农业部计算机信息网络系统安全保密管理暂行规定

第一章 总则第一条 为了加强对我部计算机信息网络的管理，保障计算机网络安全运行和网上信息交流的健康发展，根据《中华人民共和国保守国家秘密法》和中央保密委员会有关精神，制定本规定。第二条 计算机网络系统的安全保密工作既要保障国家秘密的安全，又要促进信息处理技术的提高，有利于信息的共享与应用。加强计算机网络系统的安全保密工作，一靠组织管理，二靠技术进步。第三条 本规定适用于联入农业部计算机信息网络的部机关各司局、直属单位及各省有关部门。规定中所称的“农业部局域网络”，指通过光缆、同轴电缆、双绞线等手段联入网络的计算机系统；所称“农业部远程网络”，指以电话线路、公用数据线路与农业部计算机信息网络联网的计算机系统。第二章 涉密信息保密第四条 在农业部计算机信息网络上存储和传输的信息，应根据农业部、国家保密局有关“农业工作中国家秘密及其密级具体范围的规定”精神，分清保密和非密的性质。需要在网络上存储、传输的保密信息，应遵守有关的保密要求。信息提供部门负责按照相关保密规定，明确信息秘密等级、保密期限和提供范围；网络技术安全管理部门（部信息中心或自管网络的管理部门，下同）负责实施相应的安全措施。第五条 秘密级别以上的信息只限在专用的、采取了保密措施的微机（加装了干扰机或其他措施，下同）上编辑与传输。第六条 农业部计算机信息网络上不存储和传输绝密级信息以及有关单位认为不宜上网的信息。其他保密信息可在“农业部局域网络”上通过采取了保密措施的微机上阅看。保密信息如果需要在“农业部远程网络”上传递，必须在传递的双方同时加接保密机（或采取保密部门认可的其他措施），目前在没有配备保密设施的情况下，“农业部远程网络”不传输秘密以上级别的信息。第七条 网络上的数据库内容涉及保密的数据资料时，要在数据库设计时就提出保密要求和调用权限，由网络技术安全管理部门负责进行安全保密设计。如果委托其他单位设计，须由设计单位提供源码程序，经网络技术安全管理部门进行安全保密认证并进行保密设置后方可入网运行。第八条 在网络上编发信息的部门，要根据国家和农业部有关的保密文件，确定需要保密的信息内容、划分编发等级、明确信息提供范围。对于信源单位已提出保密要求的信息，信息编发部门要严格按照信源单位提出的保密要求和提供范围确定网上编发级别；对于未明确密级但内容涉密的信息，要根据有关的保密规定，确定编发级别；对有涉密嫌疑又来源不明的信息不予编发。第九条 信息使用、加工处理部门及网络管理部门，不得通过不正当的手段，超越权限查看、使用、复制保密信息，也不能擅自降低保密级别，把保密信息作为非保密信息传播。第十条 “农业部局域网络”与上级或其他部委联网时的安全保密措施，按信息提供单位的要求执行。第三章 网络安全管理第十一条 网络建设和运行，必需有技术上的安全和保密控制措施，拒绝未经授权的访问。第十二条 用户口令是进入网络的重要关卡，授权用户对自己的口令必须严格保密，不能转告非授权用户。计算机网络用户的口令和采取的安全措施，属于秘密级事项；有调阅机密内容权限的用户口令和网络系统级口令及安全措施属于机密事项。第十三条 为了保证网络安全，任何单位和个人不得在“农业部局域网络”上擅自联接各类网络设备。所有网络设备的增减与变动，其技术方案必须经部网络技术安全管理部门（部信息中心，下同）认可并由其派出的技术人员予以安装和维护，任何单位和个人不得私自改动和联接。第十四条 各单位联入“农业部局域网络”，需要安装主机、服务器等设备时，必须预先报部信息体系领导小组办公室（设在市场信息司，下同）核准，并由部网络技术安全管理部门进行安全和技术审核，分配网络地址和设置安全措施后，方可实施安装。