伊丹

摘 要 個(gè)人計(jì)算機(jī)作為信息化系統(tǒng)中對(duì)信息處理、存儲(chǔ)和傳輸?shù)裙ぷ鞯淖罨締卧?，確保其安全性已成為信息系統(tǒng)信息安全保障工作中的重要環(huán)節(jié)。本文按照信息系統(tǒng)等級(jí)保護(hù)體系對(duì)個(gè)人計(jì)算機(jī)安全保護(hù)的要求，重點(diǎn)提出了在科學(xué)有效地部署個(gè)人計(jì)算機(jī)安全防護(hù)體系中應(yīng)注意的問題以及對(duì)應(yīng)的措施。

關(guān)鍵詞 個(gè)人計(jì)算機(jī);等級(jí)保護(hù);信息系統(tǒng);個(gè)人計(jì)算機(jī)安全

引言

個(gè)人計(jì)算機(jī)，作為信息系統(tǒng)的最基本單元，承載著信息加工、處理、存儲(chǔ)和傳輸?shù)戎匾ぷ鳎浒踩陨婕跋到y(tǒng)安全、數(shù)據(jù)安全、網(wǎng)絡(luò)安全等各個(gè)方面，但是，公司辦公網(wǎng)絡(luò)，個(gè)人計(jì)算機(jī)數(shù)量眾多，個(gè)人計(jì)算機(jī)安全管理難度很大，個(gè)人計(jì)算機(jī)安全業(yè)已成為信息系統(tǒng)信息安全保障工作中的薄弱環(huán)節(jié)，個(gè)人計(jì)算機(jī)安全也是等級(jí)保護(hù)體系中安全建設(shè)的重要部分，因此，如何在等級(jí)保護(hù)環(huán)境下科學(xué)有效部署個(gè)人計(jì)算機(jī)安全防護(hù)體系，是當(dāng)前信息系統(tǒng)信息安全保障工作中迫在眉睫的任務(wù)。

1辦公終端的威脅現(xiàn)狀

目前，信息系統(tǒng)的終端威脅主要來源于以下幾個(gè)方面：①缺乏終端網(wǎng)絡(luò)準(zhǔn)入機(jī)制;②系統(tǒng)漏洞的廣泛存在;③木馬、病毒等惡意軟件的攻擊手段層出不窮;④用戶缺乏安全知識(shí)。有些用戶缺乏必要的信息安全知識(shí)，未能及時(shí)采取合適的安全防護(hù)措施保護(hù)終端，如安全配置不正確、系統(tǒng)補(bǔ)丁安裝不及時(shí)、不完全，防病毒軟件及其他常用軟件未及時(shí)升級(jí)等。有些用戶安全意識(shí)不足，在非涉密終端上處理涉密或敏感信息，直接導(dǎo)致涉密或敏感信息泄密[1]。

2等級(jí)保護(hù)中對(duì)于個(gè)人計(jì)算機(jī)安全保護(hù)的目標(biāo)與要求

在等級(jí)保護(hù)的相關(guān)國家標(biāo)準(zhǔn)中，從信息系統(tǒng)安全保護(hù)等級(jí)的角度對(duì)終端計(jì)算機(jī)系統(tǒng)進(jìn)行了五個(gè)安全等級(jí)的劃分。簡(jiǎn)單來看，對(duì)于個(gè)人計(jì)算機(jī)安全保護(hù)的安全目標(biāo)基本可概括為能夠監(jiān)測(cè)和分析個(gè)人計(jì)算機(jī)安全狀態(tài)，可以控制和記錄終端的操作行為，統(tǒng)一配置個(gè)人計(jì)算機(jī)安全策略，以使終端“可信、可控、可用、可管”，保護(hù)終端正常、安全地運(yùn)行。從基本要求來看，對(duì)個(gè)人計(jì)算機(jī)安全保護(hù)提出了技術(shù)和管理兩方面的基本要求，組織機(jī)構(gòu)在實(shí)施等級(jí)保護(hù)工作時(shí)可根據(jù)相關(guān)國家標(biāo)準(zhǔn)來完善各等級(jí)信息系統(tǒng)的個(gè)人計(jì)算機(jī)安全保護(hù)。

