档案数字化涉密档案管理规定落地实操指南

一、基础环境安全隔离与物理阻断配置

根据涉密档案管理规定，数字化加工必须在物理隔离的涉密计算机或涉密局域网中进行。首先需要对操作系统进行网络层面的物理阻断配置，防止任何违规外联。本指南以CentOS 7/8为例，展示如何彻底切断非授权网络通道。

1.1 禁用所有非本地网络接口

在终端中执行以下命令，查看当前所有网络接口状态：

ip link show

假设除了lo（回环接口）外，存在eth0和wlan0。必须强制关闭这些接口并禁止开机自启。执行以下命令：

ip link set eth0 down
ip link set wlan0 down
systemctl disable NetworkManager

为了防止配置被意外重置，直接修改网络配置文件。对于使用network-scripts的系统，编辑/etc/sysconfig/network-scripts/ifcfg-eth0：

DEVICE=eth0
ONBOOT=no
USERCTL=no
IPV6INIT=no

1.2 封锁USB等外部存储端口

涉密规定严禁使用未经授权的移动存储介质。我们需要通过modprobe黑名单机制禁用USB存储驱动。创建或编辑/etc/modprobe.d/blacklist-usb.conf文件，添加以下内容：

blacklist usb_storage
blacklist uas
install usb_storage /bin/true
install uas /bin/true

执行depmod -a更新模块依赖，并重启服务器生效。这一步将从根本上阻止系统识别U盘、移动硬盘等USB大容量存储设备，仅保留键盘鼠标等HID设备（如需更严格管控，可使用USB白名单策略）。

二、“三员”权限分离体系构建

涉密档案管理系统必须严格落实“系统管理员、安全保密员、安全审计员”（三员）的权限分离机制。任何单一人员不得拥有完全控制权。以下是具体的Linux用户组与权限配置步骤。

2.1 创建独立用户组与用户

执行以下命令创建三个对应的用户组及专用账号：

groupadd sys_admin
groupadd sec_admin
groupadd aud_admin
useradd -G sys_admin sysadmin01
useradd -G sec_admin secadmin01
useradd -G aud_admin audadmin01
为各用户设置强密码
passwd sysadmin01
passwd secadmin01
passwd audadmin01

2.2 配置Sudo权限分离

编辑/etc/sudoers文件，使用visudo命令，在文件末尾添加以下严格规则。确保系统管理员只能执行运维命令，安全保密员管理策略，审计员只能查看日志。

 系统管理员：拥有系统重启、服务管理权限，但无权修改审计日志
Cmnd_Alias SYS_OPS = /bin/systemctl, /usr/bin/systemctl, /sbin/service, /sbin/reboot, /sbin/shutdown
sysadmin01 ALL=(root) SYS_OPS
安全保密员：负责用户管理和文件策略，无权执行系统级破坏命令
Cmnd_Alias SEC_OPS = /usr/sbin/useradd, /usr/sbin/userdel, /usr/sbin/usermod, /bin/chmod, /bin/chown
secadmin01 ALL=(root) SEC_OPS
安全审计员：只能查看日志和审计状态，严禁修改
Cmnd_Alias AUD_OPS = /usr/bin/less /var/log/audit/audit.log, /usr/bin/ausearch, /usr/sbin/auditctl, /usr/bin/cat /var/log/secure
audadmin01 ALL=(root) AUD_OPS, !/usr/bin/vi /var/log/audit/audit.log, !/bin/rm /var/log/audit/

注意：上述配置中，使用!显式禁止了审计员删除或使用vi编辑审计日志文件的权限，确保日志数据的真实性和完整性。

三、涉密数据全盘加密存储实施

为防止硬盘被盗导致数据泄露，涉密档案数据的存储区必须采用高强度加密。我们将使用Linux自带的LUKS（Linux Unified Key Setup）对数据盘进行加密。

