利用網絡防護措施確保涉密網絡信息安全

邢達，朱貝利，趙少飛，聶芳

北京融誠信達科技發展有限公司，北京，102600

0 引言

內部信息網絡的建設進程正持續推進，信息體量的擴大、信息網絡的規模化特征顯著，信息化技術的進步為特定領域日常工作的開展營造了良好的條件。但與此同時，隨之而來的是各種各樣的內網安全問題，信息的安全性難以得到保障。針對日益嚴峻的內網安全問題，各級單位予以高度重視，并積極探索提升內網安全的具體策略，以期構筑安全的信息防護體系。作為一項復雜度較高的工作，涉密網絡信息安全防護工作的策略應具有針對性，下文將對此做具體的探討。

1 涉密網絡的技術防范要求

涉密網絡的安全性提升工作應由具有資質的單位負責，嚴格遵循《涉及國家秘密的信息系統分級保護技術要求》（BMB17-2006）等相關規范，有效設計和建設。在涉密網絡的技術措施中，包含備份與恢復、身份鑒別、病毒防范、入侵檢測、信息加密等，同時要對信息輸入輸出接口做全方位的控制。簡單來說，在涉密網絡的技術防范中，需要集多項措施于一體，切實提高設計網絡的安全性[1]。

2 涉密網絡的技術防范特點

涉密網絡的技術防范有其特殊性，主要具有如下特點。

（1）對于國家秘密，先確定級別，再細分為具體類別，各類涉密信息均對應有特定的知悉范圍，禁止超越該范圍，否則易產生涉密網絡安全隱患。在涉密網絡的安全建設工作中，應明確每臺計算機操作者的身份，控制各項信息傳遞行為。

（2）身份假冒指的是私自用涉密計算機仿冒合法使用人，以此進行非正當操作，也有可能是發生于合法使用人群體中，例如其偽造盜用他人IP地址，基于此途徑仿冒除自身外的合法使用人員。在網絡的登陸中關聯人與網絡的虛擬身份地址是杜絕身份假冒的重要舉措。

（3）在計算機的日常使用中，實現對涉密信息的全面識別和控制，使信息的創建、復制、編輯等各項操作均處于可控狀態。除此之外，還需統一日志信息的格式，此舉的特點在于出現失泄密事件后能夠精準地安排審計追查，盡快處理問題。

（4）計算機泄密事件的通道包含以USB接口、軟驅為代表的一系列信息輸入輸出接口，需采用內網安全管理、訪問控制、安全審計等技術實現對計算機各接口的有效控制，杜絕泄密事件。

3 威脅涉密網絡信息安全的主要手段

現階段，我國涉密網絡和國際互聯網實行的是物理隔離機制，涉密信息使用流程如圖1所示。此方式決定了涉密網絡不易受到外來攻擊的特點，因此將主要威脅鎖定至內部，主要威脅方式體現在如下幾方面。

圖1 涉密信息使用流程

（1）信息泄漏。在無意或有意中泄漏或丟失敏感信息，具體發生在信息傳輸路徑中、信息在移動存儲介質的存儲中。

（2）非授權訪問。在未經許可的條件下使用計算機資源或網絡，刻意避開系統訪問控制技術、訪問控制管理不嚴時非正式使用資源，或越權涉密信息等。

（3）破壞數據完整性。篡改、刪除、泄漏重要信息，是攻擊者有意對涉密網絡信息的攻擊行為；或惡意修改、添加數據，阻礙具有權限用戶的日常操作。

（4）拒絕服務和漏洞攻擊。常見的是利用操作系統的安全漏洞或TCP/IP協議的漏洞等針對網絡設備做出的攻擊行為。網絡服務系統將遭到持續性的攻擊，正常作業流程受到阻礙，存儲空間被異常耗盡，部分核心服務無法正常啟用，檢測設備對信息的檢測出現異常，檢測數據的準確性、全面性均較差，致使合法用戶無法進入網絡服務系統，難以享受到本應享受的服務[2]

