实行物理隔离须把握的几个问题介绍
2013/10/31 9:39:48点击：
2002年8月，中央办公厅、国务院办公厅下发了《关于我国电子政务建设指导意见”》。《意见》明确要求，电子政务网络由政务内网和政务外网组成，政务内网是政务部门的办公网，政务外网主要运行面向社会的专业性服务业务和不需要在内网上运行的业务，两网之间物理隔离，政务外网与互联网之间逻辑隔离。在目前高技术窃密频发的情况下，实行政务内网与公共信息网络的物理隔离，建立封闭的电子政务内网办公环境，是确保各级党政机关及其他涉密单位内部办公网络不受来自外网、特别是境外网络非法攻击的有效举措。它为涉密信息系统划定了明确的安全边界，增强了网络的可控性，有利于内部管理和防范。问题物理隔离技术作为保障政务内网安全的一个重要手段，越来越受到各部门、各单位的高度重视。然而，在实践中，政务内网建设仍存在种种违反物理隔离要求的现象。
在网络建设方面：
1．利用防火墙或网闸代替物理隔离。尽管防火墙技术已经得到广泛应用，但还没有达到对计算机病毒进行有效识别、阻止已通过身份鉴别用户的远程控制等效能。因此，利用防火墙技术进行所谓的内外网隔离，难以保障内网信息、安全。同时，国家保密标准明确规定，严禁将“网闸”用于涉密信息系统和互联网之间。虽然目前有些单位在研制“网络安全隔离与信息交换技术”方面取得了一些进展，但技术水平还没有达到作为内外网物理隔离设备的标准。
2．在政务内网中使用无线网络设备。目前，有些单位将无线路由器、无线交换机等装置安装于政务内网，将带有无线网络功能的终端接入政务内网。这些无线设备如果与外界的无线网络连通，就会造成整个内网物理隔离的失效。由于无线网络的信息是通过电磁波进行传输的，所以在无线网络覆盖的区域内，所有的无线设备都有可能收到网络信息，而无线网络节点也无法确保信息只向特定设备传送。因此，如果政务内网中安装了无线设备，内网信息的安全将无法得到保证。
3．内外网共用一条线路。内外网共用一条线路，不符合物理隔离的规定。政务内网用户终端实行物理隔离主要采取“双布线双用户终端”和“双布线单用户终端”两种方式。若“双布线双用户终端”的两个主机共用一套鼠标、键盘、显示器，则其切换装置必须使用国家保密部门批准的产品。
4．内外网共用一台打印机。目前使用的打印机都带有随机存储器，在未断电的情况下，随机存储器的信息不会被清除。如果打印机既连内网又接外网，将导致内外网物理隔离失效。当计算机由内网状态切换到外网状态后，打印机随机存储器里存储的内网信息就会暴露在外网中。
在管理方面：
1．擅自外联互联网。政务内网中一台计算机外联互联网，将导致整个政务内网的安全性失去保障。从实际情况看，政务内网计算机擅自连接互联网的情况屡禁不止，主要可分为以下几种情况：一是违反保密规定，私自拔插网线连接互联网浏览信息；二是为升级病毒库、下载应用软件，擅自连接互联网；三是计算机出现故障，擅自找人维修，致使其连接互联网；四是内网计算机淘汰，直接转为外网计算机使用。
2．移动存储介质内外网交叉使用。将移动存储介质在内外网交叉使用，间接建立了一条内外网信息交换的通道，如果被“木马”等窃密技术所利用，就会成为破坏内外网物理隔离环境、导致内网信息外泄的渠道。手机、照相机、MP3等设备本身带有存储功能，同移动存储介质一样，不能在涉密计算机上使用。
3．私接无线设备或多功能一体机。无线鼠标、无线键盘等设备，因信号传输采用开放的空间传输方式，导致传输信号暴露于空中，扩大了政务内网的边界，窃密者即可利用特殊设备进行信息拦截，获取信息。具有打印、扫描、传真、复印等功能的多功能一体机，其本身带有存储功能，有些型号的多功能一体机还具有通过电话线或网络向其维修中心发送数据的功能。如果多功能机既与内网连接，同时又与电话相连，则会造成内外网物理隔离失效，存在泄密风险。
4．笔记本电脑未拆除无线网卡。接入政务内网的笔记本电脑如果未拆除无线网卡，在周围有无线网络环境的情况下，会自动访问无线网络设备，并有可能接入无线网络中，带来泄密隐患。
