周洪

要想確保網(wǎng)絡(luò)安全，就要保障網(wǎng)絡(luò)系統(tǒng)的硬件、軟件及其系統(tǒng)中的數(shù)據(jù)受到保護(hù)，不因偶然或者惡意的原因而遭受到破壞、更改、泄露，從而使系統(tǒng)連續(xù)、可靠、正常地運(yùn)行，網(wǎng)絡(luò)服務(wù)不中斷。由于無線電管理工作的特殊性和重要性，更決定了其對(duì)網(wǎng)絡(luò)安全的要求更加嚴(yán)格、更加縝密。

隨著電子政務(wù)管理水平的提高，電子政務(wù)日益依賴信息化技術(shù)的成熟和發(fā)展，利用信息化手段可以更大程度地發(fā)揮技術(shù)水平，更好地提高電子政務(wù)工作者的效率。

由于日常管理和無線電監(jiān)測(cè)的需要，在無線電管理領(lǐng)域建立了龐大的數(shù)據(jù)庫，通過數(shù)據(jù)庫對(duì)其海量數(shù)據(jù)進(jìn)行檢索、分析，甚至數(shù)據(jù)挖掘和知識(shí)發(fā)現(xiàn)。同時(shí)，通過網(wǎng)絡(luò)形式提供相關(guān)服務(wù)，使得區(qū)域數(shù)據(jù)共享和各部門甚至相關(guān)單位協(xié)同工作成為可能。因此，如何有效利用信息化手段充分發(fā)揮現(xiàn)有技術(shù)設(shè)備的功能；如何利用一體化系統(tǒng)解決建立統(tǒng)一數(shù)據(jù)庫，消除信息孤島，提高管理和決策水平；如何防止數(shù)據(jù)泄露，從而在整體上提高無線電管理工作水平，成為當(dāng)前關(guān)注的熱點(diǎn)。而在解決上述問題的同時(shí)，信息安全也成為管理信息化過程中必須考慮和解決的重點(diǎn)所在。

內(nèi)網(wǎng)三大構(gòu)成

上海市無線電管理局（以下簡(jiǎn)稱“無管局”）信息網(wǎng)絡(luò)系統(tǒng)由內(nèi)外網(wǎng)組成，內(nèi)網(wǎng)與國(guó)家無線電管理局、全國(guó)各地市無線電辦公網(wǎng)互聯(lián)，進(jìn)行內(nèi)部業(yè)務(wù)的辦理；外網(wǎng)接入Internet。由于Internet上存在的安全風(fēng)險(xiǎn)較高，內(nèi)外網(wǎng)的物理隔離是必然的，這既是網(wǎng)絡(luò)安全的要求，也是信息安全的要求。因此，根據(jù)國(guó)家無委有關(guān)信息安全的相關(guān)規(guī)定，無管局的網(wǎng)絡(luò)采用內(nèi)、外網(wǎng)完全的物理隔離方式。

從無管局內(nèi)網(wǎng)的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)來看，無管局的內(nèi)網(wǎng)大致可分為以下三塊：首先是中心機(jī)房的服務(wù)器群以及各客戶端，通過中心路由器與國(guó)家無委內(nèi)網(wǎng)直接相連，主要支持日常辦公需要，與國(guó)家無委進(jìn)行數(shù)據(jù)交換、報(bào)送數(shù)據(jù)和報(bào)表。目前，無管局的內(nèi)網(wǎng)系統(tǒng)包括：一體化信息系統(tǒng)（內(nèi)部OA辦公自動(dòng)化、無線電頻率管理、無線電臺(tái)站管理、設(shè)備檢測(cè)、地理信息系統(tǒng)等）、內(nèi)部郵件系統(tǒng)、防病毒系統(tǒng)、監(jiān)測(cè)系統(tǒng)、數(shù)據(jù)備份系統(tǒng)和應(yīng)急指揮系統(tǒng)等。同時(shí)，通過國(guó)家無委與全國(guó)各地市無委內(nèi)網(wǎng)實(shí)現(xiàn)互聯(lián)互通，可以召開全國(guó)范圍的視頻會(huì)議。由于各地?zé)o委網(wǎng)絡(luò)互連，一方面方便了全國(guó)各兄弟單位的相互聯(lián)系，另一方面也給網(wǎng)絡(luò)安全管理提出了更高的要求。目前各地?zé)o委信息系統(tǒng)的安全管理水平參差不齊，任何一個(gè)地方無委發(fā)生信息安全事故，都有可能影響到全國(guó)的內(nèi)網(wǎng)，當(dāng)然也包括上海無委的內(nèi)部網(wǎng)絡(luò)。

