当前位置：文档之家 › 提升专网运行安全保密性

提升专网运行安全保密性

  • 格式：pdf
  • 大小：178.13 KB
  • 文档页数：3

爨任编辑：越志远　投稿信箱：　ｔａｄｍｉｎ＠３６５ｍａｓ　ｘ。ｍ　信息安全●Ｓｅｃｕｒｉｔｙ　
提升专网运行安全保密性　
一江苏陈沪娟　
系统专网三　
级节点是依托　
基础设施建设，　
通过其与上级　
主管部门专网　
二级节点及四　

某单位统计系统专网三级节点是依托基础设施建　
设，专网的互联互通也是依托互联网网。按照信息系统　
安全保密结构，该单位组织专网三级节点的基本保护、物　
理安全、运行安全、信息安全保密、安全保密管理等方面　
采取下列相应安全保密技术和措施。　

级节点互联，实现系统专网　互联互通的目标。按照信息　系统安全保密结构，在专网　三级节点的基本保护、物理　安全、运行安全、信息安全保　密、安全保密管理等方面采　取下列相应安全保密技术和　措施。　基本防护措施　按照相关标准规定，涉　密系统不得直接或间接接入　互联网，实现物理隔离（上级　部门专网为独立网络，与互　联网没有任何连接）。安全　保密产品通过测评机构的检　测。通过针对安全域边界进　行明确的划分，通过防火墙　和安全隔离与信息交换系统　使安全域与安全域之间的所　有数据通信都安全可控。　物理隔离，同时对违规上网　和非法外联进行监控，实时　阻断。网络设备和服务器放　置于屏蔽机柜。中心机房用　门控系统进行身份鉴别，配　备有监视系统。工作人员进　行区域保护。　媒体（存储介质）包括光　盘、硬盘盒磁带等按照规定　管理。对于涉密设备的维修，　在保密系统指定服务站进行　统一维护，禁止在系统外对　设备进行远程维护和远程监　控，严格控制系统内的设备　远程维护和远程监控操作，　并且对所有维修情况进行日　志记录，对于不再使用或无　法使用的设备按照有关部门　的相关规定在指定销毁中心　及时报废处理。　运行安全措施　物理安全措施　首先对计算机病毒与恶　涉密系统与国际互联网　意代码防护的部署，通过在　客户端安装杀病　毒软件，客户端　通过控制中心进　行定期升级更　新，并制定明确　的文档化计算机　病毒与恶意代码防护策略和　
制度。　
其次进行针对性备份与　
恢复。在本次组网方案中，　
针对网络关键节点采用冗余　
设计，能够大大提高系统的　
可靠性，同时配置了专用备　
份服务器对重要信息进行备　
份，逐步形成一套完整应急　
恢复方案，力求在最短时间　
对信息进行有效恢复。　
第三应急计划和响应策　
略。针对应急计划中的异常　
事件处理办法和回报流程制　
定了能够确保应急计划和响　
应策略正确实施的规章制度　
和管理办法－对系统内的用　
户进行相关应急响应的各项　
知识、技术、技能的培训，明　
确了用户在系统应急响应中　
所担任的角色和责任；对系　
统内的异常事件结合系统内　
实施的安全审计措施，进行　
系统内异常事件的监测。　

