提高辦公自動(dòng)化網(wǎng)安全構(gòu)想

霍領(lǐng)樂(lè)+郭新海+秦宏偉+耿琳瑩

【摘要】 本文針對(duì)當(dāng)前計(jì)算機(jī)安全形勢(shì)和辦公自動(dòng)化網(wǎng)的建設(shè)需求，在深入研究LPS系統(tǒng)的基礎(chǔ)上，為實(shí)現(xiàn)安全保密工作的精細(xì)化管理，提高工作效率，本文設(shè)計(jì)了一種新的辦公自動(dòng)化網(wǎng)絡(luò)架構(gòu)及部署方案。

【關(guān)鍵字】 網(wǎng)絡(luò)安全 LPS系統(tǒng) 辦公自動(dòng)化 網(wǎng)絡(luò)架構(gòu)

一、引言

目前，計(jì)算機(jī)應(yīng)用越來(lái)越廣泛，計(jì)算機(jī)、計(jì)算機(jī)網(wǎng)絡(luò)在大幅度提高了工作效率，加快科研進(jìn)度的同時(shí)，由其帶來(lái)的信息安全問(wèn)題也日益更加受到廣泛的關(guān)注。一方面是由于信息本身具有易復(fù)制的特性，利用這個(gè)特性，信息更容易受到難以控制和追溯的盜取威脅；另一方面是由于網(wǎng)絡(luò)所具有的遠(yuǎn)程信息存取功能，使信息更容易受到破壞、更改和盜取[1]。

本文設(shè)計(jì)了一種新的辦公自動(dòng)化體系模型，該模型有效實(shí)現(xiàn)了辦公自動(dòng)化網(wǎng)絡(luò)的用戶(hù)身份認(rèn)證管理、對(duì)終端計(jì)算機(jī)遠(yuǎn)程協(xié)助管理，安全事件的處理機(jī)制、以及對(duì)局域網(wǎng)用戶(hù)操作的審計(jì)等，能夠有效解決內(nèi)網(wǎng)安全管理問(wèn)題，提高計(jì)算機(jī)終端防護(hù)能力，有力的增強(qiáng)了辦公自動(dòng)化的層次管理和精細(xì)化管理。

二、辦公自動(dòng)化網(wǎng)現(xiàn)狀

據(jù)網(wǎng)絡(luò)安全調(diào)查顯示：超過(guò)85%的安全威脅來(lái)自網(wǎng)絡(luò)內(nèi)部、有6%來(lái)自?xún)?nèi)部未授權(quán)的存取。以上數(shù)據(jù)充分說(shuō)明了內(nèi)部人員因素的嚴(yán)重危害。來(lái)自?xún)?nèi)部的威脅已經(jīng)成為危害網(wǎng)絡(luò)安全的首要因素。信息網(wǎng)絡(luò)需要高度保密，而絕大多數(shù)的安全事件都是從終端計(jì)算機(jī)上發(fā)起的。由于內(nèi)部網(wǎng)絡(luò)監(jiān)控的缺位，有許多漏洞可以被內(nèi)部人員利用以截取資料。

如今，信息資料的數(shù)量日益激增，并且每天都在不斷產(chǎn)生新的信息，如果對(duì)終端計(jì)算機(jī)的管理缺乏手段，造成失泄密是必然的。只有從終端計(jì)算機(jī)實(shí)施管理和防護(hù)，這些不安全因素才能從終端源頭被控制。因此，辦公自動(dòng)化網(wǎng)建設(shè)，必須應(yīng)滿(mǎn)足以下幾點(diǎn)需求：一是對(duì)網(wǎng)絡(luò)內(nèi)部終端計(jì)算機(jī)實(shí)時(shí)監(jiān)控和管理。二是對(duì)移動(dòng)存儲(chǔ)設(shè)備的有效管理和認(rèn)證。三是控制非法計(jì)算機(jī)接入的手段。四是對(duì)終端計(jì)算機(jī)的全面審計(jì)。

三、新型辦公自動(dòng)化網(wǎng)的設(shè)計(jì)部署方案

3.1 需求分析

單位的辦公自動(dòng)化網(wǎng)安全需求與現(xiàn)狀對(duì)照表如表1所示，現(xiàn)有產(chǎn)品和LPS滿(mǎn)足內(nèi)部網(wǎng)絡(luò)管理需求的情況對(duì)照情況如表2所示。

依據(jù)現(xiàn)階段計(jì)算機(jī)網(wǎng)絡(luò)安全保密形勢(shì)實(shí)際，一個(gè)安全系統(tǒng)管理應(yīng)該有著如下的部署效果：