3基于等級(jí)保護(hù)部署個(gè)人計(jì)算機(jī)安全防護(hù)體系

個(gè)人計(jì)算機(jī)安全防護(hù)是一個(gè)復(fù)雜的問題，通常一個(gè)組織中的終端地理位置分散，用戶使用水平參差不齊，承載業(yè)務(wù)不同，安全需求各異，這決定了個(gè)人計(jì)算機(jī)安全建設(shè)的復(fù)雜性和多元性，要根據(jù)終端用戶的接入位置、所屬部門、業(yè)務(wù)需要等條件來選擇和執(zhí)行適當(dāng)?shù)陌踩雷o(hù)策略，既不能一刀切，也不能對(duì)用戶放任自流，缺乏控管。個(gè)人計(jì)算機(jī)安全防護(hù)要符合安全等級(jí)保護(hù)的要求，根據(jù)不同的安全等級(jí)保護(hù)的要求制定切合實(shí)際的個(gè)人計(jì)算機(jī)安全防護(hù)策略[2]。按照安全等級(jí)保護(hù)的基本思想和技術(shù)要求，要做到科學(xué)有效的部署個(gè)人計(jì)算機(jī)安全防護(hù)體系，我們認(rèn)為如下幾個(gè)方面值得注意：

（1）身份認(rèn)證、接入控制身份認(rèn)證是個(gè)人計(jì)算機(jī)安全的“大門”，進(jìn)入“大門”就可以獲得終端計(jì)算機(jī)系統(tǒng)的資源。用戶身份認(rèn)證是對(duì)使用終端的人員進(jìn)行身份鑒別，只有指定的人員才能使用終端，并接受系統(tǒng)的監(jiān)管，實(shí)現(xiàn)授權(quán)操作。終端網(wǎng)絡(luò)準(zhǔn)入控制是指設(shè)置準(zhǔn)入的安全策略對(duì)接入設(shè)備進(jìn)行驗(yàn)證，根據(jù)個(gè)人計(jì)算機(jī)安全性檢查結(jié)果，確定終端接入方式。非授權(quán)用戶接入網(wǎng)絡(luò)需要身份認(rèn)證，在用戶身份認(rèn)證時(shí)，可綁定用戶接入MAC、IP、接入設(shè)備IP、端口等信息，進(jìn)行強(qiáng)身份認(rèn)證，防止賬號(hào)盜用、限定賬號(hào)所使用的終端，認(rèn)證成功但安全性檢查沒通過的終端，放入隔離區(qū)自動(dòng)引導(dǎo)其完成主機(jī)完整性修復(fù);認(rèn)證和安全性檢查全部通過的終端計(jì)算機(jī)才能接入內(nèi)部網(wǎng)絡(luò)。

（2）訪問控制對(duì)有權(quán)訪問網(wǎng)絡(luò)的終端根據(jù)其賬戶身份定義的安全等級(jí)進(jìn)行檢查和訪問控制，不安全的終端被隔離在修復(fù)區(qū)中，待修復(fù)完成后方可訪問其有權(quán)訪問的區(qū)域;其次，要對(duì)訪問控制做到細(xì)致控制，如果只控制能否訪問網(wǎng)絡(luò)就太過粗放，真正的訪問控制是要做到能根據(jù)賬號(hào)享有的權(quán)限嚴(yán)格控制其的訪問范圍，將內(nèi)部核心數(shù)據(jù)資源劃分為不同的安全等級(jí)，根據(jù)賬號(hào)的不同權(quán)限控制其可訪問的不同的安全等級(jí)范圍內(nèi)的資源。例如：核心的業(yè)務(wù)資源信息、高級(jí)機(jī)密信息等列在敏感信息的等級(jí)中，嚴(yán)格控制可訪問其的終端和賬號(hào);而郵件服務(wù)器和普通文件服務(wù)器可劃分在安全等級(jí)較低的范圍內(nèi)，供更多的人使用。

（3）數(shù)據(jù)加密數(shù)據(jù)安全越來越受到重視，特別是公司、公安、保密等部門來說，內(nèi)部數(shù)據(jù)安全是亟待解決的重要問題。一些電腦外帶使用丟失或被盜后，重要數(shù)據(jù)被盜取造成泄密，內(nèi)部無讀取權(quán)限的員工有意或無意打開敏感數(shù)據(jù)等給內(nèi)網(wǎng)數(shù)據(jù)安全帶來極大挑戰(zhàn)。目前，應(yīng)對(duì)數(shù)據(jù)存儲(chǔ)安全的主要策略是數(shù)據(jù)加密技術(shù)，采用軟件加密或者硬件加密技術(shù)，可以確保計(jì)算機(jī)硬盤數(shù)據(jù)的密文存儲(chǔ)，杜絕因數(shù)據(jù)竊取、硬盤更換、丟失等造成的數(shù)據(jù)泄密。

