徐寶海 張亞鈺 張彭

[摘 要] 隨著國(guó)土資源信息化建設(shè)向虛擬化、集中化、大數(shù)據(jù)化方向發(fā)展，目前迫切需要考慮從全局的角度對(duì)信息網(wǎng)絡(luò)安全體系進(jìn)行規(guī)劃。本文從江蘇省市縣級(jí)國(guó)土資源系統(tǒng)的信息網(wǎng)絡(luò)安全市縣級(jí)試點(diǎn)城市——泰州的現(xiàn)狀出發(fā)，通過(guò)風(fēng)險(xiǎn)分析結(jié)合國(guó)家信息安全等級(jí)保護(hù)的要求，提出了市縣級(jí)國(guó)土資信息網(wǎng)絡(luò)安全體系建設(shè)的具體解決方案。

[關(guān)鍵詞] 國(guó)土資源信息化建設(shè)； 等級(jí)保護(hù)； 網(wǎng)絡(luò)安全； 信息安全； 風(fēng)險(xiǎn)評(píng)估

doi ： 10 . 3969 / j . issn . 1673 - 0194 . 2014 . 04. 058

[中圖分類號(hào)] TP37 [文獻(xiàn)標(biāo)識(shí)碼] A [文章編號(hào)] 1673 - 0194（2014）04- 0112- 02

0 概 述

當(dāng)今社會(huì)已進(jìn)入信息時(shí)代，計(jì)算機(jī)網(wǎng)絡(luò)成為一種必不可缺的信息交換工具出現(xiàn)在我們的日常工作中，然而，由于計(jì)算機(jī)網(wǎng)絡(luò)具有互聯(lián)性、開(kāi)放性和連接方式的多樣性以及終端分布的不均勻性，再加上網(wǎng)絡(luò)本身存在技術(shù)弱點(diǎn)和人為疏忽，因此計(jì)算機(jī)信息網(wǎng)絡(luò)比較容易遭受計(jì)算機(jī)病毒、黑客或惡意軟件等的侵害。近年來(lái)國(guó)土資源部門面對(duì)網(wǎng)絡(luò)安全的種種威脅，大力推進(jìn)“金土工程”、等級(jí)保護(hù)等相關(guān)工作，雖然取得了一定的進(jìn)展，但隨著國(guó)土資源業(yè)務(wù)及信息化需求的發(fā)展變化以及業(yè)務(wù)系統(tǒng)自身的虛擬化、集中化、大數(shù)據(jù)化的發(fā)展，國(guó)土資源系統(tǒng)仍迫切需要從全局的角度對(duì)信息網(wǎng)絡(luò)安全體系進(jìn)行規(guī)劃。

1 市縣級(jí)國(guó)土資源系統(tǒng)信息網(wǎng)絡(luò)安全現(xiàn)狀

江蘇省國(guó)土資源系統(tǒng)對(duì)信息安全體系建設(shè)十分重視，已經(jīng)建立了國(guó)土資源內(nèi)外網(wǎng)隔離體系、信息安全等級(jí)保護(hù)體系，并且研究制定了《江蘇省國(guó)土資源系統(tǒng)市縣鄉(xiāng)三級(jí)信息安全指標(biāo)體系》。但尚存在一些需要完善的地方，集中體現(xiàn)在以下幾個(gè)方面。

1.1 一些工作人員對(duì)信息網(wǎng)絡(luò)安全的重視程度較低

一些工作人員對(duì)計(jì)算機(jī)知識(shí)的了解程度很有限，對(duì)信息網(wǎng)絡(luò)安全的重視程度較低，缺乏基本的網(wǎng)絡(luò)安全意識(shí)，往往在不自知的情況下進(jìn)行不安全的操作，沒(méi)有意識(shí)到自己的操作有可能已經(jīng)危及到信息網(wǎng)絡(luò)安全，如目前內(nèi)外網(wǎng)U盤(pán)，絕大部分工作人員都在混用，容易造成內(nèi)部信息的外流，也會(huì)向內(nèi)網(wǎng)帶入病毒木馬，存在信息泄露等嚴(yán)重的安全風(fēng)險(xiǎn)。

