涉密网络内网信息安全解决方案模版

Forpersonaluseonlyinstudyandresearch;notforcommercialuseX涉密单位信息中心内网安全管理平台建设方案北京明朝万达科技有限公司2006.08目录========================================================1.需求分析.................................................................................................错误!未定义书签。1.1X涉密单位信息中心内网安全管理现状.............................................错误!未定义书签。1.2X涉密单位信息中心内网安全需求分析.............................................错误!未定义书签。2.解决方案......................................................................................................错误!未定义书签。2.1设计原则................................................................................................错误!未定义书签。2.2总体方案................................................................................................错误!未定义书签。2.3分域管理................................................................................................错误!未定义书签。2.4用户管理................................................................................................错误!未定义书签。2.5身份认证................................................................................................错误!未定义书签。2.6终端安全................................................................................................错误!未定义书签。2.7主机监控................................................................................................错误!未定义书签。2.8负载均衡和多机热备............................................................................错误!未定义书签。2.9系统配置................................................................................................错误!未定义书签。2.10系统部署图..........................................................................................错误!未定义书签。2.11方案效果..............................................................................................错误!未定义书签。3.售后服务......................................................................................................错误!未定义书签。4.成功案例......................................................................................................错误!未定义书签。1.需求分析1.1X涉密单位信息中心内网安全管理现状X涉密单位作为国家的重要部委机关，在进行信息网络建设的时候，一般对安全性做了成熟的考虑，但是主要基于传统的网络安全，主要是边界防护设备、灾难备份、病毒防护以及简单的身份认证措施。随着分散在各个内网主机和服务器上的有价值的信息越来越多，内网安全成为信息中心不得不重视的问题，也已经成为国家各部委，政府机关等主要的安全威胁和建设要务之一。国家保密局在2006年出台的《涉密内网计算机信息系统保密管理规定》（以下简称“保密规定”）中对内网安全管理提出了严格的要求。1.2X涉密单位信息中心内网安全需求分析计算机的集中管理和监控计算机终端是计算机网络的主要组成部分，也是用户操作和数据使用的主要环境。因此，对于内部信息系统来说，其安全威胁的起源（包括导入病毒、泄密信息和发起针对内部的攻击等）也主要集中在计算机终端中，按照保密规定要求，涉密信息网络应当采取系统安全保密监控管理等技术措施，防止内部人员进行违法操作，例如打印保密文件等，对内部人员的操作必须提供详细的日志审计功能。必须采用有效的措施对网络中所有的计算机终端进行有效的集中管理和监控，并针对性进行桌面资源使用权限的集中授权管理，降低安全隐患和风险。