引言 
　　运用采集、加工、存储、传输、检索等功能，处理涉及国家秘密信息的计算机通常称为涉密计算机，鉴于涉密单位业务特殊性，涉密计算机就具备了重要作用，它直接关乎着我国国家安全、国家机密等重要问题，一旦发生泄密，具有不可估量的后果。如何构建一个技术先进、安全高效、可靠可控的涉密信息系统，成为安全保密建设至关重要的问题。 
　　涉密计算机上互联网是一件严重的泄密行为，必须严肃查处。最高人民检查院也就涉密信息上互联网的问题制定了新的立案标准，因此对保密工作也提出了新的更严峻的挑战。而涉密计算机监控系统中最值得肯定的应属涉密计算机非法外联监控系统，它能有效地监控非法操作，及时快速地切断涉密计算机与互联网的连接。 
　　1 涉密计算机非法外联监控系统的组成 
　　涉密计算机非法外联监控系统是为了保障保密局对涉密信息系统的计算机网络系统安全和信息安全而提出的。涉密计算机非法外联监控系统监控涉密网络用户通过调制解调器、ADSL拨号设备、双网卡、无线网卡等设备进行网络非授权外联违规行为。涉密计算机违规外联预警系统采用C/S和B/S结构，并由三部份组成，即智能客户端程序、内网监测控制中心和外网报警控制中心。 
　　2 涉密计算机非法外联监控系统的功能 
　　2.1 客户端远程监控功能 
　　客户端远程监控功能可以远程监控客户端的所有进程并强制结束各种可疑或非法进程；可对执行各种非法操作的客户端执行强制注销、重起、关机等操作；计算机登录认证功能；策略下发：客户端信任IP和IP段添加删除。进行分组管理，服务器信任IP和IP段添加删除；加密/解密：所用传输数据是密文方式，系统将对其进行动态加解密。 
　　2.2 监测非法外联功能 
　　监测非法外联功能可以监视并识别所有被控主机的网络连接状态，了解终端软件的运行情况；检测使用双/多网卡联通内外网，从而破坏内外网隔离的违规行为；对拔掉内网网线或禁用本地网卡等进行非法外联的主机能报告其客户端ID号从而准确锁定非法外联主机，在单机环境下也能实现阻断并报警；实时监视普通电话线、ISDN、ADSL等方式的拨号上网；检测通过WLAN、GPRS或CDMA1X等无线方式非法上网的行为；对非法外联的主机按照预定的策略实施阻断；同时还具有强大的日志查询功能，对受控主机的非法外联实时报警，在报警控制中心做详细的显示和统计分析；在完成前面各项工作后，还与违规外联系统的互联网服务端联动，侦测到涉密载体违规外联。 
　　2.3 拒绝非法主机接入功能 
　　内网中拒绝外来主机非法接入，系统运用用户信息和主机信息匹配方式实时检测接入主机的合法性；拒绝篡改IP地址、盗用IP地址等不法行为。IP和MAC绑定，及时阻止IP地址的篡改和盗用行为。当客户端具有多网卡时，通过多网卡检测，可以控制多网卡的上网及接入行为及阻断涉密移动存储介质的违规外联行为。就是涉密主机或载体违规外联信息可以以手机短信、邮件方式报送监管中心或监管人员手中。 
　　3 涉密计算机非法外联监控系统的技术特点 
　　3.1 隐蔽性。智能客户端程序是隐蔽运行于受控主机的程序。在目标的主机系统里存在，接受管理者的管理和调度，根据管理者要求获取系统内信息，并通知管理者，所有的智能客户端程序动作都要避开对方的监视系统隐蔽地实现。不能按照实际安全管理需求隐蔽自身的存在或者不能有效隐蔽地进行网络通讯都将是不能满足有效管理需求的。 
　　3.2 高效性。实际的安全管理工作中，无疑要求智能客户端程序在完成特定任务的情况下要做到少占用被监控方系统的资源，如CPU时间、硬盘等；另外，在智能客户端程序与报警监控中心的通讯过程中，对通讯协议的使用、对加密解密技术的使用等多方面都要求做到高效性考虑。 
　　3.3 可扩展和可持续升级性。安全管理需求肯定是不断变化和发展的，智能客户端程序的功能需要按照需求进行扩展和升级，以适应更高的安全管理要求，同时减小重复安装的管理成本。 
　　3.4 自身保密性。智能客户端程序在其从产生、执行任务、回收、销毁的整个生命周期里面，每个阶段都需要不同程度的自身保密机制，不能随意拆卸或删除，只有通过管理员同意，插入授权KEY才能卸载或删除。 
　　3.5 易操作、易管理。管理控制端界面中文化，操作配置和管理流程清晰明了，管理者易于上手进行管理；系统配置扩充灵活，可根据用户需要更改配置，控制安全监控强度。 
　　3.6 管理功能齐备。支持IP地址资源管理、事件查询、连接列表等；充分考虑到现代计算机软硬件平台种类繁多的需求，系统能够监控一个网络中所有可能出现的机型、操作系统、网络协议、网络设备等。 
　　实际工作中，应根据实际需要，购买包含相应功能的非法外联监控产品，切实保证信息系统和数据的安全。对于包含重要信息的涉密计算机信息系统，重点是要解决主机同时跨接内网和外网的问题，要选择能够及时阻断跨接行为的产品。除监控传统的Modem拨号外，还要能监控USB网卡、CDMA拨号等新的互联网接入方式。归根到底，就是要能够有效进行事前控制，而不是仅仅做事后记录，切实杜绝内外网络跨接问题，保障信息在通讯和传输中的安全。 
　　除了完善的非法外联监控系统，还有一系列对信息安全起到监控作用的系统，如内网终端安全审计管理系统、终端防病毒系统、移动存储介质管理系统等等都成为涉密信息系统必备的重要防护手段。 
　　部署终端安全审计管理系统，实现终端资产管理、终端安全控制、软件进程管理、涉密信息流向及终端审计等有效监控手段，保证为每一个终端统一操作系统补丁升级、统一病毒库更新，实现用户行为管理、接入终端认证、本地数据安全、终端运行监测等管理功能。 
　　部署防病毒系统，彻底对信息系统终端的病毒木马威胁、网络非法攻击、信息安全审计、应用软件安全提供相应的完整解决方案。 
　　部署移动存储介质管理系统，主要用作对数据安全有较高需求的单位，用以对数据进行防护，防止数据通过U盘和移动硬盘、移动硬盘等被泄露。 
　　4 结束语 
　　为确保涉密计算机信息系统安全，防止失、泄密事件发生，计算机信息系统安全和保密管理工作必须加大力度。因此，运用合理的监控系统，实现合理可行的安全监控手段尤为重要。安全监控作为一门新的信息安全技术，能够对整个计算机信息系统进行监控，如实记录系统内发生的任何事件，并提供一个完善的安全审计数据，提供有效改进系统性能和的安全性能的依据，从而可以更有效的防御外部的入侵和内部的非法违规操作，最终起到保护机密信息和资源的作用。