卫士通“一key通”内网安全解决方案

互联网 | 编辑: 杨剑锋 2008-05-27 00:30:00转载-投稿
前 言

　　随着信息技术的飞速发展，计算机和网络已成为各行业日常办公、通信交流和协作互动的必备工具和途径。但是，信息系统在提高人们工作效率的同时，也对信息的存储、访问控制及信息系统中的计算机终端及服务器的访问控制提出了安全需求。目前对局域网的安全解决方案，还停留在采用防火墙、入侵检测、网络防病毒等被动防护手段上。这些防护手段还是偏重于“防外”，对于局域网内部的操作者来说，需要一定的手段来限制其“越权”操作；“据2002年美国FBI统计，83%的信息安全事故为内部人员或内外勾结所为，而且呈上升趋势。因此应该以“防内为主、内外兼防”的模式，从提高使用节点自身的安全着手，构建积极、综合的安全防护系统“。“积极防御应该是主动防止非授权访问操作，从客户端操作平台实施高等级防范，使不安全因素从终端源头被控制”。

 解决方案组成
 

　　“一KEY通”就是通过每个用户持有一个USB KEY，就可实现个人计算机及笔记本电脑的安全；完成用户访问局域网资源的身份认证和访问控制；保证用户电子邮件的机密性和完整性；并达到企业涉密文档的安全归档、检索、查阅的目的。

　　“一KEY通”安全解决方案主要由以下几部分组成：
　　　　个人计算机及笔记本电脑安全
　　　　身份认证与访问控制系统
　　　　电子邮件安全
　　　　涉密文档安全管理系统
　　　　用户及证书管理系统

　　以上各部分既相互独立，又协同工作构成一个整体。个人计算机及笔记本电脑安全保证了终端源头的安全；身份认证与访问控制系统提供了局域网内用户网络访问的身份认证和对服务器资源的分权限访问控制；电子邮件安全利用证书，采用数字信封的方式，解决了用户电子邮件收发过程中的机密性和完整性；涉密安全管理系统提供了各行业所有涉密电子文档的归档、存放、检索、查阅的安全控制机制和流程。用户及证书管理系统提供了局域网用户的管理及证书、设备的发行。

　　在实际局域网环境下，用户可以根据控制的重点，选择以上相应的安全保护措施。


 个人计算机及笔记本电脑安全
 　　对于个人计算机及笔记本电脑的安全，我们主要以密码技术为支持、安全操作系统为核心，构建可信计算机终端，从开机认证、数据安全、外设控制、监控审计等几个方面采取全方位的安全保护措施。防止计算机被非法登录访问；防止涉密数据或敏感信息被非法拷贝；防止计算机丢失后，涉密或敏感数据被非法访问。

开机认证

 　　各用户独自的标识信息存于保密的USB-EKEY中，由USB口读入，供终端计算机验证执行部件识别，在验证识别过程中不泄露身份特征信息，做到真正的不可假冒和伪造。如果Key不合法或者是没Key的话，就不能进入Windows系统进行任何操作。


图1 开机认证过程示意图

　　如果用户有事临时有时走开，可以把KEY拔走，这样安全系统就会自动锁定，并把用户的工作环境保存下来，这时除了原持KEY人外，任何人都不能进入用户工作环境。用户回来后把原KEY插进去后，系统就会解除锁定。

