淺析地縣級氣象信息網(wǎng)絡(luò)安全及防范

吳勁松,武孔亮,祝 亞,龔雪鵬

(貴州省畢節(jié)地區(qū)氣象局,貴州 畢節(jié) 551700)

淺析地縣級氣象信息網(wǎng)絡(luò)安全及防范

吳勁松,武孔亮,祝 亞,龔雪鵬

(貴州省畢節(jié)地區(qū)氣象局,貴州 畢節(jié) 551700)

結(jié)合實際對地縣級氣象信息網(wǎng)絡(luò)的特點和現(xiàn)狀進行分析,找出可能存在的主要風險因素。針對氣象信息網(wǎng)絡(luò)的實際應(yīng)用情況,從物理環(huán)境、網(wǎng)絡(luò)和網(wǎng)絡(luò)基礎(chǔ)設(shè)施、網(wǎng)絡(luò)邊界、應(yīng)用、安全管理等多方面進行了分析,并采用綜合的策略解決在網(wǎng)絡(luò)上的各種交流和日常工作安全問題。

網(wǎng)絡(luò)安全;威脅;對策

1 引言

隨著氣象業(yè)務(wù)不斷發(fā)展,計算機網(wǎng)絡(luò)規(guī)模日益擴大。在所有信息資源得到高度共享的同時,系統(tǒng)隨時可能遭受網(wǎng)絡(luò)病毒、黑客攻擊等對氣象信息網(wǎng)絡(luò)正常應(yīng)用形成了潛在威脅。不適當?shù)木W(wǎng)絡(luò)安全防護,不僅可能不能減少網(wǎng)絡(luò)的安全風險,浪費大量的資金,而且可能招致更大的安全威脅。確保核心資源的安全管理和訪問,確保這些重要數(shù)據(jù)資料的訪問安全性,在最大限度內(nèi)保證了網(wǎng)絡(luò)的訪問控制安全。

2 網(wǎng)絡(luò)安全現(xiàn)狀分析

2.1 自然因素

從物理上講,氣象信息傳輸網(wǎng)絡(luò)的安全是脆弱的,就如其它領(lǐng)域網(wǎng)絡(luò)所面臨的問題一樣,氣象信息網(wǎng)絡(luò)涉及設(shè)備分布極為廣泛,各地都有可能遭地震、水災(zāi)、火災(zāi)、雷擊等環(huán)境事故以及人為操作失誤或錯誤以及各種計算機犯罪行為導致的破壞。任何個人或部門都不可能時刻對這些設(shè)備進行全面監(jiān)控。

由于網(wǎng)絡(luò)系統(tǒng)中涉及很多的網(wǎng)絡(luò)設(shè)備、終端、線路等,而這些都是通過通信電纜進行傳輸,因此極易受到雷擊,造成連鎖反應(yīng),使整個網(wǎng)絡(luò)癱瘓,設(shè)備損壞,造成嚴重后果。

2.2 人為因素

其實更為重要的安全威脅來自網(wǎng)絡(luò)內(nèi)部氣象職工,由于誤操作、好奇或泄憤,加上有些職工安全防范意識不強,特別是氣象部門職工,具有較高的網(wǎng)絡(luò)水平和學習能力,為了炫耀或者實踐自己的學習成果,這些行為對氣象信息網(wǎng)絡(luò)信息安全和氣象信息完整性有較大威脅。后果可能是造成氣象資料、數(shù)據(jù)、產(chǎn)品的不完整、不準確,以及重要資料的泄密和缺失。人為的因素主要表現(xiàn)在:

2.2.1 人為的物理破壞 如操作員錯誤設(shè)置等失誤,非故意造成硬件的損壞。也有因個人恩怨或者為達到自己某些不可告人的目的而故意更改硬件設(shè)置和破壞硬件的情況。這樣的破壞有時是毀滅性的。