（1）網(wǎng)絡(luò)內(nèi)部的數(shù)據(jù)安全交換平臺(tái)

依據(jù)于強(qiáng)大的域數(shù)據(jù)交換體系。有第三方能夠獲得傳輸過(guò)程中的數(shù)據(jù)時(shí)，在內(nèi)部網(wǎng)絡(luò)內(nèi)安全域之間的任何數(shù)據(jù)在交換過(guò)程中是安全的。有效的防止了任何非法外聯(lián)的主機(jī)竊取重要數(shù)據(jù)。

（2）主機(jī)的資源審計(jì)和管理平臺(tái)

對(duì)于網(wǎng)絡(luò)內(nèi)部需要管理的重要主機(jī)信息進(jìn)行實(shí)時(shí)的審計(jì)，并且根據(jù)相應(yīng)的審計(jì)信息定制科學(xué)的安全策略。

（3）主機(jī)外設(shè)端口管理平臺(tái)

對(duì)于一切可能通過(guò)外設(shè)形成泄密的行為進(jìn)行控制，有效地防止了核心數(shù)據(jù)區(qū)的服務(wù)器被第三方通過(guò)各種網(wǎng)絡(luò)接口直接從服務(wù)器將機(jī)密數(shù)據(jù)盜竊，保障了核心區(qū)的數(shù)據(jù)安全。

（4）磁盤(pán)管理平臺(tái)

能夠提供磁盤(pán)管理手段，保證了數(shù)據(jù)的存儲(chǔ)介質(zhì)——磁盤(pán)的科學(xué)使用，可以規(guī)定每臺(tái)主機(jī)上磁盤(pán)的存儲(chǔ)方式（正常讀寫(xiě)、保密讀寫(xiě)）及其磁盤(pán)的數(shù)據(jù)有效范圍（單機(jī)有效、域有效、第三方有效），從而可以保證了重要數(shù)據(jù)在未授權(quán)的前提下，不可能被帶出網(wǎng)絡(luò)，解決了用戶(hù)身份和數(shù)據(jù)身份的訪(fǎng)問(wèn)控制問(wèn)題。

（5）突發(fā)病毒、木馬的應(yīng)急響應(yīng)措施

對(duì)于任何可能形式的突發(fā)病毒、木馬，都可以歸納出其特征進(jìn)程及服務(wù)，我們可以保障在該病毒、木馬的防病毒軟件升級(jí)包出現(xiàn)之前，有效的隔離已被感染的主機(jī)，并且強(qiáng)行禁止響應(yīng)的 進(jìn)程和服務(wù)，保證在病毒木馬出現(xiàn)直到補(bǔ)丁出現(xiàn)這段“真空時(shí)間”內(nèi)主機(jī)的安全。

通過(guò)安全系統(tǒng)工程的實(shí)施，建立完整的網(wǎng)絡(luò)信息系統(tǒng)的安全防護(hù)體系，從安全策略、安全域、安全系統(tǒng)、安全管理多個(gè)層次[2]，多個(gè)角度，構(gòu)建網(wǎng)絡(luò)內(nèi)部信息安全保障技術(shù)框架，實(shí)現(xiàn)：有效管理移動(dòng)存儲(chǔ)設(shè)備，防止非法（未注冊(cè)）的移動(dòng)存儲(chǔ)設(shè)備的接入。網(wǎng)絡(luò)內(nèi)部信息與網(wǎng)絡(luò)資源受控合法地使用。對(duì)所需保護(hù)的主機(jī)進(jìn)行詳細(xì)的管理和審計(jì)。

內(nèi)部安全解決方案的設(shè)計(jì)目標(biāo)是在最小安全投資的前提下，最大限度的管理網(wǎng)絡(luò)內(nèi)部信息的安全[3]。

3.2 設(shè)計(jì)部署方案

服務(wù)器通過(guò)管理控制臺(tái)進(jìn)行管理，具備分級(jí)部署和分級(jí)管理的能力[4]。能夠?qū)崿F(xiàn)：

（1）廣域網(wǎng)多級(jí)部署

滿(mǎn)足多用戶(hù)和不同網(wǎng)絡(luò)環(huán)境的需求。

（2）集中授權(quán)分級(jí)管理

下級(jí)管理員只能在獲得上級(jí)管理員授權(quán)，并在其授權(quán)的范圍內(nèi)進(jìn)行相應(yīng)的管理操作。

（3）信息自動(dòng)集中

在審計(jì)和備份時(shí)，上級(jí)服務(wù)器能夠自動(dòng)收集下級(jí)各個(gè)服務(wù)器的日志信息。

（4）策略自動(dòng)分發(fā)