（5）惡意代碼和病毒。由于防病毒軟件配套不及時、輸入輸出控制不嚴格等而感染上計算機病毒，導致計算機執行某特定的程序，在產生“攻擊缺口”后，逐步蔓延至網絡內的其他計算機，引發極為嚴重的網絡信息安全問題。在危害網絡信息安全的元兇中，計算機病毒尤為突出，其對網絡系統的影響具有致命性，常導致系統癱瘓、重要數據無法打開等問題。

4 涉密網絡信息安全防范技術

從多個方面著手，切實提高網絡信息的安全防范水平，具體做如下分析。

（1）網絡安全。精準控制網絡用戶訪問的范圍，加強內部防護，以防員工從內部發起網絡攻擊。以涉密信息的密級為主要依據，對子網加以劃分，避免各子網遭到干擾；適配公共服務器子網，將即時通信服務器、辦公自動化服務器、產品數據管理服務器等放入公共服務器子網中，允許其他子網的計算機訪問公共服務器子網的服務器，在實行此機制后，實現內部跨部門的信息共享與交換；配置網絡交換機，用于控制其他子網計算機的訪問范圍，僅能夠訪問指定的網絡服務端口，以此來提升公共服務器的安全性；聯合采取關閉多余端口、關閉多余服務等方法，阻止非法的網絡接入，不給涉密網絡信息安全問題的出現帶來“可乘之機”。

（2）操作系統和服務安全。以物理措施為主要的途徑，控制多余數據接口；在此方面宜優先采用NTFS格式進行操作系統的安裝；刪除多余用戶，關閉不必要的系統服務，防止非授權用戶登錄；對重要服務器做系統備份，保證網絡信息的完整性；建立并運行服務器本地審計策略；設定身份鑒別策略，具體包含密碼策略、用戶策略、鎖定策略等；更新操作系統補丁，著重考慮的是終端數量龐大的情況，需要有針對性地為之部署補丁并分發到服務器[3]。

（3）應用系統的安全。制定身份鑒別策略，有效實行；提供超時認證、嘗試次數限制的功能；建立基于角色的訪問控制策略，遵循最小化的原則對用戶權限予以劃分；涉密信息在應用系統服務端做加密存儲，涉密信息禁止以明文文件的方式予以存放；對于設計用戶名與口令的程序，避免在客戶端進行驗證，合適的方法是將其封裝在服務器端；應用系統的B/S架構如圖2所示，在此類系統的開發中，需加強代碼安全檢測，從根本上杜絕SQL注入攻擊的問題。

圖2 B/S架構

（4）信息輸入和輸出的安全。統一集中的輸入輸出是控制計算機輸入輸出行為的優質方案，設置統一集中的輸入輸出機房，由專員加強管理；清晰界定打印輸入輸出的作業范圍，必須在指定的輸入輸出房完成；分別為各計算機適配主機監控審計軟件，配置主機監控和審計策略，運行此類安全防護策略，禁止用戶的各類輸入輸出端口，例如禁止使用各類光驅、USB端口的移動存儲介質、紅外端口等；提升用戶作業行為的規范性，禁止其隨意安裝軟件和操作系統，以便進一步保障涉密網絡的安全性；在條件允許時，拆除輸入輸出計算機的只讀光驅。

（5）數據安全。制定數據庫備份恢復策略，以備份的方式提升數據的安全性；定期備份數據庫服務器，由專員檢查，保證備份的有效性，備份方法根據重要程度而定，例如關鍵數據庫服務器的備份要求高，宜采取熱備份的方法；數據庫備份環境應良好，切實保障備份數據安全；制定數據庫備份計劃，由專員按照計劃定期開展數據的安全備份工作；系統涉及數據庫的需設定用戶權限管理策略，取消默認的空口令；定期檢測數據庫的安全性，識別安全隱患，妥善處理；及時更新數據庫補丁程序，提升可行性[4]。