2.2.2 人為的無意失誤 如操作員安全配置不當造成的安全漏洞,用戶口令選擇不慎等,都會對網(wǎng)絡(luò)安全帶來威脅。人為失誤是非故意的,但它仍會給計算機網(wǎng)絡(luò)安全帶來巨大的威脅。網(wǎng)絡(luò)越大,安全保障的困難也就越大。隨著網(wǎng)絡(luò)管理制度的建立和對使用人員的培訓,職工網(wǎng)絡(luò)安全意識的提高,這種情況正逐漸減少,對網(wǎng)絡(luò)安全己不構(gòu)成主要威脅。

2.2.3 人為的惡意攻擊 一是主動攻擊,以各方式有選擇地破壞信息的有效性和完整性;二是被動攻擊,這兩種攻擊均可使網(wǎng)絡(luò)造成極大的危害,導致數(shù)據(jù)的泄露和缺失。這是氣象信息網(wǎng)絡(luò)所面臨的最大威脅,因此防范人為的惡意攻擊將是氣象信息網(wǎng)絡(luò)安全工作的重點。

2.2.4 軟件的漏洞和“后門” 軟件不可能是百分之百的無缺陷和無漏洞,這些漏洞的存在,使那些并不高深的黑客利用簡單的工具就可以對用戶進行攻擊。網(wǎng)絡(luò)犯罪分子可以利用這些缺陷來獲得用戶計算機的控制權(quán)限,還可以安裝間諜程序,刪除文件和盜取密碼及敏感數(shù)據(jù),而且做到這些并不需要欺騙用戶進行特定操作,入侵過程非常隱蔽。

2.3 管理因素

氣象信息網(wǎng)絡(luò)系統(tǒng)是一個復雜的計算機網(wǎng)絡(luò),往往在使用即時通訊和下載軟件時,一些間諜軟件、廣告軟件等病毒程序就會不知不覺地被下載到電腦中,并在內(nèi)部網(wǎng)絡(luò)中進行傳播。嚴重者可能導致信息系統(tǒng)被入侵、機密資料被竊取以及網(wǎng)絡(luò)堵塞等不安全因素。一旦內(nèi)網(wǎng)出現(xiàn)問題后果將不堪設(shè)想;其次,由內(nèi)網(wǎng)用戶引起的危險更難防范;再則,內(nèi)網(wǎng)直接關(guān)系到氣象業(yè)務(wù)網(wǎng)絡(luò)的正常運作,內(nèi)網(wǎng)氣象資料是氣象業(yè)務(wù)的核心,內(nèi)網(wǎng)出現(xiàn)問題容易導致整個系統(tǒng)癱瘓。

2.4 技術(shù)因素

由于氣象信息網(wǎng)絡(luò)系統(tǒng)上采取的安全策略和安全機制不夠完善和健全,目前的氣象內(nèi)部網(wǎng)絡(luò)大都同時又與 Internet相連。很容易因為設(shè)置不當,而使整個網(wǎng)絡(luò)出現(xiàn)重大的安全隱患。

此外,隨著軟件交流規(guī)模的不斷增大,系統(tǒng)中的安全漏洞或“后門”也不可避免地存在,比如我們常用的操作系統(tǒng),無論是W indows還是 Unix幾乎都存在或多或少的安全漏洞,眾多的服務(wù)器、瀏覽器、一些實用軟件等等都被發(fā)現(xiàn)過存在安全隱患。

2.5 通信因素

目前的氣象信息網(wǎng)絡(luò)系統(tǒng)大都采用口令驗證機制來防止非法訪問,一旦口令被竊,就無安全可言?，F(xiàn)在的通訊方式非法分子可以通過技術(shù)滲透或非法侵入網(wǎng)絡(luò),非法使用,破壞或獲取數(shù)據(jù)和系統(tǒng)資源。并且可以通過有預(yù)謀地注入非法信息,截獲所傳信息,再刪除原有信息或注入非法信息后再發(fā)出,使接收者收到錯誤信息。加上有些公共轉(zhuǎn)接載波設(shè)備陳舊和通信線路質(zhì)量低劣,也會產(chǎn)生線路干擾增加錯誤。