近幾年來(lái)，對(duì)于接入國(guó)土資源業(yè)務(wù)網(wǎng)的計(jì)算機(jī)在操作上做了許多安全限制，規(guī)范使用業(yè)務(wù)網(wǎng)計(jì)算機(jī)，但有些員工怕麻煩，抱有僥幸心理，違反操作規(guī)范，造成安全隱患，與此同時(shí)，對(duì)于工作人員的信息網(wǎng)絡(luò)安全培訓(xùn)工作較少，有些人信息網(wǎng)絡(luò)安全意識(shí)不強(qiáng)，但也有不少人已經(jīng)意識(shí)到信息安全的重要性，但知識(shí)有限，不知道如何進(jìn)行有效的防范。

1.2 內(nèi)網(wǎng)計(jì)算機(jī)終端存在安全風(fēng)險(xiǎn)

對(duì)于一般用戶，信息安全隱患一般來(lái)自網(wǎng)絡(luò)外部的病毒破壞和黑客攻擊，而對(duì)于國(guó)土資源系統(tǒng)業(yè)務(wù)網(wǎng)，已與互聯(lián)網(wǎng)實(shí)現(xiàn)完全的物理隔離，最主要的安全威脅來(lái)自于網(wǎng)絡(luò)內(nèi)部的計(jì)算機(jī)客戶端。主要的風(fēng)險(xiǎn)有：內(nèi)網(wǎng)終端計(jì)算機(jī)較長(zhǎng)時(shí)間不打補(bǔ)丁，存在嚴(yán)重的系統(tǒng)安全漏洞，不能及時(shí)更新病毒庫(kù)；移動(dòng)電腦和存儲(chǔ)設(shè)備可以隨意接入業(yè)務(wù)內(nèi)網(wǎng)，缺乏安全管控措施；業(yè)務(wù)內(nèi)網(wǎng)計(jì)算機(jī)終端存在非法外聯(lián)（一機(jī)兩用，既上互聯(lián)網(wǎng)，又上國(guó)土資源業(yè)務(wù)內(nèi)網(wǎng)）的風(fēng)險(xiǎn)，沒(méi)有采用技術(shù)手段實(shí)現(xiàn)有效管控；客戶端設(shè)備可隨意更換IP地址訪問(wèn)業(yè)務(wù)內(nèi)網(wǎng)，沒(méi)有實(shí)現(xiàn)IP/MAC的綁定，管理混亂；客戶端設(shè)備被惡意修改成與服務(wù)器相同的信息造成服務(wù)器中斷服務(wù)；誤刪系統(tǒng)文件夾及系統(tǒng)文件等。

1.3 業(yè)務(wù)網(wǎng)與外部網(wǎng)絡(luò)數(shù)據(jù)交換缺乏有效安全管控措施

業(yè)務(wù)網(wǎng)與外部網(wǎng)絡(luò)數(shù)據(jù)交換主要通過(guò)這幾種方式：① 部分本地內(nèi)網(wǎng)與其他橫向單位內(nèi)網(wǎng)存在物理鏈接帶來(lái)的網(wǎng)絡(luò)入侵風(fēng)險(xiǎn)和數(shù)據(jù)傳輸風(fēng)險(xiǎn)；② 業(yè)務(wù)內(nèi)網(wǎng)與省廳主干網(wǎng)存在數(shù)據(jù)交換，兩套網(wǎng)絡(luò)的建設(shè)方式不盡相同，安全策略的部署也有所不同；③ 業(yè)務(wù)內(nèi)網(wǎng)本身在省、市、縣三級(jí)網(wǎng)絡(luò)存在數(shù)據(jù)交換，下級(jí)單位數(shù)據(jù)上報(bào)至上級(jí)單位審批，上級(jí)單位審批完成后返回下級(jí)單位存檔，上級(jí)單位一般會(huì)做相應(yīng)備份一份。