信息网络分域分级管理内网的计算机终端存储和访问大量的内部甚至涉及国家机密的信息，这些信息分布在不同部门和不同人的计算机当中。“涉密信息网络必须坚持等级保护的原则，应依据国家保密标准《涉及国家秘密的信息系统分级保护技术要求》确定系统等级，必须按照不同等级进行逻辑划分，不同等级之间的网络不能互通，以防止信息泄密。对于包含多个安全域的信息系统，各安全域可以分别确定保护等级。不同安全域应当实行分域管理，不同安全域之间原则上不允许通讯，只有相互信任的安全域才能够相互通讯。”因此，需要对不同部门的计算机进行逻辑分域管理（不仅仅是网络VLAN的划分），并且根据计算机的使用性质，设置不同等级的保护策略，从而避免秘密信息的随意传播和泄密。非法计算机的隔离管理信息中心内网规模较大，怀有恶意的内部和外来人员会寻找机会将自己的计算机接入内部的涉密网络，这就可能导致信息泄密以及其它威胁信息安全事件的发生。这样的案例近年来层出不穷，因此，保密规定明确要求涉密信息网络中应当采取加密保护等技术措施，以防止信息在网络上传输时被窃取。涉密信息和数据必须按照保密规定进行采集、存储、处理、传递、使用和销毁，计算机信息系统存储、处理、传递、输出的涉密信息也必须采取加密保护等技术手段，防止泄密。所以，必须采取有效的措施，对所有数据交换的途径进行统一有效的管理，隔离本单位计算机以外的终端。移动存储设备的管理移动存储设备是另一个主要的信息传递通道。信息中心根据工作需要，经常会通过U盘或移动硬盘等交换数据，这就大大增加了信息泄密的可能性。“保密规定”第十一条中明确指出：未经允许或者未经管理员注册的计算机信息媒体或载体（指计算机硬盘、移动硬盘、U盘、软盘、磁带及其它设备），一律不得在涉密信息网络中使用。在涉密计算机上使用计算机信息媒体或载体（指计算机硬盘、移动硬盘，U盘、软盘、磁带及其它设备）必须有详细的登记和使用记录，包括何时使用，进行了哪些操作等等。因此，必须对内网中移动存储设备的使用进行统一的管理和授权：禁止不受信任的设备接入内网；受信任的设备明确使用范围，使其可以在内网正常使用，但不能将数据带出内网。统一用户身份认证信息中心内部人员数量众多，所属部门，职责和权限各不相同，如果某个人员访问了其权限以外的信息资源，如重要计算机，数据库服务器等，将会对内网的信息安全构成极大的威胁。现有的资源控制手段基本上是用户名－口令的形式，比如windows登录名和密码等，很容易被侦听，破解和窃取。基于此考虑，保密规定明确要求涉密信息网络和涉密内网中的计算机，必须保证专人专机，专机专用，未授权用户不得使用内网计算机，内网计算机的使用必须有明确的登记和使用记录，防止计算机非法使用。操作人员离开计算机时，必须关闭计算机或者锁定计算机，防止在操作人员离开期间计算机被别人盗用。第九条中指出：必须对涉密内网中的数据库服务器和其他应用服务器采取严格的技术安全保密措施，防止未授权用户和未授权的计算机访问受保护的服务器。因此，必须要有一套强大和完善的用户身份认证体制，对信息中心的人员进行认证和授权。每个人只能访问到权限范围内的计算机，文件和网络资源等。2.解决方案2.1设计原则根据信息中心内网的规模、管理情况和国家保密局保密规定要求，本解决方案根据以下原则进行信息中心内网安全管理平台的设计。1)平台应该统一规划，分步实施，实施各个阶段应该保持良好的衔接；2)平台与应用相关性应该尽可能低，支持应用系统的升级和新应用的扩展；3)平台的选型必须是基于现有的成熟产品和系统，具有可靠的稳定性；4)平台应具有良好的可管理性和可维护性，有统一的管理中心；5)平台必须具有良好的易用性和兼容性，不会改变业务系统的主要结构，也不会对业务系统的操作人员带来过多的习惯改变；6)平台应该符合国家制定的相关安全管理规范，取得相关资质。2.2总体方案通过以上的需求分析，本方案将以“保密规定”为指导，从Chinasec可信网络认证系统，Chinasec可信网络保密系统和Chinasec可信网络监控系统三个部分来构造内网安全管理和保密体系，并采用Chinasec可信网络安全平台来作为技术支撑。Chinasec可信网络认证系统提供了统一用户身份认证的手段，通过USBKey硬件来确认用户身份，并在此基础上进行认证和各项授权。认证系统还为所有用户提供了个人安全磁盘，确保用户的重要的数据不被窃取。Chinasec可信网络保密系统通过在内网中划分逻辑上的“虚拟安全域”的方式实现了信息中心内网的分域分级管理，所有的内网主机按照职能和级别不同被划入不同的“虚拟安全域”中进行管理，隔离非本单位的计算机，并提供移动存储设备的授权管理。Chinasec可信网络监控系统提供了对内网计算机终端进行集中的资源和用户行为授权管理，并提供详细的审计记录的功能，减少单位内网的安全漏洞和风险，提高了管理效率。Chinasec可信网络安全平台是整个安全体系的基础，实现了内网办公计算机的统一管理，可信网络保密系统和可信网络认证系统都在平台上运行。2.3分域管理虚拟保密子网划分Chinasec可信网络保密系统可以将内网划分为一个或者多个保密子网（VCN），同一个保密子网内部的计算机可以实现相互自由的数据交换（通过网络或者存储设备），不在同一个保密子网内部的计算机相互之间不能进行正常的数据交换，除非获得管理员的授权。通过保密子网的划分，可以在保障网络统一维护的前提下，对信息中心内部不同的部门等实现有效的数据隔离，例如重要技术部门和其他部门独立开来，增加内网安全级别，降低安全风险。通过保密子网，还可以有效防止非法外连或者非法接入。非法外连不管是基于Modem、ADSL拨号或者双网卡，都能够有效防止；非法接入不管是通过交换机接入或者通过网线将两台计算机直连，也都能够有效防止。不同保密子网（VCN）之间可以设定信任关系，从而允许他们的计算机之间进行数据交换。服务器访问授权Chinasec可信网络保密系统使用安全网关构建安全服务器区域，受保护的服