目前涉密信息系统在军工企业、政府党政机关单位及部分研究院所网络建设中都有了明确规划，涉密信息系统，在网络中就会涉及国家秘密的信息，不论其中的涉密信息是多还是少，只要是有（即存储、处理或传输了涉密信息），这个信息系统就是涉密信息系统。
涉密信息系统中的应用服务安全现状分析
(1)涉密信息系统建设基本原则：
①物理隔离：所谓物理隔离技术是指内部信息网络不和Internet等外部信息网络相连，从物理上断开的技术。这种方法基本杜绝了因为网络互通互连所造成的外部攻击或内部泄密的可能。物理隔离技术是近年来出现的安全保密手段，它解决了重要单位及要害部门对信息安全保密的突出需求。日趋完善的物理隔离技术和产品已成为网络安全保密体系中不可缺少的重要环节；
②最高防护：在一个涉密网络中会有各种各样的涉密文件，这些文件的密级各不相同，有非密、秘密级、机密级，也可能有绝密级。对不同密级文件的防护要求也是不同的，密级越高保护的要求就越严格。那么，我们在设计一个涉密网络的时候，应该以该网络中可能出现的最高密级为标准来设计。此外，对涉密媒体中的信息进行复制、存储、传输时也应按该媒体中信息的最高密级标明密级，并按相应密级进行管理。这就是我们通常所说的最高防护的原则；
③整体防护：网络安全包括许多方面的内容，有设备安全、信息安全、系统安全、安全管理等。从技术角度讲，网络安全是由安全的操作系统、应用软件、防火墙、网络监控、信息审计、信息加密、灾难恢复、安全扫描等来保证的。任何一个单独的部分都无法完成整个网络的安全管理工作。比如一个单位只购买了防火墙作为它保证网络安全的惟一措施，那么该单位只能实现对网络访问的控制，而对于攻击检测、网络安全监控等要求就无法满足了。因此我们说网络安全是一个整体的概念。在规划涉密网络时，必须保证网络设备和各个组件的整体性安全，这就是网络安全的整体性原则。整体的网络安全模型由以下几个部分组成：M（Management）管理；P（Prediction）预警；P（Protection）防护；D（Detection）发现、扫描、检测；R（Response）反应；R（Recoveru）恢复/备份。
④动态原则：网络安全管理是动态的。首先网络本身是动态变化的，网络的用户在不断增加，网络规模在不断扩大。其次网络安全问题也具有动态性，网络攻防技术不断发展，黑客不断地对网络进行攻击，病毒不断地产生。这就促使网络的防范策略也必须随着网络安全情况的变化而变化，从而形成一种相生相克的动态循环过程。
(2)涉密信息系统中的应用服务安全
涉密信息系统中的应用服务安全作为信息系统当中的防护重点，就是信息系统中的服务器以及存储在服务器当中的涉密数据和应用。一个安全的涉密系统应用服务一定要进行分级管理，其中包括对信息保密程度分级（非密、绝密、机密、秘密）；对用户操作权限分级（面向个人、面向群组）；对网络安全程度分级（安全子网、安全区域）；对系统结构分级（应用层、网络层、链路层等），从而针对不同级别的安全对象，提供全面可选的安全体系结构以满足网络中不同层次的需求。
颁布的新保密法中要求国家秘密的知悉范围要能够限定到具体人员的;不能限定到具体人员的，限定到机关、单位，并由机关、单位限定到具体人员。那么在一个涉密信息系统中如果一个涉密信息存放的应用服务没有实施有效的分级管理，一些不符合知悉范围人员也可以进行访问和查看，这将严重违背涉密信息系统建设的基本原则。
长期以来很多单位在涉密信息系统建设中对系统当中的应用服务系统，在实施分级管理中通常走向两种极端：一种是没有对应用系统进行必要的分级管理，或通过采用防火墙等设备在网络层面进行简单的访问控制，远远不能达到分级管理的要求；另一种则是对不同密级的应用系统采用完全的物理隔离，通过单机隔离或针对不同密级建立专用的涉密网络。这样既不便于日常办公的使用，也因为重复的网络建设造成资源浪费。
因此我们在涉密信息系统建设中针对应用服务需要找到一种科学、易用的解决方案，既要能够符合分级管理的要求，同时在日常办公应用中又不会对原有的使用习惯产生影响。
