安全是一切的保障

【摘要】隨著博物館信息化技術(shù)的不斷推進，隨之而來的網(wǎng)絡(luò)安全問題也變得極為復(fù)雜。本文以博物館網(wǎng)絡(luò)安全技術(shù)為研究對象，就博物館網(wǎng)絡(luò)安全技術(shù)進行了探討。

【關(guān)鍵詞】博物館；網(wǎng)絡(luò)安全；架構(gòu)體系；分層防御

【中圖分類號】TP309 【文獻標(biāo)識碼】A

隨著國內(nèi)文化旅游事業(yè)的不斷發(fā)展，網(wǎng)絡(luò)技術(shù)在博物館中的應(yīng)用越來越普遍，博物館已經(jīng)開始從數(shù)字博物館向智慧博物館過渡，這讓博物館提高了管理效率又增強了觀眾體驗，同時也產(chǎn)生了較大的網(wǎng)絡(luò)安全隱患。對此，博物館要積極加強信息化安全工作，從多個方面著手，加強對博物館網(wǎng)絡(luò)安全的防護。

總書記在2016年4月19日召開的網(wǎng)絡(luò)安全和信息化工作座談會上指出：“安全是發(fā)展的前提，發(fā)展是安全的保障，安全和發(fā)展要同步推進。要樹立正確的網(wǎng)絡(luò)安全觀，加快構(gòu)建關(guān)鍵信息基礎(chǔ)設(shè)施安全保障體系，全天候全方位感知網(wǎng)絡(luò)安全態(tài)勢，增強網(wǎng)絡(luò)安全防御能力和威懾能力。” 對于博物館這種大型公共場所，網(wǎng)絡(luò)的安全性不容忽視。網(wǎng)絡(luò)的安全性會直接影響到博物館整個信息化系統(tǒng)的安全性，所以，如何提供安全的網(wǎng)絡(luò)運行環(huán)境至關(guān)重要。

一、目前博物館網(wǎng)絡(luò)安全威脅

（一）網(wǎng)絡(luò)傳輸安全

博物館信息化的發(fā)展隨著科技的發(fā)展越來越受到重視，絕大多數(shù)的博物館都建立了有線基礎(chǔ)網(wǎng)絡(luò)系統(tǒng)，也具備了防火墻等最為基礎(chǔ)的信息安全設(shè)備。但隨著博物館無線網(wǎng)絡(luò)的加入和日漸增多的應(yīng)用層業(yè)務(wù)系統(tǒng)基礎(chǔ)的疊加，新的網(wǎng)絡(luò)安全隱患隨之而來。這些新系統(tǒng)的加入大大增加了病毒和木馬侵入的風(fēng)險。同時，越來越多的博物館因為觀眾的訴求和需要，把更多應(yīng)用系統(tǒng)向觀眾開放，但是由于一些應(yīng)用系統(tǒng)平臺自身缺乏應(yīng)用層的安全防御機制和驗證保護，系統(tǒng)平臺中存儲的私密信息面臨泄露和被篡改的巨大風(fēng)險。

（二）接入設(shè)備安全

博物館的日常工作研究和展覽陳列中會用到很多的終端設(shè)備，在終端的硬件上容易出現(xiàn)人為的蓄意損壞，另外，在軟件方面下載的各種文檔和軟件上可能帶有各種病毒和惡意代碼，同時，沒有及時更新的系統(tǒng)漏洞和對于各種設(shè)備的安全管理不到位引起的漏洞，都可能導(dǎo)致整個網(wǎng)絡(luò)系統(tǒng)變慢，甚至使業(yè)務(wù)系統(tǒng)不能正常運行、敏感數(shù)據(jù)泄露。

（三）服務(wù)應(yīng)用安全

應(yīng)用系統(tǒng)是向參觀的觀眾和工作人員提供服務(wù)的，這些應(yīng)用系統(tǒng)的安全直接關(guān)系到博物館的日常運行。這些年隨著應(yīng)用系統(tǒng)的增多及復(fù)雜性的提高，應(yīng)用系統(tǒng)的安全問題日益凸顯，有從簡單的連接網(wǎng)絡(luò)層面攻擊向復(fù)雜的服務(wù)應(yīng)用層面攻擊轉(zhuǎn)變的態(tài)勢。傳統(tǒng)的屬于連接網(wǎng)絡(luò)層的防火墻安全手段對于服務(wù)應(yīng)用層面的安全威脅無能為力。