上級(jí)服務(wù)器可以向下級(jí)服務(wù)器的安全域統(tǒng)一制定策略，并會(huì)自動(dòng)實(shí)施到各個(gè)安全域相應(yīng)的MA中。支持安全策略狀態(tài)切換。部署框圖如圖1。

舉例說(shuō)明：如圖2把總數(shù)據(jù)服務(wù)器放于自動(dòng)化工作站機(jī)房?jī)?nèi)，下設(shè)管理域包括A點(diǎn)子系統(tǒng)服務(wù)器、B點(diǎn)子系統(tǒng)服務(wù)器、C點(diǎn)子系統(tǒng)服務(wù)器、D點(diǎn)子系統(tǒng)服務(wù)器。并同時(shí)指定一臺(tái)主機(jī)作為總管理控制臺(tái)對(duì)各個(gè)單位的子系統(tǒng)服務(wù)器進(jìn)行分級(jí)管理。以A點(diǎn)為例，A點(diǎn)辦公樓內(nèi)放一臺(tái)LPS子系統(tǒng)服務(wù)器，連接A點(diǎn)辦公計(jì)算機(jī)200臺(tái)?？偣芾砜刂婆_(tái)管理員可以直接對(duì)A點(diǎn)的所有計(jì)算機(jī)進(jìn)行管理；也可以在A點(diǎn)所有計(jì)算機(jī)內(nèi)抽取一臺(tái)作為管理控制臺(tái)，一方面來(lái)接受總管理控制臺(tái)的指令，另一方面直接對(duì)A點(diǎn)管理域內(nèi)的所有計(jì)算機(jī)進(jìn)行直接管控。同時(shí)總管理控制臺(tái)管理員還可以隨時(shí)登錄到A點(diǎn)任何一臺(tái)辦公計(jì)算機(jī)上進(jìn)行安全檢查。

用戶(hù)使用時(shí)根據(jù)用戶(hù)身份或數(shù)據(jù)身份進(jìn)入系統(tǒng)，使用的主機(jī)上磁盤(pán)的存儲(chǔ)方式被規(guī)定為正常讀寫(xiě)或保密讀寫(xiě)，磁盤(pán)的數(shù)據(jù)有效范圍被規(guī)定為單機(jī)有效、安全域有效或第三方有效。主機(jī)信息可以被進(jìn)行實(shí)時(shí)的審計(jì)。各種外設(shè)接口被控制。切斷了一切可能通過(guò)外設(shè)形成泄密的行為。

四、結(jié)束語(yǔ)

針對(duì)計(jì)算機(jī)網(wǎng)絡(luò)安全管理實(shí)際，辦公自動(dòng)化網(wǎng)應(yīng)實(shí)現(xiàn)對(duì)計(jì)算機(jī)設(shè)備的安全管理，對(duì)非法計(jì)算機(jī)的接入管理、局域網(wǎng)內(nèi)計(jì)算機(jī)的授權(quán)通信、對(duì)計(jì)算機(jī)外聯(lián)的控制管理，計(jì)算機(jī)的軟硬件資產(chǎn)管理、用戶(hù)身份認(rèn)證管理、對(duì)終端計(jì)算機(jī)遠(yuǎn)程協(xié)助管理，安全事件的處理機(jī)制、以及實(shí)現(xiàn)對(duì)局域網(wǎng)用戶(hù)操作的審計(jì)等等。如果相關(guān)技術(shù)能夠在辦公計(jì)算機(jī)安全網(wǎng)絡(luò)中廣泛應(yīng)用，必將有效解決內(nèi)網(wǎng)安全管理問(wèn)題，提高計(jì)算機(jī)終端防護(hù)能力，有力的增強(qiáng)了辦公自動(dòng)化的層次管理和精細(xì)化管理。

參 考 文 獻(xiàn)

[1]鄭嵬.一個(gè)小型內(nèi)網(wǎng)安全產(chǎn)品的研究與實(shí)現(xiàn). 湖北工業(yè)大學(xué). 2007

[2]康仲生 高斌 王登坡 陳汶《信息系統(tǒng)安全等級(jí)保護(hù)基本要求》在信息系統(tǒng)規(guī)劃、建設(shè)、整改中的實(shí)施》電子政務(wù). 2008年3期

[3]蒙海濤. 內(nèi)網(wǎng)信息安全分析與探討. 計(jì)算機(jī)光盤(pán)軟件與應(yīng)用. 2010年10期

[4]孫金萍. 基于H.248協(xié)議的視頻通信系統(tǒng)信令體系研究. 山東科技大學(xué)， 2007