人社領(lǐng)域信息安全與架構(gòu)設(shè)計(jì)

摘 要本文分析了人社信息網(wǎng)絡(luò)安全發(fā)展的歷程和現(xiàn)狀，討論了“互聯(lián)網(wǎng)+人社”公共服務(wù)的背景下，人社領(lǐng)域信息安全面臨的形勢(shì)和遇到的挑戰(zhàn)，從網(wǎng)絡(luò)架構(gòu)設(shè)計(jì)、邊界防護(hù)、通信加密、代碼審核、日志監(jiān)控和密碼管理等方面，分別給出了具體措施和解決方案，達(dá)到了既提供高效便捷的公共服務(wù)，又有效防護(hù)人社敏感信息的目的。

【關(guān)鍵詞】互聯(lián)網(wǎng)+人社 網(wǎng)絡(luò)架構(gòu) 通信加密 代碼審核 密碼管理

1 引言

隨著信息網(wǎng)絡(luò)技術(shù)迅猛發(fā)展和移動(dòng)智能終端廣泛普及，移動(dòng)互聯(lián)網(wǎng)以其泛在、連接、智能、普惠等突出優(yōu)勢(shì)，有力推動(dòng)了互聯(lián)網(wǎng)和電子政務(wù)深度融合，已經(jīng)成為創(chuàng)新發(fā)展新領(lǐng)域、公共服務(wù)新平臺(tái)、信息分享新渠道。國(guó)家人力資源和社會(huì)保障部在“金保二期”的基礎(chǔ)上提出并制定了 “互聯(lián)網(wǎng)+人社”的口號(hào)和行動(dòng)計(jì)劃，是加快人力資源社會(huì)保障領(lǐng)域簡(jiǎn)政放權(quán)、放管結(jié)合、優(yōu)化服務(wù)改革的重要舉措，對(duì)于增強(qiáng)人力資源社會(huì)保障工作效能，提升公共服務(wù)水平和能力，具有重要意義。同時(shí)，隨著信息技術(shù)的日新月異和“互聯(lián)網(wǎng)+人社”業(yè)務(wù)快速發(fā)展，人社部門不得不去面對(duì)日益嚴(yán)峻網(wǎng)絡(luò)安全問題，網(wǎng)絡(luò)黑客和病毒的存在使得網(wǎng)絡(luò)數(shù)據(jù)信息的安全得不到有效的保障，給整個(gè)社會(huì)或個(gè)人帶來較大損失。網(wǎng)絡(luò)安全成為懸在“互聯(lián)網(wǎng)+人社”頭上的達(dá)摩克利斯之劍，迫切需要通過合理的架構(gòu)設(shè)計(jì)和防御策略保證網(wǎng)絡(luò)系統(tǒng)的安全，使互聯(lián)網(wǎng)技術(shù)能夠更好的應(yīng)用到人社領(lǐng)域。

2 人社網(wǎng)絡(luò)安全現(xiàn)狀和面臨的安全問題

2.1 從專網(wǎng)向互聯(lián)網(wǎng)模式轉(zhuǎn)變

自人社金保專網(wǎng)建立以來，經(jīng)過金保一期、二期的不斷升級(jí)，業(yè)務(wù)網(wǎng)絡(luò)發(fā)展到了覆蓋全國(guó)、聯(lián)通城鄉(xiāng)的多級(jí)分層網(wǎng)絡(luò)，趨于業(yè)務(wù)覆蓋面、信息安全和穩(wěn)定的考慮，網(wǎng)絡(luò)和業(yè)務(wù)全部基于專網(wǎng)、專線、專用的架構(gòu)，在這一封閉的結(jié)構(gòu)中，網(wǎng)絡(luò)安全得到基本保證。

隨著社會(huì)和政策業(yè)務(wù)的不斷發(fā)展，這種架構(gòu)顯現(xiàn)了越來越多的局限性，因此在金保專網(wǎng)的基礎(chǔ)上，逐步推進(jìn)互聯(lián)網(wǎng)應(yīng)用，業(yè)務(wù)向互聯(lián)網(wǎng)模式轉(zhuǎn)變。但是由于前期的深度封閉化運(yùn)行，人社業(yè)務(wù)在網(wǎng)絡(luò)安全方面明顯落后于互聯(lián)網(wǎng)開放水平，在由專網(wǎng)運(yùn)行向互聯(lián)網(wǎng)轉(zhuǎn)變的過程中出現(xiàn)了較為棘手的問題。2016年度，人社領(lǐng)域在互聯(lián)網(wǎng)應(yīng)用集中爆發(fā)了諸如業(yè)務(wù)邏輯漏洞、數(shù)據(jù)泄漏、網(wǎng)絡(luò)滲透等一系列安全事件。

