◆許潔

人民法院網(wǎng)絡(luò)架構(gòu)安全體系建設(shè)的分析

◆許潔

（江蘇領(lǐng)航服務(wù)外包有限公司 江蘇 210031）

本文通過(guò)詳細(xì)介紹人民法院五大網(wǎng)系的基礎(chǔ)架構(gòu)建設(shè)和網(wǎng)絡(luò)通信安全及應(yīng)對(duì)策略，對(duì)人民法院網(wǎng)絡(luò)架構(gòu)安全體系建設(shè)情況進(jìn)行深入分析，并總結(jié)歸納了當(dāng)前系統(tǒng)建設(shè)的問(wèn)題，針對(duì)相應(yīng)問(wèn)題提出了下一步發(fā)展的建議，旨在對(duì)人民法院信息化安全建設(shè)貢獻(xiàn)一份薄力。

人民法院五大網(wǎng)系；WAF；IDS；IPS；AIP

近年來(lái)，為提高人民法院辦公辦案效率，國(guó)家加強(qiáng)人民法院信息網(wǎng)絡(luò)系統(tǒng)的建設(shè)和應(yīng)用，逐步形成了以辦公內(nèi)網(wǎng)、法院專(zhuān)網(wǎng)、外部專(zhuān)網(wǎng)、互聯(lián)網(wǎng)和涉密內(nèi)網(wǎng)等人民法院五大網(wǎng)系為基礎(chǔ)的全國(guó)法院網(wǎng)絡(luò)體系。信息網(wǎng)絡(luò)系統(tǒng)的推廣提升法院辦公辦案效率的同時(shí)，網(wǎng)絡(luò)信息的安全保障問(wèn)題也面臨著前所未有的考驗(yàn)。司法過(guò)程中的案件信息、行政信息、個(gè)人信息等數(shù)據(jù)泄露，將帶來(lái)非常嚴(yán)重的社會(huì)影響，甚至?xí)绊懛ㄖ紊鐣?huì)的建設(shè)進(jìn)程。本文通過(guò)討論人民法院信息系統(tǒng)網(wǎng)絡(luò)基礎(chǔ)設(shè)施架構(gòu)的特點(diǎn)，分析人民法院對(duì)網(wǎng)絡(luò)安全的需求，并進(jìn)一步提出了人民法院信息系統(tǒng)網(wǎng)絡(luò)安全的應(yīng)用策略。

1 基礎(chǔ)架構(gòu)安全策略

基礎(chǔ)架構(gòu)體系的安全，也即物理環(huán)境的安全，是整個(gè)安全防護(hù)體系的基礎(chǔ)。我們?cè)诩茉O(shè)網(wǎng)絡(luò)時(shí)，一定要選擇可靠易控的點(diǎn)位。除了要進(jìn)行合理劃區(qū)，從建設(shè)前期就要規(guī)劃清晰點(diǎn)位布控以外，還要重點(diǎn)考慮機(jī)房物理安全、終端安全、物理鏈路的安全等問(wèn)題。

（1）合理劃區(qū)

在平面設(shè)計(jì)階段，合理考慮涉密區(qū)、辦公區(qū)、對(duì)外開(kāi)放區(qū)的布設(shè)。涉密點(diǎn)位應(yīng)充分滿足相關(guān)的保密要求，有條件的法院，在設(shè)計(jì)階段還可以考慮將審理委員會(huì)議室等涉密場(chǎng)所的墻體內(nèi)隱藏布設(shè)金屬殼體，將其設(shè)計(jì)為屏蔽箱體。而對(duì)公眾開(kāi)放的訴訟服務(wù)中心，隨著“兩個(gè)一站式”的深入推廣，應(yīng)合理布設(shè)無(wú)線接入點(diǎn)設(shè)施，既要做到全覆蓋，又要減少過(guò)渡冗余帶來(lái)的串?dāng)_。

（2）機(jī)房物理安全環(huán)境

機(jī)房位置要選擇防潮、防水、抗震、抗風(fēng)的環(huán)境，配備避雷裝置、溫濕度控制系統(tǒng)、防火材料及設(shè)施，還應(yīng)增設(shè)電子門(mén)禁系統(tǒng)、全覆蓋的監(jiān)控系統(tǒng)，從物理層面進(jìn)行訪問(wèn)控制；同時(shí)對(duì)主要的部位要增設(shè)報(bào)警系統(tǒng)，合理進(jìn)行線纜隱藏等防盜、防破壞設(shè)計(jì)；布設(shè)必要的電磁防護(hù)措施，避免五大網(wǎng)系相互之間的串?dāng)_，并防止數(shù)據(jù)的泄露。

（3）終端保護(hù)

