基于安全等級保護(hù)2.0的高校一卡通應(yīng)用系統(tǒng)安全方案設(shè)計(jì)

文/鄢翔

1 引言

高校一卡通系統(tǒng)為高校師生提供了身份識別、電子支付、電控、水控等多種公共服務(wù)，可以說一卡在手校園暢通，因此一卡通是高校智慧校園建設(shè)中的一個核心應(yīng)用，也是實(shí)施安全等級保護(hù)2.0的重點(diǎn)領(lǐng)域。

2 一卡通應(yīng)用系統(tǒng)安全等級保護(hù)及定級情況

2.1 安全等級保護(hù)2.0與安全保護(hù)1.0對計(jì)算機(jī)信息系統(tǒng)的要求區(qū)別

從表1可以看出2017年頒布的計(jì)算機(jī)信息系統(tǒng)安全等級保護(hù)2.0相對于2008年發(fā)布的1.0版本在通用要求技術(shù)部分的基礎(chǔ)上進(jìn)行了一些調(diào)整，控制點(diǎn)要求上并沒有明顯增加，相反通過合并整合后還略有縮減。普洱學(xué)院一卡通應(yīng)用系統(tǒng)的保護(hù)定級也是基于表1中的安全等級保護(hù)2.0的基本要求展開評定。

2.2 普洱學(xué)院一卡通應(yīng)用系統(tǒng)的定級依據(jù)與等保定級

根據(jù)我國信息系統(tǒng)安全等級保護(hù)的相關(guān)文件可知，我國對計(jì)算機(jī)信息系統(tǒng)按等級進(jìn)行管理，對信息系統(tǒng)中發(fā)生的信息安全事件分等級響應(yīng)、處置。保護(hù)等級可劃分為1-5級，信息系統(tǒng)受到破壞后的危害程度呈單調(diào)遞增關(guān)系。根據(jù)危害程度，筆者制作了表2，普洱學(xué)院一卡通信息系統(tǒng)保護(hù)等級評定的主要依據(jù)即為表2。

普洱學(xué)院一卡通應(yīng)用系統(tǒng)主要服務(wù)全院師生，截至2018年12月普洱學(xué)院共有全日制在校生12107人，教師514人，因此普洱學(xué)院信息中心初步認(rèn)定當(dāng)一卡通應(yīng)用系統(tǒng)遭受破壞后，會對全校師生產(chǎn)生影響，影響人群在1萬人以上已經(jīng)屬于對社會秩序和公共利益造成損害，達(dá)到信息系統(tǒng)安全等級保護(hù)2級。隨后，普洱學(xué)院一卡通應(yīng)用系統(tǒng)引入了第三方專業(yè)測評機(jī)構(gòu)進(jìn)行測評，給出的專家評審意見也是達(dá)到信息系統(tǒng)安全等級保護(hù)2級，并形成了《定級報(bào)告》，且提交到普洱市公安局進(jìn)行審核。

表1

3 一卡通應(yīng)用系統(tǒng)安全保護(hù)建設(shè)現(xiàn)狀分析

3.1 目前普洱學(xué)院一卡通應(yīng)用系統(tǒng)運(yùn)行的環(huán)境

如圖1所示，由于普洱學(xué)院是新升格本科院校，新校區(qū)建設(shè)之初由于建設(shè)經(jīng)費(fèi)有限，為節(jié)省經(jīng)費(fèi)采用了共用校園網(wǎng)主干光纖的方式組網(wǎng)，由路由器邏輯上IP地址劃斷的方式來架構(gòu)一卡通應(yīng)用系統(tǒng)，整個一卡通系統(tǒng)均使用192.xxx.xxx.xxx段IP地址單獨(dú)成為校園網(wǎng)內(nèi)網(wǎng)的一個子網(wǎng)，邏輯上不與internet相連接。宿舍樓每層均有樓層交換機(jī)，各宿舍樓棟水電控匯聚交換機(jī)均安放學(xué)生宿舍樓一樓電控室。在管理方面，普洱學(xué)院信息中心技術(shù)人員按崗位職責(zé)每人負(fù)責(zé)校園網(wǎng)中的一至三個應(yīng)用系統(tǒng)，各司其職，像筆者就專門負(fù)責(zé)一卡通應(yīng)用系統(tǒng)的運(yùn)維工作。