1.4 缺乏安全審計(jì)

目前對(duì)于用戶訪問(wèn)業(yè)務(wù)網(wǎng)內(nèi)部系統(tǒng)和數(shù)據(jù)缺乏詳細(xì)的安全審計(jì)措施，沒(méi)有比較完整的日志信息，對(duì)于一些可能存在的非法訪問(wèn)行為無(wú)法做出判斷和處理，出現(xiàn)問(wèn)題后難以追溯原因。缺乏安全審計(jì)管控措施帶來(lái)的安全隱患主要體現(xiàn)在：非法更改網(wǎng)絡(luò)配置參數(shù)、服務(wù)器配置參數(shù)、業(yè)務(wù)系統(tǒng)配置參數(shù)以及非授權(quán)的數(shù)據(jù)庫(kù)方位和非法的內(nèi)容篡改。

2 市縣級(jí)國(guó)土資源系統(tǒng)業(yè)務(wù)網(wǎng)絡(luò)和信息安全防護(hù)體系建設(shè)

隨著國(guó)土資源部“金土工程”的統(tǒng)一部署，分階段地逐步落實(shí)到位，市縣級(jí)國(guó)土資源系統(tǒng)網(wǎng)絡(luò)和信息安全的設(shè)計(jì)也逐步分階段進(jìn)行建設(shè)部署?，F(xiàn)階段重點(diǎn)需要完成了以下幾個(gè)方面建設(shè)：通過(guò)建立一套完善、先進(jìn)、科學(xué)、有效的信息網(wǎng)絡(luò)安全管理體系和管理制度，從管理上彌補(bǔ)技術(shù)上的不足，管理和技術(shù)相結(jié)合共同創(chuàng)造信息網(wǎng)絡(luò)安全環(huán)境；通過(guò)部署防火墻達(dá)到訪問(wèn)控制的目的，阻擋非授權(quán)用戶的非法訪問(wèn)；使用網(wǎng)閘實(shí)現(xiàn)國(guó)土資源業(yè)務(wù)內(nèi)網(wǎng)與省政務(wù)網(wǎng)的有限數(shù)據(jù)交換；通過(guò)部署入侵防御設(shè)備，如IPS、IDS等，可以有效監(jiān)控網(wǎng)絡(luò)，發(fā)現(xiàn)異常訪問(wèn)的入侵者并將其隔離，阻擋其惡意攻擊行為；在內(nèi)網(wǎng)安裝網(wǎng)絡(luò)版殺毒軟件，合理部署安全查殺策略，及時(shí)更新病毒庫(kù)；建立內(nèi)網(wǎng)安全管理及補(bǔ)丁分發(fā)系統(tǒng)，及時(shí)下發(fā)補(bǔ)丁策略減少系統(tǒng)漏洞，降低內(nèi)部終端安全風(fēng)險(xiǎn)；建立起國(guó)土資源系統(tǒng)核心業(yè)務(wù)區(qū)域防護(hù)的“堡壘機(jī)”，對(duì)主機(jī)操作行為進(jìn)行審計(jì)和管控。

2.1 建立一套完善、先進(jìn)、科學(xué)、有效的信息網(wǎng)絡(luò)安全管理體系和管理制度

信息安全工作涉及信息網(wǎng)絡(luò)系統(tǒng)的方方面面，工作內(nèi)容極其繁雜，因此必須建立起一套行之有效的信息網(wǎng)絡(luò)安全管理體系，明確相關(guān)工作人員職責(zé)，規(guī)范信息網(wǎng)絡(luò)安全相關(guān)工作內(nèi)容，建立規(guī)范化流程和應(yīng)急響應(yīng)體系，努力做到未雨綢繆、防患于未然，從而確保整個(gè)信息網(wǎng)絡(luò)安全，以安全促發(fā)展：