ｗｗｗ．３６５ｍａｓｔｅｒ．ｃｏｍ　２０１６　１　ｌ　１ｏ９　
Ｓｅｃｕｒｉｔｙ　Ｉ信息安全　责任编辑：赵志诞　投稿信箱：ｎｅ‰ｄｍｉｎ《３６５　ｎａｓｔｅｎｃ㈣１　
第四加强运行管理。制　定明确的系统运行管理策略　和确保系统运行管理策略正　确实施的相关规章制度；加　强系统配置的管理，并对系　统配置操作进行安全审计；　加强设备接入的管理，控制　违规接入设备对系统资源的　访问，对用户按最小权限原　则进行权限划分，管理员间　的权限能做到互相监督，避　免由于用户权限过于集中带　来的安全风险。　保密防护措施　首先强化访问控制。访　问控制是对全单位统计系统　专网内部用户进行文件和数　据操作权限的限制，主要防　范用户的越权访问。在各密　级安全域之间通过防火墙系　统划分安全域实现网络层面　的权限控制，结合身份鉴别　对应用系统进行应用级的访　问控制。防火墙对数据包的　检测是基于源ＩＰ、目的ＩＰ、　源端口、目的端口和协议类　型这五个元素。在防火墙上　设置源ＩＰ、源端口（协议类　型）与目的ＩＰ、目的端口（协　议类型）之间的访问策略。　凡是不符合防火墙访问策略　的数据包一律予以丢弃。人　为的造成通信失败，用以阻　断非授权的网络访问。在统　计系统专网用户公共程序区　域根据业务应用的服务范围　和用户类型制定网络层访问　控制策略。　其次使用身份鉴别。在　实现系统专网内部用户网　络访问控制的基础上，依托　防火墙系统加强身份认证系　统，实现身份统一识别管理　和安全访问的目的，能够满　足保密标准中关于身份鉴别　的技术要求。　第三进行信息完整性校　验。通过身份认证系统中　数字签名的双重加密的方式　来实现防伪、防赖。专网系　统内部制定文档化的明确的　信息完整性保护策略，并且　通过审计及入侵检测工具对　系统内传输的涉密信息进行　完整性检测，及时发现涉密　信息被篡改、删除、插入等情　况，并生成审计日志。　第四采取电磁泄漏发射　防护。系统内设备及安装使　用满足ＢＭＢ２－－１９９８标准要　求，机房所处建筑物安装满　足ＢＭＢ４－－２０００要求的电磁　干扰器。数据传输线路的电　磁泄漏发射防护采用良好接　地的屏蔽电缆，并与其他并　行非屏蔽线缆应保持１５ｃｍ　
或４５ｃｍ（平行长度大于等　
于３０ｍ时）以上的隔离距离，　
当其他线缆也采取良好接地　
的屏蔽电缆时，最小间隔距　
离为５ｃｍ。本次组网方案对　
于综合布线采用光纤布线到　
房间结合房间内屏蔽线缆的　
方式，能够满足抗电磁干扰、　
搭线窃听、防雷击等方面的　
要求，同时在数据核心位置　
部署屏蔽机柜，在配线间安　
装干扰设备。　
第五采取网络加密传输　
措施。涉密网络中，如采用　
数据明文传输方式，往往使　
得网络窃听可以非常容易得　
手，针对明文网络传输的弱　
点，在接受系统专网中，采用　
数据传输加密方法，对重要　
数据进行加密传输，确保数　
据的安全读取与传输。　
第六定期进行性能检测　
与评估。采用国家相关主管　
部门批准使用的检测工具，　
对系统专网系统进行定期　
安全性检测，检测内容包括，　
操作系统版本、更新、开放端　
口，开放服务等，主要用于分　
析有关网络的安全漏洞及被　
测系统的薄弱环节，给出详　
细的检测报告，并针对检测　
的网络安全隐Ｉ下转第１１　１页】　
资任编辑：赵志近　投稿信箱：　ｔａｄｍｊｎ４１：３６５ｍａｓｔｅ　ｃ０ｍ　信息安全－Ｓｅｃｕｒｉｔｙ　
ＳＮＭＰ服务弱口令安全漏洞防范　
一黑龙江丛红艺　
很多操作系　
统或者网络设备　
的ｓＮＭＰ代理服　
务都存在默认口　
令。如果用户没　
有修改这些默认　

很多操作系统或者网络设备的ＳＮＭＰ代理服务都　
存在默认口令。如果没有修改这些默认口令或者口令为　
弱口令，远程攻击者就可以通过ＳＮＭＰ代理获取系统的　
很多细节信息。如果攻击者得到了可写口令，它甚至可　
以修改系统文件或者执行系统命令。　

口令或者将这些口令设置为　弱口令，远程攻击者就可以　通过ＳＮＭＰ代理获取系统　的很多细节信息。如果攻击　者得到了可写口令，其甚至　可以修改系统文件或者执行　系统命令。　建议修改ＳＮＭＰ默认口　令或者禁止ＳＮＭＰ服务，其　过程为：　在Ｓｏｌａｒｉｓ系统下，修改　“／ｅｔｃ／ｓｎｍｐ／ｃｏｎｆ／ｓｎ＿ｍｐｄ．　ｃｏｎｆ”中默认的口令，然后　
执行下列命令使之生效：　
＃／ｅｔｃ／ｉｎｉｔ．ｄ／ｉｎｉｔ．　
ｓｎｍ￣ｘｌｘ　ｓｔｏｐ　
＃／ｅｔｃ／ｉｎｉｔ．ｄ／ｉｎｉｔ．　
ｓｎｍｐｄｘ　ｓｔａｒｔ　
在Ｓｏｌａｒｉｓ系统下，执行　
下列命令可以禁止ＳＮＭＰ服　
务：　
＃／ｅｔｃ／ｉｎｉｔ．ｄ／ｉｎｉｔ．　
ｓｎｍ￣ｔｘ　ｓｔｏｐ　
＃ｍｖ／ｅｔｃ／ｒｃ３．ｄ／　

