内网安全认证机制的应用实践

内网安全认证机制的应用实践

【摘要】随着信息网络迅速发展，单纯依赖传统的网络边界安全防护措施已经不能有效保障各类系统的应用，必须从网络边界安全与内网安全两个方面综合管理，建立可信的网络安全认证机制。本文对如何构建用户安全认证系统和完善内网安全认证体系进行了实践探索。

【关键词】内网安全认证机制；实践；探索

随着军事信息网络迅速发展，承载大量各类训练、后勤与装备管理等应用系统。单纯依赖传统的网络边界安全防护措施已经不能有效保障各类系统的应用，必须从网络边界安全与内网安全两个方面综合管理，建立可信的网络安全认证机制。如何构建用户安全认证系统，完善内网安全认证体系，已经成为各级网络安全管理部门面前的重要课题。

1.内网可信认证机制的内容体系

从内网安全管理的对象看，包括引起信息安全威胁的内部网络用户、应用环境、应用环境边界和内网通信安全。在现阶段，内网安全不仅仅是安全产品的堆集，必须由传统的、单纯的安全产品部署，拓展为构建可信、可控的立体防护体系。综合分析当前信息安全技术发展，要完善内网安全管理机制，应构建四级可信认证体系。

一是实体可信，就是要建立基于硬件级别的安全防护和访问控制。在最底层对计算机终端进行物理安全加固，使用安全防护卡要从BIOS级实现登录认证和全盘数据保护，以杜绝非法用户从光盘（或USB盘）启动而绕过防护软件窃取数据的现象，包括不让用户随意安装操作系统、卸载软体等。

二是系统可信，就是要建立基于操作系统的身份认证和文件保护。采用基于USB-KEY的双因素认证技术，实现操作系统登录的可信可控，即在计算机硬件启动之后，可以限制用户权限。此外，为防止计算机终端发生系统瘫痪等故障，需要采取相应的系统备份和灾难恢复措施。

三是应用可信，就是要实现对程序安装运行的授权控制。对应用程序进行黑白名单控制，只有经过管理员签名授权的应用程序才能运行使用，未经过安全认证授权的应用不能随意入网，严格规范终端用户对软件程序的使用行为。

四是接入可信，就是要实现可信计算机接入内网的认证管理。网络边界的安全可控是内网安全的基本问题，通过基于802.1X认证协议的可信终端认证子系统，实现网络的安全接入，确保未经网络安全认证的终端不能在网络上运行。

2.统一身份认证平台的技术架构

建立四级可信认证机制的纵深防御体系，实现身份鉴别、介质管理、数据保护、安全审计等基本防护要求，还必须有统一的身份认证系统，便于统一资源管理、统一访问控制，实现单点管理，做到一次登录、全网通行。

建立内部网络公共认证信息服务，一个关键要素是整合各类业务系统的认证和登录，实现统一认证和单点登录，保证各种应用系统以统一的接口嵌入各类应用平台。统一的身份认证系统，独立于各部门应用系统和综合办公系统，其总体架构可采用B/S多层结构，特点是生产具有相对独立的认证功能构件，独立于操作系统平台，便于实现重用，可在各类网络环境下部署和实现。

用户身份信息存储采用LDAP目录。将各类用户和应用系统信息，通过LDAP 目录服务，以层次结构和面向对象数据库的方式进行集中管理，保证数据的一致

性和完整性，为军事信息网络的各类应用系统提供统一的用户身价信息。

对LDAP目录中数据的访问操作由统一身价认证服务Web Services接口实现。Web Services 接口实现。Web Services向各应用系统和用户管理模块提供一致的身份认证接口，应用系统只要调用Web Services，即可实现对LDAP目录中数据的访问，完成身份认证功能。

为保证数据库管理系统可靠运行，对认证用户数据库的管理功能，通过用户注册、用户管理和后台维护三个模块实现。

（1）用户注册模块。提供把用户信息注册到统一身份认证平台的功能，注册审核时使用内部网络办公系统提供的基础数据，进行身份信息比较。

（2）用户管理模块。提供用户登录验证、用户信息查询、用户密码更改等功能。可结合个人身份信息、认证密钥盘、指纹身份识别等信息处理技术实现。

（3）后台维护模块。提供用户信息的检索、审核、修改、平台维护等功能。为内部网络管理员建立后台管理手段，处理用户认证证书丢失、认证信息更换等情况。

3.内网可信安全认证的相关措施

一是落实网络实名制。要求上网用户必须用真实的身份证明申请网络帐号，通过身份认证后，才能使用网络和信息资源。实现网络实名制，可有效加强内部网络管理，防止非法网络接入和窃密行为。可采取基于802.1X协议终端访问控制、个人生物特征身份签别和多重认证密钥等技术手段，确保网络实名制有效落实。

二是完善技术监察机制。要综合运用各种技术监察手段，加强对内部网络流量的检测、识别、统计，对网络中的传输内容和操作行为进行细粒度审计，掌握网络入侵攻击的特征、防范病毒传播、网络破坏和窃密事件发生。加强计算机网络安全检查，对终端接入场所要进行电磁探测，对终端接入线路要经常巡查，及时发现和有效排除安全隐患。

三是健全安全责任制。要坚持层次管理、按级负责的原则，指定专人负责认证信息采集，网络用户各项登记信息要准确；要全时监控认证服务器的运行状态，保障认证渠道的畅通；要加强对终端用户上网帐号、身份鉴别介质及证书信息的管理，做到专网专用、专机专用，严防用户帐号丢失、证书信息泄漏等问题的发生。