基于安全域的网络安全体系设计研究

张建权 李杰

【摘要】    当前互联网逐步实现了在各行各业中的渗透与融合，网络信息资源得到了有效的开发和利用，但是与此同时经由互联网泄露的信息比例也大幅上升，其中不乏涉及到一些有关的国家安全信息和个人安全信息。本文就主要从安全域的划分与保护角度入手，探讨应用层网络安全体系设计与保密方案，旨在为网络安全防护体系的建设和发展提供一定的参考和借鉴。

【关键词】    安全域    网络安全体系    设计研究

网络安全体系主要有外部安全体系和内部安全体系两部分组成，当前在进行网络安全体系架构的过程中，更加强调对网络外部安全体系的建设，通过安装防火墙、防病毒网关等的方法来增强网络边界的安全防护，这在一定程度上降低了来自网络外部的攻击风险。[1]但是伴随着网络攻击技术的升级，暴露出许多网络内部安全体系方面存在的不足，针对网络应用系统的内部攻击没有有效的技术防范和治理，这就进一步增加了从内部导致的核心机密丢失及信息泄露的可能性。为更好的解决这一问题，就必须要基于安全域的划分与保护，进一步健全和完善网络安全体系。

一、基于安全域的网络信息安全体系设计思路

1.1整体思路——“三线一中心”

基于安全域的网络信息安全体系设计，要遵循“三线一中心”的整体设计思路。“三线”主要就是指网络边界防线、计算机系统安全防线、应用系统安全防线这三道防线，而“一个中心”则主要指网络安全管理中心。[2]在我们的通信网络之中，网络边界防线和计算机系统安全防线这两道防线能够针对绝大多数的外部攻击进行阻拦和遏制，从而有效的提升网络安全防护能力和水平。

1.2网络信息安全保密组织体系

有关网络信息安全保密涉及到主体和客体两个方面，保密的主体就是指涉密人员，也包括能够代表涉密人员身份所执行加密操作的机构或者是其他实体，而保密的客体就是指各种加密的文档、信息数据以及计算机等移动载体设备。由于基于安全域的网络安全体系设计主要就是针对应用层的安全防护，因此就必须要从主体和客体两个方面入手，既要保证操作主体的安全和可靠，同时又要对客体进行科学定密，利用不同的安全域进行业务类别以及涉密等级的划分，并且进行强制性的访问控制和安全审计，从而构建基于安全域技术的网络信息保密与安全控制系统。[3]在此基础上，增强主体对客体访问时的安全防护水平，从而真正地发挥“三线一中心”网络安全体系的作用，有效的阻隔来自内部和外部的攻击。

二、基于安全域的网络安全体系建设方案及技术措施

2.1强化应用级安全域防护与控制设计

首先是应用级安全域的设计我按照不同的业务范畴和管理主体来进行划分，确保各安全域的独立性，使彼此之间在没有获得授权的情况下，无法进行信息和数据的交换[4]。其次则是取消即时通信系统，也就是点到点的传输应用，这样能够为实现针对安全域的访问控制和安全审计提供可能。同时为了保证内部通信的高效和便捷，可以将即时通信并入到办公自动化系统之中，同时配合用户行为审计系统，来对相关的操作主体进行信用评级，实现对通信消息的记录和审核，从而增强应用级安全域的网络安全防护效果。再次就是针对每一个应用级的安全域内的涉密客体，也就是一些加密的信息以及文件等，设置安全标记，这样能够对各种访问和流经的信息加以强制控制，按照相应的定密规则对信息进行过滤和审计，排除有可能潜在的安全隐患和危险。[5]最后，针对应用级安全域的网络安全设计，其保护的核心就是数据库系统，为提升安全防护等级，可以将划分的不同安全域的业务数据进行分类存放，建立子数据库，并且子数据库之间的数据交换必须要使用专门的链接工具，同时为进一步保证跨安全域数据传输的安全性和保密性，同样可以设置专门的加密机确保安全域之间的独立性。

2.2做好安全域间涉密电子文档交换的保密工作

首先对涉密电子文档按照其业务种类和密级进行逻辑分类，划分为不同的逻辑安全域，为控制这些电子文档在不同安全域间的交换和流动，要在不同安全域的边界设置安全域网关，由安全域网关来负责对流经的电子文档以及邮件等进行筛查和过滤，主要检测的内容包括电子文档的密级、流向等是否与操作主体的权限相匹配，是否符合分级保护的原则，如果通过检查则获取查看权限，没有通过则显示相关文档传输失败。其次，为了更好的让安全域网关来进行安全识别和检查，要求在整个的电子文档安全域控制系统内统一密级标识以及安全标记，并且配合电子文档生成相关的配置文件，其中记录有关的涉密信息、审批人信息、签名文件等，方便进行统一的筛查。最后，在划分电子文档安全域并配置安全域网关的同时，还要设置好强制访问[6]控制的规则，要求每个安全域的过滤端口必须开放，并且要在不同的安全域中设定本级安全域定密审批人的相关信息，包括私钥签名以及公钥证书等等，这样能够极大的提升涉密电子文档安全域控制系统的工作效率。

