引言
在軍工單位中，需要處理、存儲國家秘密的計算機稱為涉密計算機，由涉密計算機構(gòu)成的網(wǎng)絡系統(tǒng)稱為涉密網(wǎng)。網(wǎng)絡信息安全是指防止網(wǎng)絡本身及其采集、加工、存儲、傳輸?shù)男畔?shù)據(jù)被故意或偶然的非授權(quán)泄露、更改、破壞或使信息被非法辨認、控制。目前，軍工單位普遍使用計算機網(wǎng)絡進行產(chǎn)品設(shè)計和生產(chǎn)經(jīng)營管理，通過計算機造成的失泄密事件日益增多。為了確保國家秘密的安全，國家對從事軍工科研和生產(chǎn)的單位實行保密資格審查認證制度，并對軍工單位的涉密網(wǎng)絡建設(shè)和使用提出相應的要求，故針對軍工單位如何達到涉密網(wǎng)絡的安全保密要求進行探討。
1 涉密網(wǎng)絡信息安全的要求及其特點
1．1 涉密網(wǎng)絡的技術(shù)防范要求
國家在對軍工單位的保密資格審查認證中，要求軍工單位的涉密網(wǎng)絡必須由具備涉密系統(tǒng)建設(shè)資質(zhì)的單位進行設(shè)計和建設(shè)，并遵循《涉及國家秘密的信息系統(tǒng)分級保護技術(shù)要求》(BMBl7-2006)、《涉及國家秘密的信息系統(tǒng)分級保護方案設(shè)計指南》(BMB23—2008)。其中，明確提出涉密網(wǎng)絡必須具備以下技術(shù)措施：備份與恢復、病毒防范、身份鑒別、訪問控制、信息加密、安全審計、入侵檢測、漏洞掃描等。并要求對涉密網(wǎng)絡中的信息輸入輸出接口進行控制。
1．2 涉密網(wǎng)絡的技術(shù)防范特點
1)對于國家秘密，需要劃分不同的級別，每個級別中又劃分為若干類，每類涉密信息的知悉范圍是確定的。這種控制秘密信息的知悉范圍是強制的，不得超越。在涉密網(wǎng)絡中需要確定每臺計算機操作者的身份，并能對網(wǎng)絡中涉密信息的傳遞行為進行控制。
2)身份假冒包括：非法使用人員通過私自使用涉密計算機仿冒合法使用人；合法使用人員通過偽造盜用它人IP地址仿冒其他合法使用人員。為了防止身份假冒，在網(wǎng)絡的登陸使用中需要將現(xiàn)實中的人與網(wǎng)絡中的虛擬身份地址關(guān)聯(lián)起來，且確保其身份地址不能被盜用。
3)在計算機使用過程中，需要對涉密信息的創(chuàng)建、打開、更名、復制、編輯等行為進行識別和控制。同時，還需要將各種日志信息的格式進行統(tǒng)一，以便于在發(fā)生失泄密事件后進行審計追查。
4）計算機信息輸入輸出接口(USB接口、光驅(qū)、軟驅(qū)等)是計算機失泄密事件的主要通道。需要對計算機的所有接口能進行控制，主要通過內(nèi)網(wǎng)安全管理、身份鑒別、訪問控制、安全審計、信息加密技術(shù)來實現(xiàn)。
2 涉密網(wǎng)絡的信息安全原則與措施
2．1 涉密網(wǎng)絡的信息安全原則
1）制度體系、流程管理與技術(shù)手段相結(jié)合的原則
軍工保密安全以管人為主，安全策略要以完整的制度體系、規(guī)范合理的工作流程為主，結(jié)合技術(shù)防范手段來實現(xiàn)，不能將保密安全策略完全建立在技術(shù)手段上。
2）公眾產(chǎn)品與涉密產(chǎn)品相結(jié)合的原則
保密安全體系首先應建立在一個相對完整的網(wǎng)絡基礎(chǔ)上，對基礎(chǔ)的網(wǎng)絡和非核心的部分應采用成熟的公眾產(chǎn)品，如交換機、備份恢復系統(tǒng)、網(wǎng)絡防病毒系統(tǒng)等，在關(guān)鍵部分采用專用的涉密安全產(chǎn)品，如身份鑒別、防火墻、入侵檢測、漏洞掃描等。
3）全面預防與重點防范相結(jié)合的原則
由于產(chǎn)品設(shè)計和生產(chǎn)經(jīng)營管理的實際需要，軍工單位的信息安全應建立在全面預防措施的基礎(chǔ)上，對重點的信息安全方面采用技術(shù)手段進行自動監(jiān)控，優(yōu)先解決身份鑒別問題，其次是信息輸入輸出接口的控制，最后解決訪問控制。
4）最小授權(quán)原則
軍工單位涉密人員各自的涉密范圍不同，在對人員進行權(quán)限設(shè)置時，只針對需要訪問的模塊或信息授權(quán)，盡量控制涉密人員的訪問范圍最小化。
