◆馮卓慧

監(jiān)獄內(nèi)網(wǎng)安全監(jiān)管系統(tǒng)的設(shè)計與研究

◆馮卓慧

（浙江警官職業(yè)學(xué)院 浙江 310018）

本文針對監(jiān)獄內(nèi)網(wǎng)所面臨的各類安全問題，設(shè)計了一套監(jiān)獄內(nèi)網(wǎng)安全監(jiān)管系統(tǒng)。系統(tǒng)由終端安全監(jiān)管、網(wǎng)絡(luò)接入控制、非授權(quán)外聯(lián)監(jiān)管、邊界檢查管理、敏感信息檢查和存儲介質(zhì)管理六個核心功能模塊以及相應(yīng)的管理工作流程組成，通過對終端設(shè)備、存儲介質(zhì)和網(wǎng)絡(luò)的集中監(jiān)測和管理，實現(xiàn)監(jiān)獄內(nèi)網(wǎng)安全管理工作的信息化。

監(jiān)獄內(nèi)網(wǎng)；安全監(jiān)管；信息安全

0 前言

近年來，隨著監(jiān)獄信息化的快速發(fā)展，監(jiān)獄系統(tǒng)的各類硬件設(shè)施和軟件資源日新月異。與此同時，監(jiān)獄內(nèi)部的網(wǎng)絡(luò)安全管理工作面臨的形勢也越來越嚴(yán)峻，傳統(tǒng)的事后處置和安全教育等方式無法杜絕安全事故的發(fā)生；安全管理的手段與安全技術(shù)的應(yīng)用滯后于網(wǎng)絡(luò)和信息系統(tǒng)的建設(shè)與應(yīng)用；隨著監(jiān)獄信息技術(shù)應(yīng)用的深化，監(jiān)獄內(nèi)部與外部的信息交互給監(jiān)獄網(wǎng)絡(luò)邊界安全管理也帶來極大的挑戰(zhàn)，如何加強(qiáng)監(jiān)獄網(wǎng)絡(luò)安全建設(shè)和提升管理技術(shù)水平，變被動管理變?yōu)橹鲃庸芾?，變事后處置為事前預(yù)警，已是監(jiān)獄信息化建設(shè)中亟待解決的一個重要問題。

1 監(jiān)獄內(nèi)網(wǎng)安全問題分析

監(jiān)獄網(wǎng)絡(luò)主要由監(jiān)獄政務(wù)內(nèi)網(wǎng)、安防子網(wǎng)、生產(chǎn)子網(wǎng)、罪犯教育子網(wǎng)以及電子政務(wù)專網(wǎng)組成。其中監(jiān)獄政務(wù)內(nèi)網(wǎng)是指用于監(jiān)獄民警管理和各業(yè)務(wù)應(yīng)用的內(nèi)部網(wǎng)絡(luò)，它是整個監(jiān)獄網(wǎng)絡(luò)的核心。狹義上的監(jiān)獄內(nèi)網(wǎng)指的就是監(jiān)獄政務(wù)內(nèi)網(wǎng)；廣義上的監(jiān)獄內(nèi)網(wǎng)指的是除互聯(lián)網(wǎng)以外的所有監(jiān)獄內(nèi)部網(wǎng)絡(luò)。由于監(jiān)獄內(nèi)網(wǎng)與外網(wǎng)物理隔離，安全威脅主要來自內(nèi)部，但絕大多數(shù)并非內(nèi)部人員主觀上的惡意行為，而是一些無意識的或不規(guī)范的操作，以及安全管理上的疏忽，問題主要來自以下三個方面。

圖1 監(jiān)獄網(wǎng)絡(luò)結(jié)構(gòu)示意圖

1.1 來自終端設(shè)備的安全問題

監(jiān)獄內(nèi)網(wǎng)中，計算機(jī)終端是用戶登錄并訪問網(wǎng)絡(luò)資源的起點，也是大部分安全事件的源頭；以病毒感染，文件丟失、密碼遺忘、系統(tǒng)癱瘓、硬件損壞等為代表的終端安全事件時有發(fā)生，給信息安全帶來難以預(yù)知的潛在威脅，監(jiān)獄網(wǎng)絡(luò)管理人員往往應(yīng)對不暇。造成此類威脅的原因可能是安全管理模式的滯后，內(nèi)部人員安全意識的淡薄或安全技能的匱乏等等。因此，只有加強(qiáng)對終端設(shè)備的安全管理才能有效控制各種安全事件的源頭，遏制由網(wǎng)絡(luò)內(nèi)部發(fā)起的攻擊和破壞[1]。

