专网安全防护系统规划设计
黄望宗
【摘 要】针对专用网络用户的业务信息安全防护需求,提出在同一网络按需交互或隔离多密级信息的规划思路,从安全防护规划原则、安全技术体系规划、安全管理体系规划和安全防护系统实现等方面进行了详细阐述；对专用网络安全防护系统的组成与功能进行设计,并按多密级信息防护能力配置网络安全系统与设备,构建了专用网络的安全防护体系.%This article in view of private network users business information security protection needs.puts for-warw in the same network as need interactive or isolation various secret level of information of planning ideas, from a security protection planning principles, security technology system planning, security management planning and security protection system of realization and so on in detail,to private network security protection of composition and function design,and according to various secret level of information protection capacity configuration network security system and equipment,construct the private network of security protection system.
【期刊名称】《光通信技术》
【年(卷),期】2012(036)005
【总页数】3页(P60-62)
【关键词】专用网络;安全;防护;体系;规划
【作 者】黄望宗
【作者单位】中国人民解放军92941部队
【正文语种】中 文
【中图分类】TP916
0 引言
web应用防护系统对于政府机关、科研单位、企业、军队等单位，目前一般拥有自己的专用网络，涉及的网络业务信息类型往往包括公开非密、秘密（或商业秘密）、机密（或商业机密）等。不同的业务信息允许在不同的网络环境下共享与交互，公开非密信息一般允许在因特网上交互，秘密
和机密信息只能在独立的自有局域网上交互，大部分单位涉及的秘密和机密信息也必须分开不同网络运行[1]。有的单位建设了几套网络同时运行，每个用户会因业务信息密级不同配置2台以上计算机来适应多套不同密级专用网络使用。这种情况的出现势必会造成网络设备、光纤纤芯、服务器、用户计算机等设备和资源的重复建设。因此，我们提出在多网合一基础上来规划不同级别的安全防护体系，实现同一网络运行多密级网络信息按需交互或隔离的规划思路，并配置多密级的网络安全设备，构建专网的安全防护系统。
1 规划设计原则
安全防护系统规划设计过程中遵循以下原则：物理隔离原则，即不得直接或间接连入因特网和绝密级网络，必须实行物理隔离；分级管理原则，对网络中处理、传输的信息进行分级保护，高密级信息不得流向低密级区域，低密级用户不得访问高密级信息；整体性原则，网络安全防护体系规划必须采取技术和管理相结合的安全保密措施，坚持思想教育、制度约束和技术管控“三管齐下”；动态性原则，网络脆弱性的改变和威胁攻击技术的发展，必须及时完善安全保密措施，对技术和设备的升级换代。
2 安全系统规划
网络信息系统安全框架分为安全技术体系和安全管理体系两个部分，这两部分既相对独立，又有机结合，形成整体安全框架[2]。采用此框架体系，做到管理与技术结合，形成有机的安全体系。
2.1 安全技术体系规划
根据分域保护安全策略来规划设计专网涉密安全体系，将其整个涉密信息系统划分为多个安全域，对每个安全域分别采用相应的安全保护措施加以保护。在满足业务、功能和地域等特性的同时，保证整体运行的可用性、保密性和完整性的基础上，将专网涉密系统网络划分为服务区、非密级用户区、秘密级用户区、机密级用户区等四大安全区域，服务区安全域分为公共服务区、秘密级应用服务区和机密级核心服务区。专网安全防护系统使用逻辑隔离方法进行信息定级[3]，涉密业务由密子网承载，非涉密业务由明子网承载。非涉密业务指不涉密的公共信息服务或其它业务，应达到二级防护标准；涉密业务包括秘密和机密，秘密网应达到三级防护标准，机密网应达到四级防护标准。安全域定级为：公共服务区和非密用户区定为非密；秘密级应用服务区和秘密级用户区定为秘密；机密级核心服务区和机密级用户区定为机密。
2.2 安全管理体系规划
根据GJB5612-2006《军队计算机信息系统安全保密防护要求及检测评估方法》，建立一个完善的安全管理体系，安全管理体系包括组织机构、制度管理和人员管理三方面：组织机构下属保密委员会、执行层，执行层下属业务部门、安全保密领导小组和网络管理中心；制度管理下属人员职责、物理环境与设施安全管理、设备与介质管理、运行与开发安全管理、信息安全保密管理和奖惩培训等相关制度管理；人员管理下属保密教育、人员培训、人员审查、签定保密协议、岗位设置、人员考核和人员调离。它规定对信息安全系统进行管理的诸多方面内容，为信息安全提供管理方面的指导和支持。
3 专网安全防护系统实现
通过对专网渉密信息系统的分析研究，从网络运行安全、信息安全和安全保密管理等方面综合考虑，依照等级化保护进行安全防护体系设计与实现，保证涉密网中传输数据信息的安全性、完整性、真实性及抗抵赖性，形成事前防护，事中安全检测，事后审计取证于一体的安全防护体系，达到实体安全、应用安全、系统安全、管理安全，以满足专网涉密信息系统安全防护要求。
3.1 安全防护系统功能与要求
专用网络安全防护系统的主要功能是保证专用网络达到机密级防护要求。
①从网络安全角度考虑应具备功能：与其他网络实施物理隔离[4]，不同部门之间应根据需要实施逻辑隔离措施，对用户进行访问控制；具有网络防病毒措施，能通过网络实时更新病毒库；具有网上事件审计记录能力；具有对违规事件进行监视、报警和控制处理的措施；向控制区域外传输信息应具有网络加密措施防止信息的非法窃取和篡改；全网建立统一的身份认证体系；设立网络安全管理中心，能够对网络的安全设备等资源进行管理，对用户违规行为进行监控；交换机的端口、用户计算机的MAC地址和IP地址三者绑定。
②从用户安全角度考虑要求应具备功能：涉密网用户采用专用部件认证；用户计算机应安装防病毒软件并及时升级；用户计算机的操作系统应及时安装补丁程序；用户计算机应关闭不需要的系统服务；用户应有互不相同的用户名和操作口令，保证身份唯一性；涉密网计算机禁止安装无关应用软件[5]。
③从应用安全角度考虑要求应具备功能：应用系统软件应及时安装补丁程序；涉密信息的应
用系统应具有对用户进行身份认证、对信息进行细粒度授权访问控制功能；公共信息服务器与涉密信息服务器分设，只提供专用服务；文电、业务处理等应用系统应具有签名验证、密级标识等功能；提供信息服务的WWW服务器具有网页防篡改措施，防止对信息内容非法修改。
3.2 系统组成
专网安全防护系统由防火墙、入侵检测、网络审计、漏洞扫描、内网安全管理与审计、认证/授权/访问控制、安全设备管理平台、整盘保护、文档加密、防病毒等系统设备组成。拓扑示意图如图1所示。
在非密、秘密、机密级安全域和服务器安全域等特定应用安全域利用分别配置防火墙设备进行边界防护，设定严格访问控制策略，对区域间通信进行审计，将日志信息及时传递给安全管理中心。
入侵检测系统对访问应用服务器的连接进行深层检测：对各级安全域的访问会话进行监控，记录访问者的操作行为；与防火墙系统进行联动，对非授权行为或攻击事件进行自动阻断，并进行记录；将安全事件汇总给安全管理中心，支持全局统一审计要求[6]。