一、什么是安全域
傳統(tǒng)的解釋是具有相同安全需求的網(wǎng)絡(luò)物理區(qū)域，也可以是獨(dú)立管理的網(wǎng)絡(luò)邏輯區(qū)域。從安全保護(hù)要求的角度，可以從物理上劃分，也可以從邏輯上劃分。那么，安全域就是由一組具有相同安全保護(hù)要求且相互信任的系統(tǒng)組成的物理或邏輯區(qū)域。
安全域的思路就是要把保護(hù)的資源和訪問(wèn)者分離開(kāi)來(lái)，部署訪問(wèn)控制措施，嚴(yán)禁數(shù)據(jù)高密低流，確保涉密信息的安全。安全域劃分可以簡(jiǎn)化各個(gè)安全域內(nèi)的管理復(fù)雜性，主要是為了隔離安全域內(nèi)事件發(fā)生影響其它安全域，減少攻擊面。
二、什么是網(wǎng)絡(luò)邊界
在分級(jí)保護(hù)的安全域的劃分中，也會(huì)產(chǎn)生不同的邊界定義，主要包括互聯(lián)網(wǎng)絡(luò)邊界和安全域之間邊界。
1.互聯(lián)網(wǎng)絡(luò)邊界
互聯(lián)網(wǎng)絡(luò)邊界指的是某個(gè)單位涉密網(wǎng)絡(luò)與外部單位的網(wǎng)絡(luò)連接，需要?jiǎng)澏ㄒ粋€(gè)專門用于互聯(lián)的安全域。與外單位涉密網(wǎng)絡(luò)互聯(lián)時(shí)，原則上只能同一密級(jí)網(wǎng)絡(luò)才能互聯(lián)，如果不是就需要建立過(guò)渡密級(jí)安全域;與外單位非涉密網(wǎng)絡(luò)互聯(lián)時(shí)，原則上是禁止的，但是考慮到特殊要求，外單位必須滿足等級(jí)三級(jí)以上標(biāo)準(zhǔn)，外單位網(wǎng)絡(luò)不能有與互聯(lián)網(wǎng)連接的通道，本單位建立過(guò)渡密級(jí)區(qū)域。
2.安全域邊界
安全域邊界指的安全域之間的互聯(lián)邊界，一般通過(guò)防火墻、路由器、交換機(jī)、網(wǎng)閘等設(shè)備構(gòu)成邊界區(qū)域，進(jìn)行嚴(yán)格的數(shù)據(jù)流向控制。主要包括不同密級(jí)安全域邊界、同密級(jí)安全域邊界。不同密級(jí)安全域邊界必須保證高密級(jí)信息不能流向低密級(jí)區(qū)域;同密級(jí)安全域之間的信息可以雙向流動(dòng)，但是要做好訪問(wèn)控制措施，遵循“最小授權(quán)”原則，對(duì)涉密信息要做到“最小知悉范圍”原則。
在產(chǎn)品設(shè)計(jì)過(guò)程中，針對(duì)網(wǎng)絡(luò)邊界的畫(huà)像，一定要結(jié)合客戶實(shí)際業(yè)務(wù)場(chǎng)景和安全域建設(shè)現(xiàn)狀，進(jìn)行合理的取舍。總之，在對(duì)網(wǎng)絡(luò)邊界的刻畫(huà)中，要充分考慮互聯(lián)網(wǎng)絡(luò)之間和安全域之間涉密信息流向的指標(biāo)，用戶訪問(wèn)業(yè)務(wù)系統(tǒng)的指標(biāo)、運(yùn)維人員的運(yùn)維指標(biāo)等。
三、什么是三網(wǎng)六域
在分級(jí)保護(hù)建設(shè)中，通俗的說(shuō)法，三網(wǎng)指業(yè)務(wù)網(wǎng)、運(yùn)行維護(hù)網(wǎng)、授權(quán)管理網(wǎng);六域指用戶終端域、管理員終端域、應(yīng)用服務(wù)域、安全服務(wù)域、安全運(yùn)維管理域、授權(quán)管理域。
1.三網(wǎng)
業(yè)務(wù)網(wǎng)
業(yè)務(wù)網(wǎng)也叫數(shù)據(jù)網(wǎng)，通過(guò)普通網(wǎng)口進(jìn)行數(shù)據(jù)交互，提供各種業(yè)務(wù)應(yīng)用服務(wù)，如辦公業(yè)務(wù)系統(tǒng)等;普通用戶通過(guò)該網(wǎng)絡(luò)進(jìn)行業(yè)務(wù)訪問(wèn)。應(yīng)用類(OA、郵件、文件交換、PDM系統(tǒng)、檔案管理系統(tǒng)、內(nèi)部門戶網(wǎng)站等)、安全保密類(如三合一、主審、打刻、殺毒、身份鑒別、準(zhǔn)入、文檔隱寫(xiě)溯源系統(tǒng)等)產(chǎn)品都部署在業(yè)務(wù)網(wǎng)中。
