三年大片大全观看免费,三年在线观看大全免费高清,三年成全免费高清观看电视剧,三年大片免费观看大全电影,三年大片大全免费观看国语,三年成全免费高清大全

咨詢電話:400-6446-808

新聞動態

從密評角度解析數字政府網絡安全合規性建設
2024-11-13 10:15:19

引言

 

本文將詳細闡述從物理和環境安全、網絡和通信安全、設備和計算安全到應用和數據安全的設計思路。最后再通過一個實際應用案例進一步呈現數字政府密碼應用的場景,來探討密碼技術的實際應用。

一、密碼應用技術管理設計

本章節主要是針對等級保護第三級信息系統的密碼應用技術要求進行設計的。

1. 物理和環境安全

這一層面的安全主要是看數字政府信息化系統所部署的機房。目前云平臺被廣泛使用,現如今很多系統都是部署在各省份的政務云上,對于部署在政務云上的系統來說,系統所部署的機房也就是云平臺的機房,屬于云平臺被完全評估的支撐能力,因此在云平臺通過密評且云平臺的安全等級不低于云上系統的情況下,云上系統的物理和環境安全層面的測評結論可以直接復用云平臺的。

在本章節以單位本地管理的機房為例,來描述有關物理和環境安全層面的密碼改造。當數字政府信息化系統所使用的物理或虛擬設備部署在本單位內部機房中時,采用國密產品及技術鑒別進出機房人員的身份信息,并對進出機房的門禁記錄和視頻監控記錄做完整性保護。如在機房中安裝符合GM/T 0036-2014《采用非接觸卡的門禁系統密碼應用技術指南》的國密電子門禁系統、國密視頻監控系統。物理和環境安全設計示意圖如下圖。

1 物理和環境安全設計示意圖

針對物理和環境安全層面的身份鑒別指標,在機房中部署國密門禁系統使用國密算法(如SM4算法等)進行密鑰分散,實現門禁卡的一卡一密,并基于國密算法(如SM1/SM4算法等)對人員身份進行鑒別;針對電子門禁記錄數據存儲完整性指標,由門禁系統采用HMAC-SM3等技術實現;針對視頻監控記錄數據存儲完整性指標,在機房中部署視頻監控系統采用HMAC-SM3等技術實現。

2. 網絡和通信安全

這一層面我們需要確定好數字化政府信息化系統的所有跨網絡邊界的通信信道,如政務外網業務用戶PC端訪問系統、互聯網移動終端用戶訪問系統、系統管理員訪問系統等所產生的通信信道。

數字政府信息化系統的網絡邊界處需部署符合相關國家和行業標準的VPN網關,保證網絡通信過程中數據傳輸的機密性和完整性,并且PC終端應安裝VPN客戶端或者國密瀏覽器,移動終端需安裝VPN客戶端或者APP集成SSL密碼模塊,服務端也需安裝國密SSL VPN安全網關。網絡和通信安全設計示意圖如下圖。

2 網絡和通信安全設計示意圖

針對網絡和通信安全層面的身份鑒別指標,在系統邊界部署符合GM/T 0025-2014《SSL VPN網關產品規范》的SSL VPN網關,用戶終端安裝國密瀏覽器或者VPN客戶端,建立基于TLCP協議的通信信道,證書采用SM2證書,由合規的第三方電子認證服務機構頒發,采用基于SM2公鑰密碼算法的數字簽名機制對通信實體真實性進行鑒別;針對通信數據完整性指標,采用基于HMAC-SM3密碼雜湊算法的消息鑒別碼機制來確保通信過程中數據的完整性;針對通信過程中重要數據的機密性指標,在完成身份鑒別建立通信信道后,使用對稱加密算法SM4對傳輸內容進行加密,以保障通信信道中重要數據的機密性;針對網絡邊界訪問控制信息的完整性,基于SSL VPN網關自身實現其網絡邊界訪問控制信息的完整性。針對安全接入認證指標,對于三級系統來說,這個指標為“可”,可以自行決定是否納入測評范圍,沒有相關的安全需求,可作為不適用項處理。

3. 設備和計算安全

這一層面我們主要是針對系統中的堡壘機、服務器、數據庫、密碼產品這類設備,堡壘機主要是用來增強設備和計算安全,但它的主要功能是緩解外部人員攻擊,并且提供事前防御、事中控制、事后審計等功能。登錄堡壘機需要驗證人員的合法性,以及確保登錄過程中數據的機密性和完整性,因此需要向相關人員配發符合GM/T 0027-2014《智能密碼鑰匙技術規范》的智能密碼鑰匙,以鑒別管理員身份以及防止非授權人員登錄。

