商密網分類分域安全防護體系設計

劉英軍

（中航西飛民用飛機有限責任公司，陜西 西安 710089）

隨著涉密網絡應用的不斷開展和人員安全防范意識的不斷提升，安全問題一直是我國商密網信息系統(tǒng)建設中面臨的重大難題，雖然內網安全管理系統(tǒng)產品不斷涌現(xiàn)，加強了身份認證效率，科學規(guī)范了個體終端使用情況，但也帶來更多渠道的風險，所以每個工作系統(tǒng)都必須安裝代理程序，擁有獨立的工作體系和管理體系，各自為政卻又相互連接，這樣的防護策略才能以點帶面，消除負面反應。

一、商密網工作現(xiàn)狀

企業(yè)的商業(yè)秘密信息是指不能被公眾所知悉，且能為企業(yè)帶來巨大的經濟收益或潛在商業(yè)價值的相關技術或數(shù)據(jù)。在各行各業(yè)不斷向國際化發(fā)展、經濟貿易逐漸頻繁的當下，市場競爭日益激烈，企業(yè)的商業(yè)秘密信息就代表競爭優(yōu)勢，也是企業(yè)立足的根基，一旦泄露，會帶來無法估量的損失，嚴重者還會損害國家利益?；诖耍瑖也课M織發(fā)布了相關法律法規(guī)對商業(yè)秘密網絡和信息進行妥善保護，要求各大企業(yè)做好商業(yè)信息保密工作。總的來說，我國大型企業(yè)眾多，商密網作為儲存、處理企業(yè)商業(yè)秘密信息的網絡平臺，同時也協(xié)助企業(yè)進行著人力、財務等工作內容，是保障企業(yè)發(fā)展和員工日常工作的基礎設施，各單位應該推進覆蓋式建設。但實際工作過程中，各企業(yè)單位差異較大，有的僅代表自身的經濟效益，有的涉及到商業(yè)秘密，更有企業(yè)每天的工作都會處理國家秘密，因此，網絡的保障體系應該根據(jù)單位的涉密程度進行等級劃分，避免浪費資源。另外，隨著我國社會的不斷進步，科學技術的不斷發(fā)展，云端儲存云計算、大數(shù)據(jù)分析、移動辦公等技術不斷應用，商密網和互聯(lián)網之間的數(shù)據(jù)交互越來越頻繁，工作效率大幅提升的同時，也出現(xiàn)更多渠道的安全風險，所以企業(yè)必須要確保滿足日常經營需求的同時，做好商業(yè)秘密保護工作，細化商密網絡安全防護體系設計以達到預期效果。綜上，商業(yè)秘密信息直接關乎企業(yè)的市場競爭力，合理建設商業(yè)秘密網絡，加強密閉保護力度勢在必行。基于此，本文在分析企業(yè)不同業(yè)務場景的基礎上，明確商密網分類分域安全體系的內容和安全區(qū)域劃分界限、相關功能和技術措施，為商密網安全防護體系建設提供參考意見，幫助管理人員明確管理難點和優(yōu)化方向。

二、分類分域防護理念

商密網建立的初衷是力求保障企業(yè)商業(yè)利益，避免商業(yè)秘密信息外泄，核心工作就是保障數(shù)據(jù)安全、降低網絡風險。實施過程中要嚴格按照國家頒發(fā)的法律法規(guī)進行防護體系建設，加強預防力度，開展防護體系優(yōu)化。其中最先進的理念就是分類分域防護理念，其內容是將業(yè)務應用場景按照數(shù)據(jù)交互情況進行等級劃分，通過不同的類別進行定向防護。其內部的分類方法主要是數(shù)據(jù)縱深防御體系，根據(jù)不同單位和互聯(lián)網交互的程度，分為強關聯(lián)，弱關聯(lián)和無關聯(lián)三個級別，這樣分類是因為我國商業(yè)秘密生成和使用體系已經相對成熟，商密網開始和互聯(lián)網技術進行不斷交互，因此帶來更多的網絡風險，所以現(xiàn)階段的安全防護工作必須和互聯(lián)網技術相關聯(lián)。等級劃分之后，工作人員需要根據(jù)不同場景配置針對性的防護策略，把安全防護需求相同的工作內容劃分到同一區(qū)域，配備定向的防護方案，形成完善的防線。

