摘 要 当前绝大部分军政单位的业务都建立在内网信息系统的基础之上，实现了资源的共享，提高了工作效率，但其开放的模式也给信息安全管理带来了极大的挑战。本文分析了军政单位内网信息安全存在的隐患，并针对这些隐患设计了一个的基于身份认证的信息安全防护平台，集认证、监控、管理和审计等机制于一体，有助于保障军政单位内部信息管理的安全。
关键词 军政单位；内网安全；防护平台
中图分类号TP39 文献标识码A 文章编号 1674-6708（2014）122-0216-02
0引言
目前，随着国家信息化的发展，计算机网络在企事业单位得到了广泛的应用，各种资料、数据日趋电子化，OA系统也得到了一定程度的普及。信息化的发展大大提高了工作效率，但是也给应用单位带来了一系列的安全隐患，例如机密数据外泄、非法入侵等。针对出现的安全隐患，目前人们在计算机网络的边界安全上进行了较大的投资，主要包括针对外部攻击的安全策略和针对内部信息的安全策略，对外方面包括购置防火墙、杀毒软件和入侵检测系统等，但对于内部的安全防护尚未得到足够的重视。实际上，根据权威部门统计，在机密数据失、泄密给企业带来的损失中，内部安全隐患所造成的比例达到80%以上[1]，尤其是军政单位涉及了国家级机密信息，在计算机上存储了大量涉密资料，对内部网络、终端用户的安全管理要求极高，如果这些数据遭到窃取、更改或破坏，将会导致很严重的后果。因此，加强对军政单位内网信息系统的安全防护是一件极其重要的事情。
1军政单位内网信息安全隐患分析
按照数据存储的物理位置不同，军政单位网络上存在两类非常重要的信息资产，一类是存储在终端主机上的重要信息，如一些重要文件等，对于这类信息需要确保不被外泄；另一类是存储在各种服务器上的重要信息，如数据库等。对于这类信息不仅需要确保它的保密性，还要确保它的完整性（确保特定信息不能被篡改）和可用性（确保提供的服务不间断）。而目前与之不相协调的是有些部门的内网管理矛盾[2]突出，主要表现为：1）网络存在大量水平参差不齐用户，客户端维护工作量庞大，而网络管理人员有限，网管难以有效的管理数量庞大的客户端设备；2）客户端管理作为制约网络安全的瓶颈，消耗了绝大部分网管人员的精力，而随着网络的不断扩大和应用的不断拓展，客户端管理的矛盾还将会日益突出。这就给军政单位的内网信息安全带来了极大的隐患。
1.1存储在终端主机上的信息安全隐患
军政单位内部信息使用人员，对于存储在终端主机上的信息，可能存在三个方面的外泄隐患：
通过网络泄露信息。这主要表现在使用电子邮件将信息发到Internet网上泄露出去。虽然有些重要的军政办公场所不允许上Internet网，但是有些员工非法通过Modem拨号上Internet网，绕开了所有的信息安全措施，导致信息泄露。另外，有些员工通过工作之便将自己的笔记本电脑带入单位内部，非法接入本单位内网，大肆进行非法操作。
通过端口泄露信息。各个终端主机上默认都具有各种接口如USB口、串口、红外接口、1394接口以及软驱、光驱等，有些员工利用这些端口，通过移动硬盘、软盘、光驱等媒体介质将敏感信息拷贝出来，从而导致信息严重泄露。
通过打印机泄露信息。有些员工利用本地打印机或者网络打印机将敏感信息打印出来，私自带出办公场所，引起信息泄露。
1.2存储在服务器上的信息安全隐患
军政单位内部各种服务器上的信息，尤其是数据库中的信息非常重要，整个单位的各种信息系统都依赖于这些信息运行。但是目前这些信息也面临很大的安全隐患。主要表现在3个方面：
1）本单位内许多信息系统的用户被多个工作人员共用。如果某个工作人员恶意操作信息系统，篡改、删除数据甚至导致信息系统崩溃后，虽然数据库或者信息本身提供了一定的日志审计功能，但是因为系统用户被多个工作人员共享，因此很难将责任追究到人，大大增加了安全隐患。
2）外部主机非法接入。有些员工通过工作之便将自己的笔记本电脑带入办公场所，非法接入单位内网，安装上HIS的客户端后，可以对数据库进行非法破坏操作。
3）单位内部的FTP服务器、文件服务器、邮件服务器等常常没有根据用户执行严格地访问控制，导致有些敏感信息被泄露，如FTP服务器上的财务报表被没有该权限的工作人员访问。
3内网防护平台体系结构
