住房城鄉建設領域信息系統生命周期內安全問題的思考

李鎮京

(安徽省住房和城鄉建設信息中心，安徽 合肥 230091)

0 引 言

近年來隨著信息化技術的迅猛發展，全省住房城鄉建設領域根據國家“互聯網+政務”工作的推進和部署，陸續建成了一批面向住房城鄉行業主管部門、服務對象的業務應用信息系統，這些信息系統為全省全行業日常信息化辦公提供了信息便利，為政府部門科學決策提供了數據支撐。

在為政府部門提供便利的同時，信息系統的安全問題也日益凸顯，因此在系統建設生命周期中需要持續加強安全防護。需要結合應用開發流程，充分考慮敏捷、持續集成、開發運行一體化等應用開發新模式，實現安全防護機制貫穿于全省住房城鄉建設領域應用系統建設全生命周期。

1 業務應用系統的生命周期

信息系統的建設，根據不同分類方式，一般分為立項(系統規劃)、開發(系統分析、系統設計、系統實施)、運維及消亡四個階段。但筆者從安全管理角度將其分為六個階段：需求分析、架構設計、代碼編寫、測試驗證、應用部署和運行維護，如圖1所示。

圖1 業務應用系統生命周期

1.1 需求分析階段

需求分析階段是信息系統建設的第一步，是信息系統建設的前期階段。該階段主要是對項目建設的目標任務、業務需求、政策文件、需求描述進行收集、分析，也是信息化項目可行性、必要性以及主要業務需求的總結分析。項目可行性研究報告審議通過后，將根據業務部門的業務需求，對新系統進行需求方案編寫，形成需求規格說明書等文檔。

1.2 架構設計階段

需求分析階段主要是解決為什么要做，要做什么的問題，架構設計階段是項目組拿到項目任務(即項目已招標完成)后，根據前期的項目政策文件要求、業務需求描述來解決怎么做的問題，是具體實現的方法和路徑。這個階段又稱為物理設計階段或架構設計階段，可分為總體設計(概要設計)和詳細設計兩個子階段，這個階段的技術文檔是系統設計說明書。

1.3 代碼編寫階段

代碼編寫是整個業務應用系統開發過程中最核心也是最實際的一部分，這個過程考驗的是編程人員對需求和架構設計的理解，考驗的是如何把文字描述轉換成二進制代碼。具備高效的軟件開發平臺、代碼安全規范等是保障軟件代碼編寫的重要支撐，高質量的代碼編寫是后續程序升級、完善、維護高效運行的保障，這個階段需要形成代碼設計文檔。

1.4 測試驗證階段

這個階段是前期所有階段的一個里程碑事件，也是業務系統進行階段性交付的一個關鍵階段，是質量測試部門通過嚴格的程序功能、性能測試，以及同需求、設計等階段的對比測驗系統的一個質量把關環節。測試驗證階段一般包括功能測試、性能測試、BUG測試、安全測試等內容，系統測試之后寫出系統測試分析報告。

1.5 應用部署階段

應用部署階段是將設計的系統付諸實施的階段。這一階段的任務包括服務器環境(包括CPU、內存、磁盤)、網絡環境(IP地址端口映射)、安全環境(防篡改、防病毒、防入侵)以及數據備份環境(備份策略、備份方式)等軟硬件環境的準備和安裝調試。這個階段的特點是幾個互相聯系、互相制約的任務同時展開，需要運維人員精心安排、合理組織。應用部署階段完成后應寫出系統部署文檔說明及使用手冊。

1.6 運行維護階段

系統部署及投入運行后，需要經常進行維護和評價，記錄系統運行的情況，根據一定的規則對系統進行必要的修改，評價系統的工作質量和經濟效益。

2 系統生命周期內面臨的安全問題

面對業務應用系統生存周期里的幾個階段，我們會遇到以下一些安全問題：

2.1 代碼編寫安全問題

代碼編寫是考驗一個程序員編程“功底”的最核心也是最基礎的一個方面，筆者根據十幾年的業務應用系統項目建設、運維管理經驗分析，經常遇到業務應用系統XSS注入安全漏洞或出現安全事件后無法查詢到系統運行日志等安全問題，而這些安全問題80%是程序代碼編寫不規范造成的。

2.2 開發框架安全問題

業務應用系統開發常用的三種框架有Struts2、Spring、Hibernate(ssh)， 大多數業務應用系統程序是基于這三種開發框架的一種，進行的二次開發，這些開源的第三方程序框架往往由于更新不及時等原因存在嚴重安全隱患。以Struts系列框架為例，Struts2從2007年7月23日發布的第一個Struts2漏洞S2-001到2017年12月發布的最新漏洞S2-055，跨度足足有10年，而漏洞的個數也升至55個。分析了Struts2的這55個漏洞發現，基本上是RCE、XSS、CSRF、DOS、目錄遍歷和其他功能缺陷漏洞等。這些嚴重的開發框架漏洞，直接威脅業務應用系統底層代碼程序的安全，但是部分程序由于太復雜，底層開發框架的升級又帶來嚴重的考驗。

