網(wǎng)絡安全助力現(xiàn)代化無線電管理

周洪

要想確保網(wǎng)絡安全，就要保障網(wǎng)絡系統(tǒng)的硬件、軟件及其系統(tǒng)中的數(shù)據(jù)受到保護，不因偶然或者惡意的原因而遭受到破壞、更改、泄露，從而使系統(tǒng)連續(xù)、可靠、正常地運行，網(wǎng)絡服務不中斷。由于無線電管理工作的特殊性和重要性，更決定了其對網(wǎng)絡安全的要求更加嚴格、更加縝密。

隨著電子政務管理水平的提高，電子政務日益依賴信息化技術的成熟和發(fā)展，利用信息化手段可以更大程度地發(fā)揮技術水平，更好地提高電子政務工作者的效率。

由于日常管理和無線電監(jiān)測的需要，在無線電管理領域建立了龐大的數(shù)據(jù)庫，通過數(shù)據(jù)庫對其海量數(shù)據(jù)進行檢索、分析，甚至數(shù)據(jù)挖掘和知識發(fā)現(xiàn)。同時，通過網(wǎng)絡形式提供相關服務，使得區(qū)域數(shù)據(jù)共享和各部門甚至相關單位協(xié)同工作成為可能。因此，如何有效利用信息化手段充分發(fā)揮現(xiàn)有技術設備的功能；如何利用一體化系統(tǒng)解決建立統(tǒng)一數(shù)據(jù)庫，消除信息孤島，提高管理和決策水平；如何防止數(shù)據(jù)泄露，從而在整體上提高無線電管理工作水平，成為當前關注的熱點。而在解決上述問題的同時，信息安全也成為管理信息化過程中必須考慮和解決的重點所在。

內網(wǎng)三大構成

上海市無線電管理局（以下簡稱“無管局”）信息網(wǎng)絡系統(tǒng)由內外網(wǎng)組成，內網(wǎng)與國家無線電管理局、全國各地市無線電辦公網(wǎng)互聯(lián)，進行內部業(yè)務的辦理；外網(wǎng)接入Internet。由于Internet上存在的安全風險較高，內外網(wǎng)的物理隔離是必然的，這既是網(wǎng)絡安全的要求，也是信息安全的要求。因此，根據(jù)國家無委有關信息安全的相關規(guī)定，無管局的網(wǎng)絡采用內、外網(wǎng)完全的物理隔離方式。

從無管局內網(wǎng)的網(wǎng)絡拓撲結構來看，無管局的內網(wǎng)大致可分為以下三塊：首先是中心機房的服務器群以及各客戶端，通過中心路由器與國家無委內網(wǎng)直接相連，主要支持日常辦公需要，與國家無委進行數(shù)據(jù)交換、報送數(shù)據(jù)和報表。目前，無管局的內網(wǎng)系統(tǒng)包括：一體化信息系統(tǒng)（內部OA辦公自動化、無線電頻率管理、無線電臺站管理、設備檢測、地理信息系統(tǒng)等）、內部郵件系統(tǒng)、防病毒系統(tǒng)、監(jiān)測系統(tǒng)、數(shù)據(jù)備份系統(tǒng)和應急指揮系統(tǒng)等。同時，通過國家無委與全國各地市無委內網(wǎng)實現(xiàn)互聯(lián)互通，可以召開全國范圍的視頻會議。由于各地無委網(wǎng)絡互連，一方面方便了全國各兄弟單位的相互聯(lián)系，另一方面也給網(wǎng)絡安全管理提出了更高的要求。目前各地無委信息系統(tǒng)的安全管理水平參差不齊，任何一個地方無委發(fā)生信息安全事故，都有可能影響到全國的內網(wǎng)，當然也包括上海無委的內部網(wǎng)絡。

其次是監(jiān)測網(wǎng)段，無管局內部管理系統(tǒng)網(wǎng)絡除與國家無委內網(wǎng)互聯(lián)外，在上海市還連接了全市11個固定監(jiān)測站和若干移動監(jiān)測站和監(jiān)測車，以滿足日常監(jiān)測及應急保障監(jiān)測任務的要求。監(jiān)測網(wǎng)段主要包括監(jiān)測服務器、各固定監(jiān)測站、用于日常監(jiān)測的特定客戶端等。監(jiān)測網(wǎng)數(shù)據(jù)量大，傳輸頻繁，對數(shù)據(jù)的安全性和可靠性要求較高，但功能相對較為獨立。

