海洋信息系統(tǒng)的安全問題與對策研究

劉 豐，韓 偉

（國家海洋信息中心 天津 300171）

海洋信息系統(tǒng)的安全問題與對策研究

劉 豐，韓 偉

（國家海洋信息中心 天津 300171）

如何做到信息化與信息安全協(xié)調(diào)發(fā)展成為海洋信息化進一步面臨的一個主要問題。從我國信息化和信息安全的形式出發(fā)，分析海洋信息系統(tǒng)安全狀況，指出海洋信息安全方面存在的問題，提出了加強網(wǎng)絡(luò)與信息安全的措施。

海洋信息；海洋網(wǎng)絡(luò)；網(wǎng)絡(luò)安全；信息安全

1 概述

進入21世紀，信息化對全球經(jīng)濟社會發(fā)展的影響愈加深刻，信息化水平以及信息化程度已經(jīng)成為衡量一個國家和地區(qū)發(fā)達程度的重要標準之一。

隨著海洋系統(tǒng)信息化進程的推進，各信息系統(tǒng)不斷的建設(shè)和推廣，并且逐步成為海洋系統(tǒng)的重要基礎(chǔ)設(shè)施。因此，信息系統(tǒng)安全問題已經(jīng)被提到戰(zhàn)略性高度。對于海洋信息系統(tǒng)來說，一個完整的安全體系，應當以整體安全策略為基礎(chǔ)，在其上使用安全技術(shù)措施，建立相應的安全管理體系，實現(xiàn)對系統(tǒng)的安全保護。

2 網(wǎng)絡(luò)信息安全現(xiàn)狀與問題

當今信息時代，計算機網(wǎng)絡(luò)已經(jīng)成為一種社會經(jīng)濟發(fā)展不可缺少的物質(zhì)基礎(chǔ)。然而由于計算機網(wǎng)絡(luò)具有復雜性和動態(tài)性的特點，因此在管理層面上難以實施有效的保證安全；而計算機網(wǎng)絡(luò)也存在大量的缺陷和人為疏忽，致使網(wǎng)絡(luò)很容易受到計算機病毒、黑客或惡意軟件代碼的侵害。

根據(jù)國家計算機網(wǎng)絡(luò)應急技術(shù)處理協(xié)調(diào)中心（CNCERT/CC）的統(tǒng)計，2010年2月我國大陸地區(qū)被篡改的網(wǎng)站數(shù)量為2 304個，其中政府網(wǎng)站被篡改的數(shù)量為403個，這嚴重地威脅到國家安全、社會秩序、公共利益和社會公眾的合法權(quán)益。2012年2月20—26日期間，境內(nèi)感染網(wǎng)絡(luò)病毒的主機數(shù)約為200.1萬個，其中，被木馬或被僵尸程序控制的主機約為29.9萬個，境內(nèi)感染飛科（Conficker）蠕蟲的主機約為170.3萬個［1］。

從木馬或僵尸程序受控主機在我國大陸的分布情況來看，主機感染量較大的都在我國沿海省市，其中排名前3位的分別是廣東省4.34萬（約占中國內(nèi)地總感染量的14.5%）、江蘇省2.55萬（約占中國內(nèi)地總感染量的8.6%）、和浙江省2.03萬（約占中國內(nèi)地總感染量的6.8%）［2］。從數(shù)據(jù)來看，海洋信息安全面臨著巨大的挑戰(zhàn)。

3 對策研究

3.1 建設(shè)目標

海洋信息安全體系建設(shè)的目標是建設(shè)一個由策略、防護、檢測和響應組成的完整安全體系，從而最大限度地保護信息不受諸多威脅的侵犯，確保連續(xù)性，將損失和風險降低到最低程度。為保證系統(tǒng)的安全運行，安全系統(tǒng)建設(shè)確定以下具體建設(shè)目標。

