新形勢下的網絡信息安全運維分析

陳鎮

（浙江省醫療服務管理評價中心 浙江省杭州市 310000）

建設集中管理的網絡運維平臺，實施統一監控，掌握網絡資源使用情況，能達到規范數據安全的管控行為目的。借此及時處理安全事故，靈活變更及配置，讓信息資源實現可視化及可控的成效，提升安全能力，支持業務的順利推進。

1 網絡平臺的需求概述

以某信息中心為例，其當前園區內網絡系統所能負擔的業務量已經無法達到使用需要，所以應當實施系統改造，適應辦公及科研任務的網絡運用。

1.1 改造要求

該信息中心的6號院，系統需提升至萬兆級別骨干以及千兆至桌面。而8號院則要達到千兆骨干與百兆至桌面。此外，6號區域內，預計增加240個信息點，購入10臺交換機。在8號建立局域網，同時可連接所網。要求提高涉密工作內容的安全性，為方便管理，將機房集中轉移，在6號院增設測試網絡。

1.2 安全改造

因為該信息中心屬于一級保密的單位，所以在信息安全上的要求較高，在經過數年的建設中，信息安全也達到一定級別，增強管理效力。在單位發展中，該信息中心網需要實施技術改造。其中，西區網絡應當能與本部網絡完成信息交換，為確保安全保密性，西區網絡連接本部網絡中，要求設置安全保管處理，維護科研活動的有序開展。據系統給分析，該信息中心網面對內外部的威脅，因而改造中，需注意內外兼顧，如掃描平臺漏洞、網絡加密。

1.3 安全威脅

原網絡協議是TCP/IP，該協議不是針對安全性設計，導致系統會面臨一些安全問題。具體而言：

（1）物理方面，比如通路受損、被竊聽、電磁輻射、被干擾等，該類問題可憑借物理裝置及線路加強保護效果。信息中心原本的線路屬于非屏蔽類型，并且在廣域網中采取PVC線路，抵御電磁輻射的能力偏弱。

（2）網絡層中，要確保為有權限用戶提供對應操作服務，以免出現攔截及竊聽等問題，對此需借助訪問控制及監控、劃分局域網等實施處理。

（3）操作系統與數據庫方面，現有諸多操作及信息庫管理系統都有安全問題，如NT、Windows等。解決此種威脅的方式是更換安全系統，但如今的產品性能還未完全成熟，所以會選擇其他方式強化安全性，如補丁、檢測等。

（4）應用平臺帶來的威脅一般是應用軟件，因為平臺本身的復雜性較為顯著，會應用OS安全加強手段及SSL等，保障平臺可用性。

（5）應用系統展現出的安全能力和系統設計有較大關系，借助加密、防火墻等方式，保障數據完整性。但大多數系統對于訪問與安全通信上的關注度不高，假設系統設置有誤，會出現損失。收發文件依舊采取常規電子郵件，有可能發生信息泄漏及丟失的問題。

（6）安全管理的漏洞。因為安全管理實際涉獵內容多，執行起來也比較復雜。系統本身配備較先進的安全防護手段，但因為個別工作者操作有誤及管理員大意形成潛在威脅[1]。

2 網絡改造的設計討論

表1：運行環境

2.1 安全設計內容

2.1.1 物理安全處理

保障裝置設備安全，主要是防盜與日常管理等，根據案例信息中心涉密網絡實際要求，對整個機房實施加固，添加多項安防設施，交換機同樣是采用加鎖等方式。目前不會用到的網絡接口，需停止用對應閑置端口，避免發生非授權應用的情況。并通過IP綁定處理，保障連接終端處安全。在應對非法接入時，信息中心原本裝設相應的防護產品，克服部分接入威脅。但實踐應用時，從非法接入到系統作出阻斷動作的過程，會有明顯的延遲，導致實際防護性不高。改造設計中，未處理原本防護手段，直接增加IP+MAC，提高管控的效果，閑置端口借助DOWN處理。

2.1.2 系統運行安全

該信息中心的涉密內網規模較大，提高管控網絡病毒的難度，如果病毒侵入內網某臺計算機，會牽扯到系統整體，產生的破壞力極大，所以需要對內網整體均設置防護措施。除網絡病毒外，還會面臨惡意代碼的攻擊，導致參數信息被改動、插入信息等，借助協議與系統底層的漏洞實現。采用針對性掃描處理，能篩除諸多類型惡意代碼。原有防病毒軟件，經過測評不滿足當前安全保密需要。在改造設計中，不僅配備防病毒的軟件，還額外增加達到保密標準的產品，整體重新部署。