3 網(wǎng)絡(luò)安全防范技術(shù)

3.1 硬件安全

氣象業(yè)務(wù)的增加,通過氣象信息網(wǎng)絡(luò)系統(tǒng)傳輸信息越來越多,一旦系統(tǒng)無法運行,將會有大量的信息隨著系統(tǒng)的癱瘓而無法讀取和傳輸,造成氣象業(yè)務(wù)工作無法正常開展。

要保護這些硬設(shè)施不受損害,能夠正常工作。在氣象信息網(wǎng)絡(luò)規(guī)劃設(shè)計階段就應(yīng)該充分考慮到網(wǎng)絡(luò)設(shè)備的安全問題。將一些重要的設(shè)備,如各種服務(wù)器、主干交換機、路電器等盡量實行集中管理。各種通信線路盡量實行深埋,穿線或架空,并有明顯標記,防止意外損壞。對于終端設(shè)備如工作站、小型交換機、集線器和其他轉(zhuǎn)接設(shè)備要落實到人,進行嚴格管理。

一般來說,硬件設(shè)備最好的安全保障,就是增設(shè)相同的設(shè)備及線路。對于內(nèi)網(wǎng)中存在的設(shè)備,不要給攻擊者創(chuàng)造能接觸主機的機會,不要以為機器沒有加電就是安全的,攻擊者可以把硬盤拿走復制數(shù)據(jù)后再拿回來。保證系統(tǒng)內(nèi)計算機設(shè)備的安全,最好對機箱采取一定的防護措施,把不用的設(shè)備在系統(tǒng)中禁止掉,防止從軟驅(qū)或 USB等接口竊取數(shù)據(jù)。

除此之外,為了保證整個系統(tǒng)的安全運行,其他方案如下:供電線路多路備份;應(yīng)用服務(wù)器采用負載均衡;采用雙網(wǎng)卡相互監(jiān)測;交換機新的雙機網(wǎng)絡(luò)級容錯方法;增設(shè)輔服務(wù)器;增加異地備份等。保證網(wǎng)絡(luò)系統(tǒng)的物理安全,防范因為物理介質(zhì)、信號輻射等造成的安全風險,保證信號傳輸?shù)耐暾?、保密性和可靠性。網(wǎng)絡(luò)的安全隱患風險主要指網(wǎng)絡(luò)周邊環(huán)境和物理特性引起的網(wǎng)絡(luò)設(shè)備和線路的不可用,而造成網(wǎng)絡(luò)系統(tǒng)的不可用。如設(shè)備被盜、被毀壞或設(shè)備老化、意外故障等。除此之外,還應(yīng)對有些硬件進行必要的備份。

3.2 軟件安全

任何網(wǎng)絡(luò)數(shù)據(jù)都是通過應(yīng)用軟件發(fā)送出去的,如果軟件做的無懈可擊,也就不存在網(wǎng)絡(luò)數(shù)據(jù)安全的顧慮。因為任何被截獲的數(shù)據(jù)對于別人來說都是一些不可逆的亂碼。

對下載安裝的軟件要有基本的了解,對不明軟件應(yīng)做到不下載不安裝。有必要仔細地考慮一下軟件的功能特點是否安全;軟件的后期維護和支持是否到位。很多時候我們并沒有意識到這個問題,或者說對這個問題認識不夠深刻。產(chǎn)生這種現(xiàn)象的原因很多,一方面是安全意識淡薄,忽視了軟件安全方面的問題;另一方面把安全全部交給殺毒軟件和防火墻,這并沒有從根本上解決安全問題,要知道所謂的病毒和木馬,之所以存在或者說危害著軟件使用者,本身就是所使用的軟件自身存在安全漏洞。

