创新性隔离系统内网安全综合解决方案

创新性隔离系统内网安全综合解决方案（共4篇）

篇1：创新性隔离系统内网安全综合解决方案

广州市磐固信息科技有限公司

创新性隔离系统内网安全综合解决方案

（一）最优化的本地主机

◇ 最干净、最简单的本地系统：本地系统可以不 安装也不给安装任何应用软件或应用系统。

◇ 最低维护量的本地硬件：本地硬盘不承担运行应用软件 或应用系统，碎片、临时文件等影响本地硬件运行速度的因素最少，维护量也就降到最低。

◇ 最低的中毒概率：本地系统不安装或不给安装应用软件 或应用系统，则病毒和木马进入的概率也最低，同时也降 低了系统的不稳定性和维护量。

◇.最低的配置：可根据单位具体情况配置最优化的硬件 和操作系统，降低成本。

◇ 最低的人为损坏：由于本地系统的技术性封锁，没有特 别授权，终端作业者无法有任何作为，所以不管是故意还是无意的破坏行为，都被封锁，实现最低的人为风险。

（二）高度安全的“磐固"隔离系统

◇“隔离”的高度安全：“进程、粘贴板、硬件运行环境等 的隔离”使得“磐固”隔离系统和本地系统的联系或粘连降到最低值，最大限度隔离了本地系统可能的病毒和木马行为。

◇“隐藏”的高度安全：“隐藏技术”在“磐固”隔离系统 的应用使

广州市磐固信息科技有限公司

广州市磐固信息科技有限公司

得欺骗性、钓钩性病毒和木马无法找到攻击对象。

◇“虚拟”的高度安全：“自带内核、注册表、磁盘系统 等”的“磐固”隔离系统自带使得内核性病毒和木马找不到方向。

◇“管控”的高度安全：“路径转移管控、网络管控”等技 术在“磐固”隔离系统的应用，使得数据的转移必须得到授权才能实现，确保数据的合法转移。

◇“认证”的高度安全：“本地系统对特定硬件的允许、服 务器对硬件信息的认证、密码身份认证”等硬件和操作者的双重确认，安全更有保障。

◇“加密”的高度安全：“硬件环境的自动加解密”使得数 据的保管环境永远处于保密状态。

◇“擦除”的高度安全：“密码连续错误擦除后无法恢复” 使得不慎丢失硬件，也不会泄漏机密。

（三）移动的办公应用

◇内网的移动办公：内部办公网络任意办公，确保某一终端 机故障时操作者可以及时在另一终端机完成工作，不受终端机限制，也不会影响他人工作和泄密的可能。

◇外网的移动办公：外部网络环境中，可以通过服务器进入 内部网络进行及时办公，同时不会在外部网络留下任何信息和痕迹，确保外部工作人员安全无障碍和内部网络环境沟通。

（四）不变的应用和操作

◇原有应用软件或应用系统不变：“磐固”隔离系统无缝支 持原有应用软件或系统，没有应用障碍。

◇原有的安全措施可不改变：原来的安全措施可以衔接。

◇原有的操作方式不变：“磐固”隔离系统只是作为本地系 统和原有应用系统的安全桥梁，不用改变原有的操作方式，零学习、零培训。

广州市磐固信息科技有限公司

广州市磐固信息科技有限公司

这是一种独特创新性的内网安全解决方案，全方位、全过程保障系统、数据的高度安全和安全移动办公，我们将非常高兴根据具体的应 用需求为您提供针对性的解决方案。

面对对象：政府、企事业单位、保密安全机构、部队等

附：广州市磐固信息科技有限公司（网址http://）以获得国家发明专利的操作系统底层技术和多年移动存储的研究为依托，以广东省国家保密局和科技厅的重大科技立项为立足点，独辟蹊径，率先提出和实现了“硬软结合”方法解决系统和数据安全问题，以“硬件和软系统”、“硬隔离和软隔离”、“硬隐藏和软隐藏”、“硬加密和软件加密”、“硬擦除和软擦除”相结合等多项独特技术和解决思路开发的“磐固”系列安全解决方案和产品，实现了在windows环境中保证数据生命周期（生成→存储→转移）的高度安全和隔离移动办公。

