陳旸 陳輝

1 核工業(yè)理化工程研究院 天津 300180

2 中核404有限公司 甘肅 732850

0 引言

隨著計(jì)算機(jī)的普及應(yīng)用，無(wú)論政府、軍隊(duì)、企事業(yè)單位，還是承擔(dān)國(guó)家項(xiàng)目的科研部門，都有大量的涉密資料存儲(chǔ)在計(jì)算機(jī)中。對(duì)于這些研單位和部門而言一旦發(fā)生計(jì)算機(jī)失泄密事件，其損失將是難以估量的。目前涉密計(jì)算機(jī)的安全管理已經(jīng)成為了一個(gè)被高度重視的問(wèn)題，大家都在積極的探索可用的有效的涉密計(jì)算機(jī)管理方法。一些單位通過(guò)建設(shè)涉密網(wǎng)絡(luò)并部署各類網(wǎng)絡(luò)安全管理軟件，在降低涉密計(jì)算機(jī)的失泄密的風(fēng)險(xiǎn)上取得了顯著的效果，但由于涉密網(wǎng)絡(luò)初期投入較大，目前還有很多單位受制于客觀條件還沒(méi)有建設(shè)涉密網(wǎng)絡(luò)，計(jì)算機(jī)的使用也還停留在單機(jī)狀態(tài)。而單機(jī)類安全管理軟件的功能與網(wǎng)絡(luò)類相比存在著很大的差距，很多功能如網(wǎng)上流程審批、自動(dòng)升級(jí)系統(tǒng)補(bǔ)丁和病毒庫(kù)等受客觀條件的限制根本無(wú)法實(shí)現(xiàn)。因此要想做好涉密單機(jī)的管理就必須特別加強(qiáng)對(duì)保密安全管理的主體，用戶層面的管理即人的管理，通過(guò)完善的規(guī)章制度，特別是通過(guò)保證制度的落實(shí)情況來(lái)實(shí)現(xiàn)對(duì)涉密單機(jī)的有效管理。

1 常見(jiàn)的單機(jī)技術(shù)管理措施

1.1 主機(jī)審計(jì)技術(shù)

單機(jī)的安全審計(jì)機(jī)制一般情況下并不干涉和影響用戶的操作，而是通過(guò)對(duì)用戶的操作進(jìn)行記錄、檢查、監(jiān)控等來(lái)完成以審計(jì)、完整性等要求為主的安全功能。單機(jī)審計(jì)的主要問(wèn)題在于：所有的審計(jì)信息都存儲(chǔ)在本機(jī)，一旦本機(jī)的操作系統(tǒng)出現(xiàn)故障，則很可能造成審計(jì)日志的丟失。與網(wǎng)絡(luò)相比單機(jī)審計(jì)的困難性在于：審計(jì)員無(wú)法在服務(wù)器端直接讀取審計(jì)日志，而必須到每臺(tái)主機(jī)的現(xiàn)場(chǎng)逐臺(tái)的去讀取該臺(tái)計(jì)算機(jī)的審計(jì)日志，工作量巨大。而且由于在審計(jì)時(shí)只能看到本臺(tái)計(jì)算機(jī)的審計(jì)日志，也很難對(duì)很多關(guān)聯(lián)性的事件作出正確的分析和判斷。

1.2 USB介質(zhì)管理技術(shù)

介質(zhì)管理是指通對(duì)具有數(shù)據(jù)存儲(chǔ)功能的USB移動(dòng)設(shè)備進(jìn)行身份注冊(cè)使之只能在一定范圍內(nèi)的計(jì)算機(jī)上進(jìn)行使用。它的使用范圍包括通過(guò)USB接口連接到計(jì)算機(jī)上并以邏輯磁盤方式進(jìn)行數(shù)據(jù)存取的存儲(chǔ)設(shè)備，如U盤、移動(dòng)硬盤等。相對(duì)于網(wǎng)絡(luò)涉密單機(jī)需要更多數(shù)量的存儲(chǔ)介質(zhì)來(lái)進(jìn)行數(shù)據(jù)的交互和備份，涉密介質(zhì)越多泄密的風(fēng)險(xiǎn)和隱患也就越大，管理起來(lái)也就越困難。

