涉密网络内网信息安全解决方案模版

X涉密单位信息中心内网安全管理平台

建设方案

北京明朝万达科技有限公司

2006.08

目录

========================================================

1. 需求分析 ........................................................................................................................... - 1 -

1.1X涉密单位信息中心内网安全管理现状 (1)

1.2X涉密单位信息中心内网安全需求分析 (1)

2. 解决方案................................................................................................................................ - 3 -

2.1设计原则 (3)

2.2总体方案 (3)

2.3分域管理 (4)

2.4用户管理 (5)

2.5身份认证 (6)

2.6终端安全 (7)

2.7主机监控 (8)

2.8负载均衡和多机热备 (9)

2.9系统配置 (10)

2.10系统部署图 (12)

2.11方案效果 (12)

3. 售后服务.............................................................................................................................. - 14 -

4. 成功案例.............................................................................................................................. - 14 -

1. 需求分析

1.1 X涉密单位信息中心内网安全管理现状

X涉密单位作为国家的重要部委机关，在进行信息网络建设的时候，一般对安全性做了成熟的考虑，但是主要基于传统的网络安全，主要是边界防护设备、灾难备份、病毒防护以及简单的身份认证措施。随着分散在各个内网主机和服务器上的有价值的信息越来越多，内网安全成为信息中心不得不重视的问题，也已经成为国家各部委，政府机关等主要的安全威胁和建设要务之一。国家保密局在2006年出台的《涉密内网计算机信息系统保密管理规定》（以下简称“保密规定”）中对内网安全管理提出了严格的要求。

1.2 X涉密单位信息中心内网安全需求分析

⏹计算机的集中管理和监控

计算机终端是计算机网络的主要组成部分，也是用户操作和数据使用的主要环境。因此，对于内部信息系统来说，其安全威胁的起源（包括导入病毒、泄密信息和发起针对内部的攻击等）也主要集中在计算机终端中，按照保密规定要求，涉密信息网络应当采取系统安全保密监控管理等技术措施，防止内部人员进行违法操作，例如打印保密文件等，对内部人员的操作必须提供详细的日志审计功能。必须采用有效的措施对网络中所有的计算机终端进行有效的集中管理和监控，并针对性进行桌面资源使用权限的集中授权管理，降低安全隐患和风险。

⏹信息网络分域分级管理

内网的计算机终端存储和访问大量的内部甚至涉及国家机密的信息，这些信息分布在不同部门和不同人的计算机当中。“涉密信息网络必须坚持等级保护的原则，应依据国家保密标准《涉及国家秘密的信息系统分级保护技术要求》确定系统等级，必须按照不同等级进行逻辑划分，不同等级之间的网络不能互通，以防止信息泄密。对于包含多个安全域的信息系统，各安全域可以分别确定保护等级。不同安全域应当实行分域管理，不同安全域之间原则上不允许通讯，只有相

互信任的安全域才能够相互通讯。”因此，需要对不同部门的计算机进行逻辑分域管理（不仅仅是网络VLAN的划分），并且根据计算机的使用性质，设置不同等级的保护策略，从而避免秘密信息的随意传播和泄密。

⏹非法计算机的隔离管理

信息中心内网规模较大，怀有恶意的内部和外来人员会寻找机会将自己的计算机接入内部的涉密网络，这就可能导致信息泄密以及其它威胁信息安全事件的发生。这样的案例近年来层出不穷，因此，保密规定明确要求涉密信息网络中应当采取加密保护等技术措施，以防止信息在网络上传输时被窃取。涉密信息和数据必须按照保密规定进行采集、存储、处理、传递、使用和销毁，计算机信息系统存储、处理、传递、输出的涉密信息也必须采取加密保护等技术手段，防止泄密。所以，必须采取有效的措施，对所有数据交换的途径进行统一有效的管理，隔离本单位计算机以外的终端。

⏹移动存储设备的管理

移动存储设备是另一个主要的信息传递通道。信息中心根据工作需要，经常会通过U盘或移动硬盘等交换数据，这就大大增加了信息泄密的可能性。“保密规定”第十一条中明确指出：未经允许或者未经管理员注册的计算机信息媒体或载体（指计算机硬盘、移动硬盘、U盘、软盘、磁带及其它设备），一律不得在涉密信息网络中使用。在涉密计算机上使用计算机信息媒体或载体（指计算机硬盘、移动硬盘，U盘、软盘、磁带及其它设备）必须有详细的登记和使用记录，包括何时使用，进行了哪些操作等等。因此，必须对内网中移动存储设备的使用进行统一的管理和授权：禁止不受信任的设备接入内网；受信任的设备明确使用范围，使其可以在内网正常使用，但不能将数据带出内网。

⏹统一用户身份认证

信息中心内部人员数量众多，所属部门，职责和权限各不相同，如果某个人员访问了其权限以外的信息资源，如重要计算机，数据库服务器等，将会对内网的信息安全构成极大的威胁。现有的资源控制手段基本上是用户名－口令的形式，比如windows登录名和密码等，很容易被侦听，破解和窃取。基于此考虑，保密规定明确要求涉密信息网络和涉密内网中的计算机，必须保证专人专机，专