广州市磐固信息科技有限公司

篇2：创新性隔离系统内网安全综合解决方案

来自：杭州集控

本文分析了现阶段我国制造行业内网安全的现状和需求，提出建立“以计算机安全防护为基础，以数据泄漏防护DLP为核心，以桌面运维、监控审计、接入控制为辅助，以管理制度为约束”的综合内网安全管理体系，并且对市场上的主流内网产品进行了分析。

1.制造业信息安全现状

近年来我国制造行业信息化发展迅速，大型制造业的网络和各类ERP系统信息化应用系统建设完善，其网络规模较大，信息化程度较高，安全建设相对完善，多数大型制造企业具有网络安全防护体系、计算机防病毒等体系，企业的信息化已经从“建设期”逐渐转入到“维护管理期”；我国制造业中，中小企业居多，在中小企业里，受多种条件限制，信息管理与信息安全没有建设到一个成熟的阶段，相当的一部分企业没有安全规划。在制造企业通过信息化“建设期”的投入逐渐转化为企业真正生产力的同时，对于企业内部网络的维护管理工作显得尤为重要，而首当其冲的就是内网安全管理问题。

2.制造业内网安全需求

经过对制造业信息系统的调研，制造企业最重要的信息资产是企业数字知识产权和企业商业信息，企业数字知识产权包括产品资料、设计文档、图纸、配方、源代码等，企业商业信息包括客户资料、项目资料、招投标文档等。企业数字知识产权和企业商业信息多数以文件形式存在，这些文件一部分集中存储在文件服务器上，更多的是广泛分布在员工的终端计算机上，这些重要数据分散保存，大多数制造企业针对员工的计算机没有统一有效的进行管理，企业重要数据的安全得不到保障，员工对电脑的滥用和对重要数据的泄密途径相当之多，公司内部核心数据被泄密的风险越来越大，必须采用信息安全防护技术手段，结合管理制度，对企业的重要数据实现有效的保护。

计算机病毒防护体系也是内网安全建设必备的内容。包括主机防病毒、主机防火墙、防木马、反间谍软件等，目前大多数的制造企业，都具建设有计算机病毒防护体系，也有很多小型制造业采用个人版杀毒软件，作为计算机病毒防护的措施。

对于地域广泛，计算机分散的大中型制造业，桌面运维也是一种普遍需求，桌面运维作为IT人员的助手，将手工的工作实现自动化，例如软件分发、远程协助等，提高工作效率。

由此可以总结出制造业内网安全的普遍需求：计算机安全防护是基础的需求，数据泄漏防护为核心的需求，桌面运维管理也是常见的需求。通过对制造业内网安全。

“防内胜于防外，技术管理并重，数据安全优先”是本文对制造业内网安全建设的思想，建立“以计算机安全防护为基础，以数据泄漏防护为核心，以桌面运维管理、主机监控审计、网络接入控制为辅助，以管理制度为约束”的综合内网安全管理体系。

1)数据泄漏防护（DLP）建设

数据泄露防护(Data leakage prevention,DLP)，是通过一定的技术手段，防止企业的指定数据或信息资产以违反安全策略规定的形式流出企业。制造企业建设数据泄露防护的价值是既可以防止内部无意的泄密，又能够防止外部入侵的窃密，特别是防止内部员工故意泄密造成损失。

通过数据加密、权限控制来保证数据安全，防止泄密，已经成为国内外DLP厂商的共识，而且也是当前最有效的解决办法，并得到了众多用户的认可。目前市场上主流的数据泄漏防护产品对明文数据的防护，以数据加密、权限控制为主，功能包括：文件透明加解密、文件权限控制、文件授权管理、文件外发管理、文件操作审计等，对加密后的密文保护，也会结合访问控制、身份认证、日志审计、文档备份、系统容灾、业务流程审批、移动设备保护等多种手段进行管理，严密防止内部泄密和外部窃密。

2)计算机安全防护建设

制造企业建立计算机安全防护的价值是通过终端防护，防止外界对终端的入侵，确保终端及网络的可用性，同时也防止入侵造成信息资产外泄或受损。计算机安全防护是内网安全最基础的防护，其功能以主机防病毒和主机防火墙为核心实现安全防护，包括防病毒、防木马、主机防火墙、主机入侵防护、防ARP欺骗、反间谍软件等。

3)桌面运维管理建设

制造企业建设桌面运维的价值是通过自动化的方式，提高IT人员工作效率，节约成本，规范管理。桌面运维是网管产品在桌面的延伸，作为IT人员的工具，将以前手工的工作实现自动化，特别是针对地域广泛，计算机分散的大中型制造业，桌面运维的重要性更加明显，可以显著提高效率、节约成本。桌面运维的功能包括软件分发、补丁分发、远程协助、资产管理、消息群发等。

