当前位置：清大安科政府行业内网系统安全解决方案
根据政府对于内网的网络安全、系统安全、应用安全、管理安全等特殊的行业安全与保密的特点需求，我们充分应用清大安科安域内网安全产品(Cofferdisk)为基础，其所具有的对于电子资料安全解决方案及对内网安全系统的防范措施与监控手段，以此来建立一个体系完整、安全、功能强大、系统性能优良的保障系统，切实有效的保障网络的安全，为政府工作顺利开展保驾护航。
政府内网中存放着大量的机密文件，所以单位内网安全问题是整个内网安全系统构架的重中之重。针对内网安全现状，通过全方位的安全风险分析，我们可以根据下面几个措施来解决这些问题。
划分安全域
安全域的概念如下：在同一个安全域内的计算机之间，涉密文件可自由传输以实现文件共享，同时可保证信息不外泄，一旦涉密文件脱离了安全域，便以密文形式存在，不能被读取、使用，直至其回到原安全域中才能被再次正常读写。不同的安全域之间是完全独立的，A安全域的涉密文件被带至B安全域中，该文件将以密文形式出现，不能被读取、使用，直至其回到A安全域中才能正常使用。
在实际应用中，如果将政府某部门所有计算机放置在同一个安全域中，该部门的涉密文件可自由在内部计算机间传输，并可以明文形式显示于每台计算机的密盘之中。但若试图将该涉密文件带离该安全域，一旦涉密文件以复制、拷屏、打印、刻录光盘或网络传输等方式带离密盘范围，便自动加密成密文，无法读取、使用。若试图将其带入另外的安全域中，涉密文件将以密文形式出现。
划分安全域是实现内网安全的必须步骤，安全区域的划分可以将不同的安全等级的机密文件加以分离，同时可以防止安全问题的扩散。
内网安全解决措施
政府部门内网中各部门存放着大量的重要、绝密、机密文件，在工作人员对机密文件进行操作时，必须要防止用户将文件本身或文件内容进行泄密，具体的防护功能有：
l 工作人员必须通过客户端软件才能访问、严格限制工作人员外传涉密资料；
l 对用户使用涉密文档的权限进行严格控制，非授权用户不得查看、使用，携带保密数据，即使复制保密数据也是密文；
l 采取集中存储、授权、文件内容加密多重方式结合，起到多重保护作用，确保文件安全性；
l 防止用户使用屏幕截取软件、屏幕录像软件等工具非法获取机密文件信息；
l 防止用户通过本地转存（比如文件另存、内容复制等）、外部移动存储等方式（比如拷贝到U盘、移动硬盘等）传播机密文件
l 实现网络数据加密传输，防止用户通过FTP、BT等p2p软件以及EMAIL等网络工具将机密文件外泄
l 能够提供对加密密钥的还原恢复机制即解密机制，在发生不可预知的灾难情况下，可以准确恢复原始加密密钥。
l 防止用户通过蓝牙、红外等等外设将机密文件传送给他人
l 对所有对机密文件的操作日志进行保存，用以进行安全审计
l 所有机密文件集中加密存放在本地计算机中一个虚拟加密存储盘中，对于工作人员来说，加密和解密过程是透明的。
机密文件外带解决措施
在工作的过程中，经常需要将机密文件带出单位，，如何在这样的情况下保证机密文件的安全，需要解决的具体问题包括：
l 在计算机脱离内网环境后，对机密文件进行加密保护
l 在文件被非法拷贝或者黑客程序盗用后，甚至计算机硬盘被盗后，文件本地加密能够保证内容安全，且在软件退出后，该加密文件不显示在电脑上
通信安全解决办法
政府内部会有大量的机密文件需要在各地区及内部之间进行交互，比如所关心的公文，统计数据，机要文件，会议纪要等。这些资料一旦落到犯罪分子手中便会带来极大的损失，针对此项需求，系统需要实现以下功能：
u 在各分支机构和机关之间实现数据加密传输
u 机关局域网系统也同样需要实现机密文件在局域网内部不被泄漏的功能
内网安全管理解决方案
管理层的安全解决方案也就是指安全保密管理，其在涉密系统的安全保密中占有非常重要的地位，即使有了较完善的安全保密措施，如果管理的力度不够，也将会造成很大的安全隐患。因此，涉密系统安全保密工作应不能忽视安全保密管理，同时要保证安全保密工作的执行。
安全保密管理机构
内网涉密系统安全保密管理首先是主管部门领导的职责，还必须建立安全保密管理机构，并明确规定安全保密管理机构的职能
涉密系统上安全保密管理机构指导下安全保密管理机构的工作，下安全保密管理机构接受并执行上安全保密管理机构的安全策略
安全管理机构应设置安全保密管理人员，并责任到人。
安全保密管理技术
