全，這也是違規(guī)外聯(lián)行為發(fā)生的主要原因。管理制度不健全使涉密計(jì)算機(jī)的管理工作存在較大的漏洞，如涉密計(jì)算機(jī)標(biāo)識(shí)模糊、淘汰不及時(shí)、具體數(shù)量不清晰、管理人員交接不認(rèn)真、更換辦公地點(diǎn)并未按管理制度對(duì)涉密計(jì)算機(jī)進(jìn)行相應(yīng)保護(hù)。

其二，安裝防護(hù)產(chǎn)品的技術(shù)人員的業(yè)務(wù)并不熟練，這也是導(dǎo)致涉密計(jì)算機(jī)發(fā)生違規(guī)外聯(lián)的一個(gè)主要原因。違規(guī)行為主要表現(xiàn)在：技術(shù)人員自身缺乏相關(guān)防護(hù)軟件的安裝經(jīng)驗(yàn)，導(dǎo)致在安裝過(guò)程中出現(xiàn)違規(guī)行為;在涉密筆記本電腦上安裝防護(hù)產(chǎn)品時(shí)，并未檢查筆記本電腦是否拆除無(wú)線模塊就對(duì)其進(jìn)行安裝，導(dǎo)致筆記本電腦重啟后自動(dòng)連接外網(wǎng)。

其三，涉密計(jì)算機(jī)操作人員的保密意識(shí)較為淡薄，同時(shí)缺乏計(jì)算機(jī)安全相關(guān)的保密知識(shí)，導(dǎo)致涉密計(jì)算機(jī)違規(guī)外聯(lián)行為時(shí)有發(fā)生。計(jì)算機(jī)操作人員在缺少保密知識(shí)技能培訓(xùn)的情況下，對(duì)涉密計(jì)算機(jī)的使用情況并不了解，在使用計(jì)算機(jī)時(shí)出現(xiàn)不正確的操作行為，使涉密計(jì)算機(jī)與外網(wǎng)相連。

4違規(guī)外聯(lián)的防范措施

通過(guò)上述分析可以看出，人為因素是涉密計(jì)算機(jī)出現(xiàn)違規(guī)行為的主要原因。同時(shí)，在防護(hù)軟件升級(jí)和安裝方面也存在著一定的弊端，因此本文從管理和技術(shù)兩個(gè)方面探討違規(guī)外聯(lián)的防范措施。

4.1管理方面的防范措施

（1）對(duì)涉密計(jì)算機(jī)的管理制度進(jìn)行規(guī)范。違規(guī)外聯(lián)最容易發(fā)生在計(jì)算機(jī)安裝、維修和淘汰三個(gè)階段，而這三個(gè)階段都屬于動(dòng)態(tài)管理，具有一定的風(fēng)險(xiǎn)性，存在較大的安全隱患，需要對(duì)這三個(gè)階段的保密措施進(jìn)行加強(qiáng)，同時(shí)企業(yè)或機(jī)關(guān)單位應(yīng)明確提出相應(yīng)的保密要求。如在辦公室搬遷的過(guò)程中應(yīng)提前制定相應(yīng)的保密工作方案;在安裝防護(hù)軟件時(shí)要求安裝人員具備一定的計(jì)算機(jī)能力。此外，管理人員也要增強(qiáng)自身的責(zé)任心，密切關(guān)注涉密計(jì)算機(jī)的各個(gè)動(dòng)態(tài)管理環(huán)節(jié)，保證每項(xiàng)管理措施能夠得到有效落實(shí)。同時(shí)，管理人員也要保證涉密計(jì)算機(jī)在自己的管理范圍之內(nèi)，防止他人私自對(duì)涉密計(jì)算機(jī)進(jìn)行檢查、打開(kāi)或者搬運(yùn);對(duì)于需要淘汰的涉密計(jì)算機(jī)應(yīng)做好標(biāo)記，及時(shí)進(jìn)行銷毀，防止誤用或誤搬行為的發(fā)生。

