信息安全防護技術在伊犁河水利工程中的設計與實現

2013-09-30 06:39:40劉陳童

中國信息化·學術版 2013年6期

劉陳童

[摘要]信息系統的安全問題在伊犁河水利工程中伴隨著網絡的日益普及而變得越發突出。信息安全保護技術可以滿足國際河流水利工程在日常辦公中進行集中控制、統一管理的需要。本文就信息安全保護技術在水利工程中的系統設計、目標實現、系統結構、方案部署等方面進行了詳細論述。

[關鍵詞]專用網絡信息安全權限劃分集中管理

[中圖分類號]C931.6 [文獻標識碼]B [文章編號]1672-5158（2013）06-0319-01

1、前言

伊犁河是一條跨境內陸河流，伊犁河建管局承擔伊犁河流域內的水利、水電工程建設、管理、運營任務。在當前和平與發展的國際形勢下，抓緊時間搞好伊犁河流域水利建設項目，是促進伊犁地區經濟發展，保證國家安全和利益的大事。

伊犁河建管局自2001年開始在伊犁河進行水利工程建設，隨著建設項目增多，組織機構健全，工作人員增加，管理工作呈現點多、線長、面廣的特點，管理機構分布在烏魯木齊市、伊寧市、伊寧縣、鞏留縣、察布查爾縣境內，建設過程中管理工作涉及到多方面的單位和人員，從而加大了建設管理的難度。在這種情況下，應用計算機信息網絡技術建設伊犁河建管局專用信息網絡（即：現有辦公內網），是各項建設管理工作得以正常、高效開展的必備條件。

2、專用信息網絡現狀及存在的問題

2，1現狀

伊犁河建管局專用信息網絡于2006年明建成，由于專用信息網絡是為全局運行管理服務的，全網獨立運行，與互聯網沒有設置接口。目前，內網通訊系統、遠控系統、水情系統、綜合管理系統、辦公系統、網站系統、郵件系統等業務應用均在此專用信息網中運行，其中部分系統處理、流轉著涉密信息和單位內部重要的工作信息，對這些涉密信息和重要工作信息的保護措施是采用防火墻做邏輯隔離。

2.2 存在的問題

1）伊犁河建管局現有專用信息網絡是一張非涉密網絡，在此網絡上運行有涉密信息，這是不符合BMB-16《涉及國家秘密的信息系統分保護管理辦法》中規定的“不涉及國家秘密的信息系統不得處理國家秘密信息”；

2）伊犁河建管局現有專用信息網絡的安全防護技術措施，不符合BMB-17《涉及國家秘密的信息系統分級保護技術要求》中規定的“涉密信息系統與非涉密信息系統之間，要求物理隔離；涉密信息在遠距離傳送時，要求加密傳送；涉密信息系統中的信息應有相應的密級標識，所有信息通信時應安全可控等等”；

3）伊犁河建管局現有專用信息網絡所涉及的用戶面太廣，如：內部人員、設計單位、監理單位、施工單位，這些用戶都可以接人到現有網絡并能訪問內部網站，易造成涉密信息和內部重要工作信息外泄的風險；

4）伊犁河建管局現有專用信息網絡運行的應用系統，沒有做分類分級的防護控制，內部用戶也未做分類分級的角色劃分，從而導致涉密信息和內部重要工作信息所能接觸到的人數眾多，易造成涉密信息和內部重要工作信息外泄的風險；

5）伊犁河建管局現有專用信息網絡內部，沒有統一身份認證和行為審計系統，在出現涉密信息和內部重要工作信息外泄事件時，難以取證和追查；

6）伊犁河建管局現有專用信息網絡內部，工作終端使用沒有單一化，部分終端存在一機多用（即用于內網辦公，又用于外網訪問互聯網），易造成內部信息外泄到互聯網上。

伊犁河建管局現有專用信息網絡，還存在一些其他的問題，在此就不——贅述了，針對上述存在的問題，局領導和信息管理者應該重視起來，拿出相應的解決辦法，消除存在的問題，使此專用信息網絡更好地服務于生產管理，更好地服務于信息保密工作。

3、解決方案

以國家相關標準和規范為依據，結合伊犁河建管局專用信息網絡現狀和實際工作需要，在綜合分析的基礎上給出如下解決方案，供局領導決策：

按照非涉密網的方式對現有專用信息網絡進行安全改造，使其具備一定等級的安全防護功能，其組網示意圖如圖1所示。通過本次安全改造，最終將實現專用信息網絡上的網絡接人安全、終端安全、信息安全，并通過本次安全改造，規范專用信息網絡內用戶的上網行為，增強專用信息網絡內用戶的安全防護意識及能力。

專用信息網絡是一張相對獨立的網絡，這張網絡不與任何網絡（尤其是互聯網）有著物理連接，將專用信息網絡劃分成三個安全區域，即服務器安全區域、安全管理安全區域、用戶終端安全區域，三個區域之間安全級別由高到低，依次為：服務器安全區域、安全管理安全區域、用戶終端安全區域。因專用信息網絡上的信息還是有需要提供給外部網絡使用，同時外部網絡上有些信息還是有需要提供專用網絡使用，這是實際需求，從安全的角度出發，將在每個用戶終端安全區域部署1臺中轉機，實現圖1所示的手動信息交換（可通過U盤、光盤等移動存儲介質）。

終端安全管理是一個復雜的問題，通常一個組織中的終端地理位置分散，用戶水平參差不齊，承載業務不同，安全需求各異，這就決定了終端安全建設的復雜性和多元性，要根據終端用戶的接入位置、所屬部門、業務需要等條件來選擇和執行適當的安全管理策略，既不能搞一刀切，也不能對用戶放任自流，缺乏控管。顯然局部的、簡單的、被動的防護不足以解決問題，要想解決終端安全問題，需要建立統一管理的終端安全整體防護系統，全面管理終端安全。終端安全管理還要符合安全等級保護的要求，根據不同的安全等級保護的要求制定切合實際的終端安全管理的制度，必須克服兩種極端的錯誤認識：終端安全管理越嚴格越好；終端安全管理不好部署，容易得罪領導和同事，因此放任自流。

4、應用效果

伊犁河建管局涉密信息系統實現以下效果：

1）對操作系統，非法用戶“進不來”

系統通過在硬件USBKey中存儲用戶身份識別的唯一標識，對用戶登錄系統進行身份認證，使得系統登錄與硬件Key緊密捆綁，實現了非法用戶“進不來”系統。

2）對有效信息，非法用戶“拿不走”

系統通過四級用戶權限管理、自主和強制雙重存取控制，以及存儲設備安全管理，防止了越權操作、非法訪問文件和一切移動存儲設備如軟盤、移動硬盤、優盤等的非法文件拷貝，實現了非法用戶“拿不走”有效信息。

3）對有效信息，非法用戶“看不懂”

系統通過加密存儲數據和程序代碼，防止了敏感明文信息的外泄，實現了非法用戶“讀不懂”有效信息。加、解密過程對用戶透明，無須對現有的應用平臺進行任何的改動；加、解密過程動態進行，保證了硬盤上任何時刻存放的敏感數據都是密文，即使是意外斷電，也不會導致明文信息的外泄。

4）非法用戶作案后“跑不了”

系統通過嚴密審計跟蹤受控資源的使用情況，實現了非法用戶只要作案，一定“跑不了”，便于追查責任事故。

5）被保護設備“不怕丟”

系統通過硬件Key保存用戶身份識別標識、用戶權限信息、文件密級信息以及加密密鑰，使得你若沒有Key是無法從終端設備獲得有效信息的，實現了被保護設備“不怕丟”。