（1） 成立信息安全領(lǐng)導(dǎo)小組。單位一把手擔(dān)任領(lǐng)導(dǎo)小組組長(zhǎng)，下設(shè)信息安全領(lǐng)導(dǎo)小組辦公室，各級(jí)國(guó)土資源單位信息中心主要承擔(dān)本級(jí)的具體信息安全工作，其重要工作職責(zé)是保障國(guó)土資源系統(tǒng)網(wǎng)絡(luò)與信息安全。

（2） 實(shí)行多人負(fù)責(zé)，職責(zé)應(yīng)明確。工作人員應(yīng)對(duì)其所在崗位切實(shí)負(fù)起責(zé)任，明確角色，履行職責(zé)。

（3） 制定科學(xué)完善的安全管理制度，建立應(yīng)急響應(yīng)體系?！叭旨夹g(shù)、七分管理”，科學(xué)完善的信息安全管理體系是信息安全工作順利進(jìn)行下去的保障，信息安全工作中須要嚴(yán)格的操作規(guī)程來(lái)做規(guī)范和指導(dǎo)，各項(xiàng)安全管理制度中應(yīng)明確責(zé)任、落實(shí)到人，明確工作內(nèi)容與操作流程，應(yīng)以實(shí)用可行為原則。

（4） 定期組織開(kāi)展各地市國(guó)土資源系統(tǒng)的信息安全管理工作專項(xiàng)檢查，評(píng)估各地市信息系統(tǒng)在安全管理制度方面存在的風(fēng)險(xiǎn)，依據(jù)專項(xiàng)檢查結(jié)果制定整改計(jì)劃，不斷改進(jìn)、完善信息安全管理體系，加強(qiáng)網(wǎng)絡(luò)與信息安全培訓(xùn)工作，從而不斷促進(jìn)國(guó)土資源系統(tǒng)信息安全建設(shè)。

2.2 增強(qiáng)信息安全技術(shù)手段，建立安全防護(hù)技術(shù)體系

2.2.1 防火墻

通過(guò)防火墻的部署，防止非授權(quán)用戶的非法訪問(wèn)，為防火墻制訂相應(yīng)安全策略，對(duì)流經(jīng)它的網(wǎng)絡(luò)通信進(jìn)行掃描、監(jiān)測(cè)和限制，使得出入本單位內(nèi)網(wǎng)的數(shù)據(jù)得到有效的訪問(wèn)控制，同時(shí)也使得當(dāng)業(yè)務(wù)應(yīng)用服務(wù)器遭受非法攻擊時(shí)，不會(huì)影響到內(nèi)部數(shù)據(jù)庫(kù)服務(wù)器。通過(guò)端口控制，對(duì)本單位國(guó)土資源系統(tǒng)網(wǎng)絡(luò)，以最小化原則僅開(kāi)放需要使用的端口并指定特定的端口進(jìn)行單向訪問(wèn)，對(duì)訪問(wèn)服務(wù)器的地址進(jìn)行限制，從而有效防止來(lái)自非授權(quán)者的通信，實(shí)現(xiàn)網(wǎng)絡(luò)與信息的安全防護(hù)。