2.1.3 信息保密舉措

（1）訪問控制，具體針對網絡層和業務資源兩個區域的管控，前者應用防火墻，該種保護方式是按照具體安全策略，把控信息流。而且防火墻具備一定攻擊性，能維護信息安全。改造設計在信息中心西區，設置防火墻，以有效防護網絡層。中心服務器前端處，設置性能優質的防火強，使服務器和其余安全區建立平穩的訪問通道。并融入網關設備，建立用戶和系統資源的聯系，完成訪問管控。所有部門均連接到各自的VLAN，并且各VLAN不可隨意訪問，可保障信息交換及訪問的安全。該信息中心系統服務中，可提供的功能均來自于網絡層，所以能借助網絡層達到訪問控制的目的。但大量服務功能由單個服務器及端口進行，并且功能模塊實際所需的訪問權限有差異，只應用網絡層不能輻射系統整體，需對應用層合理化改造，滿足管控所有訪問權限的目的。原有網絡中布設RBAC，應再次啟用，并增加對權限分類及設置標識的方式，辨別訪問者的身份，提供對應功能。

（2）密碼保護，涉密網路和信息中心本部使用光纖構成組網，但二者信息傳輸距離極遠，同時還不屬于同一可控范疇。網絡傳輸期間的信息安全是必須考慮的事項。若要把西區接進本部網絡里，需增添遠程設備加以處理，加強不可控部分的安全性。改造設計應用IP加密處理，在二者遠程接口位置，安裝加密機。

（3）系統安全，該項安全由系統里防護能力最差的環節決定，對此加以確定，可最大程度保障系統安全。相對有效的處理手段是定期開展安全分析，修正系統運轉期間的漏洞[2]。

（4）數據庫，其為網路系統的關鍵，監控使用系統以配備專門的設備，對操作行為及產生的記錄加以分析，及時制止容易破壞數據庫的造作。利用布置審計系統，能監控命令操作，實施全面監控，并保留違規行為的證據。其不會干擾正常的訪問行為，但如果檢測到異常操作，隨即作出相應舉措，如記錄、報警等，甚至立即切斷當前的網絡連接。

（5）邊界防護，針對此項安全要求需要組合應用多項防護方式。以技術的角度來看，抵御網絡攻擊，應兼顧防御與檢測兩項能力，融合防火墻與檢測的功能，構成綜合防御機制。防火墻可用在第一道防線上，結合訪問控制，解決大多數攻擊問題。檢測則屬于第二道防線，保障網絡功能的前提下，全面監控網絡環境，以及時察覺當前操作異常，達到全天候的保護效果。在改造設計中，主要邊界防護項目包括西區接入、VLAN及服務器。首先，西區邊界，其屬于遠程接入點，根據該信息中心統一的管理要求，在完成各終端的防護處理以后，當成子域連接本部網。基于此，遠程的數據傳輸中，具備安全加密處理策略，此時西區成為網絡安全區。對其邊界防護選擇設置性能良好的服務器裝置，完成網絡層管控。實際設計及部署時，倘若西區包含多個廠部及車間，對應訪問權限有區別，可設置成無法隨意訪問的VLAN，直接借助VLAN連接本部網絡。其中的防火墻采取透明連接處理，配備安全防護處理，保障信息中心信息完整。其次是中心服務器，同樣選擇布設防火墻的處理方式。最后是子網邊界，通過連接各類VLAN，并結合中心服務器，實現相互之間的訪問及通訊。此外，關于文件傳輸上的管控，在取消默認訪問后，全部信息訪問均經過中心服務器。適當縮減中間機的應用量，并落實殺毒及涉密審查等處理。

2.2 硬件改造部分

（1）非法接入。當前網絡設計在保留以往安全防護處理的前提下，增加IP+MAC，預防非法接入。借此能減輕網管工作壓力，由于限制終端連接，提升安全性的同時，也避免IP出現沖突。