一般在設備層面,我們主要使用智能密碼鑰匙和服務器密碼機來滿足設備和計算安全層面的相關要求,為運維終端用戶配備智能密碼鑰匙、國密瀏覽器實現身份鑒別與安全遠程管理,堡壘機前端需部署SSL VPN等密碼設備,如果要實現重要信息資源安全標記和日志這些數據的完整性,服務端需部署服務器密碼機等實現。不過這個安全標記基本上沒有設備涉及,所以一般為不適用,而日志記錄完整性實現也比較困難,因此大多是采用風險緩解措施來替代。設備和計算安全設計示意圖如下圖。

3 設備和計算安全設計示意圖

針對設備和計算安全層面的身份鑒別指標,管理、運維、審計人員需使用智能密碼鑰匙進行身份鑒別后登錄,并通過運維專用的SSL VPN搭建安全傳輸通道以訪問堡壘機,對密碼產品和通用服務器資源進行統一管理。運維用戶登錄堡壘機需采用合規的第三方電子認證服務機構簽發的SM2證書和智能密碼鑰匙進行身份鑒別,防止非授權人員登錄。而其他設備(服務器、數據庫)的身份鑒別由于改造困難,可以通過身份鑒別符合的堡壘機作為緩解措施,對于密碼產品,需要部署具有商用密碼產品認證證書且密碼模塊安全等級符合系統密碼應用等級需求的密碼產品,由于經過了商用密碼檢測認證,這些密碼產品設備層面大多數指標可以直接符合,無需改造。

針對遠程管理通道安全指標,一般的堡壘機基本上都是采用TLS協議進行遠程運維管理,除非購買國密的堡壘機,里面配置有密碼模塊,可以實現使用TLCP協議對堡壘機進行遠程運維。但是由于預算原因很多情況下都是通過網絡層合規的運維通道,并且僅通過登錄運維專用VPN登錄運維堡壘機再登錄運維其他系統設備來緩解遠程管理的安全風險。針對系統資源訪問控制信息完整性指標,由于各設備底層資源開放程度不同,不同設備可能有不同的訪問控制保護措施。那些未能完全實現訪問控制保護的設備需采取嚴格的權限管理,根據權限分離原則,只為管理員分配必要的最小權限,通過嚴格的管理措施降低安全風險。

針對重要信息資源安全標記完整性指標,在數字政府信息化系統中,密碼應用需要檢查是否為重要信息資源進行了安全標記,若已標記,則需采用服務器密碼機提供數據完整性保護,保障安全標記的完整性。未進行安全標記的信息資源可作為不適用項,但需闡述不適用的理由。不過,上文也說到目前為止市面上的大多數設備都沒有強制訪問控制這個需求,因此基本上都是列為不適用。針對日志記錄完整性指標,通用服務器等設備的日志記錄由應用系統或自身的審計功能去管理,并使用服務器密碼機提供數據完整性保護。針對重要可執行程序完整性、重要可執行程序來源真實性指標,受應用支撐及當前產業支撐水平所限,確保重要可執行程序的完整性和來源真實性是一個挑戰,所以基本上采用相應的風險緩解措施,需確保重要可執行程序均從官方渠道獲取,在安裝前對程序進行驗證,保證其沒有被篡改,從而在一定程度上降低安全風險。

4. 應用和數據安全

對于這一安全層面,我們關注的就是應用系統本身。首先是保護終端安全。對于PC終端,采用智能密碼鑰匙和國密瀏覽器,為用戶提供了一個安全的上網環境,確保數據傳輸的安全性。對于移動終端,集成移動密碼模塊和SSL密碼模塊,確保移動設備上的數據傳輸和存儲的安全性,同時為移動設備用戶提供了一個安全的應用環境。

其次是保護業務服務端安全。通過集成密碼服務平臺、SSL VPN、服務器密碼機、簽名驗簽服務器和電子簽章系統等,為服務端數據提供了全方位的安全保障。在整個系統中,通過安全網關,實現業務應用與終端之間的身份鑒別和數據的安全傳輸。業務應用中的重要數據以密文形式存儲,進一步增強數據的安全性。密碼服務為業務應用提供統一身份認證服務、數據加解密服務和簽名驗簽服務等。這些服務確保了系統用戶身份的真實性,確保了數據傳輸和存儲的安全性。涉及法律層面的責任認定時,密碼服務還提供電子簽章服務,為應用系統關鍵操作的不可否認性進行保護。應用和數據安全設計示意圖如下圖。

4 應用和數據安全設計示意圖

針對應用和數據安全層面的身份鑒別指標,身份鑒別基于數字證書,采用SM2算法實現,為PC端用戶配發智能密碼鑰匙,智能密碼鑰匙里面存儲著用戶的個人證書,并且由合規的第三方電子認證服務機構頒發。移動用戶則采用智能終端安全密碼模塊實現,這個模塊可以提供傳統硬件U-Key的功能基于軟件而不依賴硬件密碼芯片,實現了密碼設備、密碼運算和CA數字證書存儲等功能,是實現移動互聯網應用安全的核心。

