国内某集团内网安全保密方案

―1―国内某大型药业集团内网安全保密方案1需求分析国内某大型药业集团有限公司是在国内某大型药业集团公司（某大型药厂）基础上进行整体改制后组建的有限责任公司，是国家大型骨干制药工业企业，为全国医药50强之一。国内某大型药业集团有限公司的开发文档、设计文档和其他设计方案等是公司的核心知识产权，也是公司的核心竞争力所在，随着业界竞争的加剧，这些重要数据被泄密的风险越来越大，必须采用信息安全保密技术手段，结合公司保密管理制度，对企业数字知识产权保护实现有效的保护。考虑到国内某大型药业的实际情况，保密需求总结如下：1)按照保密要求所有部门都划分成不同的保密域，每个域之间只有授权才能够相互访问；2)研发部门等核心部门不上外网，对移动存储设备和内网服务器有严格保密要求；3)人事部门等非核心部门可以上网，但是需要进行监控。2解决方案2.1总体方案通过对国内某大型药业公司的需求分析，本方案将从可信网络保密系统和主机监控审计两个部分来构造民生药业的安全保密体系，并采用Chinasec可信网络安全平台来作为技术支撑。可信网络保密系统主要实现了对数据的保密控制和管理。所有核心的数据服务器，如开发服务器、OA服务器和财务服务器都实施访问控制，访问核心数据的计算机和用户都必须经过授权。可信网络保密系统可以将受管理计算机根据部门职能不同划分成不同的保密子网，在同一个保密子网内可以相互进行正常的数―2―据交换，但如果需要将数据携带到保密子网外的计算机，则需要管理员的授权。可信网络保密系统还可以对移动存储设备授权管理，未授权设备不能正常使用。主机监控审计对所有内网接受保密管理的计算机上文件操作、邮件收发和网页访问等行为都进行完整内容记录，并保存在服务器，可以在一旦发生内网泄密事件的时候作为追查证据，也可以起到相当的威吓作用，防止少数员工故意泄密行为的发生。2.2可信网络保密系统2.2.1虚拟保密子网划分可信网络保密系统可以将内网划分为一个或者多个保密子网（VCN），同一个保密子网内部的计算机可以实现相互自由的数据交换（通过网络或者存储设备），不在同一个保密子网内部的计算机相互之间不能进行正常的数据交换，除非获得管理员的授权。通过保密子网的划分，可以在保障网络统一维护的前提下，对单位内部不同职能部门实现有效的数据隔离，例如财务部和其他部门独立开来，增加内网安全级别，降低安全风险。通过保密子网，还可以有效防止非法外连或者非法接入。非法外连不管是基于Modem、ADSL拨号或者双网卡，都能够有效防止；非法接入不管是通过交换机接入或者通过网线将两台计算机直连，也都能够有效防止。不同保密子网（VCN）之间可以设定信任关系，从而允许他们的计算机之间进行数据交换。2.2.2服务器访问授权可信网络保密系统使用安全网关构建安全服务器区域，受保护的服务器接入到安全网关后面，用户访问服务器要通过安全网关进行身份认证，通过建立安全服务器区可以用来保护单位重要的应用服务器和数据服务器。仅有安装了VCN并且经过管理员批准的客户端计算机能够访问安全服务器区内相应的服务器，有效实现了安全授权，也实现了防止针对服务器的非法接入访问。2.2.3移动存储设备管理可信网络保密系统可以实现对移动存储设备的有效管理。管理员可以设定没―3―有注册的移动存储设备（U盘或者移动硬盘等）默认的使用策略，可选策略包括禁用（没有注册的磁盘禁止使用）、只读（可以将没注册磁盘数据拷入到VCN网内的计算机，但不能拷出数据）或者加密读写（所有写入该未注册磁盘的数据自动加密，加密的数据只能在计算机所在的VCN内使用）。如果移动存储设备要在VCN中获得默认策略以外的权限，则必须经过管理员注册，注册的权限包括：只读、加密读写和直接读写，并可以设定信任域是否也能够使用。加密读写可以有效控制数据的安全共享范围，并且不影响存储设备使用的方便性。直接读写策略则将以普通明文的方式输出数据，存在风险，一般不建议使用。2.3主机监控审计主机监控审计功能作为辅助，主要实现事后审计的功能，对计算机和用户的一些文件操作、邮件收发和其他网络交换活动进行记录和审计。文件操作将记录计算机用户所有文件的操作，包括文件的创建、复制、删除和重命名等，并记录到服务器上。邮件收发审计将记录计算机上所有收发的邮件内容，包括邮件正文和附件，记录到服务器上。用户的FTP和网页访问操作也将被记录到服务器上。管理员可以在控制台，查询这些审计和日志信息，并且根据关键字进行查询。2.4部署图―4―2.5方案实施效果本方案实施后，将可以满足国内某大型药业公司内网安全保密的需要，效果如下：1)网络分域管理，各个域之间只有授权才能够相互访问；2)只有授权的移动存储设备才能使用，可以使用加密读写、只读、域读写等策略；3)研发等核心部门授权计算机和授权人员可以访问公司核心保密数据；4)核心保密数据实施严格的控制，未经授权，不能通过任何途径将数据带出保密内网信息系统；5)授权人员可以将数据安全带出内网，但是其行为和操作将被记录；6)防止非法计算机接入网络，也可以防止内部计算机非法拨号外联导致的数据泄密；7)人事部门等非核心部门可以上网，但上网、文件操作、邮件收发和其他行为将被记录；图1可信网络保密系统部署结构OA服务器Mail服务器File服务器VCNGatewayVCNServerVCNMCVCNSwitcher有VCNAgent的VCN1有VCNAgent的VCN2外来接入计算机―5―3实施步骤根据国内某大型药业公司的情况，建议实施步骤如下：1)进行内网保密规划，制定数据保密管理制度；2)选择内网安全保密产品，确定内网安全解决方案；3)部署内网安全系统。