4)主机监控审计建设

制造企业建设主机监控审计的价值是对员工的操作进行合规控制、行为审计、违规报警，做到事前可控，事后可查，可追究责任。主机监控审计是管理终端上操作用户的活动，确保用户的活动符合法律法规和规章制度。基本功能包括文件操作控制及审计、主机外设接口控制及审计、网络访问控制及审计、打印控制及审计、移动存储管理及审计等。

5)网络准入控制建设

网络准入控制实现只有身份认证通过，且通过健康检查的计算机才能够接入网络，一般只有大中型制造企业有该需求。身份认证检测接入计算机的用户名、口令、IP、MAC等，健康检查检测的接入计算机的病毒软件、补丁状况，对不合格的计算机隔离修复。

6)内网管理制度建设

安全具有“三分技术，七分管理”的理念，对内网安全的制度建设和人员培训也是内网管理的重点。制造企业千差万别，各企业受信息化进程，行业性质，企业规模等诸多要素影响，在安全管理制度的要点可能并不相同，但人员培训、制度规章等都具有一定的共性。

3.国内外主流内网安全产品分析

目前，国内外的内网安全产品种类非常多，且各有特色，本文阐述了针对制造业的内网安全建设方案，下面将结合制造业的需求，对市场上主流的内网安全产品进行评估分析。

1)国外的内网安全与DLP产品

根据近两年的赛迪报告《中国信息安全产品市场研究报告》，在我国终端安全市场占有率排名第一的是美国Symantec公司的SEP产品，SEP产品集成病毒防护、主机防火墙、主机入侵防御、网络准入、DLP等功能为一体，成为终端市场占有率第一的品牌，但是国外DLP产品的设计并不以防止内部故意泄密为主，不能满足制造业内网安全管理中数据泄漏防护的需求。当前，数据泄露防护是当前制造业内网安全最重要的问题。而基于不同的法律环境、文化理念，国外数据泄露防护DLP与国内DLP要解决的具体问题是不同的。区别在于，国外DLP以防外部窃密和内部无意泄密，国外DLP产品（如Mcafee、Symantec）以数据加密、内容识别、出口检测、涉密信息警告和日志审计为主的数据泄露防护(DLP)能够做到的是防止外部网络黑客窃密，设备丢失泄密，或者是防止内部无意间泄密，但是对于那些处心积虑想盗窃内部重要数据信息的内部人员，是无法防止的，也无法进行有效审计。这源于西方发达国家的文化，对自己内部员工作为数据使用者本身是信任的，也不能对内部员工进行内容审计，会侵犯隐私权甚至触犯法律。国内DLP以防止内部故意泄密为主，兼防内部无意泄密、设备丢失泄密、外部入侵窃密。

2)国产的内网安全与DLP产品

国产的内网安全产品以中软公司、北信源公司、亿赛通等公司为代表，各自有专注的特长和优势，国内的产品专注于内网安全和DLP，一般不具有主机防病毒、主机入侵防护等杀毒软件的功能。以中软公司的统一终端安全管理产品为代表的综合内网安全产品，中软内网安全产品是国内最早的内网安全产品，至今有10年发展历史，集成了数据泄漏防护、终端安全管理、主机监控审计、桌面运维管理、网络准入控制等功能，中软产品是内网安全产品中功能“大而全”的代表，其功能设计包含了制造业、军工、军队、政府等各行各业的需求，能够很好的满足制造业内网安全管理的要求。

以北信源公司的VRVSpecSEC终端安全管理体系为代表的产品，该类产品以桌面运维和终端安全为其特长，北信源产品并曾经被赛迪报告评为我国终端安全市场占有率排名第二，但曾经缺乏数据泄漏防护DLP产品线，2010年北信源发布了数据装甲和电子文档安全管理系统，使其产品线拥有了DLP，能够满足制造业内网安全管理的要求。

以亿赛通公司为代表的专注于数据泄漏防护DLP的产品，该类产品专注于DLP，在以DLP为核心的基础上，逐渐扩展终端安全、网络准入、桌面运维等功能，以亿赛通为代表的国内DLP产品也能够满足制造业内网安全管理的要求。