針對系統訪問控制信息的完整性指標,通過調用部署好的服務器密碼機或者簽名驗簽服務器來實現,采用HMAC-SM3算法或者SM2算法對系統的訪問控制信息進行數字簽名,實現完整性保護;針對重要信息資源安全標記完整性指標,這個同設備層一樣,基本上沒有系統存在安全標記,所以都是列為不適用;針對重要數據的存儲機密性和完整性指標,同訪問控制信息一樣,調用服務器密碼機或者簽名驗簽服務器實現,分別采用SM4、HMAC-SM3算法實現機密性和完整性。針對重要數據的傳輸機密性和完整性指標,在實際環境中,實現難度較大,所以大多數情況下利用網絡層建立起合規的通信信道來緩解此處的傳輸風險。

針對不可否認性指標,在密碼應用設計中,我們需對數字政府信息化系統中具備法律責任認定的文件進行操作行為抗抵賴性保護,主要技術有數字簽名與可信時間服務等。若數字政府信息化系統所產生及管理的業務數據未涉及法律責任認定,操作行為抗抵賴性保護可以作為不適用項處理,并闡述清楚理由,不納入密碼改造范圍。

二、數字政府密碼應用案例——公積金業務

該市住房公積金管理中心信息管理系統屬于等級保護三級系統。該市住房公積金管理中心國產密碼保護能力不足,導致系統敏感數據、重要文件通過明文進行存儲和傳輸,缺少數據真實性、機密性、完整性和抗抵賴性保護,與相關文件的密碼保護要求存在一定差距,存在安全隱患。該市住房公積金管理中心信息管理系統安全體系未滿足信息系統等級保護要求。總體而言,該市住房公積金管理中心信息管理系統在密碼應用方面不容樂觀。

1. 密碼應用現狀

目前,該市住房公積金管理中心信息管理系統涉及到大量敏感數據,數據傳輸安全格外重要,但網絡通信信道未采用密碼技術對通道中傳輸的數據進行保護。

該市住房公積金管理中心信息管理系統訪問用戶有三種,移動終端用戶、辦公人員PC端、管理員PC端,均采用“用戶名+口令”的方式進行身份鑒別,存在高風險。信息系統中的用戶數據、管理數據、業務數據在服務端大多是明文存儲或者使用不合規、不安全的算法加密,并且也沒有做完整性相關的保護。

由于系統屬于公積金業務,因此存在有審批文件等簽章行為,未采用密碼技術對這些操作進行不可否認性的保護,存在人員否認所做操作的風險。

2. 密碼應用方案設計

根據上面梳理的當前系統所存在的一些比較嚴重的安全問題,我們針對其做了一個解決方案來實現上述需求。如下圖為系統的密碼應用部署圖,通過部署數據加解密系統、電子文件安全驗證系統、移動智能終端安全密碼模塊、SSL密碼模塊、智能密碼鑰匙、服務器密碼機、簽名驗簽服務器、國密SSLVPN安全網關等密碼產品,并正確配置,滿足信息系統的密碼應用需求。

5 系統密碼應用部署圖

數據加解密系統主要為本信息系統提供敏感數據、文件等存儲機密性服務;電子文件安全驗證系統主要實現業務、訪問控制、日志記錄等配置數據的完整性;移動智能終端安全密碼模塊主要是為移動終端用戶提供身份鑒別服務;國密SSL VPN安全網關主要用于在網絡上建立安全的信息傳輸通道,配合安全瀏覽器密碼模塊構建基于國密算法的SSL安全傳輸通道,為系統用戶PC端、移動終端與系統之間的通信信道中傳輸的數據提供完整性和機密性保護;智能密碼鑰匙里面存放有用于標識用戶身份的數據證書,實現對登錄系統用戶的身份鑒別;服務器密碼機主要為系統對接的密碼產品提供算法等密碼運算服務、密鑰服務,同時提供安全、完善的密鑰管理能力;簽名驗簽服務器能夠提供基于數字證書的數字簽名驗簽服務,提供CRL、OCSP等多種證書有效性驗證,可以滿足用戶在網絡中行為的不可否認性,信息完整性、機密性等需求。

欢迎光临: 林周县| 佛冈县| 界首市| 花莲市| 集贤县| 罗平县| 五台县| 潼南县| 乌拉特前旗| 祥云县| 兰州市| 浮山县| 怀柔区| 盘锦市| 西城区| 得荣县| 佛冈县| 安远县| 高邑县| 西宁市| 攀枝花市| 革吉县| 武胜县| 娄底市| 锡林郭勒盟| 新田县| 锡林浩特市| 家居| 阿坝县| 饶河县| 泰安市| 板桥市| 常州市| 丹凤县| 高雄县| 高阳县| 霍邱县| 泾源县| 喀喇| 扶余县| 塔河县|