5)選用成熟技術(shù)與兼顧技術(shù)發(fā)展相結(jié)合的原則
軍工單位涉密網(wǎng)絡處理的是國家秘密，應優(yōu)先選擇成熟可靠的保密安全產(chǎn)品。
2．2采取的技術(shù)措施
結(jié)合上述原則和軍工單位涉密網(wǎng)絡的技術(shù)防范要求，采取分級控制與加密存儲相結(jié)合的措施對涉密信息檔案，特別是涉密文件加以保護。
在制度上明確由單位統(tǒng)一管理，并為每位在涉密網(wǎng)中的員工固定一個IP地址(與MAC地址和交換機端口進行綁定)，IP地址所產(chǎn)生的所有行為視為該員工的行為。采用硬件鑰匙結(jié)合口令的方式對操作系統(tǒng)的登陸進行完善，通過硬件鑰匙進行身份驗證的方式將具體員工與虛擬IP對應關(guān)聯(lián)起來。
對涉密信息進行知悉范圍控制。在對涉密信息分類的基礎(chǔ)上控制涉密信息的打開、編輯等操作行為，將對涉密信息的管理控制變成對操作權(quán)限的分配和管理。
對網(wǎng)絡服務器的訪問進行控制，對網(wǎng)絡中受限終端的對外信息輸出渠道進行控制。網(wǎng)絡服務器的訪問控制可以采用防火墻與交換機VLAN技術(shù)相結(jié)合的方式來解決。對于終端信息輸出渠道的控制，可以采用基于網(wǎng)絡的設(shè)備集中控制系統(tǒng)，即固定一個輸出口，其余端口全部封閉。
軍工單位涉密網(wǎng)絡的保密安全措施及其實施在單位中始終是動態(tài)變化的，其引起改變的時機和方法取決于安全審計的結(jié)果。因此，還應對涉密信息審計及安全策略進行動態(tài)調(diào)整。
3 信息安全產(chǎn)品的關(guān)鍵技術(shù)
3．1 身份認證與自主加密保護相結(jié)合
在軍工單位涉密網(wǎng)絡的日常應用中，需要對各種涉密文件進行大量處理，應該為每位使用者提供對自己處理的涉密文件進行加密保護的功能，其加密密鑰可以用同一個硬件鑰匙來保存。對硬件鑰匙中的密鑰進行管理(寫入、修改、讀出、存儲)，使之符合密品管理的要求。通常使用USB接口設(shè)備，通過硬件鑰匙進行身份認證。
3．2 涉密資料的分類管理、操作行為與訪問控制相結(jié)合
涉密網(wǎng)絡中的涉密信息要控制其知悉范圍，必須對涉密信息及其使用人員進行分類，建立一種相對固定的關(guān)聯(lián)規(guī)則。
國家秘密信息在軍工單位涉密網(wǎng)絡中主要表現(xiàn)為文字和圖形，為了防止無關(guān)人員接觸秘密信息和通過更名等方式改變國家秘密的表現(xiàn)形式而造成秘密泄露，必須對使用人員的計算機操作行為(打開、創(chuàng)建、更名、復制、編輯)進行控制。
要在涉密網(wǎng)絡上實現(xiàn)訪問控制，使涉密信息只被授權(quán)的人員知悉，必須建立涉密信息與授權(quán)人員的對應關(guān)系規(guī)則，確定其可以進行的操作類型�？刹扇∠铝蟹绞剑�
1)將涉密信息按使用類型進行分類，確定每類涉密信息的知悉對象：對涉密信息進行分類，比如，對軍工產(chǎn)品的設(shè)計、工藝、生產(chǎn)等過程產(chǎn)生的涉密信息按項目管理的方式進行分類，對經(jīng)營過程中產(chǎn)生的涉密信息按計劃、財務、質(zhì)量、試驗等使用屬性進行分類等。這樣，每類涉密信息的知悉人員是相對確定的，為避免使用人員頻繁變化帶來的設(shè)計困難，可以引入相對固定的人員類別表述一一角色。這時，對知悉范圍的管理就轉(zhuǎn)變?yōu)閷ι婷苄畔㈩悇e與角色之間的關(guān)系集合的管理。
2）通過組織結(jié)構(gòu)樹來管理使用成員，通過硬件鑰匙轉(zhuǎn)換成對應的IP地址，使用人員對某類涉密信息的知悉權(quán)利就可以用是否屬于某個角色來表述。這時，對使用人員的管理就轉(zhuǎn)變?yōu)閷巧M中成員的管理。
通過引入相對固定的角色概念，訪問控制的實現(xiàn)就轉(zhuǎn)變?yōu)閷π畔㈩悇e與角色、角色與使用人員之間的關(guān)系的管理。
在確定上述關(guān)系的同時，還必須要有對網(wǎng)絡入侵進行檢測監(jiān)控的能力，以實現(xiàn)對知悉范圍的控制。
3．3 控制高密級信息的安全流向