总之，在制造业信息化快速发展的今天，制造企业千差万别，ERP系统信息安全建设各有千秋，笔者建议，在制造业内安全建设中，以数据泄漏防护满足信息资产保护的需求，以桌面运维满足自动化管理的需求，以计算机安全防护满足对终端保护的需求，以主机监控审计满足用户操作合规的需求，以网络准入控制满足终端接入管理的需求，以安全管理制度满足人员管理的需求，建立适合制造企业自身的内网安全管理体系。

篇3：创新性隔离系统内网安全综合解决方案

关键词：混合内网,共享资源,内网安全性,安全方案

1 引言

近几年, 非编与媒资管理系统越来越受到广电部门的重视。系统网络的组建在软硬件技术上早已得到解决, 然而组网的安全问题却一直没有较满意的方案。各广电部门采用了不同的手段与方法来保障内网的安全运行, 其主要方式是:隔离内网与外网的通信;为了避免病毒、木马通过移动存储设备对内网的感染, 内网结点禁止使用移动存储设备。相应的隔离手段无非两种:物理隔离和逻辑隔离。两种手段各有利弊, 物理隔离的确可以从根本上保障内网的安全性, 但资源共享性差, 影响相关部门的工作效率;逻辑隔离主要是从软件技术上来保障内网的安全性, 但影响内网安全的因素如蠕虫病毒、木马、数据监听、数据篡改、网络攻击等技术都在发展, 而且软防御措施或多或少存在系统漏洞, 所以逻辑隔离的手段一般不能从根本上解决安全问题[1]。

本文基于广电部门非编与媒资管理系统应用状况, 在探讨系统部署安全性和存储安全性基础之上结合物理隔离与逻辑隔离各自的特点, 设计了一种非编与媒资系统混合内网的安全方案, 该方案能提供在内网共享外网资源的同时保障内网系统运行的安全性。

2 系统安全方案总体设计思路

非编与媒资系统混合内网是一个媒体制作和媒体资产管理相结合的网络 (系统网络拓扑结构如图1所示) , 保障系统安全性是其中非常重要的一个环节。系统的安全方案主要是在部署安全性和存储安全性基础上, 设计了一种网络数据安全传输方案。

2.1 部署安全性

部署安全性主要包括硬件设备选购安全性、系统软件与应用软件安全性和物理安全性等。

1) 硬件设备选购安全性

硬件设备选购安全性所涉及的主要设备是数据库服务器及磁盘阵列。这两类设备主要是用于存储素材与素材管理信息, 一旦数据丢失或遭到破坏, 将会导致媒体资产的巨大损失。根据非编系统与媒体资产管理系统的要求, 主要从硬件处理性能、数据存储容量、存储设备有效使用周期、网络带宽等因素考虑硬件设备的选购: (1) 硬件处理性能:应以非编与媒体资产管理系统数据库正常处理为目标, 提供双倍的网络带宽供内网各结点访问, 从硬件上保障数据处理过程中的安全性。 (2) 数据存储容量:配置Tbyte级别的核心存储, 将非编存储与媒资管理的素材存储分隔成2块不同的存储区域, 并考虑磁盘阵列及磁带存储的扩展性。 (3) 存储设备有效使用周期:超过使用有效周期的存储设备能够借助于软件迁移的方式, 实现硬件的安全替换。 (4) 网络带宽:内网中传输的主要是视音频素材, 这些文件一般容量较大。为了保障非编网与媒体资产管理网的正常运作, 网络设备应选择高速传输设备 (目前主要是千兆或光纤网) 。

2) 系统软件与应用软件安全性

系统软件主要是指操作系统和数据库系统, 这两类系统软件所面临的主要安全问题是系统漏洞。因此无论部署何种操作系统和数据库系统, 需要保证: (1) 在部署中, 尽可能安装系统软件与应用软件的全部安全升级补丁, 关闭了所有不需要的系统服务, 只对外开放必需的端口。 (2) 由交通工作站负责定期更新系统安全通告, 并委派相关负责人员及时安装最新安全补丁。 (3) 使用防病毒软件进行系统关键文件保护及病毒防御。 (4) 定期检查系统日志, 对可疑操作进行分析汇报。