1.3 USBKEY身份認(rèn)證技術(shù)

目前常見(jiàn)的身份認(rèn)證方式主要有三種，最常見(jiàn)的是使用用戶名加口令的方式，但這也是最原始、最不安全的身份確認(rèn)方式，非常容易由于外部泄露等原因或通過(guò)口令猜測(cè)、線路竊聽(tīng)、重放攻擊等手段導(dǎo)致合法用戶身份被偽造；第二種是生物特征識(shí)別技術(shù)(包括指紋、聲音、手跡、虹膜等)，該技術(shù)以人體唯一的生物特征為依據(jù)，具有很好的安全性和有效性，但實(shí)現(xiàn)的技術(shù)復(fù)雜，技術(shù)不成熟，實(shí)施成本昂貴，在應(yīng)用推廣中不具有現(xiàn)實(shí)意義；第三種也是現(xiàn)最流行的身份認(rèn)證方式--基于USB Key的身份認(rèn)證。基于USB Key的身份認(rèn)證方式是近幾年發(fā)展起來(lái)的一種方便、安全的身份認(rèn)證技術(shù)。它采用軟硬件相結(jié)合好地解決了安全性與易用性之間的矛盾。USB Key是一種USB接口的硬件設(shè)備，它內(nèi)置單片機(jī)或智能卡芯片，可以存儲(chǔ)用戶的密鑰或數(shù)字證書，利用USBKey內(nèi)置的密碼算法實(shí)現(xiàn)對(duì)用戶身份的認(rèn)證。雖然目前絕大部分單位的涉密計(jì)算機(jī)已經(jīng)采用了USB KEY身份認(rèn)證技術(shù)，但很多時(shí)候用戶為了方便經(jīng)常不按規(guī)定定期更改口令，甚至使用默認(rèn)口令的情況仍然還屢見(jiàn)不鮮。

1.4 病毒防范技術(shù)

首先通過(guò)設(shè)置中間機(jī)來(lái)對(duì)進(jìn)入涉密計(jì)算機(jī)的信息進(jìn)行惡意代碼檢測(cè)和病毒查殺，并在涉密計(jì)算機(jī)與中間機(jī)上安裝不同的殺毒軟件來(lái)進(jìn)行多重防御。由于單機(jī)無(wú)法像網(wǎng)絡(luò)那樣自動(dòng)對(duì)殺毒軟件進(jìn)行升級(jí)和全盤查殺，往往要依靠用戶自己進(jìn)行升級(jí)和病毒查殺，因此如果用戶不按規(guī)定操作就會(huì)影響病毒查殺的成功率，增加涉密計(jì)算機(jī)感染病毒和木馬的風(fēng)險(xiǎn)。另外由于單機(jī)對(duì)傳輸數(shù)據(jù)的客觀要求，很少有單位能完全禁用單機(jī)的光驅(qū)，而光驅(qū)的存在就使得用戶可以繞過(guò)中間機(jī)而直接將信息導(dǎo)入到涉密計(jì)算機(jī)中，而單機(jī)狀態(tài)下這種行為又是很難被發(fā)現(xiàn)的，因此會(huì)有部分用戶不通過(guò)中間機(jī)而通過(guò)光驅(qū)直接將數(shù)據(jù)導(dǎo)入到涉密計(jì)算機(jī)，造成計(jì)算機(jī)感染病毒和木馬。

2 單機(jī)管理存在的主要問(wèn)題

首先是維護(hù)管理困難，在網(wǎng)絡(luò)中如果某臺(tái)客戶端上的安全產(chǎn)品發(fā)生了問(wèn)題，管理員可以很容易的從服務(wù)器端獲悉，并在第一時(shí)間做出處理。而單機(jī)狀態(tài)下管理員無(wú)法清楚每臺(tái)機(jī)器的使用狀態(tài)，只能靠計(jì)算機(jī)的使用人員進(jìn)行反映，而使用人員往往又不清楚或者根本不關(guān)心保密軟件的使情況。筆者就曾經(jīng)經(jīng)歷過(guò)在進(jìn)行安全審計(jì)時(shí)才發(fā)現(xiàn)某臺(tái)計(jì)算機(jī)的審計(jì)軟件和介質(zhì)管理軟件已經(jīng)失效將近 3個(gè)月，也就是說(shuō)這臺(tái)涉密計(jì)算機(jī)在此期間一直是處于沒(méi)有任何技術(shù)防護(hù)的狀態(tài)下的，如果出現(xiàn)什么問(wèn)題后果將不堪設(shè)想。