對于在工作中開發(fā)應(yīng)用的軟件,最大程度上保證軟件的安全性應(yīng)有一些認識:設(shè)計要盡可能完善;測試要盡量全面;維護和跟蹤及時持續(xù);問題解決要快速;信息發(fā)布要及時透明。這對軟件的維護跟蹤、問題解決和信息發(fā)布都是十分有利的,這將使得開發(fā)的軟件愈發(fā)安全。

3.3 數(shù)據(jù)安全

網(wǎng)絡(luò)中存儲及流通數(shù)據(jù)的安全。要保護網(wǎng)絡(luò)中的數(shù)據(jù)不被篡改、非法增刪、復制、解密、顯示、使用等。它是保障網(wǎng)絡(luò)安全最根本的目的。

應(yīng)在氣象信息網(wǎng)絡(luò)系統(tǒng)每一個安裝或運行點都應(yīng)安裝反病毒軟件,及時進行防病毒軟件或系統(tǒng)的升級、換代工作。及時安裝微軟的安全更新,不要隨意訪問來源不明的網(wǎng)站。局域網(wǎng)盡量避免創(chuàng)建可寫的共享目錄。使用 U盤等移動設(shè)備交換文件時,要開啟殺毒軟件的實時監(jiān)控,或先用殺毒軟件掃描,并關(guān)閉自動播放功能。建立和實施完善的綜合安全性操作程序,該操作程序應(yīng)包括各種安全措施,如定期數(shù)據(jù)備份、在內(nèi)部的文件系統(tǒng)和數(shù)據(jù)庫系統(tǒng)配置數(shù)據(jù)備份系統(tǒng),提供系統(tǒng)使用中的實時 /定時、在線、自動、增量、遠程備份,靈活的配置方案以滿足內(nèi)部網(wǎng)絡(luò)系統(tǒng)不同的安全需求。一旦災(zāi)難發(fā)生,能實現(xiàn)對整個服務(wù)器的自動恢復,關(guān)鍵信息加密保護等。

3.4 數(shù)據(jù)傳輸安全

對于氣象信息系統(tǒng)相關(guān)的傳輸網(wǎng)絡(luò),主要是保證參與氣象業(yè)務(wù)系統(tǒng)各方主體之間的數(shù)據(jù)傳輸網(wǎng)絡(luò)以及公共網(wǎng)絡(luò)服務(wù)的安全可靠運行,從目前氣象信息網(wǎng)絡(luò)建設(shè)情況來看,傳輸網(wǎng)絡(luò)安全目前需要由網(wǎng)絡(luò)基礎(chǔ)設(shè)施提供商或服務(wù)商為其安全性提供充分保證。傳輸安全要求保護網(wǎng)絡(luò)上被傳輸?shù)男畔?以防止被動地和主動地侵犯。對需要傳送的數(shù)據(jù)進行加密,以保證在被非法截取的情況下,未授權(quán)的用戶無法得到可解讀的資料信息。對傳送的數(shù)據(jù)制作信息日志,以確認數(shù)據(jù)在傳輸過程中是否被篡改。

氣象信息網(wǎng)絡(luò)具有全程全網(wǎng)、內(nèi)外互聯(lián)傳輸信息量大時效要求高的特點。在滿足一般網(wǎng)絡(luò)安全要求情況下,還需要實現(xiàn)內(nèi)外網(wǎng)之間的安全隔離這種架構(gòu)可以實現(xiàn)連接到外網(wǎng)和內(nèi)網(wǎng)的兩主機之間是完全網(wǎng)絡(luò)斷開的,從物理上進行了網(wǎng)絡(luò)隔離,消除了數(shù)據(jù)鏈路的通信協(xié)議,剝離了 TCP/IP協(xié)議和應(yīng)用協(xié)議,在安全交換后進行了協(xié)議的恢復和重建。通過 TCP/IP協(xié)議剝離和重建技術(shù)消除了 TCP/IP協(xié)議的漏洞。在應(yīng)用層對應(yīng)用協(xié)議進行剝離和重建,消除了應(yīng)用協(xié)議漏洞,并可針對應(yīng)用協(xié)議實現(xiàn)一些細粒度的訪問控制。從 TCP/IP的 OSI數(shù)據(jù)模型的所有七層斷開后,就可以消除目前 TCP/IP存在的所有攻擊。

