涉密網(wǎng)絡的安全保障體系是實現(xiàn)涉密系統(tǒng)信息共享、快速反應和高效運行的重要保證。安全保障體系首先應保證網(wǎng)絡的安全、可靠運行，在此基礎上保證應用系統(tǒng)和業(yè)務的保密性、完整性和高度的可用性，同時為將來的應用提供可擴展的空間。
1、涉密網(wǎng)絡的建設背景及所面臨的問題
1.1 涉密網(wǎng)的分級保護背景
國家保密局在1998年發(fā)布了《計算機信息系統(tǒng)保密管理暫行規(guī)定》，2006年又下發(fā)了《關于開展涉密信息系統(tǒng)分級保護工作的通知》，要求建立健全涉密信息系統(tǒng)分級保護制度，加強信息安全保密管理。由于涉密網(wǎng)絡中信息設備是多種多樣的，信息系統(tǒng)的規(guī)模也不同，不同的網(wǎng)絡中存在著不同層次、不同級別的國家秘密信息，需要有不同強度的保護措施，因此涉密網(wǎng)絡的安全策略的制定具有一定的復雜性
1.2 涉密網(wǎng)所面臨的安全問題
(1)病毒威脅：一些機器沒有安裝或更新殺毒軟件，使用U盤在不同的機器之間拷貝文件，都會引起網(wǎng)上病毒威脅涉密信息網(wǎng)的正常運行。例如公安信息網(wǎng)上曾發(fā)生過四次大范圍的病毒侵襲，造成公安信息網(wǎng)中斷和系統(tǒng)癱瘓。
(2)“一機兩用”問題：涉密信息系統(tǒng)作為國家的重要信息系統(tǒng)，勢必成為境內外敵對勢力進行竊密活動和攻擊破壞的重要目標。但由于許多涉密單位的網(wǎng)絡都分為內網(wǎng)（涉密）和外網(wǎng)（與互聯(lián)網(wǎng)相連），若不能有效解決涉密單位的電腦、網(wǎng)絡的專用問題，涉密信息網(wǎng)將面臨泄密和遭受攻擊的威脅。
(3)網(wǎng)上缺乏相關的安全措施，影響了涉密信息系統(tǒng)的發(fā)展和信息共享。涉密信息網(wǎng)上要實施加密技術措施，使涉密信息可以在網(wǎng)上交換，同時保護級別高的涉密網(wǎng)要解決上網(wǎng)用戶的身份認證和訪問授權控制等問題。
(4)系統(tǒng)抵御能力較弱。許多涉密信息網(wǎng)上的業(yè)務數(shù)據(jù)庫沒有建立完善的容災備份機制，一旦發(fā)生破壞或丟失將對相應的業(yè)務工作造成嚴重影響。
2、設計內容
借鑒美國國防部DISSP計劃中的安全框架，圖1表示的是適合較高級別的信息網(wǎng)絡的安全體系結構模型，包括安全服務、協(xié)議層次和實體單元三個層面，并在每個層面都包含安全管理內容。
從安全服務層面來看，根據(jù)信息密級程度不同，涉密信息系統(tǒng)對安全服務的需求也不同。其中，向社會發(fā)布信息的應用系統(tǒng)要求保護數(shù)據(jù)的完整性，防止非授權用戶篡改數(shù)據(jù)；對系統(tǒng)內部開放的信息和應用系統(tǒng)需要提供一定強度的認證手段和訪問控制能力，并提供完善的審計機制；對業(yè)務部門內部使用的涉密系統(tǒng)，則需要實現(xiàn)多級安全訪問控制機制和數(shù)據(jù)保密機制。
從實體單元角度來看，涉密網(wǎng)絡與信息安全體系包含物理環(huán)境安全；端系統(tǒng)安全；網(wǎng)絡通信安全；應用系統(tǒng)安全。
由此，涉密網(wǎng)絡與信息安全體系的設計內容包括以下幾方面內容：身份認證，網(wǎng)絡安全，計算機系統(tǒng)安全，應用系統(tǒng)安全，安全管理體制。
圖1 信息網(wǎng)絡安全體系結構
3、涉密網(wǎng)絡的安全設計
3.1 廣域網(wǎng)傳輸?shù)谋Ｃ苄栽O計
傳輸涉密信息必須在租用的專線鏈路兩端使用硬件加密/解密設備；在互連設備相鄰節(jié)點間實行鏈路層連接認證；在無線信道中使用硬件加密機實現(xiàn)數(shù)據(jù)保密傳輸。
3.1.1 路由信息的安全交換
使用安全路由器和安全的路由協(xié)議，利用密碼技術實現(xiàn)路由器間相互認證，保證路由信息的真實性、完整性、保密性；
