《2022年涉密政务网络安全方案与实现》由会员分享，可在线阅读，更多相关《2022年涉密政务网络安全方案与实现（8页珍藏版）》请在金锄头文库上搜索。
1、个人资料整理仅限学习使用涉密政务网络的安全设计与实现在网络安全技术不断发展的今天，网络安全不再是防火墙等单一产品所能实现，更不是网络防病毒、入侵检测、身份认证、加密等产品的简单堆砌，而是包括从系统到应用、从设备到服务的完整体系。涉密的政务信息网络安全也不再单纯的是一个技术问题，而是一个技术、制度、工具和管理的紧密结合。本课题结合政府涉密网络的一个建设实例，重点研究在物理隔离情况下的涉密网络的安全防护问题，在对网络系统充分的需求分析基础上，依照我国信息安全体系和相关法规，从物理安全、网络运行安全、信息保密安全、安全保密管理等方面出发，对系统的脆弱性、风险性和面临的威胁进行分析，并依据分析的结果，
2、制定了该系统的安全策略，运用最新网络安全技术和其他相关网络建设的成功经验，进行方案设计，提出制度管理、数据备份和保护，网络防毒技术、身份验证技术、域控制器管理模式、安全审计、防火墙和入 侵 检 测 系 统 联 动 等 多 种 技 术 手 段 ， 形 成 一 整 套 解 决 方 法 ， 并 投 入 使 用 。一计算机网络普遍面临的威胁信息技术的发展有两个方面的影响，一方面网络和信息技术逐渐深入到每一个角落，人们的生活正越来越多的依赖于数字方式的信息或者事务处理，这其中也包含了很多的敏感信息，另一方面，对敏感信息滥用的潜在危险也在日益增长，由于技术、管理等各种原因导致计算机网络面临一种普遍性的威胁
3、。由于以Internet为代表的计算机网络设计者主要目标是互联、互通、共享，而不是安全，使用最广泛的协议TCP/IP 也是在网络技术并不成熟的情况下设计的，该协议己被发现许多安全漏洞和隐患，网络的技术基础十分脆弱。计算机安全协会/ 联邦调查局进行的计算机犯罪及安全调查是一项具有代表性的研究，近几年研究发现，计算机安全漏洞已经被用户所发现，每年造成的损失金额超过了10 亿美元，而 且 这 个 数 字 正 逐 年 在 增 加 。 造 成 损 失 最 大 的 一 项 是 拒 绝 服 务 攻 击 。计算机网络安全是为了保障网络服务的可用性和网络信息的完整性以及机密性。随着网络技术的不断发展，社会信息化
4、程度的不断提高、网络安全问题变得日益严重。造成网络不安全的因素是多方面的，包括人为的、管理上的、技术的和实现上的等多方面的原因11。有鉴于此，一切影响计算机网络系统资源和信息资源的安全性问题都成为了计算机网络安全应考虑的问题，包括安全措施的研究、网络安全技术的研究和安全管理的研究。二主要的网络安全技术，再尽力满足用户的应用。物理隔离技术演变经历了几个阶段：双机双网通过人工磁盘拷贝实现网络间隔离；单机双网等通过物理隔离卡/隔离集线器切换机制实现终端隔离；隔离服务器实现网络间文件交换拷贝等。这些物理隔离方式对于信息交换实效性要求不高，仅局限于少量文件交换的小规模网络中被采用。切断物理通路以避免基于
5、网络的攻击和入侵，但不能有效地阻止依靠磁盘拷贝传播的病毒、木马程序等流入内网。此外，采用隔离卡安全点分散容易造成管理困难。根据用户不同的需求，物理隔离技术分为桌面级和企业级。硬盘隔离卡、物理隔离集线器等能满足一般的对物理隔离的需求，能最大限度地保障用户工作站的安全地访问涉密网络，又可以访问非涉密网络，属于桌面级的应用；单向和双向物理隔离网闸既能够保障涉密网络和非涉密网络之间数据交换的安全又可以很方便的实现单向/双向的数据交换。二）入侵检测技术精选学习资料 - - - - - - - - - 名师归纳总结 - - - - - - -第 1 页，共 8 页个人资料整理仅限学习使用随着网络技术的发展