涉密信息系统中的应用服务安全防护解决方案
解决好涉密信息系统中的应用服务安全防护问题，就是要对需要访问应用服务的用户或客户端实行有效的访问控制和授权管理，对未授权的用户及客户端进行有效的访问限制；为每个访问的用户指定可访问的应用服务，限定访问的范围，杜绝越权的访问行为；而这种访问授权的机制必须安全、可控而灵活。
同时针对应用服务的安全防护应当是立体的，多层次的防护体系。从链路层的地址绑定，网络层的访问控制，传输层的链路加密，会话层的身份认证，应用层的访问授权和准入控制，构建成一个完整的应用安全的体系结构。构建一个应用服务防护的安全体系，我们需要从以下几方面来进行考虑：
（1）实施单点登录机制
统一的单点登录机制要求用户在访问任何应用服务前，都需要通过一个统一且唯一的访问入口进入，在该入口进行用户认证和身份鉴别，对未经用户认证及身份鉴别的用户将不允许其访问应用服务，而对通过用户认证和身份鉴别的用户才会获取到访问应用服务的授权牌，在这个授权牌中标识了用户的身份信息、访问有效期限、安全等级、可访问的应用服务名称以及允许采用的访问方式。由此完成了针对访问用户的单点登录。
（2）实施统一的用户管理机制
实施统一的安全管理能够避免用户在使用多套账户口令时由于遗忘而无法访问，同时统一用户授权，能够有效避免由于在不同应用服务中授权不一，用户密级不统一，而形成潜在的泄密风险。另外统一的用户管理有助于管理员及时了解账户的活动状态，及时清理过期或无效的账户信息，保证账户信息的准确。
（3）数据级安全防护措施
由于TCP/IP自身的性质决定了各种数据在传输的过程中都是以明文形式进行的，这就使数据在传输过程中存在极大的安全风险。如果不加防护，网络攻击者可以轻易地截获网络中传输的数据，甚至对其进行修改和破坏。这时就需要SSL VPN数据级的安全防护措施，即借助于专业的SSL VPN加密隧道技术对数据进行加密以确保数据的保密性和完整性。
（4）用户级安全防护措施
用户级的安全措施主要是指用户账户安全管理。在用户获得访问权力时用户全程的访问活动进行审计，而在他们的访问权不再有效时冻结用户账户。同时对于用户账户的异常使用，如账户密码的尝试登录次数在超过一定阈值后将锁定用户账户。
（5）入网访问控制
分为三个步骤：用户名的识别与验证、用户口令的识别与验证、用户账号的缺省限制检查。三道关卡中只要任何一关未过，该用户便不能进入网络，对应用服务进行访问。
（6）网络的访问控制
通过访问控制对访问中的源IP、源端口、协议类型、目的IP、目的端口进行关联性策略制定，保证应用服务只向用户开放在业务中所涉及的服务端口，防止恶意用户通过部分端口漏洞对应用服务进行非法攻击。
（7）应用服务授权管理
对应用服务的授权管理分为：基于应用服务地址的访问授权、基于应用服务端口的访问授权、基于WEB应用服务目录的访问授权、基于WEB应用服务资源文件的访问授权、基于访问方式的访问授权。另外针对应用服务的授权管理应当体现安全级别特点，在涉密信息系统中一些密级等级较高的应用服务应限制低密级的用户对其进行越权访问，而一些密级等级较低的应用服务可允许高密级用户及低密级用户的访问。
（8）网络服务器安全控制
对服务器的操作保护是应用服务安全重要保障，防止非法用户修改、删除、破坏重要信息或数据；通过应用服务防篡改保护机制对应用服务中涉及的资源文件进行安全防护，当恶意用户通过非法手段进行数据篡改时可以对发生非法篡改的数据进行及时恢复，保证应用正常可用；非法访问者检测机制能够在事件发生前进行检测、分析和限制，能够更加有效的对应用防护起到保护效果。
（9）访问监测和锁定控制
访问监测机制针对用户的应用服务访问行为进行访问事件的审计记录，系统应记录用户对网络资源的访问，对非法的网络访问，并以声光或文字或声音等形式报警，以引起网络管理员的注意。如果不法之徒试图对应用服务发起攻击，系统应会自动记录尝试进入网络的次数，如果非法访问的次数达到设定数值，那么该账户将被自动锁定。
