涉密政务网络的安全设计及实现.docx

1、涉密政务网络的安全设计与实现在网络安全技术不断发展的今天，网络安全不再是防火墙等单一产品所能实现，更不是网络防病毒、入侵检测、身份认证、加密等产品的简单堆砌，而是包括从系统到应用、从设备到服务的完整体系。涉密的政务信息网络安全也不再单纯的是一个技术问题，而是一个技术、制度、工具和管理的紧密结合。本课题结合政府涉密网络的一个建设实例，重点研究在物理隔离情况下的涉密网络的 安全防护问题，在对网络系统充分的需求分析基础上，依照我国信息安全体系和相关法规， 从物理安全、网络运行安全、信息保密安全、安全保密管理等方面出发，对系统的脆弱性、风险性和面临的威胁进行分析，并依据分析的结果，制定了该系统的安全策

2、略，运用最新 网络安全技术和其他相关网络建设的成功经验，进行方案设计，提出制度管理、数据备份 和保护，网络防毒技术、身份验证技术、域控制器管理模式、安全审计、防火墙和入侵检 测系统联动等多种技术手段，形成一整套解决方法，并投入使用。一计算机网络普遍面临的威胁信息技术的发展有两个方面的影响，一方面网络和信息技术逐渐深入到每一个角落， 人们的生活正越来越多的依赖于数字方式的信息或者事务处理，这其中也包含了很多的敏感信息，另一方面，对敏感信息滥用的潜在危险也在日益增长，由于技术、管理等各种原因导致计算机网络面临一种普遍性的威胁。由于以 Internet 为代表的计算机网络设计者主要目标是互联、互通、

3、共享，而不是安全，使用最广泛的协议 TCP/IP 也是在网络技术并不成熟的情况下设计的，该协议己被发现许多安全漏洞和隐患，网络的技术基础十分脆弱。计算机安全协会/联邦调查局进行的计算机犯罪及安全调查是一项具有代表性的研究，近几年研究发现，计算机安全漏洞已经被用户所发现，每年造成的损失金额超过了 10 亿美元， 而且这个数字正逐年在增加。造成损失最大的一项是拒绝服务攻击。计算机网络安全是为了保障网络服务的可用性和网络信息的完整性以及机密性。随着网络技术的不断发展，社会信息化程度的不断提高、网络安全问题变得日益严重。造成网络不安全的因素是多方面的，包括人为的、管理上的、技术的和实现上的等多方面的原

4、因11 。有鉴于此，一切影响计算机网络系统资源和信息资源的安全性问题都成为了计算机网络安全应考虑的问题，包括安全措施的研究、网络安全技术的研究和安全管理的研究。二主要的网络安全技术（一）物理隔离技术我国 2000 年 1 月 1 日起实施的计算机信息系统国际联网保密管理规定第二章第六条规定，“涉及国家秘密的计算机信息系统，不得直接或间接地与国际互联网或其它公共信息网络相连接，必须实行物理隔离”。物理隔离的思路源于逆向思维，即首先切断可能的攻击途径(如物理链路)，再尽力满足用户的应用。物理隔离技术演变经历了几个阶段：双机双网通过人工磁盘拷贝实现网络间隔离；单机双网等通过物理隔离卡/隔离集线器切换

5、机制实现终端隔离；隔离服务器实现网络间文件交换拷贝等。这些物理隔离方式对于信息交换实效性要求不高，仅局限于少量文件交换的小规模网络中被采用。切断物理通路以避免基于网络的攻击和入侵，但不能有效地阻止依靠磁盘拷贝传播的病毒、木马程序等流入内网。此外，采用隔离卡安全点分散容易造成管理困难。根据用户不同的需求，物理隔离技术分为桌面级和企业级。硬盘隔离卡、物理隔离集线器等能满足一般的对物理隔离的需求，能最大限度地保障用户工作站的安全地访问涉密网络，又可以访问非涉密网络，属于桌面级的应用；单向和双向物理隔离网闸既能够保障涉密网络和非涉密网络之间数据交换的安全又可以很方便的实现单向/双向的数据交换。（二）入