（2）網絡病毒。在涉密內網上，按照操作系統功能，設置對應防病毒系統[3]。其中，郵件服務器若存在病毒會高效擴散，引發死機的問題，增加網絡資源使用量。而中央管理的控制臺，能對所有節點進行動態監測，采取統一管理，以解決突發病毒的情況。部署效果。該信息中心的涉密內網實施整體防護，消除形成病毒與擴散的空間。防毒軟件實施集中管控，及時更新，和防毒策略同步開展，并輸出相應的日志資料。設置病毒相應，抑制病毒擴散。

（3）訪問控制。根據信息中心的情況，采取以下處理方式：首先，終端用戶設置標識；其次，原有RBAC服務器，合理啟用，在各端口布置權限管控及分配；最后，在對外的80個系統端口，包含諸多使用單元，同樣采取訪問權限管控，并升級改造應用系統，提高管控的精確度。

（4）掃描漏洞，針對服務器使用行為與程序中的異常實施全面檢測。掃描過程中，會模擬對應攻擊包，保證判斷的準確性。

（5）數據庫審計，可對相關行為實施監控，并不干擾用戶使用，高效生成違規操作記錄。此項安全防護舉措，用在交換機處。

（6）邊界訪問。防火墻使用最新的產品，能完成內容過濾等，準備兩臺設備，分別放在西區邊界與中心區域。

2.3 運維軟件設計

運維軟件是信息中心網絡環境中的核心部分，設計中需強調安全可靠、實用、操作靈活、統一管理等。對此的分析技術路線包括四個階段，首先根據運維管理的當前狀況確定需求，并參照如今軟件開發情況細化改造標準，制定具體的操作任務，補充完善功能設定。構建用例分析及關系，基于把握好需求的前提，整理出預期目標。其次，設計軟件整體結構，把運維管理的系統合理分成若干模塊。再次，完成代碼編寫，保羅瀏覽器、接口函數、信息儲存操作的代碼。最后，組織整體測試，評估系統的應用性能。

對于數據庫方面的設計，需在設置情景中，搭建出最佳運行模式，完整保存數據資料，以支持系統運行。軟件功能主要包括有六項，具體有網絡、檢測、故障、設備及桌面安全、報表。以故障管理為例，此功能會根據故障的嚴重情況，自動發出不同的警示光信號，同時還同步發出郵件、短信等。在故障上報中，針對故障來源進行排查。操作員能查找目前以及以往的故障信息，輸入所需的過濾標準，得出統計報表。系統對于各類故障警報資料，能查詢、增加注釋等。此外，系統可使警報逐漸升級，輔助技術員按照實現設置條件，及時追蹤及提示關鍵性故障。例如發出故障警報后，未能在設定時間中處理好，會提高警報的等級，增加通知工作者的數量。同時，提供關聯性的故障報警信號，避免和出現異常裝置有關設備受到波及，維護系統整體的運行效果。[4]

3 網絡系統的性能測試

系統測試一般先針對單個構件，評估具體功能及代碼情況。單元測試耗費的成本和信息規模有關，并需利用專門工具完成。測試NET中，通常運用Nunit，能檢測代碼功能，生成測試結果，可直接輸出結果，有效提升測試任務的推行效率。測試過程中，會對模塊與數據兩個部分開展工作，前者有信息導入及配置、補錄、分析、上傳、查詢等，后者主要關系到賬戶和業務標識。本網絡系統實際運行環境如表1所示。

通常而言，軟件測試包括黑盒和白盒，后者是基于程序架構，評估用例設計效果，前者是從程序功能角度出發進行評估。在測試期間，需注意使用工具的原則，挑選具有代表性的信息。關于運維管理測試一般選擇前者。

在此類測試中，遇到的問題類型較多，如信息格式及大小等，無法通過常規的信息變換處理。比如，可為用戶提供多個選擇，能控制錄入有誤信息的概率，例如，錄入1991或者其他小于設定年份的信息，會發出對應提醒，調整成對應數值。本項目組在測試期間，在發現問題后立即執行必要舉措，并設置測試原則，保證測試員正確操作，保證軟件程序滿足設計標準。把軟件系統交到客戶手中，放在現實辦公場景中試用，此實施階段往往能找出設計中忽略的問題。

4 結束語

通過改造升級網絡平臺系統，彌補原有的管理漏洞，并提升系統化可承受的業務工作量。利用對訪問用戶的身份識別與增加安全策略，維護網絡信息的完整性及安全性。以系統架構上來說，實現擴大平臺運行規模的同時，保障基本應用性能。