阿里云域名注册网站,那个外贸网站做的好,黑龙江建设教育信息网站首页,无法打开建行网站认识安全域 随着计算机信息系统在办公、科研、设计、生产等工作中越来越广泛、深入的运用#xff0c;给工作带来便利的同时#xff0c;也给安全保密工作带来了新的问题#xff0c;防止计算机信息系统的泄密#xff0c;已成为保密工作中一项重要任务与挑战。国家对于涉密…认识安全域 随着计算机信息系统在办公、科研、设计、生产等工作中越来越广泛、深入的运用给工作带来便利的同时也给安全保密工作带来了新的问题防止计算机信息系统的泄密已成为保密工作中一项重要任务与挑战。国家对于涉密信息系统的建设非常重视相关部委也发文对涉密信息系统的建设明确指出涉密信息系统实行分级保护制度。 涉密信息系统的建设过程中。所遵循的标准中有两个是很重要的涉及国家秘密的信息系统分级保护技术要求》和《涉及国家秘密的信息系统分级保护管理规范》。在围绕着涉密信息系统展开的活动中如何体现分级保护是一个关键笔者以为在2个层次上都应体现分级保护的理念。在信息系统层面上应首先确定系统的整体安全等级而在一个信息系统内可以划分不同等级的安全域。确定一个信息系统的整体安全等级工作往往先行等到设计一个涉密信息系统的时候系统等级已经确立了。那么在设计时的一个首要问题就是如何确定系统内的安全域。 在《涉及国家秘密的信息系统分级保护技术要求》中指出“在涉密信息系统可根据信息密级、系统重要性和安全策略划分不同的安全域。不同的安全域可单独确定等级并应按照相应等级的保护要求进行保护。同一等级的不同安全域可根据风险分析的结果和实际安全需求选择采用不同的保护要求进行保护。” 分级保护思想在实现过程中划分安全城是一个基本但很重要的策略通过明确划分安全域可以为实现访问控制、边界防护提供直接的依据为不同等级的涉密信息安全保密防护提供了技术基础。本文从划分安全城、针对安全域采取不同等级的安全策略、安全域之间的访问控制以及如何管理安全域等方面出发谈谈对建设涉密信息系统的认识。 安全域有关的技术实现 1. 根据密级划分安全城 一个涉密信息系统往往存在着不同级别的设备、用户、应用。以一个机密级的涉密系统为例并不代表所有的信息设备、用户、应用都按照机密级要求实施防护根据不同密级、功能划分为不同的安全域。 用户分级。系统内用户按照涉密程度不间划分为内部非涉密用户、秘密级用户、机密级用户。用户级别的划分按照其接触到的最高密级确定本人涉密等级。所有的非涉密用户划分到一个规定范围的VLAN群肉所有秘密级用户划分到一个VLAN群内。所有机密级用户划分到一个VLAN群内。根据实际需要一个VLAN群可以包含一个或多个VLAN。 网络服务及应用分级。系统内应用按照涉密程度以及提供的网络功能不同划分为内部、秘密级、机密级三个级别根据这种指导思想网络服务及应用可划分为非涉密应用区、秘密级应用区、机密级应用区、网络管理区机分级保护思想在实现过程中划分安全城是一个基本但很重要的策略 通过明确划分安全域可以为实现访问控制、边界防护提供直接的依据为不同等级的涉密信息安全保密防护提供了技术基础。本文从划分安全城、针对安全域采取不同等级的安全策略、安全域之间的访问控制以及如何管理安全域等方面出发谈谈对建设涉密信息系统的认识。 安全域的划分及访问原则如下表所示 2. 实现安全域之间的隔离 用户群的隔离。因为所有的用户都是通过网络交换机接入的不同级别的用户VLAN群之间通过在交换机上划分VLAN实现用户群之间的隔离不同级别的VLAN群之间禁止互通同一VLAN群的不同VLAN之间可以实现有限制的连通。VLAN之间的连通与隔断通过在交换机上配置访问控制列表实现。目前流行的主流交换机基本都可以实现VLAN级别的访问控制技术实现难度不大。 服务器区的隔离。不同级别的服务器区之间、服务器区与用户区之间的隔离用防火墙来实现。防火墙是一种传统的安全设备很方便实现不同安全区域之间的网络访问控制。 网络管理区域的隔离。网络管理区域是一个特殊的区域困为网络维护管理工作需要通过此区域内设备完成需要很多特殊权限因此此区域的用户、设备访问权限比较大应运义为机密级应通过防火墙与其它区域隔离。通过实施安全访问控制规则可方便实现“禁止高密级信息由高等级安全域流向低等级安全域”。 3. 针对不同安全域实施安全策略 物理安全。涉密信息系统的物理安全应从中心机房建设、区域安全控制、设备安全、介质安全几方面着手。中心机房是系统中最为关键之处中心机房的选址、建设标准应按照BMB17 、BMB20 中规定执行。对于信息系统中重点部位应采取更为严格的区域控制、监控措施如要害部门、部位的物理防护措施、管理措施就应区别于其它的部位对于不同密级的设备、介质采取的安全防护技术与管理措施应有所区别密级越高采取的技术手段越多管理越要细致、规范这些方面都应体现出积极防范突出重点的思 1身份鉴别 身份鉴别在涉密系统中有着举足轻重的地位实现身份鉴别的方式很多。目前国内已有专门针对涉密系统开发的身份鉴别系统但笔者认为也可以借助其它方式实现身份鉴别。如在网络中实施Windows server活动目录就是一个可行的方法。实施windows活动目录对于用户的现实意义在于可以充分利用活动目录的优点。主要体现在 安装活动目录后Windows系统的安全性完全与活动目录集成用户授权管理和目录进入控制已经整合在活动目录当中了包括用户的访问和登录权限等。