涉密計算機信息安全管理體系設計

1、涉密計算機信息安全管理體系設計科技部 馬安慶 信息中心溫萍萍摘要:詳細分析了涉密計算機信息系統(tǒng)安全防護中存在的主要問題，參照涉密計算機信息系統(tǒng)安全保密防護規(guī)范和準則，研究了信息安全管理體系多層次多方面的防護技術措施，提出了一種全面可靠的信息安全管理體系設計和實現(xiàn)方法。實驗結果表明了體系設計的安全性和有效性，為同類系統(tǒng)的信息安全管理體系設計提供了有 益的參考。關鍵詞：涉密計算機信息系統(tǒng); 信息安全管理體系; 加密保護; 集中控管引言目前， 信息安全保密日益成為影響信息化效能的重要問題，特別是用來處理和傳輸國家秘密信息的涉密計算機信息系統(tǒng)，如果安全保密防范不力，就會危及國家的安全和利益。信息安全是

2、個復雜的系統(tǒng)問題，必須以系統(tǒng)的方法來解決，而建立管理體系是系統(tǒng)解決復雜問題的有效方法。為了保證信息安全管理的有效性、充分性和適宜性，組織需要建立信息安全管理體系(ISMS)1 。文中通過對內(nèi)部涉密信息系統(tǒng)的信息安全管理中出現(xiàn)的重點問題的分析，參照實際保密評估準則，提出一種高效合理的安全防護體系框架，在此框架之下詳細闡述了相互依賴、交叉、 聯(lián)動的具體安全防護技術及實現(xiàn)方法，最后給出了實施效果總結。1 信息安全管理的重點內(nèi)容涉密計算機信息系統(tǒng)安全保密方案應根據(jù)脆弱性分析、威脅分析和風險分析的結果， 依據(jù)國家有關信息安全保密標準、法規(guī)和文件進行安全保密系統(tǒng)設計，提出安全保密系統(tǒng)設計的目標、原則、 安

3、全策略和安全保密功能結構，特別要根據(jù)涉密系統(tǒng)所能承受的風險確定涉密系統(tǒng)的防護重點1 。根據(jù)對應用環(huán)境和防護目標等因素的綜合考慮，涉密計算機信息系統(tǒng)在信息安全管理工作中面對以下幾方面的主要問題：(1) 物理安全：物理安全主要涉及工作環(huán)境的周邊安全、網(wǎng)絡的布線系統(tǒng)、安全設備的可靠管理4 ，重點是如何高效集中完成重點部位和重要數(shù)據(jù)的集中管制和防護。(2) 網(wǎng)絡安全：網(wǎng)絡安全在安全防護中涉及內(nèi)容較多，主要包括涉密內(nèi)部網(wǎng)物理隔絕、對網(wǎng)絡的防毒措施、審計措施、傳輸加密措施以及對用戶的監(jiān)控和管理措施等 3 。(3) 文件交互：涉密文件交互問題是保密的薄弱環(huán)節(jié)，貫穿安全防護的始末。文件的交互主要分為對外和內(nèi)部

4、交互兩種情況，每種情況都涉及到文件的產(chǎn)生、復制、傳輸、輸出、保存等幾個關鍵的環(huán)節(jié)。(4) 終端防護：終端防護是體系中細粒度的控制，也是安全防護中短板效應的敏感區(qū)。終端主要有固定終端和移動終端兩種，對于這兩種終端的管控行為主要包括使用行為控制和審查兩個主要部分。(5) 加密保護：隨著對計算機的依賴程度的提高，計算機上的數(shù)據(jù)重要性不言而喻 5 。涉密數(shù)據(jù)是安全防護中的重中之重。對內(nèi)對外的介質(zhì)傳輸應該有加密保護措施。對本地涉密數(shù)據(jù)的存儲也需要加密保護措施。網(wǎng)絡上信息系統(tǒng)的傳輸也需要加密保護措施。(6) 病毒和黑客攻擊：內(nèi)網(wǎng)對于病毒防護、漏洞掃描和入侵檢測應該有集中控管的系統(tǒng)，這樣可以實現(xiàn)病毒碼和掃描