鑒于目前博物館出現(xiàn)的各種網(wǎng)絡(luò)安全問題，展開博物館網(wǎng)絡(luò)系統(tǒng)內(nèi)部與外部、應(yīng)用層與網(wǎng)絡(luò)層、技術(shù)層面和管理層面的安全防范與系統(tǒng)恢復(fù)措施等信息安全技術(shù)研究，已經(jīng)成為當(dāng)前刻不容緩的一件事。就像習(xí)近平總書記在2016年4月19日召開的網(wǎng)絡(luò)安全和信息化工作座談會上強調(diào)的，“網(wǎng)絡(luò)的安全和發(fā)展是一體之兩翼、驅(qū)動之雙輪，必須統(tǒng)一謀劃、統(tǒng)一部署、統(tǒng)一推進、統(tǒng)一實施。”

二、博物館網(wǎng)絡(luò)安全改造建設(shè)

目前，很多博物館都進行的信息安全防護都是通過簡單的增加防火墻等方式實現(xiàn)，屬于較為原始的階段，既不成體系又沒有先進的方案，相對比金融、電力這些較早關(guān)注信息安全技術(shù)的行業(yè)具有很大的差距。

結(jié)合博物館本身所具有的學(xué)術(shù)性和公眾性特點，適應(yīng)信息化新技術(shù)帶來的新的信息化安全威脅，要根據(jù)博物館信息系統(tǒng)的網(wǎng)絡(luò)傳輸、接入設(shè)備系統(tǒng)、服務(wù)應(yīng)用的保護，使用具有針對性的技術(shù)防護措施（見圖1）。

（一）網(wǎng)絡(luò)傳輸安全性改造

博物館網(wǎng)絡(luò)系統(tǒng)分為內(nèi)網(wǎng)和外網(wǎng)。內(nèi)網(wǎng)是為博物館內(nèi)部提供公共信息傳輸和資源共享的平臺；外網(wǎng)主要運營博物館的門戶網(wǎng)站和部分業(yè)務(wù)系統(tǒng)。博物館作為大型公共場所，除了工作人員使用的辦公網(wǎng)絡(luò)外，博物館的大量包括觀眾服務(wù)系統(tǒng)、藏品數(shù)據(jù)系統(tǒng)等業(yè)務(wù)系統(tǒng)以及展廳內(nèi)大量終端、展示平臺、WiFi基站等都需要使用網(wǎng)絡(luò)系統(tǒng)進行接入。網(wǎng)絡(luò)系統(tǒng)一旦受到攻擊，日常辦公、展覽均會受到影響。因此，博物館網(wǎng)絡(luò)系統(tǒng)安全既需要考慮安全防護和網(wǎng)絡(luò)一體化設(shè)計、傳輸質(zhì)量保障等能力，也需要規(guī)范博物館網(wǎng)絡(luò)系統(tǒng)的內(nèi)網(wǎng)外網(wǎng)中各系統(tǒng)訪問控制規(guī)范和策略規(guī)則，同時規(guī)范博物館基礎(chǔ)網(wǎng)絡(luò)的接入控制和訪問策略。

按照全面覆蓋、不重疊、原子化的原則，同時使用網(wǎng)絡(luò)虛擬化技術(shù)對于整體網(wǎng)絡(luò)架構(gòu)進行設(shè)計。根據(jù)博物館網(wǎng)絡(luò)與各個應(yīng)用系統(tǒng)之間節(jié)點的結(jié)構(gòu)、應(yīng)用及相對應(yīng)的安全等級要求，通過兩個階段的分步驟實施實現(xiàn)博物館各個應(yīng)用系統(tǒng)之間相互獨立的安全域劃分。

第一階段：網(wǎng)絡(luò)安全性能優(yōu)化和安全域劃分。根據(jù)博物館網(wǎng)絡(luò)的現(xiàn)實狀況，對網(wǎng)絡(luò)結(jié)構(gòu)進行冗余設(shè)計，對主干網(wǎng)核心層的網(wǎng)絡(luò)設(shè)備進行虛擬化設(shè)計，提高網(wǎng)絡(luò)的安全性和堅強性。同時按照應(yīng)用系統(tǒng)重要性和終端分布的不同，采用虛擬局域網(wǎng)（VLAN）技術(shù)進行隔離，或者直接在應(yīng)用系統(tǒng)之間加裝防火墻設(shè)備進行安全隔離。

第二階段：應(yīng)用系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的分離與遷移。目前很多博物館的應(yīng)用系統(tǒng)部署之間各自為政、錯綜復(fù)雜，存在多個應(yīng)用共用一臺服務(wù)器的狀況。在這種情況下，一個應(yīng)用系統(tǒng)發(fā)生安全問題，就會造成大量的關(guān)聯(lián)系統(tǒng)出現(xiàn)問題，對應(yīng)用層的安全防護難度無疑會加大很多。為了對應(yīng)用系統(tǒng)更好地進行安全防護，考慮通過虛擬化遷移工具對運行在物理服務(wù)器上的應(yīng)用實施虛擬化遷移，同時根據(jù)系統(tǒng)不同的安全性要求，將其用虛擬局域網(wǎng)（VLAN）技術(shù)劃分到相對應(yīng)的安全域中。伴隨著應(yīng)用系統(tǒng)的分離遷移工作，數(shù)據(jù)庫也相應(yīng)地需要進行分離，目的是對數(shù)據(jù)庫的重要數(shù)據(jù)進行重點防護。