Ｓ７６ｓｎｍｐｄｘ／　
ｅｔｃ／ｒｃ３．ｄ／　
ｓ７６ｓｍ－ｎＩｘｌｘ　
对于像　
Ｗｉｎｄｏｗｓ系　
统，可以参考以　
下方法来关闭ＳＮＭＰ服务　
（以Ｗｉｎｄｏｗｓ　２０００为例）：　
打开控制面板，双击“添　
加或删除程序”，选择“添加　
／删除Ｗｉｎｄｏｗｓ组件”，选　
中“管理和监视工具”，双击　
打开，取消“简单网络管理协　
议”复选框，点击“确定”，然　
后按照提示完成操作。　
在Ｃｉｓｃｏ路由器上可以　
使用如下方式来修改、删除　
ＳＮＭＰ口令：　
【上接第１１　０页】患给出相应的　
修补措施和安全建议。加强　网络信息系统安全功能，提　高内部网络安全防护性能和　抗破坏能力。　第七加强安全审计和行　为审计。在统计专网部署安　全行为审计系统，对重要业　务数据和敏感信息的存储、　传播和处理过程实施安全防　护。最大限度地防止敏感信　息泄漏、被破坏和违规外传，　并完整记录涉及敏感信息的　操作日志，以便日后审计或　
追究相关的泄漏责任。内网　审计系统从内部安全体系架　构和网络管理层面上，实现　内部涉密环境安全的统一。　通过行为审计有效防止系统　内部终端的信息泄漏，同时　对终端系统的软硬件资源实　施安全管理，并对终端系统　的工作状况进行监控和审　计，实现对电子文档的加密。　第八采取其他一些防护　措施。通过在系统内部部　署补丁分发系统，确保服务　
器和客户端在专网封闭环境　
内，可及时安装重要补丁；通　
过署数据库安全审计和运行　
监测系统，对于专网系统内　
数据库前台应用系统提供安　
全保护；通过入侵监控对入　
侵行为的检测与控制，在监　
测的同时结合访问控制系统　
实现攻击事件的阻断。ｃ：】　

ｗｗｗ；３６５ｍａｓｔｅｒ．ＣＯｒｔｌ　２０１６．１　１　１　１　１

合集下载

信息安全保密管理制度

信息安全保密管理制度

信息安全保密管理制度为保守秘密，防止泄密问题的发生，根据《中华人民共和国保守国家秘密法》和国家保密局《计算机信息系统保密管理暂行规定》、国家保密局《计算机信息系统国际联网保密管理规定》，结合本单位实际，制定本制度。