3.2 普洱學(xué)院一卡通應(yīng)用系統(tǒng)參照安全等級保護(hù)2.0要求在技術(shù)方面存在的主要問題

表2 信息系統(tǒng)安全等級保護(hù)要素關(guān)系表

表3：測評后發(fā)現(xiàn)的基礎(chǔ)設(shè)施類安全問題

表4：測評后發(fā)現(xiàn)的安全策略類安全問題

表5：測評后發(fā)現(xiàn)的管理類安全問題

經(jīng)過第三方測評機(jī)構(gòu)的測評，參照圖1，普洱學(xué)院一卡通應(yīng)用系統(tǒng)在技術(shù)方面的主要安全漏洞可以歸納為基礎(chǔ)設(shè)施類安全問題、安全策略類問題兩大類，如表3、表4所示。

3.3 普洱學(xué)院一卡通應(yīng)用系統(tǒng)參照安全等級保護(hù)2.0要求在管理方面存在的主要問題

經(jīng)過第三方測評機(jī)構(gòu)的測評，普洱學(xué)院一卡通應(yīng)用系統(tǒng)在管理方面的主要安全漏洞如表5所示。

在管理中以上問題確實(shí)存在，例如從圖1可以看出，通過放置在各宿舍樓棟的水電控匯聚交換機(jī)中的任意一臺，均可以接入一卡通網(wǎng)絡(luò)，而在高校一卡通應(yīng)用系統(tǒng)的管理中側(cè)重于中心機(jī)房的服務(wù)器管理，而忽視宿舍樓棟交換機(jī)的管理，由此可能給類似撞庫攻擊接入機(jī)會。

4 一卡通應(yīng)用系統(tǒng)安全建設(shè)方案設(shè)計(jì)

4.1 一卡通應(yīng)用系統(tǒng)安全建設(shè)方案設(shè)計(jì)目標(biāo)與依據(jù)

安全建設(shè)方案設(shè)計(jì)目標(biāo)是全面提升普洱學(xué)院一卡通應(yīng)用系統(tǒng)的安全性，能面對目前和未來一段時期的各類安全威脅，保證一卡通應(yīng)用系統(tǒng)能長期持續(xù)、穩(wěn)定的運(yùn)行。使得一卡通應(yīng)用系統(tǒng)安全防護(hù)能力達(dá)到等級保護(hù)二級的基本要求。

安全建設(shè)方案設(shè)計(jì)依據(jù)為：GB/T 22239-2008：《信息安全技術(shù)信息系統(tǒng)安全等級保護(hù)基本要求》、GB/T28448-2012：《信息安全技術(shù)系統(tǒng)等級保護(hù)測評要求》、GB/T28449-2012：《信息系統(tǒng)安全等級保護(hù)測評過程指南》。

4.2 一卡通應(yīng)用系統(tǒng)安全建設(shè)方案設(shè)計(jì)

4.2.1 按安全等級保護(hù)2.0的要求進(jìn)行物理安全加固設(shè)計(jì)

物理安全加固包括：物理訪問控制、防盜竊和防破壞、防火、防水、防潮、電力供應(yīng)和電磁防護(hù)。具體方案如表6所示。

4.2.2 按安全等級保護(hù)2.0的要求進(jìn)行網(wǎng)絡(luò)安全加固設(shè)計(jì)

采用防火墻對一卡通重要節(jié)點(diǎn)和網(wǎng)段進(jìn)行邊界保護(hù)，對所有流經(jīng)防火墻的數(shù)據(jù)包按照嚴(yán)格的安全規(guī)則進(jìn)行過濾，將所有不安全的或不符合安全規(guī)則的數(shù)據(jù)包屏蔽，防范各類攻擊行為，杜絕越權(quán)訪問，抵御可能的 DOS和 DDOS攻擊。具體措施如表7所示。

表6

表7

表8

4.2.3 按安全等級保護(hù)2.0的要求進(jìn)行安全審計(jì)設(shè)計(jì)