運(yùn)行維護(hù)網(wǎng)
通過(guò)BMC接口(基板管理控制器，是IPMI協(xié)議的核心組件，集成在服務(wù)器、網(wǎng)絡(luò)設(shè)備等產(chǎn)品中的硬件管理器，用于狀態(tài)監(jiān)測(cè)和遠(yuǎn)程管理)進(jìn)行數(shù)據(jù)交互，提供對(duì)專用服務(wù)器的遠(yuǎn)程運(yùn)維管理服務(wù)，類似KVM控制器，管理員可通過(guò)該網(wǎng)絡(luò)實(shí)現(xiàn)對(duì)服務(wù)器的遠(yuǎn)程監(jiān)控和控制。
授權(quán)管理網(wǎng)
通過(guò)安全卡(SOC卡)接口進(jìn)行數(shù)據(jù)交互，提供對(duì)涉密專用計(jì)算機(jī)的授權(quán)管理，包括安全卡網(wǎng)絡(luò)配置、時(shí)鐘同步、登錄授權(quán)、軟/硬件重啟關(guān)機(jī)、系統(tǒng)告警推送、三合一管理(I/O策略管控、專用優(yōu)盤(pán)、違規(guī)外聯(lián)、網(wǎng)絡(luò)端口管理等)。管理員通過(guò)該網(wǎng)絡(luò)對(duì)涉密專用計(jì)算機(jī)的安全保密授權(quán)管理。
2.六域
用戶終端域
普通用戶所在的安全區(qū)域，用戶在日常辦公中使用的終端劃分在這個(gè)區(qū)域。
管理員終端域
管理員所在的安全區(qū)域，管理員在運(yùn)維工作中使用的運(yùn)維終端劃分在這個(gè)區(qū)域。
應(yīng)用服務(wù)域
應(yīng)用服務(wù)器所在的安全區(qū)域，部署應(yīng)用的服務(wù)端程序，對(duì)內(nèi)提供類似OA系統(tǒng)、郵件系統(tǒng)、文件交換系統(tǒng)等應(yīng)用服務(wù)。
安全服務(wù)域
安全保密產(chǎn)品所在的安全區(qū)域，部署主審、殺毒、打刻、身份鑒別等各種安全保密產(chǎn)品的服務(wù)端，提供安全保密服務(wù)。
安全運(yùn)維管理域(BMC域)
BMC接口組網(wǎng)所在的安全區(qū)域，管理員通過(guò)該安全域?qū)Ω鱾€(gè)專用服務(wù)器進(jìn)行遠(yuǎn)程運(yùn)維管理。
授權(quán)管理域
SOC接口組網(wǎng)所在的安全區(qū)域，管理員通過(guò)該安全域使用專用服務(wù)器SOC卡接口進(jìn)行專用服務(wù)器保密授權(quán)管理。
總之，三網(wǎng)六域的說(shuō)法不是特定的標(biāo)準(zhǔn)，每個(gè)單位都可以根據(jù)實(shí)際安全保密需要，進(jìn)行安全域的規(guī)劃，同時(shí)安全域還可以劃分若干個(gè)安全子域。在分保建設(shè)中，一切安全域的劃分都必須站在保密的角度，結(jié)合實(shí)際情況進(jìn)行合理的安全域劃分。
四、總結(jié)
在涉密網(wǎng)絡(luò)建設(shè)中，根據(jù)分保建設(shè)要求，涉密網(wǎng)絡(luò)必須進(jìn)行分級(jí)分域，安全域的劃分也存在一些難點(diǎn)：一是確定業(yè)務(wù)密級(jí)困難，業(yè)務(wù)是變化的，涉密信息是增長(zhǎng)的;二是網(wǎng)絡(luò)分拆比較麻煩，物理位置和邏輯劃分錯(cuò)綜復(fù)雜;三是不同密級(jí)的人員訪問(wèn)不同密級(jí)應(yīng)用系統(tǒng)的訪問(wèn)控制問(wèn)題，如何進(jìn)行崗位密級(jí)和不同應(yīng)用系統(tǒng)密級(jí)的匹配;四是跨不同密級(jí)安全域邊界的控制問(wèn)題。
在涉密領(lǐng)域，安全域的合理劃分是保障涉密信息安全的基礎(chǔ)，俗話說(shuō)基礎(chǔ)不牢，地動(dòng)山搖，要確保涉密領(lǐng)域的安全，必須深入思考安全域的劃分，從用戶崗位密級(jí)、系統(tǒng)密級(jí)、安全域密級(jí)、文件密級(jí)、設(shè)備密級(jí)等多個(gè)層面考慮安全域的劃分，做到涉密數(shù)據(jù)流向正確，涉密數(shù)據(jù)訪問(wèn)控制正確，遵循“最小授權(quán)”和“最小知悉”原則。
