一.信息安全等级保护概述

1. 电子政务信息安全等级保护工作背景

《国家信息化领导小组关于加强信息安全保障工作的意见》(中办发[2003]27号,以下简称“27号文件”)明确要求我国信息安全保障工作实行等级保护制度,提出“抓紧建立信息安全等级保护制度,制定信息安全等级保护的管理办法和技术指南”。2004年9月发布的《关于信息安全等级保护工作的实施意见》(公通字[2004]66号,以下简称“66号文件”)进一步强调了开展信息安全等级保护工作的重要意义,规定了实施信息安全等级保护制度的原则、内容、职责分工、基本要求和实施计划,部署了实施信息安全等级保护工作的操作办法。

27号文件和66号文件不但为各行业开展信息安全等级保护工作指明了方向,同时也为各行业如何根据自身特点做好信息安全等级保护工作提出了更高的要求。电子政务作为国家信息化战略的重要组成部分,其安全保障事关国家安全和社会稳定,必须按照27号文件要求,全面实施信息安全等级保护。

2.电子政务信息安全等级保护定级原则和层级划分

电子政务信息安全等级保护遵循重点保护原则、“谁主管谁负责、谁运营谁负责”原则、分区域保护原则、同步建设原则、动态调整原则。

66号文件中规定信息系统的安全等级从低到高依次包括自主保护级、指导保护级、监督保护级、强制保护级、专控保护级五个安全等级。

3.电子政务等级保护的基本安全要求

电子政务等级保护基本安全要求是对各等级电子政务系统的一般性要求,分为五个等级,从第一级至第五级,对应于五个等级的电子政务系统。对特定电子政务系统的安全保护,以其相应等级的基本安全要求为基础,通过对安全措施的调整和定制,得到适用于该电子政务系统的安全保护措施。

电子政务等级保护基本安全要求分为安全策略、安全组织、安全技术和安全运行四个方面。具体的电子政务等级保护基本安全要求参见相关的国家标准。

二.传统安全域解决方案剖析

传统安全域部署采用了为每个区域构建一个相对独立的物理环境,所属重要区域的设备与外界联系时都要通过该区域的出口防火墙,在一定程度上保护了关键系统的安全,但随着网络技术的不断发展,传统安全域的部署模式逐渐显现出力不从心的态势。

1.传统的安全域解决方案针对各部门的应用系统进行了区分,并通过硬件设备加以保护,但调用不同部门资源的终端用户还集中在一个大的终端接入域中,在这个终端接入域中,各个不同部门的用户能够互相访问,各部门信息则有可能在该区域出现泄漏。

影响:业务部门间数据交叉可达,安全性下降。

2.传统安全域解决方案对于用户访问不同部门服务器时,采用应用层授权的方式,即通过用户的账号及密码来决定是否可以获取相关的资源,没有相关权限的用户则无法获取权限以外的资源,但在应用层面解决授权问题忽略了非授权用户也可以在网络层面访问服务器,这样存在对服务器造成网络攻击的可能性。

影响:不同权限业务靠应用层区分,安全性下降。 

3.传统安全域解决方案中,用户终端可以访问自己所属部门的资源服务器,同时也可以通过Internet出口访问,这样存在非常严重的安全隐患,一旦终端用户被互联网黑客植入木马,则黑客可通过“肉鸡”主机窃取高等级安全域中的信息数据。 

影响:终端成为不同区域的“中间人”,安全性下降。

4.传统安全域解决方案中为每个安全域出口均配置一台防火墙,安全域划分的数量越多,则需要配置的防火墙越多,这样防火墙构成了整个网络的数据交换的核心,这样不但增大了设备的维护数量,也直接影响了数据交换的速度。

影响:安全设备成为网络核心,稳定性下降。 

5.传统的安全域解决方案,对资源服务器进行了较为细致的防护,但对于访问服务器的终端设备缺少关注,而网络中最容易产生安全问题的恰恰是用户终端主机,不同的终端可能存在类似于系统漏洞、无杀毒软件、随意接入网络、无法及时升级等等安全隐患,给网络安全带来极大的潜在危害。

