内网安全认证机制的应用实践

1、内网安全认证机制的应用实践【摘 要】随着信息网络迅速发展，单纯依赖传统的网络边界安 全防护措施已经不能有效保障各类系统的应用，必须从网络边界安 全与内网安全两个方面综合管理，建立可信的网络安全认证机制。 本文对如何构建用户安全认证系统和完善内网安全认证体系进行 了实践探索。【关键词】内网安全认证机制；实践；探索随着军事信息网络迅速发展，承载大量各类训练、后勤与装备 管理等应用系统。单纯依赖传统的网络边界安全防护措施已经不能 有效保障各类系统的应用，必须从网络边界安全与内网安全两个方 面综合管理，建立可信的网络安全认证机制。如何构建用户安全认 证系统，完善内网安全认证体系，已经成为各级网络安全管

2、理部门 面前的重要课题。内网可信认证机制的内容体系从内网安全管理的对象看，包括引起信息安全威胁的内部网络 用户、应用环境、应用环境边界和内网通信安全。在现阶段，内网 安全不仅仅是安全产品的堆集，必须由传统的、单纯的安全产品部 署，拓展为构建可信、可控的立体防护体系。综合分析当前信息安 全技术发展，要完善内网安全管理机制，应构建四级可信认证体系。一是实体可信，就是要建立基于硬件级别的安全防护和访问控 制。在最底层对计算机终端进行物理安全加固，使用安全防护卡要 从bios级实现登录认证和全盘数据保护，以杜绝非法用户从光盘（或usb盘）启动而绕过防护软件窃取数据的现象，包括不让用户 随意安装操作系统

3、、卸载软体等。二是系统可信，就是要建立基于操作系统的身份认证和文件保 护。采用基于usb-key的双因素认证技术，实现操作系统登录的可 信可控，即在计算机硬件启动之后，可以限制用户权限。此外，为 防止计算机终端发生系统瘫痪等故障，需要采取相应的系统备份和 灾难恢复措施。三是应用可信，就是要实现对程序安装运行的授权控制。对应 用程序进行黑白名单控制，只有经过管理员签名授权的应用程序才 能运行使用，未经过安全认证授权的应用不能随意入网，严格规范 终端用户对软件程序的使用行为。四是接入可信，就是要实现可信计算机接入内网的认证管理。网络边界的安全可控是内网安全的基本问题，通过基于802.1x认 证协议

4、的可信终端认证子系统，实现网络的安全接入，确保未经网 络安全认证的终端不能在网络上运行。统一身份认证平台的技术架构建立四级可信认证机制的纵深防御体系，实现身份鉴别、介质 管理、数据保护、安全审计等基本防护要求，还必须有统一的身份 认证系统，便于统一资源管理、统一访问控制，实现单点管理，做 到一次登录、全网通行。建立内部网络公共认证信息服务，一个关键要素是整合各类业 务系统的认证和登录，实现统一认证和单点登录，保证各种应用系 统以统一的接口嵌入各类应用平台。统一的身份认证系统，独立于 各部门应用系统和综合办公系统，其总体架构可采用b/s多层结构， 特点是生产具有相对独立的认证功能构件，独立于操作

5、系统平台， 便于实现重用，可在各类网络环境下部署和实现。用户身份信息存储采用ldap目录。将各类用户和应用系统信息， 通过ldap目录服务，以层次结构和面向对象数据库的方式进行集 中管理，保证数据的一致性和完整性，为军事信息网络的各类应用 系统提供统一的用户身价信息。对ldap目录中数据的访问操作由统一身价认证服务web services 接口实现。web services 接口实现。web services 向各 应用系统和用户管理模块提供一致的身份认证接口，应用系统只要 调用web services，即可实现对ldap目录中数据的访问，完成身 份认证功能。为保证数据库管理系统可靠运行，对认

6、证用户数据库的管理功 能，通过用户注册、用户管理和后台维护三个模块实现。（1）用户注册模块。提供把用户信息注册到统一身份认证平台 的功能，注册审核时使用内部网络办公系统提供的基础数据，进行 身份信息比较。（2）用户管理模块。提供用户登录验证、用户信息查询、用户 密码更改等功能。可结合个人身份信息、认证密钥盘、指纹身份识 别等信息处理技术实现。（3）后台维护模块。提供用户信息的检索、审核、修改、平台 维护等功能。为内部网络管理员建立后台管理手段，处理用户认证 证书丢失、认证信息更换等情况。内网可信安全认证的相关措施一是落实网络实名制。要求上网用户必须用真实的身份证明申 请网络帐号，通过身份认证后，才能使用网络和信息资源。实现网 络实名制，可有效加强内部网络管理，防止非法网络接入和窃密行 为。可采取基于802.1x协议终端访问控制、个人生物特征身份签 别和多重认证密钥等技术手段，确保网络实名制有效落实。二是完善技术监察机制。要综合运用各种技术监察手段，加强 对内部网络流量的检测、识别、统计，对网络中的传输内容和操作 行为进行细粒度审计，掌握网络入侵攻击的特征、防范病毒传播、 网络破坏和窃密事件发生。加强计算机网络安全检查，对终端接入 场所要进行电磁探测，对终端接入线路要经常巡查，及时发现和有 效排除安全隐患。三是健全安全责任制。要坚持层次管理、按级负责的原则，指 定专人负责认证