在每個管理域的邊界，通過配置路由器或防火墻，使得只有源地址為該管理域合法地址的IP包可以離開該管理域。
3.1.2 網(wǎng)絡管理系統(tǒng)的安全措施
網(wǎng)絡管理系統(tǒng)需要嚴格的身份認證，特別是對于來自非控制臺的用戶，需要強制認證機制。不能在網(wǎng)絡上明碼傳輸口令；對不同網(wǎng)絡管理員，根據(jù)其任務和角色提供不同級別的授權控制；對管理員的每次使用和對網(wǎng)絡設備的操作，需要有完善的審計機制，以便于故障的恢復、責任的追查。
3.2 內部資源子網(wǎng)
資源子網(wǎng)或末梢網(wǎng)絡主要指各級機關局域網(wǎng)，資源包括主機及其所提供的服務，目標在于防止來自外部和內部的非法訪問和攻擊，采取的主要措施是物理和邏輯上的各種訪問控制措施，輔助以實時入侵監(jiān)測手段。
3.2.1 網(wǎng)絡資源的訪問控制
內部網(wǎng)絡資源的保護和訪問控制首先依賴于合理的網(wǎng)絡結構設計（特別是局域網(wǎng)），如利用合理的網(wǎng)段設置、局域網(wǎng)交換機的虛網(wǎng)劃分等手段實現(xiàn)廣播域的隔離。
為防止來自外部的非授權訪問和惡意攻擊，主要采取防火墻的過濾技術和輔助以入侵監(jiān)測技術，包括專用的包過濾設備、過濾路由器、以及應用層代理或應用網(wǎng)關。
3.2.2 按不同密級劃分網(wǎng)段
不同密級的信息在存儲與傳輸階段應該在物理或邏輯上進行隔離。在局域網(wǎng)設計時，網(wǎng)段的劃分與隔離應充分考慮網(wǎng)段信息的密級。
由于嚴格的物理隔離將造成使用不便、管理復雜，信息無法共享。因此，對不同密級信息的訪問控制應該主要由應用系統(tǒng)來完成。
對于絕密信息，可以做特殊考慮。保存絕密信息的主機或網(wǎng)絡可以在物理上與其他網(wǎng)絡隔離。機要部門之間的傳輸媒體應該采用屏蔽電纜或光纖，端系統(tǒng)使用硬件加密機。
3.2.3 撥號用戶接入與移動用戶接入
由于撥號網(wǎng)絡使用公用電話交換網(wǎng)，在網(wǎng)絡上傳輸?shù)臋C密信息存在被竊聽、篡改等威脅，需要解決用戶的認證問題，必須保障用戶口令不在網(wǎng)絡上以明碼形式傳輸。
無線移動用戶的接入與電話撥號用戶的接入作同樣的考慮。對于重要的應用和機密信息，信息的保密服務由上層協(xié)議來完成。
3.2.4 與公網(wǎng)的互連
涉密網(wǎng)絡作為涉密系統(tǒng)的內部網(wǎng)絡，從路由概念上講不與公用網(wǎng)絡互連。但有些單位為滿足內部人員使用Internet和對社會的信息發(fā)布等需求，在信息中心建立了對外公眾信息服務網(wǎng)。
公眾信息服務網(wǎng)中不應該包含任何涉密信息，對公眾信息服務網(wǎng)的安全需求主要是系統(tǒng)和服務的可用性、數(shù)據(jù)的完整性，通過加強系統(tǒng)安全、防火墻控制、安全監(jiān)控等措施，防范黑客攻擊和侵入、篡改信息。通過設置專用防火墻，拒絕外部網(wǎng)絡對內的網(wǎng)絡訪問。同時在網(wǎng)關處安裝流量分析和入侵檢測設備，以便及時發(fā)現(xiàn)網(wǎng)絡上的異常情況。
對外信息服務區(qū)和數(shù)據(jù)采集暫存區(qū)在與內部信息交換時可以連在內部網(wǎng)上，但在對外提供服務時必須與內部網(wǎng)絡物理斷開并采用經(jīng)國家有關部門批準的安全隔離設備，保障安全。
4、涉密網(wǎng)絡的安全保障技術建設
除了安全保障制度建設及信息系統(tǒng)的安全防護外，涉密網(wǎng)絡安全保障技術的重點工作應體現(xiàn)在下述幾方面：
4.1 建設CA身份認證系統(tǒng)及以密鑰管理、密碼工作管理和檢測監(jiān)控為主的涉密信息網(wǎng)絡安全管理系統(tǒng)
身份認證與訪問授權控制系統(tǒng)為每位上網(wǎng)用戶配發(fā)電子身份證書，實現(xiàn)對每一個登錄涉密信息網(wǎng)的用戶進行身份的合法性驗證，并根據(jù)用戶的身份授予訪問不同信息內容的權力。
