基于PDRB模型的質(zhì)檢機(jī)構(gòu)網(wǎng)絡(luò)安全對策探討

陳文水，傅美緣，陳世昌，陳遵勝

（石獅市質(zhì)量計(jì)量檢測所，福建 石獅 362700）

基于PDRB模型的質(zhì)檢機(jī)構(gòu)網(wǎng)絡(luò)安全對策探討

陳文水，傅美緣，陳世昌，陳遵勝

（石獅市質(zhì)量計(jì)量檢測所，福建 石獅 362700）

文中從某網(wǎng)絡(luò)安全現(xiàn)狀分析入手，針對常見的網(wǎng)絡(luò)威脅類型和攻擊手段，探討質(zhì)檢系統(tǒng)網(wǎng)絡(luò)安全對策，并從構(gòu)建質(zhì)檢各機(jī)構(gòu)自身的網(wǎng)絡(luò)安全保護(hù)體系、建立信息安全檢測機(jī)制和標(biāo)準(zhǔn)規(guī)范安全運(yùn)維操作規(guī)程、建立統(tǒng)一的質(zhì)檢Web安全監(jiān)測響應(yīng)平臺、構(gòu)建大數(shù)據(jù)安全防范系統(tǒng)等4個(gè)方面進(jìn)行闡述，提出了構(gòu)建網(wǎng)絡(luò)安全PDRB的模型，期望能對增強(qiáng)質(zhì)檢機(jī)構(gòu)的網(wǎng)絡(luò)安全提供參考。

信息系統(tǒng)；網(wǎng)絡(luò)安全；互聯(lián)網(wǎng)+；大數(shù)據(jù)

1 引言

隨著網(wǎng)絡(luò)和信息化的發(fā)展，質(zhì)檢系統(tǒng)中的計(jì)量、標(biāo)準(zhǔn)化、特種設(shè)備檢測、法人庫、認(rèn)證認(rèn)可等處處都有網(wǎng)絡(luò)的身影，檢測系統(tǒng)、辦公系統(tǒng)、運(yùn)維保障系統(tǒng)、大數(shù)據(jù)分析等應(yīng)用越來越廣泛。然而網(wǎng)絡(luò)安全是信息化的基石，網(wǎng)絡(luò)安全一旦出問題，必將對信息化的應(yīng)用、數(shù)據(jù)存儲造成災(zāi)難性后果。網(wǎng)絡(luò)安全涉及到身份識別與認(rèn)證、訪問控制、核心業(yè)務(wù)數(shù)據(jù)和涉密信息的安全、應(yīng)用安全、物理安全，這些都關(guān)系到質(zhì)檢機(jī)構(gòu)的辦公和業(yè)務(wù)運(yùn)轉(zhuǎn)?？梢哉f網(wǎng)絡(luò)安全是一個(gè)基礎(chǔ)設(shè)施，應(yīng)加強(qiáng)對網(wǎng)絡(luò)安全的技術(shù)研究，為質(zhì)檢事業(yè)的發(fā)展保駕護(hù)航[1]。

2 網(wǎng)絡(luò)安全現(xiàn)狀分析

國家互聯(lián)網(wǎng)應(yīng)急中心2017年5月29日至6月4日發(fā)布的網(wǎng)絡(luò)安全基本態(tài)勢圖顯示，我國的網(wǎng)絡(luò)安全的形勢依然嚴(yán)峻[2]。

圖1 國家互聯(lián)網(wǎng)應(yīng)急中心2017年5月29日至6月4日網(wǎng)絡(luò)安全基本態(tài)勢

圖1中可以看出我國境內(nèi)感染網(wǎng)絡(luò)病毒的主機(jī)數(shù)量為41萬，政府網(wǎng)站被篡改和植入后門的網(wǎng)站有37個(gè)，按照我國現(xiàn)行的28個(gè)部委，如果分配到質(zhì)檢系統(tǒng)則平均每周有1.3個(gè)網(wǎng)站被攻擊，感染網(wǎng)絡(luò)病毒的主機(jī)數(shù)無法確切統(tǒng)計(jì)，質(zhì)檢機(jī)構(gòu)的數(shù)據(jù)包含涉及全社會各行業(yè)公平公正的信息數(shù)據(jù)，一旦泄露或者被篡改，將產(chǎn)生不可控的社會動蕩因素。