（6）審計系統的安全。現階段，涉密網絡常采用包含防火墻系統、漏洞掃描系統、防病毒系統、違規外聯監控系統在內的多類信息安全應用系統，通過多類應用系統的聯合應用，用于保存用戶的操作記錄，也便于定期分析系統的日志，識別違規操作和非法入侵行為，用于震懾入侵行為，杜絕內部的違規操作。在獲取、傳輸、存儲審計數據時，均要加強安全防護。審計數據獲取環節，保證數據的完整性，避免在此階段出現審計數據丟失現象；獲得審計數據后，及時傳輸至統一管理平臺模塊，針對數據做過濾處理后，將優質的數據傳輸至數據庫；在數據傳輸階段加強安全防控，禁止任何審計數據遭到篡改、截獲等異常現象，對此可考慮數字簽名方式或者加密算法的應用；存儲審計數據時，防止數據庫的數據溢出，由于防護不當或是其他原因而導致數據庫出現異常時，及時采取應急響應措施，減小因數據庫數據溢出而產生的不良影響。

（7）分類管理涉密資料，并加強對日常操作和訪問的安全防控。涉密信息的知悉范圍需得到控制，對該類信息的使用者予以分類，避免信息被隨意使用。在涉密網絡的信息呈現方式中，國家秘密信息普遍以文字和圖形的方式呈現，為避免他人以變更名稱、接觸私密信息等途徑使秘密信息泄漏，要加強對計算機操作行為的有效管理，確保使用人員嚴格依據規范完成打開、創建、復制等一系列的操作。在涉密網絡中要加強訪問控制，建立涉密信息與授權人員的對應關系和規則，清晰界定具有可行性的操作類型。具體考慮如下兩種方法。

第一種方法是根據使用類型對涉密信息予以分類，確定各類涉密信息的知悉對象，建立起“一一對應”的關系。例如，按項目管理的方式對軍工產品設計、生產等各階段的涉密信息加以分類，按計劃、質量等使用屬性對經營期間的涉密信息及議案分類。在該方式下，明確各涉密信息的知悉人員，同時引入相對固定的人員類別表述，以免由于人員頻繁變更而導致設計工作難以高效開展。在該方式下，知悉范圍管理的關鍵工作內容指的是對涉密信息類別與角色之間的關系集合的管理。

第二種方法是依托組織結構樹對信息使用成員加以管理。在組織結構樹的管理方式中，將硬件鑰匙轉換成相應的IP地址，用是否屬于某個角色的方式來表述使用人員對涉密信息的知悉權利，基于此途徑轉變了對使用人員的管理方法，即實行的是對角色組中各成員進行管理的工作策略。在引入相對固定的角色概念后，優化訪問控制的工作方式，此時著重考慮的是信息類別與角色、角色與使用人員兩部分，針對彼此間的關系做針對性的管理。在清晰梳理上述關系的基礎上，還需具備檢測和監控網絡入侵的能力，如此才可更加精準地控制知悉范圍。

（8）高密級信息安全流向的控制。涉密信息的安全等級不同，彼此需要保持獨立，但從實際情況來看，可能由于控制不當而出現高密級涉密信息流向低密級安全區域的情況，與此同時原本存在于高密級安全區的非涉密信息在不受影響的條件下流向低密級安全區域，諸如此類問題均需要得到有效的解決。根據現有技術水平，可以使用OA或郵件系統，其基本運行思路是在文件傳輸環節讀取文件的屬性，根據確定的屬性特征判斷文件是否涉密，在此基礎上有效執行后續的操作。例如，若讀取的文件被判定為涉密文件，表明其有較高的安全防護要求，禁止做出發送動作。在運行“讀取屬性→判斷文件特性→采取控制策略”的流程時，在源頭上加強了對涉密文件的安全防控[5]。

5 結語

綜上所述，在信息技術不斷發展的背景下，網絡信息安全尤為重要，針對現階段存在的網絡信息安全問題，可以從技術升級、規章制度的建立與優化、管理體系的配套等多個方面著手，以涉密網絡信息安全管理體系為引導，以硬件和軟件為支撐，建立全方位的網絡信息安全防護墻，在此基礎上為涉密網絡信息提供安全保障。即便現階段的涉密網絡信息安全管理工作頗有成效，但仍有諸多有待解決的問題，任重而道遠，相關技術人員仍需持續探索研究。