涉密應(yīng)用系統(tǒng)安全保密改造探討

1、精品文檔 歡迎下載 。涉密應(yīng)用系統(tǒng)安全保密改造探討信息管理部陳金文目前，國家保密形勢異常嚴(yán)峻，尤其計算機及其網(wǎng)絡(luò)已成為泄密的重要隱患，通過計算機信息系統(tǒng)采用信息技術(shù)手段發(fā)生的泄密案與竊密案頻發(fā)，隨著國家BM田目關(guān)標(biāo)準(zhǔn)的出臺，以及從業(yè)人員對國家BMB1關(guān)標(biāo)準(zhǔn)的深入理解，勢必對企業(yè)應(yīng)用系統(tǒng)的安全保密防護提出更高的要求。已經(jīng)運行的應(yīng)用系統(tǒng)如企業(yè)0A、PDM CAPP項目管理系統(tǒng)、檔案等系統(tǒng)中存儲著本單位各方面的大量信息，可以說是本單位的核心機密所在 , 這些數(shù)據(jù)的安全保密要求就需要對原有的應(yīng)用系統(tǒng)進行安全改造。一、應(yīng)用系統(tǒng)安全保密改造目的隨著企業(yè)信息化程度的進一步推廣，應(yīng)用深度也進一步增加，涉密應(yīng)用

2、系統(tǒng)的應(yīng)用范圍和業(yè)務(wù)應(yīng)用的規(guī)模伴隨著業(yè)務(wù)的需求必然會快速增長，信息的安全保密技術(shù)也會不斷出現(xiàn)新的安全隱患，也在不停地發(fā)展， 對系統(tǒng)的安全保密管理的要求也會有所變化。隨著業(yè)務(wù)的發(fā)展，規(guī)模會變化，機構(gòu)會變化人員會變化，環(huán)境會變化，涉密應(yīng)用系統(tǒng)也會跟隨著調(diào)整、擴充、搬遷等，總會有或大或小的不同變化，因此，在涉密應(yīng)用系統(tǒng)的安全保密工作中我們在跟隨技術(shù)發(fā)展的同時，管理方法和技術(shù)手段也必須不斷調(diào)整來適應(yīng)技術(shù)和要求的發(fā)展。只有這樣才能使涉密信息系統(tǒng)始終保持安全良好的運行狀態(tài)。就拿航宇公司而言，隨著信息化工作的不斷深入，企業(yè)先后陸續(xù)上了大量的應(yīng)用系統(tǒng)，如：OA PDM TDM CAPP項目管理系統(tǒng)、門戶、檔案

3、管理系統(tǒng)等，這些應(yīng)用系統(tǒng)中積累了大量的數(shù)據(jù)，而且這些多數(shù)屬于涉密數(shù)據(jù)。在早年推廣的系統(tǒng)中，重點考慮應(yīng)用的便利性和數(shù)據(jù)的安全性，很少會考慮到數(shù)據(jù)保密這個范疇，因此，原有的應(yīng)用系統(tǒng)也就存在大量的漏洞和風(fēng)險，如用戶管理、“三員”管理、日志管理、審計管理、身份鑒別等，或多或少存在由于功能缺陷導(dǎo)致的保密問題、安全問題等，這些問題不解決，勢必容易造成涉密信息被非授權(quán)訪問，以及對竊、泄密事件的無法追溯。因此，為了保證這些數(shù)據(jù)的安全，除做好單機防護、訪問控制和邊界防護外，還應(yīng)該對已經(jīng)投入使用的應(yīng)用系統(tǒng)進行安全保密改造工作。二、應(yīng)用系統(tǒng)安全保密改造方案應(yīng)用系統(tǒng)安全保密改造方案的總體思路是要適應(yīng)實際和發(fā)展的需要，

4、既要滿足信息化對應(yīng)用系統(tǒng)便捷性的要求，又要滿足保密對應(yīng)用系統(tǒng)安全性的要求，整個改造過程動態(tài)推進，具體做法如下：（一 ） 用戶管理改造原有的應(yīng)用系統(tǒng)用戶一般有系統(tǒng)管理員和普通用戶兩類，沒有考慮“三員分立”管理功能。根據(jù)國家BM標(biāo)準(zhǔn)的相關(guān)要求，在應(yīng)用系統(tǒng)安全保密改造過程中將系統(tǒng)用戶分為以下幾類：用戶按照功能和權(quán)限一般劃分為三類：第一類是普通用戶。第二類是業(yè)務(wù)管理員主要指管理某個業(yè)務(wù)的功能模塊的而設(shè)置的人員。例如0儆、同辦公系統(tǒng)的表單管理員，主要負(fù)責(zé)表單的設(shè)計、制作、發(fā)布、修訂和表單流程的設(shè)立。第三類為“三員”。即系統(tǒng)管理員、安全管理員和安全審計員。“三員”應(yīng)該按照最小權(quán)限的原則和權(quán)限分離原則進行權(quán)

