王靜

（公安部邊防管理局，北京 100062）

信息安全管理系統(tǒng)的設(shè)計與應(yīng)用

王靜

（公安部邊防管理局，北京 100062）

本文從信息訪問控制的對象和區(qū)域的側(cè)重點入手，通過采用密碼學(xué)技術(shù)、PKI技術(shù)、入侵檢測等技術(shù)，從數(shù)據(jù)安全管理、網(wǎng)絡(luò)安全管理、設(shè)備安全管理、用戶身份管理和綜合安全審計等方面對數(shù)據(jù)的存儲、傳輸和使用整個生命周期進(jìn)行控制、保護(hù)和審計，建立內(nèi)網(wǎng)數(shù)據(jù)安全保護(hù)體系。

信息安全；存儲設(shè)備管理；安全策略

1 概述

1.1 數(shù)字信息安全概況

計算機信息系統(tǒng)和網(wǎng)絡(luò)已經(jīng)成為政府各部門的重要信息載體和傳輸渠道。信息的數(shù)字化大幅度提高了工作效率，也使得海量的信息存儲和處理成為了現(xiàn)實。但是，其所帶來的信息安全問題不容忽視。一方面數(shù)字信息由于易于復(fù)制的特性，使其更易于受到難以控制和追溯的盜取威脅；另一方面是由于網(wǎng)絡(luò)具有的遠(yuǎn)程信息存取功能，使信息更容易受到破壞、更改和盜取的威脅。這種威脅嚴(yán)重影響政府部門內(nèi)部信息的安全性，解決這個問題尤為迫切。

信息安全關(guān)注的是信息系統(tǒng)的保密性（Confidentiality）、完整性（Integrality）和可用性（Availability），信息的可用性主要通過各種數(shù)據(jù)備份和保護(hù)系統(tǒng)來實現(xiàn)，本文所描述系統(tǒng)關(guān)注的是保密性和完整性。傳統(tǒng)網(wǎng)絡(luò)安全關(guān)注更多的是系統(tǒng)安全，而信息安全關(guān)注更多的是數(shù)據(jù)安全。系統(tǒng)安全關(guān)注的對象是整個網(wǎng)絡(luò)系統(tǒng)、網(wǎng)絡(luò)子系統(tǒng)、計算機系統(tǒng)和應(yīng)用系統(tǒng)所組成的運行環(huán)境的安全性，它關(guān)注的是系統(tǒng)以及所提供服務(wù)的穩(wěn)定性和可靠性。數(shù)據(jù)安全關(guān)注的則是數(shù)據(jù)本身，包括數(shù)據(jù)的保密性、完整性和可用性，相比于系統(tǒng)安全來說，數(shù)據(jù)安全是一種更細(xì)粒度的控制。

1.2 數(shù)據(jù)安全

數(shù)據(jù)安全是指內(nèi)網(wǎng)數(shù)據(jù)的保密性、完整性和可用性。數(shù)據(jù)安全的實現(xiàn)需要對數(shù)據(jù)產(chǎn)生、存儲、傳輸、使用和銷毀整個生命周期進(jìn)行控制、跟蹤和保護(hù)，采用現(xiàn)代密碼學(xué)技術(shù)、PKI技術(shù)和其他輔助管理措施，來確保數(shù)據(jù)的完整性、保密性和可信性。一個好的數(shù)據(jù)安全產(chǎn)品，應(yīng)該從數(shù)據(jù)本源解決數(shù)據(jù)安全問題，構(gòu)造以數(shù)據(jù)安全為核心的內(nèi)網(wǎng)安全系統(tǒng)將給信息安全帶來新的活力。

2 技術(shù)背景

2.1 主動安全防御

網(wǎng)絡(luò)信息安全的應(yīng)用在于針對自身網(wǎng)絡(luò)所采取的安全應(yīng)用方式，即主動防御還是被動防御。只有采取積極的主動防御方式和辦法，才能達(dá)到更好的網(wǎng)絡(luò)信息安全目的，構(gòu)筑網(wǎng)絡(luò)信息安全防御體系。實現(xiàn)主動性的網(wǎng)絡(luò)信息安全模型：

首先需要制定一套安全策略，并使所有組織人員遵守這一規(guī)則；根據(jù)組織數(shù)據(jù)安全管理要求，建立一套好的、適合本組織的安全策略，減少對安全策略的破壞。有主動防御的網(wǎng)絡(luò)信息安全總是以一個能夠起到作用的安全策略為開始的。

