監獄內網安全監管系統的設計與研究

◆馮卓慧

監獄內網安全監管系統的設計與研究

◆馮卓慧

（浙江警官職業學院 浙江 310018）

本文針對監獄內網所面臨的各類安全問題，設計了一套監獄內網安全監管系統。系統由終端安全監管、網絡接入控制、非授權外聯監管、邊界檢查管理、敏感信息檢查和存儲介質管理六個核心功能模塊以及相應的管理工作流程組成，通過對終端設備、存儲介質和網絡的集中監測和管理，實現監獄內網安全管理工作的信息化。

監獄內網；安全監管；信息安全

0 前言

近年來，隨著監獄信息化的快速發展，監獄系統的各類硬件設施和軟件資源日新月異。與此同時，監獄內部的網絡安全管理工作面臨的形勢也越來越嚴峻，傳統的事后處置和安全教育等方式無法杜絕安全事故的發生；安全管理的手段與安全技術的應用滯后于網絡和信息系統的建設與應用；隨著監獄信息技術應用的深化，監獄內部與外部的信息交互給監獄網絡邊界安全管理也帶來極大的挑戰，如何加強監獄網絡安全建設和提升管理技術水平，變被動管理變為主動管理，變事后處置為事前預警，已是監獄信息化建設中亟待解決的一個重要問題。

1 監獄內網安全問題分析

監獄網絡主要由監獄政務內網、安防子網、生產子網、罪犯教育子網以及電子政務專網組成。其中監獄政務內網是指用于監獄民警管理和各業務應用的內部網絡，它是整個監獄網絡的核心。狹義上的監獄內網指的就是監獄政務內網；廣義上的監獄內網指的是除互聯網以外的所有監獄內部網絡。由于監獄內網與外網物理隔離，安全威脅主要來自內部，但絕大多數并非內部人員主觀上的惡意行為，而是一些無意識的或不規范的操作，以及安全管理上的疏忽，問題主要來自以下三個方面。

圖1 監獄網絡結構示意圖

1.1 來自終端設備的安全問題

監獄內網中，計算機終端是用戶登錄并訪問網絡資源的起點，也是大部分安全事件的源頭；以病毒感染，文件丟失、密碼遺忘、系統癱瘓、硬件損壞等為代表的終端安全事件時有發生，給信息安全帶來難以預知的潛在威脅，監獄網絡管理人員往往應對不暇。造成此類威脅的原因可能是安全管理模式的滯后，內部人員安全意識的淡薄或安全技能的匱乏等等。因此，只有加強對終端設備的安全管理才能有效控制各種安全事件的源頭，遏制由網絡內部發起的攻擊和破壞[1]。

1.2 來自網絡邊界的安全問題

隨著監獄內網計算機數量的與日俱增，各外部單位和監獄之間的合作日益頻繁，經常有外部終端連接到內網。在這種情況下，管理人員很難區分哪些是內網的終端，哪些是外來的未授權使用的終端。當感染了病毒和木馬的外部終端接入內網后，病毒會在整個監獄內網中快速傳播和擴散，嚴重時會造成整個網絡癱瘓，給內部網絡帶來嚴重的安全威脅。此外，還會導致監獄內網涉密信息的泄漏；在泄密事件發生后，也無法判斷到底是哪一個環節出了差錯。

1.3 來自存儲介質的安全問題

以USB閃存盤、移動硬盤、電子微硬盤等為代表的移動存儲介質，具有體積小、容量大、使用方便等特點；雖然保密部門對涉密存儲介質已有較嚴格的保密管理要求，但在日常管理和使用中，不登記，不標識，隨意放置，擅自復制、攜帶外出、外借，在內外網交叉使用甚至丟失等現象普遍存在。當在外網使用過的移動存儲介質感染病毒或木馬后繼續在內網上使用，病毒程序就會自動收集敏感信息，并自動復制到移動存儲介質上；一旦該存儲介質再次接入外網，復制的信息可能會自動發送出去，造成泄密[2]。

2 系統設計

2.1 設計思想

系統的設計思想是從信息安全管理工作的實際要求出發，以人為本，管理是核心，技術是保障；充分運用安全管理和技術手段，通過對各種數據和行為的監測分析發現潛在的安全威脅事件，實現對監獄內網中終端設備、存儲介質以及用戶群體的統一監測和安全管理。從網絡安全管理“消除短板”的特性出發，以上下多級級聯系統為載體，建立監測、預警、處置、反饋、審核的機制，完成管理→監測→管理的過程，其最終目的是在安全技術的基礎上實現對安全管理的信息化。

2.2 系統架構

系統設計采用C/S與B/S相結合的開發模式，由終端安全監管、網絡接入控制、非授權外聯監管、邊界檢查管理、敏感信息檢查和存儲介質管理6個核心功能模塊實現對終端設備、存儲介質和網絡的集中監測和管理。在建立完善的信息安全管理制度及安全規范的同時，配套管理工作流程加以輔助，從而實現監獄內網安全管理工作的信息化[3]。

