西藏地震信息網絡安全設計思考

李佳輯，許 亮，司金羅布，曹華文

(西藏自治區地震局，西藏 拉薩 850000)

0 引言

隨著信息網絡技術的快速發展，網絡環境所面臨的安全形勢越來越嚴峻。近年來，全球各類網絡安全事件頻繁發生，網絡安全風險趨于多樣化和復雜化，如木馬病毒、蠕蟲病毒、Ddos攻擊、黑客攻擊等。這些攻擊極大地困擾著各類用戶的正常工作使用，西藏地震信息網絡系統運行也存在同樣的被破壞的風險。所以，有效保障信息網絡的安全穩定運行，應加強信息網絡安全管控，及時解除信息網絡安全面臨的威脅[1]。

1 西藏地震信息網絡現狀分析

西藏地震信息網絡以數字地震觀測網絡項目為基礎，通過階段性發展，目前形成了一套在業務區域邊界劃分較為明確、網絡邊界安全及應用服務逐步提升的網絡架構體系(見第15頁圖1)，但網絡安全防護工作只處于起步階段。所部署的網絡安全設備雖然配置了較為詳細的安全策略，但仍無法滿足目前網絡安全的需求，從整個網絡安全性考慮，缺乏安全審計、入侵檢測、網頁防篡改、終端安全防護等必要的措施。單位內部服務器遭到黑客或病毒攻擊，很容易擴散到整個網絡中，從而造成病毒、木馬或者黑客攻擊導致網絡阻塞，系統或數據庫遭受破壞，以及網站頁面掛馬、網頁被篡改及網站遭受攻擊等各類重大網絡安全事件。

目前，西藏地震信息網絡安全防護手段單一，只部署了3臺基礎防火墻系統，1臺Web應用防火墻系統，互聯網和地震行業網無法做到物理隔離，只做了邏輯隔離策略，不同業務區間安全防護無有效的隔離措施。

行業網內各類數據服務器無任何的安全防護措施，雖然外網服務器與其他服務器之間劃分了DMZ區域，但數據交互形式基本通過開放的互聯網絡進行，本地數據服務器使用的網絡出口與其他單位互訪沒有具體的防護措施，很容易遭受各類攻擊，以及造成系統之間的交叉感染。

2 面臨的威脅

2.1 外聯安全威脅

Internet具有開放性，業務是基于公開的協議(Internet/intranet使用的TCP/IP協議以及FTP、E-mail、RCP、NFS等都包含許多不安全因素，存在許多漏洞)[2]，主要表現在:

(1) 對外服務的門戶網站、社會服務頁面等極易被篡改，被篡改后發布各類地震虛假信息及不當言論，會造成社會的恐慌。

(2) 網站訪問者無法獲取自己需要的內容，發布的各種信息將得不到有效傳達，影響信息的發布和傳播。

(3) 利用門戶網站掛載的郵件、OA等系統盜取單位內部的大量信息。

(4) 在對外服務各類網頁中插入木馬等各類病毒程序，訪問者被感染，導致計算機病毒的傳播，引發系統崩潰，同時可能引發泄密事件等嚴重后果。

2.2 安全邊界威脅

網絡邊界劃分不明確，各類用戶仍可以利用被授權訪問的各類服務及端口進行嘗試性窺探，如利用某臺服務器嘗試性探測其他弱口令服務器及終端等。因此，進行嚴格的邊界訪問控制及對非授權訪問行為監控管理已成為當務之急。

2.3 病毒侵害威脅

隨著各種項目的不斷建設運行，西藏地震信息網絡系統內服務器及終端數量不斷增加，而這些設備沒有安裝相關的病毒防護系統，如果一臺服務器或終端設備遭受病毒攻擊，則此病毒將極易在整個網絡中擴散，導致整個網絡的癱瘓及用戶各類重要文件的丟失及破壞，如典型的“勒索病毒”等。

圖1 西藏地震信息網絡現狀圖Fig.1 The status of earthquake information network in Tibet

2.4 安全管理威脅

安全的基本條件是建立在完善的管理體系基礎上，技術手段主要的目的是協助完成管理職能。所以，要建立有效的網絡安全機制，必須建立健全相應的安全策略以及安全管理制度，加強人員的安全意識，日常的安全管理遠比單純的技術手段更加重要。

3 設計思路

通過對西藏地震信息網絡的深入分析，結合實際應用及網絡安全情況，針對網絡系統的安全防護，主要從網絡結構優化、訪問控制、防病毒、入侵檢測、安全審計、系統監控、邊界完整性保護等方面進行加強(見第16頁圖2)。

