专网安全防护系统规划设计

专网安全防护系统规划设计黄望宗【摘要】针对专用网络用户的业务信息安全防护需求，提出在同一网络按需交互或隔离多密级信息的规划思路，从安全防护规划原则、安全技术体系规划、安全管理体系规划和安全防护系统实现等方面进行了详细阐述；对专用网络安全防护系统的组成与功能进行设计，并按多密级信息防护能力配置网络安全系统与设备，构建了专用网络的安全防护体系.％Thisarticleinviewofprivatenetworkusersbusinessinformationsecurityprotectionneeds.putsfor-warwinthesamenetworkasneedinteractiveorisolationvarioussecretlevelofinformationofplanningideas,fromasecurityprotectionplanningprinciples,securitytechnologysystemplanning,securitymanagementplanningandsecurityprotectionsystemofrealizationandsoonindetail,toprivatenetworksecurityprotectionofcompositionandfunctiondesign,andaccordingtovarioussecretlevelofinformationprotectioncapacityconfigurationnetworksecuritysystemandequipment,constructtheprivatenetworkofsecurityprotectionsystem.【期刊名称】《光通信技术》【年(卷)，期】2012(036)005【总页数】3页(P60-62)【关键词】专用网络;安全;防护;体系;规划【作者】黄望宗【作者单位】中国人民解放军92941部队【正文语种】中文【中图分类】TP9160引言对于政府机关、科研单位、企业、军队等单位，目前一般拥有自己的专用网络，涉及的网络业务信息类型往往包括公开非密、秘密（或商业秘密）、机密（或商业机密）等。不同的业务信息允许在不同的网络环境下共享与交互，公开非密信息一般允许在因特网上交互，秘密和机密信息只能在独立的自有局域网上交互，大部分单位涉及的秘密和机密信息也必须分开不同网络运行［1］。有的单位建设了几套网络同时运行，每个用户会因业务信息密级不同配置2台以上计算机来适应多套不同密级专用网络使用。这种情况的出现势必会造成网络设备、光纤纤芯、服务器、用户计算机等设备和资源的重复建设。因此，我们提出在多网合一基础上来规划不同级别的安全防护体系，实现同一网络运行多密级网络信息按需交互或隔离的规划思路，并配置多密级的网络安全设备，构建专网的安全防护系统。1规划设计原则安全防护系统规划设计过程中遵循以下原则：物理隔离原则，即不得直接或间接连入因特网和绝密级网络，必须实行物理隔离；分级管理原则，对网络中处理、传输的信息进行分级保护，高密级信息不得流向低密级区域，低密级用户不得访问高密级信息；整体性原则，网络安全防护体系规划必须采取技术和管理相结合的安全保密措施，坚持思想教育、制度约束和技术管控〃三管齐下”；动态性原则，网络脆弱性的改变和威胁攻击技术的发展，必须及时完善安全保密措施，对技术和设备的升级换代。2安全系统规划网络信息系统安全框架分为安全技术体系和安全管理体系两个部分，这两部分既相对独立，又有机结合，形成整体安全框架［2］。采用此框架体系，做到管理与技术结合，形成有机的安全体系。2.1安全技术体系规划根据分域保护安全策略来规划设计专网涉密安全体系，将其整个涉密信息系统划分为多个安全域，对每个安全域分别采用相应的安全保护措施加以保护。在满足业务、功能和地域等特性的同时，保证整体运行的可用性、保密性和完整性的基础上，将专网涉密系统网络划分为服务区、非密级用户区、秘密级用户区、机密级用户区等四大安全区域，服务区安全域分为公共服务区、秘密级应用服务区和机密级核心服务区。专网安全防护系统使用逻辑隔离方法进行信息定级［3］，涉密业务由密子网承载，非涉密业务由明子网承载。非涉密业务指不涉密的公共信息服务或其它业务，应达到二级防护标准；涉密业务包括秘密和机密，秘密网应达到三级防护标准，机密网应达到四级防护标准。安全域定级为：公共服务区和非密用户区定为非密；秘密级应用服务区和秘密级用户区定为秘密；机密级核心服务区和机密级用户区定为机密。2.2安全管理体系规划根据GJB5612-2006《军队计算机信息系统安全保密防护要求及检测评估方法》，建立一个完善的安全管理体系，安全管理体系包括组织机构、制度管理和人员管理三方面：组织机构下属保密委员会、执行层，执行层下属业务部门、安全保密领导小组和网络管理中心；制度管理下属人员职责、物理环境与设施安全管理、设备与介质管理、运行与开发安全管理、信息安全保密管理和奖惩培训等相关制度管理；人员管理下属保密教育、人员培训、人员审查、签定保密协议、岗位设置、人员考核和人员调离。它规定对信息安全系统进行管理的诸多方面内容，为信息安全提供管理方面的指导和支持。