对策
1．独立建网。严格按照国家保密标准中有关物理隔离的具体规定，建设独立的与政务外网毫无连接的政务内网。采用的物理隔离和其他安全保密技术产品，须经过国家保密部门批准。
2．在政务内网终端安装违规外联监控软件。政务内网与互联网实行物理隔离后，如果有终端用户通过电话线、ISDN、ADSL、无线网卡、GPRS／CDMA、双网卡、代理服务器等方式违规接入互联网，就破坏了整个政务内网的封闭环境，使政务内网极易遭受外网的攻击和渗透。对内网终端强制安装违规外联监控软件，用技术手段采取强制阻断方式，禁止违规外联行为，可以有效确保政务内网的安全。
3．严禁内外网共用一台打印机。有的政务内网终端安装使用了隔离卡，但USB等端口没有进行隔离，导致其在内外网切换时共用一台打印机。为此，须对隔离卡进行升级改造，使打印机只能连接内网，或只能连接外网。
4．控制内网计算机的USB等外部接口。对并口、串口、USB等数据接口以及软驱、光驱等设备，要采取注册授权、身份验证等访问控制措施(安装保密技术防护专用系统)，或采用物理封闭接口等方式，防止其使用未授权的移动存储介质，防止其连接手机、照相机等非涉密载体。内网计算机之间的信息交换，可利用通过保密技术防护专用系统认证的专用涉密移动存储介质来实现。
5．提供内外网信息交换安全通道。随着越来越多的部门、单位实行内外网物理隔离，内外网信息安全交换已成为提高工作效率、确保信息安全的急迫问题。然而解决这些问题，是世界各国共同面临的一个技术难题，必须审慎对待，积极作为，逐步解决。目前看，主要有终端级和系统级两种内外网信息安全交换的需求。关于终端级信息导入(外网信息向内网计算机安全导入)问题，可通过安装国家保密局批准的保密技术防护专用系统，利用其“单向导入”功能解决。关于系统级单向导入设备，即外网向内网服务器导入信息的设备相信在不远的将来将面世。终端级信息导出和系统级信息导出设备，研制的技术难度比较大，目前只有采取光盘刻录方式。
6．严格管理。技术靠制度来规范，制度靠技术来保障。要通过建立健全政务内网保密管理制度，将相应的设备、介质、人员真正管理起来，做到台账清晰、使用规范、记录完整。要通过不间断的严格检查，使各项规章真正落到实处，有效确保政务内网的物理隔离，确保政务内网信息的安全。
在网络建设方面：
1．利用防火墙或网闸代替物理隔离。尽管防火墙技术已经得到广泛应用，但还没有达到对计算机病毒进行有效识别、阻止已通过身份鉴别用户的远程控制等效能。因此，利用防火墙技术进行所谓的内外网隔离，难以保障内网信息、安全。同时，国家保密标准明确规定，严禁将“网闸”用于涉密信息系统和互联网之间。虽然目前有些单位在研制“网络安全隔离与信息交换技术”方面取得了一些进展，但技术水平还没有达到作为内外网物理隔离设备的标准。
2．在政务内网中使用无线网络设备。目前，有些单位将无线路由器、无线交换机等装置安装于政务内网，将带有无线网络功能的终端接入政务内网。这些无线设备如果与外界的无线网络连通，就会造成整个内网物理隔离的失效。由于无线网络的信息是通过电磁波进行传输的，所以在无线网络覆盖的区域内，所有的无线设备都有可能收到网络信息，而无线网络节点也无法确保信息只向特定设备传送。因此，如果政务内网中安装了无线设备，内网信息的安全将无法得到保证。
3．内外网共用一条线路。内外网共用一条线路，不符合物理隔离的规定。政务内网用户终端实行物理隔离主要采取“双布线双用户终端”和“双布线单用户终端”两种方式。若“双布线双用户终端”的两个主机共用一套鼠标、键盘、显示器，则其切换装置必须使用国家保密部门批准的产品。
4．内外网共用一台打印机。目前使用的打印机都带有随机存储器，在未断电的情况下，随机存储器的信息不会被清除。如果打印机既连内网又接外网，将导致内外网物理隔离失效。当计算机由内网状态切换到外网状态后，打印机随机存储器里存储的内网信息就会暴露在外网中。