3 網(wǎng)絡(luò)安全的分類及威脅分析[3]

網(wǎng)絡(luò)安全的作用就是要保證應(yīng)用軟件和服務(wù)器的正常運(yùn)行、核心數(shù)據(jù)不被非法獲取或泄密以及計(jì)算機(jī)和基礎(chǔ)網(wǎng)絡(luò)設(shè)施正常運(yùn)轉(zhuǎn)。目前對質(zhì)檢機(jī)構(gòu)造成的網(wǎng)絡(luò)安全威脅與攻擊主要有以下幾個(gè)大類：

（1）竊取機(jī)密信息。竊取機(jī)密信息是指未經(jīng)授權(quán)的攻擊者非法訪問網(wǎng)絡(luò)、竊取信息的行為。對數(shù)據(jù)加密是防范機(jī)密信息泄漏的一般手段。

（2）非法訪問。攻擊者可以通過口令破解、IP欺騙、DNS欺騙、重放攻擊、非法使用、特洛伊木馬等手段對信息系統(tǒng)進(jìn)行非法訪問。身份識別和驗(yàn)證、訪問控制是防范非法訪問的重要技術(shù)。

（3）惡意攻擊。惡意攻擊是通過使計(jì)算機(jī)功能或性能崩潰來阻止提供服務(wù)，表現(xiàn)為資源耗盡或資源過載。常見的有DOS拒絕服務(wù)攻擊和DDOS分布式拒絕服務(wù)攻擊，其攻擊手法有：Ping of death、淚滴（TearDrop）、Land攻擊、畸形消息攻擊、緩沖區(qū)溢出攻擊、網(wǎng)頁篡改等。

（4）計(jì)算機(jī)木馬。和單機(jī)時(shí)代病毒是安全最大的威脅不同，網(wǎng)絡(luò)時(shí)代中木馬是信息系統(tǒng)最大的威脅之一。木馬（Trojan）,是指通過特定的程序（木馬程序）來控制另一臺計(jì)算機(jī)。木馬通常有兩個(gè)可執(zhí)行程序：一個(gè)是控制端，另一個(gè)是被控制端。

產(chǎn)生上述幾類網(wǎng)絡(luò)安全威脅與攻擊的根本原因是服務(wù)器、應(yīng)用系統(tǒng)、網(wǎng)絡(luò)設(shè)備、安全產(chǎn)品、客戶端等有各種各樣的漏洞，給非法之徒造成可乘之機(jī)，非法之徒就是抓住這些漏洞對網(wǎng)絡(luò)系統(tǒng)進(jìn)行破壞，從而達(dá)到對利益獲取的目的。福建省質(zhì)檢機(jī)構(gòu)2016年信息安全檢查情況統(tǒng)計(jì)見圖2。

圖2 福建省質(zhì)檢機(jī)構(gòu)2016年信息安全檢查情況統(tǒng)計(jì)圖

4 質(zhì)檢機(jī)構(gòu)網(wǎng)絡(luò)安全對策探討

正是由于網(wǎng)絡(luò)系統(tǒng)中存在著種種的安全漏洞，為黑客入侵提供了方便之門。由于“互聯(lián)網(wǎng)+”帶來了云計(jì)算、大數(shù)據(jù)等高新技術(shù)，而目前業(yè)界熟知的網(wǎng)絡(luò)安全基本模型，即：Protection（保護(hù)）、Detection（檢測）、Response（響應(yīng)）已經(jīng)不能適應(yīng)新態(tài)勢下的發(fā)展要求，筆者在PDR模型的基礎(chǔ)上根據(jù)大數(shù)據(jù)時(shí)代的發(fā)展態(tài)勢提出PDRB模型，即：Protection（保護(hù)）、Detection（檢測）、Response（響應(yīng)）、BigData(大數(shù)據(jù))，該模型是在PDR模型的基礎(chǔ)上構(gòu)建大數(shù)據(jù)防范體系。以下分別進(jìn)行論述。

