涉密信息系统计算机终端网络化保密技术检查初探

康昊 王阳 陈超

引言：随着涉密信息系统在军工单位的广泛应用，传统的保密技术检查手段已经不能完全适应新形式下安全保密工作的要求，保密技术检查问题日益突出。本文提出一种基于网络远程检查的取证系统，通过该系统发送检查指令，对终端主机进行批量的远程检查。解决了单机检查用人多，用时长，检查无法实现全覆盖、常态化及无法形成有效数据统计分析的问题。

一、前言

随着我国信息化建设的快速推进与发展，重要信息越来越多的以电子文档形式在计算机、移动存储介质等电子载体中出现。计算机及其网络已成为泄密的重要隐患，是涉密信息系统保密管理的重中之重。实践表明，通过保密技术检查来发现、查处泄密事件和严重违规行为是当前信息化条件下做好保密工作的有力抓手，是增强保密技术防范能力的必要手段。

二、计算机终端保密检查现状

与传统印刷品文档处理方式相比，计算机终端存在电子文档易修改、易删除、易复制，操作痕迹易破坏的特点。虽然大多数军工单位和部门都已经应用安全保密检查工具定期对单位内部计算机进行检查，以实现对泄密和违规行为的管理，但从总体上说我们的技术检查水平还不高，发现失泄密隐患的能力还不强，技术检查装备和检查手段也还滞后，因此更要加大加强保密技术检查力度和措施，来提高发现失泄密隐患的能力。具备较强针对性的计算机终端保密技术检查工具应运而生，相关工具的应用经历了以下几个发展阶段。

第一个阶段，将常用的查看类工具软件拷贝到计算机终端上，通过在操作系统缓存文件、注册表、系统日志等位置搜集信息，分析出违规操作痕迹。相比手工查找的方式，检查效率得到大幅提高，并具备了一定的分析辨别能力。

第二个阶段，使用U盘为载体，参照保密技术检查的实际工作特点，对相关工具软件进一步集成，将检查结果形成检查报告，并导出到U盘完成取证工作。该阶段软件同时集成了文件恢复功能，可以搜集到已经删除的操作痕迹，对违反保密规定的操作起到较强的震慑作用。

第三个阶段，使用光盘为载体，集成了更为成熟的工具软件和Windows PE（Windows PreInstallation Envionment；Windows预安装环境），能够在各种软件环境下对计算机终端执行保密技术检查。该阶段产品同时包含一块受写保护的U盘，便于检查报告的存储。存储过程使用定制的私有接口，避免了在检查中传播计算机病毒的尴尬。

计算机终端保密技术检查工具的出现，特别是数据恢复与信息检索技术的应用，使违规操作痕迹无处隐藏，大大增强了保密检查工作的权威性与威慑力，提高了计算机终端使用人员的保密意识，真正起到“以查促防”的作用。然而面对单位中数量众多的涉密内网计算机终端，保密技术检查往往仅能采用抽查的方式，检查效率低下，耗费时间长，人力、物力投入大，很难保证及时、全面的保密检查。目前，信息安全保密检查工具使用U盘和光盘的方式也受到限制，对于计算机终端的检查方式必须转以网络化方式进行。

三、基于网络化的保密查检设计方案

采用一种基于网络远程检查的取证系统，通过系统发送检查指令、可定时的对终端主机进行批量的远程检查，能够解决单机检查取证时检查用人多，用时长，无法形成所有数据统计分析的问题，可以实现保密检查的网络化、常态化、综合化，从而保证保密检查的全面性和实时性。

3.1 系统功能设计

该系统主要分为三大功能模块，如图1所示：

（1）保密检查管理中心

发送主机检查指令，浏览检查报告、进行报告统计分析，系统参数设置等相关功能。

（2）计算机终端检查软件

安装在计算机终端上的保密检查软件，接收数据通讯模块下发的检查指令、进行自动检查，检查完毕后经数据通讯服务器上传检查报告。

（3）数据通讯模块

接收保密检查管理中心的检查指令，转发给计算机终端检查软件、并上传计算机终端软件生成的检查报告。

3.2 系统实施方案

系统采用C/S（客户端/服务器）架构模式。如图2所示，每台受检计算机终端上安装客户端程序，在接收到“检查指令”后，执行保密技术检查。检查可设计为静默执行，并自动调节系统资源占用率，使用不影响计算机终端使用者的正常工作。检查结束后，将生成的检查报告经数据通讯服务器，传送到保密检查管理中心。

