圖1 信息網(wǎng)絡(luò)安全體系結(jié)構(gòu)

3、涉密網(wǎng)絡(luò)的安全設(shè)計

3.1 廣域網(wǎng)傳輸?shù)谋Ｃ苄栽O(shè)計

傳輸涉密信息必須在租用的專線鏈路兩端使用硬件加密/解密設(shè)備;在互連設(shè)備相鄰節(jié)點間實行鏈路層連接認證;在無線信道中使用硬件加密機實現(xiàn)數(shù)據(jù)保密傳輸。

3.1.1 路由信息的安全交換

使用安全路由器和安全的路由協(xié)議，利用密碼技術(shù)實現(xiàn)路由器間相互認證，保證路由信息的真實性、完整性、保密性;

在每個管理域的邊界，通過配置路由器或防火墻，使得只有源地址為該管理域合法地址的IP包可以離開該管理域。

3.1.2 網(wǎng)絡(luò)管理系統(tǒng)的安全措施

網(wǎng)絡(luò)管理系統(tǒng)需要嚴格的身份認證，特別是對于來自非控制臺的用戶，需要強制認證機制。不能在網(wǎng)絡(luò)上明碼傳輸口令;對不同網(wǎng)絡(luò)管理員，根據(jù)其任務(wù)和角色提供不同級別的授權(quán)控制;對管理員的每次使用和對網(wǎng)絡(luò)設(shè)備的操作，需要有完善的審計機制，以便于故障的恢復、責任的追查。

3.2 內(nèi)部資源子網(wǎng)

資源子網(wǎng)或末梢網(wǎng)絡(luò)主要指各級機關(guān)局域網(wǎng)，資源包括主機及其所提供的服務(wù)，目標在于防止來自外部和內(nèi)部的非法訪問和攻擊，采取的主要措施是物理和邏輯上的各種訪問控制措施，輔助以實時入侵監(jiān)測手段。

3.2.1 網(wǎng)絡(luò)資源的訪問控制

內(nèi)部網(wǎng)絡(luò)資源的保護和訪問控制首先依賴于合理的網(wǎng)絡(luò)結(jié)構(gòu)設(shè)計(特別是局域網(wǎng))，如利用合理的網(wǎng)段設(shè)置、局域網(wǎng)交換機的虛網(wǎng)劃分等手段實現(xiàn)廣播域的隔離。

為防止來自外部的非授權(quán)訪問和惡意攻擊，主要采取防火墻的過濾技術(shù)和輔助以入侵監(jiān)測技術(shù)，包括專用的包過濾設(shè)備、過濾路由器、以及應用層代理或應用網(wǎng)關(guān)。

3.2.2 按不同密級劃分網(wǎng)段

不同密級的信息在存儲與傳輸階段應該在物理或邏輯上進行隔離。在局域網(wǎng)設(shè)計時，網(wǎng)段的劃分與隔離應充分考慮網(wǎng)段信息的密級。

由于嚴格的物理隔離將造成使用不便、管理復雜，信息無法共享。因此，對不同密級信息的訪問控制應該主要由應用系統(tǒng)來完成。

對于絕密信息，可以做特殊考慮。保存絕密信息的主機或網(wǎng)絡(luò)可以在物理上與其他網(wǎng)絡(luò)隔離。機要部門之間的傳輸媒體應該采用屏蔽電纜或光纖，端系統(tǒng)使用硬件加密機。

3.2.3 撥號用戶接入與移動用戶接入

由于撥號網(wǎng)絡(luò)使用公用電話交換網(wǎng)，在網(wǎng)絡(luò)上傳輸?shù)臋C密信息存在被竊聽、篡改等威脅，需要解決用戶的認證問題，必須保障用戶口令不在網(wǎng)絡(luò)上以明碼形式傳輸。

無線移動用戶的接入與電話撥號用戶的接入作同樣的考慮。對于重要的應用和機密信息，信息的保密服務(wù)由上層協(xié)議來完成。

3.2.4 與公網(wǎng)的互連

涉密網(wǎng)絡(luò)作為涉密系統(tǒng)的內(nèi)部網(wǎng)絡(luò)，從路由概念上講不與公用網(wǎng)絡(luò)互連。但有些單位為滿足內(nèi)部人員使用Internet和對社會的信息發(fā)布等需求，在信息中心建立了對外公眾信息服務(wù)網(wǎng)。

公眾信息服務(wù)網(wǎng)中不應該包含任何涉密信息，對公眾信息服務(wù)網(wǎng)的安全需求主要是系統(tǒng)和服務(wù)的可用性、數(shù)據(jù)的完整性，通過加強系統(tǒng)安全、防火墻控制、安全監(jiān)控等措施，防范黑客攻擊和侵入、篡改信息。通過設(shè)置專用防火墻，拒絕外部網(wǎng)絡(luò)對內(nèi)的網(wǎng)絡(luò)訪問。同時在網(wǎng)關(guān)處安裝流量分析和入侵檢測設(shè)備，以便及時發(fā)現(xiàn)網(wǎng)絡(luò)上的異常情況。