第十五条 本部各单位在“农业部局域网络”覆盖范围外独立建设的计算机信息网络，应事前报部信息体系领导小组办公室批准，并接受部保密委员会组织的技术安全审查。第十六条 “农业部局域网络”所覆盖范围内的各司局、直属单位，如需要通过局域网与外单位进行信息（含数据）交换，应经由农业部计算机信息网络提供的统一网络信道进出。个别上级业务主管部门要求建立独立的网络信息通道时，应事先报部保密委员会和部信息体系领导小组办公室批准并经部网络技术安全管理部门进行内部技术安全审查。

1、核心的网站代码和方法，使用DLL文件
2、数据库内容全部加密（不是数据库层面的加密，是使用自定义的算法加密），数据库管理员密码设置必须超级复杂
3、数据库备份必须设置密码
以上三条做到基本上可保无虞

答：
1、确定硬件环境，根据服务器的硬件配置，确定 *** 作系统和应用软件安装步骤。
2、检查服务器的软硬件环境，检查BIOS是否支持虚拟化以及硬盘容量是否足够，以及网络是否畅通，如果有任何不符合要求的地方要求马上处理。
3、安装 *** 作系统，根据安装步骤按照要求正确配置系统，比如确定管理员用户和密码，以及其他必要设置。
4、安装保密系统，根据系统安装文档按照要求正确配置。
5、测试系统，完成安装后可以进行测试，检查系统是否稳定可用。

上下位机网络通讯保密运行需要很多计算机技术，具体如下：
（一）安全隔离网闸技术
互联网在为人们工作带来便利的同时，其安全问题也逐渐凸显出来。当一个内部网络既需要保证其数据的安全，又需要与外部网络进行数据交换时，可以采用以网闸技术为核心技术的网络安全隔离系统来保证内网与外网的物理隔离，同时又能够根据业务需求实现内外网之间多种形式的信息和数据交换。
网闸是使用带有多种控制功能的固态开关读写介质连接两个独立主机系统的信息安全设备。物理隔离网闸所连接的两个独立主机系统之间，不存在通信的物理连接、逻辑连接、信息传输命令、信息传输协议，不存在依据协议的信息包转发，只有数据文件的无协议“摆渡”，且对固态存储介质只有读和写两种命令。
网闸技术的工作流程可分为以下几个步骤：切断网络之间的通用协议连接；将数据包进行分解或重组为静态数据；对静态数据进行安全审查，包括网络协议检查和代码扫描等；确认后的安全数据流入内部单元；内部用户通过严格的身份认证机制获得所需数据。这样就在安全隔离两个网络的基础上实现了安全的信息交换和资源共享。
（二）防火墙技术
“防火墙”原指汽车上防止引擎发生爆炸而用来隔离引擎和乘客的装置。在被引入计算机安全领域之后，指用来保护内部网络不受来自外部的非法或非授权侵入的逻辑装置，其核心思想是在不安全的网间环境中构造一个相对安全的子网环境。“防火墙”种类很多，大致可分为两大类。一类是包过滤型（packet filter），通常直接转发报文，对用户完全透明，速度较快；另一类是代理服务（proxy service），通过代理服务器（proxy service）建立网络连接，具有较强的身份验证和日志功能。但不论哪一类“防火墙”，都不能做到无隙可击。目前，防火墙主要技术有如下几种。
1、包过滤（packet filter）技术