安全審計(jì)又可分為網(wǎng)絡(luò)安全審計(jì)、一卡通業(yè)務(wù)審計(jì)、一卡通數(shù)據(jù)庫審計(jì)。具體的安全建設(shè)措施見表8。

4.2.4 入侵防護(hù)與惡意代碼防范設(shè)計(jì)

由于防火墻并不擅長處理應(yīng)用層數(shù)據(jù)，因此各種混合攻擊多借助病毒的傳播方式進(jìn)行。建立一套更完整的安全防護(hù)體系進(jìn)行多層、多手段的檢測和防護(hù)十分必要。可在普洱學(xué)院一卡通應(yīng)用網(wǎng)絡(luò)中，應(yīng)采用入侵檢測系統(tǒng)，提供邊界隔離、實(shí)時主動入侵防御阻斷及病毒過濾。

如圖1所示，可以在普洱學(xué)院互聯(lián)網(wǎng)邊界防火墻設(shè)備之前部署AV防病毒網(wǎng)關(guān)，對夾雜在網(wǎng)絡(luò)交換數(shù)據(jù)中的各類網(wǎng)絡(luò)病毒進(jìn)行過濾，還可以對網(wǎng)絡(luò)病毒、蠕蟲、混合攻擊、端口掃描、間諜軟件等各種廣義病毒進(jìn)行全面攔截。

4.2.5 網(wǎng)絡(luò)設(shè)備防護(hù)設(shè)計(jì)

通過用戶名/密碼和行業(yè)數(shù)字證書相結(jié)合的方式，對登錄網(wǎng)絡(luò)設(shè)備用戶進(jìn)行身份鑒別。在交換機(jī)、路由器上配置訪問控制列表，對管理終端登錄地址進(jìn)行限制。在防火墻等網(wǎng)絡(luò)安全設(shè)備上對管理終端登錄的IP地址進(jìn)行限制。

在一卡通應(yīng)用系統(tǒng)安全管理域中部署堡壘機(jī)，以雙機(jī)容錯方式旁路部署在一卡通系統(tǒng)前端。加強(qiáng)一卡通運(yùn)維的內(nèi)部業(yè)務(wù)操作行為監(jiān)管，實(shí)現(xiàn)自然人對資源的統(tǒng)一授權(quán)，對運(yùn)維操作進(jìn)行記錄、分析、展現(xiàn)，幫助一卡通信息管理內(nèi)控工作實(shí)現(xiàn)事前規(guī)劃預(yù)防、事中實(shí)時監(jiān)控、違規(guī)行為響應(yīng)、事后合規(guī)報(bào)告、事故追蹤回放。

4.2.6 按安全等級保護(hù)2.0的要求進(jìn)行應(yīng)用安全加固設(shè)計(jì)

應(yīng)用安全由身份鑒別、訪問控制、安全審計(jì)、剩余信息保護(hù)、通訊完整性、抗抵賴、軟件容錯、資源控制組成。具體的安全建設(shè)措施見表9。

4.2.7 一卡通應(yīng)用系統(tǒng)安全管理體系加固設(shè)計(jì)

表9

圖2

圖2

4.2.7.1 一卡通應(yīng)用系統(tǒng)安全管理體系加固建設(shè)目標(biāo)和原則

安全管理體系加固的設(shè)計(jì)目標(biāo)是通過實(shí)施信息安全管理體系，使普洱學(xué)院一卡通管理從“無序、零散、被動”的風(fēng)險(xiǎn)補(bǔ)救行為轉(zhuǎn)變?yōu)椤跋到y(tǒng)、科學(xué)、連貫、主動”的風(fēng)險(xiǎn)駕馭狀態(tài)。

一卡通應(yīng)用系統(tǒng)安全管理體系的建設(shè)原則，首先是要適度公開，要實(shí)施信息安全管理體系必須保證所有人員都能了解信息安全戰(zhàn)略、自己的信息安全職責(zé)、以及與己相關(guān)的信息安全制度、規(guī)范、流程等的內(nèi)容和查詢途徑。其次是逐步完善，一卡通安全策略體系應(yīng)當(dāng)依照“統(tǒng)一規(guī)劃、分布實(shí)施”的原則，建立有效的更新機(jī)制，逐步完善。最后是合規(guī)性，一卡通應(yīng)用系統(tǒng)安全管理體系是將以文件的形式體現(xiàn)，因此必須保證其符合各項(xiàng)相關(guān)的法律法規(guī)。