（1）在系統(tǒng)各個網(wǎng)絡(luò)上建立比較完整的安全防護體系，為核心業(yè)務(wù)應用提供安全可靠的網(wǎng)絡(luò)環(huán)境。網(wǎng)絡(luò)安全需要分級、分層次的防護措施，充分利用現(xiàn)階段的各種防護產(chǎn)品，加強網(wǎng)絡(luò)信息系統(tǒng)的基礎(chǔ)安全防護。

（2）實現(xiàn)多級的安全訪問控制功能。按照“縱深防御，重點保護”的策略，對網(wǎng)絡(luò)中的不同級別的資源實現(xiàn)不同程度的防護強度和不同的訪問控制力度。

（3）實現(xiàn)對重要信息的傳輸加密保護。建立以VPN為基礎(chǔ)的數(shù)據(jù)傳輸加密系統(tǒng)，防止信息在網(wǎng)絡(luò)傳輸中被竊取和破壞。

（4）做好網(wǎng)絡(luò)安全基礎(chǔ)建設(shè)。做好網(wǎng)絡(luò)邊界和安全域邊界的隔離和保護，通過部署防火墻或安全隔離系統(tǒng)，防止非法訪問；部署網(wǎng)絡(luò)入侵防御和漏洞掃描系統(tǒng)，加強對網(wǎng)絡(luò)非法活動的監(jiān)測，及時修補網(wǎng)絡(luò)和系統(tǒng)的漏洞；部署應用和網(wǎng)絡(luò)的審計系統(tǒng)，追蹤和審計應用和網(wǎng)絡(luò)操作行為，做到有據(jù)可查；根據(jù)數(shù)字海洋各應用系統(tǒng)安全狀況，做好其他安全產(chǎn)品的部署和實施。

（5）完善各業(yè)務(wù)系統(tǒng)網(wǎng)絡(luò)全方位的病毒防范體系。采用包括客戶端、服務(wù)器、郵件以及防病毒硬件網(wǎng)關(guān)等系列產(chǎn)品構(gòu)筑強大有效的網(wǎng)絡(luò)防病毒體系。

（6）完善重要應用系統(tǒng)的數(shù)據(jù)和關(guān)鍵的主機系統(tǒng)冗余備份系統(tǒng)。建立數(shù)據(jù)備份系統(tǒng)，包括異地容災建設(shè)，以保證關(guān)鍵業(yè)務(wù)的系統(tǒng)和數(shù)據(jù)有效備份。

（7）完善簡易身份認證系統(tǒng)和授權(quán)系統(tǒng)。為了滿足業(yè)務(wù)系統(tǒng)對身份認證和授權(quán)系統(tǒng)的急迫要求，需要先建立內(nèi)部以數(shù)字證書為基礎(chǔ)的簡易身份認證系統(tǒng)和授權(quán)系統(tǒng)。對于注冊賬號可采用的認證方式包括口令、CA證書、雙因素和雙向等認證方式。

（8）完善有效的安全管理機制和組織體系。要培養(yǎng)和建立起一支網(wǎng)絡(luò)信息安全的技術(shù)隊伍和管理隊伍，保證各級網(wǎng)絡(luò)系統(tǒng)安全技術(shù)和管理落實到人。在制定實用的可操作的安全管理制度的前提下，強化安全意識和培訓，加強安全管理制度的執(zhí)行力度，確保海洋局各級機構(gòu)各項業(yè)務(wù)的安全運行。

3.2 策略原則

在海洋信息安全體系建設(shè)過程中，應該遵循“統(tǒng)籌規(guī)劃、分步實施、安全可靠、經(jīng)濟實用、靈活方便、統(tǒng)一標準、統(tǒng)一規(guī)范”的原則進行。要遵循的主要原則如下。

（1）業(yè)務(wù)需求的原則：系統(tǒng)信息安全體系建設(shè)的目標和安全行為應根據(jù)業(yè)務(wù)的目標和需要進行，并接受業(yè)務(wù)管理的指導。