3专网安全防护系统实现通过对专网涉密信息系统的分析研究，从网络运行安全、信息安全和安全保密管理等方面综合考虑，依照等级化保护进行安全防护体系设计与实现，保证涉密网中传输数据信息的安全性、完整性、真实性及抗抵赖性，形成事前防护，事中安全检测，事后审计取证于一体的安全防护体系，达到实体安全、应用安全、系统安全、管理安全，以满足专网涉密信息系统安全防护要求。3.1安全防护系统功能与要求专用网络安全防护系统的主要功能是保证专用网络达到机密级防护要求。从网络安全角度考虑应具备功能：与其他网络实施物理隔离［4］，不同部门之间应根据需要实施逻辑隔离措施，对用户进行访问控制；具有网络防病毒措施，能通过网络实时更新病毒库；具有网上事件审计记录能力；具有对违规事件进行监视、报警和控制处理的措施；向控制区域外传输信息应具有网络加密措施防止信息的非法窃取和篡改；全网建立统一的身份认证体系；设立网络安全管理中心，能够对网络的安全设备等资源进行管理，对用户违规行为进行监控；交换机的端口、用户计算机的MAC地址和IP地址三者绑定。从用户安全角度考虑要求应具备功能：涉密网用户采用专用部件认证；用户计算机应安装防病毒软件并及时升级；用户计算机的操作系统应及时安装补丁程序；用户计算机应关闭不需要的系统服务；用户应有互不相同的用户名和操作口令，保证身份唯一性；涉密网计算机禁止安装无关应用软件［5］。从应用安全角度考虑要求应具备功能：应用系统软件应及时安装补丁程序；涉密信息的应用系统应具有对用户进行身份认证、对信息进行细粒度授权访问控制功能;公共信息服务器与涉密信息服务器分设，只提供专用服务；文电、业务处理等应用系统应具有签名验证、密级标识等功能；提供信息服务的WWW服务器具有网页防篡改措施，防止对信息内容非法修改。3.2系统组成专网安全防护系统由防火墙、入侵检测、网络审计、漏洞扫描、内网安全管理与审计、认证/授权/访问控制、安全设备管理平台、整盘保护、文档加密、防病毒等系统设备组成。拓扑示意图如图1所示。在非密、秘密、机密级安全域和服务器安全域等特定应用安全域利用分别配置防火墙设备进行边界防护，设定严格访问控制策略，对区域间通信进行审计，将日志信息及时传递给安全管理中心。入侵检测系统对访问应用服务器的连接进行深层检测：对各级安全域的访问会话进行监控，记录访问者的操作行为；与防火墙系统进行联动，对非授权行为或攻击事件进行自动阻断，并进行记录；将安全事件汇总给安全管理中心，支持全局统一审计要求［6］。在核心和汇聚交换设备上部署网络审计系统，对网络行为进行审计，从网络层进行流量审计、入侵审计、数据库审计，监控网络平台正常运行，将安全事件汇总给安全管理中心。图1专网安全防护拓扑图漏洞扫描系统对操作系统、网络产品、安全产品、数据库和服务器进行漏洞检测和漏洞分析。对安全产品漏洞检测，防止安全产品自身存在安全隐患，防止黑客利用这些漏洞进入内部网或重要安全区域，对交换机、路由器设备进行漏洞扫描；对内部网服务器进行定期扫描，及时了解新的系统漏洞；对内部网的客户端进行漏洞扫描，防止内部网出现蠕虫病毒或其它利用系统漏洞的木马程序。配置关键主机及涉密终端安全防护设备，即内网安全管理与审计系统，进行防病毒管理、桌面联网监控、客户端状态管理、设备注册、桌面安全审计、桌面补丁分发管理、桌面应用资源控制以及远程协助管理等安全控管。对客户端的注册表、进程、USB接口、串/并口、光驱、软驱等进行了控制，实现移动介质管理，非法外联、非法接入阻断等；对终端进行IP与MAC地址的绑定。认证/授权/访问控制系统包括授权管理系统、应用访问控制系统、CA、RA和USBkey证书系统等，在专网中建立应用层整体的强身份认证体系，建立统一的、可控的用户管理机制，完成对信息的安全身份鉴别式访问［7］。安全设备管理平台是一种分布式、跨平台的安全防护设备的统一集中管理平台，它通过对网络设备、安全产品、服务器主机、数据库、Web服务等通用应用服务系统在运行过程中产生的日志、消息、状态等信息的实时采集以及收集管理员对主机的操作日志，在实时分析的基础上，发现各种异常行为并发出实时告警，并提供对存储的历史日志数据进行数据挖掘和关联分析，通过可视化的界面和报表向管理人员提供准确、详尽的统计分析数据和异常分析报告，协助管理人员及时发现安全漏洞，采取有交攵措施，提高安全等级。信息系统各类服务器、客户端、邮件系统部署网络防病毒系统，实现全方位、多层次的病毒防护体系，做到病毒代码库统一升级。实现对病毒和恶意代码的侵入行为的有效防护。将病毒和恶意代码的查杀日志汇总给安全管理中心［8］。针对内部移动办公笔记本安装整盘保护系统，将安全登录与整盘保护系统与个人文件保险柜的配合使用，保证计算机运行全阶段的数据存储安全。加强对涉密文档控制管理，完善审批流程，实行分级使用管理，防止信息泄密，配置文档加密系统。4结束语专网安全防护系统的规划设计中改变多个网络孤立运行模式为一网整体防护运行模式，对网络结构进行调整，节省多网重复建设投资，实现按权限登陆不同密级网络，按权限访问、控制与管理网络信息，保证机密级用户可以访问专网所有信息，秘密级用户可以访问专网除机密信息外的所有信息，非密用户只能访问非密的公共服务信息。安全防护规划还必须紧密结合网络建设规模、技术体制、通信安全协议、信息分析与监控等具体实际适时调整策略，没有固定应用模式，安全与反安全就像矛盾的两个方面，总是不断地向上攀升，网络的安全机制与技术应不断地发展变化。参考文献：GB/T21052-2007，信息安全技术，信息系统物理安全技术要求[S].2007.GA/T708-2007，信息系统安全等级保护体系框架[S].2007.