涉密計算機違規(guī)外聯(lián)原因分析及防范措施

關鍵詞：涉密計算機;違規(guī)外聯(lián);防范措施

中圖法分類號：TP319 文獻標識碼：A

1引言

隨著我國科學技術水平的提升，信息技術、計算機技術以及網絡技術已經逐漸滲透到人們的日常生活中，并改變了人們傳統(tǒng)的生產和生活方式——人們對網絡的依賴性更強，可以直接從互聯(lián)網獲取自己所需要的知識。也就是說，互聯(lián)網已經成為現(xiàn)代社會的重要組成部分，并滲透到各個領域中。對于我國行政部門而言，信息技術的應用已經十分普遍，這提高了政府部門的行政效率和行政質量。雖然信息技術的應用推動了人類社會的發(fā)展，但是與此同時帶來了日益突出的網絡安全問題，并受到國家和政府部門的高度重視。由于互聯(lián)網具有開放性、優(yōu)越性以及互聯(lián)性，這給不法分子提供了可乘之機，導致計算機犯罪案件逐年增加，信息安全問題越發(fā)嚴重。

我國政府部門對信息安全的要求較高，為了保證內網的安全，通常采用內網與外網物理隔離的方式，即在內網和外網之間建立一道安全邊界，從而加強內網的安全性，也便于對內網進行管理?，F(xiàn)階段，物理隔離成為網絡安全保密體系中不可或缺的技術，也在我國各部門中廣泛應用。但是，從該項技術的實際應用情況來看，由于許多用戶缺乏信息安全意識，這就給原本安全的內網環(huán)境帶來新的安全風險，也給不法分子提供了一座入侵內網的秘密橋梁，對內網信息造安全成極大威脅。如果企業(yè)保密數(shù)據(jù)丟失，將會給國家?guī)砭薮蟮慕洕鷵p失，也會影響政府部門的公信力。

2違規(guī)外聯(lián)的主要方式

涉密信息系統(tǒng)都需要根據(jù)我國相關規(guī)定進行物理隔離，但是這只能在一定程度上保護內網的物理安全，而違規(guī)外聯(lián)是來自網絡內部的一種主動行為，可以輕松在內網中打開一條通往外網的通道，同時該通道可以繞過網絡安全防護體系，使原本較為安全的物理隔離環(huán)境出現(xiàn)不同程度的安全風險。所以，我們需要采取一定的技術手段，以此阻斷內網通往外網的通道，保證涉密信息的安全。

違規(guī)外聯(lián)的主要方式如下：使用網卡聯(lián)通內外網絡——將內網網線拔出或者將本地網卡禁用，再與外網進行違規(guī)外聯(lián)，從而破壞原本的物理隔離環(huán)境;內網主機或者單臺計算機使用電話線、ISDN、ADSL等方式進行撥號上網——使用WLAN、GPRS以及CDMA等無線上網進行違規(guī)外聯(lián);非涉密計算機使用內網并更改IP進行違規(guī)接入或在涉密網絡中添加新的主機進行違規(guī)外聯(lián);內網主機通過串口、紅外、藍牙、USB接口等外設設備接入互聯(lián)網或者與其他設備交換信息進行違規(guī)外聯(lián)。

3違規(guī)外聯(lián)的原因分析

近年來，相關調查發(fā)現(xiàn)：違規(guī)外聯(lián)行為在黨政機關和企業(yè)中均有發(fā)生，而其中黨政機關占比62%，企業(yè)占比38%。通過對違規(guī)外聯(lián)行為進行分析，本文將其分為以下4種類型：第一類，更換辦公地點或者在維護網絡的過程中與外網相連，這種違規(guī)外聯(lián)行為占比38%;第二類，在當事人并不知情的情況下，在升級系統(tǒng)或病毒庫的過程中與外網相連，這類違規(guī)外聯(lián)行為占比15%;第三類，工作人員自身并未接受保密技能培訓，缺乏對網絡安全的認知，在操作計算機的過程中存在錯誤行為，導致自身的操作行為與外網發(fā)生互聯(lián)，此類違規(guī)外聯(lián)行為占比15%;第四類，技術人員在安裝防護系統(tǒng)的過程中存在不恰當行為，導致違規(guī)外聯(lián)行為的發(fā)生，此類違規(guī)外聯(lián)行為占比32%。由于在發(fā)生上述違規(guī)外聯(lián)行為后多經過及時阻斷，因此多數(shù)事件并未造成較為嚴重的后果。而通過上述數(shù)據(jù)分析，可以發(fā)現(xiàn)違規(guī)外聯(lián)行為發(fā)生的主要原因有以下幾點。

其一，由于第一類和第二類違規(guī)外聯(lián)類型的占比高達53%，因此企業(yè)和政府單位在涉密計算機管理制度上并不健全，這也是違規(guī)外聯(lián)行為發(fā)生的主要原因。管理制度不健全使涉密計算機的管理工作存在較大的漏洞，如涉密計算機標識模糊、淘汰不及時、具體數(shù)量不清晰、管理人員交接不認真、更換辦公地點并未按管理制度對涉密計算機進行相應保護。