应用软件主要是指非编套装软件及媒体资产管理软件, 这两类软件所涉及安全性主要有:权限机制、操作日志记录、身份验证和敏感数据保护。

3) 物理安全性

对于物理安全性而言, 主要采用以下安全措施: (1) 服务器应部署于专业的设备管理机房, 做好机房管理工作。 (2) 对于内网各结点, 各种移动存储接口, 部署前在系统BIOS中关闭。服务器在运行过程中, 应该做好各种防护措施。 (3) 对各种存储设备的使用周期进行记录与管理, 及时替换超期使用的存储设备。

2.2 存储安全性

存储安全性主要是指编目数据库及素材在发生恶意程序破坏或物理存储介质发生损坏时的安全措施保障。实践中, 主要采用以下安全策略:

1) 数据库安全

保障数据库安全主要采用备份策略和日志恢复。目前备份的方式主要分冷备份和热备份, 两者各适用于不同应用场合。多数情况下, 采用冷备份方式, 对于数据量大、实时性要求较高的场合采用热备份方式[2]。

对于大型数据库的备份, 主要有如下3种方式:Windows自带的备份程序;数据库管理系统自带的备份工具;由程序员自已编写或采用第三方专有备份程序。

对于非编与媒资混合系统, 实时性要求不高, 可以采用定时备份策略, 该策略在较长时间间隔内 (根据实际情况设定, 下同) 备份数据库, 在短的时间间隔备份事务日志。如果发生数据库崩溃, 可以利用备份数据库和事务日志及数据库恢复技术来还原数据库。在数据库还原期间, 系统工作将被中止, 直至数据库恢复完成。需要说明的是:上述间隔时间设置得越短, 所花费的代价就越大, 发生数据库崩溃事件时, 损失就越小;反之亦然。

数据库备份及事务日志的存储, 可以使用非编数据库与编目数据库双机互备份策略, 即非编数据库与编目数据库分别存储于不同数据服务器上, 分别将备份库和事务日志存储在对方的机器上。

在数据库运行过程中, 还要注意以下几点: (1) 数据库监听地址要有限制, 只对需要访问的网络地址进行监听; (2) 数据库操作授权限制, 对表一级及其以上级别的数据库操作授权不应对应用服务器开放; (3) 所有对素材的编辑、删除操作应记录日志。

2) 素材存储安全性

如图1所示存储网络中, 非编系统与媒体资产管理系统共用数据库服务器 (使用双数据库服务器可以提高数据库安全性) 、磁盘阵列和MDC。

磁盘阵列可按实际情况分配, 一般将磁盘阵列分为A区和B区, 分别用于非编原始素材的存储和编目后节目的存储。

素材形成的流程是:非编系统生成素材, 媒资系统管理素材。这里素材存储在A区, 在经过媒资系统处理后, 可将原始素材复制B区, 称之为节目。由于非编系统和媒资系统采用不同存储区域, 能够保证两系统之间的独立性, 减少实时冲突的发生。有条件的部门还可以使用磁带对节目进行周期性备份。

2.3 网络安全性

网络组成:系统方案中的网络主要由内网与外网2部分组成。内网主要由安全共享区域服务器、数据库服务器/Web服务器/MDC服务器、磁盘阵列、非编工作站及编目工作站等结点组成, 其中安全共享区域服务器负责与外网进行通信, 其他结点直接与安全共享区域服务器进行交互, 而不与外网发生任何通信;外网主要由交通工作站组成, 主要负责收集外网信息。

威胁内网系统安全的因素主要有:病毒、木马、数据监听、数据篡改、网络攻击等。这些因素主要是通过两种接口实现的, 分别是:网络接口和移动存储接口[3]。相对内网而言, 如果隔离了这两种接口, 从技术角度上, 就可以保护内网免受安全问题困扰;但另一方面, 这也隔离了与外界数据的共享, 使内网成了孤岛。为了实现既能保护内网安全, 又能实现内网共享外网数据, 本方案综合各方面因素, 设计了如下网络安全方案:

网络安全方案设计所保护的核心是内网, 只要遏制进入内网的感染流, 就可以有效保护内网的安全性。如上文所述, 内网与外网通信的唯一通道是交通工作站与安全共享区域服务器, 因此, 实现这一通道的安全通信是保护内网免受安全因素困扰的关键。

本网络安全方案中:1) 内网除安全区域共享服务器外的结点禁止了移动存储接口, 避免移动存储接口的感染;2) 内网与外网互联的这一通道的通信方式是通过USB双机互联电缆与专用文件迁移软件共同完成的。USB双机互联电缆是为了隔离内网与外网的网络接口, 而专用文件迁移软件是基于USB双机互联进行通信的数据迁移软件, 在这里它的主要作用是为了实现内网与外网的安全数据通信, 这种方式的主要优点是既能隔离外网不安全因素对内网的影响, 又能实现内网对外网数据的存取。