怎樣控制高密級安全區(qū)域的涉密信息不能流向低密級安全區(qū)域，而高密級安全區(qū)域的非涉密信息流向低密級安全區(qū)域又不受影響，是現(xiàn)在軍工單位迫切需要解決的一個問題。
可以通過OA或郵件系統(tǒng)，在文件進行傳輸?shù)臅r候，首先讀取文件的屬性，由文件的屬性來判定該文件是否涉密，如果該文件涉密，則不允許發(fā)送。
3．4 日志與審計相結(jié)合
如何解決計算機中不同操作系統(tǒng)所產(chǎn)生的日志信息格式的統(tǒng)一，在不占用大量的網(wǎng)絡帶寬資源的情況下，如何保證日志信息在產(chǎn)生和傳輸過程中不會被旁路、篡改、丟失，在審計中如何結(jié)合訪問控制的規(guī)則自動對違規(guī)的日志信息進行高效過濾并自動報警。
需要進行審計分析的主要設(shè)備包括：路由器、防火墻等網(wǎng)絡和網(wǎng)絡安全設(shè)備以及通用的操作系統(tǒng)等，對這些的日志進行日志過濾、可疑的活動進行綜合分析；根據(jù)確定的安全策略和實施情況的差距進行有效的審計，根據(jù)審計結(jié)果和日志內(nèi)容抵御和清除病毒、蠕蟲和木馬，修補系統(tǒng)的漏洞。升級已有的和不安全的服務，加強網(wǎng)絡審核，加強反病毒掃描，增加建設(shè)審計報告庫，總結(jié)每次出現(xiàn)的問題和解決的方法。
4 涉密網(wǎng)絡信息安全技術(shù)發(fā)展趨勢
4．1 分布式入侵檢測
分布式入侵檢測系統(tǒng)是現(xiàn)代IDS主要發(fā)展方向之一，主要包括2層含義：1)針對分布式網(wǎng)絡攻擊的檢測方法；2)使用分布式的方法來檢測分布式的攻擊，其中的關(guān)鍵技術(shù)為檢測信息的協(xié)同處理與入侵攻擊的全局信息的提取。分布式入侵檢測系統(tǒng)能在數(shù)據(jù)收集、入侵分析和自動響應方面最大限度地發(fā)揮系統(tǒng)資源優(yōu)勢，其設(shè)計模型具有很大的靈活性。
4．2智能化入侵檢測
現(xiàn)階段常用的智能化方法有神經(jīng)網(wǎng)絡、遺傳算法、模糊技術(shù)、免疫原理等方法，這些方法常用于入侵檢測的辨別與泛化，利用專家系統(tǒng)的實現(xiàn)來構(gòu)建IDS也是常用的方法之一。
4．3 網(wǎng)絡安全技術(shù)相結(jié)合
結(jié)合防火墻、PKI(Public Key Infrastructure，公開密鑰基礎(chǔ)設(shè)施)、安全電子交易等網(wǎng)絡安全技術(shù)與電子商務技術(shù)，提供完善的網(wǎng)絡安全保障。
4．4建立系統(tǒng)的測試評估體系
設(shè)計通用的入侵檢測測試評估方法和平臺，實現(xiàn)對多種入侵檢測系統(tǒng)的檢測，已成為當前入侵檢測系統(tǒng)的一個重要研究與發(fā)展領(lǐng)域。評估入侵檢測系統(tǒng)可從檢測范圍、系統(tǒng)資源占用、自身的可靠性等方面進行。評價指標有：能否保證自身的安全、運行與維護系統(tǒng)的開銷、報警準確率、負載能力以及可以支持的網(wǎng)絡類型、支持的入侵特征、是否支持IP碎片重組、是否支持TCP流重組等。
5 總結(jié)
目前，信息系統(tǒng)技術(shù)正處于蓬勃發(fā)展的階段，新技術(shù)層出不窮，也不可避免地存在一些漏洞。因此，要不斷追蹤新技術(shù)的應用情況，及時升級更新、完善信息系統(tǒng)的安全防御措施。
核心關(guān)注：拓步ERP系統(tǒng)平臺是覆蓋了眾多的業(yè)務領(lǐng)域、行業(yè)應用，蘊涵了豐富的ERP管理思想，集成了ERP軟件業(yè)務管理理念，功能涉及供應鏈、成本、制造、CRM、HR等眾多業(yè)務領(lǐng)域的管理，全面涵蓋了企業(yè)關(guān)注ERP管理系統(tǒng)的核心領(lǐng)域，是眾多中小企業(yè)信息化建設(shè)首選的ERP管理軟件信賴品牌。
轉(zhuǎn)載請注明出處：拓步ERP資訊網(wǎng)http://www.ezxoed.cn/
本文標題：涉密網(wǎng)絡信息安全保密
本文網(wǎng)址：http://www.ezxoed.cn/html/consultation/1083956470.html
相關(guān)文章