6、，网络环境变得越来越复杂，对于网络安全来说，单纯的防火墙技 术 暴 露 出 明 显 的 不 足 和 弱 点 ， 入 侵 是 我 们 面 临 的 最 大 问 题 。“ 入侵 ”Intrusion ）是个广义的概念主要是指对系统资源的非授权使用，可以造成系统数据的丢失和破坏、系统拒绝服务等危害。入侵者不仅来自外部，同时也指内部用户的未授权活动：入侵检测系统IDS是一种主动保护自己免受攻击的一种网络安全技术，它从计算机网络系统中的若干关键点收集信息，并分析这些信息，从而发现网络 或 系 统 中 是 否有 违 反安 全 策 略的 行 为 和 遭 到袭 击 的迹 象 。入侵检测是动态安全技术的核心技术之
7、一，也是目前比较成熟的安全技术，传统的操作系统加固技术和防火墙隔离技术等都是静态安全防御技术，对网络环境下日新月异的攻击手段缺乏主动的反应。入侵检测 ，IPS 是一种更主动、机智的防御系统，它的拦截行为与其分析行为处在同一层次 ， 能 够 更 敏 锐 地 捕 捉 入 侵 的 流 量 ， 并 能 将 危 害 切 断 在 发 生 之 前 。三）防火墙技术防火墙是一个或一组实施访问控制策略的系统，它在内部网络和外部网络之间形成一道安全保护屏障，能够根据访问控制策略对出入网络的信息流进行安全控制。它有助于抵御多种恶意Internet通信量，防止它们进入您的系统。有些防火墙有助于防止其他人在您毫无察觉的
8、情况下使用您的计算机攻击其他计算机，还有助于抵挡病毒和入侵者。防火墙可以有不同的结构和规模，可以是一台主机、路由 器 ， 也 可 以 是 多 台 计 算 机 组 成 的 体 系 ， 也 可 以 由 软 件 组 建 . 常用防火墙的类型包括四大类：包过滤型、代理服务型、电路级网关和规则检测防火墙。防火墙技术是内部网络最重要的安全技术之一，主要功能就是控制对受保护网络的非法访问，进行边界防护。但防火墙也有自己的局限，因此它的未来功能将向多方面发展，将一些网络安全功能集成到防火墙中，其中就有两种功能十分重要，第一是用户认证与加密，第二是分布式防火墙的发展。分布式防火墙技术己在逐渐兴起，并在国外一些大
9、的网络设备开发商中得到了实现，由于其优越的安全防护体系，符合未来的发展趋势。而且分布式防火墙还可以有效的堵住内部网漏洞。分布式防火墙安全体系具有以下特点：精选学习资料 - - - - - - - - - 名师归纳总结 - - - - - - -第 2 页，共 8 页个人资料整理仅限学习使用灵活性和易管理性，分布式防火墙是集中管理，在一台管理站上可添加删除、修改资源 ， 并 可 对 所 有 的 资 源 进 行 权 限 设 置 ， 大 大 方 便 了 管 理 员 使 用 ；高可靠性，由于多过滤器的使用可以使网络权限的划分更加细致全面，从而提高了整个系统的安全性；成本低，在分布式防火墙中用得最多的是
10、过滤器，过滤器本身设备简单，与硬件防火墙相比，价格优势很大。黑客一直尝试对连接到网络的计算机发起攻击。防火墙旨在“ 隐藏 ” 在线的计算机，以达到保护计算机的目的。防火墙还可以检测通信，并分析通信的来源和目的地。如果位置受到怀疑的话，那么通信就会被阻断。与某一位置的通信被阻断时，您的防火墙甚至可以创建一个日志文件，上面记录着试图侵入您的计算机的站点的地址和名称。为了安全，每一台连接网络的计算机都需要防火墙。网络防火墙技术是用来加强网络之间访问控制，防止外部网络用户以非法手段通过外部网络进人内部网络，访问内部网络资源，保护内部网络操作环境的特殊网络互联设备。它对两个或多个网络之间传输的数据包，如