5、引擎的更新，實現(xiàn)系統(tǒng)漏洞自動掃描和更新，實現(xiàn)多網(wǎng)段全面入侵檢測報警和阻斷。(7) 安全審計：安全審計針對計算機信息系統(tǒng)中的所有資源( 包括數(shù)據(jù)庫、主機、操作系統(tǒng)、安全設備等) 和行為的審計，審計記錄所有發(fā)生的事件，提供給系統(tǒng)管理員作為系統(tǒng)維護以及安全防范的依據(jù)。一旦有突發(fā)事件可以快速的查閱進出記錄和行為記錄，確定問題所在，以便采取相應的處理措施。(8) 管理制度的健全：安全管理的技術措施和防護手段只能作為監(jiān)管的技術支持， 沒有嚴格的管理規(guī)章制度和操作規(guī)程，依然不能使安全防護系統(tǒng)穩(wěn)定有效地長期運行。同時，應急響應機制也占有重要地位。2 信息安全管理體系設計與實現(xiàn)2.1 體系結構國內(nèi)通常對計算機信

6、息安全的認識是要保證計算機信息系統(tǒng)中信息的機密性、完整性、可控性、可用性和不可否認性( 抗抵賴 ) ，簡稱“五性”3 。信息安全管理體系建設應以“規(guī)范定密，準確定級，依據(jù)標準，同步建設，突出重點，確保核心，明確責任，加強監(jiān)督”的指導思想進行總體規(guī)劃。根據(jù)信息安全管理中面臨的主要問題分析，可以看出，體系建設中待解決的問題涉及面廣，甚至在許多方面有相互交叉、重復防護的問題。同時防護涉及技術多，主要包括數(shù)據(jù)加密技術、訪問控制技術、安全認證技術( 數(shù)字簽名技術) 、 防病毒與反入侵技術、信息泄漏防護技術終端防護技術、安全評估技術與審計追蹤技術等3,涉及到多種安全管理產(chǎn)品的應用，如防火墻、認證網(wǎng)關、入侵

7、檢測、網(wǎng)絡脆弱性掃描等。因此，設計和實現(xiàn)一個全面高效的防護體系是一項綜合的工程，需罷認真分析和論證，理清防護層次和技術路線，特別在選用安全產(chǎn)品上應分析相互能 否建立聯(lián)動關系，避免形成防護孤島，綜合運用可靠的安全產(chǎn)品，高效集成，結合 多種安全防護技術手段使其相互協(xié)調(diào)工作，才能構建一個多方位、多層次的立體安全防護體系口。參照國家關于涉密計算機信息系統(tǒng)安全防護標準2-3,信息安全管理體系主要分為七大部分，分別為：物理安全、網(wǎng)絡安全、系統(tǒng)軟件安全、數(shù)據(jù)安全、應用 安全、用戶安全、安全管理。各部分根據(jù)防護重點均應采用相應的防護產(chǎn)品和技術 措施，形成相對獨立的分系統(tǒng)， 其中主要包括：身份認證系統(tǒng)、終端安全

8、防護系統(tǒng)、 終端安全管理系統(tǒng)、入侵檢測系統(tǒng)、安全網(wǎng)關系統(tǒng)以及病毒防護系統(tǒng)等。涉密計算機信息安全管理體系結構框圖如圖1所示。箋泮主升"機信當先堂M理住主抬構2.2 主要技術措施2.2.1 物理安全防護考慮到應用成本和安全管理的便捷，應將分布式防護變?yōu)榧惺椒雷o，將各部門的重要涉密數(shù)據(jù)庫和信息系統(tǒng)服務器集中放置在數(shù)據(jù)中心機房，并在機房安裝大型UPS設備、精密機房專用空調(diào)、進行電源和環(huán)境溫濕度控制。同時，機房應具有 良好的接地和防雷電措施，部署機房環(huán)境監(jiān)控系統(tǒng)，對機房漏水、溫濕度和電源情況時刻進行監(jiān)視。在核心設備的安全距離低于200m時增加防電磁輻射以及電源濾波設備，保證設備的電磁輻射安全

