廈門航標處信息安全等級保護建設方案研究與實踐

摘 要 網絡安全和信息化是一體之兩翼、驅動之雙輪，必須統一謀劃、統一部署、統一推進、統一實施[1]。在重點關注信息化建設的同時，需要通過信息系統等級保護建設全面提升信息系統的安全防護水平，為業務安全保駕護航。本文詳細論述了廈門航標處信息安全等級保護建設方案以及在實踐中的應用。

關鍵詞 信息安全;體系設計;等級保護

引言

等級保護制度已經推行十余年，2009年《關于開展信息安全等級保護安全建設整改工作的指導意見》（公信安[2009]1429號）發布，標志著等級保護工作全面進入建設整改工作階段;2011年是等級保護測評工作全面開展的一年;2012年政府、電力、金融等行業及央企的等級保護工作力度持續加大。隨著電子政務外網建設等安全要求進一步明確，物聯網等新技術在未來應用的范圍將會逐步擴展，如何在新技術環境下開展等級保護建設是當前等級保護工作面臨的一項挑戰。與此同時，隨著等級保護2.0的發布，等級保護工作進入了新的篇章。

1設計原則

在規劃、建設、使用、維護廈門航標處信息系統項目的過程中，主要遵循統一規劃、分步建設、立足現狀、節省投資、科學規范、嚴格管理的原則進行安全體系的整體設計和實施，并充分考慮到廈門航標處的實際情況進行廈門航標處的等級保護建設實施。

（1）等級標準性原則。構建廈門航標處系統，必須堅持遵循相關的標準。從設計到產品選型、實施、測評都遵循國家等級保護2.0二級相關標準。

（2）需求、風險、代價平衡的原則。對任一網絡，絕對安全難以達到，也不一定是必要的。應對一個網絡進行實際分析（包括任務、性能、結構、可靠性、可用性、可維護性等），并對網絡面臨的威脅及可能承擔的風險進行定性與定量相結合的分析，然后制定規范和措施，確定安全策略。

（3）綜合性、整體性原則。安全模塊和設備的引入應該體現系統運行和管理的統一性。一個完整的系統的整體安全性取決于其中安全防范最薄弱的一個環節，必須提高整個系統的安全性以及系統中各個部分之間的嚴密的安全邏輯關聯的強度，以保證組成系統的各個部分協調一致地運行。

（4）易操作性原則。安全措施需要人為去完成，如果措施過于復雜，對人的要求過高，本身就降低了安全性。

（5）設備的先進性與成熟性原則。安全設備的選擇，既要考慮其先進性，還要考慮其成熟性。先進意味著技術、性能方面的優越，而成熟性表示可靠與可用。

（6）無縫接入原則。安全設備的安裝、運行，應盡量不改變網絡原有的拓撲結構，對網絡內的用戶應是透明的，不可見的。同時，安全設備的運行應該不會對網絡傳輸造成通信“瓶頸”。

（7）可管理性與擴展性原則。安全設備應易于管理，而且支持通過現有網絡對安全設備進行安全的統一管理、控制，能夠在網上監控設備的運行狀況，進行實時的安全審計。

（8）保護原有投資的原則。在進行信息安全體系建設時，應充分考慮原有投資，要充分利廈門航標處已有的建設基礎，規劃廈門航標處的整體安全體系。

（9）綜合治理原則。信息網絡的安全同樣也絕不僅僅是一個技術問題，各種安全技術應該與運行管理機制、人員的思想教育與技術培訓、安全法律法規建設相結合，從社會系統工程的角度綜合考慮。

（10）統一規劃、分步實施原則。在建設過程中，全方位、多層次的綜合考慮信息系統安全的各個環節，運用信息系統工程的觀點和方法論進行統一的、整體性的設計，為后繼的安全實施提供基礎保障，通過逐步實施，來達到信息網絡系統的安全強化。從解決主要的問題入手，伴隨信息系統應用的開展，逐步提高和完善信息系統的建設，充分利用現有資源進行合理整合的原則。

2安全技術體系設計

（1）安全通信網絡設計。安全通信網絡主要包括：網絡架構的安全，包括網絡安全區域的合理劃分，重要網絡區域部署和防護;主干網絡的可用性，包括通信鏈路和節點設備的冗余、網絡帶寬的合理分配;網絡通信中數據完整性和保密性的防護等。還有就是安全通信網絡設備的可信驗證。目前信息系統只是進行安全區域的劃分，但是未基于安全域進行訪問控制和入侵防范。按照方便管理和控制的原則，對網絡劃分不同的安全區域，并為各安全區域分配相應的地址。在安全域劃分基礎上可方便地進行網絡訪問控制、網絡資源、管控等安全控制，并對不同安全域邊界的保護策略進行針對性設計。在各個區域之間分別串聯部署下一代防火墻，實現各個區域之間的安全隔離。通過設置相應的網絡地址轉換策略和端口控制策略，避免將重要網絡區域直接暴露在互聯網上及與其他網絡區域直接連通。