1.2 來自網(wǎng)絡(luò)邊界的安全問題

隨著監(jiān)獄內(nèi)網(wǎng)計算機(jī)數(shù)量的與日俱增，各外部單位和監(jiān)獄之間的合作日益頻繁，經(jīng)常有外部終端連接到內(nèi)網(wǎng)。在這種情況下，管理人員很難區(qū)分哪些是內(nèi)網(wǎng)的終端，哪些是外來的未授權(quán)使用的終端。當(dāng)感染了病毒和木馬的外部終端接入內(nèi)網(wǎng)后，病毒會在整個監(jiān)獄內(nèi)網(wǎng)中快速傳播和擴(kuò)散，嚴(yán)重時會造成整個網(wǎng)絡(luò)癱瘓，給內(nèi)部網(wǎng)絡(luò)帶來嚴(yán)重的安全威脅。此外，還會導(dǎo)致監(jiān)獄內(nèi)網(wǎng)涉密信息的泄漏；在泄密事件發(fā)生后，也無法判斷到底是哪一個環(huán)節(jié)出了差錯。

1.3 來自存儲介質(zhì)的安全問題

以USB閃存盤、移動硬盤、電子微硬盤等為代表的移動存儲介質(zhì)，具有體積小、容量大、使用方便等特點；雖然保密部門對涉密存儲介質(zhì)已有較嚴(yán)格的保密管理要求，但在日常管理和使用中，不登記，不標(biāo)識，隨意放置，擅自復(fù)制、攜帶外出、外借，在內(nèi)外網(wǎng)交叉使用甚至丟失等現(xiàn)象普遍存在。當(dāng)在外網(wǎng)使用過的移動存儲介質(zhì)感染病毒或木馬后繼續(xù)在內(nèi)網(wǎng)上使用，病毒程序就會自動收集敏感信息，并自動復(fù)制到移動存儲介質(zhì)上；一旦該存儲介質(zhì)再次接入外網(wǎng)，復(fù)制的信息可能會自動發(fā)送出去，造成泄密[2]。

2 系統(tǒng)設(shè)計

2.1 設(shè)計思想

系統(tǒng)的設(shè)計思想是從信息安全管理工作的實際要求出發(fā)，以人為本，管理是核心，技術(shù)是保障；充分運用安全管理和技術(shù)手段，通過對各種數(shù)據(jù)和行為的監(jiān)測分析發(fā)現(xiàn)潛在的安全威脅事件，實現(xiàn)對監(jiān)獄內(nèi)網(wǎng)中終端設(shè)備、存儲介質(zhì)以及用戶群體的統(tǒng)一監(jiān)測和安全管理。從網(wǎng)絡(luò)安全管理“消除短板”的特性出發(fā)，以上下多級級聯(lián)系統(tǒng)為載體，建立監(jiān)測、預(yù)警、處置、反饋、審核的機(jī)制，完成管理→監(jiān)測→管理的過程，其最終目的是在安全技術(shù)的基礎(chǔ)上實現(xiàn)對安全管理的信息化。

2.2 系統(tǒng)架構(gòu)

系統(tǒng)設(shè)計采用C/S與B/S相結(jié)合的開發(fā)模式，由終端安全監(jiān)管、網(wǎng)絡(luò)接入控制、非授權(quán)外聯(lián)監(jiān)管、邊界檢查管理、敏感信息檢查和存儲介質(zhì)管理6個核心功能模塊實現(xiàn)對終端設(shè)備、存儲介質(zhì)和網(wǎng)絡(luò)的集中監(jiān)測和管理。在建立完善的信息安全管理制度及安全規(guī)范的同時，配套管理工作流程加以輔助，從而實現(xiàn)監(jiān)獄內(nèi)網(wǎng)安全管理工作的信息化[3]。