9、。2.2.2 網(wǎng)絡安全防護鑒于目前外聯(lián)的主要手段是通過有線或無線網(wǎng)卡、紅外、 藍牙、PCMCIA、 USB 端口進行互聯(lián)，因此， 最有效的防護是在終端進行阻斷非法外聯(lián)行為。終端安全管理系統(tǒng)固定網(wǎng)絡設置，進行端口屏蔽，對于非法外聯(lián)，終端安全管理系統(tǒng)聯(lián)動網(wǎng)絡交換機實時搜索非法用戶，一旦檢測到?jīng)]有安裝終端安全管理軟件的客戶端試圖連接網(wǎng)絡，在交換機端口上對非法接入機器進行阻斷。整個網(wǎng)絡應基于IP 網(wǎng)段劃分為不同的安全等級，進行分層分級保護，這樣可以形成分區(qū)實施不同級別的防護手段，更為有效，方便管理。分部門或等級的VLAN之間不能相互訪問，所有的資源訪問必須通過核心交換機訪問重要服務區(qū)，以便在集中管理區(qū)

10、域施加有效的安全防護技術手段。在重要服務器區(qū)設置防火墻，利用防火墻完成應用層的訪問控制，將不必要的訪問區(qū)域和端口進行屏蔽，增加重點區(qū)域的安全訪問控制能力。在核心交換機上將各端口轉發(fā)的數(shù)據(jù)包鏡像到入侵檢測系統(tǒng)上， 而入侵檢測和防火墻設備聯(lián)動，以產(chǎn)生自動阻斷識別的攻擊行為并實時阻斷的效果， 這樣即實現(xiàn)了各網(wǎng)段黑客攻擊行為的檢測，也及時對重要服務器區(qū)的攻擊行為進行阻斷。不可否認，身份認證系統(tǒng)是網(wǎng)絡安全管理的基礎，建立基于PKI 體系的身份認證系統(tǒng)，實現(xiàn)訪問控制、數(shù)據(jù)加密。在重要服務器區(qū)部署安全認證網(wǎng)關，認證網(wǎng)關和CA認證系統(tǒng)進行聯(lián)動，主要實現(xiàn)兩大安全管理功能：用戶安全訪問控制和傳輸通道加密。對于局域

11、網(wǎng)的病毒防護，應部署集中控管的網(wǎng)絡版病毒防護系統(tǒng)，在服務器上統(tǒng)一設置病毒查殺策略，通過服務器對各個客戶端進行自動定期更新病毒防護程序和系統(tǒng)補丁，以達到最佳的防護效果。2.2.3 系統(tǒng)軟件安全系統(tǒng)軟件安全是指操作系統(tǒng)、數(shù)據(jù)庫等系統(tǒng)軟件的安全。無論哪種操作系統(tǒng)，其體系結構本身就是一種不安全因素8 。終端的操作系統(tǒng)應采用統(tǒng)一版本，便于管理和維護。用戶登錄和加密依靠專用部件設備（USBKey）和pin碼，形成雙因素安全登錄強制訪問控制保護。終端安全管理系統(tǒng)不僅能夠?qū)ο到y(tǒng)的應用軟件遠程監(jiān)控管理，還能夠?qū)Σ辉试S安裝或運行的軟件進行屏蔽，對不安全的端口進行屏蔽。終端安裝統(tǒng)一的病毒防護程序和系統(tǒng)補丁自動更新系

12、統(tǒng)，便于在進行集中控管， 定時對客戶端操作系統(tǒng)進行防毒程序和系統(tǒng)補丁自動更新。服務器和數(shù)據(jù)庫的重要數(shù)據(jù)通過安全備份軟件進行完全或增量備份，以便進行應急恢復。2.2.4 數(shù)據(jù)安全對于本地的涉密數(shù)據(jù)，用戶可以存儲到終端安全管理軟件所設置的 “安全加密文件夾”中，文件夾的文件依照用戶的身份證書進行透明加解密，即使丟失，其它人也無法解密。對于移動存儲介質(zhì)，進行統(tǒng)一的認證加密，沒有安裝安全終端管理軟件的設備無法識別該加密文件格式。這種可信的移動存儲介質(zhì)僅可以在內(nèi)部網(wǎng)的可信終端（安裝終端安全管理系統(tǒng)）上使用。在安全防護客戶端設置USB端口的安全管理策略，對沒有內(nèi)部認證的移動存儲介質(zhì)可以設置為只讀或完全禁止