對需要使用的外圍設(shè)備和端口進(jìn)行嚴(yán)格管理。通過對包括USB端口、1394口、并口、串口、紅外、藍(lán)牙、網(wǎng)卡等設(shè)備進(jìn)行管控，切斷可能的信息泄密泄漏途徑，可以有效控制由于私自拷貝、傳輸、打印等造成的數(shù)據(jù)泄漏，因此對這些端口必須嚴(yán)格進(jìn)行管理。

未經(jīng)注冊的移動設(shè)備不能使用；對于組織的網(wǎng)絡(luò)來說，最大的威脅可能就是來自那些隨處移動的筆記本、移動存儲設(shè)備或其它移動終端，這些移動設(shè)備給組織帶來使用方便性的同時也給組織信息安全造成很大威脅。移動設(shè)備可以隨著組織人員的變動或者不良工作習(xí)慣而將得到的數(shù)據(jù)移動到其它不安全的網(wǎng)絡(luò)并暴露在黑客的攻擊之下（無意泄漏信息），或帶出組織（有意泄漏信息），當(dāng)這些設(shè)備再次回到組織的網(wǎng)絡(luò)環(huán)境時，就成了最大的安全隱患。

總的來說，一個具有主動性的網(wǎng)絡(luò)安全模型是以一個良好的適合本組織的安全策略為起點，然后確保這個安全策略可以被徹底貫徹執(zhí)行，嚴(yán)格管理移動設(shè)備、系統(tǒng)端口管理。并根據(jù)組織的變化、業(yè)務(wù)需求，及時更新組織安全策略，從而確保組織的信息安全。

2.2 系統(tǒng)定義

信息安全管理系統(tǒng)是一個以內(nèi)網(wǎng)安全理論為基礎(chǔ)，以數(shù)據(jù)安全為核心，通過采用密碼學(xué)技術(shù)、PKI技術(shù)、操作系統(tǒng)核心技術(shù)和自有創(chuàng)新技術(shù)，從數(shù)據(jù)安全管理、網(wǎng)絡(luò)安全管理、設(shè)備安全管理、用戶身份管理和綜合安全審計等方面對數(shù)據(jù)的存儲、傳輸和使用整個生命周期進(jìn)行控制、保護(hù)和審計，確保數(shù)據(jù)的完整性和保密性，從而達(dá)到保護(hù)敏感信息的內(nèi)網(wǎng)安全管理系統(tǒng)。

系統(tǒng)所提供的安全策略模板及組織自定義安全策略，使組織進(jìn)行網(wǎng)絡(luò)信息安全主動防御，構(gòu)建主動的網(wǎng)絡(luò)信息安全防御體系成為可能。組織的主動安全防御體系能夠做到網(wǎng)絡(luò)信息安全的事前防范、事中發(fā)現(xiàn)并以事后的審計作為信息安全事件發(fā)現(xiàn)有效手段，從全方位確保了網(wǎng)絡(luò)信息的安全。

2.3 系統(tǒng)結(jié)構(gòu)

信息安全管理系統(tǒng)是典型的客戶機/服務(wù)器/控制臺（C/S/C）結(jié)構(gòu)。系統(tǒng)管理員通過管理中心（MC）來操作管理服務(wù)器（MS）定制相關(guān)的安全策略，再由管理服務(wù)器（MS）通過操縱客戶端管理代理（MA）來實現(xiàn)對整個網(wǎng)絡(luò)的管理和安全監(jiān)控。支持廣域網(wǎng)絡(luò)部署，其構(gòu)造的安全域是邏輯上的，而不要求物理上是一個內(nèi)部網(wǎng)絡(luò)。系統(tǒng)建立在一個安全架構(gòu)中，使用PKI框架和密碼學(xué)技術(shù)保護(hù)自身的安全，從而使系統(tǒng)自身具有可靠的安全性。

3 功能實現(xiàn)

