背景
随着网络的发展，军工涉密各部门间需要通过互联网进行通讯，与外部其它单位也需要通过互联网进行联系，虽然某研究所外网系统是个独立的网络，与内网隔离，但用户同时连接到互联网络上，带来了各种安全隐患及信息安全问题，其中主要包括以下几项：
1）非法用户通过互联网上传及发布涉密信息；
2）某研究所人员上网难以审计；
3）某研究所部分人员浏览非法网站；
4）采用手动登记上网的方式造成管理上的漏洞；
这些问题都会给管理造成很大的不便，而且威胁到外网的安全问题，因此完善的涉密外部网络安全解决方案成为应用的必须保障。
某研究所安全保障体系的最终目的是为了确保外网的安全管理、流程的安全性、身份识别的正确性、用户可审计性。
解决方案
设计目标
通过对某研究所的需求分析，首先要考虑与原有门禁系统的统一整合，实现“一卡通”的方式身份认证，并要实现强制上网身份认证与审计，对用户信息采用加密的方式，确保军工涉密单位的安全。
考虑门禁系统的ID卡涉及的内网的安全，所以在设计读卡设备时，先充分考虑到安全，把ID号部分读出，并用对称算法处理，确保万无一失，同时，建立统一的审计和管理平台，集中管理用户的身份，实施统一的安全策略。
1）兼容原有的门禁ID卡，实现一卡身份认证；
2）建设外网统一上网管理，审计人员与上网时段；
3）实现对非法网站的屏蔽功能，关键字过滤，确保网络的健康性；
4）对下载与上传文件的行为监控与审计，确保涉密信息不外泄漏。
依托所建设的军工外网信息安全平台，进行外网统一的安全管理体系的建设，包括组织管理、责任管理、职能管理、专职管理、安全管理制度和信息化的综合管理系统等设计和建设。
网络安全平台设计
外网的网络安全平台与身份认证、审计、策略管理的结合是彻底地、有效地解决军工涉密应用系统安全问题的关键。军工涉密外网信息安全平台的建立，可以实现强制的身份认证、权限管理、行为审计、数据完整性、保密性和不可抵赖性的安全服务。
本系统包括如下子系统：
1）统一ID卡身份认证子系统
2）安全管理终端
3）后台管理服务器
4）统一ID卡身份认证系统子系统
身份认证是信息系统中的基本安全措施，是保证信息资源正确、安全及可靠使用的前提条件。身份认证是指当用户访问或使用网络时，系统需要验证用户的身份，从而确保该用户有适当的权限访问本系统中的资源。
考虑到某研究所的外网应用实际情况，采用统一的ID进行身份认证，计算机网络系统的安全性取决于能否正确验证用户或终端的个人身份。认证业务提供了关于某人或某个事物身份的保证。这意味着当某人（或某事）声称具有一个特别的身份（如某个特定的用户名称）时，认证业务将提供某种方法来验证这一声明是正确的。认证是对付假冒攻击的有效方法。对于网络资源的访问和使用、安全地出入都是以精确的身份验证为基础的。最终实现：
保密性：通过对读卡部分序列号的电子数据的加密（一般来说，加密采用对称算法，例如SSF33等，而数字证书则是用来把对称算法的密钥进行加密），从而达到电子数据的保密性。
完整性：通过对电子数据进行数字签名，即对数据进行文摘算法，得到文摘，将该文摘用私钥进行加密，并由用户收到数据后对其进行验证，从而保证数据没有被修改。
不可抵赖性：在签名密钥被安全保护的条件下，通过验证数字签名，可以唯一确认数据的作者。
安全管理终端
采用底层技术，实现强制身份认证，无身份认证，机器处于锁定状态，无法使用，并对对上网用户进行审计，还实现了安全进行保护（如：文件访问保护、系统命令保护等）。
后台管理服务器
实现部门管理、审计功能、统计信息、非法信息过滤、关键字过滤、终端机器监控与报警。
系统拓扑图