根據(jù)設(shè)備不同的用途，按照相關(guān)要求做到嚴(yán)格的物理防護(hù)。嚴(yán)格區(qū)分內(nèi)外網(wǎng)設(shè)備，內(nèi)網(wǎng)及涉密終端從物理層禁用USB等傳輸接口，涉密終端還要確保終端環(huán)境和配件的安全。曾有通過(guò)電源線從隔離的電腦中竊取數(shù)據(jù)的電力線載波通信案例，利用電線來(lái)傳輸數(shù)據(jù)和媒體信號(hào)，方式極其隱蔽[1]。因此，對(duì)于涉密終端，應(yīng)嚴(yán)格評(píng)估并控制環(huán)境安全，進(jìn)行全方位的物理隔離，比如采取安裝紅黑電源隔離插座、配備國(guó)家保密局頒發(fā)資質(zhì)證書(shū)的信號(hào)干擾器等措施。

（4）物理鏈路保障

重要鏈路應(yīng)有保活措施。根據(jù)庭審公開(kāi)的要求，如無(wú)特殊情況的案件，均需在中國(guó)庭審公開(kāi)網(wǎng)上進(jìn)行案件審理直播，這就要求我們的科技法庭能滿足不斷電、不斷網(wǎng)的要求。雙路供電+UPS電池的組合可確保電源供應(yīng)；選擇兩家不同的優(yōu)質(zhì)運(yùn)營(yíng)商作為主備份鏈路，確保不斷網(wǎng)。

建設(shè)災(zāi)備機(jī)房，提升安全可靠性。一般情況下，綜合考慮數(shù)據(jù)安全和建設(shè)成本，我們會(huì)在物理地域相近但不相同的兩地建立兩個(gè)相互獨(dú)立運(yùn)行的數(shù)據(jù)機(jī)房，主備機(jī)房具備基本等同的業(yè)務(wù)處理能力并通過(guò)高速鏈路實(shí)時(shí)同步數(shù)據(jù)，日常情況下可同時(shí)分擔(dān)業(yè)務(wù)及管理系統(tǒng)的運(yùn)行，并可切換運(yùn)行[2]，而意外發(fā)生時(shí)則由主機(jī)房無(wú)縫切換至災(zāi)備機(jī)房，保持業(yè)務(wù)連續(xù)運(yùn)行。

2 網(wǎng)絡(luò)通信安全策略

網(wǎng)絡(luò)信道往往是泄密的重要渠道，因此網(wǎng)絡(luò)通信安全同樣至關(guān)重要。當(dāng)前全國(guó)司法審判信息資源庫(kù)已逐步實(shí)現(xiàn)了案件、人事、財(cái)務(wù)、政務(wù)等數(shù)據(jù)的一體化，形成司法大數(shù)據(jù)知識(shí)庫(kù)。司法大數(shù)據(jù)中包含了大量的個(gè)人信息、民商事信息甚至國(guó)家秘密，一旦泄露，后果不堪設(shè)想。我們既不能因噎廢食，更不能坐以待斃。可采用如下三種技術(shù)手段提升網(wǎng)絡(luò)通信安全：一是防火墻技術(shù)，二是系統(tǒng)漏洞檢測(cè)及防范技術(shù)；三是入侵檢測(cè)及防范技術(shù)。

（1）防火墻技術(shù)

防火墻技術(shù)是網(wǎng)絡(luò)層面的防護(hù)，嚴(yán)格把控不同網(wǎng)絡(luò)間的信息交互，為人民法院五大網(wǎng)系筑起第一道安全堡壘。針對(duì)不同的需求，采用硬件、軟件以及軟硬件結(jié)合的防火墻，實(shí)現(xiàn)不同信任域之間高可靠性和高安全性的數(shù)據(jù)傳輸。

在防火墻應(yīng)用部署上，一般采用網(wǎng)絡(luò)部署和分布式部署方式相結(jié)合的方式。整體架構(gòu)采用分布式，將對(duì)應(yīng)策略的防火墻部署在五大網(wǎng)系的邊界和網(wǎng)絡(luò)關(guān)鍵節(jié)點(diǎn)的主機(jī)、服務(wù)器等處，由安全策略管理服務(wù)器定義整體安全策略，并由分布域網(wǎng)絡(luò)中的各防火墻端點(diǎn)來(lái)具體執(zhí)行，從架構(gòu)層面實(shí)現(xiàn)人民法院五大網(wǎng)系的安全控制，有效避免性能瓶頸和單點(diǎn)失效隱患，可靈活便捷地實(shí)現(xiàn)整體防護(hù)。在辦公內(nèi)網(wǎng)、法院專(zhuān)網(wǎng)和涉密內(nèi)網(wǎng)的端點(diǎn)處，采用屏蔽子網(wǎng)型防火墻部署技術(shù)，使用兩個(gè)包過(guò)濾路由器，直接構(gòu)建被隔離子網(wǎng)的緩沖帶，控制外部網(wǎng)絡(luò)數(shù)據(jù)包進(jìn)入子網(wǎng)，不得穿過(guò)屏蔽子網(wǎng)直接通信，采用多重過(guò)濾和隔離機(jī)制，將屏蔽子網(wǎng)設(shè)置成隔離區(qū)，可抵抗雙向攻擊。在外部專(zhuān)網(wǎng)和互聯(lián)網(wǎng)的端點(diǎn)處，采用雙穴堡壘主機(jī)型防火墻部署技術(shù)，用一臺(tái)裝有兩塊網(wǎng)卡的堡壘主機(jī)做防火墻，有利于留痕辦公的系統(tǒng)日志維護(hù)。