11、链接方式按照一定的安全策略来实施检查，以决定网络之间的通信是否被允许，并监视网络运行状态。作为内部网络与外部公共网络之间的第一道屏障，防火墙是最先受到人们重视的网络安全产品之一。防火墙主要产品有堡垒 主 机 、 包 过 滤 路 由 器 、 电 路 层 网 关 、 监 督 型 防 火 墙 等 类 型 。防火包过滤型产品是防火墙的初级产品，其技术依据是网络中的分包传输技术。虽然，包过滤技术的优点是简单实用，实现成本较低，在应用环境比较简单的情况下，能够以较小的代价在一定程度上保证系统的安全，但是无法识别基于应用层的恶意侵人，如恶意的 Java 小程序以及电子邮件中附带的病毒。电路层网关技术实现的防
12、火墙主要是用于把IP 地址转换成临时的、外部的、注册的护地址标准。它允许具有私有IP 地址的内部网络访问因特网，在内部网络通过安全网卡访问外部网络时，将产生一个映射记录，但是并不能真正实现内部网络的有效防护。由于防火包过滤产品和电路网关防火墙产品的技术特点，它们并不能满 足涉密网内网 和外网之间的安全防护要求 。最新的防火墙是监测型防火墙，它能够对各层的数据进行主动的、实时的监测，并在对数据加以分析的基础上，能够有效地判断出各层中的非法侵人。它能够安置在各种应用服务器和其它网络的节点之中，不仅能够检测来自网络外部的攻击，同时对来自内部的恶意破坏也有极强的防范作用。据权威机构统计，在针对网络系统
13、的攻击中，有相当比例的攻击来自网络内部。因此，监测型防火墙不仅超越了传统防火墙的定义，且在安全性上也超越了前两代产品。四）信息加密技术信息加密技术是网络信息安全的核心和关键，它通过软件或者硬件将信息变换或编码，将机密的明文加密变为密文，只有掌握解密方式的接收方才能解密得到明文，从而实现了信息隐蔽。五）网络病毒防护技术面对病毒的猖獗，需要建立有效的技术措施，能从病毒传染的各种可能途径入手，不受病毒种类和变形的限制，能够以防为主，防杀结合，也需要建立合理的病毒防范体系和制度。现 在 网 络 防 病 毒 产 品 得 到 了 快 速 发 展 ， 己 经 具 备 以 下 主 要 技 术 ：1）能够提供集
14、中式安全控管的防毒策略采用架构在服务器端的集中式管理和部署方式，系统人员能够很方便地管理和部署整个网络的防毒策略。通过Web 界面管理主控台，一旦发生紧急状况时，管理者能够从网络上的任一地点通过Web浏览器立即处理。精选学习资料 - - - - - - - - - 名师归纳总结 - - - - - - -第 3 页，共 8 页个人资料整理仅限学习使用2）能够全面防护病毒能删除从各种渠道入侵的病毒、恶意木马和蠕虫；如针对电子邮件、磁盘、光盘、共享档案和网络下载，均要能够有效防堵：除了扫描计算机的文件之外，还能提供随系统开机而启动的木马程序清除工具。3）支持远程化支持远程管理，用户可在主服务器安装
15、系统后远程安装各辅助服务器和客户端。系统管理员可以通过控制台对客户端的瑞星杀毒软件进行设置，避免客户端的疏忽而产生整个病毒防护系统的漏洞。4）自动化系统定时自动核对版本，并提示升级程序。主服务器程序升级后，自动分发给局域网内的各服务器与客户端，进行自动升级。5）智能化对登录的客户端实行版本智能查询核对，保证全部节点版本一致，避免因版本差异导致杀毒能力差异，出现网络防毒的薄弱环节。三实现涉密网络安全的技术手段采用成熟的网络安全产品和技术1.内外网物理隔离内外网独立布线，物理线路上已实现隔离。对于处理涉密信息的内网计算机，采用专机和物理隔离卡相结合的方式，单位大多数人员人手一台计算机，作为内网专机
