涉密计算机违规外联原因分析及防范措施

关键词：涉密计算机;违规外联;防范措施

中图法分类号：TP319 文献标识码：A

1引言

随着我国科学技术水平的提升，信息技术、计算机技术以及网络技术已经逐渐渗透到人们的日常生活中，并改变了人们传统的生产和生活方式——人们对网络的依赖性更强，可以直接从互联网获取自己所需要的知识。也就是说，互联网已经成为现代社会的重要组成部分，并渗透到各个领域中。对于我国行政部门而言，信息技术的应用已经十分普遍，这提高了政府部门的行政效率和行政质量。虽然信息技术的应用推动了人类社会的发展，但是与此同时带来了日益突出的网络安全问题，并受到国家和政府部门的高度重视。由于互联网具有开放性、优越性以及互联性，这给不法分子提供了可乘之机，导致计算机犯罪案件逐年增加，信息安全问题越发严重。

我国政府部门对信息安全的要求较高，为了保证内网的安全，通常采用内网与外网物理隔离的方式，即在内网和外网之间建立一道安全边界，从而加强内网的安全性，也便于对内网进行管理。现阶段，物理隔离成为网络安全保密体系中不可或缺的技术，也在我国各部门中广泛应用。但是，从该项技术的实际应用情况来看，由于许多用户缺乏信息安全意识，这就给原本安全的内网环境带来新的安全风险，也给不法分子提供了一座入侵内网的秘密桥梁，对内网信息造安全成极大威胁。如果企业保密数据丢失，将会给国家带来巨大的经济损失，也会影响政府部门的公信力。

2违规外联的主要方式

涉密信息系统都需要根据我国相关规定进行物理隔离，但是这只能在一定程度上保护内网的物理安全，而违规外联是来自网络内部的一种主动行为，可以轻松在内网中打开一条通往外网的通道，同时该通道可以绕过网络安全防护体系，使原本较为安全的物理隔离环境出现不同程度的安全风险。所以，我们需要采取一定的技术手段，以此阻断内网通往外网的通道，保证涉密信息的安全。

违规外联的主要方式如下：使用网卡联通内外网络——将内网网线拔出或者将本地网卡禁用，再与外网进行违规外联，从而破坏原本的物理隔离环境;内网主机或者单台计算机使用电话线、ISDN、ADSL等方式进行拨号上网——使用WLAN、GPRS以及CDMA等无线上网进行违规外联;非涉密计算机使用内网并更改IP进行违规接入或在涉密网络中添加新的主机进行违规外联;内网主机通过串口、红外、蓝牙、USB接口等外设设备接入互联网或者与其他设备交换信息进行违规外联。

3违规外联的原因分析

近年来，相关调查发现：违规外联行为在党政机关和企业中均有发生，而其中党政机关占比62%，企业占比38%。通过对违规外联行为进行分析，本文将其分为以下4种类型：第一类，更换办公地点或者在维护网络的过程中与外网相连，这种违规外联行为占比38%;第二类，在当事人并不知情的情况下，在升级系统或病毒库的过程中与外网相连，这类违规外联行为占比15%;第三类，工作人員自身并未接受保密技能培训，缺乏对网络安全的认知，在操作计算机的过程中存在错误行为，导致自身的操作行为与外网发生互联，此类违规外联行为占比15%;第四类，技术人员在安装防护系统的过程中存在不恰当行为，导致违规外联行为的发生，此类违规外联行为占比32%。由于在发生上述违规外联行为后多经过及时阻断，因此多数事件并未造成较为严重的后果。而通过上述数据分析，可以发现违规外联行为发生的主要原因有以下几点。

其一，由于第一类和第二类违规外联类型的占比高达53%，因此企业和政府单位在涉密计算机管理制度上并不健全，这也是违规外联行为发生的主要原因。管理制度不健全使涉密计算机的管理工作存在较大的漏洞，如涉密计算机标识模糊、淘汰不及时、具体数量不清晰、管理人员交接不认真、更换办公地点并未按管理制度对涉密计算机进行相应保护。

