1 引言

    目前，在我國的各個(gè)行業(yè)系統(tǒng)中，都有大量的國家秘密存儲在計(jì)算機(jī)和網(wǎng)絡(luò)中。尤其是航天系統(tǒng)，其秘密信息往往涉及國家發(fā)展戰(zhàn)略等重要內(nèi)容，如何有效地保護(hù)這些信息的安全，是我們必須解決的問題。作為涉密單位，信息系統(tǒng)最基本的防護(hù)手段是將涉密內(nèi)網(wǎng)和外部網(wǎng)絡(luò)進(jìn)行物理隔離。一直以來，安全防御理念局限在常規(guī)的網(wǎng)關(guān)級別(防火墻等)、網(wǎng)絡(luò)邊界(漏洞掃描、安全審計(jì)、防病毒、IDS)等方面的防御，重要的安全設(shè)施大致集中于機(jī)房、網(wǎng)絡(luò)入口處，在這些設(shè)備的嚴(yán)密監(jiān)控下，來自網(wǎng)絡(luò)外部的安全威脅大大減小。但是在實(shí)際情況下，來自網(wǎng)絡(luò)內(nèi)部的安全威脅卻是多數(shù)網(wǎng)絡(luò)管理人員真正需要面對的問題。目前網(wǎng)絡(luò)管理工作量最大的部分是客戶端安全部分，對網(wǎng)絡(luò)的正常運(yùn)轉(zhuǎn)威脅最大的也同樣是客戶端安全管理。因此，我們在設(shè)計(jì)網(wǎng)絡(luò)安全系統(tǒng)、規(guī)劃系統(tǒng)功能的時(shí)候應(yīng)該將對用戶行為的控制和限制納入綜合考慮中。

2 系統(tǒng)總體框架設(shè)計(jì)

    系統(tǒng)設(shè)計(jì)的目標(biāo)是防止涉密內(nèi)網(wǎng)信息泄漏，這就要求系統(tǒng)構(gòu)造一個(gè)邏輯上的內(nèi)部網(wǎng)絡(luò)安全域，對這個(gè)安全網(wǎng)絡(luò)域內(nèi)所有計(jì)算機(jī)上的重要信息的存儲和傳輸實(shí)施訪問控制、數(shù)據(jù)保護(hù)和日志記錄，提供完善的集中管理控制機(jī)制、有效的安全策略管理和細(xì)致清晰的審計(jì)分析報(bào)告。這樣才能夠有效地防止內(nèi)部網(wǎng)絡(luò)重要信息通過各種可能途徑被非法泄漏。要保證信息的安全，必須建立一套完整的內(nèi)網(wǎng)防信息泄漏體系。功能包括計(jì)算機(jī)資源審計(jì)和管理、計(jì)算機(jī)網(wǎng)絡(luò)防信息泄漏、計(jì)算機(jī)外設(shè)防信息泄漏。系統(tǒng)采用C／S結(jié)構(gòu)，服務(wù)器(Server)通過客戶端(Client)來實(shí)現(xiàn)對整個(gè)網(wǎng)絡(luò)安全管理和安全監(jiān)控參數(shù)的配置，并且定制相關(guān)的安全策略，還有一個(gè)數(shù)據(jù)庫服務(wù)器，用于存放審計(jì)信息記錄，用戶訪問記錄，安全策略等。

    服務(wù)器的功能如圖1所示，網(wǎng)絡(luò)數(shù)據(jù)包監(jiān)聽功能就是監(jiān)聽所有通過內(nèi)外網(wǎng)的網(wǎng)絡(luò)數(shù)據(jù)包：網(wǎng)絡(luò)數(shù)據(jù)包分析功能就是把監(jiān)聽的數(shù)據(jù)包，進(jìn)行分析，包括鏈路層分析、網(wǎng)絡(luò)層分析、傳輸層分析、應(yīng)用層分析，網(wǎng)絡(luò)數(shù)據(jù)包管理功能就是根據(jù)網(wǎng)絡(luò)數(shù)據(jù)包分析的結(jié)果根據(jù)安全策略進(jìn)行過濾，計(jì)算機(jī)資源收集功能就是根據(jù)客戶端反饋來的計(jì)算機(jī)資源記錄，以備審計(jì)；計(jì)算機(jī)資源審計(jì)功能根據(jù)安全策略對收集到的計(jì)算機(jī)資源進(jìn)行審計(jì)，例如發(fā)現(xiàn)計(jì)算機(jī)運(yùn)行新的用戶進(jìn)程，添加了新的用戶設(shè)備等。計(jì)算機(jī)資源管理功能就是對各個(gè)計(jì)算機(jī)進(jìn)行相應(yīng)的控制。安全策略的制定功能包括MC地址過濾策略、IP地址過濾策略、端口過濾策略、HTTP控制策略、郵件控制策略、外設(shè)控制策略等等的制定，計(jì)算機(jī)外設(shè)的管理包括對各種存儲設(shè)備、計(jì)算機(jī)端口和打印機(jī)等的管理。