16、使用，利用一些配置较低的计算机独立的连接外网。实现物理隔离具有如下优势：1）内外网绝对隔离。将单一的PC 从物理上分隔成两个虚拟工作站，它们分别有自己独立的硬和操作系统，并能通过各自的专用接口与网络连接。从而最大限度地保证了内网与外网环境的物理隔离。2）全控制。安装在主板和两块硬盘之间，完全控制硬盘通道。并通过继电器来控制网 和 外 网 间 的 硬 盘 转 换 和 网 络 连 接 ， 保 证 其 工 作 状 态 的 稳 定 性 及 可 靠 性 。3）转换自如。用户可根据需要在任何时间任何系统中方便自如地进行内部网和外部网间的转换。精选学习资料 - - - - - - - - - 名师归纳总结
17、- - - - - - -第 4 页，共 8 页个人资料整理仅限学习使用2.加密机对数据进行加密国家发改委统一配发两台加密机，由成都卫士通股份有限公司生产，加密机密级为机密级，一台用于ATM 网络数据加密，另一台TCP/IP 密码机用于SDH 线路数据传输加密，发改系统所有 网络都采用同 型号的加密机进行加密解密 。三）采用网络防毒技术在现代化的办公环境中，计算机的使用己经非常普遍，几乎所有的计算机用户都不同程度地受到过计算机病毒危害，很多人因此对计算机病毒感到神秘和恐惧。计算机病毒其实就是一种可执行程序，由于和生物界的病毒类似，能够寻找并附着到寄主身上存活，导致寄主的行为异常，因此被形象地比
18、喻为数字病毒。除了自我复制的特征外，很多病毒还被设计为具有毁坏应用程序、删除文件甚至重新格式化硬盘的能力。由于在网络环境下，计算机病毒有不可估量的威胁性和破坏力，因此计算机网络病毒的防范是网络安全性建设中 重 要 的 一 环 。 网 络 反 病 毒 技 术 包 括 预 防 病 毒 、 检 测 病 毒 和 消 除 病 毒 三 种 技 术 。在网络中，计算机病毒的爆发对用户的系统安全和数据安全构成了极大的威胁，一些黑客甚至利用病毒，盗取个人隐私甚至密码账号等信息，严重的可以窃取国家机密。有的病 毒 可 能 造 成 整 个 系 统 瘫 痪 ， 因 此 ， 配 置 网 络 病 毒 防 护 系 统 十
19、分 重 要 。网络防毒技术能够提供集中式安全控管的防毒策略；采用架构在服务器端的集中式管理和部署方式，系统人员能够很方便地管理和部署整个网络的防毒策略。通过Web 界面管理主控台，一旦发生紧急状况时，管理者能够从网络上的任一地点通过Web 浏览器立即处理。本课题所研究的网络使用的是瑞星杀毒软件网络版，一个中心控制台即服务器端，160台客户终端使用授权。由于移动存储设备的使用，造成了一些恶意小程序的感染，虽然没有破坏性，但是也会影响用户的使用，针对一些随移动存储介质的运行而自动运行的病毒，每台计算机都安装了木马扫描程序。虽然终端计算机不能连接Internet进行杀毒软件升级，但可以通过服务器进行
20、自动升级。网络管理员定期下载升级包，存放于瑞星系统中心所在内网服务器上，客户端可以自动扫描新版本进行升级。同时网络管理人员定期不定期进行病毒检查，对于没有及时升级杀毒软件或者感染木马和病毒的计算机，进行单独清理，严重的时候重新安装操作系统。网络防病毒系统可以加强对服务器进行保护，提供对病毒的检测、清除、免疫和对抗能力。在客户端的主机也安装防病毒软件，将病毒在本地清除而不至于扩散到其他主机或服 务 器 。 再 加 上 防 病 毒 制 度 与 措 施 ， 构 成 了 一 套 完 整 的 网 络 防 病 毒 体 系 。以上手段是每个涉密网络必须所具有的功能和防护手段，此外对一些制度和管理手段进行了改