（2）可靠性原則：系統(tǒng)信息安全體系在基本不影響應用系統(tǒng)功能和效率的前提下，必須做到穩(wěn)定、可靠地不間斷運行。

（3）可擴展性原則：系統(tǒng)信息安全體系必須允許增加新的安全組件與安全功能，保證系統(tǒng)安全性不斷增長的需要。

（4）標準化原則：系統(tǒng)信息安全體系建設(shè)的各個環(huán)節(jié)都必須符合國家關(guān)于信息安全的法律和法規(guī)。

（5）可管理性原則：系統(tǒng)信息安全體系必須可管理，做到分布式安全布控，集中式安全管理。

（6）經(jīng)濟適用原則：系統(tǒng)信息安全體系的設(shè)計要在安全需求、安全風險和安全成本之間進行科學的平衡、比較和折中，使系統(tǒng)信息安全體系安全、經(jīng)濟、適用，易用、性能價格比合理。

（7）聯(lián)合共建的原則：在系統(tǒng)信息安全體系建設(shè)過程中，充分利用現(xiàn)有的安全資源，發(fā)揮企業(yè)的積極性和安全系統(tǒng)集成商、安全產(chǎn)品供應商、安全技術(shù)服務(wù)商的積極性，促進安全技術(shù)廣泛的應用和共享，避免重復設(shè)計和重復建設(shè)。

（8）統(tǒng)籌規(guī)劃、分步實施的原則：做好統(tǒng)籌規(guī)劃工作，制定總體方案，采取邊建設(shè)、邊服務(wù)的分步實施方針，確保工程建設(shè)的順利進行，避免出現(xiàn)重大的投資失誤或因系統(tǒng)不能有效發(fā)揮作用而影響投資的效益。

（9）嚴格監(jiān)督的原則：建立相應組織，采取有效措施，對工程質(zhì)量、工程進度和投資狀況進行嚴格的論證、把關(guān)和監(jiān)督，確保項目工程有計劃、按步驟地順利進行。

4 海洋信息系統(tǒng)安全體系建設(shè)內(nèi)容及分析

通過分析《國家信息系統(tǒng)安全保護等級基本要求》的相關(guān)標準，對等級保護的安全層級劃分為安全技術(shù)與安全管理兩大部分，對于海洋信息系統(tǒng)的安全建設(shè)也將從這兩個方面進行著手。

4.1 技術(shù)安全解決措施

4.1.1 物理安全

機房具有較強防震、防風和防雨等能力。完全與用水設(shè)備隔離。機房出入口安排專人值守，記錄進入人員，機房的來訪人員經(jīng)過申請審批流程，安排工作人員一起陪同，并限制和監(jiān)視其活動范圍。對機房劃分區(qū)域進行管理，區(qū)域和區(qū)域之間設(shè)置物理隔離裝置，在重要區(qū)域前設(shè)置過渡區(qū)域。在機房的門口配置電子門禁系統(tǒng)。各種設(shè)備放置在機柜內(nèi)，設(shè)置明顯的標記。所有線路鋪設(shè)在防靜電地板下的線槽內(nèi)。安裝視屏監(jiān)控系統(tǒng)。機房所在的建筑安裝避雷裝置，海洋信息系統(tǒng)安全體系如圖1所示。

圖1 整體安全體系

機房內(nèi)安裝自動氣體滅火系統(tǒng)，在值班室設(shè)置控制臺，以達到自動檢測火情，自動報警，自動滅火等功能。機房墻面采用耐火的彩鋼板。在機房的地板下面安裝漏水檢測系統(tǒng)，一旦漏水系統(tǒng)將及時報警。每個機柜都連接接地放靜電。機房地板采用防靜電地板。將房內(nèi)設(shè)置機房專用恒溫恒濕機，并且合理地分配機房專用空調(diào)位置，達到合理溫度和濕度調(diào)節(jié)效果。在機房的四周安裝溫度和濕度的實時監(jiān)控系統(tǒng)。當溫度和濕度超出了設(shè)定范圍值，系統(tǒng)將自動報警。電源線和通信線路隔離鋪設(shè)，避免相互干擾。磁介質(zhì)部署電磁屏蔽裝置。