其次是監(jiān)測(cè)網(wǎng)段，無管局內(nèi)部管理系統(tǒng)網(wǎng)絡(luò)除與國(guó)家無委內(nèi)網(wǎng)互聯(lián)外，在上海市還連接了全市11個(gè)固定監(jiān)測(cè)站和若干移動(dòng)監(jiān)測(cè)站和監(jiān)測(cè)車，以滿足日常監(jiān)測(cè)及應(yīng)急保障監(jiān)測(cè)任務(wù)的要求。監(jiān)測(cè)網(wǎng)段主要包括監(jiān)測(cè)服務(wù)器、各固定監(jiān)測(cè)站、用于日常監(jiān)測(cè)的特定客戶端等。監(jiān)測(cè)網(wǎng)數(shù)據(jù)量大，傳輸頻繁，對(duì)數(shù)據(jù)的安全性和可靠性要求較高，但功能相對(duì)較為獨(dú)立。

最后是無線網(wǎng)絡(luò)部分，通過VPDN撥號(hào)進(jìn)入內(nèi)網(wǎng)系統(tǒng)，可以滿足遠(yuǎn)程辦公的需要，同時(shí)將各移動(dòng)監(jiān)測(cè)站、監(jiān)測(cè)車接入內(nèi)網(wǎng)。為了保障無管局內(nèi)網(wǎng)的安全，同時(shí)也是為了保障全國(guó)內(nèi)網(wǎng)的安全，保證各項(xiàng)工作的正常開展，在網(wǎng)絡(luò)方面采取了多項(xiàng)措施。

嚴(yán)格的訪問控制

ACL訪問控制列表法：在與國(guó)家無委互聯(lián)的路由器上，設(shè)置ACL（Acess Control List），即訪問控制列表，通過表中包含的匹配關(guān)系、條件和查詢條件來搭建一個(gè)框架結(jié)構(gòu)，最終實(shí)現(xiàn)對(duì)某種訪問進(jìn)行控制。為了保證內(nèi)網(wǎng)的安全性，需要通過安全策略來保障授權(quán)用戶訪問特定的網(wǎng)絡(luò)資源，從而達(dá)到對(duì)訪問進(jìn)行控制的目的。在路由器上，通過ACL訪問控制，各固定監(jiān)測(cè)站和監(jiān)測(cè)客戶端除與監(jiān)測(cè)服務(wù)器通訊外，不得與其他網(wǎng)段互訪。

VLAN隔離法：通過VALN技術(shù)，可以把一個(gè)網(wǎng)絡(luò)系統(tǒng)中的眾多網(wǎng)絡(luò)設(shè)備分成若干個(gè)虛擬的“工作組”，組和組之間的網(wǎng)絡(luò)設(shè)備在二層上互相隔離，形成不同的廣播域，進(jìn)而將廣播流量限制在不同的廣播域中。

由于VALN技術(shù)是基于二層和三層之間的隔離技術(shù)，可以通過將不同的網(wǎng)絡(luò)用戶與網(wǎng)絡(luò)資源進(jìn)行分組，將服務(wù)器與客戶端分別劃分到不同的地址段中。通過支持VLAN的交換機(jī)阻隔不同組內(nèi)網(wǎng)絡(luò)設(shè)備間的數(shù)據(jù)交換，來達(dá)到網(wǎng)絡(luò)安全的目的。如人事和財(cái)務(wù)等部門都是相對(duì)來說安全性要求更高一些的，通常不允許其他部門用戶隨意訪問、查閱相關(guān)資料。通過VLAN方式劃分后，兩個(gè)部門的網(wǎng)絡(luò)數(shù)據(jù)就不會(huì)被其他用戶訪問了，雖然他們與其他部門一樣同處一個(gè)網(wǎng)絡(luò)。