對外信息服務(wù)區(qū)和數(shù)據(jù)采集暫存區(qū)在與內(nèi)部信息交換時可以連在內(nèi)部網(wǎng)上，但在對外提供服務(wù)時必須與內(nèi)部網(wǎng)絡(luò)物理斷開并采用經(jīng)國家有關(guān)部門批準的安全隔離設(shè)備，保障安全。

4、涉密網(wǎng)絡(luò)的安全保障技術(shù)建設(shè)

除了安全保障制度建設(shè)及信息系統(tǒng)的安全防護外，涉密網(wǎng)絡(luò)安全保障技術(shù)的重點工作應體現(xiàn)在下述幾方面：

4.1 建設(shè)CA身份認證系統(tǒng)及以密鑰管理、密碼工作管理和檢測監(jiān)控為主的涉密信息網(wǎng)絡(luò)安全管理系統(tǒng)

身份認證與訪問授權(quán)控制系統(tǒng)為每位上網(wǎng)用戶配發(fā)電子身份證書，實現(xiàn)對每一個登錄涉密信息網(wǎng)的用戶進行身份的合法性驗證，并根據(jù)用戶的身份授予訪問不同信息內(nèi)容的權(quán)力。

4.2 涉密信息網(wǎng)安全監(jiān)控系統(tǒng)

4.2.1 入侵檢測子系統(tǒng)

入侵檢測系統(tǒng)通過對網(wǎng)段內(nèi)的數(shù)據(jù)包進行監(jiān)測、分析，判斷非法訪問、攻擊、入侵和竊取信息行為并報警。

4.2.2 敏感信息監(jiān)控子系統(tǒng)

在涉密信息網(wǎng)上安裝敏感信息檢測子系統(tǒng)，實現(xiàn)對非法信息、泄密信息等進行監(jiān)控、分析、通報甚至阻斷，建立日常的運行管理、主題詞庫維護和人工干預工作機制。

4.2.3“一機兩用”監(jiān)控系統(tǒng)

通常我們講的“一機兩用”是指涉密網(wǎng)絡(luò)使用的計算機及網(wǎng)絡(luò)設(shè)備同時連接涉密信息網(wǎng)和國際互聯(lián)網(wǎng)等其他外部網(wǎng)絡(luò)，也包括斷開涉密信息網(wǎng)后接入國際互聯(lián)網(wǎng)或其他外部網(wǎng)絡(luò)。

聯(lián)入外網(wǎng)指的是使用一切手段和設(shè)備，包括使用手機、小靈通、無線網(wǎng)卡、藍牙技術(shù)等無線設(shè)備或調(diào)制解調(diào)器、光端機、ADSL、傳真機等有線設(shè)備直接或間接與外網(wǎng)相聯(lián)。如果有違規(guī)連接，應能及時監(jiān)測。

4.3 技術(shù)防范的措施建設(shè)

(1)內(nèi)網(wǎng)防火墻：將內(nèi)部子網(wǎng)(涉密網(wǎng)內(nèi)的局域網(wǎng))和公眾網(wǎng)絡(luò)(涉密信息網(wǎng))分開的網(wǎng)絡(luò)安全工具。

(2)防病毒(計算機病毒預警防范體系)：通過在核心交換節(jié)點部署網(wǎng)絡(luò)預警系統(tǒng)的病毒監(jiān)測探針，實時檢測和發(fā)現(xiàn)網(wǎng)絡(luò)病毒，結(jié)合涉密信息網(wǎng)的IP 地址規(guī)劃和計算機注冊定位信息，形成覆蓋全網(wǎng)的網(wǎng)絡(luò)病毒宏觀分析、研判與協(xié)調(diào)處置系統(tǒng)，建立涉密信息網(wǎng)病毒預警和通報機制，及時處理緊急病毒爆發(fā)事件。

(3)防災難(防災備份系統(tǒng))：建立本地或異地的數(shù)據(jù)備份系統(tǒng)，對操作系統(tǒng)、數(shù)據(jù)庫、應用系統(tǒng)和資源庫進行防災備份。

4.4 涉密網(wǎng)絡(luò)的邊界安全建設(shè)

涉密信息網(wǎng)的整體邊界安全是安全保障工作的第一道防線。涉密信息網(wǎng)邊界安全包括：

4.4.1 保障涉密信息網(wǎng)無線接入安全

建立無線通信、微波通信、移動通信等無線技術(shù)接入涉密信息網(wǎng)的審查和批準制度。制定無線接入涉密信息網(wǎng)的安全技術(shù)要求和規(guī)范標準，無線接入產(chǎn)品要備案登記。

4.4.2 保障涉密信息網(wǎng)的撥號接入安全

制定電話撥號方式接入涉密信息網(wǎng)的安全技術(shù)要求和規(guī)范標準。

5、結(jié)語

涉密網(wǎng)絡(luò)的安全體系建設(shè)是一項復雜的系統(tǒng)工程，它不是簡單的產(chǎn)品購買，也不僅僅是幾張證書，而是一種機制。它與網(wǎng)絡(luò)邊界防護、網(wǎng)絡(luò)身份認證和權(quán)限管理、內(nèi)網(wǎng)監(jiān)控與審計等技術(shù)都有密切的關(guān)聯(lián)。

zhangcun