圖 1 網(wǎng)絡(luò)安全隔離架構(gòu)示意圖

3.5 訪問控制安全

訪問控制是網(wǎng)絡(luò)安全防范和保護的主要策略,它的主要任務(wù)是保證網(wǎng)絡(luò)資源不被非法使用和非常訪問。它也是維護網(wǎng)絡(luò)系統(tǒng)安全、保護網(wǎng)絡(luò)資源的重要手段。各種安全策略必須相互配合才能真正起到保護作用,但訪問控制可以說是保證網(wǎng)絡(luò)安全最重要的核心策略之一。訪問控制策略一般有如下幾種:

3.5.1 口令 網(wǎng)絡(luò)安全系統(tǒng)的最外層防線就是網(wǎng)絡(luò)用戶的登錄,在注冊過程中,系統(tǒng)會檢查用戶的登錄名和口令的合法性,只有合法的用戶才可以進入系統(tǒng)。

3.5.2 網(wǎng)絡(luò)資源屬主、屬性和訪問權(quán)限 網(wǎng)絡(luò)資源主要包括共享文件、共享打印機、網(wǎng)絡(luò)通信設(shè)備等網(wǎng)絡(luò)用戶都有可以使用的資源。資源屬主體現(xiàn)了不同用戶對資源的從屬關(guān)系,如建立者、修改者和同組成員等。利用指定網(wǎng)絡(luò)資源的屬主、屬性和訪問權(quán)限可以有效地在應(yīng)用及控制網(wǎng)絡(luò)系統(tǒng)的安全性。

3.5.3 網(wǎng)絡(luò)安全監(jiān)視 網(wǎng)絡(luò)監(jiān)視通稱為“網(wǎng)管”,它的作用主要是對整個網(wǎng)絡(luò)的運行進行動態(tài)地監(jiān)視并及時處理各種事件。通過網(wǎng)絡(luò)監(jiān)視可以簡單明了地找出并解決網(wǎng)絡(luò)上的安全問題,如定位網(wǎng)絡(luò)故障點、捉住 IP盜用者、控制網(wǎng)絡(luò)訪問范圍等。

3.5.4 審計和跟蹤 網(wǎng)絡(luò)的審計和跟蹤包括對網(wǎng)絡(luò)資源的使用、網(wǎng)絡(luò)故障、系統(tǒng)記帳等方面的記錄和分析。一般由兩部分組成:一是記錄事件,即將各類事件統(tǒng)統(tǒng)記錄到文件中;二是對記錄進行分析和統(tǒng)計,從而找出問題所在。

4 網(wǎng)絡(luò)安全管理

只有對互聯(lián)網(wǎng)進行控制管理才是最好的解決方案。如果能從管理的角度,通過內(nèi)部的用戶管理、行為管理、內(nèi)容控制和應(yīng)用管理來規(guī)范上網(wǎng)行為和控制上網(wǎng)內(nèi)容。制定具體到使用人員的細粒度策略,防患于未然,通過事前精細規(guī)范、事中提醒、事后報表呈現(xiàn)等手段實現(xiàn)有效管理;強制要求遵從制度里的各項細則規(guī)定 (如必須安裝指定的殺毒軟件或桌面管理軟件等),讓網(wǎng)絡(luò)安全管理制度融入每位職工的日常工作中。將極大地降低因互聯(lián)網(wǎng)帶來的安全風險。很多安全事件都是因為內(nèi)部管理不善造成的。用戶的安全意識是信息系統(tǒng)是否安全的決定因素,除了在部署先進的網(wǎng)絡(luò)結(jié)構(gòu)和功能強大的安全工具外,從制度上、應(yīng)用上和技術(shù)上加強網(wǎng)絡(luò)安全管理。