一、计算机网络信息安全保密管理规定(1)为防止病毒造成严重后果，对外来光盘、软件要严格管理，坚决不允许外来光盘、软件在公安专网计算机上使用。

(2)接入公安专网的计算机严禁将计算机设定为网络共享，严禁将机内文件设定为网络共享文件。

(3)为防止黑客攻击和网络病毒的侵袭，接入公安专网的计算机一律安装杀毒软件，并要定时对杀毒软件进行升级。

(4)禁止将保密文件存放在网络硬盘上。

(5)禁止将涉密办公计算机擅自联接国际互联网。

(6)保密级别在秘密以下的材料可通过电子信箱传递和报送，严禁保密级别在秘密以上的材料通过警综平台传递和报送。

(7)涉密计算机严禁直接或间接连接国际互联网和其他公共信息网络，必须实行物理隔离。

(8)要坚持“谁上网，谁负责”的原则，各部门要有一名领导负责此项工作，信息上网必须经过所领导严格审查，并经主管领导批准。

(9)国际互联网必须与涉密计算机系统实行物理隔离。

(10)在与国际互联网相连的信息设备上不得存储、处理和传输任何涉密信息。

(11)应加强对上网人员的保密意识教育，提高上网人员保密观念，增强防范意识，自觉执行保密规定。

(12)涉密人员在其它场所上国际互联网时，要提高保密意识，不得在聊天室、电子公告系统、网络新闻上发布、谈论和传播国家秘密信息。

使用电子函件进行网上信息交流，应当遵守国家保密规定，不得利用电子函件传递、转发或抄送国家秘密信息。

（13）严禁互联网计算机接入公安专网。

（14）严禁公安业务计算机接入互联网。

二、涉密存储介质保密管理规定(1)涉密存储介质是指存储了涉密信息的硬盘、光盘、软盘、移动硬盘及U盘等。

(2)存有涉密信息的存储介质不得接入或安装在非涉密计算机或低密级的计算机上，不得转借他人，存放在本单位指定的密码柜中。

保密安全责任书

保密安全责任书

篇一：信息安全保密责任书信息安全保密责任书为了将内网络和信息安全保密工作落到实处，提高内网络和应用系统使用人员的安全保密意识，增强责任感，确保内网络和信息安全保密，根据“谁主管、谁负责”、“谁使用、谁负责”的管理责任制，制定本安全保密责任书，公司要求每个内网络用户必须做到：一、明确“三方责任”。

一是领导的责任；二是主管部门的责任；三是使用单位的责任。

特别要明确内信息网络使用人责任，认真落实各项安全保密管理规章制度，积极参加各类安全保密学习和活动，知道“一机两用”违规行为的类型，不违反相关的制度规定。

二、熟记“四个严禁”。

一是严禁在非涉密计算机上处理涉密内容；二是严禁在计算机硬盘内存储绝密级信息；三是严禁将工作用计算机和涉密移动存储介质带离办公场所；四是严禁在互联网上使用涉密存储介质。

三、了解“五项措施”。

一是了解入网设备的管理措施；二是了解应用系统和网站的管理措施；三是了解网络边界的管理措施；四是了解数字证书的管理措施；五是了解涉密信息载体的管理措施。

四、遵守“八条纪律”。

一是不准在非涉密网上存储、传输和发布涉及国家秘密的信息；二是不准在内网上编制或传播计算机病毒等破坏程序；三是不准在内网上建立与内工作无关的网站、网页和服务；四是不准在内网上传输、粘贴有害信息或与工作无关的信息；五是不准擅自对内网进行扫描、探测和入侵内信息系统；六是不准对内信息和资源越权访问、违规使用；七是不准私自允许非内人员接触和使用内网网络和信息；八是不准采取各种手段逃避、妨碍、对抗内网络和信息安全保密检查。

本人承诺已按上述要求学习了解掌握有关规定，并遵守以上规定，保守国家秘密，如本人发生违规和泄密行为，接受相关组织纪律及法律法规处理。

单位领导签字： 2o12 年月日责任人签字： 2o12 年月日说明：本责任书签订对象为全体内网络其他使用人员，按一级抓一级，层层抓落实的工作要求，各级内网络使用人员与其上一级领导签订，如科主要领导与分管处领导签订，科内人员与科主要领导签订，也可以处内全体人员直接与处主要领导签订。

利用宽带城域网承载保密专网的方案探析

利用宽带城域网承载保密专网的方案探析

迫 切 需求 。
（） 户 端 通过 ＡＤ Ｌ ４用 Ｓ 方式 接 入 ， 户 前 网点 网络 的稳 定性 。 用
组 网方 案 ：
保 密 专 网 的 建 设 必 须保 证 网 络 的 安 全 端 配备 网络密 码机 。 性 、 密性 、 整性 、 用性 、 扩展 性 ， 别 保 完 可 可 特 是 安全 性 、 保密 性 。
３宽带 城域 网内三 种实现 方式 、
在宽 带城 域 网 内 ， 我们 采用Ｖ Ｎ￣ 术实 Ｐ ． 以下三 种Ｖ Ｎ技 术 ： Ｐ
通过 宽 带 城域 网进行 网络 承 载 ， 以继 可 性 、 扩展 性 ， 而 实现 保 密专 网 的完 整性 、 可 从 可 用性 、 扩展性 ； 过Ｖ Ｎ技 术 ， 以实 现 可 通 Ｐ 可
中图分类号 ： Ｐ ９ Ｔ ３３
文献标 识码 ： Ａ
文章编号 ：０ ７ ４ ６２ １ ）３ ０ ３ － ２ １ ０－９ １（０ １０－ ０ ７ ０
１ 需求 分析 、
拨 号方 式组 建 的 ， 其跟 下属 各 单位 进 行保 为 据 国家 有关 涉 密专 网 的建设 规 定 ， 密 专网 涉 对 网 络 的安 全 性 、 密 性 要 求 非常 严 格 ， 保 原
某单位保密专线网络， 是一个通过窄带 况 ， 拓 扑如上 ， 体说 明 如 下 ： 网络 具
密 信息 传送 的 安全 可靠 的 网络 支撑 平 台 。 单 位 局 端 网 络 平 台 ；） 带 城 域 网 承 载 平 前 就 进 行 加 密 ， 户 数 据 在 出 宽 带 城 域 网 根 ２宽 用
完 全隔 离 。 但是 ， 单位接入网点很多 ， 该 单独 建 设
一
根据用户要求 ， 结合运营商网络具体情 保 密 专 网 的独 立 性 ， 专用 性 ， 证 数据 传 输 保
网络安全与保密