圖2 系統(tǒng)總體架構(gòu)示意圖

2.3 工作流程

工作流程按照“監(jiān)測、警示、處置、反饋、考核”五位一體的安全管理模式來進(jìn)行設(shè)計，目的在于將業(yè)務(wù)管理、工作流程、應(yīng)急響應(yīng)和安全技術(shù)應(yīng)用融為一體，建立一個以安全目標(biāo)為導(dǎo)向，管理為核心，安全策略為途徑的安全管理框架。具體流程如圖3所示。系統(tǒng)通過多種監(jiān)測手段采集所需的信息數(shù)據(jù)，并經(jīng)過智能分析比對后，把安全威脅直觀、準(zhǔn)確地展現(xiàn)在系統(tǒng)上進(jìn)行警示提醒。管理人員通過查看系統(tǒng)，對違規(guī)安全事件進(jìn)行預(yù)警，同時在系統(tǒng)中智能生成預(yù)警告知單、通報單或相應(yīng)的回執(zhí)單。管理人員在處置違規(guī)行為和安全威脅，明確三方責(zé)任后，填寫相應(yīng)的回執(zhí)單進(jìn)行反饋。如果違規(guī)行為或安全威脅沒有消除、或回執(zhí)單內(nèi)容填寫不符合管理規(guī)定、或未按規(guī)定及時響應(yīng)，該流程將再次進(jìn)行，甚至根據(jù)需要可選擇預(yù)警或通報相關(guān)管理人員，直至違規(guī)行為或安全威脅消除，確認(rèn)按規(guī)范執(zhí)行了安全管理的工作流程，并對檢查、預(yù)警或通報、處置和反饋環(huán)節(jié)進(jìn)行考核。

圖3 系統(tǒng)管理工作流程示意圖

3 主要功能

3.1 終端安全監(jiān)管

終端安全監(jiān)管的目標(biāo)是實現(xiàn)終端計算機(jī)設(shè)備、安全事件統(tǒng)一管理，完成安全策略的統(tǒng)一配置，在功能上要實現(xiàn)對設(shè)備、補(bǔ)丁、進(jìn)程、服務(wù)、運維等安全要素的監(jiān)控，保證內(nèi)部數(shù)據(jù)安全，實現(xiàn)終端系統(tǒng)的全面安全防護(hù)和加固，從而保障內(nèi)部網(wǎng)絡(luò)安全。

（1）設(shè)備管理

能夠?qū)ΡO(jiān)獄內(nèi)網(wǎng)設(shè)備進(jìn)行自動發(fā)現(xiàn)和識別，在不依賴于申報備案的情況下發(fā)現(xiàn)并智能識別網(wǎng)絡(luò)中的各種設(shè)備，例如計算機(jī)、服務(wù)器、音視頻設(shè)備、網(wǎng)絡(luò)設(shè)備等），同時提供對設(shè)備的注冊管理功能。

（2）終端管控

根據(jù)終端設(shè)備運行環(huán)境的安全狀態(tài)，控制設(shè)備、系統(tǒng)以及軟件程序的安全操作和運行情況（例如外設(shè)控制、進(jìn)程控制、開關(guān)機(jī)控制和共享控制等）實現(xiàn)對設(shè)備以及系統(tǒng)安全操作和數(shù)據(jù)出入口的安全管理，對安全事件和風(fēng)險進(jìn)行有效防護(hù)。

（3）安全檢查

對終端的殺毒軟件、系統(tǒng)補(bǔ)丁，賬戶安全、共享安全、軟件安裝、進(jìn)程等運行情況進(jìn)行檢查，并且將這些安全檢查項的數(shù)據(jù)結(jié)果按區(qū)域和部門匯總統(tǒng)計，輔助安全管理員及時發(fā)現(xiàn)問題，處理安全事件。

（4）運維監(jiān)測

通過對 CPU 異常、內(nèi)存異常、流量異常、應(yīng)用使用異常、連接數(shù)異常的日常運維數(shù)據(jù)進(jìn)行監(jiān)測，運用異常建模和數(shù)據(jù)關(guān)聯(lián)分析，實現(xiàn)對風(fēng)險異常的判斷，輔助管理員進(jìn)行安全決策，保障核心設(shè)備運行穩(wěn)定。

