近期，國家對軍工科研和生產制定了寓軍于民的政策，企業為了提高市場競爭力，改善設計和管理效率，普遍使用計算機及網絡進行產品設計和企業的生產經營管理，導致通過計算機造成的失泄密事件日益增多。為了確保國家秘密的安全，國家對從事軍工科研和生產的企業實行保密資格認證制度，以對軍工企業的涉密網絡建設和使用提出相應要求。
本文對軍工企業如何在技術上實現涉密網絡的安全保密要求進行探討，提出相應的建議方案，對方案中的關鍵技術的實現原理進行了介紹。
1 軍工企業涉密網絡信息安全要求及其特點
1.1軍工企業涉密網絡
在軍工企業中，需要處理、存儲國家秘密的計算機稱為涉密計算機，用涉密計算機構成的計算機網絡系統稱為涉密網絡。
涉密網絡主要有三種表現形式：①安裝有數據庫應用系統對國家秘密信息進行集中存儲和管理的單臺涉密計算機：②涉密計算機通過集線器連接，以共享方式進行信息交換的簡單對等涉密網絡；③有交換機、服務器組成的涉密計算機網絡。
本文主要以Windows為操作系統的第(3)種涉密網絡為討論對象。
1.2國家保密資格認證對涉密網絡的技術防范要求
國家在對軍工企業的保密資格認證中，要求軍工企業的涉密 網絡必須由具備涉密系統建設資質的單位進行設計和建設，其遵 循的技術規范為BMZl一2000 涉及國家秘密的計算機信息系統 保密技術要求》、BMZ2—2001《涉及國家秘密的計算機信息系統 安全保密方案設計指南》。其中明確提出涉密網絡必須具備以下 技術措施：備份與恢復、病毒防范、身份鑒別、訪問控制、信息 加密、安全審計、入侵監控等；并對造成計算機失泄密的主要物 理通道蜒計算機接口進行控制或隔離。
1.3涉密網絡的技術防范特點
(1)對于國家秘密，需要劃分不同的級別，每個級別中又根據信息的不同劃分為若干類(條)，每類(條)涉密信息的知悉成員是確定的。這種控制秘密信息的知悉范圍是強制的，不得超越的。在網絡中需要確定每個操作者(計算機)的身份，并對網絡中信息的傳遞行為能進行控制。
(2)國家秘密在網絡上需防止兩種身份假冒：非法使用人員通過私自使用涉密計算機仿冒合法使用人 合法使用人員通過盜用(偽造)它人IP地址仿冒其他涉密人員。在網絡的登陸使用中需將現實中的人與網絡中的虛擬身份(地址)關聯起來，且確保其地址不能被盜用。
(3)由于計算機使用的過程中的無痕跡性，在技術上需要對涉密信息的列表、打開、創建、更名、復制、編輯等行為進行識別和控制。同時由于發生失泄密事件后的審計追查的需要，在技術需要將各種日志信息的格式進行統一，以利于日志信息記錄和審計的實現。
(4)對于方面快捷的計算機信息交換接口，是計算機有效工作的組成部分，也是計算機失泄密事件的最主要通道。在技術上需要對計算機的所有接口能進行識別和控制。本文主要關注身份鑒別、訪問控制、安全審計、信息加密方面的技術實現。
(4)選用成熟技術與兼顧技術發展相結合的原則
軍工企業涉密網絡處理的是國家秘密，不能成為新技術的試驗地，因此保密安全策略應優先選擇成熟可靠的安全技術產品。結合上述原則和軍工企業涉密網絡的技術防范要求，我們建議在技術上采取分級知悉控制與加密存儲相結合的措施對涉密信息檔案特別是涉密文件加以保護。
(1)在制度上明確由企業統一管理并為員工固定一個IP地址(MAC 地址)，IP地址所產生的所有行為視為員工的行為。
采用硬件鑰匙結合口令的方式對操作系統的登陸進行完善，通過硬件鑰匙進行身份驗證的方式將具體員工與虛擬IP關聯起來。
(2)對涉密信息進行知悉范圍控制。在對涉密信息分類的基礎上控制涉密信息的列表．打開等操作行為，將對涉密信息的管理控制變成對操作權限的分配和管理。
(3)對網絡服務器的訪問進行控制，對網絡中的受限終端的對外介質復制渠道進行控制。
網絡服務器的訪問控制可以采用防火墻技術解決。對于終端的復制渠道的控制可以考慮采用基于網絡的設備集中控制系統。
(4)涉密信息審計及保密安全策略動態調整
軍工企業涉密網絡的保密安全措施及其實施在企業中始終是動態變化的，其引發改變的時機和方法就在于保密安全審計的結果。
3 軍工企業涉密網絡信息安全策略的關鍵技術
在方案中，我們認為最關鍵的技術有以下五個方面：
3.1身份認證與自主加密保護的結合