三、分類分域內容

（一）業(yè)務場景分類

通過對當前工作信息的統(tǒng)一處理，絕大部分信息系統(tǒng)可以根據(jù)其是否包含商業(yè)數(shù)據(jù)和與互聯(lián)網的關聯(lián)程度以及數(shù)據(jù)流傳的方向來進行分類，且通常會分為強關聯(lián)，弱關聯(lián)和無關聯(lián)三種：

1.強關聯(lián)

強關聯(lián)的業(yè)務場景及業(yè)務系統(tǒng)是主要部署在互聯(lián)網環(huán)境內，數(shù)據(jù)的傳輸調用檢索分析都需要和互聯(lián)網數(shù)據(jù)頻繁交互，不會涉及到商業(yè)數(shù)據(jù)，也不會產生商業(yè)秘密數(shù)據(jù)，所以該單位可以放置在互聯(lián)網，根據(jù)不同的系統(tǒng)等級進行簡單的定向防護即可。該業(yè)務單位的管控重點就是涉及商業(yè)秘密的區(qū)域和互聯(lián)網區(qū)域要進行強行隔離，其他信息都可以在互聯(lián)網區(qū)進行正常運作，重點做好區(qū)域邊界和互聯(lián)網內安全檢測工作即可。

2.弱關聯(lián)

弱關聯(lián)是業(yè)務系統(tǒng)會部署在商業(yè)秘密區(qū)域內，權限僅向內部人員開放，和互聯(lián)網之間的交互少、頻率低，且交互過程中不會涉及商業(yè)秘密數(shù)據(jù)，也不會進行商業(yè)秘密業(yè)務，這類工作單位應該強化內部商密網絡和互聯(lián)網訪問控制。將安全防護重點放在互聯(lián)網區(qū)和商密網區(qū)之間的隔離、各區(qū)之間的安全防護工作和內部人員的權限管理上。

3.無關聯(lián)

無關聯(lián)是業(yè)務整個系統(tǒng)都必須放置在商密網內，工作過程中不會使用互聯(lián)網或者極少與互聯(lián)網產生交互，日常工作會涉及商業(yè)秘密信息，同時也會產生較多的商業(yè)秘密數(shù)據(jù)。因此類工作應該嚴格控制互聯(lián)網訪問權限，加強數(shù)據(jù)保護工作。主要安全防護方向仍然是加強互聯(lián)網區(qū)域和商密網區(qū)域之間的隔離管理，同時還要增加數(shù)據(jù)庫審查行為、審查權限管控等多方面措施，如果數(shù)據(jù)較為重要，則可以使用白名單策略，通過固定權限識別來獲取數(shù)據(jù)，提升穩(wěn)定性。

（二）區(qū)域邊界防護

1.邊界分類原理

為確保防御體系完善，網絡安全區(qū)域需規(guī)劃精確，內部多個層面要進行網絡連接歸類，包括：互聯(lián)網邊界、三方邊界、內外邊界、橫向邊界和縱向邊界。針對性的風險識別措施包括：首先，互聯(lián)網邊界是來自互聯(lián)網內部多方面的風險威脅，主要包括服務器攻擊，黑客入侵、木馬病毒、bug、垃圾郵件、信息泄露等。其次是三方邊界，主要的風險來源于工作人員濫用口令，模糊不清的口令識別系統(tǒng)和信息泄露。第三是縱向邊界，縱向邊界主要是包括人員濫用職權、越俎代庖，導致信息泄露或密碼病毒大面積傳播。最后是橫向邊界，風險來源于未經授權訪問、誤操作、人員綜合素質缺失、口令模糊不清和信息泄露等。

2.風險識別渠道

不同安全領域之間形成諸多網絡邊界，但因為每個領域的防護等級和防護要求都存在差異，所以在邊界加強安全防護、確保適應兩方的防護等級是必要的?；诖耍紫纫獙崿F(xiàn)集中防護，在各安全領域邊界的基礎上，部署防火墻和入侵檢測系統(tǒng)，當存在IP 地址非法瀏覽時，會立刻做出反應隔絕并報告，同時輔助異常流量監(jiān)測技術，判斷各設備是否處于正常運行狀態(tài)，若出現(xiàn)不正當?shù)牧髁孔兓?，則立刻確定位置，探測原因，擴大防護范圍，提升防護頻率，確保區(qū)域安全。其次是等級保護，每個不同區(qū)域都有自身獨立的等級和體系，所以邊界需要針對兩側的等級進行定向防護，按照統(tǒng)一的手段進行安全防護，確保質量。最后是縱深防護，在區(qū)域劃分過程中，從外部網絡連接到內部核心網絡時，會經過多層安全篩查系統(tǒng)，該系統(tǒng)會判斷瀏覽行為是否合法，手段是否正當，進而從內到外形成防護體系，若出現(xiàn)不正當行為，直接攔截并提醒。