针对上述军政单位的信息安全隐患，以往的系统安全防护研究大部分都是采用“具体问题具体分析”的设计思想，并没有形成一个统一、系统的解决方案，很难保证其可靠性[3]。本文从系统工程的角度设计了一个基于身份认证的全维可信的信息安全防护平台。该平台的设计目标是：1）只允许可信的工作人员访问他有权访问的信息；2）防止敏感信息从本单位的内网外泄；3）提供针对每个工作人员的信息访问操作的日志审计功能。体系结构如图1所示，将军政单位的内部网络根据信息安全防护需求不同分成三个区域：终端主机区域、服务器区域以及外部风险区域。对于不同的区域本文提出功能不同的安全防护措施，从而在整体上保障了军政单位内网的安全。
由图1可以看出，针对信息在单位内部的全部生命周期，包括信息的产生、处理、传输、存储、应用和销毁，该方案均有对应的措施对信息进行保护，因此克服了传统安全解决方案中“点”式方案的缺陷，实现了由“点”到“面”的安全防护。
3.1终端主机区域安全防护
终端主机区域的构成是各军政单位中接入内网的除服务器以外的所有计算机终端。通过让这些终端主机强制安装终端代理软件，进行信息的安全防护，主要提供以下防护功能：
1）增强身份认证。终端主机采取“双因子身份认证”技术，利用USB智能卡和密码技术相结合的机制，通过接管和控制Windows登陆认证子系统，实现对终端主机的有效访问控制。
2）外部设备控制。对终端主机上USB接口、光驱、软驱、1394接口、打印机、Modem、ADSL、GPRS、红外线、无线网卡等设备的操作进行集中控制。另外为了方便网内工作人员信息共享，提供了对移动硬盘拷贝的自动加解密功能，这样敏感信息在单位内部可以便捷地使用，而信息被带出办公场所则是密文。
3）网络管理控制。针对用户的网络行为进行监视和控制，主要包括URL、端口、IP地址的黑白名单控制以及电子邮件的控制。防止用户因访问不良网站而感染木马和病毒以及防止用户将敏感信息通过电子邮件外泄。
4）桌面监控。远程监视终端主机上正在运行的应用程序、桌面状况、内存和硬盘的使用状况，以及对终端主机进行远程控制，发现非法行为可以及时阻止。
另外，外部设备控制和网络管理控制都包含严格的日志审计功能，可以知道具体哪个工作人员在什么时间进行了那些相关操作。
3.2服务器区域安全防护
服务器资源包含一般服务资源（如FTP服务器包含大量文件资源）和数据库资源[4]。对于这些资源，本文在终端主机的“双因子身份认证”的基础上，接管和控制了终端主机的网络访问。根据用户的真实身份和他的访问请求，终端代理软件向认证中心请求授权，如果得到授权就允许该用户访问该服务器资源，否则就拒绝。认证中心根据用户具有的角色授予相应的访问权限。这种基于角色的访问控制机制极大地方便了信息的安全管理。
3.3外部风险区域安全防护
外部风险区主要是由未经批准被工作人员私自带入办公场所并且接入内网的主机构成。对于这种非法接入的主机具有极大的安全隐患，因此本文提供了外部主机非法接入预警功能和对该类非法主机进行主动攻击的功能。从而从根本上消除该类安全隐患，确保信息安全。
4内网防护平台的部署
信息安全防护平台有四部分组成：终端代理软件、USB Key、控制台软件和安全平台服务器组成。如图2所示，其中，终端代理软件安装在所有终端主机上，具有防卸载的功能，必须经控制台授权批准才能被卸载。控制台负责：1）制定安全策略和将它们下发到各个终端代理立即执行生效；2）对用户访问服务器进行授权管理；3）对所有在线终端主机进行远程桌面监控；4）对日志记录进行安全审计。安全平台服务器有安全策略服务器、日志服务器以及认证服务器组成。
5结论
本文设计了一个基于身份认证的用于保障军政单位内网信息安全的防护平台，该平台从文件操作、网络访问、进程控制、设备管理、接入控制等信息系统的各个核心操作入手进行防护，具有“事前预防、事中控制、事后审计”三大特征，在信息安全的各个阶段实施对敏感信息的强有力的保护，确保做到了：对于内部网络非法主机和用户“进不来”，对于保密信息非法用户“拿不走”，对于安全事故涉嫌用户“跑不了”，因而很好的保障了军政单位的信息化建设。
参考文献
[1]绝杀信息安全之打印泄密[DB/OL].http：//.cn/qkpdf/kecb/kecb201417/kecb201417156-1.pdf" style="color:red" target="_blank">原版全文 推荐访问： 军政 内网 安全防护 单位 研究