（2）避免過(guò)度防護(hù)。安全防護(hù)軟件主要用于涉密計(jì)算機(jī)的防護(hù)工作，但在對(duì)事業(yè)單位檢查的過(guò)程中發(fā)現(xiàn)部分管理人員對(duì)涉密的理解存在一定的偏差，如在財(cái)務(wù)專用設(shè)備上安裝安全防護(hù)產(chǎn)品，但是又不能按照涉密計(jì)算機(jī)管理?xiàng)l例來(lái)對(duì)財(cái)務(wù)專用設(shè)備進(jìn)行日常管理，這就導(dǎo)致違規(guī)外聯(lián)行為經(jīng)常發(fā)生，而這一行為并不是存在于單一機(jī)關(guān)單位。由此說(shuō)明，我國(guó)機(jī)關(guān)單位在保密教育、涉密界定以及保密范圍方面，仍然存在許多不足，還具有較大的提升空間。

（3）加強(qiáng)涉密人員的培訓(xùn)工作。涉密人員在上崗前應(yīng)做好審查和崗前培訓(xùn)工作，特別是在涉密計(jì)算機(jī)的使用方面，應(yīng)做好相關(guān)的技能培訓(xùn)工作。保證每位涉密人員上崗之前，都能做到“先培訓(xùn)后上崗”，并定期舉辦相關(guān)知識(shí)交流會(huì)。同時(shí)，管理人員應(yīng)以技能培訓(xùn)為切入口，在培訓(xùn)的過(guò)程中提升涉密人員的榮譽(yù)感、使命感和責(zé)任感，使涉密人員在意識(shí)層面重視保密工作，嚴(yán)格牢記保密要求，減少違規(guī)外聯(lián)行為的發(fā)生。

（4）要求提供防護(hù)軟件的企業(yè)，其安裝技術(shù)人員也應(yīng)具備相同的保密資質(zhì)。防護(hù)軟件通常需要安裝在涉密計(jì)算機(jī)的底層，如果這時(shí)對(duì)涉密計(jì)算機(jī)安裝非法程序來(lái)竊取機(jī)密資料，后果無(wú)法設(shè)想。在調(diào)查的過(guò)程中，我們發(fā)現(xiàn)甲方通常具備保密意識(shí)，而安裝技術(shù)崗位卻并不屬于涉密崗位，且甲方并未對(duì)安裝人員進(jìn)行資質(zhì)審核和保密教育，這在安裝中存在較大的安全隱患。因此，應(yīng)要求防護(hù)軟件供應(yīng)商，在企業(yè)內(nèi)部設(shè)置合理的涉密崗位，完善涉密人員的審查工作。

（5）重視涉密計(jì)算機(jī)的采購(gòu)安全。通過(guò)調(diào)查發(fā)現(xiàn)，行業(yè)在現(xiàn)階段依然將涉密計(jì)算機(jī)當(dāng)作一般商品進(jìn)行采購(gòu)，在選擇涉密計(jì)算機(jī)時(shí)對(duì)代理商或中間商是否具有保密機(jī)制，最終的用戶是否用于正當(dāng)合法的用途，都沒(méi)有明確的規(guī)定和要求。因此，建議我國(guó)保密行政管理部門，開(kāi)展相應(yīng)的安全風(fēng)險(xiǎn)調(diào)查并出臺(tái)相關(guān)政策，對(duì)涉密計(jì)算機(jī)的銷售和流通環(huán)節(jié)進(jìn)行有效管理。