2.3创建基于安全域间网络应用的安全体系

基于应用级安全域的网络安全体系设计，除了针对涉密电子文档的访问控制之外，还应当应对更加复杂的应用系统。上文中所提到的涉密电子文档安全域控制系统更多的适用于电子邮件系统，但是对于更为复杂的办公自动化系统、信息化财务管理系统等却不能很好的适用。[7]为解决这一问题，满足高性能和复杂的网络应用体系之间信息高效传输和资源共享的要求，可以采用先进的SSL VPN技术，对网络应用中的浏览器以及服务器进行安全防护和保密设置，这样既增强了对应用系统数据交换的访问控制和安全审计，同时又能够方便用户进行相关信息数据的快速传输和有关网络资源的共享。

这一设计方案的具体思路和技术措施如下：首先就是要在原有的涉密电子文档安全域控制系统的基础上再添加一个专门的服务器安全域，将办公过程中各种基于网络的应用服务器都归纳到这个服务器安全域之中，在服务器安全域的边界设置SSL VPN网关，通过提供相应的认证服务，对用户也就是操作主体进行统一的身份认证和授权，同时按照强制访问控制的规则通过网络浏览器与网关建立SSL会话，这样用户可以使用的资源就会在网络服务器的页面上罗列出来，这样可以对从服务器返回给客户端的数据进行一个过滤和安全审计。为了进一步增强服务器安全域的防护性能，还可以在SSL VPN的网关外端设置防火墙，从而实现网络级安全域的防护。[8]其次，用户在使用相关应用系统的过程中，就要首先获得服务器安全域认证以及身份检验，服务器安全域通过审核之后才能够建立相应的安全通信通道，从而由服务器安全域转发用户的各项请求或者是指令到各应用级安全域中进行操作执行。这种设计方法可以简单的理解为为整个应用级安全域网络安全体系安装了一个大脑，从而更好的对其进行访问控制和安全审计。最后，服务器安全域的网关在进行信息过滤和审计的过程中，要完全的按照强制访问控制规则对接收端所属安全域的密級进行匹配，匹配成功则转发出相应的请求和指令，实现快速应答，否则则拒绝转发请求。跨安全域文件传输的控制规则如表1所示。

2.4提升基于安全域的入网安全控制水平

伴随着移动互联网技术的升级，相关应用系统的用户在接入安全域的过程中往往不受到时间和空间的限制，用户可以从不同的地点，用不同的网络终端设备接入到所属应用系统的安全域之中。在这样的背景下，传统的静态安全域接入技术已经不能适应网络安全防护的要求，要采取动态安全域技术来实现对入网身份的认证和访问控制。动态安全域技术主要就是利用交换机来根据某个条件将用户自动的划分划分到某个安全域之中，划分的条件一般就是对用户进行身份认证，根据身份认证信息来自动的进行安全域的划分。动态安全域技术应用的缺点就是需要配置核心交换机和众多的边缘交换机，但优点就是能够实现动态的访问控制和安全审计。采取动态安全域技术实现入网安全控制，并不需要对网络应用系统的布局进行大的调整，只需要核心交换机以及边缘交换机能够支持基于端口的访问控制协议，同时提供身份认证客户端和服务器即可，如果用户没有通过身份认证，则相应的受控端口就会显示处于未认证的状态，那么用户就无法访问安全域内的应用系统，在一定程度上保证了接入級的网络安全。要更好的实现基于端口访问控制协议的认证，一般要求用户要在工作电脑或者是移动笔记本上来下载端口访问控制协议客户端软件，当用户有接入需求时，不需要通过网络连接来激活客户端程序，输入相应的身份认证信息，并发出接入请求。

相关的认证设备在接收到用户的请求之后，要将相关的用户信息传输给认证服务器，认证服务器用来对信息进行检验和审计，认证通过之后要向认证设备发出指令，认证设备接收到指令之后会打开相应的服务端口，从而进一步强化对用户的访问控制。

三、结语

基于安全域的网络安全体系设计，要实现网络级安全域、应用系统安全域以及接入级安全域的全方位设计，健全和完善网络安全防护体系，增强安全域访问控制水平，保障信息安全。

参  考  文  献

[1]胡国良，肖刚，张超.新形势网络安全管理存在的问题及应对建议浅析[J].网络安全技术与应用， 2020（08）：7-8.

[2]尚可龙，古强.零信任安全体系设计与研究[J].保密科学技术，2020（05）：54-59.

[3]夏晨.探究联动式网络安全系统的防御体系设计[J].网络安全技术与应用，2020（02）：13-15.

[4]贾美玉.企业信息网络安全体系的设计与实现[J].电子技术与软件工程，2020（01）：255-258.

[5]樊金健，谢一飞.基于安全域划分的网络安全体系设计——保障烟草工业企业安全生产[J].工业技术创新，2019，06（02）：59-65.

[6]靳起朝，任超.基于零信任架构的边缘计算接入安全体系研究[J].网络安全技术与应用，2018（12）：26-27.

[7]王艳伟，邬江，罗赟骞，史春见.一种基于开放聚合框架的网络流量安全监测体系设计[J].信息技术与网络安全，2018，37（09）：22-26.

[8]黄道丽.网络安全漏洞披露规则及其体系设计[J].暨南学报（哲学社会科学版），2018，40（01）：94-106.