通過硬件鑰匙進行身份認證，通常使用USB接口設備。在軍工企業涉密網絡中的日常應用中需要大量對各種涉密文件進行處理，同時由于企業現在的計算機應用水平狀況，應該為每位使用者提供對自己處理的涉密文件進行加密保護的基本功能，其加密密鑰可以用同一個硬件鑰匙來保存。對硬件鑰匙中的密鑰進行管理(寫入、修改、讀出、存儲)使之符合密品管理的要求是技術關鍵之一。
3.2涉密資料的分類管理．操作行為與訪問控制的結合
涉密網絡中的涉密信息要控制其知悉范圍，必須對涉密信息及其使用人員進行分類，使之建立一種相對固定的關聯規則；如何將現實中千變萬化的涉密信息和使用人員轉變成相對固定的分類關聯規則，從而實現訪問控制，是需要解決的一個關鍵技術。
國家秘密信息在軍工企業涉密網絡中大量表現為文字和圖形，為了防止無關人員接觸秘密信息和通過更名等方式改變國家秘密的表現形式而造成秘密失控，必須對使用人員的計算機操作行為(列表、打開、創建、更名、復制、編輯)進行控制；如何識別上述操作行為并進行自動控制是需要解決的另一個關鍵技術。
3.3物理隔離、外泄外聯控制的自動實現
對網絡中的外協外聯進行控制可以簡單的通過禁用其設備來實現，在軍工企業涉密網絡必須分別解決兩個基本問題一是合法的外聯設備與非-法外聯設備的識別，如合法的USB打印機設備與非法的USB存儲盤；二是非法外聯設備的禁用不能被使用者破壞，即是在該計算機與網絡斷開的情形下。這是一個較為關鍵的技術。
3.4日志系統與集中審計的結合
日志系統和審計系統的技術關鍵在于如何解決計算機中不同操作行為所產生的日志信息格式(內容)的統一，在不占用大量的網絡帶寬資源的情況下，如何保證日志信息在產生和傳輸過程中不會被旁路．篡改．丟失，在審計中如何結合訪問控制的規則自動對違規的日志信息進行高效過濾并自動報警。
3.5集中控制管理與客戶主動保護的結合
軍工企業涉密網絡中所有對涉密信息的保護和控制規則都是由企業集中制定并進行控制管理的，這些規則需要在使用者的客戶端上自動執行以達到主動保護的目的。在技術上必須解決客戶端與集中規則的同步問題和客戶端在離線狀態下仍有效執行控制規則的問題。
4 軍工企業涉密網絡信息安全策略關鍵技術的實現原理
針對前面提出的五個方面的關鍵技術，在每一個方面都有單一的產品提供了解決方案，下面介紹“涉密資料的分類管理、操作行為與訪問控制的結合” 的實現原理并介紹其實現的案例。
要在涉密網絡上實現訪問控制，使涉密信息只被授權的人員知悉，必須建立涉密信息與授權人員的對應關系規則，確定其可以進行的操作類型。
為解決涉密信息及使用人員在現實中的頻繁變化的問題，應采取下列的實現方式：
(1)對涉密信息，采用將涉密信息按使用類型進行分類的辦法，然后確定每類涉密信息的知悉對象；對軍工企業里的涉密信息提供不同的使用類型分類模板：如對軍工產品的設計、工藝、生產等過程產生的秘密信息按產品項目管理的方式進行分類對經營過程中產生的涉密信息按計劃、財務、質量、試驗等使用屬性進行分類等。這樣每類涉密信息的知悉人員是相對確定的，為了避免使用人員頻繁變化帶來的設計困難，可以引入相對固定的人員類別表述一角色。這時對知悉范圍的管理就轉變為涉密信息類別與角色之間的可操作關系集合的管理。
(2)對使用人員，采用通過組織結構樹來管理使用成員(通過硬件鑰匙轉換成對應的IP地址)，使用人員對某類涉密信息的知悉權利就可以用是否屬于某個角色來表述。這時對使用人員的管理就轉變為對角色組中成員的管理。
通過引入相對固定的角色概念，訪問控制的實現就轉變為對信息類別與角色、角色與使用人員之間的關系的管理。
在確定上述關系的同時，要真正實現對知悉的控制，必須在于網絡的兩種入侵檢測能力。
5總結
入侵檢測技術盡管是計算機網絡安全的重要組成部分，但它不是一個完全的計算機網絡系統安全解決方案，它不能替代其他安全技術如：訪問控制、身份識別與認證、加密、防火墻、病毒的檢測與清除等的功能。但可以將它與其他安全技術，如防火墻技術、安全網管技術等增強協作，以增加其自身的動態靈活反應及免疫能力，為我們提供更加安全的網絡環境
京公網安備 11010802036102號北京金支點技術服務有限公司保留所有權利 | Copyright ? 2005-2025 Beijing Golden Point Outsourcing Service Co., Ltd. All Rights Reserved.