使用USB双机互联电缆来连接交通工作站和安全共享区域服务器和网卡连接、直接电缆连接或调制解调器连接等方式区别很大, 它借助于专用迁移软件来实现资源共享。专用迁移软件通过设定, 只传送指定的资源, 可有效避免不安全因素进入内网, 从而隔离了感染流, 所以内网中各结点间通过网络接口通信不会影响内网的安全性。

从以上网络安全方案来看, 遏制感染流进入内网的关口是安全共享区域服务器, 即使交通工作站或移动存储设备带有感染流, 按照以上通信流程, 仍然可以保障内网的安全性。需要说明的是, 由于安全共享区域服务器可以使用USB接口, 因此在实际应用中, 需要对该服务器进行特殊管理, 即只允许使用USB双机互联电缆来与外界通信而不允许使用外接移动存储设备来与该服务器通信。

3 小结

本文所设计的方案分别从部署安全性、存储安全性、网络安全性3个层次来解决内网的综合安全性问题。方案在实际使用过程中需要与管理相配合, 在一些广电部门应用点一直运行良好, 实现了内网在共享外网资源的同时有效遏止外网不安全因素的进入。

参考文献

[1]顾巧论, 高铁杠, 贾春福.计算机网络安全[M].北京:清华大学出版社, 2007.

[2]陈波, 于冷, 肖军模.计算机系统安全原理与技术[M].北京:机械工业出版社, 2007.

篇4：创新性隔离系统内网安全综合解决方案

网络安全防范的手段大多强调对来自外部的主动攻击进行防御、检测和处理，并使内部主机承担更多的信任。但是，据统计数字表明，相当多的安全事件均是由于内网用户有意或无意的误操作而造成的。

为保护内网的安全，有很多单位对内外网进行物理隔离或者采用内网边界安全防护技术，即在网络的边缘设置网关型边界防火墙、AAA认证、入侵检测系统IDS等等，对网络入侵进行监控和防护，抵御来自外部的攻击、防止网络资源、信息资源遭受损失，保证业务流程的有效进行。上述措施，一方面是国家有关部门的保密规定；另一方面也是由于没有很好的解决方案，不得已而为之。即使采取上述措施，内网的安全问题还是相当突出，失密泄密的事件时有发生，这就充分说明了对内网进行安全防范、安全检测和安全管理的艰巨性和复杂性。

2 内网安全观念缺乏的背景

相比起外部网络，很多单位内网建设工作起步相对较晚。很多人受传统观念的影响，认为相比起黑客横行、病毒众多的外部互联网，内网就好比个小小的世外桃源，由于和外部网络物理隔绝，因此不需要担心泄密、病毒影响等等；也有很多人（甚至包括一部分网络管理员）认为，所谓内网安全工作，主要是针对计算机病毒而言，只需要简单地在每台客户端安装杀毒软件和防火墙，就可以高枕无忧。事实上，同迅猛发展的Internet不同，内网的发展是渐进性的，其发展趋势是由：单机→无网关简单互联→局域网→目前的广域网。在这个发展过程当中，有一种传统的思维方式被传承了下来，即认为：“脱离Intemet网络的系统是安全的”，这种思维方式产生的历史背景在于，我国的信息化网络发展过程同国外欧美发达国家正好相反，欧美发达国家是最先有的是内部局域网络，然后逐渐发展到今天的Internet；而我国则是先实现公共网络计算机联网、并同国际干线网络联接，再通往千家万户。各个单位在建立内网信息化的过程中，认为所谓的网络安全，主要是针对国际互联网而言，而内部局域网络由于和Internet互不相干，所以在安全方面不需要耗费太多的精力。

3 内网安全威胁及其管理复杂性的分析

以我台最初的内网为例，虽然已经采取了多种方式相结合的安全防护手段，包括：物理隔离、边界防护、政策法规施施等，但事实上，由于网络复杂、终端数目庞大、工作人员使用水平参差不齐等多种原因，导致了网络安全防护系统也未能达到真正理想的效果。而各个终端的不安全行为所导致的信息泄密、病毒传播等问题，无疑是造成内网瘫痪、重要数据损坏、涉密信息泄露等安全事故的严重隐患。