四、系統(tǒng)防護功能

（一）用戶身份確認

智能終端用戶的各項操作都會認證個人數(shù)字證書，并連接獨立的IP 地址，由網絡接入，通過認證后，借由PC 端登錄認證完畢后，借助移動儲存設備的憑證接入網站內部。這個過程需要數(shù)字證書或驗證碼來明確用戶權限，確保安全后方可通過防火墻進入到內部信息庫，通常情況下，會有以下幾個步驟來判斷權限：

1.計算機登錄認證

當用戶使用計算機登錄自身信息系統(tǒng)安全防護裝置，便會開啟第一道門檻，明確權限，提升認證安全強度，并對個人終端的安全防護系統(tǒng)進行連接，實時信息交換將登陸所需要的數(shù)字證書和智能驗證碼結合錄入的分析系統(tǒng)中，若該用戶需要登錄終端，且具有足夠權限的證書設備時則會同意，并打開防火墻。若用戶個人證書未通過認證或驗證碼時，則會被系統(tǒng)攔截，防火墻會將動態(tài)信息傳遞到工作人員智能終端中。為防護網絡安全，客戶在使用計算機時，必須確保個人證書設備始終鎖定在該計算機內部，如果過程中使用PIN 碼登錄并解開鎖定時，用戶登錄信息自動失效。

2.網絡終端接入認證

該方法是為防止非法設備接入商密網，對接入的設備進行嚴格的身份認證，確保系統(tǒng)所需的證書滿足需求才能接入網絡。同時，網絡接入屏障應該基于原有網絡拓撲結構方可使用，不能影響上層應用服務。通常情況下，網絡接入和認證體系是以IEEE 802.1x 協(xié)議為核心，采取接入端口點到點連接的方式來判斷接入設備權限。同時在去往內部進行接入設備的認證和控制物理層面進行端口信息交換，確保符合規(guī)格需求。技術層面要通過端口連接的用戶設備和內部的個人信息證書向驗證權限正確，且信息精確才可以訪問局域網內的資源，弱認證信息缺失或無法認證都會立刻斷開鏈接。該接入憑證之所以能和用戶智能終端系統(tǒng)中的數(shù)字證書結合并提供認證權限，是因為其本身可以利用內部智能芯片讀取證書，辨別真?zhèn)?，明確詳細信息，大幅增加網絡安全性和客戶管理能力。這種方法也可以防止其他人以本人名義介入網絡，導致信息泄露，這種網絡終端接入認證方式更加靈活，可以針對客戶使用的系統(tǒng)進行多方面組合配置，多樣化的接入方式和設備可以提升準確率，同時對全過程進行詳細審計，標注認證失敗的位置，必要時自動報警。

3.登錄應用認證

數(shù)字證書設備作為網絡認證的基本信息，用戶在登錄時會第一時間進行登錄認證工作，結合管理員所提出的訪問權限進行查驗合格后，便完成系統(tǒng)的安全認證工作，一旦用戶注冊完畢，即可以開放對應權限。

（二）數(shù)據(jù)加密保護

1.文件儲存加密

這種加密方式通常會在本地硬盤提供一個位置來存放重要文件，并且此空間為加密不可見的，通過固定的加密算法，可以實現(xiàn)智能終端對文檔完全透明化的操作和使用，即使在使用過程中出現(xiàn)文檔遺失情況，也會因為不具備共同的局域網IP 而無法使用，這樣就可以確保商密網中的一些核心數(shù)據(jù)控制在安全可靠的環(huán)境內，有效保障核心數(shù)據(jù)的安全性。另外，這種方式也可以方便信息傳遞，對于重要文件而言，其加密方式就決定了訪問權限的判定方式，多樣化的檢查手段使得密保工作更加穩(wěn)定。

2.網絡傳輸加密

系統(tǒng)各個組件之間以及服務器之間會采用特殊的加密技術，確保通訊安全，不會在過程中丟失信號。

結論：綜上所述，商業(yè)秘密信息直接關系到企業(yè)的經濟收益和市場競爭力，是核心資產，對于任何企業(yè)而言，商密網體系保護都是最重要的指標?；诖说钠髽I(yè)應該做好商業(yè)秘密信息的保護，妥善處理業(yè)務需求和安全防護之間的關系，分類分域的進行科學防護，不斷優(yōu)化防護，提出全新的設計思路。