要實現(xiàn)主動防御和事前防范，首要工作是制定一套切實可行的安全策略。內(nèi)部網(wǎng)絡(luò)安全的核心是數(shù)據(jù)的安全，系統(tǒng)通過對內(nèi)網(wǎng)數(shù)據(jù)安全的關(guān)注和有效管理，建立一個完整的內(nèi)網(wǎng)數(shù)據(jù)安全保護(hù)體系?；竟δ芸梢苑譃槭虑胺婪?、事中巡查和事后審計三大類。管理策略可以靈活切換，支持在聯(lián)網(wǎng)和離網(wǎng)情況下自動啟用不同策略，聯(lián)網(wǎng)和離網(wǎng)是以客戶端是否連上管理服務(wù)器為標(biāo)準(zhǔn)；支持USB Key狀態(tài)（有Key/無Key）觸發(fā)啟用不同策略。

3.1 事前防范

終端網(wǎng)絡(luò)管理提供了客戶端通過各種網(wǎng)絡(luò)應(yīng)用及協(xié)議（Http、FTP、POP3、SMTP、IP/PORT等）進(jìn)行網(wǎng)絡(luò)訪問的行為進(jìn)行控制的功能。通過網(wǎng)絡(luò)行為管理盡可能的避免機密信息通過網(wǎng)絡(luò)傳輸途徑進(jìn)行泄密或者通過共享方式泄密。策略設(shè)置可以在聯(lián)網(wǎng)、離網(wǎng)和USB Key存在與否情況下使用。

如訪問網(wǎng)址控制：設(shè)置客戶端的網(wǎng)絡(luò)地址訪問控制策略；支持網(wǎng)址黑白名單選擇；支持訪問網(wǎng)址日志是否記錄；訪問網(wǎng)址審計：支持對客戶端訪問網(wǎng)址日志的審計；支持網(wǎng)址關(guān)鍵字的查詢和多種格式（html、doc、xls、txt）輸出；日志內(nèi)容包括節(jié)點名、時間、登錄用戶名、計算機名、網(wǎng)址等字段；

郵件發(fā)送/接收控制：設(shè)置客戶端的郵件接收/發(fā)送策略；支持黑白名單選擇；支持對郵件內(nèi)容的記錄；

郵件發(fā)送/接收審計：支持基于郵件主題關(guān)鍵字的日志查詢；日志內(nèi)容包括節(jié)點名，時間，登錄用戶名，計算機名，發(fā)件人，收件人，抄收，郵件主題，附件信息等字段；

非法接入管理：支持對非法計算機接入時進(jìn)行報警；支持對非法計算機接入進(jìn)行主動阻斷；邏輯安全域：支持對計算機網(wǎng)絡(luò)進(jìn)行邏輯隔離，防止客戶端非法外聯(lián)和接入行為；支持白名單的方式訪問未啟用邏輯安全域功能的計算機；支持通過代理網(wǎng)關(guān)進(jìn)行互聯(lián)網(wǎng)的訪問；

網(wǎng)絡(luò)共享控制：支持是否允許客戶端使用網(wǎng)上鄰居；支持允許/禁止終端主機設(shè)置共享文件夾；

（1）存儲設(shè)備管理

只有通過認(rèn)證的設(shè)備才能在系統(tǒng)安全控制域中進(jìn)行使用，并根據(jù)僅在認(rèn)證設(shè)置的策略和權(quán)限范圍內(nèi)使用該存儲設(shè)備。

全域移動磁盤注冊：支持對全域內(nèi)移動磁盤的注冊信息查看、注冊、取消注冊、修改注冊、設(shè)置使用范圍及注冊信息的導(dǎo)出；終端可用移動磁盤：支持對指定終端可用移動存儲設(shè)備狀態(tài)查看；注冊磁盤管理：對存儲設(shè)備注冊為正常讀寫、只讀、加密讀寫策略；執(zhí)行加密讀寫策略時寫入的數(shù)據(jù)都是動態(tài)加解密的，且對客戶透明化；未注冊磁盤管理：支持未注冊磁盤的禁止使用、正常讀寫、只讀等使用方式；安全文件夾：提供一種主動保護(hù)數(shù)據(jù)的方式，在受保護(hù)的客戶端生成多個安全文件夾，支持對安全文件夾用戶名加口令方式的訪問控制，涉密文件在安全文件夾中以安全狀態(tài)存在。

