(局域网组建)第9章渉密局域网组建与管理.ppt

局域网组建、管理与维护 杨 威 山西师范大学网络信息中心 9.1 渉密局域网基本知识 涉密局域网的确定 局域网信息的保密 局域网实体的保密 涉密网保密原则与审批 9.1.1 渉密局域网的确定 涉密局域网是指采集、存储、加工、处理、传输、使用国家秘密信息的计算机网络信息系统。 有的部门或单位，建构的局域网信息系统主要是用于日常办公，网上所存储和传输的信息主要是公共信息，或有部分的工作秘密信息、商业秘密信息等，这样的网络就不应界定为涉密信息系统 。 不要把数量不多的国家秘密信息放在网上，使这个网成了涉密网，不仅浪费了资金，而且也增加了网络安全、保密管理的难度。 9.1.2局域网信息的保密 1. 局域网保密防护的脆弱性 （1）数据的可访问性。数据可以很容易被终端用户复制而不留任何痕迹。 （2）信息的聚生性。当信息以零散形式存在时，其价值往往不大，一旦网络将大量关联信息聚集在一起时，其价值就相当可观了。 （3）设防的困难性。尽管可以层层设防，但对一个精通网络技术的人来说，下些功夫就可能突破这些关卡，给保密工作带来极大的困难。通常，局域网的保密防范可从以下四个方面考虑。 2. 局域网信息保密措施 充分利用网络操作系统的保密措施 加强数据库信息保密防护 采用现代密码技术保护数据 采用防火墙技术阻止黑客入侵局域网秘密系统 9.1.3局域网实体的保密 1. 局域网实体泄密途径 电磁泄露 非法终端 搭线窃取 介质的剩磁效应 9.1.4 涉密网保密原则与审批 1. 涉密网保密管理原则 “同步建设，严格审批，注重防范，规范管理”。 2. 涉密网的保密审批 根据规定，涉及国家秘密的计算机网络信息系统建设，必须与保密设施的建设同步进行，并需报经省、设区市国家保密局审批后，才能投入使用。 9.2 用于渉密的PKI技术 PKI定义与作用 PKI组成与功能 数字证书与加密 9.2.1 PKI定义与作用 PKI（Public Key Infrastructure，公钥基础设施）是一种遵循既定标准的密钥管理平台，它能够为所有网络应用提供加密和数字签名等密码服务及所必需的密钥和证书管理体系。 PKI是提供公钥加密和数字签名服务的系统，目的是为了自动管理密钥和证书，保证网上数字信息传输的机密性、真实性、完整性和不可否认性。 PKI基于非对称公钥体制，采用数字证书管理机制，可以为透明地为网上应用提供上述各种安全服务，极大地保证了网上应用的安全性。 3. PKI的安全机制 安全平台能够提供智能化的信任与有效授权服务。其中，信任服务主要是解决在茫茫网海中如何确认“你是你、我是我、他是他”的问题。授权服务主要是解决在网络中“每个实体能干什么”的问题。 例如，张三发送一个合约给李四，李四可要求张三进行数字签名。签名后的合约不仅李四可以验证其完整性，其他人也可以验证该合约确实是张三签发的。而所有的人，包括李四，都没有模仿张三签署这个合约的能力。 9.3 涉密局域网隔离技术 网络屏蔽线安装 物理隔离网闸 基于VPN的业务隔离 基于MPLS的业务隔离 9.3.1 网络屏蔽线敷设 屏蔽布线安装工艺要求 屏蔽层的续接密实、连续； 一个完全紧密的接地系统会提高屏蔽系统的整体性能，降低接地电阻，并使其一直保持低于1欧姆的电阻值； 每个配线架独立接地； 每个配线架只有一个接地点； 尽量缩短屏蔽线的开剥长度； 保持双绞线转弯时有大于线径8倍的弯曲半径。 9.3.2 物理隔离网闸 物理隔离网闸（也称安全隔离与信息交换系统），是利用双主机形式，从物理上来隔离阻断潜在攻击的连接，如图9.4所示。其中包括一系列的阻断特征，如没有通信连接，没有命令，没有协议，没有TCP/IP连接，没有应用连接，没有包转发等。只有文件“摆渡”，对固态介质只有读和写两个命令。其结果是无法攻击，无法入侵，无法破坏。 9.3.3 基于VPN的业务隔离 1. VPN技术 要能够使得政务网内一个局域网的数据透明的穿过公用网到达另一个局域网，VPN采用了一种称之为隧道的技术。 VPN技术 根据ISO模型，VPN的主要协议如表9.1所示。 2. VPN类型 （1）Access VPN（远程访问虚拟专网） （2）Intranet VPN（内部虚拟专网） （3）Extranet VPN（扩展内部虚拟专网） 基于HoPE的MPLS VPN结构 9.4 Windows安全通信技术 Windows身份验证 SSL与HTTPS协议 IPSec协议 RPC加密 点对点安全性 9.4.1 Windows身份验证 平台级身份验证 基本身份验证。可使用IIS配置Web服务（Web Services）的虚拟目录，