針對(duì)防火墻的攻擊防范應(yīng)從多層次入手。硬件層面可采用ASCI、FPGA、NP或多核架構(gòu)；軟件層面采用分權(quán)分域管理、采用最小特權(quán)策略（按需開(kāi)放端口等）、細(xì)粒度訪問(wèn)控制；系統(tǒng)層面采用非Windows系統(tǒng)（可考慮國(guó)產(chǎn)操作系統(tǒng)），減少對(duì)外提供的數(shù)據(jù)管理接口，嚴(yán)格按需開(kāi)放API。

（2）系統(tǒng)漏洞檢測(cè)及防范技術(shù)

使用漏洞掃描器，再通過(guò)主機(jī)、數(shù)據(jù)庫(kù)、網(wǎng)絡(luò)、WEB四層面的漏洞檢測(cè)，使用圖論、攻擊樹(shù)、可生存性等分析法，利用Nmap、NGS Squirrel、Satan、ISS Internet Scanner、Burp Suite等工具，全面分析系統(tǒng)漏洞，并在此基礎(chǔ)上制定合理的防范攻擊技術(shù)。

Web應(yīng)用防火墻（WAF）技術(shù)，是從應(yīng)用層對(duì)網(wǎng)絡(luò)實(shí)施保護(hù)的策略。開(kāi)放式Web應(yīng)用程序安全項(xiàng)目OWASP TOP 10 2017中詳細(xì)介紹了最新的應(yīng)用安全漏洞及對(duì)應(yīng)的防范措施。Web2.0架構(gòu)中HTTP/HTTPS應(yīng)用的安全威脅，越來(lái)越多地充斥在網(wǎng)絡(luò)環(huán)境中，為了使人民法院網(wǎng)絡(luò)更加安全地服務(wù)為民，應(yīng)盡量靠近服務(wù)器端部署WAF。

（3）入侵檢測(cè)及防范技術(shù)

入侵檢測(cè)系統(tǒng)（IDS）是守護(hù)網(wǎng)絡(luò)空間安全的雷達(dá)。一些黑客組織，善于應(yīng)用高級(jí)可持續(xù)威脅攻擊（APT），最終達(dá)到控制子系統(tǒng)、竊取情報(bào)等目的。攻擊者通過(guò)精心制作木馬病毒，利用看起來(lái)是健康安全的文件來(lái)實(shí)現(xiàn)木馬攻擊，或者直接利用合法網(wǎng)站的漏洞進(jìn)行攻擊。應(yīng)綜合考慮攻擊系統(tǒng)的生成原理、傳播機(jī)制、觸發(fā)機(jī)制、隱藏手段以及破壞影響，通過(guò)主機(jī)、網(wǎng)絡(luò)、其他等安全數(shù)據(jù)采集，利用統(tǒng)計(jì)、模式匹配、協(xié)議解析、數(shù)據(jù)關(guān)聯(lián)等技術(shù)手段，分析并檢測(cè)入侵信息，并及時(shí)作出響應(yīng)處理。

入侵防御系統(tǒng)（IPS）是在檢測(cè)發(fā)現(xiàn)網(wǎng)絡(luò)入侵后，能自動(dòng)丟棄入侵報(bào)文或者阻斷攻擊源[3]，從根本上避免攻擊行為的保護(hù)策略。一般情況下，采用應(yīng)用入侵防護(hù)（AIP），在網(wǎng)絡(luò)鏈路上配置安全策略[4]，于應(yīng)用服務(wù)器之前實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)服務(wù)器的安全保障。

3 問(wèn)題及建議

（1）被動(dòng)防御為主，智能程度亟待加強(qiáng)