最后是無線網(wǎng)絡部分，通過VPDN撥號進入內網(wǎng)系統(tǒng)，可以滿足遠程辦公的需要，同時將各移動監(jiān)測站、監(jiān)測車接入內網(wǎng)。為了保障無管局內網(wǎng)的安全，同時也是為了保障全國內網(wǎng)的安全，保證各項工作的正常開展，在網(wǎng)絡方面采取了多項措施。

嚴格的訪問控制

ACL訪問控制列表法：在與國家無委互聯(lián)的路由器上，設置ACL（Acess Control List），即訪問控制列表，通過表中包含的匹配關系、條件和查詢條件來搭建一個框架結構，最終實現(xiàn)對某種訪問進行控制。為了保證內網(wǎng)的安全性，需要通過安全策略來保障授權用戶訪問特定的網(wǎng)絡資源，從而達到對訪問進行控制的目的。在路由器上，通過ACL訪問控制，各固定監(jiān)測站和監(jiān)測客戶端除與監(jiān)測服務器通訊外，不得與其他網(wǎng)段互訪。

VLAN隔離法：通過VALN技術，可以把一個網(wǎng)絡系統(tǒng)中的眾多網(wǎng)絡設備分成若干個虛擬的“工作組”，組和組之間的網(wǎng)絡設備在二層上互相隔離，形成不同的廣播域，進而將廣播流量限制在不同的廣播域中。

由于VALN技術是基于二層和三層之間的隔離技術，可以通過將不同的網(wǎng)絡用戶與網(wǎng)絡資源進行分組，將服務器與客戶端分別劃分到不同的地址段中。通過支持VLAN的交換機阻隔不同組內網(wǎng)絡設備間的數(shù)據(jù)交換，來達到網(wǎng)絡安全的目的。如人事和財務等部門都是相對來說安全性要求更高一些的，通常不允許其他部門用戶隨意訪問、查閱相關資料。通過VLAN方式劃分后，兩個部門的網(wǎng)絡數(shù)據(jù)就不會被其他用戶訪問了，雖然他們與其他部門一樣同處一個網(wǎng)絡。

MAC地址綁定法：MAC地址是網(wǎng)絡設備在全球的唯一編號，可用于直接標識某個網(wǎng)絡設備，是目前網(wǎng)絡數(shù)據(jù)交換的基礎。用于限定只有與MAC地址表中規(guī)定的一些網(wǎng)絡設備有關的數(shù)據(jù)包，才能夠使用該端口進行傳遞。通過MAC地址過濾技術，可以保證只有授權的MAC地址才能對網(wǎng)絡資源進行訪問。

同時，在AD SERVER上進行MAC地址與IP地址的綁定，限制外來機器進入內網(wǎng)。并將內網(wǎng)接到網(wǎng)絡交換機上，實現(xiàn)端口與客戶端MAC地址的綁定，這樣就限制了客戶端隨意更換網(wǎng)絡訪問端口，如有更換網(wǎng)絡訪問端口的，端口將自動被關閉，只有通知管理員才能開啟。同時，通過與ACL訪問控制結合使用，也能限制不同客戶端的訪問權限，保證關鍵服務器的安全。

密碼策略：密碼策略用于域賬戶或本地用戶賬戶，確定密碼設置，例如強制執(zhí)行和有效期限。這部分包含強制密碼歷史、密碼最長使用期限、密碼最短使用期限、密碼長度最小值、密碼必須符合復雜性要求、用可還原的加密來存儲密碼等。各項的配置是根據(jù)當前用戶賬戶類型來設定的。

此外，對各客戶端進行域管理，用域安全策略代替客戶端的安全策略，使得各客戶端安全策略規(guī)范統(tǒng)一。并且對監(jiān)測網(wǎng)段使用單獨的網(wǎng)關，使得監(jiān)測網(wǎng)既與內網(wǎng)連通，又相對獨立。