通過網(wǎng)絡(luò)系統(tǒng)的安全改造，解決由于業(yè)務(wù)系統(tǒng)所在業(yè)務(wù)網(wǎng)絡(luò)沒有進行安全域劃分所導(dǎo)致的網(wǎng)絡(luò)安全問題，解決了各業(yè)務(wù)系統(tǒng)組網(wǎng)沒有統(tǒng)一原則進行規(guī)劃組網(wǎng)隨意的問題，還同時規(guī)范了系統(tǒng)間和系統(tǒng)內(nèi)的邊界不明晰、訪問控制混亂的問題。

（二）接入設(shè)備安全性改造

博物館接入網(wǎng)絡(luò)的設(shè)備我們要從硬件和軟件兩個方面進行安全性改造，從硬件上要對設(shè)備物理安全建立專門規(guī)范進行保護，保證設(shè)備的安全。從軟件上需要建立態(tài)勢感知設(shè)備，態(tài)勢感知設(shè)備旁路連接在核心層交換機上，包括配置管理終端應(yīng)用軟件管理、終端系統(tǒng)安全管理（負責(zé)終端系統(tǒng)的服務(wù)端口開放管理與病毒情況監(jiān)控，終端系統(tǒng)的賬號口令策略的下發(fā)及監(jiān)控）、終端桌面及主機設(shè)置管理（主機名稱，電源的設(shè)置信息收集）、終端設(shè)備的上網(wǎng)管理、終端設(shè)備外設(shè)的安全管理、終端設(shè)備的補丁管理等。另外，還要建立防病毒網(wǎng)關(guān)設(shè)備，架設(shè)在防火墻之后、核心層交換機之前，檢查和過濾所有進入內(nèi)網(wǎng)的各種惡意代碼和病毒。

（三）服務(wù)應(yīng)用安全性改造

博物館作為大型公共場所，針對其進行的攻擊形式越來越多， DDoS（分布式拒絕服務(wù)攻擊）、APT（高級持續(xù)性威脅）、WEB 應(yīng)用方面的攻擊漏洞都是常用的攻擊手段。DDoS（分布式拒絕服務(wù)攻擊）指借助于B/S（客戶/服務(wù)器）技術(shù)，將多個計算機聯(lián)合起來作為攻擊平臺，從而成倍地提高拒絕服務(wù)攻擊的威力。對此可以在博物館的接入防火墻前面串入DDos防火墻，對外，網(wǎng)的攻擊流量進行清洗，達到安全防護的目的；APT是對特定目標(biāo)進行長期定向滲透和數(shù)據(jù)竊取，主要體現(xiàn)在利用0day（未知威脅）漏洞、未知滲透工具對目標(biāo)的長期性、持續(xù)性的控守，直至獲取目標(biāo)資產(chǎn)和目標(biāo)數(shù)據(jù)。對此，可以在博物館主干網(wǎng)絡(luò)核心層上旁路連接針對APT的監(jiān)測系統(tǒng)就各種未知威脅活動進行實時監(jiān)測和預(yù)警，并根據(jù)風(fēng)險分布、風(fēng)險來源等進行威脅態(tài)勢呈現(xiàn)；目前，博物館對外都有門戶網(wǎng)站、觀眾系統(tǒng)等Web應(yīng)用，而這些都是網(wǎng)絡(luò)攻擊者最樂于攻擊的目標(biāo)，WAF防火墻則是專門針對WEB應(yīng)用攻擊的專用防火墻，將WAF防火墻直接串在主防火墻前面DDos防火墻之后，就可以對黑客發(fā)起的一系列WEB應(yīng)用方面的攻擊行為進行防御，能有效抵御包含覆蓋式SQL攻擊、注入式攻擊、跨站腳本攻擊等各種攻擊類型的WEB安全威脅，為WEB應(yīng)用提供了全方位的保護。

三、總結(jié)

博物館作為大型的公共場所其網(wǎng)絡(luò)安全防護已經(jīng)日漸重要，總書記在2016年4月19日召開的網(wǎng)絡(luò)安全和信息化工作座談會上強調(diào)，網(wǎng)絡(luò)安全是一個關(guān)系國家安全和主權(quán)、社會的穩(wěn)定、民族文化的繼承和發(fā)揚的重要問題。

參考文獻：

[1]杜璋，陳云釗.博物館信息安全技術(shù)體系研究[J].通信技術(shù)，2017，50（8）：1826-1830.

作者簡介：李涵（1983-），男，本科，文博館員，研究方向：博物館信息化建設(shè)。