圖2 系統總體架構示意圖

2.3 工作流程

工作流程按照“監測、警示、處置、反饋、考核”五位一體的安全管理模式來進行設計，目的在于將業務管理、工作流程、應急響應和安全技術應用融為一體，建立一個以安全目標為導向，管理為核心，安全策略為途徑的安全管理框架。具體流程如圖3所示。系統通過多種監測手段采集所需的信息數據，并經過智能分析比對后，把安全威脅直觀、準確地展現在系統上進行警示提醒。管理人員通過查看系統，對違規安全事件進行預警，同時在系統中智能生成預警告知單、通報單或相應的回執單。管理人員在處置違規行為和安全威脅，明確三方責任后，填寫相應的回執單進行反饋。如果違規行為或安全威脅沒有消除、或回執單內容填寫不符合管理規定、或未按規定及時響應，該流程將再次進行，甚至根據需要可選擇預警或通報相關管理人員，直至違規行為或安全威脅消除，確認按規范執行了安全管理的工作流程，并對檢查、預警或通報、處置和反饋環節進行考核。

圖3 系統管理工作流程示意圖

3 主要功能

3.1 終端安全監管

終端安全監管的目標是實現終端計算機設備、安全事件統一管理，完成安全策略的統一配置，在功能上要實現對設備、補丁、進程、服務、運維等安全要素的監控，保證內部數據安全，實現終端系統的全面安全防護和加固，從而保障內部網絡安全。

（1）設備管理

能夠對監獄內網設備進行自動發現和識別，在不依賴于申報備案的情況下發現并智能識別網絡中的各種設備，例如計算機、服務器、音視頻設備、網絡設備等），同時提供對設備的注冊管理功能。

（2）終端管控

根據終端設備運行環境的安全狀態，控制設備、系統以及軟件程序的安全操作和運行情況（例如外設控制、進程控制、開關機控制和共享控制等）實現對設備以及系統安全操作和數據出入口的安全管理，對安全事件和風險進行有效防護。

（3）安全檢查

對終端的殺毒軟件、系統補丁，賬戶安全、共享安全、軟件安裝、進程等運行情況進行檢查，并且將這些安全檢查項的數據結果按區域和部門匯總統計，輔助安全管理員及時發現問題，處理安全事件。

（4）運維監測

通過對 CPU 異常、內存異常、流量異常、應用使用異常、連接數異常的日常運維數據進行監測，運用異常建模和數據關聯分析，實現對風險異常的判斷，輔助管理員進行安全決策，保障核心設備運行穩定。

（5）外聯監管

通過對監獄內網的設備進行實時違規外聯監測，一旦發現外聯立即進行網絡阻斷，并對上報的違規外聯事件數據進行統計分析和報表展現，使得管理員能第一時間處理外聯事件，有效保障內部網絡安全。

3.2 網絡接入控制

網絡接入控制功能集業務流程管理（注冊、審核、反饋、處理）和準入控制技術應用（監測、發現、控制）于一體，其核心思想是在安全準入控制技術的基礎上實現終端接入安全管理的信息化。

（1）注冊管理

對首次接入的終端設備要求進行注冊，注冊的基本信息包括：IP、MAC、責任人姓名、聯系電話、所屬部門、設備所在地、設備類型、設備用途、保護到期時間。同時提交注冊申請，由安全管理員審核通過后允許其接入網絡。

（2）接入隔離

對未注冊的終端設備通過 802.1X 接入控制、ARP 接入控制、網關訪問控制、應用服務訪問控制和可信通道隔離控制等手段，實現網絡阻斷并跳轉到隔離區強制注冊；對首次接入的已注冊設備強制進行入網安全體檢，不符合安全要求的設備跳轉至修復區，修復完成后才能夠允許入網。

（3）安檢管理

能夠配置入網安全體檢具體內容和規則。配置項包括：殺毒軟件配置、補丁檢查配置、不可信進程配置、不可信軟件配置、賬戶弱口令配置、來賓用戶、必須開啟的服務、必須安裝的軟件等項目配置。

（4）異常告警

在發現增量設備、未注冊設備、未保護設備和保護申請違規等設備后能夠在第一時間自動告警，以便管理人員及時處置非法接入行為。

3.3 邊界檢查管理

邊界檢查管理的目的是要實現對各類邊界類型和邊界點的智能識別與定位，并對邊界點的狀態進行持續跟蹤，以滿足內網邊界安全管理需求。

（1）邊界監測

通過技術手段對外界未授權設備接入內網、私自設立網中網、訪問超出規定 IP 段的設備進行實時掃描、自動檢測，并且及時發現問題并上報邊界點信息。

（2）邊界注冊管理

對于新發現的邊界，根據邊界管理的相關規定提出備案申請，待備案信息完整提交后，新邊界才被允許使用。備案時要求提供邊界點的 IP 地址，邊界用途等詳細信息。未申請或未完成審核而直接開通的邊界均屬于非法邊界[4]。