（10）访问客户端的准入控制
访问客户端准入机制能够有效防止盗用账户或盗用IP的欺骗式访问行为，通过将客户端物理地址和IP地址的绑定，能够限定只能在指定的主机进行应用服务访问，通过证书Ukey的控制方式，为每个授权用户分配唯一的key，这样在只获得用户账户和密码信息，而没有授权Ukey的条件用，仍然无法通过身份鉴别获得访问权。其次针对应用服务的访问客户端应对其安全性进行评估，防止带有病毒，木马及存在潜在安全风险的计算机在对应用服务进行访问时造成病毒扩散。
（11）数据流向安全控制
涉密信息系统建设中数据流向安全控制一直受到大家的关注，通过技术手段限制高密级数据向低密级用户流动以及限制涉密数据向非涉密用户的流动这将有力保证涉密数据的安全。
捷普涉密信息系统中的应用服务安全防护解决应用方案
西安交大捷普网络科技有限公司作为中西部地区最大的网络安全技术及产品提供商，通过数十年在网络安全和保密安全领域的探索创新，开发出多款适用于涉密信息系统的安全产品，近年来持续关注涉密信息系统中的应用服务安全的访问问题，研发的服务器群组防护产品为应用服务提供立体的，多层次的安全防护体系。从链路层的地址绑定，网络层的访问控制，传输层的链路加密，会话层的身份认证，应用层的访问授权和准入控制，构建一个完整的应用安全的体系结构，多方位的全面解决涉密信息系统中的应用服务安全问题。
1.涉密信息系统中的应用服务安全问题的需求响应与解决
（1）实施单点登录机制
捷普服务器群组防护系统通过串联方式接在DMZ区的入口，成为“一夫当关，万夫莫开”的守门神，任何进入DMZ区对应用服务的访问都需要在服务器群组防护系统中通过第一道身份审核，只有获得了服务器群组防护系统发放的第一道通行证，访问用户才获得继续访问应用服务的权利，同时服务器群组防护系统为每个通过审核的访问者发放的通行证中标识了用户的身份信息、访问有效期限、安全等级、可访问的应用服务名称以及允许采用的访问方式，访问者只能在效的访问期限内对同安全级别或低安全级别的应用服务采用允许的访问方式进行访问，所有违规的访问行为都将被限制和审计。
（2）实施统一的用户管理机制
捷普服务器群组防护系统的用户管理模块，提供了本地账户管理，POP3、Radius、AD域控、LDAP外部联动账户管理等多种身份认证机制，向访问用户提供身份鉴别服务，同时通过将应用服务访问账户信息与单点登录访问账户信息进行账户关联绑定，使用户只需要使用一个安全的账户就能够访问所有授权的应用服务。同时捷普服务器群组防护系统通过账户安全策略能够对用户所使用的口令更新周期、口令长度、口令复杂度等进行统一约束，还能与更加安全的身份鉴别方式如授权Ukey、物理特征进行绑定，强化了访问账户的安全性。
另外捷普服务器群组防护系统的统一用户管理有助于管理员及时了解账户的活动状态，对异常的访问账户及时进行下线处理，方便管理员及时清理过期或无效的账户信息，保证账户信息的准确。
（3）数据级安全防护措施
捷普服务器群组防护系统采用双证书机制完成数据安全加密，这是当前我国 PKI 体系统建设的主流模式。使用签名证书进行身份认证，使用加密证书进行密钥的交换和保护，既使PKI技术在应用中发挥其基于非对称密钥所带来的优势，又满足了国家对PKI应用进行审计监管的需要，以此来向一些特定的应用服务提供安全的访问通道，防止网络攻击者轻易地截获网络中传输的数据，对其进行修改和破坏。
（4）用户级安全防护措施
捷普服务器群组防护系统提供了完整的用户账户安全防护措施，在用户获得访问权力时对用户全程的访问活动进行审计，在他们的访问权不再有效时冻结用户账户。同时对于用户账户的异常使用，如账户密码的尝试行为，访问链接的急速骤增，可以通过策略设定在超过一定阈值后将锁定用户账户。
（5）入网访问控制
捷普服务器群组防护系统在用户身份授权中需要设置了用户名的识别与验证、用户口令的识别与验证、用户账号的缺省限制检查、增强Ukey证书鉴别、客户端准入安全评估五道关卡进行重重审核，只要任何一关未过，该用户便不能进入网络，对应用服务进行访问。