21、进。四）建立灾难恢复系统建立灾难恢复系统，利用在本地或远离灾难现场的地方的备份系统重新组织系统运行和恢复业务的过程，保护数据的完整性，使政务数据损失最少、甚至没有数据损失；快速恢复工作，使业务停顿时间最短，甚至不中断业务。五）对系统定期进行脆弱性检查针对系统和网络漏洞，定期不定期的对系统进行扫描，定期测试和评价系统的安全性，及时发现安全漏洞，包括网络模拟攻击，漏洞检测，报告服务进程，提取对象信息，以及评测风险，提供安全建议和改进措施等功能，帮助用户控制可能发生的安全事件，发现安全隐患。和灾难恢复措施(Disaster Recovery Plan四个部分。本课题所研究的网络备份系统采用一台DEL
22、L 775N NAS服务器、一台DELL 122T磁带机构成，每天晚9 时启动数据备份程序，每晚的数据备份分两步：首先将所数据备份到NAS上；然后将NAS 上的数据备份到磁带上。磁带每周更换一次，每次更换下来的磁带存入委档案室。 NAS 上的数据循环保存一周。每个季度将数据刻录到DVD 光盘上，异地存放，存入档案室。所有办公系统的数据均存放于服务器。在服务器上为特殊用户开辟空间，以便于将重要 数 据 保 存 到 用 户 自 用 的 服 务 器 文 件 夹 上 ， 并 与 服 务 器 数 据 一 同 备 份 。建立备份系统的主要目的是避免由于各种情况造成的网络、数据、系统的不可用给网络中运行的业
23、务造成影响，一旦灾难发生，可以通过该系统为网络的恢复提供有力的保证。备份措施要保证主要线路、关键设备、重要数据、重要系统等要素的可用性，从而保证 电 子 政 务 系 统 的 稳 定 运 行 ， 提 高 其 对 各 类 事 件 的 免 疫 能 力 。2.科学的网络管理方式对网络进行科学的管理，根据实际情况将网络管理分为故障管理、性能管理、配置管理、安全管理、系统管理。1）故障管理。故障管理的目标是确保网络能够可靠、持久的运行。对监控对象进行实时告警监视。当检测到系统异常或报警时，创建报警日志，提供故障诊断和故障的相关性分析，确定其性质和位置，并及时地通知网络管理员，缩短管理员排除故障的时间，保证
24、网络的正常运行。2）性能管理。对网络上各类设备的协议实体、业务的性能统计数据例如网络的吞吐率、响应时间、网络的可用性等）进行采集、分析处理、入库存储，通过各类应用从不同的角度对数据进行分析、显示，帮助用户合理控制网络负荷，提高网络运行质量。性能管理功能主要包括：性能数据采集和处理、异常性能数据监视、性能数据分析、性能数据查询、性能数据报表、性能数据汇总。3）配置管理。对网络、设备、系统参数的修改和配置，以及系统内管理对象的资源配置情况的管理和分析等功能。前者完成对网络、系统、设备、软件等参数配置和控制管理功能；后者主要是对信息资源进行管理、分析。通过图形、文字等形式综合显示出资源信息、以及资源
25、之间的关系，并且具有编辑增加、删除、更改）、分类统计和打印输出这些资源配置数据的功能，掌握和控制网络的状态，包括网络内各个设备的状态及其连接关系，主要包括编辑功能、网络拓扑管理等功能。4）安全管理。安全管理是网管系统正常、安全、可靠运行的保障，包含权限分配管理、注册登记、操作权限检查等功能，实现用户分级和管理分区两种权限管理机制，可以灵活、合理的对系统的使用者进行管理。5）系统管理。对网管系统自身的管理，是网管系统安全可靠、正常运行的保证。主要功能包括设备管理、进程管理、日志管理、备份管理、恢复和容错管理等功能。此外，根据自身网络的特点，独立设置网络防护措施，对多项功能进行开发和改进，提升系统
