中安源可信网络安全平台

   

   中安源（sinosec）可信网络安全平台简介


可信网络安全平台
中安源可信网络安全平台是一款基于内网安全和可信计算理论研发的安全管理产品，以密码技术为支撑，以数据安全为核心，以身份认证为基础，可灵活全面地定制并实施安全策略，实现对内网中用户、计算机和信息的安全管理，达到有效的用户身份管理、计算机设备管理、数据安全保密存储和防止机密信息泄漏等目标。

中安源可信网络安全平台采用C/S模式，由三个系统组成，分别是中安源可信网络认证系统、中安源可信网络保密系统和中安源可信网络监控系统。这三个系统既可以单独使用，也可以联合使用，非常方便，根据用户的需要进行灵活的组合。

中安源可信网络安全平台三个系统的联合使用，通过主动加密、事前控制、事中监视、事后审计四种手段相结合，可以达到外部入侵进不来、非法外接出不去、内外勾结拿不走、拿走东西看不懂的效果，有效防止机密敏感信息的泄漏。

中安源可信网络安全平台已经通过国家保密局和中办机要局等相关机构的评审认定，并在云南省玉溪市机要政务网等单位成功实施，效果良好。

可信网络认证系统
中安源可信网络认证系统是一个基于PKI技术和公开密钥技术实现的网络资源认证系统统一，这里所指的网络资源包括计算机、OA服务器、FTP服务器和Mail服务器等内部的服务资源。

中安源可信网络认证系统通过接管Windows操作系统的认证模块，对客户端登陆计算机进行强制性认证，使得只有合法的通过认证的用户才能使用计算机和访问网络内部的公共服务资源，达到对计算机和服务资源统一有效控制的目的。

中安源可信网络认证系统由认证服务器、客户端认证代理、管理控制台、认证网关和USB Key令牌组成。

所有的用户通过管理员都会获得一个经过在认证服务器注册的USB Key硬件令牌，该令牌内置算法芯片，并且提供用户可修改的PIN码保护，从而实现了高强度的双因素身份认证。用户插入令牌的时候，认证代理会发起认证过程，当认证通过后，用户被允许进入操作系统，并获得其相应的访问各个资源提供服务器的权限，从而实现了单点登陆。认证过程简单描述如下：

1) 认证代理产生一个随机数Rap，使用服务器的公钥Psg加密，得到加密的随机数Rae，并将Rae跟其它用户USB Key的ID信息一起发给服务器；

2) 服务器使用自己的私钥Pss解密Rae，得到解密的随机数Rad，同时产生一个新的随机数Rbp，并使用用户发来的USB Key ID对应的公钥Pcg加密，得到加密随机数Rbe，然后将Rad和Rbe一起发回给客户端认证代理；

3) 客户端认证代理对比Rad和Rap，如果不一致，证明服务器是非法的，认证失败；如果一致，客户端认证代理继续使用USB Key的私钥Pcs解密Rbe，得到Rbd，并将Rbd发回给服务器；

4) 服务器接受到Rbd，对比Rbd和Rbp，如果不一致，认证失败；如果一致，认证通过，取得该客户ID的相关权限，并发回给客户端认证代理，完成认证过程，客户可以进入操作系统，并获得相应的服务器资源访问权限。

此外，每个用户还可以在本地创建一个或者多个安全保密磁盘，磁盘的操作跟普通磁盘一样，但是保存在磁盘中的文件都是加密的，而且只有该用户自己才能够打开，这主要是因为磁盘加密的主密钥是保存在硬件的USB Key里面，并且每个Key的密钥都是不同。为了保证因为Key丢失可能带来的数据丢失，每个USB Key在服务器还保留了可以恢复的备份数据。

