解决方案

国产化平台解决方案

一.  全国产化环境(以飞腾、龙芯、麒麟等软硬件为代表构成的自主可控平台)

环境描述


环境示意图

风险分析

任何操作系统如果管理不善,都会存在安全隐患,其中有些隐患造成的结果往往是致命的。目前我军正在推行自主可控(全国产化)平台,操作系统以银河麒麟为代表。银河麒麟操作系统在安全性方面已经做出了很多实用的改进(包括管理员分权、最小特权、结合角色的基于类型的访问控制、细粒度的自主访问控制、禁止上读下写等安全功能),但是这些安全功能是存在系统层面的,是对系统级用户进行管控。操作系统要迎接大量的应用和用户访问,这就注定了操作系统自身不可能封控的太多,限制太多,所以留下很多的安全隐患,尤其是对应用层面防护效果不够,而且与整个网络环境、用户环境结合到一起时面临的风险更多,大体分为如下几类:

1.  涉密文档分散存储在个人终端之上,管理难度和外泄风险大;

2.  电子信息存储介质不断增多,给保密管理人员带来更大压力;

3.  涉密电子文档的访问控制能力缺失,无法做到细粒度的访问控制;

4.  文档的流转、查看、编辑等行为没有审计;

5.  用户终端和服务器端运行进程没有控制,容易受到病毒木马侵袭。用户可以随意安装、运行各种软件,产生安全隐患;

6.      对用户终端的封控不够,诸如无线网卡、光驱、USB接口、打印设备等可能造成文件外泄的渠道没有得到很好的控制。

解决方案

根据上述的风险,第一步是使用“双洲电子文档集中管理系统”对电子文档建立电子保密室,进行集中存储,使终端不存密。系统还会对电子保密室进行加固,保证涉密电子文档的存储、查看、编辑、传输的安全。并根据人员所在处室、密级、权限等条件设置权限,使人员只能访问相应的文档,不能越权操作。同时,针对办公人员外出办公的需求,提供保密柜、保密包等外出办公产品,保护效果与保密室等同,可以对使用者外出携带的秘密载体进行保护。系统会将电子文档的流转、查看、编辑等行为进行全程审计,提供有效的溯源定位手段。

第二步是使用“双洲终端安全管理系统”对用户终端进行加固。根据用户情况,将网卡、光驱、USB接口、打印设备等进行封控,避免文件通过这些渠道外泄。并且可以对用户安装、运行软件行为进行控制,保证用户无法私自安装任何应用。通过进程黑白名单策略,有效避免恶意程序(病毒、木马等)带来的危害。

方案小结

通过上述解决方案,可以从存储、传输、查看、编辑、授权、外带、审计等多角度实现涉密文档的安全。对终端进行加固和封控,保证了用户区的安全。两个层面的结合初步形成了从终端到服务器端的整体环境安全。

 

 

 

 

 

 

二.  向全国产化过渡阶段环境(包含WINDOWS系统)

环境描述

环境示意图

在将现有平台向全国产化平台过渡的阶段,多数应用系统暂时无法运行在银河麒麟系统上,依然需要运行在WINDOWS系统中。针对这种情况,提供两种模式的解决方案。

模式一:将装有这些应用的WINDOWS系统虚拟化,移植到银河麒麟系统中运行。

模式二:考虑到国产CPU的性能及兼容性问题,可设置独立的基于X86 WINDOWS服务器作为计算代理,提供安全的运行环境,安装WINDOWS业务应用。

风险分析

这种过渡阶段的应对方案所面临的风险,除了第一部分中提到过的风险之外,还要考虑服务器端运行的WINDOWS系统的风险。WINDOWS系统因为承载着对用户开放的各种应用系统,不可避免的暴漏在外。自身的访问控制、权限层级较粗,使得无论是管理人员还是使用人员都具备较多的手段入侵内部窃取、破坏数据。

解决方案

针对在向全国产化平台转换的过渡阶段依然要使用的WINDOWS系统这个额外风险,可以使用“双洲应用安全控制与交换系统”为在WINDOWS上运行的应用进行集中管控、加固和细粒度授权。通过该系统为应用建立统一的安全可信环境,保证只有相关人员可以访问相应系统,而且访问应用系统所用的客户端或浏览器都集中部署在WINDOWS环境中,进行权限控制,保证任何人都无法通过其他的手段访问应用系统窃取、破坏数据。通过该系统访问应用时所产生的所有临时文件均在服务器本地生成,使得客户端无法截取任何数据。

方案小结

通过上述解决方案,将应用系统集中管控、建立可信环境,从而有效避免在过渡阶段使用WINDOWS系统所带来的风险。