 数据安全
 　　系统可以为每个合法用户分配私有目录——文件保密柜。所有进入该私有目录的文件都将被自动加密，拿出（包括剪切、移动和复制）该目录的文件将被自动解密。为了保证私有信息的私密性，任何用户都不能查看和操作其他用户文件保密柜内的文件。
 外设控制
 　　计算机外设，如：光驱、软驱、USB接口是涉密信息或敏感信息流失的主要途径，系统按登录用户的权限来决定能否进行所有移动存储设备的拷贝文件操作，文件的拷入与拷出被作了严格的控制，这将有效地防止文件被非法拷贝。
 监控审计
 　　监控审计主要是对计算机用户的行为进行监督管理，将使用过程中重要信息记录到审计文件中，主管领导能掌握全面情况，便于发现“可疑”情况，及时追查安全事故责任。而且，审计文件只能主管领导才能阅读，不许修改。系统自动记录如下信息：区号、机号、操作类型、操作对象、操作结果、操作时间、操作类型包括以下信息：
　　　　用户登录安全系统与退出系统登记
　　　　受控文件打开，执行、读，写和移动，删除
　　　　敏感对象的移动，删除，重命名
　　　　私有目录内私有文件的打开，读，写和移动，删除，重命名
　　　　私有目录的删除，重命名
　　　　审计文件的打开，读，写和移动，删除，重命名
　　　　安全模块的打开，读，写和移动，删除，重命名
　　　　外设的操作
　　　　插Key和拔Key
　　　　启动发行环境

操作结果包括以下信息：
1、成功 2、失败 3、合法 4、违规
 身份控制与访问控制系统
 　　本系统以密码技术和PKI技术为核心，以数据加密、数字签名、访问控制等安全技术为基础，充分考虑身份认证机制、信息传输安全、权限控制等安全因素，在网络上实现了强有力的身份认证和访问控制功能。使合法用户能够访问网络上的所授权的资源，将非法用户拒绝于网络之外。
身份认证实现了网络用户与服务器之间的双向身份认证，又将RBAC（基于角色的访问控制）溶入到网络协议代理中，对访问网络的用户实施基于角色的访问控制。本系统代理了应用系统的网络协议，并代理用户访问系统的提供的服务，因而，可对网络用户的行为进行全面的审计，大大的提高了系统的安全性。
 网络用户身份认证
 　　网络用户访问网络中的应用服务器时，需完成用户与客户端认证设备(KEY)之间的认证，并利用客户端认证设备(KEY)实现用户与身份认证服务器之间的单、双向身份认证。再通过身份认证服务器的认证后，用户才具有访问应用服务器的令牌。
 重要服务器的访问控制
 　　除了用户在访问网络中服务器时需要对其进行身份认证外，系统还对重要的服务器进行访问控制限制。一方面是用户是否有权限访问服务器，另一方面是用户能访问服务器提供的的哪些服务。例如：一些用户能只能访问服务器提供的WEB服务，另外一些用户只能访问服务器提供的FTP服务；更进一步，某些用户可以访问WEB服务中的所有页面，而某些用户则只能访问WEB服务中的部分页面。
  对资源基于角色的访问控制

　　 RBAC是基于角色的访问控制的英文缩写，基于角色的访问控制技术的特点是：将对访问者的控制转换为对角色的控制，从而使授权管理更为方便实用、效率更高。同时，角色与角色之间可以继承权限，使各个角色的权限划分更为清晰、明确,降低了权限管理的复杂性。
角色可以对应现实生活中的行政角色关系，不同角色的用户可以访问不同权限级别的资源。


图2是角色与访问者即被访问对象（即资源）的关系图； 图3角色权限继承图。图4时身份认证与访问控制系统的部署拓扑示意图。


图2 角色、访问者、被访问对象关系示意图


图3 角色关系继承示意图



图4 身份认证与访问控制系统示意图


 电子邮件安全
 　　在网络办公环境下，移动办公成为提高办公效率的重要手段之一，而电子邮件在移动办公中扮演着重要角色。由于网络的开放性，截获、修改电子邮件事件频频发生，而这一切非法操作俱可在不知不觉之中进行，亦即截获、修改后一般情况下无法觉察，其危害无论在政治性、商业性等各方面都是无可估量的。

卫士通公司开发的“天机胄”之电子邮件安全代理完全解决了电子邮件传递过程中的安全问题，通过密码技术的高科技手段对邮件进行层层保护，避免了电子邮件传送过程中可能受到的攻击，保障了电子邮件的机密性和完整性。
  互联网环境下的网络安全
 　　在互联网环境下，邮件服务器通常位于互联网上，用户所发送和接受的邮件都需经过互联网，而互联网的开放性决定了在其上传输邮件的不安全性。因此，需要采用密码技术手段，保证邮件在互联网传输过程中的机密性和完整性。

