引言
在軍工單位中，需要處理、存儲國家秘密的計算機稱為涉密計算機，由涉密計算機構成的網絡系統稱為涉密網。網絡信息安全是指防止網絡本身及其采集、加工、存儲、傳輸的信息數據被故意或偶然的非授權泄露、更改、破壞或使信息被非法辨認、控制。目前，軍工單位普遍使用計算機網絡進行產品設計和生產經營管理，通過計算機造成的失泄密事件日益增多。為了確保國家秘密的安全，國家對從事軍工科研和生產的單位實行保密資格審查認證制度，并對軍工單位的涉密網絡建設和使用提出相應的要求，故針對軍工單位如何達到涉密網絡的安全保密要求進行探討。
1 涉密網絡信息安全的要求及其特點
1．1 涉密網絡的技術防范要求
國家在對軍工單位的保密資格審查認證中，要求軍工單位的涉密網絡必須由具備涉密系統建設資質的單位進行設計和建設，并遵循《涉及國家秘密的信息系統分級保護技術要求》(BMBl7-2006)、《涉及國家秘密的信息系統分級保護方案設計指南》(BMB23—2008)。其中，明確提出涉密網絡必須具備以下技術措施：備份與恢復、病毒防范、身份鑒別、訪問控制、信息加密、安全審計、入侵檢測、漏洞掃描等。并要求對涉密網絡中的信息輸入輸出接口進行控制。
1．2 涉密網絡的技術防范特點
1)對于國家秘密，需要劃分不同的級別，每個級別中又劃分為若干類，每類涉密信息的知悉范圍是確定的。這種控制秘密信息的知悉范圍是強制的，不得超越。在涉密網絡中需要確定每臺計算機操作者的身份，并能對網絡中涉密信息的傳遞行為進行控制。
2)身份假冒包括：非法使用人員通過私自使用涉密計算機仿冒合法使用人；合法使用人員通過偽造盜用它人IP地址仿冒其他合法使用人員。為了防止身份假冒，在網絡的登陸使用中需要將現實中的人與網絡中的虛擬身份地址關聯起來，且確保其身份地址不能被盜用。
3)在計算機使用過程中，需要對涉密信息的創建、打開、更名、復制、編輯等行為進行識別和控制。同時，還需要將各種日志信息的格式進行統一，以便于在發生失泄密事件后進行審計追查。
4）計算機信息輸入輸出接口(USB接口、光驅、軟驅等)是計算機失泄密事件的主要通道。需要對計算機的所有接口能進行控制，主要通過內網安全管理、身份鑒別、訪問控制、安全審計、信息加密技術來實現。
2 涉密網絡的信息安全原則與措施
2．1 涉密網絡的信息安全原則
1）制度體系、流程管理與技術手段相結合的原則
軍工保密安全以管人為主，安全策略要以完整的制度體系、規范合理的工作流程為主，結合技術防范手段來實現，不能將保密安全策略完全建立在技術手段上。
2）公眾產品與涉密產品相結合的原則
保密安全體系首先應建立在一個相對完整的網絡基礎上，對基礎的網絡和非核心的部分應采用成熟的公眾產品，如交換機、備份恢復系統、網絡防病毒系統等，在關鍵部分采用專用的涉密安全產品，如身份鑒別、防火墻、入侵檢測、漏洞掃描等。
3）全面預防與重點防范相結合的原則
由于產品設計和生產經營管理的實際需要，軍工單位的信息安全應建立在全面預防措施的基礎上，對重點的信息安全方面采用技術手段進行自動監控，優先解決身份鑒別問題，其次是信息輸入輸出接口的控制，最后解決訪問控制。
4）最小授權原則
軍工單位涉密人員各自的涉密范圍不同，在對人員進行權限設置時，只針對需要訪問的模塊或信息授權，盡量控制涉密人員的訪問范圍最小化。
5)選用成熟技術與兼顧技術發展相結合的原則
軍工單位涉密網絡處理的是國家秘密，應優先選擇成熟可靠的保密安全產品。
2．2采取的技術措施
結合上述原則和軍工單位涉密網絡的技術防范要求，采取分級控制與加密存儲相結合的措施對涉密信息檔案，特別是涉密文件加以保護。
在制度上明確由單位統一管理，并為每位在涉密網中的員工固定一個IP地址(與MAC地址和交換機端口進行綁定)，IP地址所產生的所有行為視為該員工的行為。采用硬件鑰匙結合口令的方式對操作系統的登陸進行完善，通過硬件鑰匙進行身份驗證的方式將具體員工與虛擬IP對應關聯起來。
對涉密信息進行知悉范圍控制。在對涉密信息分類的基礎上控制涉密信息的打開、編輯等操作行為，將對涉密信息的管理控制變成對操作權限的分配和管理。
對網絡服務器的訪問進行控制，對網絡中受限終端的對外信息輸出渠道進行控制。網絡服務器的訪問控制可以采用防火墻與交換機VLAN技術相結合的方式來解決。對于終端信息輸出渠道的控制，可以采用基于網絡的設備集中控制系統，即固定一個輸出口，其余端口全部封閉。
軍工單位涉密網絡的保密安全措施及其實施在單位中始終是動態變化的，其引起改變的時機和方法取決于安全審計的結果。因此，還應對涉密信息審計及安全策略進行動態調整。
3 信息安全產品的關鍵技術
3．1 身份認證與自主加密保護相結合
在軍工單位涉密網絡的日常應用中，需要對各種涉密文件進行大量處理，應該為每位使用者提供對自己處理的涉密文件進行加密保護的功能，其加密密鑰可以用同一個硬件鑰匙來保存。對硬件鑰匙中的密鑰進行管理(寫入、修改、讀出、存儲)，使之符合密品管理的要求。通常使用USB接口設備，通過硬件鑰匙進行身份認證。