MAC地址綁定法：MAC地址是網(wǎng)絡(luò)設(shè)備在全球的唯一編號(hào)，可用于直接標(biāo)識(shí)某個(gè)網(wǎng)絡(luò)設(shè)備，是目前網(wǎng)絡(luò)數(shù)據(jù)交換的基礎(chǔ)。用于限定只有與MAC地址表中規(guī)定的一些網(wǎng)絡(luò)設(shè)備有關(guān)的數(shù)據(jù)包，才能夠使用該端口進(jìn)行傳遞。通過MAC地址過濾技術(shù)，可以保證只有授權(quán)的MAC地址才能對(duì)網(wǎng)絡(luò)資源進(jìn)行訪問。

同時(shí)，在AD SERVER上進(jìn)行MAC地址與IP地址的綁定，限制外來機(jī)器進(jìn)入內(nèi)網(wǎng)。并將內(nèi)網(wǎng)接到網(wǎng)絡(luò)交換機(jī)上，實(shí)現(xiàn)端口與客戶端MAC地址的綁定，這樣就限制了客戶端隨意更換網(wǎng)絡(luò)訪問端口，如有更換網(wǎng)絡(luò)訪問端口的，端口將自動(dòng)被關(guān)閉，只有通知管理員才能開啟。同時(shí)，通過與ACL訪問控制結(jié)合使用，也能限制不同客戶端的訪問權(quán)限，保證關(guān)鍵服務(wù)器的安全。

密碼策略：密碼策略用于域賬戶或本地用戶賬戶，確定密碼設(shè)置，例如強(qiáng)制執(zhí)行和有效期限。這部分包含強(qiáng)制密碼歷史、密碼最長(zhǎng)使用期限、密碼最短使用期限、密碼長(zhǎng)度最小值、密碼必須符合復(fù)雜性要求、用可還原的加密來存儲(chǔ)密碼等。各項(xiàng)的配置是根據(jù)當(dāng)前用戶賬戶類型來設(shè)定的。

此外，對(duì)各客戶端進(jìn)行域管理，用域安全策略代替客戶端的安全策略，使得各客戶端安全策略規(guī)范統(tǒng)一。并且對(duì)監(jiān)測(cè)網(wǎng)段使用單獨(dú)的網(wǎng)關(guān)，使得監(jiān)測(cè)網(wǎng)既與內(nèi)網(wǎng)連通，又相對(duì)獨(dú)立。

高效率的帶寬管理

無管局內(nèi)網(wǎng)與國(guó)家無委內(nèi)網(wǎng)通過2M光纖相連，除了日常的數(shù)據(jù)交換、郵件系統(tǒng)，還要進(jìn)行視頻會(huì)議，尤其是較大規(guī)模的視頻會(huì)議，對(duì)帶寬的要求很高，如果造成網(wǎng)絡(luò)擁堵，將極大影響工作的開展。在與國(guó)家內(nèi)網(wǎng)交互上，采用了流量控制設(shè)備（見圖一）。能直觀、方便地對(duì)網(wǎng)絡(luò)流量進(jìn)行監(jiān)控、分析，分析帶寬使用狀況及帶寬流量異常狀況，不斷改善網(wǎng)絡(luò)流量分配情況。對(duì)每個(gè)用戶或用戶組進(jìn)行帶寬管理，限制其分配上行方向和下行方向的平均帶寬，防止用戶級(jí)別的帶寬濫用和誤用。在需要時(shí)（如召開視頻會(huì)議），利用帶寬管理善用帶寬資源，保證視頻會(huì)議、郵件系統(tǒng)等的網(wǎng)絡(luò)運(yùn)用、運(yùn)行順暢，而其他業(yè)務(wù)僅提供有限的帶寬資源。通過這種靈活的帶寬管理，提高了帶寬資源的利用效率，有效避免了網(wǎng)絡(luò)擁堵造成的損失，對(duì)提高整個(gè)無管局辦公效率有著至關(guān)重要的作用。

圖一流量分析圖

安全的遠(yuǎn)程接入認(rèn)證系統(tǒng)