4.1 構(gòu)建質(zhì)檢各機(jī)構(gòu)自身的網(wǎng)絡(luò)安全保護(hù)體系（Protection）

根據(jù)各質(zhì)檢機(jī)構(gòu)自身的條件和特點(diǎn)，建立和健全網(wǎng)絡(luò)安全保護(hù)體系，對加強(qiáng)保障質(zhì)檢各機(jī)構(gòu)自身的網(wǎng)絡(luò)安全具有重要的意義，主要有如下幾點(diǎn)：

（1）基礎(chǔ)保障體系，主要包括防火墻、防病毒系統(tǒng)、防垃圾郵件系統(tǒng)、網(wǎng)頁防篡改系統(tǒng)、SUS補(bǔ)丁系統(tǒng)等等。建設(shè)信息安全基礎(chǔ)保障體系，是一項(xiàng)復(fù)雜的、綜合的系統(tǒng)工程，我們必須堅(jiān)持積極防御、綜合防范的方針，一步一步完善網(wǎng)絡(luò)安全的基礎(chǔ)保障。

（2）監(jiān)控審計(jì)體系，主要包括入侵檢測系統(tǒng)和上網(wǎng)審計(jì)系統(tǒng)。監(jiān)控審計(jì)體系的設(shè)計(jì),目的是為了完成對所有網(wǎng)上行為的監(jiān)控。通過此體系能監(jiān)測到安全事件記錄、網(wǎng)絡(luò)設(shè)備的動作情況、網(wǎng)絡(luò)內(nèi)人員的網(wǎng)上行為記錄、網(wǎng)絡(luò)整體風(fēng)險(xiǎn)情況以及網(wǎng)絡(luò)的使用率、數(shù)據(jù)流量、應(yīng)用等信息，使得網(wǎng)絡(luò)管理員對網(wǎng)絡(luò)情況有較全面的了解。

（3）容災(zāi)備份體系，為抵抗包括地震、火災(zāi)、水災(zāi)等自然災(zāi)難，以及戰(zhàn)爭、恐怖襲擊、網(wǎng)絡(luò)攻擊、設(shè)備系統(tǒng)故障和人為破壞等無法預(yù)料的突發(fā)事件造成的損害，應(yīng)建立一個(gè)容災(zāi)備份體系。該體系主要包括三個(gè)部分：內(nèi)網(wǎng)線路的冗余備份、主機(jī)服務(wù)器的系統(tǒng)備份與恢復(fù)、數(shù)據(jù)庫系統(tǒng)的備份與恢復(fù)。

（4）應(yīng)急處置體系，主要包括成立網(wǎng)絡(luò)安全應(yīng)急小組、制定應(yīng)急事件預(yù)案、建立安全事件應(yīng)急處理流程與規(guī)范以及對安全事件的處理過程做記錄歸檔。建立應(yīng)急響應(yīng)體系是為了能采取足夠的主動措施解決各類安全事件，因?yàn)榘踩录赡軒碇卮笃茐?，因此需要特別注重響應(yīng)、處理安全事件，防止安全事件的發(fā)生。

（5）終端安全體系，計(jì)算機(jī)終端的網(wǎng)絡(luò)安全往往是最薄弱的環(huán)節(jié)，黑客通過終端進(jìn)行滲透攻擊已成為網(wǎng)絡(luò)攻擊的主要方式。通過對計(jì)算機(jī)終端采取嚴(yán)格的防范措施如禁止安裝未經(jīng)授權(quán)的軟件、嚴(yán)格限制外來存儲設(shè)備的接入、實(shí)時(shí)監(jiān)控終端的病毒庫、系統(tǒng)補(bǔ)丁的升級狀況以及借助專業(yè)的終端管理軟件，通過這些手段來構(gòu)筑終端安全。