通过实施安全策略实现系统内用户登录身份认证集中控制用户授权。 引入基于策略的管理。活动目录服务通过设置组策略把相应各种策略包括安全策略实施到组策略对象中组策略对象可以是域、组织单元。组策略对象设置决定目录对象和域资源的进入权限什么样的域、可以被用户使用以及这些域资源怎样使用等。 具备智能信息复制能力活动目录使用多主机复制允许在任何域控制器上而不是单个主域控制器上同步更新目录不仅具有容错的优点同时可保证目录信息是最新的。 2身份鉴别策略实现 涉密信息系统内由系统管理员为每一位合法用户设定用户名普通用户只能以域用户身份登录计算机在登录时必需输入指定的用户名和私人口令。通过组策略指定不同级别用户口令的复杂性、长度、使用周期、锁定策略可以指定每一个用户可登录的机器、可以安装的软件以及其它诸多权限控制。可以说通过windows域的安全策略同时实现了身份鉴别与权限分配的功能。 在实际应用中完全可以把硬件的USB-KEY令牌与域用户登录过程结合使用可以大大增强身份鉴别的安全性。对网络设备、安全设备、安全软件系统的访问采取用户名/口令的方式进行身份鉴别。对于网络设备的访问用户定义不同安全级别的用户分别提供查看、配置的权利网络设备的运行日志由审计员审计。对于防火墙、IDS 防水墙、漏洞扫描等安全类设备及软件按照分权的原则分别定义系统管理员、安全员、审计员。 3访问控制 物理层访问控制。在物理层面限制用户非法接入网络。主要措施关闭空闲的交换机端口避免非法用户接入在交换机上配置IP MAC PORT 绑定策略有条件的单位甚至可以启用802.1x 认证防止合法用户的网络槛用共同强化网络准入限制。在每一个计算机内设置CMOS 密码、屏幕保护密码防止对计算机的非法访问。 网络层访问控制。网络层实施的访问控制措施主要有VLAN间访问控制、防火墙安全策略、在服务器上配置访问规则等在本文前面已有说明。 应用层访问控制。应用层访问控制相对比较复杂和每一个应用系统有密切的联系。按照保密要求涉密信息和重要信息的访问控制主体应控制到单个用户客体应控制到信息类别。涉密系统中应用建议实现单点登录更利于用户的权限分配与访问控制。 一个典型的应用层访问控制的案例就是网络文件服务。通过windows 活动目录可以为每一位登录域的用户重新定向用户的“桌面”、“我的文挡”到相应级别的文件服务器用户的个人重要文档可以存放在“我的文档”文件夹内 windows 系统会自动利用NTFS 权限、共享权限限制用户无权访问他人的私有文档即使系统管理员可以集中备份文件服务器内的用户文档却没有权限查看用户的私有文档。再通过启用文件服务器的审计策略限制系统管理员通过取得文件夹的“所有权”去访问其它用户的私有文档。这样即可实现不同用户之间的访问权限控制同时又限制了系统管理员的权限。 对于使用数据库的应用系统在系统实现时须能实现用户的访问权限控制防止信息泄漏。这对涉密系统中的应用系统的选型、开发都提出更为严格的要求。 其它安全技术措施。在涉密系统建设过程中还需要采取的安全技术措施有补丁系统、防病毒系统、终端监控、安全审计、非法外联监控、数据存储、系统及数据的备份与恢复、入侵监控、电磁泄漏防护、安全评估与加固等均是涉密系统重要组成部分。 4. 安全管理 安全管理在涉密系统建设过程中起着极重要的作用。一般应从人员管理、物理环境与设施管理、设备与介质管理、运行与开发管理、信息保密管理几方面入手采取必要的管理措施保证系统的运行与信息保密性。 在实践中涉密系统既要保证使用的方便性又要在系统中实施各种安全策略对系统管理而言是一个挑战。笔者根据实际经验列举几个易忽视的问题 系统管理人员权限过大的问题。系统管理员是一个特殊的群体既要维护系统运行行使管理职能如果在系统运行时不采取措施系统管理可以拥在控制系统的权利可以访问系统中任何信息这对涉密系统而言是不可接受的。所以在实现时应限制系统管理员无权访问用户私有信息同时通过审计制度用审计工作来制约管理员的行为。 窜计内容不全面的问题。涉密系统中的审计措施不仅仅是对普通用户行为的审计还应针对系统管理员、安全员的行为进行审计。为此除了常用的用户行为审计、网络访问审计之外。还应对网络设备、安全设备、操作系统、应用系统设置日志系统以监督系统管理员、安全员的行为。 涉密载体管理问题。涉密载体包括磁介质、光碟、纸质介质因为这些信息载体往往不受物理空间限制使用人员复杂采取的技术手段往往难以防范更加依靠管理手段实现人员的访问限制所以在实际操作中应制定切实可行的流程指定每一个环节的责任人做好载体交接工作确保每一个环节有据可查。尤其是电子化载体应有技术处理手段避免交叉使用中的信息恢复产生的信息世漏。 设备的登录密码长期不变。系统中用户的口令与密钥可以做到按照规定的周期、复杂度进行更换却容易忽视网络中设备的访问口令管理在系统实施完毕要么是管理人员疏于管理要么是不会操作使得网络中交换机、路由器、防火墙、IDS 等设备的口令长期不变时间长了容易造成口令不再具备私密性威胁到网络的安全。 结束语 本文主要从涉密系统中安全域划分的角度出发粗略的谈了笔者对涉密系统建设中安全域划分、身份鉴别、访问控制的认识。涉密系统建设是一个系统工程本人水平有限认识上难免有不足之处本文仅作为涉密系统设计、实施、管理人员的参考。