6、侵检测技术随着网络技术的发展，网络环境变得越来越复杂，对于网络安全来说，单纯的防火墙技术暴露出明显的不足和弱点，入侵是我们面临的最大问题。“入侵”（Intrusion）是个广义的概念主要是指对系统资源的非授权使用，可以造成系统数据的丢失和破坏、系统拒绝服务等危害。入侵者不仅来自外部，同时也指内部用户的未授权活动：入侵检测系统 IDS（Intrusion Detection System)是一种主动保护自己免受攻击的一种网络安全技术，它从计算机网络系统中的若干关键点收集信息，并分析这些信息，从而发现网络或系统中是否有违反安全策略的行为和遭到袭击的迹象。入侵检测是动态安全技术的核心技术之一，也是目

7、前比较成熟的安全技术，传统的操作系统加固技术和防火墙隔离技术等都是静态安全防御技术，对网络环境下日新月异的攻击手段缺乏主动的反应。入侵检测（Intrusion Detection）作为一种积极主动的安全防护提供了对内部攻击、外部攻击和误操作的实时保护，在网络系统受到危害和入侵。入侵检测系统能很好的弥补防火墙的不足，从某种意义上讲是防火墙的补充。是继“防火墙”、“数据加密”等传统安全保护措施后新安全保障技术。因此，入侵检测系统被认为是防火墙之后的第二道安全闸门，在不影响网络性能的情况下能对网络进行监测，从而提供对内部攻击、外部攻击和误操作的实时保护。入侵检测系统试图发现入侵者或识别出对计算机的非

8、法访问行为，并对其进行隔离。它能发现其他安全措施无法发现的攻击行为，并能收集可以用来诉讼的犯罪证据。入侵检测具有监视分析用户和系统的行为、审计系统配置和漏洞、感知系统和数据的完整性、识别攻击行为、对异常行为进行统计、自动地系统相关的补丁、进行审计跟踪识别违反安全法规的行为、使用诱骗服务、黑客行为等功能，使系统管理员可以较有效地监视、审计、评估自己的网络安全，由于入侵检测和响应密切相关，而且现在没有独立的响应系统，所以多数的入侵检测系统都具有响应功能。入侵检测系统也有自己的缺点，在识别大规模的组合式、分布式的入侵攻击方面，还没有较好的方法和成熟的解决方案，出现误报与漏报现象严重，用户往往淹没在海

9、量的报警信息中，而漏掉真正的报警，因此它的基础上还产生了后一代产品 IPS (Intrusion ProtectSystem)，IPS 是一种更主动、机智的防御系统，它的拦截行为与其分析行为处在同一层次， 能够更敏锐地捕捉入侵的流量，并能将危害切断在发生之前。（三）防火墙技术防火墙是一个或一组实施访问控制策略的系统，它在内部网络和外部网络之间形成一道安全保护屏障，能够根据访问控制策略对出入网络的信息流进行安全控制。它有助于抵御多种恶意 Internet 通信量，防止它们进入您的系统。有些防火墙有助于防止其他人在您毫无察觉的情况下使用您的计算机攻击其他计算机， 还有助于抵挡病毒和入侵者。防火墙可

10、以有不同的结构和规模，可以是一台主机、路由器， 也可以是多台计算机组成的体系，也可以由软件组建.常用防火墙的类型包括四大类：包过滤型、代理服务型、电路级网关和规则检测防火墙。防火墙技术是内部网络最重要的安全技术之一，主要功能就是控制对受保护网络的非法访问，进行边界防护。但防火墙也有自己的局限，因此它的未来功能将向多方面发展， 将一些网络安全功能集成到防火墙中，其中就有两种功能十分重要，第一是用户认证与加密，第二是分布式防火墙的发展。分布式防火墙技术己在逐渐兴起，并在国外一些大的网络设备开发商中得到了实现， 由于其优越的安全防护体系，符合未来的发展趋势。而且分布式防火墙还可以有效的堵住内部网漏洞

11、。分布式防火墙安全体系具有以下特点：灵活性和易管理性，分布式防火墙是集中管理，在一台管理站上可添加删除、修改资源，并可对所有的资源进行权限设置，大大方便了管理员使用；高可靠性，由于多过滤器的使用可以使网络权限的划分更加细致全面，从而提高了整个系统的安全性；成本低，在分布式防火墙中用得最多的是过滤器，过滤器本身设备简单，与硬件防火墙相比，价格优势很大。黑客一直尝试对连接到网络的计算机发起攻击。防火墙旨在“隐藏”在线的计算机，以达到保护计算机的目的。防火墙还可以检测通信，并分析通信的来源和目的地。如果位置受到怀疑的话，那么通信就会被阻断。与某一位置的通信被阻断时，您的防火墙甚至可以创建一个日志文件