包过滤技术，是指在网络层中对数据包实施有选择的通过。依据系统内事先设定的过滤逻辑，即访问控制表（access control table），检查数据流中每个数据包后，根据数据包的的源IP地址、目的IP地址、TCP/UDP源端口号、TCP/UDP目的端口号及数据包头中的各种标志位等字段来确定是否允许数据包通过，其核心是安全策略，即过滤算法的设计。例如，基于特定服务的服务器使用特定的端口号（TCP端口23用于telnet连接），包过滤器可以通过简单地规定适当的端口号来达到阻止或允许一定类型的连接的目的，并可进一步组成一套数据包过滤规则。包过滤器的应用非常广泛，因为CPU用来处理报文过滤的时间可以忽略不计。此外，这种防护措施对用户透明，合法用户的数据在进出网络时，根本感觉不到它的存在。但是，包过滤防火墙的安全性有一定的缺陷，因为系统对应用层信息无感知，也就是说，防火墙不理解通信的内容。正是由于这种工作机制，包过滤防火墙存在以下缺陷：（1）数据包的源IP地址、目的IP地址以及IP的端口号都在数据包的头部，很有可能被伪造；（2）通信和应用状态信息：由于包过滤防火墙是无状态的，不能根据通讯的上下文或应用的上下文来进行过滤；（3）信息处理：难于配置，不具备监视和审计能力，信息处理能力极弱。
2 应用网关技术
该技术又称为双主机技术（dual homed host），采用主机取代路由器执行控管功能。主机是内外网络连接的桥梁，起着网关的作用，也被称为堡垒主机（bastion host）。应用层网关（application level gateways）是建立在网络应用层上的基于主机的协议转发器，它的原理是建立一个子网-----内部网络和外部网络之间的一个单独区域，一个路由器或更复杂的网关位于内部网络和该区域之间，其他的位于该区域和外部网络之间。在该子网上有一个代理主机，进出用户必须在应用层和该代理主机连接。代理主机可以进行预先的鉴别，针对特定的网络应用服务协议指定数据过滤逻辑，限制进出的通信，并在进行应用协议所指定的数据过滤逻辑的同时，对数据包分析的结果及采取的措施做登记和统计，形成报告，提供审计的功能。
应用层网关不使用通用目标机制来服务不同种类的通信，而是针对每个应用使用专用的代码。它在网络应用层上建立协议过滤和转发功能，针对特定的网络应用服务协议使用指定的数据过滤逻辑，并在过滤的同时，对数据包进行必要的分析、登记和统计。通过采用这种专用的程序代码，应用层网关可以提供高可靠性的安全机制。为了使用应用层网关，用户需要在应用层网关上登录请求，或者在本地机器上使用一个为该服务特别编制的程序代码。每当一个新的需要保护的应用程序加入网络中时，必须为其编写专门的程序代码。正因如此，许多应用层网关只能提供有限的应用和服务功能，同时必须为每一项应用编写专用程序。但从安全角度上看，这也是一个优点，因为除非明确地提供了应用层网关，否则就不可能通过防火墙。这也是在实践“拒绝访问除明确许可以外的任何一种服务”的原则。
应用层网关的优点是容易记录和控制所有进出的通信，应用层网关可以去掉内部设备的名字，隐藏可能有价值的数据，通信分析、内容分析和记录都可以用来寻找信息漏洞，不必担心不同过滤规则集之间的相互影响，也不必担心对外提供安全服务的主机中的漏洞。应用层网关的缺点是对提供的大部分服务都需要专业化的用户程序或不同用户接口，这意味着只能支持最重要的服务，而且一旦特定的网络数据满足逻辑，则会导致防火墙内外的计算机系统建立直接联系，这一点也给网络带来安全隐患。
3 代理服务器技术
代理服务器也称链路级网关或TCP通道，它作用在应用层，提供对应用层服务的控制，起到内部网络向外部网络申请服务时中间转接的作用。内部网络只接受代理提出的服务请求，拒绝外部网络其他结点的直接请求。
具体地说，代理服务器是运行在防火墙主机上的专门的应用程序或者服务器程序。防火墙主机可以是具有一个内部网络接口和一个外部网络接口的双重宿主主机，也可以是一些可以访问互联网并被内部主机访问的堡垒主机。这些程序接受用户对互联网服务的请求（诸如FTP、Telent），并按照一定的安全策略转发它们到实际的服务器。
代理服务应用于特定的互联网服务，如超文本传输（>