圖1 服務(wù)器的功能

    客戶端的功能如圖2所示，計(jì)算機(jī)外設(shè)管理功能就是根據(jù)服務(wù)器端制定的計(jì)算機(jī)外設(shè)管理策略對本機(jī)的存儲設(shè)備、計(jì)算機(jī)端口和打印機(jī)等的管理；計(jì)算機(jī)行為監(jiān)控功能就是時(shí)時(shí)監(jiān)控計(jì)算機(jī)用戶的行為，例如，定時(shí)發(fā)送截屏圖片給服務(wù)器；計(jì)算機(jī)資源的收集功能就是收集本機(jī)所有的軟硬件資源，反饋給服務(wù)器。

圖2 客戶端的功能

3 系統(tǒng)工作原理

    網(wǎng)絡(luò)安全系統(tǒng)應(yīng)分為控制臺和客戶端兩部分。控制臺安裝在內(nèi)網(wǎng)服務(wù)器上，管理員通過控制臺制定功能策略，通過控制臺將策略下發(fā)到聯(lián)入內(nèi)網(wǎng)的客戶端，同時(shí)接收來自客戶端的信息；客戶端安裝在聯(lián)網(wǎng)的各臺計(jì)算機(jī)上，將無條件地接受下發(fā)的指令和策略。對于下發(fā)時(shí)未開機(jī)的客戶端，指令和策略先行掛起，在客戶端開機(jī)時(shí)進(jìn)行更新生效；對于下發(fā)時(shí)已開機(jī)的客戶端則即時(shí)生效。

4 系統(tǒng)功能設(shè)計(jì)

    4．1客戶端非授權(quán)卸載

    客戶端經(jīng)控制臺授權(quán)安裝，且一經(jīng)安裝，非經(jīng)控制臺發(fā)出的卸載指令不可卸載。其原理是：卸載程序的存放和發(fā)起均在控制端，且客戶端的權(quán)限僅為普通使用者，而非管理員。

    4． 2連接網(wǎng)絡(luò)設(shè)置

    客戶端通過控制臺分配的IP地址訪問內(nèi)網(wǎng)，且IP地址與客戶端對應(yīng)計(jì)算機(jī)的MA C地址綁定，做到一個(gè)IP地址對應(yīng)一個(gè)MA C地址，從而將計(jì)算機(jī)進(jìn)行戶籍管理，客戶端每次訪問內(nèi)網(wǎng)時(shí)均自動與控制臺存儲的該計(jì)算機(jī)信息進(jìn)行核對，既防止了非授權(quán)計(jì)算機(jī)接入內(nèi)網(wǎng)，又能夠在違規(guī)計(jì)算機(jī)上控制或限制其行為。

    控制端通過內(nèi)網(wǎng)將信任關(guān)系發(fā)送到客戶端，控制客戶端只能訪問擁有信任關(guān)系的服務(wù)器等網(wǎng)絡(luò)設(shè)備及其他客戶端，從而杜絕了客戶端電腦私自聯(lián)入國際互聯(lián)網(wǎng)的可能。

    4．3用戶登錄設(shè)置

    采用將用戶信息導(dǎo)入U(xiǎn)SB Key，并將該USBKe y與用戶使用的客戶端進(jìn)行綁定的方式。使用人需同時(shí)插入U(xiǎn)SB Key并輸入密碼，經(jīng)控制臺驗(yàn)證后方可登錄或解鎖，防止其他用戶非授權(quán)使用該計(jì)算機(jī)。同時(shí)設(shè)置密碼復(fù)雜度策略(設(shè)置字母大小寫及數(shù)字、符號混用)和控制密碼輸入次數(shù)策略(密碼多次輸入不正確就鎖定客戶端)，可以避免用戶密碼設(shè)計(jì)過于簡單以及其他用戶試圖多次嘗試攻破密碼的問題。

    4．4移動存儲介質(zhì)控制

    將需要在內(nèi)網(wǎng)使用的移動存儲介質(zhì)在控制臺上進(jìn)行注冊，經(jīng)過注冊的移動存儲介質(zhì)插入授權(quán)的內(nèi)網(wǎng)計(jì)算機(jī)時(shí)，經(jīng)過控制臺的驗(yàn)證即可順利使用；未經(jīng)控制臺注冊的移動存儲介質(zhì)，由于在控制臺上找不到對應(yīng)的驗(yàn)證信息而無法使用。同時(shí)，經(jīng)過注冊的移動存儲介質(zhì)由于使用時(shí)需要驗(yàn)證，因此不能在沒有安裝客戶端的計(jì)算機(jī)上使用，從而避免了互聯(lián)網(wǎng)與內(nèi)網(wǎng)由于信息的隨意性傳遞導(dǎo)致泄密隱患。