其二，安装防护产品的技术人员的业务并不熟练，这也是导致涉密计算机发生违规外联的一个主要原因。违规行为主要表现在：技术人员自身缺乏相关防护软件的安装经验，导致在安装过程中出现违规行为;在涉密笔记本电脑上安装防护产品时，并未检查笔记本电脑是否拆除无线模块就对其进行安装，导致笔记本电脑重启后自动连接外网。

其三，涉密计算机操作人员的保密意识较为淡薄，同时缺乏计算机安全相关的保密知识，导致涉密计算机违规外联行为时有发生。计算机操作人员在缺少保密知识技能培训的情况下，对涉密计算机的使用情况并不了解，在使用计算机时出现不正确的操作行为，使涉密计算机与外网相连。

4违规外联的防范措施

通过上述分析可以看出，人为因素是涉密计算机出现违规行为的主要原因。同时，在防护软件升级和安装方面也存在着一定的弊端，因此本文从管理和技术两个方面探讨违规外联的防范措施。

4.1管理方面的防范措施

（1）对涉密计算机的管理制度进行规范。违规外联最容易发生在计算机安装、维修和淘汰三个阶段，而这三个阶段都属于动态管理，具有一定的风险性，存在较大的安全隐患，需要对这三个阶段的保密措施进行加强，同时企业或机关单位应明确提出相应的保密要求。如在办公室搬迁的过程中应提前制定相应的保密工作方案;在安装防护软件时要求安装人员具备一定的计算机能力。此外，管理人员也要增强自身的责任心，密切关注涉密计算机的各个动态管理环节，保证每项管理措施能够得到有效落实。同时，管理人员也要保证涉密计算机在自己的管理范围之内，防止他人私自对涉密计算机进行检查、打开或者搬运;对于需要淘汰的涉密计算机应做好标记，及时进行销毁，防止误用或误搬行为的发生。

（2）避免过度防护。安全防护软件主要用于涉密计算机的防护工作，但在对事业单位检查的过程中发现部分管理人员对涉密的理解存在一定的偏差，如在财务专用设备上安装安全防护产品，但是又不能按照涉密计算机管理条例来对财务专用设备进行日常管理，这就导致违规外联行为经常发生，而这一行为并不是存在于单一机关单位。由此说明，我国机关单位在保密教育、涉密界定以及保密范围方面，仍然存在许多不足，还具有较大的提升空间。

（3）加强涉密人员的培训工作。涉密人员在上岗前应做好审查和岗前培训工作，特别是在涉密计算机的使用方面，应做好相关的技能培训工作。保证每位涉密人员上岗之前，都能做到“先培训后上岗”，并定期举办相关知识交流会。同时，管理人员应以技能培训为切入口，在培训的过程中提升涉密人员的荣誉感、使命感和责任感，使涉密人员在意识层面重视保密工作，严格牢记保密要求，减少违规外联行为的发生。

（4）要求提供防护软件的企业，其安装技术人员也应具备相同的保密资质。防护软件通常需要安装在涉密计算机的底层，如果这时对涉密计算机安装非法程序来窃取机密资料，后果无法设想。在调查的过程中，我们发现甲方通常具备保密意识，而安装技术岗位却并不属于涉密岗位，且甲方并未对安装人员进行资质审核和保密教育，这在安装中存在较大的安全隐患。因此，应要求防护软件供应商，在企业内部设置合理的涉密岗位，完善涉密人员的审查工作。

（5）重视涉密计算机的采购安全。通过调查发现，行业在现阶段依然将涉密计算机当作一般商品进行采购，在选择涉密计算机时对代理商或中间商是否具有保密机制，最终的用户是否用于正当合法的用途，都没有明确的规定和要求。因此，建议我国保密行政管理部门，开展相应的安全风险调查并出台相关政策，对涉密计算机的销售和流通环节进行有效管理。