电子邮件安全代理，利用USB KEY具有的加、解密功能和数字签名、验证功能，采用代理技术，实现在电子邮件发送时进行加密和签名，接收时进行解密和验证，保证了邮件的机密性和完整性，并可确认发送邮件者的身份和只有合法的接收者收到邮件才能看到邮件的明文。
  局域网环境下的网络安全
 　　在局域网环境下，邮件服务器通常位于局域网的中心机房，如果不采取必要手段，邮件在计算机终端和邮件服务器之间传输过程以及在邮件服务器上都是以明文存在，这对于各行业中涉密信息的安全保密和分权限控制是不利的，很容易造成涉密信息的泻露或没有权限的人看到了涉密信息。

电子邮件安全代理，保证了邮件在局域网中传输过程、以及在邮件服务器上的存储过程中，始终处于密文状态，并且只有合法的用户才能解密该密文。

涉密文档安全管理系统

　　 在单位里，经常会面对下列一些尴尬的情况：
　　　　曾经见到的一份非常有价值的报告或资料，在最需要的时候却找不到；
　　　　新员工加入组织，常因不能充分借鉴前人的经验和智慧而难以入手；
　　　　人员的变化导致企业知识产权的流失，给知识型行业带来致命的伤害；
　　　　大量的涉密文档对归档、检索、查阅提出了很高的要求。
　　　　……

　　因此如何有效第保存、管理和使用涉密文件、档案，是档案信息工作者十分关心的问题。以往都是依靠本地硬盘或网络文件服务系统等方法，但随着人员的流动和文件的积累，往往很难查找到所希望的资料，有时甚至造成了企业重要资产的损失。知识的共享和管理已经成为企业信息系统建设重要的应用，并成为电子协作应用的重要基础。

　　涉密文档安全管理系统是：“能够组织文档的产生、管理文档的存取访问、控制文档的分发、监控文档的流转过程的软件系统”。卫士通涉密文档安全管理系统是构建在关系数据库基础之上的企业级文档管理系统。它能满足上述企业文档安全管理系统的功能要求定义，可以快速组织多样化的工作文档，非常容易地导入、管理和监控企业所有的重要文件，通过有效地分类、安全地存储和管理，并针对日常工作中的经验和文件的积累，可充分发掘企业各类文件、信息、档案的潜在价值为企业服务。


图5 企业文档安全管理系统软件架构


  文档归档安全
 　　

　　文档经提交归档后，涉密文档安全管理系统根据系统要求经 Document Rendition Service 转换成PDF副本文件。Adobe可移植文档格式(PDF)是全世界电子文档分发的公开适用标准。在不同的操作系统环境和应用软件平台上，PDF文件始终如原文件一样显示。特别适合屏幕阅读，跨平台浏览。采用先进的PDF技术，使打印出来的文档绝对不会变形。归档的文件被加密保存在归档数据库中。

  文件存储安全

　　所有归档文件都加密存储在文档数据库中，并进行完整性保护。

　　非授权用户无法访问文档数据库，并且无法解密文档数据库中的文件。

  文件检索安全

　　授权的用户客户端在经过身份确认后，可以打开加密的 PDF文件。

　　整个阅读过程中文档始终处于严密的加密保护状态。客户端加密设备采用USB KEY。




图6 企业文档安全管理系统拓扑图


 用户及证书管理系统

　　用户及证书管理系统是以上几个系统的服务系统，该系统主要完成用户信息录入、用户证书发放、USB KEY的发行等功能。

整体部署图

 　　



图7 局域网安全解决方案整体部署图

相关阅读

每日精选

点击查看更多

最新快讯

热门文章

首页 手机 数码相机 笔记本 游戏 DIY硬件 硬件外设 办公中心 数字家电 平板电脑