高效率的帶寬管理

無管局內網(wǎng)與國家無委內網(wǎng)通過2M光纖相連，除了日常的數(shù)據(jù)交換、郵件系統(tǒng)，還要進行視頻會議，尤其是較大規(guī)模的視頻會議，對帶寬的要求很高，如果造成網(wǎng)絡擁堵，將極大影響工作的開展。在與國家內網(wǎng)交互上，采用了流量控制設備（見圖一）。能直觀、方便地對網(wǎng)絡流量進行監(jiān)控、分析，分析帶寬使用狀況及帶寬流量異常狀況，不斷改善網(wǎng)絡流量分配情況。對每個用戶或用戶組進行帶寬管理，限制其分配上行方向和下行方向的平均帶寬，防止用戶級別的帶寬濫用和誤用。在需要時（如召開視頻會議），利用帶寬管理善用帶寬資源，保證視頻會議、郵件系統(tǒng)等的網(wǎng)絡運用、運行順暢，而其他業(yè)務僅提供有限的帶寬資源。通過這種靈活的帶寬管理，提高了帶寬資源的利用效率，有效避免了網(wǎng)絡擁堵造成的損失，對提高整個無管局辦公效率有著至關重要的作用。

圖一流量分析圖

安全的遠程接入認證系統(tǒng)

如今，移動辦公已經成為現(xiàn)代辦公的一種必然趨勢。移動辦公可以讓相關工作人員在任何地點、任何情況下高效迅捷地開展工作，對于突發(fā)性事件的處理、應急性事件的部署有極為重要的意義。對無管局而言，遠程接入不僅是移動辦公的需要，對于移動監(jiān)測站、監(jiān)測車來說更是必不可少，這使得無線電監(jiān)測更加靈活和準確。為了滿足這種需求，通過3G網(wǎng)絡采用了VPDN遠程接入方式。無管局內部的認證服務器進行用戶名/密碼驗證，同時還會對該賬戶所綁定的UIM卡的IMSI號碼是否匹配進行認證，即要求賬號和UIM卡唯一匹配。用戶賬戶認證成功后即建立VPDN隧道，否則拒絕建立連接。隧道建立過程中，還將分配無管局網(wǎng)管中心統(tǒng)一規(guī)劃的內網(wǎng)IP地址信息給VPDN用戶。

通過對接入內網(wǎng)VPDN域的網(wǎng)卡進行UIM卡的IMSI號、用戶賬號、口令、IP地址的綁定認證，拒絕非法的網(wǎng)卡接入，安全性得到保證。遠程客戶端通過VPN隧道訪問內網(wǎng)中被許可的使用資源，此時無法訪問Internet，無法對外收發(fā)任何數(shù)據(jù)，因此也完全避免了任何來自Internet的攻擊企圖，保證了內網(wǎng)數(shù)據(jù)的保密性。

強大的監(jiān)控系統(tǒng)

在無管局內網(wǎng)中，配置了QUEST SPOTLIGHT和Solarwinds兩大監(jiān)控軟件。QUEST SPOTLIGHT（見圖二）可以監(jiān)控服務器的相關服務，如WEB服務、ORACLE數(shù)據(jù)庫服務等?？梢葬槍indows操作系統(tǒng)的內部結構提供獨特的圖形化視圖，能夠快速確定并消除Windows環(huán)境中的瓶頸。通過實時顯示W(wǎng)indows操作系統(tǒng)內的數(shù)據(jù)流，可以快速確定和解決性能問題。用Solarwinds實現(xiàn)網(wǎng)絡設備、主機、客戶端PC等設備的監(jiān)控，通過統(tǒng)一的視圖，直觀地顯示網(wǎng)絡中各設備以及線路的運行情況，并提供實時報警功能。先進的監(jiān)控手段，使得網(wǎng)絡管理從被動走向主動，對異常的定位也更準確、更迅速。

圖二監(jiān)控服務器實時狀態(tài)

除以上提及的幾個特點外，無管局內網(wǎng)還部署了入侵監(jiān)測、漏洞掃描、防病毒網(wǎng)關等安全措施。內網(wǎng)安全措施的整體方案針對無線電管理信息系統(tǒng)在網(wǎng)絡層、系統(tǒng)層存在的安全問題和面臨的風險，從各方面做出了相應的安全策略和方法。可以預防風險事件的發(fā)生，阻止或減小高風險事件發(fā)生的可能性，最小化或轉移高風險事件造成的影響。從而保證了內部重要數(shù)據(jù)的可用性和完整性，業(yè)務數(shù)據(jù)的機密性，以及關鍵應用的可用性。