（2）外設(shè)安全管理

計算機各種外設(shè)端口和外部設(shè)備是數(shù)據(jù)存儲和傳輸?shù)闹匾d體和途徑，也是數(shù)據(jù)的歸宿點。管理員通過策略和授權(quán)，可以對用戶使用外部設(shè)備、外設(shè)端口做出具體的可控制的規(guī)范，比如可以允許用戶使用移動存儲設(shè)備，但其信息有效范圍只能在內(nèi)網(wǎng)安全控制域內(nèi)的計算機中。外設(shè)安全管理策略支持在聯(lián)網(wǎng)USBKey存在,聯(lián)網(wǎng)USBKey不存在,離網(wǎng)USBKey存在,離網(wǎng)USBKey不存在狀態(tài)下的控制策略，具體外設(shè)包括：紅外端口；USB端口；串行端口；打印端口；火線端口；藍(lán)牙端口；內(nèi)置只讀光盤驅(qū)動器；內(nèi)置可寫光盤驅(qū)動器；外置光盤驅(qū)動器；鍵盤鼠標(biāo)；PC卡驅(qū)動器等，還支持對設(shè)備管理器的管理，防止客戶端強制手動修改外設(shè)狀態(tài)。

（3）登錄認(rèn)證管理

系統(tǒng)通過PKI體系和數(shù)字證書技術(shù)，將用戶身份與網(wǎng)絡(luò)安全系統(tǒng)完全融合在一起，從而對用戶身份實現(xiàn)了有效的管理，實現(xiàn)了靈活的多種身份認(rèn)證模式。通過“用戶名/口令”或“USB Key”數(shù)字證書認(rèn)證方式登錄，目的是對客戶端主機登錄訪問進(jìn)行加固保護(hù)，防止通過非法途徑盜竊用戶名密碼獲得對主機的控制權(quán)。支持的登錄控制方式包括：基于用戶名/口令的聯(lián)網(wǎng)/離網(wǎng)身份認(rèn)證；基于USB Key數(shù)字證書的聯(lián)網(wǎng)/離網(wǎng)身份認(rèn)證；提供強制、可選和取消身份認(rèn)證的策略；支持使用USB Key認(rèn)證登錄后，拔出USB Key客戶端自動鎖定。

3.2 事中巡查

（1）終端信息查看

通過及時準(zhǔn)確了解終端主機信息，掌握終端主機運行情況、運行運用情況、服務(wù)情況、網(wǎng)絡(luò)運行連接情況，及時發(fā)現(xiàn)安全隱患，保證終端主機在安全的、受管理的環(huán)境下運行。查看的主要信息有：用戶信息、系統(tǒng)信息、服務(wù)驅(qū)動、運行進(jìn)程、網(wǎng)絡(luò)連接、網(wǎng)絡(luò)共享、用戶和組、事件日志、監(jiān)控參數(shù)等。

（2）終端遠(yuǎn)程管理

管理員可以通過遠(yuǎn)程管理安全域內(nèi)的客戶端。如推送通知消息、進(jìn)程控制、服務(wù)控制、時間同步、窗口控制、開關(guān)機設(shè)置和軟件分發(fā)等。

（3）策略報警中心

系統(tǒng)支持選定客戶端策略的查詢與導(dǎo)出、違規(guī)事件實時報警及報警的查詢；支持郵件、聲音、消息報警等報警方式，并支持對報警信息的等級劃分。

3.3 事后審計

（1）資產(chǎn)審計與管理

提供對客戶端軟硬件資產(chǎn)的變更審計與管理，支持終端軟硬件資產(chǎn)的審計、變更查詢，及資產(chǎn)信息的導(dǎo)出，以軟件白名單方式對非法軟件安裝進(jìn)行報警管理；

（2）文件操作行為審計

通過設(shè)置文件操作監(jiān)控策略，對文件操作行為進(jìn)行審計，審計內(nèi)容包括文件的創(chuàng)建、刪除、重命名、復(fù)制、移動、打開、修改，目錄的創(chuàng)建、刪除、重命名、復(fù)制、移動等操作；系統(tǒng)支持對通過移動存儲設(shè)備外帶文件的內(nèi)容還原；

（3）打印行為審計

打印機是信息泄漏的主要途徑之一。系統(tǒng)通過遠(yuǎn)程啟用/禁用的方式來管理與控制客戶端主機的打印權(quán)限，同時支持對打印行為的監(jiān)控功能，可以記錄打印的來源，從而做到對打印行為的審計。