在网络内搭建服务器端。登记已安装客户端的计算机终端信息。保密管理员登录后，可向指定的计算机终端发送“检查指令”。“检查指令”可以包含检查项目的选择、检索关键字的设置、终端资源占用策略设置、检查开始时间等信息。检查运行期间，服务器端保持与客户端程序的通讯，随时掌握各计算机终端检查进度。检查报告收集完成后，可对相关字段进一步加工，得出包括U盘交叉混用、违规上网地址、涉密文件操作记录、违规软硬件安装等具有违规操作痕迹的计算机终端分布情况。汇总连续几次检查的数据，可以分析出违规操作的发展趋势，体现保密整改工作效果，指导一下整改工作方向。

服务器端登录可设计为B/S（浏览器/服务器）架构，保密管理中可在网络内任意节点登录，完成相关管理任务。保密管理员足不出户，即可完成网络内计算机终端的保密技术检查，并形成详细工作报表。

该实施方案具有以下几个优势：

（1）并发检查，以往检查单台计算机终端所需的时间，即可完成对所有计算机终端的保密检查；

（2）分布式检查，保证保密检查有效性，且無须增加服务器负载；

（3）登记计算机终端安装信息，易于查找保密检查死角，实现全面覆盖；

（4）静默检查，不影响计算机终端使用者正常工作，不受人为因素干扰；

（5）统计分析功能，便于对保密检查情况的整体了解；

（6）使计算机终端保密检查成为常态化工作，便于及时发现泄密隐患与泄密漏洞，“以查促防”，提高整体保密防护能力。

3.3 系统分级扩展

面对分支机构较多，特别是存在异地分支机构的单位，可在每个分支机构搭建服务器端，分别对本地的计算机终端进行登记管理；各服务器端能过网络进行级联，实现多级机构的统一管理。

在各级服务器端建立通讯，下级服务器端可转发上级服务器端发送的“检查指令”，那么，总部的保密管理员不出办公室，就可以随时对偏远地区的分支机构发起计算机终端保密检查。

3.4 系统功能扩展

基于前文设计的架构模型，结合保密管理工作特点，在系统设计中还可扩展以下功能。

（1）敏感信息实时监测

在客户端程序中，集成实时监测功能模块，捕获常见的文件操作行为，如保存、关闭、移动、发送邮件、即时通讯工具传送等，一旦在检索中发现预设的敏感关键字，即时向服务器端发送“报警信息”。保密管理员可能过“报警信息”及时发现并处理违规操作敏感文件的行为。

（2）台账登记管理

在客户端程序中，集成计算机终端的软硬件设备信息搜集功能，汇总到服务器端形成管理台账。客户端程序还可将捕获到的计算机终端软硬件设备变更信息提供给服务器端，形成详细变更日志，便于保密管理员的管理工作。

（3）其他保密防护功能

该系统还可将其他目前常见的保密防护功能进行集成，包括违规外联监控与报警功能、网络准入控制功能、移动存储介质识别管理功能、主机行为审计功能、补丁与软件分发功能、存储介质信息消除功能等，从而形成一套以计算机终端保密技术检查为核心，查防结合的保密技术体系。

四、结语

综上所述，通过采用基于网络远程检查的取证系统，突破了传统的保密技术检查中无法实现全覆盖、无法形成常态化、无法形成有效数据统计分析的瓶颈，实现对涉密网内计算机终端网络化检查的集中控制和检查数据的综合利用，从而有效提升安全保密管理的技术水平。通过常态化检查将涉密信息系统可能存在的安全漏洞和涉密风险有效降低，实现从检查到管理的提升。

（作者单位：北京临近空间飞行器系统工程研究所）