3.1 数据盘加密初始化

假设数据盘为/dev/sdb。首先对磁盘进行加密格式化。执行：

cryptsetup -y -v luksFormat /dev/sdb

系统将提示输入密码。此密码必须由安全保密员保管，并定期更换。加密算法默认为AES-XTS，符合涉密标准。

3.2 映射与挂载加密分区

格式化完成后，需要打开加密映射并创建文件系统：

 打开加密设备，映射名称为 secret_data
cryptsetup luksOpen /dev/sdb secret_data
在映射设备上创建ext4文件系统
mkfs.ext4 /dev/mapper/secret_data
创建挂载点并挂载
mkdir -p /data/secret_archive
mount /dev/mapper/secret_data /data/secret_archive

3.3 配置开机自动挂载（需输入密钥）

为了使系统重启后能识别该加密盘，需配置/etc/crypttab和/etc/fstab。编辑/etc/crypttab：

secret_data /dev/sdb none luks

编辑/etc/fstab：

/dev/mapper/secret_data /data/secret_archive ext4 defaults 0 2

重要提示：由于配置中/etc/crypttab的keyfile位置设为none，系统重启时会暂停并提示输入LUKS密码。这是符合涉密规定的手动介入流程，严禁将密码写入文件实现无密码自动挂载。

四、全流程安全审计与日志监控

规定要求对所有涉密档案的访问、导出、删除操作进行全程记录，且日志不可被篡改。我们启用Linux Auditd系统来实现文件级监控。

4.1 安装并启动Auditd

yum install auditd -y
systemctl start auditd
systemctl enable auditd

4.2 定义涉密目录监控规则

假设涉密档案存放在/data/secret_archive。我们需要监控该目录下的所有写入、属性修改和删除操作。编辑/etc/audit/audit.rules，添加：

 监控涉密档案目录的写入、属性修改、删除操作
-w /data/secret_archive -p wa -k secret_archive_access
监控关键系统文件的修改（如passwd, sudoers）
-w /etc/passwd -p wa -k identity_mod
-w /etc/sudoers -p wa -k sudo_mod

配置完成后，重启审计服务使规则生效：

service auditd restart
augenrules --load

4.3 实时查看审计日志

当有用户操作涉密文件时，审计员可以通过以下命令实时查询日志：

 查看所有关于涉密档案目录的操作记录
ausearch -k secret_archive_access -i

输出结果将包含详细的时间戳、用户UID、操作类型（如open、rename、unlink）以及执行结果。确保这些日志定期备份到只读介质或独立的安全服务器中。

五、数字化输出安全水印技术实现

在涉密档案数字化过程中，对于非涉密终端的浏览或临时打印输出，必须强制添加显性数字水印，以标示泄露源头。这里使用ImageMagick工具实现批量图片水印添加。

5.1 安装ImageMagick

yum install ImageMagick -y

5.2 编写自动水印脚本

创建脚本/usr/local/bin/add_watermark.sh，赋予执行权限chmod +x。脚本内容如下：

!/bin/bash
SOURCE_DIR="/data/secret_archive/output"
WATERMARK_TEXT="涉密档案-严禁外传-操作员:$USER"
遍历目录下所有jpg和tif文件
find "$SOURCE_DIR" -type f \( -iname ".jpg" -o -iname ".tif" \) | while read file; do
获取文件名和扩展名
filename=$(basename "$file")
dirname=$(dirname "$file")
添加平铺水印，颜色为红色，透明度50%
convert "$file" -gravity center \
-fill 'rgba(255, 0, 0, 0.5)' \
-pointsize 40 \
-draw "text 0,0 '$WATERMARK_TEXT'" \
-draw "text 0,100 '$WATERMARK_TEXT'" \
-draw "text 0,200 '$WATERMARK_TEXT'" \
"${dirname}/marked_${filename}"
覆盖原文件（根据安全策略，可选择保留原文件或覆盖）
mv "${dirname}/marked_${filename}" "$file"
done

该脚本会自动获取当前操作系统的用户名作为水印的一部分。在用户执行导出或打印动作前，系统管理员应配置钩子调用此脚本，确保流出的每一张图片都带有不可磨灭的溯源信息。