影响:主机安全性难以保障,网络安全性下降。

三.锐捷网络应用安全域解决方案

锐捷网络多年来致力于政府信息化的研究及参与建设工作,通过对等级保护的理解,结合丰富的组网建网经验,在传承了传统的应用安全域解决方案优点的前提下,针对传统方案存在的缺憾进行了改进,形成了高可靠、高安全地新一代应用安全域解决方案。除了解决上一章中切实存在的五个问题,还针对业务管理提出了新的措施。

1.园区网业务逻辑隔离

针对传统安全域解决方案安全域粗粒度划分,数据在终端接入区域有交叉的问题,锐捷网络建议在园区网或者办公局域网采用MPLS/VPN技术,针对不同业务的资源服务器及相关部门的终端机进行不同MPLS/VPN的划分,将相关资源服务器及相关主机与非相关业务及主机进行逻辑隔离,以克服终端接入区数据交叉带来的安全隐患问题。

2.身份管理及网络授权

针对传统安全域解决方案中对于用户身份及授权存在的漏洞,锐捷网络建议在数据链路层进行认证,通过认证的账户在入网时就确定了身份,确定了身份也就随之确定了可以到达网络的权限,即使在同一个MPLS/VPN中,也严格区分了针对不同等级安全域的访问权限。真正做到了依照身份管理,依照应用授权。

3.跨等级安全防护

针对网络中可能存在的“肉鸡”主机问题,锐捷网络通过对用户主机通过硬件U-KEY的认证授权模式,保证客户主机在同一时间段只能访问某一个区域,如访问互联网区域,则不能访问其他的安全域中的服务器,若访问安全域中的服务器,则不能访问互联网,保证了即使被植入木马的主机,在访问服务器资源时也不会被外界控制,从而降低网络中的信息泄漏的概率。

4.安全域边界集中

传统的安全域解决方案在每一个安全域出口处均配置一台防火墙,用于作为与其他安全域硬件隔离的设备及边界防护标志,这样的做法不仅带来了需要管理的防火墙众多,而且整个网络中数据传输的瓶颈出现在防火墙上,从而降低了网络运转的效率;锐捷网络建议在核心交换机上配置安全域隔离卡,来代替各个安全域出口的防火墙,这样即节省了购买众多防火墙的成本,同时也方便管理,并且充分利用了核心交换机的高速转发能力,在保证网络安全的同时,不降低网络的效能。

5.强制主机安全

针对传统安全域解决方案,锐捷网络提出的应用安全域解决方案更切实避免了主机因自身安全的不完整性给网络带来的危害。

应用安全域解决方案要求只有通过身份认证的合法用户才能正常使用网络。对于存在安全隐患的电脑,将其隔离到安全修复平台,并进行修复,只有安全隐患消除后,方可使用网络。最新Windows补丁,杀毒软件病毒库自动下发到所有主机,保证主机的安全性。应用安全域解决方案还提供对USB口、光驱、打印口等端口进行控制,杜绝信息泄露和病毒传播。

6.基于业务的可视化管理

除了解决传统安全域网络中存在的问题,锐捷网络针对电子政务应用系统繁多复杂的客人情况,开发了基于业务可视化管理的网络管理软件,该网络软件可做到实时了解应用系统健康程度、组织结构与应用系统联动,明确性能和故障影响范围、应用系统对基础架构的依赖关系清晰,保障目标明确、重点业务及资源的优化、视图主次分明,权重各异。

四.锐捷网络应用安全域解决方案意义

锐捷网络应用安全域方案是我国第一个全面针对信息系统等级保护要求开发的,切实满足信息系统等级保护需要的,从数据链路层至应用层全面贯穿防护的解决方案。

锐捷网络应用安全域解决方案剖析了传统安全域方案中存在的问题,并对这些问题进行了解决或改进,使得信息系统更安全更稳固的工作,同时也为信息系统等级保护制度如何具体的实施,提出了踏实、可靠、符合标准的建议。

锐捷网络应用安全域解决方案也将随着政府信息化不断向前推进,而进一步完善,并愿意不断追求完美,以求取得更大的成绩及贡献。