提升網(wǎng)絡(luò)應(yīng)用系統(tǒng)可信性

構(gòu)建可信安全環(huán)境

從網(wǎng)絡(luò)安全管理的對象看，包括引起信息安全威脅的網(wǎng)絡(luò)用戶、應(yīng)用環(huán)境、應(yīng)用環(huán)境邊界和通信安全。應(yīng)用安全不僅僅是安全產(chǎn)品的堆疊，必須由傳統(tǒng)單純的安全產(chǎn)品部署，拓展為構(gòu)建可信、可控的立體防護(hù)體系。

首先是實(shí)體可信?？刹扇』谟布墑e的安全防護(hù)和訪問控制的方式，在最底層對終端進(jìn)行物理安全加固，使用安全防護(hù)卡從BIOS級實(shí)現(xiàn)登錄認(rèn)證和全盤數(shù)據(jù)保護(hù)，杜絕非法用戶從光盤（或USB盤）啟動繞過防護(hù)軟件竊取數(shù)據(jù)；網(wǎng)絡(luò)實(shí)名制方式，做好終端資源管理，認(rèn)真普查、統(tǒng)計好網(wǎng)絡(luò)資源和用戶信息，確保每一個接入內(nèi)網(wǎng)的用戶信息，未經(jīng)授權(quán)的設(shè)備無法通過使用認(rèn)真；同時用戶不能隨意安裝操作系統(tǒng)，卸載軟件等。對于應(yīng)用服務(wù)器類設(shè)備，由于其對網(wǎng)絡(luò)穩(wěn)定性要求較高，可通過“白名單”制度實(shí)施管控。

其次是接入可信。可采取計算機(jī)接入內(nèi)網(wǎng)的認(rèn)證管理方式，通過基于802.1X認(rèn)證協(xié)議的可信終端認(rèn)證子系統(tǒng)實(shí)現(xiàn)網(wǎng)絡(luò)的安全接入，確保未經(jīng)網(wǎng)絡(luò)安全認(rèn)證的終端不能在網(wǎng)絡(luò)上運(yùn)行；對網(wǎng)絡(luò)打印機(jī)、網(wǎng)絡(luò)攝像頭、IP電話等，采用MAC地址認(rèn)證方法；要選好認(rèn)證策略，確保經(jīng)過身份合法性驗證、經(jīng)網(wǎng)絡(luò)管理員審批的主機(jī)終端安全接入，保障用戶身份合法可靠。

第三是系統(tǒng)可信。建立基于操作系統(tǒng)的身份認(rèn)證和文件保護(hù)，采用基于USB-KEY的雙因素認(rèn)證技術(shù)，實(shí)現(xiàn)操作系統(tǒng)登錄的可信可控，在計算機(jī)硬件啟動后限制其權(quán)限。依托準(zhǔn)入代理對網(wǎng)內(nèi)終端定時進(jìn)行安全檢測，強(qiáng)制安裝、運(yùn)行防護(hù)系統(tǒng)軟件，實(shí)施防病毒軟件、系統(tǒng)漏洞、注冊表監(jiān)控、操作系統(tǒng)密碼、多網(wǎng)卡內(nèi)網(wǎng)外聯(lián)等方面的健康檢測與評估。要健全安全聯(lián)動機(jī)制，實(shí)現(xiàn)系統(tǒng)狀態(tài)的健康檢測，對綜合評估分值過低（風(fēng)險較高）的系統(tǒng)用戶，要強(qiáng)制推送至網(wǎng)絡(luò)隔離區(qū)域，通過隔離、下線等手段，強(qiáng)制漏洞修復(fù)。

第四是應(yīng)用可信。采用數(shù)字安全證書，對網(wǎng)上辦公、網(wǎng)絡(luò)交易、申請報稅等進(jìn)行數(shù)字加密和數(shù)字簽名，完成身份確認(rèn)和資質(zhì)審核；采取安裝、運(yùn)行權(quán)限的授權(quán)對應(yīng)用程序進(jìn)行黑白名單控制，規(guī)范終端軟件程序使用行為；出現(xiàn)網(wǎng)絡(luò)安全問題時，可利用準(zhǔn)入控制日志進(jìn)行快速定位，優(yōu)先排查曾經(jīng)進(jìn)入應(yīng)用隔離區(qū)的問題終端。

部署統(tǒng)一認(rèn)證平臺

建立可信認(rèn)證平臺，利用統(tǒng)一的技術(shù)架構(gòu)、統(tǒng)一的身份認(rèn)證系統(tǒng)，實(shí)現(xiàn)身份鑒別、介質(zhì)管理、數(shù)據(jù)保護(hù)、安全審計等防護(hù)功能，便于統(tǒng)一資源管理及統(tǒng)一訪問控制。統(tǒng)一的身份認(rèn)證系統(tǒng)，獨(dú)立于各部門應(yīng)用和綜合辦公系統(tǒng)，一個關(guān)鍵要素是整合各類業(yè)務(wù)系統(tǒng)的認(rèn)證和登錄，實(shí)現(xiàn)統(tǒng)一認(rèn)證和單點(diǎn)登錄；可采用B/S多層結(jié)構(gòu)，開發(fā)具有相對獨(dú)立的認(rèn)證功能構(gòu)件，方便實(shí)現(xiàn)重用。

