煙草在線專稿　　摘要：煙草行業信息系統IT服務管理工作實行統一領導、分級管理的制度；早在2006年，湖北省就對地面骨干網統一進行了安全評估，并根據評估結果統一實施了防火墻、入侵檢測、防病毒和漏洞掃描等安全防護系統，實現了網絡層的基礎信息安全防護。可與此相反，行業對企業內網的信息保密問題，卻一直沒有好的防范措施。本文在引進防水墻（Water　Wall）概念的同時，對煙草行業內網安全存在的問題進行了分析；此外，論文在對防水墻的結構作簡單介紹的情況下，結合煙草行業實際，對如何利用防水墻技術保證內網安全做了前景展望。

　　1.引言

　　1.1研究問題的提出

　　防火墻、入侵檢測系統（IDS）、訪問控制、內外網隔離、虛擬專網以及其它針對外網的訪問控制系統，可有效防范來自網絡外部的進攻，但對于煙草行業內部的信息保密問題，卻一直沒有好的防范手段。如果管理不善，內部人員可以輕松地將計算機中的機密信息通過網絡、存儲介質和打印等方式泄露出去，這將會給國家和社會造成重大損失。目前，湖北省局在煙草行業信息系統上制定了一系列管理辦法和工作要求，明確表示，煙草行業的涉密計算機必須采取相應的安全防護措施。為了保障內部信息系統安全，響應國家對煙草行業信息系統安全等級保護建設整改工作的要求；除了依靠傳統的行政管理措施外，對保障內網安全的技術研究，也勢在必行。而防水墻的出現，正好對實現內部安全監管提供了有效的技術手段。

　　1.2國內的研究現狀

　　防水墻（Water　Wall）是相對于防火墻（Firewall）的一個概念，它處于內部網絡中，可隨時監控內部主機的安全狀況，是一個用來加強信息系統內部安全的工具，其最早是由山麗網安在2004年提出來的用于內網防泄露產品。時至今日，它已成為內網防泄露產品的代表。

　　目前，國內市場上，在防止內網信息泄露的技術研發產品上，較為成熟的有“山麗防水墻”系統和“中軟防水墻”系統。不少政府機關、涉密的企事業單位、軍工企業，都通過應用部署此類系統，對內網安全進行了防護。而在煙草行業，由于全省對形成統一的信息化規劃和統一建設的指導綱領仍處于探討時期，信息化建設和應用水平發展雖迅速，卻存在著參差不齊的問題，全省內網安全整改工作至今仍然處于起步階段。

　　2.內網安全隱患分析

　　內網安全是近年來漸漸興起的網絡信息安全研究與應用領域。通過身份驗證、訪問控制和審計跟蹤等技術手段約束、限制、監控企業內部人員對計算機網絡的使用，使得對涉密信息和技術專利等內部信息交換可控，從而保障內網安全。我省煙草行業一直是按照國家相關保密制度的要求和自身的網絡安全體系現狀，將整個網絡按照重要程度劃分為不同的網段，在不同級別的網段之間設置防火墻，并配置一定的訪問控制策略。此外，為了保障對外訪問的相對安全，整個網絡采取內外網隔離的方式，但其仍然避免不了“可信的”內部人員信息泄露問題，具體可分為以下幾種方式：

　　（1）由計算機外設接口（如：開放的USB，DVD/CD-ROM驅動器，打印機驅動器等）造成的信息泄露。

　　（2）由計算機的存儲媒體、介質（如：移動硬盤，U盤等）造成的信息泄露。

　　（3）對文件或文件夾進行不當共享造成的信息泄露。

　　（4）內部人員在使用互聯網服務，如QQ、電子郵件、FTP時，將本單位內部敏感信息傳送到外部或被竊取造成泄密。

　　（5）由屏幕拷貝（照相）、打印機直接打印進行信息竊取造成的信息泄露。

　　（6）由于工作人員的無意，造成的信息泄密。如將一臺發生故障的計算機送修前既不做消磁處理，又不安排專人監修，造成敏感數據的泄密。

　　（7）惡意泄密。這里是指對單位不滿或被他人金錢收買的個別員工采取惡意竊取單位內部信息的行為。

　　因此，為了保障煙草行業內部信息數據的安全，除了依靠必要的行政管理措施，還必須依靠技術手段加強內部網絡的監管。而防水墻的應用，將能很好地解決此類問題。

　　3.防水墻的構成及功能

　　3.1防水墻的系統構成

　　防水墻一般由三部分構成：防水墻服務器，控制臺（防水墻控制工作站）以及客戶端代理軟件。它能提供集中式的管理、分布式的防護，能夠將所管轄系統的全部個人桌面系統納入管理范疇，不遺漏可能的泄密途徑，周密監管、保護網絡資源，并可動態獲取更新和審計。詳細內容如下：

　　（1）防水墻服務器：包括服務器端軟件和支持數據庫，是防水墻系統的核心部分。通過安全認證機制，建立與多個客戶端系統的連接，實現對多個客戶端系統的配置、策略制定、資產管理操作審計等功能。

