對于涉密內(nèi)網(wǎng)來說，最重要的資產(chǎn)是涉密數(shù)據(jù)，因此，如何保護(hù)這些重要資產(chǎn)不被非授權(quán)拷貝出網(wǎng)、不被拷貝進(jìn)網(wǎng)的病毒或惡意代碼所破壞，就成為一個非常重要的問題，國家保密標(biāo)準(zhǔn)中對于涉密網(wǎng)內(nèi)數(shù)據(jù)的進(jìn)出控制也進(jìn)行了相應(yīng)的要求。

一、系統(tǒng)概述

    主機(jī)監(jiān)控系統(tǒng)是綜合利用密碼、訪問控制和審計(jì)跟蹤等技術(shù)手段，對涉密信息、重要業(yè)務(wù)數(shù)據(jù)和技術(shù)專利等敏感信息的存儲、傳播和處理過程實(shí)施安全保護(hù)的軟件系統(tǒng)，能最大限度地防止敏感信息的泄漏、被破壞和違規(guī)外傳，并完整記錄涉及敏感信息的操作日志以便事后審計(jì)和追究泄密責(zé)任。目前，個人計(jì)算機(jī)系統(tǒng)成為組成企業(yè)、單位網(wǎng)絡(luò)的主體，也是絕大多數(shù)泄密事件發(fā)生的源頭。針對這一現(xiàn)狀，主機(jī)監(jiān)控系統(tǒng)將保護(hù)對象定位于個人計(jì)算機(jī)系統(tǒng)，主要功能是防止個人桌面系統(tǒng)的信息泄漏，同時對個人桌面系統(tǒng)的軟硬件資源實(shí)施安全管理，并對個人桌面系統(tǒng)的工作狀況進(jìn)行監(jiān)控和審計(jì)。

二、主機(jī)監(jiān)控與審計(jì)系統(tǒng)的要求

    目前各軟件企業(yè)推出的主機(jī)監(jiān)控與審計(jì)系統(tǒng)一般都由三部分組成：客戶端、服務(wù)器端和管理端。客戶端，即安裝在計(jì)算機(jī)上的代理軟件，用來收集主機(jī)數(shù)據(jù)信息，并接收從服務(wù)器端下發(fā)，由管理員配置的安全策略和指令，其最終目的是對主機(jī)行為進(jìn)行監(jiān)控，當(dāng)有非法行為發(fā)生時，客戶端可以中斷非法行為，保護(hù)主機(jī)和各種軟、硬件資源及機(jī)密信息的安全。同時，還能夠產(chǎn)生相應(yīng)的報(bào)警日志，方便管理者進(jìn)行追查、處理。服務(wù)器端，一般安裝在內(nèi)網(wǎng)中一個具有較高性能的平臺上，用于接收受控主機(jī)客戶端發(fā)送的各類信息，進(jìn)行存儲、管理。管理端，通常是一個Web服務(wù)或者其他應(yīng)用程序，經(jīng)過用戶登錄后，管理者能夠進(jìn)入對應(yīng)的管理界面，配置和下發(fā)適當(dāng)?shù)陌踩�策略，查詢和分析客戶端日志，以及統(tǒng)計(jì)和管理各種主機(jī)資產(chǎn)信息。

三、解決措施

    （一）非正常啟動系統(tǒng)的防護(hù)

    本文所闡述的問題均是假定采取了相關(guān)的安全產(chǎn)品后的遺留風(fēng)險(xiǎn)，下面給出的解決方法也是基于該假設(shè)前提。無論是從光盤啟動還是從USB啟動，必須先調(diào)整設(shè)備的啟動順序，因此可以控制BIOS的修改權(quán)限來防止用戶繞過硬盤啟動。具體的做法如下：

    首先，從管理上進(jìn)行統(tǒng)一管理，BIOS的密碼由管理員統(tǒng)一管理，有需要的時候由管理員進(jìn)行權(quán)限開放。其次，規(guī)定機(jī)箱不得隨意打開，必須有相關(guān)管理人員在場或同意后打開，這樣能夠防止對CMOS放電而開啟BIOS的控制權(quán)限。最后，對主板電池的使用時間做預(yù)估，如果主機(jī)還繼續(xù)使用，確保在其主板電池失效前更換。

    （二）與其他機(jī)器直連的防護(hù)