2.2.2 入侵防御系統(tǒng)（IPS）

入侵防御系統(tǒng)能夠?qū)W(wǎng)絡(luò)中所有進(jìn)出的數(shù)據(jù)包封包進(jìn)行詳細(xì)的7層協(xié)議分析，從而相較防火墻（僅具有4層數(shù)據(jù)包封包協(xié)議解析功能）能夠更加有效地防止各類攻擊行為。入侵防御系統(tǒng)通常可部署于防火墻與本單位局域網(wǎng)之間，雙進(jìn)雙出，一條安全可行的路徑是防火墻-入侵防御系統(tǒng)-核心交換機(jī)-接入交換機(jī)-防火墻-服務(wù)器群，另一條安全可行的路徑是防火墻-入侵防御系統(tǒng)-核心交換機(jī)-接入交換機(jī)-內(nèi)部局域網(wǎng)，依據(jù)服務(wù)器群和內(nèi)部局域網(wǎng)的不同需求實(shí)施不同的安全策略。這樣做既可以防御來(lái)自于外部對(duì)內(nèi)部局域網(wǎng)的攻擊，也可以防御來(lái)自內(nèi)部終端用戶對(duì)于重要服務(wù)器、數(shù)據(jù)庫(kù)存儲(chǔ)設(shè)備等核心設(shè)備的攻擊。入侵防御系統(tǒng)旨在提供對(duì)各種入侵行為的監(jiān)控和防御，可以通過(guò)配置內(nèi)置的策略，實(shí)現(xiàn)對(duì)如下攻擊行為進(jìn)行監(jiān)控和阻斷：掃描探測(cè)行為、SQL 注入攻擊、惡意代碼、木馬后門、僵尸程序、溢出攻擊、異常協(xié)議行為、流行蠕蟲(chóng)攻擊、即時(shí)通訊行為、間諜軟件、脆弱口令行為、數(shù)據(jù)庫(kù)漏洞攻擊、操作系統(tǒng)漏洞攻擊等。值得一提的是，通過(guò)開(kāi)放或禁止不同的網(wǎng)絡(luò)應(yīng)用訪問(wèn)行為，配置不同的帶寬使用限制，提高帶寬利用率。

2.2.3 網(wǎng)閘（GAP）

網(wǎng)閘又叫安全隔離網(wǎng)閘，是一種能夠在網(wǎng)絡(luò)之間不存在鏈路層連接的情況下進(jìn)行安全適度的數(shù)據(jù)交換。安全隔離網(wǎng)閘可以直接處理網(wǎng)絡(luò)中應(yīng)用層數(shù)據(jù)，使用存儲(chǔ)轉(zhuǎn)發(fā)的方法進(jìn)行數(shù)據(jù)交換，在交換的同時(shí)，對(duì)應(yīng)用數(shù)據(jù)進(jìn)行各種安全檢查和處理包括病毒查殺、安全隔離、安全審計(jì)、訪問(wèn)控制、協(xié)議轉(zhuǎn)換等。網(wǎng)閘通常用于限制兩個(gè)不同的網(wǎng)絡(luò)之間，針對(duì)國(guó)土資源系統(tǒng)，可以部署在本單位局域網(wǎng)與存在物理連接的非本單位網(wǎng)絡(luò)之間，管理員可以從本單位的網(wǎng)絡(luò)對(duì)安全隔離網(wǎng)閘進(jìn)行管理，也可以部署在本單位局域網(wǎng)內(nèi)部?jī)煞N不同安全級(jí)別的網(wǎng)絡(luò)中間，如內(nèi)部終端和核心設(shè)備之間，能夠有效防止內(nèi)部終端對(duì)核心設(shè)備的攻擊。

2.2.4 網(wǎng)絡(luò)版防病毒系統(tǒng)

在本單位內(nèi)網(wǎng)部署網(wǎng)絡(luò)版防病毒系統(tǒng)， 為內(nèi)網(wǎng)終端提供防病毒服務(wù)。網(wǎng)絡(luò)版防病毒系統(tǒng)通過(guò)在服務(wù)器部署服務(wù)控制端，使用服務(wù)控制端來(lái)控制所有安裝防病毒系統(tǒng)終端的內(nèi)網(wǎng)計(jì)算機(jī)進(jìn)行統(tǒng)一的管理，包括病毒庫(kù)更新、終端查殺、實(shí)時(shí)病毒監(jiān)控等，同時(shí)，終端如果存在異常，會(huì)立馬上報(bào)給服務(wù)端，病毒管理員可以通過(guò)服務(wù)端對(duì)局域網(wǎng)內(nèi)全部終端用戶的防病毒情況有一個(gè)全局性的把握，當(dāng)內(nèi)網(wǎng)爆發(fā)病毒時(shí)，能夠及時(shí)有效地進(jìn)行病毒查殺，避免大面積病毒感染事件。

2.2.5 內(nèi)網(wǎng)安全管理與補(bǔ)丁分發(fā)系統(tǒng)

