基于“技术+制度”的单机管理方法研究

陈旸 陈辉

1 核工业理化工程研究院 天津 300180

2 中核404有限公司 甘肃 732850

0 引言

随着计算机的普及应用，无论政府、军队、企事业单位，还是承担国家项目的科研部门，都有大量的涉密资料存储在计算机中。对于这些研单位和部门而言一旦发生计算机失泄密事件，其损失将是难以估量的。目前涉密计算机的安全管理已经成为了一个被高度重视的问题，大家都在积极的探索可用的有效的涉密计算机管理方法。一些单位通过建设涉密网络并部署各类网络安全管理软件，在降低涉密计算机的失泄密的风险上取得了显著的效果，但由于涉密网络初期投入较大，目前还有很多单位受制于客观条件还没有建设涉密网络，计算机的使用也还停留在单机状态。而单机类安全管理软件的功能与网络类相比存在着很大的差距，很多功能如网上流程审批、自动升级系统补丁和病毒库等受客观条件的限制根本无法实现。因此要想做好涉密单机的管理就必须特别加强对保密安全管理的主体，用户层面的管理即人的管理，通过完善的规章制度，特别是通过保证制度的落实情况来实现对涉密单机的有效管理。

1 常见的单机技术管理措施

1.1 主机审计技术

单机的安全审计机制一般情况下并不干涉和影响用户的操作，而是通过对用户的操作进行记录、检查、监控等来完成以审计、完整性等要求为主的安全功能。单机审计的主要问题在于：所有的审计信息都存储在本机，一旦本机的操作系统出现故障，则很可能造成审计日志的丢失。与网络相比单机审计的困难性在于：审计员无法在服务器端直接读取审计日志，而必须到每台主机的现场逐台的去读取该台计算机的审计日志，工作量巨大。而且由于在审计时只能看到本台计算机的审计日志，也很难对很多关联性的事件作出正确的分析和判断。

1.2 USB介质管理技术

介质管理是指通对具有数据存储功能的USB移动设备进行身份注册使之只能在一定范围内的计算机上进行使用。它的使用范围包括通过USB接口连接到计算机上并以逻辑磁盘方式进行数据存取的存储设备，如U盘、移动硬盘等。相对于网络涉密单机需要更多数量的存储介质来进行数据的交互和备份，涉密介质越多泄密的风险和隐患也就越大，管理起来也就越困难。

1.3 USBKEY身份认证技术

目前常见的身份认证方式主要有三种，最常见的是使用用户名加口令的方式，但这也是最原始、最不安全的身份确认方式，非常容易由于外部泄露等原因或通过口令猜测、线路窃听、重放攻击等手段导致合法用户身份被伪造；第二种是生物特征识别技术(包括指纹、声音、手迹、虹膜等)，该技术以人体唯一的生物特征为依据，具有很好的安全性和有效性，但实现的技术复杂，技术不成熟，实施成本昂贵，在应用推广中不具有现实意义；第三种也是现最流行的身份认证方式--基于USB Key的身份认证。基于USB Key的身份认证方式是近几年发展起来的一种方便、安全的身份认证技术。它采用软硬件相结合好地解决了安全性与易用性之间的矛盾。USB Key是一种USB接口的硬件设备，它内置单片机或智能卡芯片，可以存储用户的密钥或数字证书，利用USBKey内置的密码算法实现对用户身份的认证。虽然目前绝大部分单位的涉密计算机已经采用了USB KEY身份认证技术，但很多时候用户为了方便经常不按规定定期更改口令，甚至使用默认口令的情况仍然还屡见不鲜。

1.4 病毒防范技术

首先通过设置中间机来对进入涉密计算机的信息进行恶意代码检测和病毒查杀，并在涉密计算机与中间机上安装不同的杀毒软件来进行多重防御。由于单机无法像网络那样自动对杀毒软件进行升级和全盘查杀，往往要依靠用户自己进行升级和病毒查杀，因此如果用户不按规定操作就会影响病毒查杀的成功率，增加涉密计算机感染病毒和木马的风险。另外由于单机对传输数据的客观要求，很少有单位能完全禁用单机的光驱，而光驱的存在就使得用户可以绕过中间机而直接将信息导入到涉密计算机中，而单机状态下这种行为又是很难被发现的，因此会有部分用户不通过中间机而通过光驱直接将数据导入到涉密计算机，造成计算机感染病毒和木马。

2 单机管理存在的主要问题

首先是维护管理困难，在网络中如果某台客户端上的安全产品发生了问题，管理员可以很容易的从服务器端获悉，并在第一时间做出处理。而单机状态下管理员无法清楚每台机器的使用状态，只能靠计算机的使用人员进行反映，而使用人员往往又不清楚或者根本不关心保密软件的使情况。笔者就曾经经历过在进行安全审计时才发现某台计算机的审计软件和介质管理软件已经失效将近 3个月，也就是说这台涉密计算机在此期间一直是处于没有任何技术防护的状态下的，如果出现什么问题后果将不堪设想。

