中船補齊涉密系統安全短板 將人為風險降到最低

導語：核心數據的保護是信息安全考慮的終極命題。即便這些數據保存在物理隔離的企業內網中，也無法保證其安全性不受侵犯。人為操作失誤、操作系統風險始終無法避免。正是意識到這些問題，中國船舶工業集團公司某研究院針對涉密系統部署浪潮SSR操作系統安全增強系統，不僅有效保證了核心數據設備操作系統的安全，而且從系統管理上把人為風險減到最低，從根本上實現了信息安全。

千里之堤潰於蟻穴，企業內網中的核心數據是被攻擊的核心目標，再強大的邊界防護和保障手段，在日益繁雜龐大的企業內網面前，都不能保證萬無一失。服務器操作系統的安全漏洞一直都被人詬病，人為誤操作造成損失的案例屢見不鮮。如何避免重蹈覆轍？中國船舶工業集團公司某中研究院（以下簡稱：中船集團研究院）通過浪潮SSR操作系統安全增強系統找到了滿足高規格安全需求的解決之道。

涉密系統的高合規性安全需求

中船集團研究院是一個對信息安全合規性要求極高的公益性國防基礎科研事業單位，在內網中擁有多個關鍵應用系統。其中，OA系統中流轉的文件都只能在院內傳閲，有大量內容涉及國防科研，部分文檔涉密級別較高，一旦流落在外，就有可能對國家安全產生重大威脅，造成不可估量的損失。

正因為中船集團研究院的系統為涉密系統，所以對安全的要求比一般的系統高出很多，必須嚴格執行《涉及國家秘密的信息系統分級保護管理辦法》，保證信息不丟失也不被篡改。中船集團研究院在做IT架構設計時充分考慮到涉密系統中的服務器和數據庫仍然保存着大量的結構化和非結構化機密數據資產，因此將內外網進行物理隔離，阻斷核心信息與外界的數據鏈路。

物理隔離是許多人眼中的安全“終極大招”，但是即便如此周密，系統在面對分級保護的考驗時仍有顯著不足。中船集團研究院需要解決涉密系統運維所面臨的兩大風險：操作系統安全風險和人為操作風險。

操作系統的風險一直就沒有間斷過。雖然在過去數十年間，操作系統一直都沒有停止過被動打補丁的行為，但是安全問題卻沒有得到根本解決。有些漏洞十分隱蔽，經常是時隔多年都沒有被發現。以普遍認為比較安全的Linux操作系統為例，前不久谷歌有兩位安全研究專家Tavis Ormandy和Julien Tinnes，就發現了一個潛伏在Linux系統中將近1年時間的漏洞，該漏洞甚至能夠影響谷歌整個IT核心架構的正常運轉。

人為操作風險具有較強的人為性，出現運維事故時無法定位行為人，缺少運維審計依據。與操作系統風險相比，人員的操作風險更加難以防範，而且難以被察覺。信息泄露事件的發生，也大都因人為引起。據統計70%的系統故障事件是因人為操作失誤引發。因此，中船集團研究院需要最大程度地減少人為操作的風險。

浪潮SSR實現安全信息交換

“我院各級領導都非常重視信息安全工作，並指導本院在機構、制度和業務系統配置上貫徹執行信息安全相關要求。”中船集團研究院信息安全負責人這樣説。正是對於信息安全工作的重視，讓中船集團研究院更加慎重選擇安全解決方案。他説：“通過認真考察，我們採用了浪潮SSR，從根本上提升了服務器系統的安全性，很好地規避了人員操作的風險。並且順利通過了分級保護。”

中船集團研究院根據《涉及國家秘密的信息系統分級保護管理辦法》以及國家信息安全等級保護三級標準要求，通過浪潮SSR的安全內核技術構建了一個自身免疫的涉密系統，為系統中的信息交換的主客體分別加上安全標記，從而達到了強制訪問控制，制約了操作系統原有的自主訪問控制策略，從根本上控制了信息的交換，實現安全的信息交換的方法。

據瞭解，浪潮SSR採用了強制訪問控制和白名單機制，只允許可信的賬户和進程訪問被保護資源，並對操作系統中重要二進制文件進行完整性保護。中船集團研究院負責人表示：“部署浪潮SSR後，只要配置好SSR安全策略，管理員不再需要針對涉密環境操作系統開展升級、打補丁或手工加固等工作內容。即使惡意代碼利用漏洞獲取了系統的權限，也不能破壞系統文件和植入木馬。以往頻繁地給操作系統打補丁的模式一去不返，從發現漏洞到修補漏洞的‘真空期’也不存在了，系統具有了相當能力的‘免疫’能力。”

過去中船集團研究院系統管理員在系統中權限過大，所有手工加固都是基於系統管理員的身份為權限進行配置，這種訪問控制措施存在一個管理缺陷，管理員可以自行加固也可以自行取消，安全策略的有效性得不到審計，安全存在巨大隱患。此外，管理權限的集中化，導致一旦病毒或者惡意攻擊者獲取系統管理員權限就可以修改安全策略，因此達不到強制訪問控制的功能，極易產生數據丟失、系統癱瘓等安全威脅。

現在，中船集團研究院通過浪潮SSR安全管理員、審計管理員和系統管理員三權分立策略機制，不僅有效防止了因超級管理員權限丟失的風險以及超級權限的誤操作行為發生，而且對服務器機密數據予以嚴格的保護，阻止一切非授權程序和用户的訪問，避免數據庫被黑客、木馬程序非法訪問，防止敏感信息的泄露。確保了中船集團研究院所有內部人員對涉密系統中的文件、目錄、進程、註冊表和服務的操作都需要通過SSR才能夠進行訪問。針對關鍵只讀目錄及數據文件的檢測，系統會自動記錄文件的基本屬性和內容校驗，防止了關鍵數據被篡改的可能。

中船集團研究院通過採用浪潮SSR，多重防護體系構建的安全涉密系統不僅順利通過分級保護，還有了更多收穫。該負責人總結説：“過去的被動防禦變成了主動防禦，過去的修修補補變成提前免疫，過去手工加固變成了永久自動防禦，我們的系統補齊了安全短板，變得更為強壯。”