首先，2002—2011年，農(nóng)村化學(xué)品規(guī)模企業(yè)產(chǎn)值呈現(xiàn)持續(xù)上升趨勢，其中4類農(nóng)村化學(xué)品規(guī)模企業(yè)產(chǎn)值年平均增長率超過全國相應(yīng)企業(yè)產(chǎn)值平均增長率；農(nóng)村紡織業(yè)和化學(xué)品纖維制造業(yè)在全國比重均已超過一半以上，其中紡織業(yè)比重最高達(dá)72.99%；在地區(qū)分布上，東部農(nóng)村化學(xué)品規(guī)模企業(yè)產(chǎn)值占全國農(nóng)村相應(yīng)企業(yè)比重占絕對優(yōu)勢，西部農(nóng)村化學(xué)品企業(yè)產(chǎn)值年平均增長率為24%，超過東、中部地區(qū)。

4.2 建立信息安全檢測機(jī)制和標(biāo)準(zhǔn)規(guī)范安全運(yùn)維操作規(guī)程（Detection）[4]

對于信息安全的檢測國家已經(jīng)制定了比較完善的標(biāo)準(zhǔn)，主要有GB/T 20984-2007《信息安全風(fēng)險(xiǎn)評估規(guī)范》、GB/T 20271-2006《信息系統(tǒng)安全技術(shù)信息系統(tǒng)通用安全技術(shù)要求》、GB/T 22239-2008《信息安全技術(shù) 信息系統(tǒng)安全等級保護(hù)基本要求》、GB/T 28448-2012《信息安全技術(shù) 信息系統(tǒng)安全等級保護(hù)測評要求》等等，質(zhì)檢機(jī)構(gòu)可以根據(jù)這些標(biāo)準(zhǔn)，依據(jù)自身的能力或者聘請專業(yè)檢測機(jī)構(gòu)制定相應(yīng)的信息安全檢測計(jì)劃，及時(shí)發(fā)現(xiàn)問題和解決問題。除此之外，筆者認(rèn)為還應(yīng)建立和完善與安全運(yùn)維有關(guān)的規(guī)范性文件，推動整個(gè)安全運(yùn)維規(guī)范性建設(shè)統(tǒng)一標(biāo)準(zhǔn)、統(tǒng)一規(guī)范、統(tǒng)一實(shí)施、統(tǒng)一管理的統(tǒng)籌管理模式，推進(jìn)質(zhì)檢機(jī)構(gòu)安全運(yùn)維的整體工作。根據(jù)質(zhì)檢業(yè)務(wù)的特點(diǎn)，建議由國家質(zhì)檢總局牽頭制定標(biāo)準(zhǔn)的安全運(yùn)維操作規(guī)程，可以包含以下幾個(gè)內(nèi)容：

（1）網(wǎng)絡(luò)邊界安全防護(hù)；

（2）安全管理策略；

（3）關(guān)鍵業(yè)務(wù)服務(wù)器的系統(tǒng)加固，入侵防護(hù)，關(guān)鍵文件監(jiān)控和系統(tǒng)防護(hù)；

