建立基于安全域的涉密信息系统

在《涉及国家秘密的信息系统分级保护技术要求》中指 出“在涉密信息系统可根据信息密级、系统重要性和安全策 略划分不同的安全域。不同的安全域可单独确定等级，并应 按照相应等级的保护要求进行保护。同一等级的不同安全域 可根据风险分析的结果和实际安全需求，选择采用不同的保 护 要 求 进 行 保 护 。”
分级保护思想在实现过程中，划分安全域是一个基本但 很重要的策略，通过明确划分安全域可以为实现访问控制、 边界防护提供直接的依据，为不同等级的涉密信息安全保密 防护提供了技术基础。本文从划分安全域、针对安全域采取 不同等级的安全策略、安全域之间的访问控制，以及如何管 理安全域等方面出发，谈谈对建设涉密信息系统的认识。
对于使用数据库的应用系统，在系统实现时，须能实现 用户的访问权限控制，防止信息泄漏。这对涉密系统中的应 用系统的选型、开发都提出更为严格的要求。
其它安全技术措施。在涉密系统建设过程中，还需要采 取的安全技术措施有：补丁系统、防病毒系统、终端监控、 安全审计、非法外联监控、数据存储、系统及数据的备份 与恢复、入侵监控、电磁泄漏防护、安全评估与加固等，
网络层访问控制。网络层实施的访问控制措施主要有： ＶＬＡＮ 间访问控制、防火墙安全策略、在服务器上配置访问 规则等，在本文前面已有说明。
应用层访问控制。应用层访问控制相对比较复杂，和每 一个应用系统有密切的联系。按照保密要求，涉密信息和重 要信息的访问控制，主体应控制到单个用户，客体应控制到 信息类别。涉密系统中应用建议实现单点登录，更利于用户 的权限分配与访问控制。
【探讨】
４０
2007.08
密 级 ）。 设备分级。按照处理的信息最高密级划分为：内部非涉
密设备、秘密级设备、机密级设备。 安全域的划分及访问原则如下表所示：
２． 实现安全域之间的隔离 用户群的隔离。因为所有的用户都是通过网络交换机接 入的，不同级别的用户 ＶＬＡ Ｎ 群之间通过在交换机上划分 ＶＬＡＮ 实现用户群之间的隔离，不同级别的 ＶＬＡＮ 群之间禁止 互通，同一 ＶＬＡＮ 群的不同 ＶＬＡＮ 之间可以实现有限制的连 通。ＶＬＡＮ 之间的连通与隔断通过在交换机上配置访问控制列 表实现。目前流行的主流交换机基本都可以实现 ｖｌａｎ级别的访 问控制，技术实现难度不大。 服务器区的隔离。不同级别的服务器区之间、服务器区 与用户区之间的隔离用防火墙来实现。防火墙是一种传统的 安全设备，很方便实现不同安全区域之间的网络访问控制。 网络管理区域的隔离。网络管理区域是一个特殊的区 域，因为网络维护管理工作需要通过此区域内设备完成，需 要很多特殊权限，因此此区域的用户、设备访问权限比较 大，应定义为机密级，应通过防火墙与其它区域隔离。 通过实施安全访问控制规则，可方便实现“禁止高密级
涉密信息系统的建设过程中，所遵循的标准中有两个是 很 重 要 的 ：《 涉 及 国 家 秘 密 的 信 息 系 统 分 级 保 护 技 术 要 求 》 和《涉及国家秘密的信息系统分级保护管理规范》。在围绕 着涉密信息系统展开的活动中，如何体现分级保护是一个关 键，笔者以为在 ２ 个层次上都应体现分级保护的理念。在信 息系统层面上，应首先确定系统的整体安全等级，而在一个 信息系统内可以划分不同等级的安全域。确定一个信息系统 的整体安全等级工作往往先行，等到设计一个涉密信息系统 的时候，系统等级已经确定了。那么，在设计时的一个首 要问题就是如何确定系统内的安全域。
