近年來，信息技術的飛速發(fā)展讓人們獲取、交流和處理信息的手段發(fā)生變化，信息化進程的推進也為公安系統(tǒng)開展工作帶來新的挑戰(zhàn)。為應對新形勢下對公安執(zhí)法提出的新要求，國家提出了以“公安信息化工作”為核心，以“科技強警”為目標的國家公安信息化工程——“金盾工程”。該工程自1998年開啟立項以來，我國公安信息化建設獲得突破性進展，特別是全局應用系統(tǒng)框架的部署和實施，使得各公安系統(tǒng)網絡信息系統(tǒng)發(fā)生了重大變化，通信速度更高效、業(yè)務的信息化程度更深入、應用與業(yè)務結合的更緊密、基層應用更為普及，極大提升了公安系統(tǒng)機關維穩(wěn)處突、便民服務的工作水平，但不容忽視的是，對公安網絡安全可靠運行提出了更高的要求。針對公安系統(tǒng)在網絡安全方面存在的問題，國內領先的內網安全解決方案提供商明朝萬達公司歷經多年研發(fā)推出了Chinasec可信網絡安全平臺，為“金盾工程”的精細建設提供更完整的安全技術保障。

背景概述：

毫無疑問，公安系統(tǒng)的信息化在促進公安系統(tǒng)各項工作順利開展、提高工作效率的同時，因其網絡應用擴大導致安全風險也變得更為嚴重。由于公安系統(tǒng)重要業(yè)務系統(tǒng)都處于涉密網絡，其內部網絡承載的數據非常重要，安全保密性要求非常高，所以各地公安系統(tǒng)網絡除了與公安專網連接之外，與其它網絡的連接將被嚴格禁止，按照保密要求，必須達到物理隔離。然而從實際運營情況分析，各地分局普遍存在私自通過ADSL、無線等方式接入互聯網或者其他網絡的情況，此種方式在公安系統(tǒng)內稱為“一機多網”行為。“一機多網”現象的存在，為公安系統(tǒng)保密工作帶來了很大隱患，也引起公安部和各省廳從技術到管理角度采取了系列措施以有效規(guī)避類似行為發(fā)生。

物理斷開造成了應用與數據的脫節(jié)，影響了公安系統(tǒng)的工作效率；“一機多網”則讓公安系統(tǒng)信息網絡面臨著嚴重的泄密威脅。無論是公安部信息化建設的主管，還是致力于網絡安全防護的廠商都意識到，物理斷開、杜絕“一機多網”只是一種手段，保護公安系統(tǒng)涉密網絡的安全才是最終目的。作為致力于內網安全管理的安全廠商，明朝萬達公司組織科研團隊、依托Chinasec可信網絡安全平臺，面向公安系統(tǒng)提出了完善的內網安全解決方案。

存在問題：

明朝萬達科技人員在對公安信息網絡進行綜合評估分析之后發(fā)現，目前各地公安局在公安專網的安全性上還存在著多方面的問題：

（1）全網安全系統(tǒng)建設沒有整體規(guī)劃，無法形成符合公安系統(tǒng)網絡和應用系統(tǒng)現狀 的全局網絡安全體系架構；

（2）安全系統(tǒng)建設思路還比較陳舊，網絡安全防預停留在部門防預的層面上，網絡核心資源得不到有效保護；

（3）還缺乏網絡準入控制、終端安全防御、用戶行為審計等技術措施，對網絡安全事件的源頭無法全面控制；

（4）對公安系統(tǒng)骨干網絡的安全審計檢測不全面，無法全程監(jiān)控安全事件傳播軌跡；

（5）還存在安全孤島問題，未對公安系統(tǒng)各單位的網絡安全設備產生的運行日志和安全報警信息實現前面采集和整合，無法及時、準確的掌控全網安全情況；

（6）未形成一套有效的網絡安全管理機制，安全管理與網絡管理、應用管理脫節(jié)，未形成功能互補、流程清晰、職責明確的運維管理工作局面。

Chinasec的解決方案

針對公安系統(tǒng)網絡應用及網絡安全存在的問題，明朝萬達整體一致內網安全解決方案依托Chinasec可信網絡安全平臺，同時提供數據保密、身份認證、授權管理、終端安全管理和監(jiān)控審計，形成一個完整互動的內網安全策略。