5、限劃分，各管理員的權(quán)限應(yīng)相互獨立、相互監(jiān)督和相互制約。系統(tǒng)管理員用于建立使用該應(yīng)用系統(tǒng)的組織機構(gòu)、建立和管理用戶組和用戶、用戶的新增、變更、注銷等等；安全管理員主要負(fù)責(zé)應(yīng)用系統(tǒng)安全策略的設(shè)置、調(diào)整。用戶賬號安全策略的設(shè)置（口令復(fù)雜度、長度，口令更改周期，用戶和用戶組的訪問控制權(quán)限分配和調(diào)整） 以及普通用戶操作系統(tǒng)信息（ 包括登錄、操作和退出等） 的查看；安全審計員負(fù)責(zé)審計業(yè)務(wù)管理員、系統(tǒng)管理員和安全管理員的操作，并對操作結(jié)果進行驗證。因此，新上的應(yīng)用系統(tǒng)除了具備“三員分立”的管理功能，實行三員分立的管理模式三員的權(quán)限相互獨立，互不交叉，從而防范違規(guī)事件的發(fā)生外，還應(yīng)刪除系統(tǒng)默認(rèn)用戶、刪除超級管

6、理員，避免管理員的權(quán)限過于集中導(dǎo)致信息安全問題。（二 ） 系統(tǒng)備份和恢復(fù)改造1、系統(tǒng)備份（1）應(yīng)用軟件備份：系統(tǒng)應(yīng)用軟件通過應(yīng)用服務(wù)器發(fā)布，每次系統(tǒng)BU醪改和版本的升級、需求功能的補充，均會產(chǎn)生系統(tǒng)應(yīng)用軟件的更新，程序的每次更新均有版本控制器記錄，每周對系統(tǒng)應(yīng)用軟件進行備份，且備份后的程序與應(yīng)用服務(wù)器不在同一臺機器中。該項工作由業(yè)務(wù)管理員進行負(fù)責(zé)操作和記錄。（2） 數(shù)據(jù)庫備份：系統(tǒng)提供數(shù)據(jù)庫自動備份的批處理命令文件，通過系統(tǒng)的計劃任務(wù)進行自定義設(shè)置，并定時對數(shù)據(jù)庫進行備份，且備份文件與數(shù)據(jù)庫服務(wù)器不在同一臺機器中。該項工作由業(yè)務(wù)管理員進行定期檢查和記錄。2、系統(tǒng)恢復(fù)業(yè)務(wù)管理員按照各系統(tǒng)恢復(fù)預(yù)案

7、進行系統(tǒng)恢復(fù)，操作人員及接觸數(shù)據(jù)的范圍，數(shù)據(jù)存儲要求均符合保密要求。具體恢復(fù)分為以下兩個方面：應(yīng)用軟件恢復(fù)：一旦應(yīng)用服務(wù)器出現(xiàn)故障或癱瘓，業(yè)務(wù)管理員應(yīng)按照系統(tǒng)恢復(fù)預(yù)案進行恢復(fù)，協(xié)調(diào)有關(guān)部門和崗位人員配合該項工作的開展。首先，恢復(fù)應(yīng)用服務(wù)器操作系統(tǒng)；其次，恢復(fù)應(yīng)用服務(wù)器的WEB布支撐軟件；最后，恢復(fù)備份的應(yīng)用系統(tǒng)軟件，并在應(yīng)用服務(wù)器上進行部署和發(fā)布，并記錄恢復(fù)過程。數(shù)據(jù)庫恢復(fù)：一旦數(shù)據(jù)庫服務(wù)器出現(xiàn)故障或癱瘓，業(yè)務(wù)管理員應(yīng)按照恢復(fù)預(yù)案進行恢復(fù)，根據(jù)系統(tǒng)備份的數(shù)據(jù)文件，首先恢復(fù)數(shù)據(jù)庫，然后按照數(shù)據(jù)庫恢復(fù)批處理命令文件進行數(shù)據(jù)的恢復(fù)，并記錄恢復(fù)過程。（三 ） 安全審計改造涉密的應(yīng)用系統(tǒng)需要有完整的安全