　　（2）控制臺（防水墻控制工作站）：是系統管理員、操作員、審計員等和防水墻系統交互控制的界面，實現系統管理、參數配置、策略管理和系統審計等功能。控制臺采用分權分級的授權模式，嚴格限制對敏感信息的訪問權限，保證系統信息安全。

　　（3）客戶端代理軟件：安裝與受監控主機上的檢測軟件，強制執行來自服務器的安全策略，根據安全策略檢測客戶端用戶的行為。客戶端軟件采用了嚴密措施，防止本地用戶自行卸載、關閉監控程序。

圖1　防水墻結構圖

　　3.2防水墻的功能介紹

　　防水墻的功能是保護用戶敏感信息不被非法外傳，防止泄露事件發生，從而保證內部信息安全。其主要從以下五個方面著手：

　　（1）擴展身份認證：如果接管Windows身份認證，只需輸入合法的防水墻用戶名和口令即可登錄Windows系統。

　　（2）文件安全服務：它提供了對敏感文件的加解密安全防護，充分利用對稱和非對稱算法的優點對文件和密鑰進行管理。

　　（3）系統資源管理：其多用于收集受控主機上的軟硬件信息，并上傳至服務器作為初始資源信息備份。系統管理人員可以隨時獲得所管理部門的主機的系統資源信息。

　　（4）運行狀況監測：對受控主機，監控其歷史運行狀況，包括：用戶刪除文件、系統服務、屏幕截取等記錄，方便系統管理員查看管理。

　　（5）失泄密防護：可對網絡傳輸、移動存儲帶出和打印打印機到紙介質文稿三種情況，根據實際情況選擇啟用或禁用，還可選記錄日志以備事后追蹤。

　　4.防水墻的應用

　　防水墻將所有與安全相關的內容劃分為三個階段管理，即事前預防、事中監督、事后審計；事前預防包括策略的定義、策略的有效時間和生命周期、策略的維護、策略的繼承以及分級分權管理和相應得配套規章制度的建立等；事中監督包括對四種主要泄密事件類型（網絡傳輸，媒介使用，計算機接口和打印控制）的狀況監控和運行狀況的紀錄；事后審計通過對防水墻系統記錄的運行信息和用戶操作信息進行事后審計，并提供詳細分析報表。結合此種管理方式和防水墻的兩大管理對象（信息和不可靠的人），我們可對前面所分析的煙草行業內網信息安全方面存在的問題，應用防水墻系統進行分類解決：

　　（1）針對計算機外設接口（如：開發的USB，DVD/CD-ROM驅動器，打印機驅動器等）造成的信息泄露，防水墻提供了“主機資源信息管理”功能集中管理客戶機內的硬件、軟件和其它資源。對計算機USB　接口、并口等外設接口進行相應的控制，將客戶端上的外設接口和軟硬件信息傳輸到遠程服務器端，服務器根據管理員事先定制的安全管理策略對各種接口以及其它硬件進行統一管理，包括禁用，卸載等。能有效防止計算機外設接口造成的信息泄露。

　　（2）因計算機的存儲媒體、介質（如移動硬盤，U盤等）造成的信息泄露，可通過使用防水墻系統的“可信移動存儲介質管理”功能，首先對移動存儲介質進行分級，并進行統一認證，使用加密存儲、密級訪問控制等手段，有效防止移動存儲介質在計算機上跨密級使用。對于未經認證的筆記本電腦或移動硬盤、U盤等設施聯網時系統將自動作無效處理。同時系統還將操作涉及的信息及過程生成日志，以便進行事后審計。

　　（3）關于計算機網絡化（如使用QQ，電子郵件，FTP等）造成的信息泄露，可運用防水墻所提供的“擴展身份認證”和“文件安全服務”功能，用戶首先通過身份驗證機制登錄到防水墻客戶端，防水墻身份認證系統會接管Windows　身份認證系統，通過設置安全域、授權、對文件加密實現內網用戶之間文件共享互傳。有效地防止了文件在傳輸途中可能造成的泄密，也防止了電腦丟失可能造成的泄密事件的發生。此外，防水墻的“運行狀況監控”功能，可以預先對某些網絡活動進行阻止，防止通過網絡傳送敏感數據或瀏覽無關工作的網站。也杜絕了內部人員使用QQ、電子郵件、FTP等將本行業內部敏感信息傳送到外部造成的泄密。

　　（4）對于由屏幕拷貝（照相）、打印機直接打印造成的信息泄露，可將用戶打印機按科室（部門）分類，放置到專門的機房內，并根據需要設定不同的策略進行控制。即使是在授權狀態下，使用者的打印操作也將受到監控，打印內容會由系統自動備案處理，以便事后審查。與此同時，管理員可根據機房的視頻監控系統隨時監視由顯示器造成的信息泄露。

　　（5）