涉密網絡的安全保障體系是實現涉密系統信息共享、快速反應和高效運行的重要保證。安全保障體系首先應保證網絡的安全、可靠運行，在此基礎上保證應用系統和業務的保密性、完整性和高度的可用性，同時為將來的應用提供可擴展的空間。

1、涉密網絡的建設背景及所面臨的問題

1.1 涉密網的分級保護背景

國家保密局在1998年發布了《計算機信息系統保密管理暫行規定》，2006年又下發了《關于開展涉密信息系統分級保護工作的通知》，要求建立健全涉密信息系統分級保護制度，加強信息安全保密管理。由于涉密網絡中信息設備是多種多樣的，信息系統的規模也不同，不同的網絡中存在著不同層次、不同級別的國家秘密信息，需要有不同強度的保護措施，因此涉密網絡的安全策略的制定具有一定的復雜性

1.2 涉密網所面臨的安全問題

（1）病毒威脅：一些機器沒有安裝或更新殺毒軟件，使用U盤在不同的機器之間拷貝文件，都會引起網上病毒威脅涉密信息網的正常運行。例如公安信息網上曾發生過四次大范圍的病毒侵襲，造成公安信息網中斷和系統癱瘓。

（2）“一機兩用”問題：涉密信息系統作為國家的重要信息系統，勢必成為境內外敵對勢力進行竊密活動和攻擊破壞的重要目標。但由于許多涉密單位的網絡都分為內網（涉密）和外網（與互聯網相連），若不能有效解決涉密單位的電腦、網絡的專用問題，涉密信息網將面臨泄密和遭受攻擊的威脅。

（3）網上缺乏相關的安全措施，影響了涉密信息系統的發展和信息共享。涉密信息網上要實施加密技術措施，使涉密信息可以在網上交換，同時保護級別高的涉密網要解決上網用戶的身份認證和訪問授權控制等問題。

（4）系統抵御能力較弱。許多涉密信息網上的業務數據庫沒有建立完善的容災備份機制，一旦發生破壞或丟失將對相應的業務工作造成嚴重影響。#p#

2、設計內容

借鑒美國國防部DISSP計劃中的安全框架，圖1表示的是適合較高級別的信息網絡的安全體系結構模型，包括安全服務、協議層次和實體單元三個層面，并在每個層面都包含安全管理內容。

從安全服務層面來看，根據信息密級程度不同，涉密信息系統對安全服務的需求也不同。其中，向社會發布信息的應用系統要求保護數據的完整性，防止非授權用戶篡改數據；對系統內部開放的信息和應用系統需要提供一定強度的認證手段和訪問控制能力，并提供完善的審計機制；對業務部門內部使用的涉密系統，則需要實現多級安全訪問控制機制和數據保密機制。

從實體單元角度來看，涉密網絡與信息安全體系包含物理環境安全；端系統安全；網絡通信安全；應用系統安全。

由此，涉密網絡與信息安全體系的設計內容包括以下幾方面內容：身份認證，網絡安全，計算機系統安全，應用系統安全，安全管理體制。

圖1 信息網絡安全體系結構#p#

3、涉密網絡的安全設計

3.1 廣域網傳輸的保密性設計

傳輸涉密信息必須在租用的專線鏈路兩端使用硬件加密/解密設備；在互連設備相鄰節點間實行鏈路層連接認證；在無線信道中使用硬件加密機實現數據保密傳輸。

3.1.1 路由信息的安全交換

使用安全路由器和安全的路由協議，利用密碼技術實現路由器間相互認證，保證路由信息的真實性、完整性、保密性；

在每個管理域的邊界，通過配置路由器或防火墻，使得只有源地址為該管理域合法地址的IP包可以離開該管理域。

3.1.2 網絡管理系統的安全措施

網絡管理系統需要嚴格的身份認證，特別是對于來自非控制臺的用戶，需要強制認證機制。不能在網絡上明碼傳輸口令；對不同網絡管理員，根據其任務和角色提供不同級別的授權控制；對管理員的每次使用和對網絡設備的操作，需要有完善的審計機制，以便于故障的恢復、責任的追查。

3.2 內部資源子網

資源子網或末梢網絡主要指各級機關局域網，資源包括主機及其所提供的服務，目標在于防止來自外部和內部的非法訪問和攻擊，采取的主要措施是物理和邏輯上的各種訪問控制措施，輔助以實時入侵監測手段。

