军工企业网络安全审计解决之道绿盟科技蒲新宇1.军工企业信息系统发展现状随着国防工业的迅速发展，军工企业逐渐摒弃传统的产品研制、开发手段，转向在计算机网络信息系统上进行新产品开发研制、企业资源调配和信息管理，计算机信息系统在提高工作质量和效率、提高科研信息管理水平等方面的作用越来越大，在逐步实现企业信息电子化、科研信息交换和资源共享过程中，军工企业生产对计算机信息系统的依赖程度日益增加。2.为什么需要网络安全审计2.1军工企业信息系统安全现状目前，军工企业工作中产生的大量的资料、数据、报告都在计算机系统中传输和处理，科研生产信息交换的便利性，必然带来信息泄露的便利性。据国家有关部门统计，在全国泄密事件中，军工系统占有很大比例。其中由于内部人员的违规网络行为导致的泄密案件比例逐年上升，信息安全保密形势非常严峻。例如：内部系统维护人员对业务应用系统的越权访问、违规操作，损害业务系统运行安全；企业的重要业务数据库，被员工或系统维护人员篡改、外泄；员工随意通过网络访问、文件共享、内部EMAIL等方式，发送重要敏感涉密信息、业务数据，导致重要军工机密信息外泄；虽然现在大多数军工企业已经采用一定的网络安全手段（如入侵检测、漏洞扫描等）和管理措施，可实现对网络异常行为的管理和监测，如对网络连接和访问的合法性进行控制、监测网络攻击事件等；但是不能监控网络内容和已经授权的正常内部网络访问行为，因此对正常网络访问行为导致的信息泄密事件也无能为力，也难以实现针对内容、行为的监控管理及安全事件的追查取证，给军工企业带来极大的困扰和严重信息安全隐患。2.2涉密信息系统分级保护目前，涉密信息系统分级保护工作正在军工企业全面推开，严格按照国家保密局的涉密信息系统分级保护的相关要求，加强军工涉密信息系统安全建设意义重大。其中国家保密局BMB17-2006号文件《涉及国家秘密的信息系统分级保护技术要求》中明确要求对涉密信息系统进行安全审计，通过安全审计实现对网络信息系统中的网络行为及业务系统操作进行审计记录，以便及时发现可疑行为及违规操作，采取相应的措施。军工涉密信息系统分级保护的要点是加强对业务运维操作、涉密敏感信息的管理。通过安全审计，可对发生的安全事件及时响应，不断跟踪网络行为和安全事件的变化，准确掌握网络系统的安全状态，并依据变化进行调整，确保涉密信息系统满足相应分级的安全要求，保护重要业务数据的安全。2.3信息安全体系对于任何一个安全体系来说，审计追查手段都是必不可少。计算机信息安全可通过如所示的信息安全体系结构模型来反映计算机信息系统安全需求和体系结构的共性，其构成要素是安全手段、系统单元及国际标准化组织（ISO）制定的开放系统互连参考模型（OSI）。在的安全手段中，审计是整个安全体系中不可缺少的重要组成部分。图1信息安全体系结构模型在TCSEC和CC等安全认证体系中，安全审计是评判一个系统是否真正安全的重要标准。根据代表性的安全模型P2DR理论，网络信息系统在综合运用防护工具（如防火墙、操作系统身份认证、加密等手段）、检测工具（如漏洞评估、入侵检测等系统）的同时，必须通过安全审计收集、分析、评估安全信息、掌握安全状态，制定安全策略，确保整个安全体系的完备性、合理性和适用性，才能将系统调整到“最安全”和“最低风险”的状态。因此，如何有效监控内部网络访问行为和敏感信息传播，及时发现违反安全策略的事件并实时告警、记录，同时进行安全事件定位分析，事后追查取证，满足合规性审计要求，是军工企业迫切需要解决的问题。3.安全审计系统特点与评价安全审计系统（SecurityAuditSystem）是在一个特定的企事业单位的网络环境下，为了保障业务系统和网络信息数据不受来自用户的破坏、泄密、窃取，而运用各种技术手段实时监控网络环境中的网络行为、通信内容，以便集中收集、分析、报警、处理的一种技术手段。安全审计系统的主要特点如下：细粒度的网络内容审计安全审计系统可对网站访问、邮件收发、远程终端访问、数据库访问、数据传输、文件共享等进行关键信息监测、还原；全面的网络行为审...