其二，安裝防護產品的技術人員的業(yè)務并不熟練，這也是導致涉密計算機發(fā)生違規(guī)外聯(lián)的一個主要原因。違規(guī)行為主要表現(xiàn)在：技術人員自身缺乏相關防護軟件的安裝經驗，導致在安裝過程中出現(xiàn)違規(guī)行為;在涉密筆記本電腦上安裝防護產品時，并未檢查筆記本電腦是否拆除無線模塊就對其進行安裝，導致筆記本電腦重啟后自動連接外網。

其三，涉密計算機操作人員的保密意識較為淡薄，同時缺乏計算機安全相關的保密知識，導致涉密計算機違規(guī)外聯(lián)行為時有發(fā)生。計算機操作人員在缺少保密知識技能培訓的情況下，對涉密計算機的使用情況并不了解，在使用計算機時出現(xiàn)不正確的操作行為，使涉密計算機與外網相連。

4違規(guī)外聯(lián)的防范措施

通過上述分析可以看出，人為因素是涉密計算機出現(xiàn)違規(guī)行為的主要原因。同時，在防護軟件升級和安裝方面也存在著一定的弊端，因此本文從管理和技術兩個方面探討違規(guī)外聯(lián)的防范措施。

4.1管理方面的防范措施

（1）對涉密計算機的管理制度進行規(guī)范。違規(guī)外聯(lián)最容易發(fā)生在計算機安裝、維修和淘汰三個階段，而這三個階段都屬于動態(tài)管理，具有一定的風險性，存在較大的安全隱患，需要對這三個階段的保密措施進行加強，同時企業(yè)或機關單位應明確提出相應的保密要求。如在辦公室搬遷的過程中應提前制定相應的保密工作方案;在安裝防護軟件時要求安裝人員具備一定的計算機能力。此外，管理人員也要增強自身的責任心，密切關注涉密計算機的各個動態(tài)管理環(huán)節(jié)，保證每項管理措施能夠得到有效落實。同時，管理人員也要保證涉密計算機在自己的管理范圍之內，防止他人私自對涉密計算機進行檢查、打開或者搬運;對于需要淘汰的涉密計算機應做好標記，及時進行銷毀，防止誤用或誤搬行為的發(fā)生。

（2）避免過度防護。安全防護軟件主要用于涉密計算機的防護工作，但在對事業(yè)單位檢查的過程中發(fā)現(xiàn)部分管理人員對涉密的理解存在一定的偏差，如在財務專用設備上安裝安全防護產品，但是又不能按照涉密計算機管理條例來對財務專用設備進行日常管理，這就導致違規(guī)外聯(lián)行為經常發(fā)生，而這一行為并不是存在于單一機關單位。由此說明，我國機關單位在保密教育、涉密界定以及保密范圍方面，仍然存在許多不足，還具有較大的提升空間。

（3）加強涉密人員的培訓工作。涉密人員在上崗前應做好審查和崗前培訓工作，特別是在涉密計算機的使用方面，應做好相關的技能培訓工作。保證每位涉密人員上崗之前，都能做到“先培訓后上崗”，并定期舉辦相關知識交流會。同時，管理人員應以技能培訓為切入口，在培訓的過程中提升涉密人員的榮譽感、使命感和責任感，使涉密人員在意識層面重視保密工作，嚴格牢記保密要求，減少違規(guī)外聯(lián)行為的發(fā)生。

（4）要求提供防護軟件的企業(yè)，其安裝技術人員也應具備相同的保密資質。防護軟件通常需要安裝在涉密計算機的底層，如果這時對涉密計算機安裝非法程序來竊取機密資料，后果無法設想。在調查的過程中，我們發(fā)現(xiàn)甲方通常具備保密意識，而安裝技術崗位卻并不屬于涉密崗位，且甲方并未對安裝人員進行資質審核和保密教育，這在安裝中存在較大的安全隱患。因此，應要求防護軟件供應商，在企業(yè)內部設置合理的涉密崗位，完善涉密人員的審查工作。

（5）重視涉密計算機的采購安全。通過調查發(fā)現(xiàn)，行業(yè)在現(xiàn)階段依然將涉密計算機當作一般商品進行采購，在選擇涉密計算機時對代理商或中間商是否具有保密機制，最終的用戶是否用于正當合法的用途，都沒有明確的規(guī)定和要求。因此，建議我國保密行政管理部門，開展相應的安全風險調查并出臺相關政策，對涉密計算機的銷售和流通環(huán)節(jié)進行有效管理。