（5）外聯(lián)監(jiān)管

通過對監(jiān)獄內(nèi)網(wǎng)的設(shè)備進(jìn)行實時違規(guī)外聯(lián)監(jiān)測，一旦發(fā)現(xiàn)外聯(lián)立即進(jìn)行網(wǎng)絡(luò)阻斷，并對上報的違規(guī)外聯(lián)事件數(shù)據(jù)進(jìn)行統(tǒng)計分析和報表展現(xiàn)，使得管理員能第一時間處理外聯(lián)事件，有效保障內(nèi)部網(wǎng)絡(luò)安全。

3.2 網(wǎng)絡(luò)接入控制

網(wǎng)絡(luò)接入控制功能集業(yè)務(wù)流程管理（注冊、審核、反饋、處理）和準(zhǔn)入控制技術(shù)應(yīng)用（監(jiān)測、發(fā)現(xiàn)、控制）于一體，其核心思想是在安全準(zhǔn)入控制技術(shù)的基礎(chǔ)上實現(xiàn)終端接入安全管理的信息化。

（1）注冊管理

對首次接入的終端設(shè)備要求進(jìn)行注冊，注冊的基本信息包括：IP、MAC、責(zé)任人姓名、聯(lián)系電話、所屬部門、設(shè)備所在地、設(shè)備類型、設(shè)備用途、保護(hù)到期時間。同時提交注冊申請，由安全管理員審核通過后允許其接入網(wǎng)絡(luò)。

（2）接入隔離

對未注冊的終端設(shè)備通過 802.1X 接入控制、ARP 接入控制、網(wǎng)關(guān)訪問控制、應(yīng)用服務(wù)訪問控制和可信通道隔離控制等手段，實現(xiàn)網(wǎng)絡(luò)阻斷并跳轉(zhuǎn)到隔離區(qū)強(qiáng)制注冊；對首次接入的已注冊設(shè)備強(qiáng)制進(jìn)行入網(wǎng)安全體檢，不符合安全要求的設(shè)備跳轉(zhuǎn)至修復(fù)區(qū)，修復(fù)完成后才能夠允許入網(wǎng)。

（3）安檢管理

能夠配置入網(wǎng)安全體檢具體內(nèi)容和規(guī)則。配置項包括：殺毒軟件配置、補(bǔ)丁檢查配置、不可信進(jìn)程配置、不可信軟件配置、賬戶弱口令配置、來賓用戶、必須開啟的服務(wù)、必須安裝的軟件等項目配置。

（4）異常告警

在發(fā)現(xiàn)增量設(shè)備、未注冊設(shè)備、未保護(hù)設(shè)備和保護(hù)申請違規(guī)等設(shè)備后能夠在第一時間自動告警，以便管理人員及時處置非法接入行為。

3.3 邊界檢查管理

邊界檢查管理的目的是要實現(xiàn)對各類邊界類型和邊界點的智能識別與定位，并對邊界點的狀態(tài)進(jìn)行持續(xù)跟蹤，以滿足內(nèi)網(wǎng)邊界安全管理需求。

（1）邊界監(jiān)測

通過技術(shù)手段對外界未授權(quán)設(shè)備接入內(nèi)網(wǎng)、私自設(shè)立網(wǎng)中網(wǎng)、訪問超出規(guī)定 IP 段的設(shè)備進(jìn)行實時掃描、自動檢測，并且及時發(fā)現(xiàn)問題并上報邊界點信息。

（2）邊界注冊管理

對于新發(fā)現(xiàn)的邊界，根據(jù)邊界管理的相關(guān)規(guī)定提出備案申請，待備案信息完整提交后，新邊界才被允許使用。備案時要求提供邊界點的 IP 地址，邊界用途等詳細(xì)信息。未申請或未完成審核而直接開通的邊界均屬于非法邊界[4]。