在实际应用中，完全可以把硬件的 ＵＳＢ－ ＫＥＹ 令牌与域
【探讨】
2007.08
４１
用户登录过程结合使用，可以大大增强身份鉴别的安全性。 对网络设备、安全设备、安全软件系统的访问采取用户
名 ／口令的方式进行身份鉴别。对于网络设备的访问用户，定 义不同安全级别的用户，分别提供查看、配置的权利，网 络设备的运行日志由审计员审计。对于防火墙、ＩＤ Ｓ、防水 墙、漏洞扫描等安全类设备及软件，按照分权的原则分别定 义系统管理员、安全员、审计员。
安全域有关的技术实现
１． 根据密级划分安全域 一个涉密信息系统中，往往存在着不同级别的设备、用 户、应用。以一个机密级的涉密系统为例，并不代表所有 的信息设备、用户、应用都按照机密级要求实施防护，可 以根据不同密级、功能划分为不同的安全域。 用户分级。系统内用户按照涉密程度不同，划分为内部 非涉密用户、秘密级用户、机密级用户。用户级别的划分 按照其接触到的最高密级确定本人涉密等级。所有的非涉密 用户划分到一个规定范围的 ＶＬＡＮ 群内，所有秘密级用户划 分到一个 ＶＬＡＮ 群内，所有机密级用户划分到一个 ＶＬＡＮ 群 内。根据实际需要，一个 Ｖ Ｌ Ａ Ｎ 群可以包含一个或多个 ＶＬＡＮ 。 网络服务及应用分级。系统内应用按照涉密程度以及提 供的网络功能不同，划分为内部、秘密级、机密级三个级 别，根据这种指导思想，网络服务及应用可划分为：非涉 密应用区、秘密级应用区、机密级应用区、网络管不仅 仅是对普通用户行为的审计，还应针对系统管理员、安全员 的行为进行审计。为此，除了常用的用户行为审计、网络 访问审计之外，还应对网络设备、安全设备、操作系统、 应用系统设置日志系统，以监督系统管理员、安全员的行 为。
涉密载体管理问题。涉密载体包括磁介质、光碟、纸 质介质，因为这些信息载体往往不受物理空间限制，使用人 员复杂，采取的技术手段往往难以防范，更加依靠管理手段 实现人员的访问限制，所以在实际操作中，应制定切实可行 的流程，指定每一个环节的责任人，做好载体交接工作，确 保每一个环节有据可查。尤其是电子化载体应有技术处理手 段，避免交叉使用中的信息恢复产生的信息泄漏。
系统管理人员权限过大的问题。系统管理员是一个特殊 的群体，既要维护系统运行，行使管理职能，如果在系统 运行时不采取措施，系统管理可以拥有控制系统的权利，可 以访问系统中任何信息，这对涉密系统而言是不可接受的。 所以，在实现时应限制系统管理员无权访问用户私有信息， 同时通过审计制度，用审计工作来制约管理员的行为。
一个典型的应用层访问控制的案例就是网络文件服务。 通过 ｗ ｉｎｄ ｏｗ ｓ 活动目录，可以为每一位登录域的用户重新定 向 用 户 的“ 桌 面 ”、“ 我 的 文 档 ”到 相 应 级 别 的 文 件 服 务 器，用户的个人重要文档可以存放在“我的文档”文件夹 内，ｗ ｉｎｄ ｏｗ ｓ 系统会自动利用 Ｎ ＴＦＳ 权限、共享权限限制用 户无权访问他人的私有文档，即使系统管理员可以集中备份 文件服务器内的用户文档，却没有权限查看用户的私有文 档。再通过启用文件服务器的审计策略，限制系统管理员通 过取得文件夹的“所有权”去访问其它用户的私有文档。这 样即可实现不同用户之间的访问权限控制，同时又限制了系 统管理员的权限。
均是涉密系统重要组成部分。 ４． 安全管理 安全管理在涉密系统建设过程中，起着极重要的作用。