內(nèi)網(wǎng)終端安全往往成為傳統(tǒng)信息安全工作中的一個(gè)盲區(qū)，內(nèi)網(wǎng)終端長(zhǎng)期不受管控，許多內(nèi)網(wǎng)終端多年不升級(jí)，成為極其危險(xiǎn)的機(jī)器，一旦內(nèi)網(wǎng)計(jì)算機(jī)被人惡意使用，那么內(nèi)網(wǎng)安全將受到極大的挑戰(zhàn)。因此，通過(guò)在業(yè)務(wù)內(nèi)網(wǎng)部署一套內(nèi)網(wǎng)安全管理與補(bǔ)丁分發(fā)系統(tǒng)，對(duì)內(nèi)網(wǎng)終端進(jìn)行進(jìn)入控制管理，提供標(biāo)準(zhǔn)化桌面管理，對(duì)終端的注冊(cè)表和端口進(jìn)行管控，對(duì)終端的網(wǎng)絡(luò)流浪和行為進(jìn)行監(jiān)控，阻斷非法外鏈，綁定IP等一系列的管理措施能夠保障終端的使用安全。同時(shí)，補(bǔ)丁分發(fā)系統(tǒng)通過(guò)管理平臺(tái)統(tǒng)一下發(fā)補(bǔ)丁包進(jìn)行升級(jí)，有效地解決內(nèi)網(wǎng)終端的補(bǔ)丁更新問(wèn)題，彌補(bǔ)系統(tǒng)漏洞。

2.2.6 部署關(guān)鍵業(yè)務(wù)網(wǎng)段的堡壘機(jī)，對(duì)核心業(yè)務(wù)訪問(wèn)進(jìn)行安全審計(jì)

國(guó)土行業(yè)單位存在許多重要和敏感數(shù)據(jù)，對(duì)主機(jī)、數(shù)據(jù)庫(kù)系統(tǒng)、業(yè)務(wù)系統(tǒng)的登入操作需進(jìn)行有效的管理、控制和事后審計(jì)。堡壘機(jī)就相當(dāng)于在服務(wù)器系統(tǒng)、數(shù)據(jù)庫(kù)系統(tǒng)、網(wǎng)絡(luò)設(shè)備等IT系統(tǒng)中設(shè)立一個(gè)門衛(wèi)，通過(guò)堡壘機(jī)單點(diǎn)登入各個(gè)硬件和軟件系統(tǒng)。堡壘機(jī)對(duì)登入賬號(hào)能夠進(jìn)行有效的安全管理：定期更換賬號(hào)、有效授權(quán)、對(duì)應(yīng)不同的管理人員角色，授予不同的管理權(quán)限等。比如對(duì)數(shù)據(jù)庫(kù)，有些用戶的權(quán)限只能查詢，有些用戶有刪除數(shù)據(jù)的權(quán)力，有些用戶可以添加記錄。雖然單個(gè)的系統(tǒng)都有類似的功能，但堡壘機(jī)能夠?qū)⑦@些功能進(jìn)行集中統(tǒng)一的管控，將零亂的權(quán)限條理化，從而提高管理效率。同時(shí)，堡壘機(jī)具備：事中控制功能、定義某種操作觸發(fā)報(bào)警、防止誤操作或者故意對(duì)系統(tǒng)的非法更改、有效的事后日志審計(jì)，所有賬號(hào)的所有操作均有日志可查，能夠進(jìn)行事后的追溯和責(zé)任倒查，有效加強(qiáng)IT系統(tǒng)管理。

3 總 結(jié)

信息網(wǎng)絡(luò)安全體系建設(shè)是一個(gè)持續(xù)的、全方位的、動(dòng)態(tài)的過(guò)程，在建設(shè)中遵循整體性、動(dòng)態(tài)性、均衡性、立體性的原則，應(yīng)由統(tǒng)一的安全管理和安全策略機(jī)制指導(dǎo)整個(gè)安全系統(tǒng)的建設(shè)和管理，形成包括VPN、防火墻、入侵防御、安全審計(jì)、病毒防御、終端安全、管理安全等相互配合的安全保障體系。