4.2技術(shù)方面的防范措施

在技術(shù)層面，為了保證內(nèi)部數(shù)據(jù)信息的安全，機(jī)關(guān)單位或企業(yè)應(yīng)限制內(nèi)網(wǎng)與外網(wǎng)的連接，其具體情況可以分為以下兩種：一是禁止內(nèi)網(wǎng)與外網(wǎng)直接進(jìn)行連接;二是內(nèi)網(wǎng)只允許通過(guò)指定網(wǎng)關(guān)與外網(wǎng)進(jìn)行連接。目前，內(nèi)網(wǎng)在建設(shè)的過(guò)程中都采用TCP/IP協(xié)議組網(wǎng)，并給涉密計(jì)算機(jī)配備私有的IP地址，也就是說(shuō)在內(nèi)網(wǎng)中每臺(tái)主機(jī)都有屬于自己的IP協(xié)議棧，且每臺(tái)主機(jī)的IP地址是唯一的。而在內(nèi)網(wǎng)中，違規(guī)外聯(lián)的主機(jī)與其他主機(jī)的不同之處在于其擁有分配公有IP地址的功能，在連接外網(wǎng)的過(guò)程中，其IP地址會(huì)存在較大的浮動(dòng)。因此只要對(duì)每臺(tái)主機(jī)的IP地址信息進(jìn)行查詢，就可以及時(shí)發(fā)現(xiàn)存在違規(guī)外聯(lián)行為的主機(jī)?；诖耍疚脑诩夹g(shù)層面上提出以下幾點(diǎn)建議。

4.2.1安裝SNMP服務(wù)

對(duì)內(nèi)網(wǎng)的每臺(tái)涉密計(jì)算機(jī)都提供SNMP服務(wù)，SNMP服務(wù)可以對(duì)涉密計(jì)算機(jī)的撥號(hào)行為進(jìn)行檢測(cè)。同時(shí)，運(yùn)用SNMP服務(wù)開(kāi)發(fā)一款監(jiān)控軟件，監(jiān)控軟件定期向內(nèi)網(wǎng)中其他涉密計(jì)算機(jī)詢問(wèn)當(dāng)前IP地址信息，如果發(fā)現(xiàn)有不屬于范圍內(nèi)的IP地址則可以對(duì)其進(jìn)行判定——該涉密計(jì)算機(jī)是否通過(guò)撥號(hào)上網(wǎng)。不過(guò)，運(yùn)用該監(jiān)控軟件的前提是：對(duì)每臺(tái)涉密計(jì)算機(jī)提供SNMP服務(wù)。

4.2.2利用802.1x協(xié)議進(jìn)行控制

為了實(shí)現(xiàn)對(duì)內(nèi)網(wǎng)涉密計(jì)算機(jī)端口的接入控制，可以采用802.1x協(xié)議對(duì)內(nèi)網(wǎng)中以太網(wǎng)端口的訪問(wèn)權(quán)限進(jìn)行控制。正常情況下，涉密計(jì)算機(jī)與交換機(jī)相連，這時(shí)交換機(jī)會(huì)運(yùn)行一個(gè)認(rèn)證代理協(xié)議（EAP協(xié)議），用戶要想使用這一協(xié)議就需要在涉密計(jì)算機(jī)上運(yùn)行EAPoL，完成與交換機(jī)的數(shù)據(jù)通信。而802.1x協(xié)議可以對(duì)以太網(wǎng)端口進(jìn)行邏輯控制，將其編程為受控和不受控兩種，只有涉密計(jì)算機(jī)使用不受控端口才可以在交換機(jī)中完成EAP認(rèn)證，從而通過(guò)端口獲取自己所需要的資源。此外，受控端口將無(wú)法在交換機(jī)中進(jìn)行認(rèn)證，其會(huì)一直處于拒絕訪問(wèn)的狀態(tài)。這種控制方式極大地提高了內(nèi)網(wǎng)涉密計(jì)算機(jī)連接外網(wǎng)的難度，提高了內(nèi)網(wǎng)的安全性。

4.2.3構(gòu)建雙機(jī)架構(gòu)監(jiān)控系統(tǒng)