（4）系統(tǒng)加固、病毒防范要確保終端系統(tǒng)軟件安全，對(duì)受控的終端進(jìn)行基線安全檢查，對(duì)不滿足基線安全要求的終端通過個(gè)人計(jì)算機(jī)安全管理系統(tǒng)和補(bǔ)丁管理系統(tǒng)、防病毒系統(tǒng)聯(lián)動(dòng)，及時(shí)向終端分發(fā)經(jīng)過安全測(cè)評(píng)的漏洞補(bǔ)丁和更新、升級(jí)病毒庫和惡意代碼庫;制定安全威脅掃描策略，定期掃描和清除病毒、木馬、后門、間諜軟件、網(wǎng)頁掛馬、網(wǎng)絡(luò)釣魚軟件等惡意軟件。不安裝未經(jīng)第三方安全測(cè)試的可疑補(bǔ)丁、插件、更新程序和其他工具軟件，防止終端自身存在安全漏洞被木馬、病毒利用[3]。

（5）終端行為審計(jì)終端上網(wǎng)行為的審計(jì)作為一種技術(shù)手段，對(duì)于防止用戶進(jìn)行非法訪問及事后追蹤、審計(jì)是十分必要的。主要包括以下內(nèi)容：①網(wǎng)絡(luò)文件輸出審計(jì)：對(duì)主機(jī)通過共享文件等方式進(jìn)行的網(wǎng)絡(luò)文件輸出行為進(jìn)行審計(jì)和記錄。②上網(wǎng)訪問行為審計(jì)和控制：可對(duì)用戶上網(wǎng)訪問的網(wǎng)頁等進(jìn)行審計(jì)和記錄;以黑白名單的方式對(duì)用戶的網(wǎng)頁訪問行為進(jìn)行控制。③文件保護(hù)及審計(jì)：保護(hù)和監(jiān)控選定用戶終端的指定目錄和網(wǎng)絡(luò)共享文件的讀取、修改、刪除權(quán)限;對(duì)設(shè)定目錄文件的操作進(jìn)行審計(jì)，包括文件創(chuàng)建、打印、讀寫、復(fù)制、改名、刪除、移動(dòng)等的記錄。④用戶權(quán)限審計(jì)：審計(jì)用戶權(quán)限更改及操作系統(tǒng)內(nèi)用戶增加和刪除。以上絕大多數(shù)安全策略和審計(jì)都可以通過相應(yīng)的軟件和硬件來完成，所以選擇性能強(qiáng)大的能夠滿足本單位安全策略和審計(jì)要求的軟件和硬件至關(guān)重要。首先是功能強(qiáng)大和全面，這樣才能滿足個(gè)人計(jì)算機(jī)安全的當(dāng)前和未來的需求。在選擇軟硬件時(shí)，一定要重視其綜合管理能力，不要只是放在某個(gè)具體功能上面。另外，具有自主知識(shí)產(chǎn)權(quán)的國產(chǎn)產(chǎn)品是首選的產(chǎn)品。