（6）网络的访问控制
捷普服务器群组防护系统内置防火墙访问控制模块，通过访问控制对访问中的源IP、源端口、协议类型、目的IP、目的端口进行关联性策略制定，保证应用服务只向用户开放在业务中所涉及的服务端口，防止恶意用户通过部分端口漏洞对应用服务进行非法攻击。
（7）应用服务授权管理
捷普服务器群组防护系统提供了基于应用服务地址、应用服务端口、WEB应用服务目录、WEB应用服务资源文件、访问方式等进行细粒度的服务授权管理，在涉密信息系统中解决了限制低密级用户访问高密级应用服务的问题，而高密级用户可以只读性访问低密级应用服务，但又可以通过访问方式控制形式，限制高密级用户向低密级应用服务中输送信息，有效解决了限制高密级到低密级数据流向安全问题。
（8）网络服务器安全控制
捷普服务器群组防护系统通过在应用服务器系统中植入防篡改监控程序通过应用服务防篡改保护机制对应用服务所涉及的资源文件进行全面安全防护，当恶意用户通过非法手段进行数据篡改时可以对发生非法篡改的数据进行及时恢复，保证应用正常可用；
捷普服务器群组防护系统的运行状态监测机制，通过在应用服务器中植入运行状态监测客户端程序，实时监控服务器的运行状态，及时上报服务器异常事件如CPU占用过高、内存不足、缓冲器溢出、磁盘空间不足、服务进程中断、服务端口监听失败、注册表信息篡改、数据文件损坏、服务宕机、异常关机和重启等事件，方便管理员及时作出判断和解决方案。
捷普服务器群组防护系统非法访问者检测机制能够在事件发生前进行服务器风险行为检测、分析和限制，能够更加有效的对应用防护起到保护效果。
（9）访问监测和锁定控制
捷普服务器群组防护系统访问监测机制针对用户的应用服务访问行为进行访问事件的全程审计记录，系统记录用户对应用服务资源的访问，非法的访问，，并以声光或文字或声音等形式报警，以引起网络管理员的注意。如果有试图对应用服务发起攻击的行为，系统会自动记录尝试进入网络的次数，如果非法访问的次数达到设定数值，那么该账户将被自动锁定。
（10）访问客户端的准入控制
捷普服务器群组防护系统通过将客户端物理地址和IP地址的绑定，限定只能在指定的主机进行应用服务访问，同时增加用户证书Ukey的校验机制，为每个授权用户分配唯一的身份key，这样在只获得用户账户和密码信息，而没有授权Ukey的条件用，仍然无法通过身份鉴别获得访问权。在用户访问结束后，拔出Ukey系统则立即关闭该账户会话活动，直到下次重新插入Ukey后才能继续访问。
另外捷普服务器群组防护系统针对应用服务的访问客户端提供系统版本、注册表、进程、服务端口、文件等全方位的安全评估方案，在系统接入进行应用服务访问前，对设定的安全项目进行依次排查，防止带有病毒，木马及存在潜在安全风险的计算机（如未安装防火墙及杀毒软件终端设备、存在严重系统漏洞的终端设备、未启用有效的桌面监管终端设备等），防止这类具有威胁性的终端接入网络对应用服务进行访问时造成病毒扩散或系统破坏。
（11）数据流向安全控制
捷普服务器群组防护系统中的邮件安全控制模块，在账户建立时即根据用户安全等级进行密级标识，用户在进行邮件收发时将受到服务器组防护系统的严格管控，只有低密级用户可向高密级用户发送邮件，而高密级用户不能向低密级用户发送邮件。另外所有转发的邮件都将受到严密的内容审计，一些含有涉密内容的邮件，将被筛选出来便于保密人员对这些信息的流向进行跟踪和追查。
核心关注：拓步ERP系统平台是覆盖了众多的业务领域、行业应用，蕴涵了丰富的ERP管理思想，集成了ERP软件业务管理理念，功能涉及供应链、成本、制造、CRM、HR等众多业务领域的管理，全面涵盖了企业关注ERP管理系统的核心领域，是众多中小企业信息化建设首选的ERP管理软件信赖品牌。
转载请注明出处：拓步ERP资讯网http://www.toberp.com/
本文标题：涉密信息系统中的应用服务安全防护解决方案
相关文章