网络安全与保密

单选1、SQL 杀手蠕虫病毒发作的特征是什么 A(1)大量消耗网络带宽(2)攻击个人PC终端(3)破坏PC游戏程序(4)攻击手机网络2、当今IT 的发展与安全投入，安全意识和安全手段之间形成 B(1)安全风险屏障(2)安全风险缺口(3)管理方式的变革(4)管理方式的缺口3、信息安全风险缺口是指 A(1)IT 的发展与安全投入，安全意识和安全手段的不平衡(2)信息化中，信息不足产生的漏洞(3)计算机网络运行，维护的漏洞(4) 计算中心的火灾隐患4、安全的含义 B(1)security(安全)(2)security(安全)和safety（可靠）(3)safety（可靠）(4)risk(风险)5、网络环境下的security是指 A(1)防黑客入侵,防病毒,窃密和敌对势力攻击(2)网络具有可靠性,可防病毒,窃密和敌对势力攻击(3)网络具有可靠性,容灾性,鲁棒性(4)网络的具有防止敌对势力攻击的能力6、网络环境下的safety 是指 C(1)网络具有可靠性,可防病毒,窃密和敌对势力攻击(2)网络的具有防止敌对势力攻击的能力(3)网络具有可靠性,容灾性,鲁棒性(4)防黑客入侵,防病毒,窃密7、信息安全的金三角 C(1)可靠性,保密性和完整性(2)多样性,容余性和模化性(3)保密性,完整性和可获得性(4)多样性,保密性和完整性8、信息网络安全的第一个时代 B(1)九十年代中叶(2)九十年代中叶前(3)世纪之交(4)专网时代9、信息网络安全的第三个时代 A(1)主机时代, 专网时代, 多网合一时代(2)主机时代, PC机时代, 网络时代(3)PC机时代,网络时代,信息时代(4)2001年,2002年,2003年10、信息网络安全的第二个时代 A(1)专网时代(2)九十年代中叶前(3)世纪之交(4)2003年11、网络安全在多网合一时代的脆弱性体现在 C(1)网络的脆弱性(2)软件的脆弱性(3)管理的脆弱性(4)应用的脆弱性12、人对网络的依赖性最高的时代 C(1)专网时代(2)PC时代(3)多网合一时代(4)主机时代13、网络攻击与防御处于不对称状态是因为 C(1)管理的脆弱性(2)应用的脆弱性(3)网络软，硬件的复杂性(4)软件的脆弱性14、网络攻击的种类 A(1)物理攻击，语法攻击，语义攻击(2)黑客攻击，病毒攻击(3)硬件攻击，软件攻击(4)物理攻击，黑客攻击，病毒攻击15、语义攻击利用的是 A(1)信息内容的含义(2)病毒对软件攻击(3)黑客对系统攻击(4)黑客和病毒的攻击16、风险评估的三个要素 D(1)政策，结构和技术(2)组织，技术和信息(3)硬件，软件和人(4)资产，威胁和脆弱性17、信息网络安全（风险）评估的方法 A(1)定性评估与定量评估相结合(2)定性评估(3)定量评估(4)定点评估19、信息安全中PDR模型的关键因素是 A(1)人(2)技术(3)模型(4)客体19、信息安全的三个时代的认识，实践告诉我们 D(1)不能只见物，不见人(2)不能只见树，不见森林(3)不能只见静，不见动(4)A,B和C20、计算机网络最早出现在哪个年代 B(1)20世纪50年代(2)20世纪60年代(3)20世纪80年代(4)20世纪90年代21、最早研究计算机网络的目的是什么 C(1)直接的个人通信；(2)共享硬盘空间、打印机等设备；(3)共享计算资源；(4)大量的数据交换。