8、審計功能，而我們很多應(yīng)用系統(tǒng)在安全審計方面功能不足，需要改造。具體改造方案如下：首先，涉密應(yīng)用系統(tǒng)的安全審計實現(xiàn)必須覆蓋所有用戶，并且能確保審計內(nèi)容至少包括事件的日期、時間、事件發(fā)生的用戶身份標(biāo)識、發(fā)生事件的設(shè)備標(biāo)識、事件類型、描述和結(jié)果；其次，安全審計的記錄信息要符合機密性、完整性、可控性、可用性和不可否認(rèn)性（ 抗抵賴） 的原則；再次，應(yīng)用系統(tǒng)要具備相當(dāng)充分的審計條件，做好這方面的安全審計內(nèi)容，主要反映在應(yīng)用層面的審計數(shù)據(jù)收集工作，將有用的信息提取出來作為審計的內(nèi)容，通過特定的管理頁面提供給進行審計工作的用戶，對審計數(shù)據(jù)能進行統(tǒng)計、分析、按條件查詢及生成統(tǒng)計報表等功能，方便審計人員的統(tǒng)一審計

9、管理。（四 ） 日志管理改造過去的應(yīng)用系統(tǒng)在日志管理功能方面不足或者不全，日志可讀性、可管理性較差，我們現(xiàn)在的日志管理改造要求有日志管理策略設(shè)置的統(tǒng)一界面，該統(tǒng)一的日志管理界面將作為整個日志的管理中心，所有日志信息都將歸總到這個統(tǒng)一日志管理中心里進行管理。日志管理要求一般可以包括三個方面，一是日志的存放要求，如日志存儲路徑、日志存儲方式、目志存儲空間或存儲周期，所有的日志同時應(yīng)具有存儲空間滿時的告警功能和自動覆蓋最早日志或自動轉(zhuǎn)存的功能等；二是日志容量和目志的覆蓋周期，一般可追溯周期不少于1 個月。三是應(yīng)用系統(tǒng)的安全日志應(yīng)與系統(tǒng)日志分開，同時涉密應(yīng)用系統(tǒng)還應(yīng)具備對特定事件進行實時報警功能，并限

10、制用戶對日志的訪問，能確保日志管理的安全性，防止用戶的惡意篡改日志記錄。此外，為增強日志的可讀性，日志管理還應(yīng)該具備導(dǎo)出功能，建議應(yīng)用系統(tǒng)采用SYSLO鐮口、SNM接口或者數(shù)據(jù)庫接口三種之一提供日志的導(dǎo)出接口。（五 ） 身份鑒別改造保密標(biāo)準(zhǔn)對應(yīng)用系統(tǒng)身份鑒別的要求主要歸納為幾點： “確保身份標(biāo)識唯一性、 可審計性和可核查性”、“口令設(shè)置長度、復(fù)雜度和更改周期”、 “重鑒別”、 “鑒別失敗”等。常用的鑒別方式有用戶名口令，動態(tài)口令，數(shù)字證書，生物特征識別等。隨著應(yīng)用系統(tǒng)的數(shù)量的增加，越來越多的用戶面臨著“分散身份鑒別”帶來的各種各樣的問題，也就是“身份漫游”功能，漫游功能在信息化來講是非常便利的

11、，但從保密角度來講卻存在極大風(fēng)險，因為不同身份所接觸的涉密信息是不同的，涉密信息內(nèi)有機密級計算機和秘密級計算機，甚至還有非密計算機，而各密級計算機所能接觸的涉密信息等級不同，因此身份鑒別除了考慮上述要求同時，應(yīng)考慮多個應(yīng)用系統(tǒng)的單點登錄和統(tǒng)一身份鑒別功能的實現(xiàn)。筆者認(rèn)為：為了達(dá)到便利又安全保密的要求，采用身份認(rèn)證網(wǎng)關(guān)實現(xiàn)單點登錄訪問控制是較好的辦法。航宇公司的幾個主要應(yīng)用系統(tǒng)如：OA!（統(tǒng)，PD陳統(tǒng)等大部分采用B/S架構(gòu)，采用CA字證書的驗證的方式統(tǒng)一身份認(rèn)證訪問應(yīng)用系統(tǒng)，并用防火墻對應(yīng)用系統(tǒng)的端口進行最小化授權(quán)開放，用戶成功登錄應(yīng)用系統(tǒng)后，應(yīng)用系統(tǒng)會根據(jù)用戶的角色出現(xiàn)相應(yīng)的操作界面。在 OA