显然，仅仅依靠现有的边界防护，而忽略了网络终端的保障，是无法做到真正意义上的网络安全的，这无疑也加剧了网络管理和安全防范的难度和强度。

由于先前我台缺失终端安全措施，使得许多恶意攻击利用系统漏洞潜入信息服务器和计算机；而目前的防御体系和应急预案仍然尚未能做到快速准确地定位及数据的及时恢复，使得专用内网的信息安全处于前所未有的风险之中，综合起来，主要包括如下几方面的问题:

(1）非法外联：内网终端通过人为链接外网、无线网卡或者手机上网卡等方式直接接入外网，旁路设备在网络边界的安全措施。当内网终端通过非法外联的途径，直接连接的外部网络时，网络边界的访问控制措施形同虚设。

(2）非授权接入：移动终端（笔记本电脑等）和新增设备未经过安全检查和处理违规接入内网或缺乏完善的计算机入网注册登记监管手段和注册管理机制，以致未经允许擅自接入的计算机设备，就很可能造成内网信息的泄露、病毒和木马的传播等不安全因素。而且，非授权接入，具有随机性、隐蔽性和不稳定性的特征，人工检测起来比较困难。

(3) IP地址的盗用：内网中有些访问的权限建立在具体的IP地址的基础之上（即采用的是静态地址），有些人会采取盗用其它合法主机的IP地址，来达到越权访问或者是掩盖网络访问痕迹的目的。

(4）内网的漏洞：如果内网中的服务器、网络设备与终端配置不当，会致使系统存在严重的漏洞，这种存在漏洞的终端一旦遭到了攻击者的利用，将会作为进一步攻击内网的跳板，近年来，频繁爆发的各种网络蠕虫以及木马都是通过这种攻击方式，对内网进行侵扰的。

(5）移动存储设备：移动存储设备主要包括U盘、移动硬盘和光盘等，作为文档交换和共享的工具，常成为病毒木马的传播载体，著名的Autorun病毒、摆渡木马、蠕虫病毒等都以移动存储设备作为载体进行传播、破坏和窃取内网资源的。

(6）网络出现病毒、蠕虫攻击等安全问题后，被感染的终端将成为网络内部的传染源，使得更多的终端遭到病毒、木马和蠕虫等侵袭，发生大规模病毒事件，网管无法快速确定病毒事件源头、找到网络中的薄弱环节，很难有效做到事后分析、加强安全预警；更不能做到对安全事件源的实时、快速、精确定位和远程阻断隔离的操作。

针对上述种种问题，同时考虑到网络规模、网管复杂程度、人员的实际使用水平等因素，网络管理员所面临的网络管理问题十分棘手，传统的管理模式和管理工具已无法满足新形势下的安全需求（见图1），假如上述问题长期得不到解决，将会造成不可预测的严重后果。

为此，内网在安全应用方面，需要有一套凭靠技术手段、网络部署灵活、防护力度落实到各个终端、符合用户习惯、安全措施具体的安全保障办法和措施；需要切实分析具体情况和其它可行性因素，充分考虑安全防护级别的具体要求，合理进行系统功能模块化的分解，根据内网的安全需求设计内网的安全管理方案，在完成大规模部署、节约成本的同时，大幅度提升网络的安全性能和可用性能。

4 内网安全管理系统在实际中的应用

为了进一步提高内网的安全性和稳定性，我台安装了内网安全管理系统，该系统比较全面地对内网进行了系统性、科学性的管理，可以说从跟本上解决了我台内网的安全隐患。该系统依靠技术手段，对内网的信息资源进行收集和汇总，便于网管人员掌握内网的各种情况，并且针对内部网络中的各个环节制定了不同的策略，对各种具体情况作出相应的处理，有效地做到了管理与监控相结合。从功能上分，该系统可以分为软硬件资产管理、终端安全加固、用户行为监控、移动存储介质管理、补丁分发管理、病毒集中防范以及报警及报表管理等几个部分，如图2所示。

(1）软硬件资产的管理

台站所有终端必须通过注册才能够登陆内网，网络管理员可以通过管理系统平台对所有注册终端的硬件状态信息（具体包括客户端计算机名，CPU型号及主频、内存大小、硬盘、光驱、键盘、鼠标、主板、操作系统及版本、IE浏览器及版本等）、软件状态信息、连网情况信息等进行管理。图3为台站内某个终端硬件状态信息。