3．2 涉密資料的分類管理、操作行為與訪問控制相結合
涉密網絡中的涉密信息要控制其知悉范圍，必須對涉密信息及其使用人員進行分類，建立一種相對固定的關聯規則。
國家秘密信息在軍工單位涉密網絡中主要表現為文字和圖形，為了防止無關人員接觸秘密信息和通過更名等方式改變國家秘密的表現形式而造成秘密泄露，必須對使用人員的計算機操作行為(打開、創建、更名、復制、編輯)進行控制。
要在涉密網絡上實現訪問控制，使涉密信息只被授權的人員知悉，必須建立涉密信息與授權人員的對應關系規則，確定其可以進行的操作類型。可采取下列方式：
1)將涉密信息按使用類型進行分類，確定每類涉密信息的知悉對象：對涉密信息進行分類，比如，對軍工產品的設計、工藝、生產等過程產生的涉密信息按項目管理的方式進行分類，對經營過程中產生的涉密信息按計劃、財務、質量、試驗等使用屬性進行分類等。這樣，每類涉密信息的知悉人員是相對確定的，為避免使用人員頻繁變化帶來的設計困難，可以引入相對固定的人員類別表述一一角色。這時，對知悉范圍的管理就轉變為對涉密信息類別與角色之間的關系集合的管理。
2）通過組織結構樹來管理使用成員，通過硬件鑰匙轉換成對應的IP地址，使用人員對某類涉密信息的知悉權利就可以用是否屬于某個角色來表述。這時，對使用人員的管理就轉變為對角色組中成員的管理。
通過引入相對固定的角色概念，訪問控制的實現就轉變為對信息類別與角色、角色與使用人員之間的關系的管理。
在確定上述關系的同時，還必須要有對網絡入侵進行檢測監控的能力，以實現對知悉范圍的控制。
3．3 控制高密級信息的安全流向
怎樣控制高密級安全區域的涉密信息不能流向低密級安全區域，而高密級安全區域的非涉密信息流向低密級安全區域又不受影響，是現在軍工單位迫切需要解決的一個問題。
可以通過OA或郵件系統，在文件進行傳輸的時候，首先讀取文件的屬性，由文件的屬性來判定該文件是否涉密，如果該文件涉密，則不允許發送。
3．4 日志與審計相結合
如何解決計算機中不同操作系統所產生的日志信息格式的統一，在不占用大量的網絡帶寬資源的情況下，如何保證日志信息在產生和傳輸過程中不會被旁路、篡改、丟失，在審計中如何結合訪問控制的規則自動對違規的日志信息進行高效過濾并自動報警。
需要進行審計分析的主要設備包括：路由器、防火墻等網絡和網絡安全設備以及通用的操作系統等，對這些的日志進行日志過濾、可疑的活動進行綜合分析；根據確定的安全策略和實施情況的差距進行有效的審計，根據審計結果和日志內容抵御和清除病毒、蠕蟲和木馬，修補系統的漏洞。升級已有的和不安全的服務，加強網絡審核，加強反病毒掃描，增加建設審計報告庫，總結每次出現的問題和解決的方法。
4 涉密網絡信息安全技術發展趨勢
4．1 分布式入侵檢測
分布式入侵檢測系統是現代IDS主要發展方向之一，主要包括2層含義：1)針對分布式網絡攻擊的檢測方法；2)使用分布式的方法來檢測分布式的攻擊，其中的關鍵技術為檢測信息的協同處理與入侵攻擊的全局信息的提取。分布式入侵檢測系統能在數據收集、入侵分析和自動響應方面最大限度地發揮系統資源優勢，其設計模型具有很大的靈活性。
4．2智能化入侵檢測
現階段常用的智能化方法有神經網絡、遺傳算法、模糊技術、免疫原理等方法，這些方法常用于入侵檢測的辨別與泛化，利用專家系統的實現來構建IDS也是常用的方法之一。
4．3 網絡安全技術相結合
結合防火墻、PKI(Public Key Infrastructure，公開密鑰基礎設施)、安全電子交易等網絡安全技術與電子商務技術，提供完善的網絡安全保障。
4．4建立系統的測試評估體系
設計通用的入侵檢測測試評估方法和平臺，實現對多種入侵檢測系統的檢測，已成為當前入侵檢測系統的一個重要研究與發展領域。評估入侵檢測系統可從檢測范圍、系統資源占用、自身的可靠性等方面進行。評價指標有：能否保證自身的安全、運行與維護系統的開銷、報警準確率、負載能力以及可以支持的網絡類型、支持的入侵特征、是否支持IP碎片重組、是否支持TCP流重組等。
5 總結
目前，信息系統技術正處于蓬勃發展的階段，新技術層出不窮，也不可避免地存在一些漏洞。因此，要不斷追蹤新技術的應用情況，及時升級更新、完善信息系統的安全防御措施。
核心關注：拓步ERP系統平臺是覆蓋了眾多的業務領域、行業應用，蘊涵了豐富的ERP管理思想，集成了ERP軟件業務管理理念，功能涉及供應鏈、成本、制造、CRM、HR等眾多業務領域的管理，全面涵蓋了企業關注ERP管理系統的核心領域，是眾多中小企業信息化建設首選的ERP管理軟件信賴品牌。
轉載請注明出處：拓步ERP資訊網http://www.guhuozai8.cn/
本文標題：涉密網絡信息安全保密
本文網址：http://www.guhuozai8.cn/html/consultation/1083956470.html
相關文章