其次是輸入輸出控制困難，網(wǎng)絡(luò)可以比較方便的實(shí)現(xiàn)輸入輸出的集中管理，即整個(gè)網(wǎng)絡(luò)可以指定一個(gè)或者幾個(gè)入口作為外來(lái)信息進(jìn)入網(wǎng)絡(luò)的唯一路徑，信息可以借助于網(wǎng)絡(luò)進(jìn)行傳遞，因此現(xiàn)在大部分涉密網(wǎng)絡(luò)的客戶端都已經(jīng)取消了光驅(qū)，甚至是取消了USB介質(zhì)。而在單機(jī)狀態(tài)下信息的傳遞必須要借助于光盤、U盤，因此不可避免的造成了輸入點(diǎn)得增加。同理在輸出信息時(shí)相比于網(wǎng)絡(luò)，單機(jī)由于傳遞信息不如網(wǎng)絡(luò)方便，因此往往需要有更多的輸出點(diǎn)很難做到和網(wǎng)絡(luò)一樣集中管理。而且網(wǎng)絡(luò)可以在網(wǎng)上完成輸出信息的登記、審批等流程，操作簡(jiǎn)單方便，而單機(jī)則仍需要紙質(zhì)的登記、審批等環(huán)節(jié)費(fèi)時(shí)費(fèi)力。

3 “技術(shù)+制度”強(qiáng)化單機(jī)的管理

制度建設(shè)是涉密計(jì)算機(jī)保護(hù)的基礎(chǔ)。近年來(lái)，為加強(qiáng)和規(guī)范涉密計(jì)算機(jī)的管理，國(guó)家保密局頒布了BMB系列標(biāo)準(zhǔn)，甚至在新的保密法中也對(duì)計(jì)算機(jī)泄密做出了相關(guān)的規(guī)定。只有通過(guò)制度建設(shè)才能建立起對(duì)涉密計(jì)算機(jī)安全有效運(yùn)行的有效屏障。同時(shí)結(jié)合本單位實(shí)際情況，各軍工單位也都制定了相應(yīng)的計(jì)算機(jī)管理規(guī)章制度。以筆者所在的單位為例，保密處和信息中心依據(jù)國(guó)家相關(guān)的法律法規(guī)制定了一系列的計(jì)算機(jī)管理規(guī)章制度，如：《計(jì)算機(jī)及信息系統(tǒng)安全策略》、《涉及國(guó)家秘密的計(jì)算機(jī)信息系統(tǒng)安全保密管理規(guī)定》、《通信及辦公自動(dòng)化設(shè)備保密管理規(guī)定》、《內(nèi)部計(jì)算機(jī)管理規(guī)定(試行)》等。這些管理規(guī)章制度首先明確了涉密計(jì)算機(jī)“誰(shuí)使用、誰(shuí)負(fù)責(zé)”的原則，主要從用戶層面要求責(zé)任人要做好自身計(jì)算機(jī)的防護(hù)安全及數(shù)據(jù)保密措施；并規(guī)定了操作涉密計(jì)算機(jī)及配套的辦公自動(dòng)化設(shè)備的規(guī)范流程、審批手續(xù)，以及電子文檔的密級(jí)標(biāo)識(shí)等。

針對(duì)目前技術(shù)防護(hù)手段上存在的一些問(wèn)題，我們必須將技術(shù)防護(hù)和制度管理相結(jié)合，通過(guò)制度來(lái)彌補(bǔ)技術(shù)上存在的不足。例如：

通過(guò)建立交叉審計(jì)制度，對(duì)各個(gè)部門的計(jì)算機(jī)管理員和保密員進(jìn)行培訓(xùn)，在信息化部門和保密處進(jìn)行審計(jì)的時(shí)候配合進(jìn)行配合，解決了審計(jì)工作量大，人員不足的問(wèn)題。