4.1.2 網(wǎng)絡(luò)安全

為業(yè)務(wù)專網(wǎng)和外界物理隔離。主干網(wǎng)絡(luò)帶寬為采用155MCPOS結(jié)構(gòu)，完全滿足業(yè)務(wù)高峰期的需要。采用VPN技術(shù)。制定重要業(yè)務(wù)系統(tǒng)各子網(wǎng)之間的訪問控制策略，重要網(wǎng)段的邊界處均部署防火墻，并通過防火墻安全策略實現(xiàn)各網(wǎng)段間邏輯隔離。按照不同的地域和業(yè)務(wù)劃分虛擬子網(wǎng)、網(wǎng)段分配地址段。根據(jù)各個業(yè)務(wù)部門的工作職能和業(yè)務(wù)重要性，控制各子網(wǎng)之間的訪問。按照業(yè)務(wù)重要性為業(yè)務(wù)分配帶寬。

并在網(wǎng)絡(luò)邊界部署防火墻，啟用訪問控制功能，控制端口，實現(xiàn)對應用層HTTP、FTP、TELNET、SMTP、POP3等協(xié)議的控制，限制網(wǎng)絡(luò)最大流量數(shù)及網(wǎng)絡(luò)連接數(shù)。

部署集中安全審計系統(tǒng)，對網(wǎng)絡(luò)設(shè)備運行狀況、網(wǎng)絡(luò)流量和用戶行為等進行日志記錄。并進行分析，生成審計報表。將邊界和網(wǎng)絡(luò)設(shè)備日志集中管理并定期進行審計。

在網(wǎng)絡(luò)邊界部署非法外聯(lián)檢測系統(tǒng)服務(wù)器，通過外聯(lián)方式對終端用戶進行監(jiān)控，如各種撥號行為，發(fā)現(xiàn)違規(guī)外聯(lián)行為時實時阻斷，通過網(wǎng)絡(luò)間的連通性來判斷終端主機是否已經(jīng)外聯(lián)，如果發(fā)現(xiàn)已經(jīng)外聯(lián)，按照管理員預設(shè)的動作，執(zhí)行提示終端用戶、禁用網(wǎng)卡、向管理員告警等動作。整體達到嚴密的外聯(lián)監(jiān)控效果。

在網(wǎng)絡(luò)邊界部署入侵防御系統(tǒng)，能夠精確識別并實時防范各種網(wǎng)絡(luò)攻擊和濫用行為。通過深入到七層的分析與檢測，實時阻斷網(wǎng)絡(luò)流量中隱藏的病毒、蠕蟲、木馬、間諜軟件和網(wǎng)頁篡改等攻擊和惡意行為，實現(xiàn)對網(wǎng)絡(luò)應用、網(wǎng)絡(luò)基礎(chǔ)設(shè)施和網(wǎng)絡(luò)性能的全面保護。部署防毒網(wǎng)關(guān)在網(wǎng)絡(luò)邊界處對惡意代碼進行檢測和清除，建立病毒庫的定期更新升級要求并嚴格執(zhí)行，定期檢查病毒庫的更新情況。用SSH加密傳輸替代Telnet遠程管理方式；并能使用其他身份審核方式以保證用戶登陸的可信性。

4.1.3 主機安全

對登錄操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的用戶進行身份表示和鑒別。增加主機口令策略中對口令長度，口令復雜，口令生命周期，新舊口令的替換的策略。采用證書加上USB－key認證的方式。啟用安全審計策略。