12、，上面记录着试图侵入您的计算机的站点的地址和名称。为了安全，每一台连接网络的计算机都需要防火墙。网络防火墙技术是用来加强网络之间访问控制，防止外部网络用户以非法手段通过外部网络进人内部网络，访问内部网络资源，保护内部网络操作环境的特殊网络互联设备。它对两个或多个网络之间传输的数据包，如链接方式按照一定的安全策略来实施检查，以决定网络之间的通信是否被允许，并监视网络运行状态。作为内部网络与外部公共网络之间的第一道屏障，防火墙是最先受到人们重视的网络安全产品之一。防火墙主要产品有堡垒主机、包过滤路由器、电路层网关、监督型防火墙等类型。防火包过滤型产品是防火墙的初级产品，其技术依据是网络中的分包传输

13、技术。虽然， 包过滤技术的优点是简单实用，实现成本较低，在应用环境比较简单的情况下，能够以较 小的代价在一定程度上保证系统的安全，但是无法识别基于应用层的恶意侵人，如恶意的Java 小程序以及电子邮件中附带的病毒。电路层网关技术实现的防火墙主要是用于把 IP 地址转换成临时的、外部的、注册的护地址标准。它允许具有私有 IP 地址的内部网络访问因特网，在内部网络通过安全网卡访问外部网络时，将产生一个映射记录，但是并不能真正实现内部网络的有效防护。由于防火包过滤产品和电路网关防火墙产品的技术特点，它们并不能满足涉密网内网和外网之间的安全防护要求。最新的防火墙是监测型防火墙，它能够对各层的数据进行主

14、动的、实时的监测，并在对数据加以分析的基础上，能够有效地判断出各层中的非法侵人。它能够安置在各种应用服务器和其它网络的节点之中，不仅能够检测来自网络外部的攻击，同时对来自内部的恶意破坏也有极强的防范作用。据权威机构统计，在针对网络系统的攻击中，有相当比例的攻击来自网络内部。因此，监测型防火墙不仅超越了传统防火墙的定义，且在安全性上也超越了前两代产品。（四）信息加密技术信息加密技术是网络信息安全的核心和关键，它通过软件或者硬件将信息变换或编码， 将机密的明文加密变为密文，只有掌握解密方式的接收方才能解密得到明文，从而实现了 信息隐蔽。（五）网络病毒防护技术面对病毒的猖獗，需要建立有效的技术措施，

15、能从病毒传染的各种可能途径入手，不受病毒种类和变形的限制，能够以防为主，防杀结合，也需要建立合理的病毒防范体系和制度。现在网络防病毒产品得到了快速发展，己经具备以下主要技术：（1） 能够提供集中式安全控管的防毒策略采用架构在服务器端的集中式管理和部署方式，系统人员能够很方便地管理和部署整个网络的防毒策略。通过 Web 界面管理主控台，一旦发生紧急状况时，管理者能够从网络上的任一地点通过 Web 浏览器立即处理。（2） 能够全面防护病毒能删除从各种渠道入侵的病毒、恶意木马和蠕虫；如针对电子邮件、磁盘、光盘、共享档案和网络下载，均要能够有效防堵：除了扫描计算机的文件之外，还能提供随系统开机而启动的

16、木马程序清除工具。（3） 支持远程化支持远程管理，用户可在主服务器安装系统后远程安装各辅助服务器和客户端。系统管理员可以通过控制台对客户端的瑞星杀毒软件进行设置，避免客户端的疏忽而产生整个病毒防护系统的漏洞。（4） 自动化系统定时自动核对版本，并提示升级程序。主服务器程序升级后，自动分发给局域网内的各服务器与客户端，进行自动升级。（5） 智能化对登录的客户端实行版本智能查询核对，保证全部节点版本一致，避免因版本差异导致杀毒能力差异，出现网络防毒的薄弱环节。三实现涉密网络安全的技术手段（一）建立健全安全管理制度依据上级部门相关制度，制定了相应的管理规定，建立健全了一系列规章制度，主要包括：涉密人员管理规定、泄露国家秘密事件报告和查出办法、涉密通信、计算机信息系统及办公自动化保密管理办法、保密项目密级界定和岗位定密工作办法、文件资料定密和保密