总得来说，通过公开密钥算法、操作系统登陆认证系统的接管以及认证网关的相互作用，中安源可信网络认证系统可以实现以下的功能：

1) 基于硬件USB令牌提供用户的真实身份；

2) 支持数字证书；

3) 基于物理参数特征提供计算机的真实身份；

4) 计算机和信息服务资源进行统一集中的授权；

5) 基于USB Key令牌技术，用户只需登陆一次即可；

6) 离机锁定，用户令牌拔出计算机即锁定；

7) 按需创建虚拟的私人安全保密磁盘。

可信网络保密系统
中安源可信网络保密系统是基于密码技术、网络驱动技术和系统文件核心驱动技术，针对内部网络和主机信息保密开发的系统。可信网络保密系统针对数据交换的最常用的两个途径，即网络和存储设备进行了保密措施加固，并结合灵活的管理功能，达到了网络保密的效果，防止机密信息从网络途径或者存储设备的途径泄漏出去。这里的存储设备，包括移动硬盘、固定硬盘、U盘和软盘等。

中安源可信网络保密系统由服务器、管理控制台、转发网关、安全网关和客户端保密代理组成。

中安源可信网络保密系统通过对IP层数据包的改造和特殊保密格式的封装，实现了网络途径的保密，其主要技术关键点如下：

1) 客户端保密代理对所有IP包采用特殊格式进行封装，然后才发送到网络中进行传输；

2) 同一个虚拟保密子网（VCN）直接的计算机客户端保密代理共享一个数据包格式封装变换随机数，从而使得同一个VCN的计算机相互之间能够进行正常的网络通信，并且对上层应用是完全透明的。不同VCN之间的计算机相互之间的封装变化随机数不相同，所以不同VCN之间的计算机相互之间不能进行直接互联互通。

3) 通过管理员允许，不同VCN之间的计算机可以通过转发网关进行网络的连接，转发网关进行两个VCN之间数据封装格式的翻译；

4) 如果VCN内的计算机要访问外网，经过管理员允许，可以通过转发网关进行访问；

5) 重要的应用服务器可以放置在安全网关后面，只有经过管理员允许的VCN域内的计算机才可能访问安全网关后面的服务器资源。

6) 没有安装VCN或者没经过管理员允许的计算机，不能通过网络方式（不管是之间网卡对接还是通过交换设备）访问部署了VCN系统的任何一台客户端或者被安全网关保护的服务器，从而达到防止非法接入的目的。

中安源可信网络保密系统还通过系统核心文件系统驱动的加固，实现了对存储设备数据交换的有效保密控制，主要技术关键点如下：

1) 通过文件系统的控制，普通的逻辑存储设备（如U盘或者移动硬盘）不经过管理员的注册和认证，不能够在安装了VCN的客户端计算机使用。

2) 管理员注册存储设备的时候，可以根据需要，注册成只读、安全读写或者普通读写模式。只读模式的时候，使用该存储设备只能将没装VCN系统的计算机的数据复制到内部网络中来，而VCN内部的计算机数据不能通过该存储设备复制出去；安全读写模式使用透明加解密技术，使得使用该模式的存储设备复制存储的数据只能在同一个VCN或者在其信任VCN内的计算机上正常使用，而不能在指定VCN外的计算机上使用；普通读写模式则是正常的数据存储模式，安全漏洞大，一般不建议管理员注册该模式的存储设备。

3) 管理员可以通过策略，将本地的所有硬盘存储数据也进行加密；同时可以设置系统为使用模式，从而防止用户在客户端安装其它未经允许安装的软件造成安全和管理漏洞。上述两种模式的结合使用可以防止硬盘丢失带来的数据泄密危险。

中安源可信网络保密系统是一个创新性的系统，通过上述的措施和手段，实现了以下可以达到内部网络信息保密的功能：

1) 可以将内部网络根据保密需要，划分成不同的VCN，实现逻辑隔离。

2) 同一个VCN的计算机相互能够进行正常的网络通信，不同VCN之间的计算机未经管理员的允许不能直接进行网络通信，哪怕是通过网卡对接的方式也不能进行数据交换，从而确保网络信息保密；