3.1 網絡層安全策略

核心網絡層主要是路由器、交換機等網絡設備組成的網絡架構體系，主要是實現骨干網絡之間的優化傳輸。核心網絡層一直被認為是所有流量的最終承受者和匯聚者，所以對核心層的設計以及網絡安全的要求十分嚴格。

(1) 對外安全防護采用入侵防御系統。在對外防火墻、互聯網和DMZ區域之間部署入侵檢測系統，系統能夠較為準確地監測到網絡的異常流量，及時將安全威脅阻隔在網絡外部，起到有效的防護作用。

(2) 在兩臺核心交換機區域部署入侵檢測系統，能夠在發現如黑客及各類病毒攻擊時，及時發現其異常檢測行為，主動保護自己免受攻擊，實現內部網絡的高級別威脅保護。

(3) 網絡層部署網絡全流量安全分析系統，在核心交換區域旁掛全流量分析系統，對內網、DMZ區及外網3個重要區域進行端口鏡像，接入系統，可實時對各區域的流量進行分析及追蹤，有效地規避安全風險，提高網絡性能及可用性價值。

3.2 系統應用層安全策略

系統應用層主要是各學科服務器及各樓層終端的主要接入層，系統層面臨的安全風險主要來自兩方面，一方面主要是系統自身網絡結構；另一方面來自系統層面日常的使用、配置及管理等。

(1) 系統應用層部署安全審計系統。對各類業務系統及網絡數據進行實時監控，如網絡行為、網絡會話內容等，防止業務信息遭受破壞、泄露、竊取。

(2) 系統應用層部署堡壘機系統。堡壘機是在一種特定的環境下，為保障網絡安全而使用的各種手段，對網絡活動進行分析、處理的一種技術手段[3]。堡壘機可以對系統層所有賬號進行集中控制管理，提高信息訪問的安全性。

(3) 系統應用層部署漏洞掃描系統。目的在于對本地或遠程終端系統，在進行網絡訪問中存在的各類風險進行實時的檢測分析，發現可利用的漏洞，同時提供修補建議。

(4) 在系統應用層各學科服務區域部署日志審計系統。主要是采集、管理、存儲各學科服務在日常應用中的大量分散異構日志，主要分為系統、應用及用戶三級審計，同時為安全事件的事后取證提供依據。

(5) 在DMZ區域部署網頁防篡改系統。由于應用層對外服務全部部署于DMZ區域，且大部分為B/S架構，所以極易發生各類攻擊事件，造成網頁被篡改。部署此系統主要是保護網站的靜態網頁和動態網頁，完全杜絕篡改內容流出，并進行自動恢復。對主要的攻擊手段，如SQL注入、XSS等進行有效的阻斷，有效防護動態內容的篡改。

(6) 數據對于用戶至關重要，而數據的真正安全是基礎。數據安全主要包括數據庫、數據傳輸及數據存儲安全等，數據庫審計系統可以通過有效的解析和智能關聯，詳細記錄與數據庫有關的各種操作痕跡，如，查詢、新增、修改、刪除等[4]。

(7) 部署一套病毒查殺系統。主要用于服務器和終端的防病毒保護。系統提供病毒運維管理界面，便于對各類終端信息的管控，最大限度避免終端及服務端遭受各類病毒及惡意代碼的攻擊。

3.3 安全管理策略

除技術層面的各種措施可以有效控制各類安全威脅外，安全管理的策略也是必不可少的手段，需要建立健全各類安全管理體系，使安全防范措施可以有效實施，也是網絡系統安全實現和維系的重要保證。安全管理措施和安全技術措施互相補充，共同構建完整有效的網絡安全保障體系。安全管理主要考慮安全的管理機構、管理制度，以及對內部人員的安全管理、網絡安全教育培訓、系統建設及運維的安全管理以及網絡安全事件應急制度等。

圖2 西藏地震信息網絡安全設計圖Fig.2 Design of earthquake information network security in Tibet

4 結語

隨著社會不斷發展，信息網絡將會是整個社會交流的基礎手段，隨之而來的信息網絡安全也面臨嚴峻的考驗，尤其是近幾年各類安全事件攻擊手段的層出不窮，雖然在技術層面部署各類安全設備，可以有效解決網絡攻擊事件的發生，但沒有絕對的網絡安全，沒有哪一種設備可以完全保證網絡的絕對安全性。因此，在實際運用中，需要對各自網絡的安全運行進行全方位考慮，快速了解各類網絡安全漏洞及事件，合理高效地運用防護措施，形成一套系統的、全方位的網絡安全方案，最大限度提高網絡安全性。