构架全网综合监控平台，提供以终端数据防护为基础的内部信息保护，和以数据采集分析为核心的内部信息管理，从企业内部信息管理出发，强调实现策略的集中管理和强制执行。
构架全网综合监控平台可以通过固定资产管理、进程监控、外设和网络控制、网络使用情况、文件目录浏览以及屏幕监视等方式监控内网中每个终端的所有信息，一旦发现异常可以立即做出反应，将损失减少到最少。还可以结合内网安全保护软件全面防止内部主动泄密，保证机密文件的绝对安全。
接入监控管理
内部局域网中，经常有工作人员需要使用笔记本等移动办公设备，一旦这些移动办公设备接入到局域网中，便会给内部网带来很大的安全隐患，清大安科根据实际情况提出下面的解决方案：
l 对所有的计算机都进行授权处理，没有授权不能正常登陆局域网；
l 一旦有新的计算机接入局域网，必须通过监控端的授权，否则无法接入；
l 在新的计算机接入局域网后，新计算机的所有信息立刻自动上传到服务器，监控端可以第一时间了解该计算机的操作和使用，一旦有危害机密文件和内部局域网的行为发生，立马将其断开连接；
网络使用监控
网络使用监控主要包括监控网络收发包情况和网络进程情况，其应该具有的功能具体有：
l 对网络进程进行监控，一旦发现网络异常，立马进行分析，防止病毒大规模传播，给局域网带来危险；
l 网络出现病毒、蠕虫攻击等安全问题后，快速实时精确定位安全事件源，明确目标后通过监控端远程进行阻断隔离操作。
l 大规模病毒（安全）事件发生后，通过监控端确定病毒黑客事件源头，找到网络中的薄弱环节，对所有情况进行日志备份，做好事后分析，加强安全预警；
l 对所有的IP地址进行统一管理，将IP地址同MAC地址进行绑定情况，对网络中IP分配情况和更改情况进行日志备份；
l 自动检测网络计算机系统漏洞，弱口令等问题，并能够自动将系统所需要补丁分发到网络每一台计算机，为计算机自动打补丁。
用户行为监控
需要对内网用户的行为，尤其是对机密文件的操作进行监控，实时发觉任何对机密文件有危险的行为，并通过远程控制阻碍其继续发展。主要功能有：
l 对用户进程进行监控，防止用户使用非法软件，比如各种截屏软件，将机密文件泄漏。
l 一旦发现用户在使用非法软件，远程将该进程关闭，防止机密外泄。
l 对用户屏幕进行监视，如果用户进程或者网络异常，可以实时了解用户的操作，防止用户将机密文件泄漏。
l 对用户的硬件信息进行登记，如果用户更改其硬件，监控端自动报警；
l 可以查看用户计算机中所有的文件目录，看用户是否存储有其权限不允许查阅操作的机密文件
l 将用户所有对机密文件的操作进行日志备份。
更高安全性的全网综合控管解决措施
对安全性很高的部门比如研发部，研发部的研发图纸等机密文件属于头等机密文件，需要得到最高级别的安全保护，针对此特殊情况提出了有更高安全级别的解决措施：
用户在操作研发图纸等机密文件时，必须打开客户端软件。一旦用户打开客户端软件，清大安科内网安全系统就能对该客户端计算机进行多方面的监控，包括进程监控，网络监控，硬件监控等等，最主要的是可以对客户端计算机的屏幕进行截取甚至定时拍照，第一时间了解用户对机密文件的操作，第一时间防止用户将机密文件泄密，避免单位遭到巨大损失。
为了防止用户利用摄像机，相机等摄影设备将保存机密文件，建议在办公区域设置摄像头等设备，对特别重要的机密文件，尽量不要允许用户将其外带。
内网安全系统拓扑图;
服务器的主要用途有：一、存放客户端信息，包括：客户端用户名、登录密码以及客户端对机密文件的操作日志等等；监控端用户名、登录密码以及监控端的操作日志等。二、用来开启和关闭监控服务，增加和删除监控端用户。三、加密保存机密文件，用以作为客户端计算机上机密文件的备份，此处建议另外设立数据服务器。
监控端的主要用途有：监控端用户可以查看所有客户端计算机的硬件及其变更情况、进程情况、网络使用情况、对机密文件操作情况；可以控制客户端计算机的外设端口的启用和禁止；还可以通过截取屏幕的方式第一时间获取客户端计算机的操作信息。
每一个工作组即一个安全域，意义是指：某机密文件只能让单位一部分的工作人员查看和操作，通过清大安科内网安全系统将这些工作人员的计算机设置成为一个安全域，该机密文件只能在该工作组的计算机上，通过清大安科内网安全系统的客户端进行查看和修改。比如研发草稿纸能让研发部的工作人员进行查看和修改，而市场部的工作人员即使得到该机密文件，也无法正常对其进行查看和修改，图中工作组B的工作人员就无法对只能在工作组A中操作的机密文件进行查看和修改。