    Windows主機(jī)與其他機(jī)器采用交叉線直接連接的問題，目前單從技術(shù)上還沒有很好的解決方案，原因是聯(lián)網(wǎng)的計(jì)算機(jī)本身需要使用網(wǎng)卡，所以不能從底層將網(wǎng)卡禁用。目前有些監(jiān)控產(chǎn)品通過監(jiān)控網(wǎng)線的拔插進(jìn)行控制，即探測到網(wǎng)線被拔掉后即觸發(fā)關(guān)機(jī)指令，但這也只是針對系統(tǒng)啟動后對網(wǎng)卡的監(jiān)控，沒有從根本上解決該問題。若主機(jī)監(jiān)控產(chǎn)品提供了網(wǎng)卡的審計(jì)功能，與其他機(jī)器的直連操作是能夠被審計(jì)到的。因此在管理上應(yīng)充分利用安全產(chǎn)品的審計(jì)功能，嚴(yán)格控制非工作需要的筆記本計(jì)算機(jī)帶入工作區(qū)，同時教育員工增強(qiáng)保密意識。

    （三）基于數(shù)字信封的文件輸入輸出控制系統(tǒng)

    文件正常的進(jìn)出網(wǎng)絡(luò)也是客觀的需求，因此為了保證數(shù)據(jù)的安全進(jìn)出，又滿足正常的工作需要，需要建立一套文件輸入輸出控制系統(tǒng)。數(shù)字信封是數(shù)字證書的一個基本應(yīng)用，其功效類似于普通信封，其采用密碼技術(shù)保證只有規(guī)定的接收人才能閱讀“信件”內(nèi)容�？蛻舳薃將欲拷出的文件生成數(shù)字信封后上傳到文件服務(wù)器，在文件服務(wù)器上加入了審批工作流，只有經(jīng)過審批后才能將文件從服務(wù)器上拷出。正如本文前言所述我們重點(diǎn)保護(hù)的是敏感信息不被非授權(quán)拷貝出網(wǎng)，因此對于拷入網(wǎng)絡(luò)的數(shù)據(jù)不需要經(jīng)過審批流程，文件輸出的流程如下：

    （1）客戶端A生成對稱密鑰；（2）客戶端A使用堆成密鑰對需要發(fā)送的信息進(jìn)行加密，得到密文；（3）客戶端A使用自己的數(shù)字證書中的公鑰加密對稱密鑰，得到數(shù)字信封；（4）客戶端A將密文和數(shù)字信封上傳至文件服務(wù)器；（5）然后經(jīng)過審批流程后，客戶端A在文件進(jìn)出終端使用自己的私鑰拆解數(shù)字信封，得到對稱密鑰；（6）客戶端A使用對稱密鑰解密密文，得到明文。

    上述系統(tǒng)的部署模式是每個單位或部門僅提供一臺機(jī)器作為文件輸入輸出終端，該機(jī)器可以正常使用存儲介質(zhì)，其他網(wǎng)上的機(jī)器均禁用所有存儲介質(zhì)。本系統(tǒng)的優(yōu)點(diǎn)是文件在整個傳輸過程中是密文的，只有擁有私鑰的上傳者才可以解開密文，并且不經(jīng)過審批流程，無法從文件服務(wù)器上下載該文件。

四、總結(jié)

    本文提出的一種新的主機(jī)監(jiān)控系統(tǒng)，綜合利用密碼、訪問控制和審計(jì)跟蹤等技術(shù)手段，對涉密信息、重要業(yè)務(wù)數(shù)據(jù)和技術(shù)專利等敏感信息的存儲、傳播和處理過程實(shí)施安全保護(hù)，最大限度地防止敏感信息的泄漏、被破壞和違規(guī)外傳，并完整記錄涉及敏感信息的操作日志以便事后審計(jì)和追究泄密者的責(zé)任，大大提高了網(wǎng)絡(luò)系統(tǒng)的內(nèi)部安全。

核心關(guān)注：拓步ERP系統(tǒng)平臺是覆蓋了眾多的業(yè)務(wù)領(lǐng)域、行業(yè)應(yīng)用，蘊(yùn)涵了豐富的ERP管理思想，集成了ERP軟件業(yè)務(wù)管理理念，功能涉及供應(yīng)鏈、成本、制造、CRM、HR等眾多業(yè)務(wù)領(lǐng)域的管理，全面涵蓋了企業(yè)關(guān)注ERP管理系統(tǒng)的核心領(lǐng)域，是眾多中小企業(yè)信息化建設(shè)首選的ERP管理軟件信賴品牌。

轉(zhuǎn)載請注明出處：拓步ERP資訊網(wǎng)http://www.ezxoed.cn/

本文標(biāo)題：涉密企業(yè)主機(jī)審計(jì)與監(jiān)控的方案

本文網(wǎng)址：http://www.ezxoed.cn/html/consultation/1083952635.html