如圖1所示，用戶身份信息存儲采用LDAP目錄。將各類用戶和應(yīng)用系統(tǒng)信息，通過LDAP目錄服務(wù)，以層次結(jié)構(gòu)和面向?qū)ο髷?shù)據(jù)庫的方式進(jìn)行集中管理，保證數(shù)據(jù)的一致性和完整性，為各類應(yīng)用系統(tǒng)提供統(tǒng)一的用戶身份信息。對LDAP目錄中數(shù)據(jù)的訪問操作由統(tǒng)一身份認(rèn)證服務(wù)Web Services接口實(shí)現(xiàn)。Web Services向各應(yīng)用系統(tǒng)和用戶管理模塊提供一致的身份認(rèn)證接口，應(yīng)用系統(tǒng)只要調(diào)用Web Services接口，即可實(shí)現(xiàn)對LDAP目錄中數(shù)據(jù)的訪問，完成身份認(rèn)證功能。

為保證數(shù)據(jù)庫管理系統(tǒng)可靠運(yùn)行，對認(rèn)證用戶數(shù)據(jù)庫的管理功能，通過身份注冊、審核識別和管理維護(hù)等模塊來實(shí)現(xiàn)。

圖1 統(tǒng)一的身份認(rèn)證平臺技術(shù)架構(gòu)圖

1.身份注冊模塊。提供將用戶信息注冊到統(tǒng)一身份認(rèn)證平臺的功能，注冊審核時，需要使用網(wǎng)絡(luò)辦公系統(tǒng)提供的基礎(chǔ)數(shù)據(jù)進(jìn)行身份信息比對。

2.審核識別模塊。提供用戶登錄驗證、用戶信息查詢、用戶密碼更改等功能?？山Y(jié)合個人身份信息、認(rèn)證密鑰盤、指紋身份識別等信息處理技術(shù)來實(shí)現(xiàn)。

3.管理維護(hù)模塊。提供用戶信息的檢索、審核、修改以及平臺維護(hù)等功能。為網(wǎng)絡(luò)管理員建立后臺管理手段，處理用戶認(rèn)證證書丟失、認(rèn)證信息更換等情況。

統(tǒng)一認(rèn)證平臺部署，可結(jié)合802.1x的認(rèn)證體系，采用“可控端口”和“不可控端口”的邏輯功能，充分實(shí)現(xiàn)業(yè)務(wù)與認(rèn)證的分離，實(shí)現(xiàn)入網(wǎng)認(rèn)證管理、網(wǎng)絡(luò)聯(lián)動控制、報警中心顯示等功能一體化，有效降低網(wǎng)管成本，增強(qiáng)擴(kuò)展性和適應(yīng)性。

實(shí)施網(wǎng)絡(luò)安全管控

首先要落實(shí)網(wǎng)絡(luò)實(shí)名制。要求上網(wǎng)用戶必須用真實(shí)身份證明申請網(wǎng)絡(luò)帳號，通過身份認(rèn)證后才能使用網(wǎng)絡(luò)資源。可采取基于802.1X協(xié)議終端訪問控制、個人生物特征身份鑒別和多重認(rèn)證密鑰等技術(shù)確保其有效落實(shí)。

其次要落實(shí)技術(shù)監(jiān)察手段。組織網(wǎng)絡(luò)的檢查監(jiān)督，對網(wǎng)絡(luò)流量進(jìn)行檢測、識別、統(tǒng)計，對網(wǎng)絡(luò)傳輸內(nèi)容和操作行為進(jìn)行細(xì)粒度審計。加強(qiáng)網(wǎng)絡(luò)安全檢查，對終端接入場所要進(jìn)行電磁探測，對終端接入線路要經(jīng)常巡查，及時發(fā)現(xiàn)排除安全隱患。

第三要落實(shí)安全責(zé)任。按照層次管理、按級負(fù)責(zé)的原則，加強(qiáng)網(wǎng)絡(luò)認(rèn)證設(shè)備的管理，把責(zé)任分解到具體部門、人員；要指定專人負(fù)責(zé)認(rèn)證信息采集，網(wǎng)絡(luò)用戶各項登記信息要詳細(xì)、規(guī)范和準(zhǔn)確；全時監(jiān)控認(rèn)證服務(wù)器的運(yùn)行狀態(tài)；保護(hù)上網(wǎng)帳號、身份鑒別介質(zhì)及證書信息，保證專網(wǎng)專用、專機(jī)專用，嚴(yán)防用戶帳號丟失、證書外泄等問題發(fā)生。