建立訪問控制策略，依據(jù)最小原則授予用戶權(quán)限；對主機內(nèi)無用、多余的賬戶進行刪除。對賬號采用分級最小化原則管理。

部署主機審計系統(tǒng)，審計功能與用戶標志與鑒別、自主訪問控制、標記及強制訪問控制等安全功能的設(shè)計緊密結(jié)合。使用空間清理和數(shù)據(jù)擦寫工具確保動態(tài)分配與管理的資源，在保持信息安全的情況下被再利用，確保非授權(quán)用戶不能查找在使用后返還系統(tǒng)的記錄介質(zhì)中的信息內(nèi)容；確保非授權(quán)用戶不能查找系統(tǒng)現(xiàn)已分配給他的記錄介質(zhì)中以前的信息內(nèi)容。

在重要服務(wù)器網(wǎng)段部署IDS/IPS，及時發(fā)現(xiàn)入侵行為并及時通過多種方式報警、阻斷。能夠記錄入侵的源IP、攻擊類型、攻擊的目的、攻擊的時間并在發(fā)生嚴重入侵事件時提供警報。服務(wù)器上部署瑞星防病毒軟件，統(tǒng)一管理，保持及時升級；防病毒軟件和防病毒網(wǎng)關(guān)協(xié)同工作，建立統(tǒng)一防毒體系，保證安全性。建立運控系統(tǒng)，對主機和其他網(wǎng)絡(luò)設(shè)備的CPU、硬盤、內(nèi)存以及占用網(wǎng)絡(luò)帶寬等資源進行實時監(jiān)控。

4.1.4 應用安全

系統(tǒng)提供單點登錄的控制模塊，使用證書USB－key和用戶名密碼的身份鑒別技術(shù)時間身份鑒別，定義鑒別嘗試允許次數(shù)，并通過延長鑒別失敗超出允許次數(shù)后，再次允許鑒別的時間間隔來限制重復嘗試，并對此過程進行記錄。用于身份鑒別的用戶名/口令對應當在信道中加密傳輸。對用戶的來源進行控制和監(jiān)控。定期審計身份鑒別日志，對發(fā)現(xiàn)的異常進行及時處理，對累積性事件進行必要的趨勢分析。

部署安全審計系統(tǒng)，覆蓋事件的日期、時間、發(fā)起者信息、類型、描述和結(jié)果等內(nèi)容，審計記錄的內(nèi)容應盡可能詳細；系統(tǒng)生成的日志最好采取一次性存儲設(shè)備，以防篡改，可采取集中異地存儲的形式，防止數(shù)據(jù)被破壞或篡改；應當設(shè)立單獨的日志審計人員維護和管理數(shù)據(jù)。對網(wǎng)絡(luò)環(huán)境下運行的數(shù)據(jù)庫管理系統(tǒng)，應建立分布式的審計系統(tǒng)，并以審計中心進行管理和控制。

使用專用的磁盤空間擦寫工具和內(nèi)存釋放工具，保證在使用后的信息不被未授權(quán)人員獲得。

4.1.5 數(shù)據(jù)安全及備份恢復

系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)在傳輸和存儲過程中完整性受到破壞時，系統(tǒng)應具有監(jiān)測并能采取必要恢復措施的功能。

在數(shù)據(jù)傳輸?shù)倪吔绮渴鸺用軝C。實現(xiàn)系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)傳輸和存儲保密性。

在保存、修改和傳輸數(shù)據(jù)時，對于敏感信息，例如賬號、密碼和證件號碼等字段采用事先約定對稱加密算法進行加密。

在本地建立磁盤陣列和磁帶庫并安裝相應的存儲備份軟件，建立存儲備份機制，完整的數(shù)據(jù)每周備份一次，差異備份每天進行一次，備份的時間在每天凌晨，數(shù)據(jù)量最小時進行備份。