系統(tǒng)支持自動升級、客戶端遠(yuǎn)程卸載、服務(wù)器遠(yuǎn)程管理、服務(wù)器雙機熱備、令牌管理和多級部署等功能。信息安全管理系統(tǒng)通過實體身份認(rèn)證、管理人員身份認(rèn)證、管理人員分級、用戶身份認(rèn)證為自身安全提供保障。

3.4 多級部署、分權(quán)限管理和集中管理

服務(wù)器通過管理控制臺MC進(jìn)行管理，具備多級部署和分權(quán)限管理能力。系統(tǒng)支持在廣域網(wǎng)條件下大規(guī)模多級部署，可以適應(yīng)不同網(wǎng)絡(luò)環(huán)境和不同用戶數(shù)量的需求。上級的服務(wù)器管理員可以通過給下級服務(wù)器的管理員授權(quán)來決定下級管理員所能執(zhí)行的操作權(quán)限，下級管理員只能在上級管理員授權(quán)的范圍內(nèi)進(jìn)行相應(yīng)的管理操作；上級服務(wù)器可以向下級服務(wù)器的安全域統(tǒng)一制定策略，并會自動實施到各個安全域相應(yīng)的客戶端中。支持客戶端代理自動升級和遠(yuǎn)程卸載；支持三層交換網(wǎng)絡(luò)部署；支持服務(wù)器遠(yuǎn)程重啟和關(guān)閉。

4 系統(tǒng)應(yīng)用和部署

通過管理端管理角色的變化，結(jié)合應(yīng)用數(shù)據(jù)服務(wù)器支持多級別、分布式部署的特性，系統(tǒng)支持以下兩種部署方式：單級部署和多級部署。

圖1

4.1 單級部署

單級部署面向簡單結(jié)構(gòu)下的網(wǎng)絡(luò)。在這種部署應(yīng)用模式中，系統(tǒng)管理員按照網(wǎng)絡(luò)結(jié)構(gòu)，可以將整個網(wǎng)絡(luò)劃分為幾個安全域；按照數(shù)據(jù)業(yè)務(wù)模式的類型，業(yè)務(wù)數(shù)據(jù)來源于一個或者多個客戶端，在整個安全域內(nèi)放置一臺應(yīng)用服務(wù)器，如圖1。

4.2 多級部署

多級部署面向大規(guī)模復(fù)雜結(jié)構(gòu)下的網(wǎng)絡(luò)。在這種部署應(yīng)用模式中，系統(tǒng)管理員能夠根據(jù)網(wǎng)絡(luò)結(jié)構(gòu)和部門架構(gòu)，將整個網(wǎng)絡(luò)劃分為多個管理安全域，并可以分別設(shè)置服務(wù)器的上下級接管關(guān)系，通過管理控制臺登錄到上級服務(wù)器中集中管理域內(nèi)的所有下級服務(wù)器和客戶端，如圖2。

圖2

5 結(jié)論

本文設(shè)計了通過對內(nèi)部網(wǎng)絡(luò)管理移動存儲設(shè)備的接入控制與輸出，劃定安全域進(jìn)行信息交換與共享，有效防止內(nèi)部網(wǎng)絡(luò)信息系統(tǒng)和外部網(wǎng)絡(luò)之間使用移動存儲設(shè)備導(dǎo)致的信息泄漏問題。本系統(tǒng)可以適應(yīng)不同網(wǎng)絡(luò)環(huán)境和不同用戶數(shù)量的需求，既可以是物理上屬于同一網(wǎng)絡(luò)的內(nèi)部網(wǎng)絡(luò)，也適用于廣域網(wǎng)絡(luò)大規(guī)模多級部署。

Design and Application of Information Security Management System

WANG Jing
（Border Control Bureau,Ministry of Public Security,Beijing 100062，China）

With the widely application of government information,data security problem of intranet is more and more important.This article starts from the information access control objects and focal area,the system use cryptography,Public Key Infrastructure,intrusion detection and authentication,from the data security management,network security management,equipment safety management,the user identity management and comprehensive security audit of data storage,transmission and use the entire life cycle of control,protection and audit,to establish network security protection system.

Information security;storage device management;security policy

TP309

：A

：2095-2384（2016）02-0008-05

（責(zé)任編輯 儲 歡）

2016-05-20

王靜（1972-），女，遼寧興城人，主要從事信息安全保密方面的工作。