    4．5客戶端硬件的控制

    客戶端用戶在計(jì)算機(jī)上安裝的硬件設(shè)備可能存在失泄密隱患，諸如光驅(qū)、藍(lán)牙、紅外線等接口關(guān)閉，策略下發(fā)到客戶端后即可控制相應(yīng)端口的使用。用戶私自安裝或更換硬件的情況可以通過網(wǎng)絡(luò)自動發(fā)送到控制臺或被控制臺掃描得到，形成預(yù)警信息，協(xié)助管理員進(jìn)行相應(yīng)的處理。

    4．6客戶端軟件的控制

    客戶端用戶在計(jì)算機(jī)上未經(jīng)授權(quán)安裝的可能夾帶病毒、木馬等惡意代碼，給客戶端電腦乃至整個(gè)內(nèi)網(wǎng)帶來安全隱患，因此，控制臺的下發(fā)策略應(yīng)用包括限制其安裝的策略，其原理是通過降低客戶端用戶的權(quán)限，使其只有使用的User權(quán)限或PowerUser權(quán)限而沒有Administrator權(quán)限。準(zhǔn)許安裝時(shí)通過控制臺授予以收回。即使用戶采取非常手段將該計(jì)算機(jī)重新安裝操作系統(tǒng)，由于安裝在客戶端的網(wǎng)絡(luò)安全系統(tǒng)已經(jīng)遭到破壞，該計(jì)算機(jī)與控制臺的聯(lián)系已經(jīng)中斷，控制臺不能對該計(jì)算機(jī)進(jìn)行驗(yàn)證通過，因此控制臺仍會將該計(jì)算機(jī)視為非授權(quán)計(jì)算機(jī)，即使該計(jì)算機(jī)設(shè)置了原IP地址也已經(jīng)不能訪問內(nèi)部網(wǎng)絡(luò)了。

    4．7日志管理

    設(shè)定的管理員及用戶的操作記錄均應(yīng)定期自動上傳至存儲服務(wù)器，并采用特殊格式形成加密存儲，防止非授權(quán)的條目刪除及修改，保證審計(jì)的真實(shí)性和可信性。

    4．8三員管理

    為保障網(wǎng)絡(luò)安全系統(tǒng)的有效運(yùn)行，系統(tǒng)的管理人員應(yīng)分為以下三類：系統(tǒng)管理員負(fù)責(zé)在服務(wù)器和客戶端上安裝網(wǎng)絡(luò)安全系統(tǒng)，并進(jìn)行維護(hù)。安全保密員負(fù)責(zé)制定并下發(fā)控制臺指令和策略，并對客戶端的行為進(jìn)行管理。安全審計(jì)員負(fù)責(zé)通過查閱服務(wù)器的日志對系統(tǒng)管理員和安全保密員的行為進(jìn)行審計(jì)。三員的權(quán)限相互獨(dú)立，互不交叉，從而防范違規(guī)事件的發(fā)生。

5 結(jié)束語

    本文通過對內(nèi)網(wǎng)信息安全實(shí)際狀況的分析，提出了一個(gè)完整而有效的內(nèi)網(wǎng)防信息泄漏解決方案。它通過強(qiáng)化對網(wǎng)絡(luò)終端計(jì)算機(jī)狀態(tài)、行為以及事件的管理，解決了來自用戶終端計(jì)算機(jī)大批量的安全管理問題，有效地實(shí)現(xiàn)了企業(yè)涉密內(nèi)網(wǎng)安全的可控性管理。

核心關(guān)注：拓步ERP系統(tǒng)平臺是覆蓋了眾多的業(yè)務(wù)領(lǐng)域、行業(yè)應(yīng)用，蘊(yùn)涵了豐富的ERP管理思想，集成了ERP軟件業(yè)務(wù)管理理念，功能涉及供應(yīng)鏈、成本、制造、CRM、HR等眾多業(yè)務(wù)領(lǐng)域的管理，全面涵蓋了企業(yè)關(guān)注ERP管理系統(tǒng)的核心領(lǐng)域，是眾多中小企業(yè)信息化建設(shè)首選的ERP管理軟件信賴品牌。

轉(zhuǎn)載請注明出處：拓步ERP資訊網(wǎng)http://www.ezxoed.cn/

本文標(biāo)題：網(wǎng)絡(luò)安全系統(tǒng)在涉密單位的應(yīng)用研究

本文網(wǎng)址：http://www.ezxoed.cn/html/consultation/1083956947.html