安裝了Chinasec軟件的計算機終端發(fā)出的所有數據包均進行了加密處理。加密在網絡層進行，IP頭以下的數據均被加密，非IP數據包受到禁止（ARP包除外）。Chinasec軟件目前版本軟件采用AES加密算法進行網絡加密，密鑰256位，密鑰由服務器統(tǒng)一生成和下發(fā)，每小時更換一次。同時，同一安全域（VCN）內的計算機采用相同的加密密鑰，兩兩通訊時接受方能夠自動識別發(fā)送方的數據包并解密。加密密鑰不用協商，而是由服務器自動生成并下發(fā)，由于服務器和客戶端之間的通道已經加過密了，所以這個密鑰下發(fā)過程是安全的。不同安全域密鑰不同，無法通訊。安全域外的計算機不能識別安全域內計算機發(fā)出的數據包，無法進行通訊，從根本上杜絕了非法外連和非法接入。

除此之外，適用于公安系統(tǒng)的Chinasec可信網絡安全平臺可根據各地公安系統(tǒng)自身安全體系建設的需要規(guī)劃增加基于數字證書的統(tǒng)一計算機登陸授權管理體系、基于數字證書的個人保密磁盤、移動存儲介質管理、中斷監(jiān)控管理系統(tǒng)以及內網安全域劃分等擴展性應用，從根本上解決了公安系統(tǒng)網絡在網絡安全、訪問安全、應用安全、內容安全和案例安全方面存在的系列問題。

案例實施

2007年底，北京公安局A分局為了杜絕“一機多網”行為的發(fā)生，維護公安系統(tǒng)信息安全、可靠的運行，公開招標尋求最佳的內網安全解決方案。經過嚴格的產品測試和多次甄選，明朝萬達公司憑借Chinasec可信網絡安全平臺從眾多同行中脫穎而出，成功與北京市公安局A分局簽署并部署實施。一期終端點數約為2000點；在A公安局的內網安全項目中，最重要的就是實現對“一機多網”行為的控制，很好的保障A公安局內終端的違法外聯行為，其他還結合了Chinasec可信網絡安全平臺中的保密系統(tǒng)中的移動存儲介質管理、監(jiān)控系統(tǒng)中行為監(jiān)控和相關操作審計等功能來完善了局內終端的安全。

方案特點：

上述的方案具有以下特點：

1、完全基于明朝萬達Chinasec可信網絡安全平臺實現，上述的所有功能可以實現一個平臺的統(tǒng)一管理和策略聯動，管理方便簡單；

2、完全兼容現有的公安數字證書，是數字證書應用的有力擴展，提高了數字證書的利用率，并實現了用戶標識的統(tǒng)一管理；

3、系統(tǒng)具備大用戶數管理模式支持，可以實現負載均衡、熱備和多級管理模式等；

4、支持多級管理機制，可以在實現公安系統(tǒng)所有計算機集中管理的前提下，結合實際管理需要，部分安全策略進行逐級授權管理，實現統(tǒng)一和效率的有機結合；

5、方案基于Chinasec（安元）可信網絡安全平臺，具有高度的模塊化和擴展性，可以根據公安系統(tǒng)發(fā)展的需要，在同一個平臺上進行打印監(jiān)控審計等功能的擴展，大大提高公安系統(tǒng)內網安全管理的統(tǒng)一性和效率。

效益分析

該內網安全項目建成后，將具有以下效益：

1、解決公安系統(tǒng)信息化辦公中的主要安全隱患。主要包括計算機使用管理、設備丟失導致的數據泄密、非法外聯等違規(guī)行為導致的數據泄密和安全隱患、移動存儲介質濫用導致的病毒感染或者數據泄密。

2、使公安系統(tǒng)在信息安全建設中走在全國領先地位。該內網安全項目的建成，特別是基于用戶數字證書功能的擴展，是1203工程的有力延伸，進一步體現和加強了1203工程的價值，將使公安系統(tǒng)在信息安全保密和信息安全管理方面成為公安系統(tǒng)的典范和先進。