12、 PD晞重要的應(yīng)用系統(tǒng)中均實現(xiàn)了通過門戶統(tǒng)一身份認(rèn)證身份鑒別方式實現(xiàn)了應(yīng)用系統(tǒng)登錄。（ 六 ）涉密信息流向控制改造涉密信息流向控制主要包括兩個方面：一是對于密級級別高的人員，不但可以獲取相同密級的數(shù)據(jù)信息，還可以獲取比其密級低的數(shù)據(jù)信息；相反，密級低的人員不能獲取比其密級高的數(shù)據(jù)信息。二是防止知悉范圍擴大，即非授權(quán)用戶無法查獲非授權(quán)的密級信息，授權(quán)用戶僅能查獲相應(yīng)授權(quán)的密級信息。重點是通過菜單權(quán)限和數(shù)據(jù)權(quán)限對用戶權(quán)限進行限制。涉密信息的流向還可以通過企業(yè)內(nèi)不同部門崗位和不同業(yè)務(wù)范圍來進行控制，這種控制通常是結(jié)合系統(tǒng)權(quán)限控制來實現(xiàn)。例如：班組級、車間級、工廠級，部門級別高的人員有權(quán)訪問下屬級別的

13、數(shù)據(jù)信息，相反，則受到限制。相應(yīng)密級用戶瀏覽相應(yīng)的密級信息，低密級的人員無法獲取高密級信息的目的；相應(yīng)的業(yè)務(wù)用戶瀏覽相應(yīng)的業(yè)務(wù)信息，無法瀏覽不相關(guān)業(yè)務(wù)信息。實現(xiàn)方式主要有：1 、功能權(quán)限控制。涉密應(yīng)用系統(tǒng)的功能權(quán)控制也就是菜單權(quán)限，主要是針對用戶或用戶組設(shè)置不同的菜單權(quán)限，主要有兩個方面：一是針對管理員權(quán)限而言，企業(yè)普通用戶或用戶組具有授權(quán)的相關(guān)業(yè)務(wù)的瀏覽、查詢、處理等權(quán)限，但沒有用戶管理、權(quán)限管理和審計管理的功能，這些功能分別是系統(tǒng)管理員、安全保密管理員和安全審計員的功能。二是針對業(yè)務(wù)而言，不同的用戶和用戶組具有不同的業(yè)務(wù)權(quán)限權(quán)的控制由相應(yīng)的業(yè)務(wù)應(yīng)用系統(tǒng)內(nèi)進行權(quán)限控制。2、數(shù)據(jù)權(quán)限控制。在應(yīng)

14、用系統(tǒng)中，系統(tǒng)提供對數(shù)據(jù)的訪問權(quán)限進行控制，即針對系統(tǒng)用戶或用戶組按用戶或用戶組的角色進行權(quán)限劃分，根據(jù)不同的用戶角色可以看到特定的內(nèi)容。普通用戶可以看到業(yè)務(wù)上授權(quán)個人的可以看到的信息；系統(tǒng)管理員、安全管理員和安全審計員可以看到相應(yīng)授權(quán)的信息或數(shù)據(jù)。如安全保密管理員可以看到的一般員工操作信息，安全審計員可以看到三員操作信息，別人看不到。三、總結(jié)和建議綜上所述，要提高涉密應(yīng)用系統(tǒng)的安全水平，除了硬件和環(huán)境應(yīng)具備相應(yīng)防范措施外，重點應(yīng)該關(guān)注應(yīng)用系統(tǒng)的安全保密防護，而應(yīng)用系統(tǒng)的安全保密防護除技術(shù)措施外，還應(yīng)在管理措施和相應(yīng)的標(biāo)準(zhǔn)規(guī)范上下功夫，才能真正做好應(yīng)用系統(tǒng)的安全保密工作。相對于用戶改造，文中提到的密級流向控制是比較難改造的，很有可能會涉及到應(yīng)用系統(tǒng)結(jié)構(gòu)性調(diào)整。當(dāng)然，原有的應(yīng)用系統(tǒng)由于最初設(shè)計時目標(biāo)的差異，應(yīng)用系統(tǒng)進行改造過程中會由于歷史應(yīng)用原因，無法徹底按照本文描述的內(nèi)容進行改造，但應(yīng)該重點關(guān)注應(yīng)