4.1 建立嚴格制度

管理必須有章可尋,責任明確,對有意進行惡意操作的人和事要嚴肅處理,有效防止人為破壞。一系列的制度保證網(wǎng)絡(luò)高安全、高可靠地運作。從內(nèi)到外,層層落實,動態(tài)管理,適應(yīng)新的網(wǎng)絡(luò)需求,及時調(diào)整網(wǎng)絡(luò)的安全管理策略。

4.2 加強網(wǎng)絡(luò)技術(shù)的培訓

網(wǎng)絡(luò)安全是一門綜合性的技術(shù),網(wǎng)絡(luò)管理人員必須不斷地學習新的網(wǎng)絡(luò)知識,掌握新的網(wǎng)絡(luò)產(chǎn)品的功能,了解網(wǎng)絡(luò)病毒、密碼攻擊、分組竊聽、IP欺騙、拒絕服務(wù)、端口攻擊等多樣化的攻擊手段,才能更好地管理好網(wǎng)絡(luò)。加強計算機知識培訓,提高計算機網(wǎng)絡(luò)的安全意識,減少無意損壞,杜絕有意破壞。

4.3 加強職工的安全意識

網(wǎng)絡(luò)安全最大的威脅是網(wǎng)絡(luò)用戶對網(wǎng)絡(luò)安全知識的缺乏,必須加強職工的安全意識,引導職工自覺安裝防病毒軟件,打補丁,自動更新操作系統(tǒng),對不熟悉的軟件不要輕易安裝。

4.4 對網(wǎng)絡(luò)安全適度投資

根據(jù)信息系統(tǒng)的價值選用適當?shù)姆阑饓Ξa(chǎn)品、防毒軟件、備份設(shè)備等。投入人力定時對氣象信息傳輸網(wǎng)絡(luò)系統(tǒng)的安全狀況做出評估和審核,關(guān)注網(wǎng)絡(luò)安全動態(tài),調(diào)整相關(guān)安全設(shè)置,進行入侵防范,發(fā)出安全公告,在發(fā)生意外事件后能緊急修復系統(tǒng)。

5 結(jié)論

網(wǎng)絡(luò)的安全與地縣級氣象信息網(wǎng)絡(luò)正常運行息息相關(guān),本文從多方面描述了氣象信息網(wǎng)絡(luò)安全的解決方案,目的在于為氣象信息網(wǎng)絡(luò)的用戶提供信息的保密,使網(wǎng)絡(luò)中的服務(wù),數(shù)據(jù)以及系統(tǒng)免受侵擾和破壞。一個安全的網(wǎng)絡(luò)系統(tǒng)的保護不僅和系統(tǒng)安全設(shè)備和采用的網(wǎng)絡(luò)安全措施、技術(shù)有關(guān),而且和領(lǐng)導的決策、以及工作環(huán)境中每個職工的安全操作等都密不可分。

[1] 袁德明,喬月圓 .計算機網(wǎng)絡(luò)安全[M].北京:電子工業(yè)出版社,2007.

[2] 萬國平 .網(wǎng)絡(luò)隔離與網(wǎng)閘 [M].北京:機械工業(yè)出版社,2004.

[3] 王代潮,曾德超,劉巖 .信息安全管理平臺理論與實踐[M].北京:電子工業(yè)出版社,2007.

[4] Jeff Doyle,Jennifer Carroll.TCP/IP路由技術(shù) (第一卷)[M].葛建立,吳劍章,譯 .2版 .北京:人民郵電出版社,2008.

[5] 吳海燕,蔣東興,程志銳,等 .入侵防御系統(tǒng)研究[J].計算機工程與設(shè)計,2007.

TP393.08

B

1003-6598(2011)01-0048-04

2011-01-10

吳勁松 (1974-),男,助工,主要從事雷達運行保障工作。