涉密信息系统中的应用服务安全防护解决方案

　解决好涉密信息系统中的应用服务安全防护问题，就是要对需要访问应用服务的用户或客户端实行有效的访问控制和授权管理，对未授权的用户及客户端进行有效的访问限制;为每个访问的用户指定可访问的应用服务，限定访问的范围，杜绝越权的访问行为;而这种访问授权的机制必须安全、可控而灵活。

　同时针对应用服务的安全防护应当是立体的，多层次的防护体系。从链路层的地址绑定，网络层的访问控制，传输层的链路加密，会话层的身份认证，应用层的访问授权和准入控制，构建成一个完整的应用安全的体系结构。构建一个应用服务防护的安全体系，我们需要从以下几方面来进行考虑：

　(1)实施单点登录机制

　统一的单点登录机制要求用户在访问任何应用服务前，都需要通过一个统一且唯一的访问入口进入，在该入口进行用户认证和身份鉴别，对未经用户认证及身份鉴别的用户将不允许其访问应用服务，而对通过用户认证和身份鉴别的用户才会获取到访问应用服务的授权牌，在这个授权牌中标识了用户的身份信息、访问有效期限、安全等级、可访问的应用服务名称以及允许采用的访问方式。由此完成了针对访问用户的单点登录。

　(2)实施统一的用户管理机制

　实施统一的安全管理能够避免用户在使用多套账户口令时由于遗忘而无法访问，同时统一用户授权，能够有效避免由于在不同应用服务中授权不一，用户密级不统一，而形成潜在的泄密风险。另外统一的用户管理有助于管理员及时了解账户的活动状态，及时清理过期或无效的账户信息，保证账户信息的准确。

　3)数据级安全防护措施

　由于TCP/IP自身的性质决定了各种数据在传输的过程中都是以明文形式进行的，这就使数据在传输过程中存在极大的安全风险。如果不加防护，网络攻击者可以轻易地截获网络中传输的数据，甚至对其进行修改和破坏。这时就需要SSL VPN数据级的安全防护措施，即借助于专业的SSL VPN加密隧道技术对数据进行加密以确保数据的保密性和完整性。

　(4)用户级安全防护措施

　用户级的安全措施主要是指用户账户安全管理。在用户获得访问权力时用户全程的访问活动进行审计，而在他们的访问权不再有效时冻结用户账户。同时对于用户账户的异常使用，如账户密码的尝试登录次数在超过一定阈值后将锁定用户账户。

　(5)入网访问控制

　分为三个步骤：用户名的识别与验证、用户口令的识别与验证、用户账号的缺省限制检查。三道关卡中只要任何一关未过，该用户便不能进入网络，对应用服务进行访问。

　(6)网络的访问控制

　通过访问控制对访问中的源IP、源端口、协议类型、目的IP、目的端口进行关联性策略制定，保证应用服务只向用户开放在业务中所涉及的服务端口，防止恶意用户通过部分端口漏洞对应用服务进行非法攻击。

　(7)应用服务授权管理

　对应用服务的授权管理分为：基于应用服务地址的访问授权、基于应用服务端口的访问授权、基于WEB应用服务目录的访问授权、基于WEB应用服务资源文件的访问授权、基于访问方式的访问授权。另外针对应用服务的授权管理应当体现安全级别特点，在涉密信息系统中一些密级等级较高的应用服务应限制低密级的用户对其进行越权访问，而一些密级等级较低的应用服务可允许高密级用户及低密级用户的访问。

　(8)网络服务器安全控制

　对服务器的操作保护是应用服务安全重要保障，防止非法用户修改、删除、破坏重要信息或数据;通过应用服务防篡改保护机制对应用服务中涉及的资源文件进行安全防护，当恶意用户通过非法手段进行数据篡改时可以对发生非法篡改的数据进行及时恢复，保证应用正常可用;非法访问者检测机制能够在事件发生前进行检测、分析和限制，能够更加有效的对应用防护起到保护效果。

　(9)访问监测和锁定控制

　访问监测机制针对用户的应用服务访问行为进行访问事件的审计记录，系统应记录用户对网络资源的访问，对非法的网络访问，并以声光或文字或声音等形式报警，以引起网络管理员的注意。如果不法之徒试图对应用服务发起攻击，系统应会自动记录尝试进入网络的次数，如果非法访问的次数达到设定数值，那么该账户将被自动锁定。

　(10)访问客户端的准入控制

　访问客户端准入机制能够有效防止盗用账户或盗用IP的欺骗式访问行为，通过将客户端物理地址和IP地址的绑定，能够限定只能在指定的主机进行应用服务访问，通过证书Ukey的控制方式，为每个授权用户分配唯一的key，这样在只获得用户账户和密码信息，而没有授权Ukey的条件用，仍然无法通过身份鉴别获得访问权。其次针对应用服务的访问客户端应对其安全性进行评估，防止带有病毒，木马及存在潜在安全风险的计算机在对应用服务进行访问时造成病毒扩散。

　(11)数据流向安全控制

　涉密信息系统建设中数据流向安全控制一直受到大家的关注，通过技术手段限制高密级数据向低密级用户流动以及限制涉密数据向非涉密用户的流动这将有力保证涉密数据的安全。