如今，移動(dòng)辦公已經(jīng)成為現(xiàn)代辦公的一種必然趨勢(shì)。移動(dòng)辦公可以讓相關(guān)工作人員在任何地點(diǎn)、任何情況下高效迅捷地開展工作，對(duì)于突發(fā)性事件的處理、應(yīng)急性事件的部署有極為重要的意義。對(duì)無管局而言，遠(yuǎn)程接入不僅是移動(dòng)辦公的需要，對(duì)于移動(dòng)監(jiān)測(cè)站、監(jiān)測(cè)車來說更是必不可少，這使得無線電監(jiān)測(cè)更加靈活和準(zhǔn)確。為了滿足這種需求，通過3G網(wǎng)絡(luò)采用了VPDN遠(yuǎn)程接入方式。無管局內(nèi)部的認(rèn)證服務(wù)器進(jìn)行用戶名/密碼驗(yàn)證，同時(shí)還會(huì)對(duì)該賬戶所綁定的UIM卡的IMSI號(hào)碼是否匹配進(jìn)行認(rèn)證，即要求賬號(hào)和UIM卡唯一匹配。用戶賬戶認(rèn)證成功后即建立VPDN隧道，否則拒絕建立連接。隧道建立過程中，還將分配無管局網(wǎng)管中心統(tǒng)一規(guī)劃的內(nèi)網(wǎng)IP地址信息給VPDN用戶。

通過對(duì)接入內(nèi)網(wǎng)VPDN域的網(wǎng)卡進(jìn)行UIM卡的IMSI號(hào)、用戶賬號(hào)、口令、IP地址的綁定認(rèn)證，拒絕非法的網(wǎng)卡接入，安全性得到保證。遠(yuǎn)程客戶端通過VPN隧道訪問內(nèi)網(wǎng)中被許可的使用資源，此時(shí)無法訪問Internet，無法對(duì)外收發(fā)任何數(shù)據(jù)，因此也完全避免了任何來自Internet的攻擊企圖，保證了內(nèi)網(wǎng)數(shù)據(jù)的保密性。

強(qiáng)大的監(jiān)控系統(tǒng)

在無管局內(nèi)網(wǎng)中，配置了QUEST SPOTLIGHT和Solarwinds兩大監(jiān)控軟件。QUEST SPOTLIGHT（見圖二）可以監(jiān)控服務(wù)器的相關(guān)服務(wù)，如WEB服務(wù)、ORACLE數(shù)據(jù)庫服務(wù)等?？梢葬槍?duì)Windows操作系統(tǒng)的內(nèi)部結(jié)構(gòu)提供獨(dú)特的圖形化視圖，能夠快速確定并消除Windows環(huán)境中的瓶頸。通過實(shí)時(shí)顯示W(wǎng)indows操作系統(tǒng)內(nèi)的數(shù)據(jù)流，可以快速確定和解決性能問題。用Solarwinds實(shí)現(xiàn)網(wǎng)絡(luò)設(shè)備、主機(jī)、客戶端PC等設(shè)備的監(jiān)控，通過統(tǒng)一的視圖，直觀地顯示網(wǎng)絡(luò)中各設(shè)備以及線路的運(yùn)行情況，并提供實(shí)時(shí)報(bào)警功能。先進(jìn)的監(jiān)控手段，使得網(wǎng)絡(luò)管理從被動(dòng)走向主動(dòng)，對(duì)異常的定位也更準(zhǔn)確、更迅速。

圖二監(jiān)控服務(wù)器實(shí)時(shí)狀態(tài)

除以上提及的幾個(gè)特點(diǎn)外，無管局內(nèi)網(wǎng)還部署了入侵監(jiān)測(cè)、漏洞掃描、防病毒網(wǎng)關(guān)等安全措施。內(nèi)網(wǎng)安全措施的整體方案針對(duì)無線電管理信息系統(tǒng)在網(wǎng)絡(luò)層、系統(tǒng)層存在的安全問題和面臨的風(fēng)險(xiǎn)，從各方面做出了相應(yīng)的安全策略和方法。可以預(yù)防風(fēng)險(xiǎn)事件的發(fā)生，阻止或減小高風(fēng)險(xiǎn)事件發(fā)生的可能性，最小化或轉(zhuǎn)移高風(fēng)險(xiǎn)事件造成的影響。從而保證了內(nèi)部重要數(shù)據(jù)的可用性和完整性，業(yè)務(wù)數(shù)據(jù)的機(jī)密性，以及關(guān)鍵應(yīng)用的可用性。