（5）內(nèi)部人員上網(wǎng)行為管理策略；

（6）建設(shè)機(jī)密數(shù)據(jù)防泄漏和數(shù)據(jù)加密，磁盤加密；

（7）網(wǎng)絡(luò)信任和加密技術(shù)防護(hù)；

（8）數(shù)據(jù)庫安全與加固。

4.3 建立統(tǒng)一的質(zhì)檢Web安全監(jiān)測響應(yīng)平臺（Response）

采取各式各樣的安全防護(hù)措施或者制定完善的檢測計(jì)劃并不意味著網(wǎng)絡(luò)系統(tǒng)的安全性就得到了100%的保障，網(wǎng)絡(luò)狀況是變化無常的，昨日剛剛提供的補(bǔ)丁，可能今天就會發(fā)現(xiàn)該補(bǔ)丁存在漏洞。面臨這樣的問題更多的是要采取有效的手段對網(wǎng)絡(luò)進(jìn)行實(shí)時(shí)監(jiān)控。建議建立統(tǒng)一的質(zhì)檢安全監(jiān)測平臺，將質(zhì)檢各項(xiàng)WEB應(yīng)用業(yè)務(wù)納入到該平臺中，防范于未然，增強(qiáng)快速反應(yīng)能力，平臺內(nèi)容如圖2所示。

圖2 質(zhì)檢Web安全監(jiān)測平臺

該平臺應(yīng)能實(shí)現(xiàn)7×24小時(shí)的日常安全監(jiān)控、事件分析、安全預(yù)警、安全分析報(bào)告等功能，并提供可遠(yuǎn)程訪問的安全狀態(tài)展示平臺，便于用戶隨時(shí)查詢自身系統(tǒng)的安全狀況，掌控自身系統(tǒng)的安全風(fēng)險(xiǎn)。質(zhì)檢WEB應(yīng)用安全監(jiān)測平臺將能有效防止網(wǎng)站被掛馬、防止WEB服務(wù)器被入侵。

4.4 構(gòu)建大數(shù)據(jù)安全防范系統(tǒng)（BigData）[5]

“互聯(lián)網(wǎng)+”時(shí)代就是云計(jì)算和大數(shù)據(jù)的時(shí)代，充分利用大數(shù)據(jù)技術(shù)提供各種網(wǎng)絡(luò)安全服務(wù)，構(gòu)建大數(shù)據(jù)安全防范系統(tǒng)，可持續(xù)增強(qiáng)質(zhì)檢機(jī)構(gòu)的安全能力，如圖3所示。

圖3 質(zhì)檢大數(shù)據(jù)安全防范系統(tǒng)

（1）利用大數(shù)據(jù)技術(shù)防護(hù)網(wǎng)站攻擊，利用大數(shù)據(jù)平臺資源，可以構(gòu)建網(wǎng)站一體化的安全防護(hù)機(jī)制，同時(shí)向網(wǎng)站提供預(yù)研預(yù)測的數(shù)據(jù)分析等功能。通過對網(wǎng)站海量日志大數(shù)據(jù)的分析，可以挖掘發(fā)現(xiàn)大量新的網(wǎng)站攻擊特征、網(wǎng)站漏洞等；另一方面，通過對網(wǎng)站日志、防火墻日志、服務(wù)器日志等日志大數(shù)據(jù)進(jìn)行分析，還能進(jìn)一步幫助溯源定位黑客攻擊的來源和手段、獲取黑客信息，為公安部門提供有價(jià)值的線索。

（2）利用大數(shù)據(jù)技術(shù)防范終端網(wǎng)絡(luò)攻擊，基于大數(shù)據(jù)和云計(jì)算技術(shù)建立云安全系統(tǒng)，可以為終端提供強(qiáng)有力的支持和安全防范，云安全系統(tǒng)通過建立木馬的特征庫和識別庫為終端提供下載服務(wù)，幫助管理員分析定位終端木馬的分布、感染的目標(biāo)終端，以及分析同源的特種木馬，使得終端的安全得到大大的加強(qiáng)。