（2）安全區域邊界設計。安全區域邊界是對內部應用系統計算環境進行安全防護和防止敏感信息泄露的必經渠道;通過區域邊界的安全控制，可以對進入和流出應用環境的信息流進行安全檢查，既可以保證應用系統中的敏感信息不會泄漏出去，同時也可以防止應用系統遭受外界的惡意攻擊和破壞。針對常見的漏洞利用攻擊、SQL注入攻擊、XSS、緩沖區溢出、DOS/DDOS攻擊等惡意破壞方式，綜合采用入侵檢測和防御、異常流量管理與抗拒絕服務攻擊、未知威脅防御等安全機制，阻斷惡意的網絡數據包，有效保證服務器正常提供服務。在運維管理區部署數據庫審計系統，實時地、智能地解析網絡上和被審計數據庫相關的登錄、注銷，對數據庫表和字段的插入、刪除、修改、查詢、執行存儲過程等操作，能夠精確到SQL操作語句，并能及時判斷出違規操作行為并進行記錄、報警，實現數據庫的實時監控。對網絡中所有網絡設備和新增的安全設備上均開啟完整的日志記錄功能，對重要的用戶行為和重要安全事件進行審計，并將審計記錄實時發送給集中的日志服務器，便于長期存儲保護和分析使用。

（3）安全計算環境設計。計算環境是應用系統的運行環境，包括應用系統正常運行所必需的主機（終端、服務器、網絡設備等）、應用系統、數據、存儲與備份等，計算環境安全是應用系統安全的根本。用戶終端設備上部署終端安全管理系統，提供針對Windows桌面終端的軟硬件資產管理、終端行為監管、終端安全防護、非法接入控制、非法外聯監控、補丁管理等功能，采用統一策略下發并強制策略執行的機制，實現對網絡內部終端系統的管理和維護，從而有效地保護用戶計算機系統安全和信息數據安全。需要在所有Windows桌面終端系統中安裝終端代理軟件，并在安全管理區部署一套終端管理服務器。

（4）安全管理中心設計。安全管理中心主要是安全審計管理，對審計管理員進行身份鑒別，只允許其通過特定的命令或操作界面進行安全審計操作，并對這些操作進行審計;通過審計管理員對審計記錄進行分析，并根據分析結果進行處理，包括根據安全審計策略對審計記錄進行存儲、管理和查詢等。通過部署一套堡壘機，在系統運維人員和信息系統（網絡、主機、數據庫、應用等）之間搭建一個唯一的入口和統一的交互的界面，針對信息系統中關鍵軟硬件設備運維的行為進行管控及審計。

3安全管理體系設計

安全策略是信息安全保障體系的靈魂，要做到全面、靈活、實用。安全策略的適用范圍是所涉及的信息系統、數據和網絡環境，適用于所有部門。對人員的適用范圍包括所有與各方面相關聯的人員，它適用于全部業務和辦公人員，全部維護和管理人員，集成商、軟件開發商、產品提供商、顧問和其他第三方。安全管理制度是保證網絡系統安全的基礎，需要通過一系列規章制度的實施，來確保各類人員按照規定的職責行事，做到各行其職、各負其責，避免責任事故的發生和防止惡意侵犯。安全管理制度包括：安全技術規范、人員安全管理制度、設備安全管理制度、運行安全管理制度、安全操作管理制度、敏感數據保護制度、安全技術保障制度、安全計劃管理制度等。為了將安全隱患減少到最低，不僅需要對安全管理員進行專業性的安全技術培訓，還需要加強對一般辦公人員的安全知識的普及。通過對用戶的不斷教育和培訓，提高用戶的安全意識、法制觀念和技術防范水平，確保網絡系統的安全運行。根據用戶的不同層次制定相應的教育培訓計劃及培訓方。

4結束語

實踐說明，遵照《信息系統安全等級保護基本要求》標準中二級安全防護體系要求，從物理安全、通信網絡安全、區域邊界安全、計算環境安全、數據安全等技術標準構建的廈門航標處技術安全體系，隔絕來自互聯網非法“黑客”的攻擊，避免“內鬼”泄密的安全事件。以《信息系統安全等級保護基本要求》中“安全管理制度”為基石，結合單位管理需求，構建擁有廈門航標處特色的安全管理體系，做到有“法”可依，有“法”必依，執“法”必嚴，違“法”必究。通過安全管理體系中的“法”，解決了運營安全風險。通過安全技術體系與安全管理體系相結合，防范重大信息安全事件的發生，并在信息安全事件導致業務運行異常時，能及時發現、主動響應、協同處置、有效恢復，確保信息系統安全穩定運行。

參考文獻

[1] 畢馬寧.信息化引領和信息安全保障是醫療計生事業發展的一體兩翼[ED/OL]. https：//wenku.baidu.com/view/665a688290c69ec3d4bb756a.html，2015-6-19.

[2] 王燕平，劉建平. 人行濟南分行網絡安全的設計與思考[J]. 華南金融電腦，2002（7）：103-105.

[3] 李良宗，鄭棟棟. 淺談漳州市氣象局網絡安全建設[J]. 福建電腦，2018，34（4）：106-107.

作者簡介

林秀明（1982-），女，福建莆田人;學歷：碩士，職稱：高級工程師，現就職單位：東海航海保障中心廈門航標處，研究方向：信息安全。