（6）安全策略是個(gè)人計(jì)算機(jī)安全防護(hù)體系建設(shè)的核心，所有的個(gè)人計(jì)算機(jī)安全防護(hù)建設(shè)都應(yīng)該圍繞預(yù)先制定的安全策略來執(zhí)行。對(duì)于終端的安全策略應(yīng)包括以下內(nèi)容：①操作系統(tǒng)的安全策略。例如密碼策略、賬號(hào)策略、本地策略、軟件策略、服務(wù)策略、外設(shè)策略、審核策略、屏保策略、匿名訪問限制、建立撥號(hào)連接限制等等。這些安全配置的正確應(yīng)用對(duì)于各種軟件系統(tǒng)自身的安全防護(hù)具有重要作用。操作系統(tǒng)安全策略可由第三方安全產(chǎn)品或操作系統(tǒng)本身強(qiáng)制執(zhí)行。②分配用戶權(quán)限。針對(duì)不同組織機(jī)構(gòu)的具體情況，嚴(yán)格分配和授權(quán)終端用戶的使用權(quán)限。如網(wǎng)絡(luò)訪問權(quán)限，系統(tǒng)訪問權(quán)限、授權(quán)用戶的使用資源。③互聯(lián)網(wǎng)訪問策略。一項(xiàng)分析統(tǒng)計(jì)報(bào)告表明，很多辦公終端感染病毒或流氓軟件，均源于惡意網(wǎng)站和P2P的海量下載。如果不對(duì)終端用戶訪問互聯(lián)網(wǎng)加以控制，各種防護(hù)措施將不能有效地防范所有攻擊。④制定外來人員訪問策略，嚴(yán)格控制和管理外來終端的接入和訪問權(quán)限。對(duì)外來終端實(shí)施準(zhǔn)入控制，可采用先進(jìn)的網(wǎng)絡(luò)準(zhǔn)入控制軟件，嚴(yán)格限制未經(jīng)授權(quán)的終端接入內(nèi)部網(wǎng)絡(luò)，避免由此造成的安全隱患。終端準(zhǔn)入控制技術(shù)是指在端點(diǎn)連接到網(wǎng)絡(luò)之前對(duì)其安全狀態(tài)進(jìn)行審計(jì)和適度更新，從而將蠕蟲和病毒屏蔽在網(wǎng)絡(luò)之外。

（7）領(lǐng)導(dǎo)重視和功能強(qiáng)大全面的軟硬件的選擇，兩者缺一不可。如果只是強(qiáng)調(diào)軟硬件的強(qiáng)大，那么就有可能購買以后，置之高閣或者無法正常使用。必須首先取得領(lǐng)導(dǎo)對(duì)本單位個(gè)人計(jì)算機(jī)安全策略的重視，對(duì)信息部門實(shí)施的安全策略的首肯，并且同意堅(jiān)決地貫徹實(shí)施，那么購買的安全軟硬件才可以充分發(fā)揮其應(yīng)有的作用。還有一點(diǎn)要特別注意的是：本單位或本系統(tǒng)最好購買同一的軟硬件安全產(chǎn)品，這樣才有助于安全策略的部署和實(shí)施，才可以防止不同軟硬件之間的沖突和不兼容性問題，這些問題的發(fā)生有時(shí)候是很不容易解決的，或者解決起來會(huì)增加很多成本和時(shí)間，還會(huì)給本單位的安全管理帶來不必要的麻煩[4]。

4結(jié)束語

信息安全等級(jí)保護(hù)制度是國家信息安全保障工作的基本制度，經(jīng)過十多年的成長已經(jīng)成為一個(gè)廣泛接受的概念。相關(guān)的政策規(guī)范及配套標(biāo)準(zhǔn)已推出，系統(tǒng)定級(jí)工作也已全面開展。通過相關(guān)政策規(guī)范及配套標(biāo)準(zhǔn)的指導(dǎo)，組織機(jī)構(gòu)在實(shí)施信息安全建設(shè)工作時(shí)可保證安全建設(shè)的合規(guī)性與有效性，保障信息系統(tǒng)應(yīng)用。在信息系統(tǒng)終端防護(hù)系統(tǒng)建設(shè)方面，應(yīng)采取技術(shù)與管理并重策略，以相關(guān)政策規(guī)范和配套標(biāo)準(zhǔn)為指導(dǎo)的理論依據(jù)，以科學(xué)有效的技術(shù)和管理手段為實(shí)施原則，為信息系統(tǒng)建立遵循等級(jí)保護(hù)思路的信息系統(tǒng)終端防護(hù)技術(shù)。

參考文獻(xiàn)

[1] 周德銘.落實(shí)安全等級(jí)保護(hù)增強(qiáng)信息系統(tǒng)安全[J].信息網(wǎng)絡(luò)安全，2009（5）：10，19.

[2] 衡靜.個(gè)人計(jì)算機(jī)安全防范迫在眉睫[J].金融電子化，2007（3）：53-54.

[3] 信息安全技術(shù)信息系統(tǒng)安全等級(jí)保護(hù)基本要求：GBT22239-2008[S].北京：中國標(biāo)準(zhǔn)出版社，2008.

[4] 信息安全技術(shù)終端計(jì)算機(jī)系統(tǒng)安全等級(jí)技術(shù)要求：GA/T671-2008[S].北京：中國標(biāo)準(zhǔn)出版社，2008.