（3）邊界管控

對違規邊界接入實施阻斷，一旦探測到非法邊界接入情況，系統能根據設定的安全管控策略，對違規接入提出終端提醒阻斷。

3.4 非授權外聯監管

通過網絡狀態監測、實時抓包分析、定時外聯監測及通信防火墻等技術的無縫協同工作，能夠在第一時間發現非授權外聯行為并進行防護。防護方式可提供警告提醒、通信阻斷或強制關機等手段。

（1）網絡狀態監測

實時監測計算機的網絡狀態的變化情況，第一時間發現其網絡結構特性變化后啟動違規外聯分析，如發現違規外聯則第一時間調用通信防火墻中斷該計算機的網絡通信。

（2）實時抓包分析

實時抓包分析在計算機存在網絡通信的情況下，實時監測其所有網絡通信數據包，發現存在非本網絡范圍內的網絡通信數據包時啟動違規外聯分析。

（3）定時外聯監測

定時外聯監測是傳統的違規外聯監測方式，能夠以一定的時間頻率探測計算機的違規外聯行為，如果發現可疑行為馬上啟動違規外聯分析。

（4）網絡數據通訊控制

按不同協議類型，對注冊計算機的本地和目標端口進行設置，將目標計算機與外界的通訊進行有效管制，同時能夠設置目標地址白名單，部署在客戶端的內置通訊防火墻會在開機時啟動目標地址白名單進行過濾。

（5）禁用端口設備

終端上的某些外設端口如果開放，會給內網安全帶來風險隱患，也給違規外聯帶來了可能性。因此，有必要將內網終端上的紅外、藍牙、無線網卡等外設端口全部禁用，防范違規外聯的發生。

（6）離線斷網控制

監測內網計算機聯網狀態，計算機一旦脫離內網，則禁止其網卡進行網絡數據通信，使內網計算機形成離網單機，阻斷連接任何內網以外的網絡，避免發生違規外聯。

3.5 敏感信息檢測

敏感信息檢測的目標是實現對內部計算機上存放的各種敏感文件和敏感內容的自動化監測和管理，同時具備對計算機上使用的U盤、移動硬盤等移動存儲介質內的文件進行敏感信息掃描。在管理上實現檢查結果的統一審核、處理和跟蹤，滿足內網敏感信息的安全管理要求。

（1）能夠通過自動化或自定義的方式檢查非涉密計算機上的敏感文件，并自動預警。檢測結果包括涉密信息文件名稱、存儲路徑、使用人、IP地址等內容。

（2）檢測內網中主機或移動存儲介質上的敏感文件，文件類型主要包括txt、pdf、doc、docx、xls、xlsx、ppt、pptx、wps、html、htm等。

（3）能夠展現敏感文件的存放路徑、涉密摘要信息，同時能對發現敏感信息的設備進行提醒、關機和斷網等防護操作。

3.6 存儲介質管理

存儲介質管理是基于軟件標簽技術實現對網內的USB移動存儲介質進行統一注冊管理、權限控制和審計功能，對違規使用移動存儲介質行為能夠進行智能識別和告警。

（1）介質注冊管理

介質注冊管理將存儲介質分為未經注冊的外網介質和注冊過的內網介質。注冊的內網移動介質可分為三種介質類型：加密交互介質、口令保護內網介質、單向導入介質。

（2）用戶身份驗證

移動存儲介質在使用前必須經過授權中心統一授權，并與用戶身份進行綁定。經過授權的存儲介質允許在內網中使用，未授權的存儲介質將被限制使用。

（3）介質操作審計

實時記錄用戶接入移動存儲介質的行為并寫入日志文件；對存儲介質數據交換行為進行安全審計。提供詳細的文件操作審計記錄：例如文件的新建、修改、刪除和復制等[5]。

4 結束語

監獄內網安全管理的工作范圍很廣，不僅包括終端設備的運行安全、還包括網絡邊界安全、信息保密安全、應用行為安全、移動存儲安全等。傳統的安全管理以注重對安全風險的防護為主，其管理模式多是面向安全設備的、局部性的、孤島式的安全防護，安全監管大多都是分散進行的，要全面了解一個系統的安全情況非常困難。安全監管系統在設計中通過集成各類安全監管技術，集中監測、展示和處置各類安全風險和事件，統一掌控全網安全態勢，建立起覆蓋監獄全網的綜合安全管理體系，最終實現對人員、技術、流程的全局規劃、統一管理。

[1]楊婕.探討計算機網絡終端安全防護模型與方法[J]. 城市建設理論研究：電子版, 2015.

[2]孫藝笑.淺析涉密單位信息安全保密[J].科學時代, 2013.

[3]浙江遠望電子有限公司.構建有效的內網信息安全管理平臺[J].信息安全與通信保密, 2010.

[4]張莉.網絡和信息安全管理平臺的設計與實現[D].廈門大學，2016.

[5]顧濤, 楊健.公安內網移動存儲介質安全管理系統的設計與研究[J].網絡安全技術與應用, 2017.