一般应从人员管理、物理环境与设施管理、设备与介质管 理、运行与开发管理、信息保密管理几方面入手，采取必 要的管理措施，保证系统的运行与信息保密性。
在实践中，涉密系统既要保证使用的方便性，又要在系 统中实施各种安全策略，对系统管理而言是一个挑战。笔者 根据实际经验，列举几个易忽视的问题：
信息由高等级安全域流向低等级安全域”。 ３． 针对不同安全域实施安全策略 物理安全。涉密信息系统的物理安全应从中心机房建
设、区域安全控制、设备安全、介质安全几方面着手。中 心机房是系统中最为关键之处，中心机房的选址、建设标准 应按照 ＢＭ Ｂ１７、ＢＭ Ｂ２０ 中规定执行。对于信息系统中重点 部位应采取更为严格的区域控制、监控措施，如要害部门、 部位的物理防护措施、管理措施就应区别于其它的部位；对 于不同密级的设备、介质采取的安全防护技术与管理措施应 有所区别，密级越高，采取的技术手段越多，管理越要细 致、规范，这些方面都应体现出积极防范，突出重点的思 想。
安装活动目录后，Ｗ ｉｎｄ ｏｗ ｓ 系统的安全性完全与活动目 录集成，用户授权管理和目录进入控制已经整合在活动目录 当中了（包括用户的访问和登录权限等）。通过实施安全策 略，实现系统内用户登录身份认证，集中控制用户授权。
引入基于策略的管理。活动目录服务通过设置组策略把 相应各种策略（包括安全策略）实施到组策略对象中，组 策略对象可以是域、组织单元。组策略对象设置决定目录对 象和域资源的进入权限，什么样的域资源可以被用户使用， 以及这些域资源怎样使用等。
具备智能信息复制能力，活动目录使用多主机复制，允 许在任何域控制器上而不是单个主域控制器上同步更新目录， 不仅具有容错的优点，同时可保证目录信息是最新的。
（２ ）身份鉴别策略实现 涉密信息系统内，由系统管理员为每一位合法用户设定
用户名，普通用户只能以域用户身份登录计算机，在登录时 必需输入指定的用户名和私人口令。通过组策略指定不同级 别用户口令的复杂性、长度、使用周期、锁定策略，可以 指定每一个用户可登录的机器、可以安装的软件以及其它诸 多权限控制。可以说通过 ｗ ｉｎｄ ｏｗ ｓ 域的安全策略同时实现了 身份鉴别与权限分配的功能。
【探讨】
2007.08
３９
建立基于安全域的
涉密
信息系统
■ 中电集团第二七研究所 季崇高
认识安全域
随着计算机信息系统在办公、科研、设计、生产等工 作中越来越广泛、深入的运用，给工作带来便利的同时，也 给安全保密工作带来了新的问题，防止计算机信息系统的泄 密，已成为保密工作中一项重要任务与挑战。国家对于涉密 信息系统的建设非常重视，相关部委也发文对涉密信息系统 的建设明确指出涉密信息系统实行分级保护制度。
设备的登录密码长期不变。系统中用户的口令与密钥可 以做到按照规定的周期、复杂度进行更换，却容易忽视网络 中设备的访问口令管理，在系统实施完毕，要么是管理人员 疏于管理，要么是不会操作，使得网络中交换机、路由器、 防火墙、ＩＤ Ｓ 等设备的口令长期不变，时间长了容易造成口 令不再具备私密性，威胁到网络的安全。
（１ ）身份鉴别 身份鉴别在涉密系统中有着举足轻重的地位，实现身份
鉴别的方式很多。目前国内已有专门针对涉密系统开发的身 份鉴别系统，但笔者认为也可以借助其它方式实现身份鉴 别。如在网络中实施 Ｗ ｉｎｄ ｏｗ ｓ ｓｅｒｖｅｒ 活动目录就是一个可行 的方法。实施 ｗ ｉｎｄ ｏｗ ｓ 活动目录，对于用户的现实意义在于 可以充分利用活动目录的优点。主要体现在：