3.2.1 網絡資源的訪問控制

內部網絡資源的保護和訪問控制首先依賴于合理的網絡結構設計（特別是局域網），如利用合理的網段設置、局域網交換機的虛網劃分等手段實現廣播域的隔離。

為防止來自外部的非授權訪問和惡意攻擊，主要采取防火墻的過濾技術和輔助以入侵監測技術，包括專用的包過濾設備、過濾路由器、以及應用層代理或應用網關。

3.2.2 按不同密級劃分網段

不同密級的信息在存儲與傳輸階段應該在物理或邏輯上進行隔離。在局域網設計時，網段的劃分與隔離應充分考慮網段信息的密級。

由于嚴格的物理隔離將造成使用不便、管理復雜，信息無法共享。因此，對不同密級信息的訪問控制應該主要由應用系統來完成。

對于絕密信息，可以做特殊考慮。保存絕密信息的主機或網絡可以在物理上與其他網絡隔離。機要部門之間的傳輸媒體應該采用屏蔽電纜或光纖，端系統使用硬件加密機。

3.2.3 撥號用戶接入與移動用戶接入

由于撥號網絡使用公用電話交換網，在網絡上傳輸的機密信息存在被竊聽、篡改等威脅，需要解決用戶的認證問題，必須保障用戶口令不在網絡上以明碼形式傳輸。

無線移動用戶的接入與電話撥號用戶的接入作同樣的考慮。對于重要的應用和機密信息，信息的保密服務由上層協議來完成。

3.2.4 與公網的互連

涉密網絡作為涉密系統的內部網絡，從路由概念上講不與公用網絡互連。但有些單位為滿足內部人員使用Internet和對社會的信息發布等需求，在信息中心建立了對外公眾信息服務網。

公眾信息服務網中不應該包含任何涉密信息，對公眾信息服務網的安全需求主要是系統和服務的可用性、數據的完整性，通過加強系統安全、防火墻控制、安全監控等措施，防范黑客攻擊和侵入、篡改信息。通過設置專用防火墻，拒絕外部網絡對內的網絡訪問。同時在網關處安裝流量分析和入侵檢測設備，以便及時發現網絡上的異常情況。

對外信息服務區和數據采集暫存區在與內部信息交換時可以連在內部網上，但在對外提供服務時必須與內部網絡物理斷開并采用經國家有關部門批準的安全隔離設備，保障安全。#p#

4、涉密網絡的安全保障技術建設

除了安全保障制度建設及信息系統的安全防護外，涉密網絡安全保障技術的重點工作應體現在下述幾方面：

4.1 建設CA身份認證系統及以密鑰管理、密碼工作管理和檢測監控為主的涉密信息網絡安全管理系統

身份認證與訪問授權控制系統為每位上網用戶配發電子身份證書，實現對每一個登錄涉密信息網的用戶進行身份的合法性驗證，并根據用戶的身份授予訪問不同信息內容的權力。

4.2 涉密信息網安全監控系統

4.2.1 入侵檢測子系統

入侵檢測系統通過對網段內的數據包進行監測、分析，判斷非法訪問、攻擊、入侵和竊取信息行為并報警。

4.2.2 敏感信息監控子系統

在涉密信息網上安裝敏感信息檢測子系統，實現對非法信息、泄密信息等進行監控、分析、通報甚至阻斷，建立日常的運行管理、主題詞庫維護和人工干預工作機制。

4.2.3“一機兩用”監控系統

通常我們講的“一機兩用”是指涉密網絡使用的計算機及網絡設備同時連接涉密信息網和國際互聯網等其他外部網絡，也包括斷開涉密信息網后接入國際互聯網或其他外部網絡。

聯入外網指的是使用一切手段和設備，包括使用手機、小靈通、無線網卡、藍牙技術等無線設備或調制解調器、光端機、ADSL、傳真機等有線設備直接或間接與外網相聯。如果有違規連接，應能及時監測。

4.3 技術防范的措施建設

（1）內網防火墻：將內部子網（涉密網內的局域網）和公眾網絡（涉密信息網）分開的網絡安全工具。

（2）防病毒（計算機病毒預警防范體系）：通過在核心交換節點部署網絡預警系統的病毒監測探針，實時檢測和發現網絡病毒，結合涉密信息網的IP地址規劃和計算機注冊定位信息，形成覆蓋全網的網絡病毒宏觀分析、研判與協調處置系統，建立涉密信息網病毒預警和通報機制，及時處理緊急病毒爆發事件。

（3）防災難（防災備份系統）：建立本地或異地的數據備份系統，對操作系統、數據庫、應用系統和資源庫進行防災備份。

4.4 涉密網絡的邊界安全建設

涉密信息網的整體邊界安全是安全保障工作的第一道防線。涉密信息網邊界安全包括：

4.4.1 保障涉密信息網無線接入安全

建立無線通信、微波通信、移動通信等無線技術接入涉密信息網的審查和批準制度。制定無線接入涉密信息網的安全技術要求和規范標準，無線接入產品要備案登記。

4.4.2 保障涉密信息網的撥號接入安全

制定電話撥號方式接入涉密信息網的安全技術要求和規范標準。

5、結語

涉密網絡的安全體系建設是一項復雜的系統工程，它不是簡單的產品購買，也不僅僅是幾張證書，而是一種機制。它與網絡邊界防護、網絡身份認證和權限管理、內網監控與審計等技術都有密切的關聯。