在管理方面：
1．擅自外联互联网。政务内网中一台计算机外联互联网，将导致整个政务内网的安全性失去保障。从实际情况看，政务内网计算机擅自连接互联网的情况屡禁不止，主要可分为以下几种情况：一是违反保密规定，私自拔插网线连接互联网浏览信息；二是为升级病毒库、下载应用软件，擅自连接互联网；三是计算机出现故障，擅自找人维修，致使其连接互联网；四是内网计算机淘汰，直接转为外网计算机使用。
2．移动存储介质内外网交叉使用。将移动存储介质在内外网交叉使用，间接建立了一条内外网信息交换的通道，如果被“木马”等窃密技术所利用，就会成为破坏内外网物理隔离环境、导致内网信息外泄的渠道。手机、照相机、MP3等设备本身带有存储功能，同移动存储介质一样，不能在涉密计算机上使用。
3．私接无线设备或多功能一体机。无线鼠标、无线键盘等设备，因信号传输采用开放的空间传输方式，导致传输信号暴露于空中，扩大了政务内网的边界，窃密者即可利用特殊设备进行信息拦截，获取信息。具有打印、扫描、传真、复印等功能的多功能一体机，其本身带有存储功能，有些型号的多功能一体机还具有通过电话线或网络向其维修中心发送数据的功能。如果多功能机既与内网连接，同时又与电话相连，则会造成内外网物理隔离失效，存在泄密风险。
4．笔记本电脑未拆除无线网卡。接入政务内网的笔记本电脑如果未拆除无线网卡，在周围有无线网络环境的情况下，会自动访问无线网络设备，并有可能接入无线网络中，带来泄密隐患。
对策
1．独立建网。严格按照国家保密标准中有关物理隔离的具体规定，建设独立的与政务外网毫无连接的政务内网。采用的物理隔离和其他安全保密技术产品，须经过国家保密部门批准。
2．在政务内网终端安装违规外联监控软件。政务内网与互联网实行物理隔离后，如果有终端用户通过电话线、ISDN、ADSL、无线网卡、GPRS／CDMA、双网卡、代理服务器等方式违规接入互联网，就破坏了整个政务内网的封闭环境，使政务内网极易遭受外网的攻击和渗透。对内网终端强制安装违规外联监控软件，用技术手段采取强制阻断方式，禁止违规外联行为，可以有效确保政务内网的安全。
3．严禁内外网共用一台打印机。有的政务内网终端安装使用了隔离卡，但USB等端口没有进行隔离，导致其在内外网切换时共用一台打印机。为此，须对隔离卡进行升级改造，使打印机只能连接内网，或只能连接外网。
4．控制内网计算机的USB等外部接口。对并口、串口、USB等数据接口以及软驱、光驱等设备，要采取注册授权、身份验证等访问控制措施(安装保密技术防护专用系统)，或采用物理封闭接口等方式，防止其使用未授权的移动存储介质，防止其连接手机、照相机等非涉密载体。内网计算机之间的信息交换，可利用通过保密技术防护专用系统认证的专用涉密移动存储介质来实现。
5．提供内外网信息交换安全通道。随着越来越多的部门、单位实行内外网物理隔离，内外网信息安全交换已成为提高工作效率、确保信息安全的急迫问题。然而解决这些问题，是世界各国共同面临的一个技术难题，必须审慎对待，积极作为，逐步解决。目前看，主要有终端级和系统级两种内外网信息安全交换的需求。关于终端级信息导入(外网信息向内网计算机安全导入)问题，可通过安装国家保密局批准的保密技术防护专用系统，利用其“单向导入”功能解决。关于系统级单向导入设备，即外网向内网服务器导入信息的设备相信在不远的将来将面世。终端级信息导出和系统级信息导出设备，研制的技术难度比较大，目前只有采取光盘刻录方式。
6．严格管理。技术靠制度来规范，制度靠技术来保障。要通过建立健全政务内网保密管理制度，将相应的设备、介质、人员真正管理起来，做到台账清晰、使用规范、记录完整。要通过不间断的严格检查，使各项规章真正落到实处，有效确保政务内网的物理隔离，确保政务内网信息的安全。
- 上一篇：保密产品检测认证工作流程图介绍 2013/10/31
- 下一篇：使用“文件和文件夹加密”功能方法介绍 2013/10/31
