军队某基地涉密系统解决方案

　　1. 项目背景

　　很明显，计算机、计算机网络和其所带来的信息数字化大幅度提供了工作效率，也使得海量的信息存储和处理成为了现实。但是，在享受到计算机以及计算机网络所带来的方便性的同时，也出现了目前受到广泛关注的信息安全问题。

　　2. 需求分析

　　由于军队在管理、生产和设计中涉及到大量机密的信息，为了有效的保证网络系统的正常运行和信息的安全性，因此有必要对网络系统进行以计算机资源控制和数据信息安全保护为中心的信息安全实施建立，总结需求如下：

　　1. 保证所有科研、生产和管理用计算机都处于受控的状态，不受管理的计算机不能接入到网内。

　　2. 保证机要数据的安全，不被非法人员使用移动存储设备拷贝带走；

　　3. 对于用户身份管理的加强，保证单机在脱离了网络的情况下不能正常使用或仅能使用非常有限的资源，以便做到有效的“离线数据隔离”

　　4. 对于外设的有效管理，特别是对于同一个外设接口可能接入的不同设备可以识别，对于所有的移动存储设备都能有效禁止，但是对于经认证的设备则可以正常使用；

　　5. 提供基于网络或者基于外设的移动安全“数据交换通道”；

　　6. 对于主机资源的审计，能够有效的对每一台安全域的计算机的资源进行审计和管理；

　　7. 对整个网络实施分段、分域管理和访问控制。

　　8. 确保特定的信息只能对特定的人群开放，非指定人群不能获得信息和使用该类信息

　　9. 受保护数据在区域内受加密保护，且该加密实施对终端用户透明。

　　10.所有数据流动的信息都能进行跟踪和审计。

　　在此基础上，建立信息安全保障体系，确保网络中应用信息的安全性，提高信息网络的管理能力，优化网络资源，充分发挥现有的网络设施，这个思路在技术上和经济上都是可行的。

　　3.　产品介绍

　　3.1. ChinaSec可信网络安全平台

　　ChinaSec可信网络安全平台由可信网络认证系统、可信网络保密系统、可信网络监控系统三个系统组成，从用户身份管理、计算机授权访问、数据自身保密、网络传输控制、外设安全管理、移动存储设备管理、用户行为管理、综合安全设计等方面保证机密数据安全，从而达到防止用户敏感信息泄密的目的，以下详细介绍三个系统的功能：

　　3.1.1. 可信网络认证系统

　　中安源可信认证系统提供一个完整的基础认证平台，解决信息资源统一用户授权和管理的问题。中安源可信认证系统包括服务器、控制台、客户端代理、用户USB令牌和认证代理五个部分组成，其列表清单如下： 

　　中安源可信网络认证系统主要实现了以下功能：

　　1) 实现统一集中的信息服务器资源和计算机资源管理，通过在信息服务器前端放置本系统认证代理网关，可以实现在本系统服务器统一对用户进行各个服务器资源和计算机资源的访问授权，而不再需要分别对每台服务器和计算机进行配置，极大降低了管理工作量；

　　2) 实现了计算机资源的有效管理，管理员可以指定每台计算机的一个或者多个使用者，也可以指定某个用户只能使用那些计算机资源；并且如果用户离机拔出USB Key，用户计算机随即锁定系统，增强了计算机使用的安全性；

　　3) 实现了基于PKI技术的双因素高强度认证，通过USB Key内置的密码芯片和PIN码保护，实现了高强度身份认证，用户身份冒充可能性降到很低；

　　4) 提供了安全保密磁盘，针对每个用户，可以建立自己的保密磁盘，在公共使用的计算机上拥有自己的私人空间，加强了保密性；

　　5) 提供了详细的用户登陆记录，对用户访问服务器资源和登陆计算机的动作进行了详细的记录，利于单位对用户的行为做出评估和审计；

　　6) 支持通用CA中心颁发的X.509证书，可以建立单位统一的认证体系，包括内部资源管理、网上银行、网上报税、数字签名以及其它基于数字证书的应用。

　　3.1.2. 可信网络保密系统

　　中安源可信网络保密系统按照安全级别将网络划分成多个虚拟保密子网（VCN），对虚拟子网内网络通信和文件系统数据交换全面保护。中安源可信网络保密系统包括服务器（VCN Server）、管理中心（VCN MC）、安全网关（VCN Gateway）、转发网关（VCN Switcher）和客户端代理（VCN Agent）五个部分组成，其列表清单如下：

　　中安源可信保密系统主要实现了以下功能：

　　1) 实现对物理网络逻辑上划分成不同的虚拟保密子网，每个虚拟保密子网授权访问服务器区域和Internet，虚拟保密子网之间可以设定信任关系，只有信任的保密子网才能够相互访问，不在虚拟保密网内的计算机不能访问虚拟保密子网中的计算机。

　　2) 通过安全网关硬件设备建立受保护的服务器区域，只有经过认证的计算机才能访问这个区域的服务器资源，非法用户禁止访问服务器资源。

　　3) 网络通信数据内容加密，防止非法接入，保证资网络资源及机密数据不被非法接入的计算机占用、攻击及盗取；防止用户通过拨号设备连接Internet泄漏机密数据。

　　4) 对移动存储设备授权管理，只有经过认证的移动存储设备才能够使用，非法用户的移动存储设备不能在系统中使用，移动存储设备可以认证为正常读写、加密读写、只读、信任域只读、信任域读写等策略，控制了移动存储设备使用权限，保证了数据安全，同时认证后的移动存储设备数据读写对用户透明，不影响用户使用习惯。

　　5) 操作系统盘禁止写数据，防止用户通过操作系统盘泄密数据。

　　6) 本地硬盘数据加密，在不影响用户使用习惯情况下，对本地硬盘数据读写实行透明加解密，防止硬盘丢失后数据泄密。

　　3.1.3. 可信网络监控系统

　　中安源可信网络监控系统是针对计算机终端管理和控制而设计的安全产品。可以对计算机网络连接、操作系统已安装程序、正在运行的程序、服务、驱动、网络共享、网邻使用情况、用户桌面等状态信息进行监控，对计算机进程、程序窗口、计算机各种类型外设端口进行控制，有效的管理和控制了计算机终端，达到了对计算机用户行为的管理和审计。中安源可信网络监控系统包括服务器（MGT Server）、管理中心（MGT MC）和客户端代理（MGT Agent）三个部分组成，其列表清单如下： 

　　中安源可信保密系统主要实现了以下功能：