當(dāng)下，人民法院網(wǎng)絡(luò)安全系統(tǒng)建立在被動(dòng)防御架構(gòu)基礎(chǔ)上，對(duì)經(jīng)驗(yàn)已知的攻擊和威脅有效，但應(yīng)對(duì)未知入侵攻擊的能力不足。由于主動(dòng)防御能力不足，雖然人民群眾對(duì)“一站式”服務(wù)和公開(kāi)司法的要求越來(lái)越高，為確保網(wǎng)絡(luò)安全，法院系統(tǒng)的開(kāi)放程度跟需求相比仍處于滯后狀態(tài)。

（2）缺乏完善的頂層設(shè)計(jì)

由于缺乏完善整體規(guī)劃，全國(guó)各級(jí)法院分開(kāi)探索，內(nèi)部工作平臺(tái)和審判類(lèi)業(yè)務(wù)百花齊放，拉動(dòng)智慧司法前進(jìn)的同時(shí)，也造成了互聯(lián)互通的障礙。過(guò)多的API接口的暴露也加重網(wǎng)絡(luò)信息安全的負(fù)擔(dān)。建議最高人民法院加強(qiáng)頂層設(shè)計(jì)和規(guī)劃，指導(dǎo)和完善法院網(wǎng)絡(luò)安全建設(shè)。

（3）涉密內(nèi)網(wǎng)和辦公內(nèi)網(wǎng)邊界模糊

缺乏科學(xué)界定的網(wǎng)絡(luò)劃分，部分干警對(duì)所處理信息應(yīng)歸屬網(wǎng)絡(luò)認(rèn)知不足，存在誤用、混用網(wǎng)絡(luò)現(xiàn)象，造成數(shù)據(jù)泄露。新建涉密網(wǎng)絡(luò)、部署涉密應(yīng)用的法院，應(yīng)依據(jù)安全保密管理制度，落實(shí)涉密信息系統(tǒng)分級(jí)保護(hù)制度和國(guó)家電子政務(wù)內(nèi)網(wǎng)相關(guān)標(biāo)準(zhǔn)規(guī)范要求，依據(jù)相關(guān)保密標(biāo)準(zhǔn)開(kāi)展分級(jí)保護(hù)測(cè)評(píng)和安全防護(hù)整改工作。對(duì)涉密數(shù)據(jù)嚴(yán)格從基礎(chǔ)設(shè)施、人員管理、網(wǎng)絡(luò)安全等各層面進(jìn)行嚴(yán)格把控。

（4）專(zhuān)業(yè)人才隊(duì)伍需進(jìn)一步強(qiáng)化

目前，既熟悉法院信息業(yè)務(wù)，又熟悉信息化專(zhuān)業(yè)知識(shí)的人才非常稀缺，人民法院信息化人才隊(duì)伍相對(duì)薄弱。有的法院運(yùn)維技術(shù)人員甚至管理人員非自有人力，人才管控處于被動(dòng)，運(yùn)維人員的安全防線處于薄弱環(huán)節(jié)。下一步應(yīng)加強(qiáng)法院信息化及網(wǎng)絡(luò)安全人才培養(yǎng)，為信息化建設(shè)持續(xù)發(fā)展提供有力支撐。

4 總結(jié)

目前人民法院信息系統(tǒng)主要是以被動(dòng)防御體系為主建設(shè)的，下一步需要加強(qiáng)主動(dòng)防御體系的建設(shè)及網(wǎng)絡(luò)安全智能分析與反制技術(shù)，建議使用國(guó)產(chǎn)操作系統(tǒng)，加大探索量子密碼、區(qū)塊鏈等新興技術(shù)的投入，從頂層統(tǒng)籌規(guī)劃、指導(dǎo)建設(shè)，創(chuàng)建更加安全的網(wǎng)絡(luò)環(huán)境。與此同時(shí)，還應(yīng)重視人的因素，加強(qiáng)全員的網(wǎng)絡(luò)安全教育，提升涉密人員的專(zhuān)業(yè)素養(yǎng)，從技術(shù)和管理雙層面共同發(fā)力，讓司法更加便捷、有效、安全地服務(wù)為民。

[1]GuriM，Zadov B，Bykhovsky D，et al. PowerHammer：Exfiltrating Data from Air-Gapped Computers through Power Lines[J]. IEEE Transactions on Information Forensics and Security，2018，PP（99）.

[2]張嵩. 云計(jì)算在人力資源社會(huì)保障多數(shù)據(jù)中心容災(zāi)業(yè)務(wù)中的設(shè)計(jì)[J]. 信息系統(tǒng)工程，2012（009）：33-35.

[3]李夢(mèng)鈺. 基于Snort的入侵防御系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)[D]. 西安電子科技大學(xué)，2016.

[4]沈萍. 動(dòng)態(tài)防御系統(tǒng)的研究與實(shí)現(xiàn)[D]. 電子科技大學(xué)，2006.