通過對專網(wǎng)涉密信息系統(tǒng)的分析研究，從網(wǎng)絡(luò)運行安全、信息安全和安全保密管理等方面綜合考慮。依照等級化保護進行安全防護體系設(shè)計與實現(xiàn)，保證涉密網(wǎng)中傳輸數(shù)據(jù)信息的安全性、完整性、真實性及抗抵賴性，形成事前防護，事中安全檢測，事后審計取證于一體的安全防護體系，達到實體安全、應(yīng)用安全、系統(tǒng)安全、管理安全，以滿足專網(wǎng)涉密信息系統(tǒng)安全防護要求。

一、安全防護系統(tǒng)功能與要求

專網(wǎng)安全防護系統(tǒng)的主要功能是保證專用網(wǎng)絡(luò)達到機密級防護要求。

①從網(wǎng)絡(luò)安全角度考慮應(yīng)具備功能：與其他網(wǎng)絡(luò)實施物理隔離，不同部門之間應(yīng)根據(jù)需要實施邏輯隔離措施，對用戶進行訪問控制；具有網(wǎng)絡(luò)防病毒措施，能通過網(wǎng)絡(luò)實時更新病毒庫；具有網(wǎng)上事件審計記錄能力；具有對違規(guī)事件進行監(jiān)視、報警和控制處理的措施；向控制區(qū)域外傳輸信息應(yīng)具有網(wǎng)絡(luò)加密措施防止信息的非法竊取和篡改；全網(wǎng)建立統(tǒng)一的身份認證體系；設(shè)立網(wǎng)絡(luò)安全管理中心，能夠?qū)W(wǎng)絡(luò)的安全設(shè)備等資源進行管理，對用戶違規(guī)行為進行監(jiān)控：交換機的端口、用戶計算機的MAC地址和IP地址三者綁定。

②從用戶安全角度考慮要求應(yīng)具備功能：涉密網(wǎng)用戶采用專用部件認證；用戶計算機應(yīng)安裝防病毒軟件并及時升級；用戶計算機的操作系統(tǒng)應(yīng)及時安裝補丁程序；用戶計算機應(yīng)關(guān)閉不需要的系統(tǒng)服務(wù)：用戶應(yīng)有互不相同的用戶名和操作口令，保證身份唯一性；涉密網(wǎng)計算機禁止安裝無關(guān)應(yīng)用軟件。

③從應(yīng)用安全角度考慮要求應(yīng)具備功能：應(yīng)用系統(tǒng)軟件應(yīng)及時安裝補丁程序；涉密信息的應(yīng)用系統(tǒng)應(yīng)具有對用戶進行身份認證、對信息進行細粒度授權(quán)訪問控制功能；公共信息服務(wù)器與涉密信息服務(wù)器分設(shè)，只提供專用服務(wù)；文電、業(yè)務(wù)處理等應(yīng)用系統(tǒng)應(yīng)具有簽名驗證、密級標識等功能：提供信息服務(wù)的WWW服務(wù)器具有網(wǎng)頁防篡改措施，防止對信息內(nèi)容非法修改。

二、系統(tǒng)組成

專網(wǎng)安全防護系統(tǒng)由防火墻、入侵檢測、網(wǎng)絡(luò)審計、漏洞掃描、內(nèi)網(wǎng)安全管理與審計、認證/授權(quán)/訪問控制、安全設(shè)備管理平臺、整盤保護、文檔加密、防病毒等系統(tǒng)設(shè)備組成。拓撲示意圖如圖1所示。

在非密、秘密、機密級安全域和服務(wù)器安全域等特定應(yīng)用安全域利用分別配置防火墻設(shè)備進行邊界防護，設(shè)定嚴格訪問控制策略，對區(qū)域間通信進行審計，將日志信息及時傳遞給安全管理中心。