26、的安全性，在兼顾节约系统资源的同时，提高了网络的高效性和易维护性。3.提升操作系统安全针对不同的服务器，应用不同的服务器安全设置，这里将域控制器安全设置的部分实现功能设置进行解释，这里很多的内容结合了BMZ 1-2000涉及国家秘密的计算机信息系统保密技术要求和BMZ2-2001涉及国家秘密的计算机信息系统安全保密方案设计指精选学习资料 - - - - - - - - - 名师归纳总结 - - - - - - -第 6 页，共 8 页个人资料整理仅限学习使用南的具体要求。为了加强操作系统的安全管理，从物理安全、登录安全、用户安全、文件系统、打印机 安 全 、 注 册 表 安 全 、 数 据 安
27、 全 和 各 应 用 系 统 安 全 等 方 面 制 定 强 化 安 全 的 措 施 。在设置规定的格式后，首先进行安全审核日志设置，对访问权限、容量、持续时间等进 行 详 细 记 录 ， 方 便 后 期 检 查 问 题 ， 并 防 范 非 法 用 户 更 改 日 志 。七）采用域控制器模式进行管理采用 WINDOWS 2000 域控制器模式。用二台IBM255双至强 1.5G CPU，双千兆网卡，双 36G 硬盘 RAID1）与一台IBMEXP300 磁盘阵列柜 14 块 36G 硬盘分为三个RAID5）构成服务器群集，两台服务器均配置为域控制器，所有网内计算机必须加入域，将所有客户端计算机
28、的本地用户权限收回，所有用户只能通过登录域进入计算机进而使用办公内网的网络 资 源 。 所 有 客 户 端 计 算 机 与 网 络 设 备 的 资 源 统 一 由 域 控 制 器 管 理 分 配 。在域控制器上通过用户分组与分组的用户策略配置用户对资源的使用权限。对于所有普通用户的权限设置保证了以下几点：1）用户密码必须至少八位，且必须包含字母。用户名和是登录域控制器和使用网络资源的唯一途径，因密码丢失或泄露而造成的损失由个人承担。系统强制要求密码15 天更换一次。2）用户无权查看与更改客户端计算机的系统协议与IP 地址等客户端设置。3 ）用户无权查看与更改客户端计算机的注册表。4 ） 用 户
29、 无 权 在 客 户 端 计 算 机 上 安 装 应 用 程 序 与 驱 动 程 序 。5）终端用户无权在客户端计算机上格式化硬盘与变更硬盘及其中任何文件夹的权限设置。6）终端用户无权在客户端计算机上安装新的硬件设备包括打印机、扫描仪等。7 ） 终 端 用 户 无 权 在 客 户 端 计 算 机 上 共 享 文 件 夹 与 打 印 机 。8）终端对于用户需要特殊加密保护的文件，在其客户端计算机上的本地硬盘权限通过服务给予特殊设置，确保除该用户之外的其他用户既便是登录进该客户端计算机也无法打开其文件夹与文件。9）终端用户ID 的使用范围受到限制，如领导的ID 只能在自己的计算机及其它个别几 台
30、计 算 机 上 使 用 ， 一 般 用 户 的ID只 能 在 处 室 内 部 的 计 算 机 上 使 用 。10）终端用户的环境设置通过域用户策略实现，使得用户设置的调整更加便利。加入域的计算机可以通过权限设置，确保用户的使用权限。如果用户计算机未加入域或用户未能正确地登录域，用户无法使用网络资源。八）核心交换机上划分VLAN 在实行区域划分策略时，VLAN 技术是主要的划分手段。目前常用的VLAN 主要分为一般 VLAN 和私有VLANPrivate VLAN）。具体都是与VLAN 的实现形式有关，后一种PVLAN是目前最新交换机广域网主流方式。在安全级别较高的情况下如果需要网络用户之间不产