采用SAN網(wǎng)絡(luò)存儲，選用管線磁盤存儲陣列和光纖帶庫作為存儲載體，選用光纖交換機作為存儲網(wǎng)絡(luò)的交換部件，用于連接數(shù)據(jù)庫服務(wù)器、光纖磁盤存儲陣列和光纖帶庫，配合專用的數(shù)據(jù)庫、存儲管理、備份恢復軟件共同構(gòu)建一個全光纖、全冗余的SAN存儲網(wǎng)絡(luò)環(huán)境。避免單點故障。提供網(wǎng)絡(luò)設(shè)備、通信線路和數(shù)據(jù)處理系統(tǒng)的硬件冗余，保證系統(tǒng)的高可用性。

4.2 安全管理體系建設(shè)

海洋信息系統(tǒng)所在的各個單位成立專門的運行管理機構(gòu)負責信息系統(tǒng)的運行維護與安全管理工作，配備專門的運行維護管理人員，并制定安全管理制度，制定網(wǎng)絡(luò)與信息安全應急預案以應對突發(fā)的網(wǎng)絡(luò)與信息安全事件。

4.2.1 增強相關(guān)工作人員的安全防范意識

當前信息安全管理工作中首要的突出的問題是工作人員的安全意識淡薄，安全措施責任落實不明確。因此，在實際工作中，我們要不斷增強相關(guān)工作人員的安全防范意識，時時刻刻，在頭腦中繃緊安全這根弦。從根本上杜絕因工作人員的粗心大意而造成的安全問題。同時，加大對工作人員的安全技能培訓力度，工作人員安全知識的掌握程度直接關(guān)系到信息系統(tǒng)安全保障應用程度。因此，對工作人員采取必要的安全技能培訓，并且不斷豐富他們的業(yè)務(wù)知識。建立一支政治可靠、技術(shù)精湛、作風優(yōu)良的內(nèi)部技術(shù)人員隊伍［3］。

4.2.2 建立健全相關(guān)的安全管理制度

目前，我國在網(wǎng)絡(luò)信息安全方面制定了相當數(shù)量的法律、法規(guī)及一些規(guī)范性的文件，但仍有許多不足之處。如缺乏統(tǒng)一標準、監(jiān)管成本高、可操作性不強等。因此我們應充分認識到依法保障和促進信息系統(tǒng)健康發(fā)展的重要性，盡快完善相應法律、法規(guī)建設(shè)，使信息安全管理有法可依。

5 結(jié)束語

信息系統(tǒng)安全包含了計算機、網(wǎng)絡(luò)技術(shù)、通信技術(shù)和編碼解碼技術(shù)等多種學科。信息系統(tǒng)受到威脅也是信息技術(shù)發(fā)展的產(chǎn)物。這是一個相互發(fā)展的對手技術(shù)。信息系統(tǒng)存在漏洞，從兩個環(huán)節(jié)看：一是系統(tǒng)自身的脆弱導致的；二是外來黑客技術(shù)的迅速發(fā)展。另外一個主要的方面是信息系統(tǒng)的安全管理薄弱導致的。信息系統(tǒng)安全在很大程度上是建立在對信息系統(tǒng)的管理上。海洋各單位要保證信息安全系統(tǒng)無懈可擊，則良好的管理機制是不可缺少的。因此，要從技術(shù)和管理兩個方面來做好信息安全工作。各海洋單位在可以接受成本的范圍內(nèi)，對癥下藥，同時可以采用整體防御與重點保護相結(jié)合的方法維護系統(tǒng)安全。

［1］ 詹全中，陳嵐.淺談水利網(wǎng)絡(luò)與信息安全體系［J］.水利信息化，2010（10）.

［2］ 國家互聯(lián)網(wǎng)應急中心.國家信息中心2011年度報告.［EB/OL］［2012－05－06］.http：//www.cert.org.cn，2011.

［3］ 王慶海.加強金融系統(tǒng)中計算機信息安全建設(shè)［J］.計算機光盤軟件與應用，2010（12）.