(2）终端安全加固

内网安全管理系统对台站所有注册终端的软件资源进行统一监控，网络管理员可根据条件，查询指定软件和违规软件的安装情况，对违反规定而导致安全防护措施薄弱的客户端，进行警告或断网等处理，以此提醒或者切断可能成为传染源的终端，防患于未然。

该系统还可以对已经注册的终端开启IP地址与MAC地址绑定的策略，既能够防止ARP病毒的侵扰，也能够实现对终端在进行非法外联的行为时，进行警告和断网处理（如图4所示），并且可以杜绝工作人员任意修改客户端的IP地址。

我台自从对内网终端进行了该策略的部署之后，再没有出现过网络ARP病毒以及内网客户端非法连接外网的情况。

对于没有经过注册的外来终端或网络设备，内网安全管理系统能够进行非授权接入的管理，即在内网中一旦发现有外来终端或设备的接入时，系统能够自动侦测到该终端或设备，并且会及时地通知网络管理人员，对其进行断网处理，如图5所示。

另外，内网安全管理系统能够管理终端外设端口、实现终端注册表监控以及终端流量异常的监控等，加强了原本由于我台工作人员使用水平的局限而导致的终端安全的脆弱性和网络管理的复杂性，巩固了终端安全。

(3）用户行为监控

内网安全管理系统通过技术手段，落实各种管理条例，增强了我台工作人员的安全和保密意识，保护内部的信息不外泄。系统可对工作人员上网访问行为、各种文件操作、网络文件输出等行为进行监控，还可对审计结果提供详实的报表，有利地保障了的内网的信息安全，规范了工作人员的安全行为，强化了安全意识。图6为终端点对点行为监控的界面。

(4) 移动存储介质的管理

移动存储介质的的不规范管理可以说是我台比较严重的问题，可以说它是病毒传播以及保密文件泄露的一个主要途径。内网安全管理系统要求对内网中所有使用的移动存储介质，必须经过管理员注册才能使用，并且注册时要进行全面格式化，经过注册过的移动存储介质不能在我台内网以外的网络终端中使用，经过注册的移动存储设备，普通工作人员是无法再进行注销操作的，图7为台站可移动存储审计策略的界面。这样，有效地避免了因移动介质在外部网络与内网之间进行混用，而造成的机密泄露以及病毒、木马程序由外部网络传播到内网的危险，可以说内网安全管理系统帮我们解决了困扰已久的大问题。

(5）补丁分发管理

由于以前我台实现了内外网隔离，所以内网各终端操作系统的漏洞始终无法进行补丁安装，对内网的安全性造成了极大的威胁。内网安全管理系统集补丁安全认证、补丁测试、补丁发放、补丁安装等功能于一体，实现补丁测试、认证、分发综合管理等功能，将认证后的补丁通过统一管理平台向各网络终端进行配送；确保工作人员最终应用补丁的安全性，避免由于终端脆弱性而导致的恶意入侵及病毒传播，同时合理控制网络流量防范拥塞，有效地保障了我台内网的正常稳定运行，图8为台站补丁自动分发策略界面。

(6）病毒集中防范

为了防止内网遭到病毒的侵扰，我台还在内网架设了网络版的病毒服务器，并且通过内网安全管理系统进行集中防范管理，及时对病毒库进行更新，并且针对整个网络制定安全可靠的查杀病毒策略，可以对整个内网进行监控，一旦发现病毒，可以及时进行查杀，使病毒对内网的侵扰减到最小。

(7）报警和报表管理

内网安全管理系统可以对内网中所有的数据进行汇总，并统计成报表，包括：IP地址的占用情况、内网终端数量、各个终端软硬件资产信息、各终端所进行的任何操作以及网络流量等等，各种报表提供给网络管理人员，便于网络管理人员掌握网络所有情况，当内网中任何一个环节出现违规行为时，系统都会自动报警，通知网络管理人员及时处理。这样，就做到对网络运维情况和违规行为等有据可查，图9为台站报警数据汇总界面。

内网安全管理系统可以说是在充分考虑了数据交互和网络的可管理性的基础之上，将内部网络终端的安全管理从终端状态、行为、事件等三个方面来进行防御，并遵循网络防护和端点防护并重的理念，实现了内部网络终端的可控管理，该系统在我台的成功应用也充分证明了这一点。

5 结束语