4.2技術方面的防范措施

在技術層面，為了保證內部數(shù)據(jù)信息的安全，機關單位或企業(yè)應限制內網與外網的連接，其具體情況可以分為以下兩種：一是禁止內網與外網直接進行連接;二是內網只允許通過指定網關與外網進行連接。目前，內網在建設的過程中都采用TCP/IP協(xié)議組網，并給涉密計算機配備私有的IP地址，也就是說在內網中每臺主機都有屬于自己的IP協(xié)議棧，且每臺主機的IP地址是唯一的。而在內網中，違規(guī)外聯(lián)的主機與其他主機的不同之處在于其擁有分配公有IP地址的功能，在連接外網的過程中，其IP地址會存在較大的浮動。因此只要對每臺主機的IP地址信息進行查詢，就可以及時發(fā)現(xiàn)存在違規(guī)外聯(lián)行為的主機?；诖?，本文在技術層面上提出以下幾點建議。

4.2.1安裝SNMP服務

對內網的每臺涉密計算機都提供SNMP服務，SNMP服務可以對涉密計算機的撥號行為進行檢測。同時，運用SNMP服務開發(fā)一款監(jiān)控軟件，監(jiān)控軟件定期向內網中其他涉密計算機詢問當前IP地址信息，如果發(fā)現(xiàn)有不屬于范圍內的IP地址則可以對其進行判定——該涉密計算機是否通過撥號上網。不過，運用該監(jiān)控軟件的前提是：對每臺涉密計算機提供SNMP服務。

4.2.2利用802.1x協(xié)議進行控制

為了實現(xiàn)對內網涉密計算機端口的接入控制，可以采用802.1x協(xié)議對內網中以太網端口的訪問權限進行控制。正常情況下，涉密計算機與交換機相連，這時交換機會運行一個認證代理協(xié)議（EAP協(xié)議），用戶要想使用這一協(xié)議就需要在涉密計算機上運行EAPoL，完成與交換機的數(shù)據(jù)通信。而802.1x協(xié)議可以對以太網端口進行邏輯控制，將其編程為受控和不受控兩種，只有涉密計算機使用不受控端口才可以在交換機中完成EAP認證，從而通過端口獲取自己所需要的資源。此外，受控端口將無法在交換機中進行認證，其會一直處于拒絕訪問的狀態(tài)。這種控制方式極大地提高了內網涉密計算機連接外網的難度，提高了內網的安全性。

4.2.3構建雙機架構監(jiān)控系統(tǒng)

雙機架構監(jiān)控系統(tǒng)主要由監(jiān)控模塊和報警模塊兩個部分組成，該系統(tǒng)有兩種運行模式：一是將監(jiān)控模塊安裝到內網之中，該模塊會定期主動向內網中的涉密計算機發(fā)送探測包，對其進行撥號探測。而將報警模塊安裝在外網時，其主要作用是對撥號報警信息進行解析，從而鎖定存在違規(guī)外聯(lián)的涉密計算機。監(jiān)控模塊通過連續(xù)的詢問輪詢方式向各個涉密計算機發(fā)送探測包，如果這時內網中有涉密計算機正在通過撥號上網，探測包會主動通過該涉密計算機的撥號網絡向外部的報警模塊發(fā)送報警信息。報警模塊在收到報警信息后對其進行解析，從而獲取正在撥號上網的涉密計算機的IP地址。如果內網中沒有涉密計算機上網，探測包將無法誘導涉密計算機發(fā)送報警信息;二是將發(fā)送模塊和探測模塊安裝在內網中，將探測模塊設置成混雜模式，發(fā)送模塊所發(fā)送的數(shù)據(jù)幀源地址則設置成外網的任意IP地址。在對內網撥號上網的探測上與第一種方法具有較大的差異，主要是用否認判斷模式，發(fā)送模塊會定期向每臺涉密計算機發(fā)送探測信號，如果接收不到某臺涉密計算機的響應數(shù)據(jù)，則可以判定該臺計算機存在違規(guī)外聯(lián)的情況。

5結束語

隨著互聯(lián)網技術的發(fā)展，我國絕大多數(shù)的部門和企業(yè)都實現(xiàn)了信息化辦公，這雖極大提高了辦公效率，但同時也帶來了一定的網絡安全問題。目前，物理隔離是將內網與外網進行分離，這種方式具有較高的安全性，但是內網中的違規(guī)外聯(lián)行為無疑給內網的安全帶來了嚴重威脅。相關部門非常重視網絡的安全性，并采取了多種安全防護措施來保證內網數(shù)據(jù)信息的安全，但是這些預防手段往往會被缺乏安全意識的人員所破壞。如內部人員私自將內網與外網建立連接，這樣就形成了內外網絡的雙向連接，從而給不法分子入侵內網打開方便之門。網絡中的重要數(shù)據(jù)信息一旦發(fā)生丟失，將會造成不可估量的損失。因此，為了從根本上防止違規(guī)外聯(lián)行為的發(fā)生，相關部門必須制定有效的監(jiān)管機制，保證內網數(shù)據(jù)信息的安全。

作者簡介：

馮秀清（1987—），碩士，助理研究員，研究方向：計算機應用。