4.2 涉密信息網(wǎng)安全監(jiān)控系統(tǒng)
4.2.1 入侵檢測子系統(tǒng)
入侵檢測系統(tǒng)通過對網(wǎng)段內的數(shù)據(jù)包進行監(jiān)測、分析，判斷非法訪問、攻擊、入侵和竊取信息行為并報警。
4.2.2 敏感信息監(jiān)控子系統(tǒng)
在涉密信息網(wǎng)上安裝敏感信息檢測子系統(tǒng)，實現(xiàn)對非法信息、泄密信息等進行監(jiān)控、分析、通報甚至阻斷，建立日常的運行管理、主題詞庫維護和人工干預工作機制。
4.2.3“一機兩用”監(jiān)控系統(tǒng)
通常我們講的“一機兩用”是指涉密網(wǎng)絡使用的計算機及網(wǎng)絡設備同時連接涉密信息網(wǎng)和國際互聯(lián)網(wǎng)等其他外部網(wǎng)絡，也包括斷開涉密信息網(wǎng)后接入國際互聯(lián)網(wǎng)或其他外部網(wǎng)絡。
聯(lián)入外網(wǎng)指的是使用一切手段和設備，包括使用手機、小靈通、無線網(wǎng)卡、藍牙技術等無線設備或調制解調器、光端機、ADSL、傳真機等有線設備直接或間接與外網(wǎng)相聯(lián)。如果有違規(guī)連接，應能及時監(jiān)測。
4.3 技術防范的措施建設
(1)內網(wǎng)防火墻:將內部子網(wǎng)（涉密網(wǎng)內的局域網(wǎng)）和公眾網(wǎng)絡（涉密信息網(wǎng)）分開的網(wǎng)絡安全工具。
(2)防病毒（計算機病毒預警防范體系）：通過在核心交換節(jié)點部署網(wǎng)絡預警系統(tǒng)的病毒監(jiān)測探針，實時檢測和發(fā)現(xiàn)網(wǎng)絡病毒，結合涉密信息網(wǎng)的IP地址規(guī)劃和計算機注冊定位信息，形成覆蓋全網(wǎng)的網(wǎng)絡病毒宏觀分析、研判與協(xié)調處置系統(tǒng)，建立涉密信息網(wǎng)病毒預警和通報機制，及時處理緊急病毒爆發(fā)事件。
(3)防災難（防災備份系統(tǒng)）：建立本地或異地的數(shù)據(jù)備份系統(tǒng)，對操作系統(tǒng)、數(shù)據(jù)庫、應用系統(tǒng)和資源庫進行防災備份。
4.4 涉密網(wǎng)絡的邊界安全建設
涉密信息網(wǎng)的整體邊界安全是安全保障工作的第一道防線。涉密信息網(wǎng)邊界安全包括：
4.4.1 保障涉密信息網(wǎng)無線接入安全
建立無線通信、微波通信、移動通信等無線技術接入涉密信息網(wǎng)的審查和批準制度。制定無線接入涉密信息網(wǎng)的安全技術要求和規(guī)范標準，無線接入產(chǎn)品要備案登記。
4.4.2 保障涉密信息網(wǎng)的撥號接入安全
制定電話撥號方式接入涉密信息網(wǎng)的安全技術要求和規(guī)范標準。
5、結語
涉密網(wǎng)絡的安全體系建設是一項復雜的系統(tǒng)工程，它不是簡單的產(chǎn)品購買，也不僅僅是幾張證書，而是一種機制。它與網(wǎng)絡邊界防護、網(wǎng)絡身份認證和權限管理、內網(wǎng)監(jiān)控與審計等技術都有密切的關聯(lián)。
核心關注：拓步ERP系統(tǒng)平臺是覆蓋了眾多的業(yè)務領域、行業(yè)應用，蘊涵了豐富的ERP管理思想，集成了ERP軟件業(yè)務管理理念，功能涉及供應鏈、成本、制造、CRM、HR等眾多業(yè)務領域的管理，全面涵蓋了企業(yè)關注ERP管理系統(tǒng)的核心領域，是眾多中小企業(yè)信息化建設首選的ERP管理軟件信賴品牌。
轉載請注明出處：拓步ERP資訊網(wǎng)http://www.oesoe.com/
本文標題：涉密網(wǎng)絡的安全體系設計
本文網(wǎng)址：http://www.oesoe.com/html/support/1112156450.html
相關文章