其次是输入输出控制困难，网络可以比较方便的实现输入输出的集中管理，即整个网络可以指定一个或者几个入口作为外来信息进入网络的唯一路径，信息可以借助于网络进行传递，因此现在大部分涉密网络的客户端都已经取消了光驱，甚至是取消了USB介质。而在单机状态下信息的传递必须要借助于光盘、U盘，因此不可避免的造成了输入点得增加。同理在输出信息时相比于网络，单机由于传递信息不如网络方便，因此往往需要有更多的输出点很难做到和网络一样集中管理。而且网络可以在网上完成输出信息的登记、审批等流程，操作简单方便，而单机则仍需要纸质的登记、审批等环节费时费力。

3 “技术+制度”强化单机的管理

制度建设是涉密计算机保护的基础。近年来，为加强和规范涉密计算机的管理，国家保密局颁布了BMB系列标准，甚至在新的保密法中也对计算机泄密做出了相关的规定。只有通过制度建设才能建立起对涉密计算机安全有效运行的有效屏障。同时结合本单位实际情况，各军工单位也都制定了相应的计算机管理规章制度。以笔者所在的单位为例，保密处和信息中心依据国家相关的法律法规制定了一系列的计算机管理规章制度，如：《计算机及信息系统安全策略》、《涉及国家秘密的计算机信息系统安全保密管理规定》、《通信及办公自动化设备保密管理规定》、《内部计算机管理规定(试行)》等。这些管理规章制度首先明确了涉密计算机“谁使用、谁负责”的原则，主要从用户层面要求责任人要做好自身计算机的防护安全及数据保密措施；并规定了操作涉密计算机及配套的办公自动化设备的规范流程、审批手续，以及电子文档的密级标识等。

针对目前技术防护手段上存在的一些问题，我们必须将技术防护和制度管理相结合，通过制度来弥补技术上存在的不足。例如：

通过建立交叉审计制度，对各个部门的计算机管理员和保密员进行培训，在信息化部门和保密处进行审计的时候配合进行配合，解决了审计工作量大，人员不足的问题。

通过建立涉密载体管理制度，给每个涉密U盘和移动硬盘都指定专门的责任人负责进行管理，为每个涉密U盘配备“涉密U盘使用登记本”，规定除专人使用的涉密U盘，所有的U盘使用都必须进行登记。

在《计算机及信息系统安全策略》中明确规定涉密计算机必须按照要求设置3重口令(BIOS口令、用户口令、屏保口令)，禁止使用默认口令、口令复杂度应符合相关要求，并按照要求定期更换密码。

中间机是信息交换的枢纽，因此首先要抓住源头建立严格的中间机使用制度，中间机制定专人进行管理，为每个部门配备“中间机使用登记审批本”，所有的数据交换必须经过部门领导的批准。在对涉密计算机进行审计的时候要对比涉密计算机的审计日志，和中间机的转换记录是否一致。

建立打印审批制度，每个部门尽量减少输出端口，做到“相对集中，有效控制”，为每台打印机配备“打印登记审批本”规定每台打印机的每次打印操作都要进行登记，打印涉密文件必须进行审批。在对涉密计算机进行审计的时候要对比打印审批登记记录与计算机审计日志是否一致。

建立严格详细的考核与奖惩制度，对于不按规定操作的行为，按照规定予以惩罚。

4 结论

尽管我们采取了各种技术上和管理上的措施，但实际上我们不可能完全消除涉密计算机在管理和使用上所存在的风险，而只能将风险控制在我们可以接受的范围之内。单机与网络相比存在的很多客观缺陷是无法弥补的，因此尽快提升信息化水平建立符合国家要求的涉密网络，才是提升涉密计算机技术管理水平的真正解决之道。

计算机的信息安全的根本在人，以目前计算机的防护水平即便是防护级别最高的涉密网络也很难防范使用者的故意泄密，因此做好涉密人员的保密教育和定期的监督检查工作是搞好所有保密工作的先决条件。总而言之涉密计算机的防护涉及到国家秘密的安全，是一个综合性的复杂问题，它不可能单靠某项技术或某项制度解决，所以应该综合各项安全技术、制度、管理等多项措施，才能保证国家秘密的安全。

[1] 国家军工保密资格审查认证办公室,军工保密资格审查认证工作指导手册.北京：金城出版社.2009.

[2] 莫泓铭,蔡智勇.基于“技术+制度”的校园网络管理方法研究.北京：网络安全与技术应用.2013.

[3] 欧献勇.关于网络安全问题的研究,北京：网络安全与技术应用.2013.

[4] 邢雪梅,刘剑锋.在校园部署上网行为管理系统初探.2013.