军政单位内网安全防护平台研究

军政单位内网安全防护平台研究

摘 要 当前绝大部分军政单位的业务都建立在内网信息系统的基础之上，实现了资源的共享，提高了工作效率，但其开放的模式也给信息安全管理带来了极大的挑战。本文分析了军政单位内网信息安全存在的隐患，并针对这些隐患设计了一个的基于身份认证的信息安全防护平台，集认证、监控、管理和审计等机制于一体，有助于保障军政单位内部信息管理的安全。

关键词 军政单位；内网安全；防护平台

0引言

目前，随着国家信息化的发展，计算机网络在企事业单位得到了广泛的应用，各种资料、数据日趋电子化，OA系统也得到了一定程度的普及。信息化的发展大大提高了工作效率，但是也给应用单位带来了一系列的安全隐患，例如机密数据外泄、非法入侵等。针对出现的安全隐患，目前人们在计算机网络的边界安全上进行了较大的投资，主要包括针对外部攻击的安全策略和针对内部信息的安全策略，对外方面包括购置防火墙、杀毒软件和入侵检测系统等，但对于内部的安全防护尚未得到足够的重视。实际上，根据权威部门统计，在机密数据失、泄密给企业带来的损失中，内部安全隐患所造成的比例达到80%以上[1]，尤其是军政单位涉及了国家级机密信息，在计算机上存储了大量涉密资料，对内部网络、终端用户的安全管理要求极高，如果这些数据遭到窃取、更改或破坏，将会导致很严重的后果。因此，加强对军政单位内网信息系统的安全防护是一件极其重要的事情。

1军政单位内网信息安全隐患分析

按照数据存储的物理位置不同，军政单位网络上存在两类非常重要的信息资产，一类是存储在终端主机上的重要信息，如一些重要文件等，对于这类信息需要确保不被外泄；另一类是存储在各种服务器上的重要信息，如数据库等。对于这类信息不仅需要确保它的保密性，还要确保它的完整性（确保特定信息不能被篡改）和可用性（确保提供的服务不间断）。而目前与之不相协调的是有些部门的内网管理矛盾[2]突出，主要表现为：1）网络存在大量水平参差不齐用户，客户端维护工作量庞大，而网络管理人员有限，网管难以有效的管理数量庞大的客户端设备；2）客户端管理作为制约网络安全的瓶颈，消耗了绝大部分网管人员的精力，而随着网络的不断扩大和应用的不断拓展，客户端管理的矛盾还将会日益突出。这就给军政单位的内网信息安全带来了极大的隐患。

1.1存储在终端主机上的信息安全隐患

军政单位内部信息使用人员，对于存储在终端主机上的信息，可能存在三个方面的外泄隐患：

通过网络泄露信息。这主要表现在使用电子邮件将信息发到Internet网上泄露出去。虽然有些重要的军政办公场所不允许上Internet网，但是有些员工非法通过Modem拨号上Internet网，绕开了所有的信息安全措施，导致信息泄露。另外，有些员工通过工作之便将自己的笔记本电脑带入单位内部，非法接入本单位内网，大肆进行非法操作。

通过端口泄露信息。各个终端主机上默认都具有各种接口如USB口、串口、红外接口、1394接口以及软驱、光驱等，有些员工利用这些端口，通过移动硬盘、软盘、光驱等媒体介质将敏感信息拷贝出来，从而导致信息严重泄露。

通过打印机泄露信息。有些员工利用本地打印机或者网络打印机将敏感信息打印出来，私自带出办公场所，引起信息泄露。

1.2存储在服务器上的信息安全隐患

军政单位内部各种服务器上的信息，尤其是数据库中的信息非常重要，整个单位的各种信息系统都依赖于这些信息运行。但是目前这些信息也面临很大的安全隐患。主要表现在3个方面：

1）本单位内许多信息系统的用户被多个工作人员共用。如果某个工作人员恶意操作信息系统，篡改、删除数据甚至导致信息系统崩溃后，虽然数据库或者信息本身提供了一定的日志审计功能，但是因为系统用户被多个工作人员共享，因此很难将责任追究到人，大大增加了安全隐患。

2）外部主机非法接入。有些员工通过工作之便将自己的笔记本电脑带入办公场所，非法接入单位内网，安装上HIS的客户端后，可以对数据库进行非法破坏操作。

3）单位内部的FTP服务器、文件服务器、邮件服务器等常常没有根据用户执行严格地访问控制，导致有些敏感信息被泄露，如FTP服务器上的财务报表被没有该权限的工作人员访问。

3内网防护平台体系结构

针对上述军政单位的信息安全隐患，以往的系统安全防护研究大部分都是采用“具体问题具体分析”的设计思想，并没有形成一个统一、系统的解决方案，很难保证其可靠性[3]。本文从系统工程的角度设计了一个基于身份认证的全维可信的信息安全防护平台。该平台的设计目标是：1）只允许可信的工作人员访问他有权访问的信息；2）防止敏感信息从本单位的内网外泄；3）提供针对每个工作人员的信息访问操作的日志审计功能。体系结构如图1所示，将军政单位的内部网络根据信息安全防护需求不同分成三个区域：终端主机区域、服务器区域以及外部风险区域。对于不同的区域本文提出功能不同的安全防护措施，从而在整体上保障了军政单位内网的安全。

由图1可以看出，针对信息在单位内部的全部生命周期，包括信息的产生、处理、传输、存储、应用和销毁，该方案均有对应的措施对信息进行保护，因此克服了传统安全解决方案中“点”式方案的缺陷，实现了由“点”到“面”的安全防护。

3.1终端主机区域安全防护

终端主机区域的构成是各军政单位中接入内网的除服务器以外的所有计算机终端。通过让这些终端主机强制安装终端代理软件，进行信息的安全防护，主要提供以下防护功能：

1）增强身份认证。终端主机采取“双因子身份认证”技术，利用USB智能卡和密码技术相结合的机制，通过接管和控制Windows登陆认证子系统，实现对终端主机的有效访问控制。