入侵檢測系統(tǒng)對訪問應(yīng)用服務(wù)器的連接進行深層檢測：對各級安全域的訪問會話進行監(jiān)控，記錄訪問者的操作行為；與防火墻系統(tǒng)進行聯(lián)動，對非授權(quán)行為或攻擊事件進行自動阻斷，并進行記錄；將安全事件匯總給安全管理中心，支持全局統(tǒng)一審計要求。

漏洞掃描系統(tǒng)對操作系統(tǒng)、網(wǎng)絡(luò)產(chǎn)品、安全產(chǎn)品、數(shù)據(jù)庫和服務(wù)器進行漏洞檢測和漏洞分析。對安全產(chǎn)品漏洞檢測，防止安全產(chǎn)品自身存在安全隱患，防止黑客利用這些漏洞進入內(nèi)部網(wǎng)或重要安全區(qū)域，對交換機、路由器設(shè)備進行漏洞掃描；對內(nèi)部網(wǎng)服務(wù)器進行定期掃描，及時了解新的系統(tǒng)漏洞；對內(nèi)部網(wǎng)的客戶端進行漏洞掃描，防止內(nèi)部網(wǎng)出現(xiàn)蠕蟲病毒或其它利用系統(tǒng)漏洞的木馬程序。

配置關(guān)鍵主機及涉密終端安全防護設(shè)備，即內(nèi)網(wǎng)安全管理與審計系統(tǒng)，進行防病毒管理、桌面聯(lián)網(wǎng)監(jiān)控、客戶端狀態(tài)管理、設(shè)備注冊、桌面安全審計、桌面補丁分發(fā)管理、桌面應(yīng)用資源控制以及遠程協(xié)助管理等安全控管。對客戶端的注冊表、進程、USB接口、串，并口、光驅(qū)、軟驅(qū)等進行了控制，實現(xiàn)移動介質(zhì)管理，非法外聯(lián)、非法接入阻斷等；對終端進行IP與MAC地址的綁定。

認證／授權(quán)／訪問控制系統(tǒng)包括授權(quán)管理系統(tǒng)、應(yīng)用訪問控制系統(tǒng)、CA、RA和USBkey證書系統(tǒng)等，在專網(wǎng)中建立應(yīng)用層整體的強身份認證體系，建立統(tǒng)一的、可控的用戶管理機制，完成對信息的安全身份鑒別式訪問。

安全設(shè)備管理平臺是一種分布式、跨平臺的安全防護設(shè)備的統(tǒng)一集中管理平臺，它通過對網(wǎng)絡(luò)設(shè)備、安全產(chǎn)品、服務(wù)器主機、數(shù)據(jù)庫、Web服務(wù)等通用應(yīng)用服務(wù)系統(tǒng)在運行過程中產(chǎn)生的日志、消息、狀態(tài)等信息的實時采集以及收集管理員對主機的操作日志，在實時分析的基礎(chǔ)上，發(fā)現(xiàn)各種異常行為并發(fā)出實時告警，并提供對存儲的歷史日志數(shù)據(jù)進行數(shù)據(jù)挖掘和關(guān)聯(lián)分析，通過可視化的界面和報表向管理人員提供準確、詳盡的統(tǒng)計分析數(shù)據(jù)和異常分析報告，協(xié)助管理人員及時發(fā)現(xiàn)安全漏洞，采取有效措施，提高安全等級。

信息系統(tǒng)各類服務(wù)器、客戶端、郵件系統(tǒng)部署網(wǎng)絡(luò)防病毒系統(tǒng)，實現(xiàn)全方位、多層次的病毒防護體系，做到病毒代碼庫統(tǒng)一升級。實現(xiàn)對病毒和惡意代碼的侵入行為的有效防護。將病毒和惡意代碼的查殺日志匯總給安全管理中心。

針對內(nèi)部移動辦公筆記本安裝整盤保護系統(tǒng)，將安全登錄與整盤保護系統(tǒng)與個人文件保險柜的配合使用，保證計算機運行全階段的數(shù)據(jù)存儲安全。加強對涉密文檔控制管理，完善審批流程，實行分級使用管理，防止信息泄密，配置文檔加密系統(tǒng)。