3) 可以有效防止非法拨号外联或者非法接入，结合安全网关，保护了从客户端到服务器所有可能存在敏感信息的内部网络信息设备；

4) 可以实现对存储设备特别是移动存储设备的有效管理，发挥移动存储设备的方便性的同时有效控制数据的安全使用范围；并且解决了硬盘丢失或者从光盘和软盘启动可能造成的信息泄漏问题。

5) VCN部署不需要改变现有网络结构，并且可以灵活更改，操作简单灵活。

可信网络监控系统
中安源可信网络监控系统通过系统远程监控技术、设备控制技术和网络控制技术实现了对客户端计算机的集中管理、控制和审计，从而达到了依据内部管理制度有效落实管理措施的效果。中安源可信网络监控系统主要实现了客户端计算机的集中实时状态监控、外设端口控制、用户行为控制、网络端口控制和相关审计的功能。

中安源可信网络监控系统实时状态监控主要利用了Windows操作系统本身提供的API接口机制实现，监控的状态主要包括：

1) 中安源网络安全平台系列产品安装信息和其它客户端安装的应用程序；

2) 客户端安装运行的服务和驱动以及他们的状态；

3) 客户端正在打开的窗口标题；

4) 客户端正在运行的进程；

5) 客户端的活动网络连接状态；

6) 客户端的共享文件夹状态；

7) 客户端的用户和用户组情况；

8) 客户端的系统事件日志；

中安源可信网络监控系统通过驱动对外设端口进行了控制，其主要控制功能类型包括：

1) 红外端口的开关控制；

2) 拨号设备的关闭控制；

3) USB 输入设备（如键盘和鼠标）的开关控制；

4) 串口的开关控制；

5) 并口的开关控制；

6) 1394口的开关控制；

7) PCMICA的开关控制。

8) 输入设备（键盘和鼠标）的开关控制；

9) USB 存储设备的开关控制；

10) USB 其它设备的开关控制。

中安源可信网络监控系统通过网络驱动技术，实现了对网络端口双向的开关控制，主要包括：

1) 网络端口的进/出双向的开关控制；

2) 网络IP地址的进/出双向开关控制；

3) 网络IP和端口绑定的进/出双向开关控制；

4) 上述策略都支持白名单或者黑名单两种模式。

中安源可信网络监控系统通过Hook技术，实现了对客户端用户行为的控制，主要包括：

1) 对用户运行的应用程序的开关控制；

2) 对用户运行的服务的开关控制；

3) 对用户打开的窗口标题为要素的开关控制；

4) 上述策略都支持白名单和黑名单两种模式。

中安源可信网络监控系统还通过了违规记录等审计功能，包括：

1) 违反指定的控制规则的行为记录，如试图打开拨号设备的行为；

2) 文件创建、删除和复制的完整操作记录。

中安源可信网络监控系统提供了在线和离线两种自动切换的状态管理。所谓在线状态，是指客户端能够跟服务器建立实时连接的状态，比如在单位接入网络的情况下；所谓离线状态，是指客户端脱离服务器实时管理的状态，如将移动笔记本拿会家里办公的情况下。在状态发生改变的时候，客户端自动切换到当前状态对应的策略，比如管理员设定某台计算机在线USB 输入设备打开，离线USB输入设备关闭的情况下，如果用户将该台计算机内网网线拔掉，那么就会启动离线状态策略，自动将USB 输入设备关闭，比如你用的是USB键盘和鼠标，这时候都不能使用键盘和鼠标进行系统操作了。在线和离线状态的方式，极大满足了移动笔记本等设备的条件安全管理要求。

中安源可信网络监控系统如果跟中安源可信网络认证系统共同使用，则可以更加灵活，比如同一台计算机，用户A登陆可以使用USB端口，用户B登陆则不能使用USB端口，从而可以根据用户权限实现更加灵活的控制措施。