4.2.7.2 一卡通應(yīng)用系統(tǒng)安全管理組織架構(gòu)設(shè)計(jì)

在普洱學(xué)院現(xiàn)有信息安全組織的基礎(chǔ)上，借鑒業(yè)界通用的信息安全組織模型，同時考慮普洱學(xué)院安全組織建設(shè)的關(guān)鍵因素，提出一卡通應(yīng)用系統(tǒng)安全組織方案設(shè)計(jì)，如圖2所示。

圖2所示模型明確了信息安全相關(guān)主要職能及其相應(yīng)的關(guān)系，在具體進(jìn)行安全組織建設(shè)時，應(yīng)將模型與普洱學(xué)院具體的部門和機(jī)構(gòu)設(shè)置進(jìn)行比較，落實(shí)相應(yīng)的角色。

4.2.7.3 一卡通信息安全組織規(guī)劃設(shè)計(jì)

（1）在普洱學(xué)院信息安全組織結(jié)構(gòu)中建立明確的信息安全管理機(jī)構(gòu)作為一卡通應(yīng)用系統(tǒng)信息安全工作規(guī)則的制定者和決策推行者（實(shí)踐中單獨(dú)為一卡通應(yīng)用系統(tǒng)建立組織成本太高）。在實(shí)際工作中，普洱學(xué)院信息安全組織管理機(jī)構(gòu)建立了3個職能小組來負(fù)責(zé)管理一卡通和其他應(yīng)用系統(tǒng)的信息安全工作：信息安全管理小組主要負(fù)責(zé)組織開展一卡通信息資產(chǎn)與風(fēng)險(xiǎn)評估相關(guān)工作，并向決策機(jī)構(gòu)定期匯報(bào)。安全運(yùn)維小組對一卡通應(yīng)用系統(tǒng)運(yùn)行的安全設(shè)備進(jìn)行設(shè)備配置管理、安全策略應(yīng)用、安全事件處理、安全應(yīng)急響應(yīng)等。信息安全審計(jì)小組：落實(shí)信息安全審計(jì)職能。

（2）建立外部信息安全專家支持，考慮到信息安全工作的專業(yè)性，在普洱學(xué)院信息安全決策機(jī)構(gòu)的管理下，以及管理機(jī)構(gòu)的指導(dǎo)下，部分信息安全咨詢及執(zhí)行工作（如災(zāi)難恢復(fù)操作、安全事件處理等）可由專業(yè)的外部信息安全專家給予相關(guān)支持，從知識和能力上為普洱學(xué)院一卡通應(yīng)用系統(tǒng)信息安全建設(shè)提供有效的支持。

4.2.7.4 一卡通應(yīng)用系統(tǒng)安全運(yùn)維體系加固設(shè)計(jì)

普洱學(xué)院一卡通應(yīng)用系統(tǒng)安全運(yùn)維體系的設(shè)計(jì)依托普洱學(xué)院信息安全組織架構(gòu)的設(shè)計(jì)，根據(jù)工作內(nèi)容的不同采用層次化結(jié)構(gòu)進(jìn)行劃分，用以明確崗位職責(zé)及日常運(yùn)維內(nèi)容，如圖3。

5 結(jié)語

高校一卡通應(yīng)用系統(tǒng)由于具有貨幣電子化的特性，歷來是各類不法份子關(guān)注的目標(biāo)，因此一卡通應(yīng)用系統(tǒng)的安全等級保護(hù)顯得尤為迫切。隨著技術(shù)的進(jìn)步，新的風(fēng)險(xiǎn)會不斷出現(xiàn)，一卡通應(yīng)用系統(tǒng)的安全等級保護(hù)的嚴(yán)密性也必將呈現(xiàn)出一個與時俱進(jìn)，螺旋上升的過程。