2.3 程序部署安全問題

如果說前面兩個問題是業務應用系統開發設計階段的安全問題，是程序開發人員的知識儲備、編寫習慣問題，程序部署環節考驗的是系統運維人員綜合素質結合運維能力。程序部署環節一般涉及到中間件(如Weblogic、IIS、Appache)及整個系統部署環境問題，給運維人員(負責程序部署的工程師)帶來了一定考驗。經常遇到工程師在部署程序時Webconfig文件沒有加密存儲、配置IIS及虛擬目錄過于簡單，沒有對程序目錄讀寫權限進行詳細設置、默認虛擬目錄沒有禁用等安全問題，給業務系統后期安全運行帶來了重大隱患。

2.4 服務器操作系統等第三方軟件漏洞問題

操作系統、數據庫、Office、Pdf軟件、報表控件等第三方軟件是業務應用系統部署時必須同步安裝配置的軟件，但經常會有運維管理人員在操作系統帳號時使用默認最大權限的Administrator賬號、使用遠程桌面的3389進行遠程、關閉操作系統自帶防火墻等安全問題的存在。

2.5 使用安全問題

業務應用系統的安全問題在大多數情況下是難以避免的，因安全管理員、運維管理員等人員的知識水平、責任心以及業務能力有很大的差別，往往導致業務系統安全問題頻發。舉例說，因安全管理要求，數據庫服務器密碼需要每6個月更改一次，因運維管理人員不熟悉Oracle數據庫修改，導致一用戶OA辦公系統出現非常卡慢無法使用，運維人員排查了網絡、服務器、安全產品等問題，最終發現是數據庫密碼過期問題。

3 如何解決應用系統生命周期內安全問題

3.1 管理機制健全方面

制度的建立是規范業務應用系統安全開發、建設、運行的頂層框架，業務應用系統的開發涉及政府部門(業主方)和軟件開發企業(承建方)，雙向都需要從自身管理角度出發制定軟件安全開發管理的相關制度，明確安全開發規范。如政府部門可以根據部門實際需要制定《某行業業務應用系統安全開發管理規范》《某行業業務應用系統建設管理辦法》等安全制度，安全管理可以從安全管理要求(包括開發環境安全、文檔安全、開發人員安全、源代碼安全等方面)、需求階段安全(包括基本安全、功能安全、數據安全等方面)、應用安全要求(包括身份認證安全、訪問控制安全、系統安全審計、業務邏輯安全等方面)、測試安全要求、部署安全要求四個方面著手制定。這些制度的建立可以很大程度上減少程序代碼環境的安全隱患問題，大大提升程序的安全“堅固性”。據筆者單位內部管理統計，10個業務應用系統開發中，制定軟件安全開發管理規范并嚴格執行的軟件程序代碼安全漏問題會有減少90%以上。

3.2 業務系統生命周期內安全建設思路和方法

面對以上經常發生的業務應用系統安全問題，需要從系統建設全生命周期內每個階段進行建設和加強。結合應用系統建設的六個不同階段，筆者建議在安全建設中實行“清單”化管理，如圖2所示。

圖2 信息系統生命周期安全建設架構圖

3.2.1 需求分析階段的安全建設

在需求分析階段需要編寫涵蓋國家和地方法律、法規、監管要求、住房城鄉建設行業標準、內部規范的安全要求檢查表,建立安全需求清單，把安全需求融入到應用系統建設需求階段中。

3.2.2 架構設計階段的安全建設

根據需求階段的清單，結合威脅分析、攻擊態勢和安全事件數據，在架構層面進行應用安全架構設計，確保安全需求和安全架構貫通。編制覆蓋身份驗證、訪問控制、數據管控、密碼使用等安全功能的應用安全架構清單，確保應用系統在架構中體現應用安全基礎能力。

3.2.3 代碼編寫階段的安全建設

對應用開發人員進行安全意識和技能培訓,確保應用開發人員建立對代碼安全需求的理解,從而在應用系統開發過程中建立良好的安全意識和開發規程。優化應用開發流程,落實需求分析、架構設計、編碼開發、測試評估等環節的安全控制機制，根據軟件開發安全規范形成代碼編寫規范清單。實施涵蓋靜態應用代碼安全測試、動態應用代碼安全測試、交互應用代碼安全測試在內的應用代碼安全測試，實現代碼安全檢查與應用開發測試的聚合。

3.2.4 測試驗證階段的安全建設

在測試階段需制定符合業務應用系統安全實際的測試清單，實現安全與測試的深度融合。測試時還需從業務系統功能、性能、系統身份管理、訪問控制、權限執行和密碼操作等內容進行測驗，確保安全控制機制在應用系統中得到正確使用。

3.2.5 應用部署階段的安全建設

建立應用部署規范和檢查清單,確保應用按照安全域劃分正確地部署在基礎設施環境中，建立應用運行環境規范和檢查清單,確保應用運行環境正確使用網絡、主機和云基礎的安全防護能力,并能夠對應用的輸入輸出進行監控。

3.2.6 運行維護階段的安全建設

建立應急響應機制,能夠對應用漏洞、安全事件進行及時響應。建立覆蓋漏洞情報、漏洞掃描、滲透測試、眾測等在內的漏洞收集清單,并反饋到缺陷(BUG)管理平臺和安全防護平臺,建立漏洞評估和修復體系。

4 結束語

信息系統建設是一項復雜而艱巨的任務，信息系統生命周期內六個階段面臨著不同的安全建設需求，建立健全安全管理機制，實施信息系統生命周期安全建設，實施六個階段的“清單”化管理，是切實提升政府部門信息系統建設安全能力、系統運行生命力的有力保障。