（3）邊界管控

對違規(guī)邊界接入實施阻斷，一旦探測到非法邊界接入情況，系統(tǒng)能根據(jù)設(shè)定的安全管控策略，對違規(guī)接入提出終端提醒阻斷。

3.4 非授權(quán)外聯(lián)監(jiān)管

通過網(wǎng)絡(luò)狀態(tài)監(jiān)測、實時抓包分析、定時外聯(lián)監(jiān)測及通信防火墻等技術(shù)的無縫協(xié)同工作，能夠在第一時間發(fā)現(xiàn)非授權(quán)外聯(lián)行為并進(jìn)行防護(hù)。防護(hù)方式可提供警告提醒、通信阻斷或強(qiáng)制關(guān)機(jī)等手段。

（1）網(wǎng)絡(luò)狀態(tài)監(jiān)測

實時監(jiān)測計算機(jī)的網(wǎng)絡(luò)狀態(tài)的變化情況，第一時間發(fā)現(xiàn)其網(wǎng)絡(luò)結(jié)構(gòu)特性變化后啟動違規(guī)外聯(lián)分析，如發(fā)現(xiàn)違規(guī)外聯(lián)則第一時間調(diào)用通信防火墻中斷該計算機(jī)的網(wǎng)絡(luò)通信。

（2）實時抓包分析

實時抓包分析在計算機(jī)存在網(wǎng)絡(luò)通信的情況下，實時監(jiān)測其所有網(wǎng)絡(luò)通信數(shù)據(jù)包，發(fā)現(xiàn)存在非本網(wǎng)絡(luò)范圍內(nèi)的網(wǎng)絡(luò)通信數(shù)據(jù)包時啟動違規(guī)外聯(lián)分析。

（3）定時外聯(lián)監(jiān)測

定時外聯(lián)監(jiān)測是傳統(tǒng)的違規(guī)外聯(lián)監(jiān)測方式，能夠以一定的時間頻率探測計算機(jī)的違規(guī)外聯(lián)行為，如果發(fā)現(xiàn)可疑行為馬上啟動違規(guī)外聯(lián)分析。

（4）網(wǎng)絡(luò)數(shù)據(jù)通訊控制

按不同協(xié)議類型，對注冊計算機(jī)的本地和目標(biāo)端口進(jìn)行設(shè)置，將目標(biāo)計算機(jī)與外界的通訊進(jìn)行有效管制，同時能夠設(shè)置目標(biāo)地址白名單，部署在客戶端的內(nèi)置通訊防火墻會在開機(jī)時啟動目標(biāo)地址白名單進(jìn)行過濾。

（5）禁用端口設(shè)備

終端上的某些外設(shè)端口如果開放，會給內(nèi)網(wǎng)安全帶來風(fēng)險隱患，也給違規(guī)外聯(lián)帶來了可能性。因此，有必要將內(nèi)網(wǎng)終端上的紅外、藍(lán)牙、無線網(wǎng)卡等外設(shè)端口全部禁用，防范違規(guī)外聯(lián)的發(fā)生。

（6）離線斷網(wǎng)控制

監(jiān)測內(nèi)網(wǎng)計算機(jī)聯(lián)網(wǎng)狀態(tài)，計算機(jī)一旦脫離內(nèi)網(wǎng)，則禁止其網(wǎng)卡進(jìn)行網(wǎng)絡(luò)數(shù)據(jù)通信，使內(nèi)網(wǎng)計算機(jī)形成離網(wǎng)單機(jī)，阻斷連接任何內(nèi)網(wǎng)以外的網(wǎng)絡(luò)，避免發(fā)生違規(guī)外聯(lián)。

3.5 敏感信息檢測

敏感信息檢測的目標(biāo)是實現(xiàn)對內(nèi)部計算機(jī)上存放的各種敏感文件和敏感內(nèi)容的自動化監(jiān)測和管理，同時具備對計算機(jī)上使用的U盤、移動硬盤等移動存儲介質(zhì)內(nèi)的文件進(jìn)行敏感信息掃描。在管理上實現(xiàn)檢查結(jié)果的統(tǒng)一審核、處理和跟蹤，滿足內(nèi)網(wǎng)敏感信息的安全管理要求。