13、。對于對外交流的數(shù)據(jù)文件通過集中管理終端制作加密存儲的文件格式，該格式只能在用戶輸入密碼時才可看到明文，并記錄差旅復制的日志。2.2.5 應用安全應用安全主要完成單點登錄、CA 和 OA 的身份認證相結合、信息系統(tǒng)的訪問控制等功能，同時要完成對于安全管理設備以及應用的日志審計功能。在這部分主要依靠身份認證系統(tǒng)、防火墻系統(tǒng)、入侵檢測系統(tǒng)以及ACL 控制完成多層次的訪問控制，依靠各系統(tǒng)的審計控制臺進行行為審計。2.2.6 用戶安全用戶的應用安全也稱作“端點安全”，這部分主要完成用戶終端可控、可審計的功能。依靠終端安全管理系統(tǒng)及各個客戶端部署安裝的終端安全管理軟件，通過集中控管的終端安全管理服務器統(tǒng)

14、一下發(fā)終端安全管理策略，并遠程監(jiān)控客戶端系統(tǒng)的各種操作行為，根據(jù)需要隨時進行策略更改和下發(fā)。終端安全管理策略主要包括： 管理計算機系統(tǒng)及網(wǎng)絡的應用程序和協(xié)議，控制終端使用的計算機系統(tǒng)外設端口(如USB端口、打印端口)，用戶所有的打印行為、USB端口復制文件行為、網(wǎng)絡傳輸?shù)刃袨榫蛇M行記錄和綜合審計。為便于各個計算機數(shù)據(jù)文件通過內(nèi)部網(wǎng)絡進行交互，在內(nèi)部網(wǎng)中結合用戶身份設置文件安全傳輸子系統(tǒng)，實現(xiàn)點對點的加密傳輸。同時對用戶的傳輸行為進行記錄。2.2.7 安全保密管理技術和制度永遠是相輔相成的，在建立技術措施的同時，應修訂、完善相關的制度和規(guī)程，設置專門的管理機構，健全組織，定期檢查，抓好落實。具

15、體措施以實際工作結合保密制度來制定，如： 可信保密移動存儲介質(zhì)應存放保密柜，領取和歸還應登記；文件的打印、傳送和銷毀應有專門部門或人員管理；指定專門人員進行安全審計、系統(tǒng)維護和安全檢查督促等。3 結束語文中所提出的關于企業(yè)內(nèi)網(wǎng)信息安全管理體系設計結合實際需求和標準要求，從物理安全、網(wǎng)絡安全、系統(tǒng)軟件安全、數(shù)據(jù)安全、應用安全、用戶安全以及安全保密管理等多層次、多方位保障信息安全，采用多種安全產(chǎn)品相互聯(lián)動、相互作業(yè)的動態(tài)結合方式，更為有效地提高了信息安全監(jiān)控和防御能力9 。從信息安全管理的觀點來看，技術與管理必須相互結合，安全管理組織機構應當結合審計制度，通過綜合審計發(fā)現(xiàn)系統(tǒng)安全漏洞，并不斷地跟蹤

16、、采用新的管理理念和技術手段，調(diào)整體系的防護目標、管理策略和技術防護手段等，才可以實現(xiàn)持續(xù)的信息安全管理。參考文獻:1 BS 7799-2,2002 信息安全管理體系規(guī)范S.2 曾陳萍 . 基于多主體信息安全管理系統(tǒng)研究與實現(xiàn)J. 計算機工程與設計 ,2008,29(19):5143-5145.3 GB 17859-1999, 計算機信息系統(tǒng)安全保護等級劃分準則S.4 郭 振 平 . 信 息 安 全 發(fā) 展 策 略 的 思 考 J. 微 電 子 學 與 計 算 機 ,2002(4):63-64.5 馮登國 , 卿斯?jié)h . 信息安全- 核心理論與實踐M. 北京 : 國防工業(yè)出版社 ,2000:7-9.6 李濤 . 網(wǎng)絡安全概論M. 北京 : 電子工業(yè)出版社,2004:423-458.7 Manchester Ja