31、生任何的访问 就可使用PVLAN方式以提 高系统的安全性。基于策略组成的VLAN 能实现多种分配方法，包括VLAN 交换机端口、MAC 地址、 IP地址、网络层协议等。网络管理人员可根据自己的管理模式和本单位的需求来决定选择哪种类型的VLAN ，通常情况下 会自主建立很多 的绑定策略。本课题采用的是基于策略划分VLAN 的方法，在核心交换机上对端口进行了VLAN 划分，以处室为单位进行规划，所有委领导划分在一个VLAN 内，设有二个公共VLAN，一个用于服务于全委的应用服务器，一个用于与国家发改委纵向网相连，每个VLAN 设置各自的 IP 段，除了公共VLAN 都可以访问外，其它不同的VLAN
32、 之间禁止访问，禁止文件共享、打印共享。各VLAN 之间不能互相访问，可以避免内部的数据丢失和病毒的传播，使精选学习资料 - - - - - - - - - 名师归纳总结 - - - - - - -第 7 页，共 8 页个人资料整理仅限学习使用整个系统更加安全。九）安全审计的实现自从审计概念提出后，国内外都设计了一些审计系统，大多数网络管理软件也都具有审计功能，基本上以网络审计为主，并且都侧重于某一方面的审计，对内部网络和机器的审计力度远远不够，而大型的网络一般都要进行全面综合的审计，多个审计系统使用起来极不方便，并且对信息的综合分析和综合管理能力会大幅度下降。以后的网络安全产品都将向大型和综
33、合方面发展，完整的功能、统一的管理，跨地区、跨网段、集中管理，都将是最终的发展目标。综合强审计系统从防御到事后取证，从主机到网络，从数据库到应用审计，全面地对整个网络和主机进行保护与审计，可以有力的抵御外部的入侵，就算是被黑客入侵到了内部机器，但也没办法窃取受保护的资源，并且作为一个审计系统，把这些试图窃取资源的行为进行完整的记录，作为一种有力的证据。同时支持分布式跨网段设计，集中统一管理，可对审计数据进行综合的统计与分析，从而可以更有效的防御外部的入 侵 和 内 部 的 非 法 违 规 操 作 ， 最 终 起 到 保 护 机 密 信 息 和 资 源 的 作 用 。审计系统的功能分为以下几种：
34、以及病毒或蠕虫感染、资源消耗情况的审计；硬盘、CPU、内存、网络负载、进程、操作系统安全日志、系统内部事件、对重要文件的访问等的审计。2）对重要数据库操作的审计：主要包括数据库进程运转情况、绕过应用软件直接操作数据库的违规访问行为、对数据库配置的更改、数据备份操作和其他维护管理操作、对重要数据的访问和更改、数据完整性等的审计。对客户端设备的审计：主要包括病毒感染情况、通过网络进行的文件共享操作、文件拷贝 /打印操作。同时可以及时实现非法外联监控，物理隔离网内经常出现私自拨号等非法上网行为，导致物理隔离措施形同虚设，泄密、非法入侵事件时有发生。审计监控系统可以实时地对这些行为进行监控与报警，并记
35、录操作者的主机名、主机IP 以及拨号时间。本课题没有采用现成的网络管理软件和上网行为管理软件进行安全审计的实现，而是更具自己的实际需求，充分利用Windows 2000 Enterprise 所提供的审计功能。自行开发设计出系列符合自己应用要求的审计管理软件，其中包括：用户开关机信息审计；开机硬件信息审计；非法外联设备审计；本机登录信息审计等，利用软件管理实现对硬件软件和入侵 的 检 测 和 审 计 。 所 有 审 计 信 息 都 存 储 于 数 据 库 中 ， 方 便 查 找 和 长 期 存 储 。十）移动存储介质管控系统的应用移动存储介质管控系统利用软件技术，严格杜绝了移动存储介质的内外网交叉使用情况，避免了病毒和特种木马在不同网间的传播，提高了涉密网络的安全性，也解决了涉密网络中存在的一个较大的风险问题。精选学习资料 - - - - - - - - - 名师归纳总结 - - - - - - -第 8 页，共 8 页