（1）能夠通過自動化或自定義的方式檢查非涉密計算機(jī)上的敏感文件，并自動預(yù)警。檢測結(jié)果包括涉密信息文件名稱、存儲路徑、使用人、IP地址等內(nèi)容。

（2）檢測內(nèi)網(wǎng)中主機(jī)或移動存儲介質(zhì)上的敏感文件，文件類型主要包括txt、pdf、doc、docx、xls、xlsx、ppt、pptx、wps、html、htm等。

（3）能夠展現(xiàn)敏感文件的存放路徑、涉密摘要信息，同時能對發(fā)現(xiàn)敏感信息的設(shè)備進(jìn)行提醒、關(guān)機(jī)和斷網(wǎng)等防護(hù)操作。

3.6 存儲介質(zhì)管理

存儲介質(zhì)管理是基于軟件標(biāo)簽技術(shù)實現(xiàn)對網(wǎng)內(nèi)的USB移動存儲介質(zhì)進(jìn)行統(tǒng)一注冊管理、權(quán)限控制和審計功能，對違規(guī)使用移動存儲介質(zhì)行為能夠進(jìn)行智能識別和告警。

（1）介質(zhì)注冊管理

介質(zhì)注冊管理將存儲介質(zhì)分為未經(jīng)注冊的外網(wǎng)介質(zhì)和注冊過的內(nèi)網(wǎng)介質(zhì)。注冊的內(nèi)網(wǎng)移動介質(zhì)可分為三種介質(zhì)類型：加密交互介質(zhì)、口令保護(hù)內(nèi)網(wǎng)介質(zhì)、單向?qū)虢橘|(zhì)。

（2）用戶身份驗證

移動存儲介質(zhì)在使用前必須經(jīng)過授權(quán)中心統(tǒng)一授權(quán)，并與用戶身份進(jìn)行綁定。經(jīng)過授權(quán)的存儲介質(zhì)允許在內(nèi)網(wǎng)中使用，未授權(quán)的存儲介質(zhì)將被限制使用。

（3）介質(zhì)操作審計

實時記錄用戶接入移動存儲介質(zhì)的行為并寫入日志文件；對存儲介質(zhì)數(shù)據(jù)交換行為進(jìn)行安全審計。提供詳細(xì)的文件操作審計記錄：例如文件的新建、修改、刪除和復(fù)制等[5]。

4 結(jié)束語

監(jiān)獄內(nèi)網(wǎng)安全管理的工作范圍很廣，不僅包括終端設(shè)備的運行安全、還包括網(wǎng)絡(luò)邊界安全、信息保密安全、應(yīng)用行為安全、移動存儲安全等。傳統(tǒng)的安全管理以注重對安全風(fēng)險的防護(hù)為主，其管理模式多是面向安全設(shè)備的、局部性的、孤島式的安全防護(hù)，安全監(jiān)管大多都是分散進(jìn)行的，要全面了解一個系統(tǒng)的安全情況非常困難。安全監(jiān)管系統(tǒng)在設(shè)計中通過集成各類安全監(jiān)管技術(shù)，集中監(jiān)測、展示和處置各類安全風(fēng)險和事件，統(tǒng)一掌控全網(wǎng)安全態(tài)勢，建立起覆蓋監(jiān)獄全網(wǎng)的綜合安全管理體系，最終實現(xiàn)對人員、技術(shù)、流程的全局規(guī)劃、統(tǒng)一管理。

[1]楊婕.探討計算機(jī)網(wǎng)絡(luò)終端安全防護(hù)模型與方法[J]. 城市建設(shè)理論研究：電子版, 2015.

[2]孫藝笑.淺析涉密單位信息安全保密[J].科學(xué)時代, 2013.

[3]浙江遠(yuǎn)望電子有限公司.構(gòu)建有效的內(nèi)網(wǎng)信息安全管理平臺[J].信息安全與通信保密, 2010.

[4]張莉.網(wǎng)絡(luò)和信息安全管理平臺的設(shè)計與實現(xiàn)[D].廈門大學(xué)，2016.

[5]顧濤, 楊健.公安內(nèi)網(wǎng)移動存儲介質(zhì)安全管理系統(tǒng)的設(shè)計與研究[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用, 2017.