（3）建立質(zhì)檢APT（高級持續(xù)性威脅）防護(hù)聯(lián)動平臺，質(zhì)檢重要信息系統(tǒng)具有相互隔離、孤立的特點(diǎn)，針對APT攻擊難以形成關(guān)聯(lián)協(xié)同、綜合防御的效應(yīng)，容易被各個(gè)擊破。因此，在重要信息系統(tǒng)單位非常有必要建立質(zhì)檢統(tǒng)一的的APT防護(hù)聯(lián)動平臺，利用該平臺匯聚質(zhì)檢機(jī)構(gòu)中不同的重要信息系統(tǒng)中的安全事件及攻擊行為數(shù)據(jù)，對其進(jìn)行大數(shù)據(jù)分析挖掘，從而形成針對APT攻擊的全面?zhèn)蓽y、防護(hù)能力。

5 結(jié)語

當(dāng)前質(zhì)檢機(jī)構(gòu)的計(jì)算機(jī)網(wǎng)絡(luò)安全主要表現(xiàn)為信息數(shù)據(jù)的泄露、網(wǎng)絡(luò)攻擊愈演愈烈、重要系統(tǒng)頻出問題。文中從某網(wǎng)絡(luò)安全現(xiàn)狀分析入手，針對常見的網(wǎng)絡(luò)威脅類型和攻擊手段，探討質(zhì)檢系統(tǒng)網(wǎng)絡(luò)安全對策，并從構(gòu)建質(zhì)檢各機(jī)構(gòu)自身的網(wǎng)絡(luò)安全保護(hù)體系、建立信息安全檢測機(jī)制和標(biāo)準(zhǔn)規(guī)范安全運(yùn)維操作規(guī)程、建立統(tǒng)一的質(zhì)檢Web安全監(jiān)測響應(yīng)平臺、構(gòu)建大數(shù)據(jù)安全防范系統(tǒng)等四個(gè)方面進(jìn)行闡述，提出了構(gòu)建網(wǎng)絡(luò)安全PDRB的模型，期望能對增強(qiáng)質(zhì)檢機(jī)構(gòu)的網(wǎng)絡(luò)安全提供參考。

[1]鄭培強(qiáng).加強(qiáng)網(wǎng)絡(luò)安全筑計(jì)量之盾[J].計(jì)量與測試技術(shù).2015(1).

[2]國家互聯(lián)網(wǎng)應(yīng)急中心.[安全報(bào)告/周報(bào)]網(wǎng)絡(luò)安全信息與動態(tài)周報(bào)[EQ].2017(23).http://www.cert.org.cn/publish/main/44/2017/20170609144550268890603/20170609144550268890603_.html,2017-6-9.

[3]張世永.網(wǎng)絡(luò)安全原理與應(yīng)用[J].2003.

[4]GB/T 20271-2006.信息安全技術(shù)-信息系統(tǒng)通用安全技術(shù)要求[S].

[5]千里馬論文.大數(shù)據(jù)時(shí)代網(wǎng)絡(luò)安全威脅與防護(hù).http://www.133229.com/jsj/xxaq/177513.html,2016-7-15.

Discussion on Quality Inspection Agency Network Security Countermeasures Base on PDRB Model

CHEN Wen-Shui, FU Mei-Yuan, CHEN Shi-Chang, CHEN Zun-Sheng
（Shishi Quality Metrology Inspection Institue,Shishi 362700, Fujian, china）

The thesis ,from the analysis on a network security status, in view of the common types of network threats and attack means,discusses the quality inspection system network security countermeasures. Meanwhile, the thesis makes an comprehension from four aspects,building quality inspection institutions own network security system，setting up Information security detection mechanism and the standard speci fi cation for inspection of the safety of the operational procedures, establishing the uni fi ed safety monitoring platform, and building big data security systems, proposed to build a model of network security PDRB,hoping to offer reference to strengthen network security of quality inspection institutions.

Information System; Network Security; Internet+; Big Data

2017-07-07

陳文水，男，石獅市質(zhì)量計(jì)量檢測所，所長，工程師

傅美緣，男，石獅市質(zhì)量計(jì)量檢測所，副所長，工程師

陳世昌，男，石獅市質(zhì)量計(jì)量檢測所，助理工程師

陳遵勝，男，石獅市質(zhì)量計(jì)量檢測所，工程師