4.2技术方面的防范措施

在技术层面，为了保证内部数据信息的安全，机关单位或企业应限制内网与外网的连接，其具体情况可以分为以下两种：一是禁止内网与外网直接进行连接;二是内网只允许通过指定网关与外网进行连接。目前，内网在建设的过程中都采用TCP/IP协议组网，并给涉密计算机配备私有的IP地址，也就是说在内网中每台主机都有属于自己的IP协议栈，且每台主机的IP地址是唯一的。而在内网中，违规外联的主机与其他主机的不同之处在于其拥有分配公有IP地址的功能，在连接外网的过程中，其IP地址会存在较大的浮动。因此只要对每台主机的IP地址信息进行查询，就可以及时发现存在违规外联行为的主机。基于此，本文在技术层面上提出以下几点建议。

4.2.1安装SNMP服务

对内网的每台涉密计算机都提供SNMP服务，SNMP服务可以对涉密计算机的拨号行为进行检测。同时，运用SNMP服务开发一款监控软件，监控软件定期向内网中其他涉密计算机询问当前IP地址信息，如果发现有不属于范围内的IP地址则可以对其进行判定——该涉密计算机是否通过拨号上网。不过，运用该监控软件的前提是：对每台涉密计算机提供SNMP服务。

4.2.2利用802.1x协议进行控制

為了实现对内网涉密计算机端口的接入控制，可以采用802.1x协议对内网中以太网端口的访问权限进行控制。正常情况下，涉密计算机与交换机相连，这时交换机会运行一个认证代理协议（EAP协议），用户要想使用这一协议就需要在涉密计算机上运行EAPoL，完成与交换机的数据通信。而802.1x协议可以对以太网端口进行逻辑控制，将其编程为受控和不受控两种，只有涉密计算机使用不受控端口才可以在交换机中完成EAP认证，从而通过端口获取自己所需要的资源。此外，受控端口将无法在交换机中进行认证，其会一直处于拒绝访问的状态。这种控制方式极大地提高了内网涉密计算机连接外网的难度，提高了内网的安全性。

4.2.3构建双机架构监控系统

双机架构监控系统主要由监控模块和报警模块两个部分组成，该系统有两种运行模式：一是将监控模块安装到内网之中，该模块会定期主动向内网中的涉密计算机发送探测包，对其进行拨号探测。而将报警模块安装在外网时，其主要作用是对拨号报警信息进行解析，从而锁定存在违规外联的涉密计算机。监控模块通过连续的询问轮询方式向各个涉密计算机发送探测包，如果这时内网中有涉密计算机正在通过拨号上网，探测包会主动通过该涉密计算机的拨号网络向外部的报警模块发送报警信息。报警模块在收到报警信息后对其进行解析，从而获取正在拨号上网的涉密计算机的IP地址。如果内网中没有涉密计算机上网，探测包将无法诱导涉密计算机发送报警信息;二是将发送模块和探测模块安装在内网中，将探测模块设置成混杂模式，发送模块所发送的数据帧源地址则设置成外网的任意IP地址。在对内网拨号上网的探测上与第一种方法具有较大的差异，主要是用否认判断模式，发送模块会定期向每台涉密计算机发送探测信号，如果接收不到某台涉密计算机的响应数据，则可以判定该台计算机存在违规外联的情况。

5结束语

随着互联网技术的发展，我国绝大多数的部门和企业都实现了信息化办公，这虽极大提高了办公效率，但同时也带来了一定的网络安全问题。目前，物理隔离是将内网与外网进行分离，这种方式具有较高的安全性，但是内网中的违规外联行为无疑给内网的安全带来了严重威胁。相关部门非常重视网络的安全性，并采取了多种安全防护措施来保证内网数据信息的安全，但是这些预防手段往往会被缺乏安全意识的人员所破坏。如内部人员私自将内网与外网建立连接，这样就形成了内外网络的双向连接，从而给不法分子入侵内网打开方便之门。网络中的重要数据信息一旦发生丢失，将会造成不可估量的损失。因此，为了从根本上防止违规外联行为的发生，相关部门必须制定有效的监管机制，保证内网数据信息的安全。

作者简介：

冯秀清（1987—），硕士，助理研究员，研究方向：计算机应用。