通過(guò)建立涉密載體管理制度，給每個(gè)涉密U盤和移動(dòng)硬盤都指定專門的責(zé)任人負(fù)責(zé)進(jìn)行管理，為每個(gè)涉密U盤配備“涉密U盤使用登記本”，規(guī)定除專人使用的涉密U盤，所有的U盤使用都必須進(jìn)行登記。

在《計(jì)算機(jī)及信息系統(tǒng)安全策略》中明確規(guī)定涉密計(jì)算機(jī)必須按照要求設(shè)置3重口令(BIOS口令、用戶口令、屏?？诹?，禁止使用默認(rèn)口令、口令復(fù)雜度應(yīng)符合相關(guān)要求，并按照要求定期更換密碼。

中間機(jī)是信息交換的樞紐，因此首先要抓住源頭建立嚴(yán)格的中間機(jī)使用制度，中間機(jī)制定專人進(jìn)行管理，為每個(gè)部門配備“中間機(jī)使用登記審批本”，所有的數(shù)據(jù)交換必須經(jīng)過(guò)部門領(lǐng)導(dǎo)的批準(zhǔn)。在對(duì)涉密計(jì)算機(jī)進(jìn)行審計(jì)的時(shí)候要對(duì)比涉密計(jì)算機(jī)的審計(jì)日志，和中間機(jī)的轉(zhuǎn)換記錄是否一致。

建立打印審批制度，每個(gè)部門盡量減少輸出端口，做到“相對(duì)集中，有效控制”，為每臺(tái)打印機(jī)配備“打印登記審批本”規(guī)定每臺(tái)打印機(jī)的每次打印操作都要進(jìn)行登記，打印涉密文件必須進(jìn)行審批。在對(duì)涉密計(jì)算機(jī)進(jìn)行審計(jì)的時(shí)候要對(duì)比打印審批登記記錄與計(jì)算機(jī)審計(jì)日志是否一致。

建立嚴(yán)格詳細(xì)的考核與獎(jiǎng)懲制度，對(duì)于不按規(guī)定操作的行為，按照規(guī)定予以懲罰。

4 結(jié)論

盡管我們采取了各種技術(shù)上和管理上的措施，但實(shí)際上我們不可能完全消除涉密計(jì)算機(jī)在管理和使用上所存在的風(fēng)險(xiǎn)，而只能將風(fēng)險(xiǎn)控制在我們可以接受的范圍之內(nèi)。單機(jī)與網(wǎng)絡(luò)相比存在的很多客觀缺陷是無(wú)法彌補(bǔ)的，因此盡快提升信息化水平建立符合國(guó)家要求的涉密網(wǎng)絡(luò)，才是提升涉密計(jì)算機(jī)技術(shù)管理水平的真正解決之道。

計(jì)算機(jī)的信息安全的根本在人，以目前計(jì)算機(jī)的防護(hù)水平即便是防護(hù)級(jí)別最高的涉密網(wǎng)絡(luò)也很難防范使用者的故意泄密，因此做好涉密人員的保密教育和定期的監(jiān)督檢查工作是搞好所有保密工作的先決條件?？偠灾婷苡?jì)算機(jī)的防護(hù)涉及到國(guó)家秘密的安全，是一個(gè)綜合性的復(fù)雜問(wèn)題，它不可能單靠某項(xiàng)技術(shù)或某項(xiàng)制度解決，所以應(yīng)該綜合各項(xiàng)安全技術(shù)、制度、管理等多項(xiàng)措施，才能保證國(guó)家秘密的安全。

[1] 國(guó)家軍工保密資格審查認(rèn)證辦公室,軍工保密資格審查認(rèn)證工作指導(dǎo)手冊(cè).北京：金城出版社.2009.

[2] 莫泓銘,蔡智勇.基于“技術(shù)+制度”的校園網(wǎng)絡(luò)管理方法研究.北京：網(wǎng)絡(luò)安全與技術(shù)應(yīng)用.2013.

[3] 歐獻(xiàn)勇.關(guān)于網(wǎng)絡(luò)安全問(wèn)題的研究,北京：網(wǎng)絡(luò)安全與技術(shù)應(yīng)用.2013.

[4] 邢雪梅,劉劍鋒.在校園部署上網(wǎng)行為管理系統(tǒng)初探.2013.