雙機(jī)架構(gòu)監(jiān)控系統(tǒng)主要由監(jiān)控模塊和報(bào)警模塊兩個(gè)部分組成，該系統(tǒng)有兩種運(yùn)行模式：一是將監(jiān)控模塊安裝到內(nèi)網(wǎng)之中，該模塊會(huì)定期主動(dòng)向內(nèi)網(wǎng)中的涉密計(jì)算機(jī)發(fā)送探測(cè)包，對(duì)其進(jìn)行撥號(hào)探測(cè)。而將報(bào)警模塊安裝在外網(wǎng)時(shí)，其主要作用是對(duì)撥號(hào)報(bào)警信息進(jìn)行解析，從而鎖定存在違規(guī)外聯(lián)的涉密計(jì)算機(jī)。監(jiān)控模塊通過(guò)連續(xù)的詢問(wèn)輪詢方式向各個(gè)涉密計(jì)算機(jī)發(fā)送探測(cè)包，如果這時(shí)內(nèi)網(wǎng)中有涉密計(jì)算機(jī)正在通過(guò)撥號(hào)上網(wǎng)，探測(cè)包會(huì)主動(dòng)通過(guò)該涉密計(jì)算機(jī)的撥號(hào)網(wǎng)絡(luò)向外部的報(bào)警模塊發(fā)送報(bào)警信息。報(bào)警模塊在收到報(bào)警信息后對(duì)其進(jìn)行解析，從而獲取正在撥號(hào)上網(wǎng)的涉密計(jì)算機(jī)的IP地址。如果內(nèi)網(wǎng)中沒(méi)有涉密計(jì)算機(jī)上網(wǎng)，探測(cè)包將無(wú)法誘導(dǎo)涉密計(jì)算機(jī)發(fā)送報(bào)警信息;二是將發(fā)送模塊和探測(cè)模塊安裝在內(nèi)網(wǎng)中，將探測(cè)模塊設(shè)置成混雜模式，發(fā)送模塊所發(fā)送的數(shù)據(jù)幀源地址則設(shè)置成外網(wǎng)的任意IP地址。在對(duì)內(nèi)網(wǎng)撥號(hào)上網(wǎng)的探測(cè)上與第一種方法具有較大的差異，主要是用否認(rèn)判斷模式，發(fā)送模塊會(huì)定期向每臺(tái)涉密計(jì)算機(jī)發(fā)送探測(cè)信號(hào)，如果接收不到某臺(tái)涉密計(jì)算機(jī)的響應(yīng)數(shù)據(jù)，則可以判定該臺(tái)計(jì)算機(jī)存在違規(guī)外聯(lián)的情況。

5結(jié)束語(yǔ)

隨著互聯(lián)網(wǎng)技術(shù)的發(fā)展，我國(guó)絕大多數(shù)的部門和企業(yè)都實(shí)現(xiàn)了信息化辦公，這雖極大提高了辦公效率，但同時(shí)也帶來(lái)了一定的網(wǎng)絡(luò)安全問(wèn)題。目前，物理隔離是將內(nèi)網(wǎng)與外網(wǎng)進(jìn)行分離，這種方式具有較高的安全性，但是內(nèi)網(wǎng)中的違規(guī)外聯(lián)行為無(wú)疑給內(nèi)網(wǎng)的安全帶來(lái)了嚴(yán)重威脅。相關(guān)部門非常重視網(wǎng)絡(luò)的安全性，并采取了多種安全防護(hù)措施來(lái)保證內(nèi)網(wǎng)數(shù)據(jù)信息的安全，但是這些預(yù)防手段往往會(huì)被缺乏安全意識(shí)的人員所破壞。如內(nèi)部人員私自將內(nèi)網(wǎng)與外網(wǎng)建立連接，這樣就形成了內(nèi)外網(wǎng)絡(luò)的雙向連接，從而給不法分子入侵內(nèi)網(wǎng)打開(kāi)方便之門。網(wǎng)絡(luò)中的重要數(shù)據(jù)信息一旦發(fā)生丟失，將會(huì)造成不可估量的損失。因此，為了從根本上防止違規(guī)外聯(lián)行為的發(fā)生，相關(guān)部門必須制定有效的監(jiān)管機(jī)制，保證內(nèi)網(wǎng)數(shù)據(jù)信息的安全。

作者簡(jiǎn)介：

馮秀清（1987—），碩士，助理研究員，研究方向：計(jì)算機(jī)應(yīng)用。