2.2 目前面臨的網(wǎng)絡(luò)安全問題分析

2.2.1 網(wǎng)絡(luò)基礎(chǔ)結(jié)構(gòu)安全性脆弱，容易被滲透

人社互聯(lián)網(wǎng)應(yīng)用布署完全基于原有專網(wǎng)結(jié)構(gòu)改造，僅僅在原有基礎(chǔ)上增加業(yè)務(wù)區(qū)域，整體網(wǎng)絡(luò)結(jié)構(gòu)缺乏全面性的網(wǎng)絡(luò)安全考慮和設(shè)計(jì)。網(wǎng)絡(luò)結(jié)構(gòu)模型通透、簡(jiǎn)單，安全防護(hù)層級(jí)較少，安全策略設(shè)計(jì)因考慮不周失守后，極易全網(wǎng)滲透。

2.2.2 軟件升級(jí)和漏洞補(bǔ)丁修復(fù)滯后

出于對(duì)業(yè)務(wù)系統(tǒng)穩(wěn)定性的考慮，前置應(yīng)用、中間件等基礎(chǔ)容器升級(jí)滯后，版本較為老舊，軟件漏洞未能及時(shí)修復(fù)。

2.2.3 安全措施被動(dòng)，過度依賴常規(guī)安全硬件

金保專網(wǎng)從建立初期至今，普遍依據(jù)現(xiàn)有相關(guān)法律規(guī)定購(gòu)置和布署了各類安全硬件設(shè)備，例如早期網(wǎng)絡(luò)物理隔離GAP（網(wǎng)閘）、防火墻、病毒防護(hù)等，基本依靠預(yù)定義規(guī)則防護(hù)，如今入侵破壞手段層出不窮，此類設(shè)備難以動(dòng)態(tài)、完整的分析網(wǎng)絡(luò)數(shù)據(jù)流，無法做到有效防護(hù)。網(wǎng)絡(luò)設(shè)備本身可能有一些安全問題，缺少對(duì)硬件設(shè)備的防護(hù)措施。

2.2.4 互聯(lián)網(wǎng)應(yīng)用（業(yè)務(wù)）入口過于臃腫開放，關(guān)鍵入口保護(hù)不夠

人社系統(tǒng)業(yè)務(wù)邏輯復(fù)雜，為保證覆蓋各類事務(wù)和業(yè)務(wù)流，普遍使用大而集中的開發(fā)架構(gòu)，很難做到最小化布署，無關(guān)業(yè)務(wù)接口和軟件代碼容易外泄。

在原有人社專網(wǎng)保護(hù)環(huán)境下，業(yè)務(wù)系統(tǒng)僅對(duì)預(yù)定的機(jī)構(gòu)、窗口和相關(guān)人員開放，使用人訪問控制較為容易，封閉的網(wǎng)絡(luò)和應(yīng)用環(huán)境致使開發(fā)過程中對(duì)代碼審核、字符I/O過濾控制相對(duì)薄弱，應(yīng)用本身可能出現(xiàn)BUG缺陷。在互聯(lián)網(wǎng)安全系統(tǒng)中都會(huì)存在一定的漏洞，有的是設(shè)計(jì)人員故意為之，為了能夠再出現(xiàn)意外的時(shí)候，管理人員順利進(jìn)入系統(tǒng)中。但是這樣的漏洞常常被黑客利用起來，許多非法入侵的人有了更多攻擊系統(tǒng)的便利條件。有的時(shí)候破壞者會(huì)通過這些漏洞發(fā)出較多的鏈接，以此來增加系統(tǒng)的負(fù)荷，出現(xiàn)請(qǐng)求超時(shí)的情況，從而嚴(yán)重影響網(wǎng)絡(luò)系統(tǒng)的正常使用。

互聯(lián)網(wǎng)應(yīng)用發(fā)展初期普遍采用較為原始的HTTP協(xié)議布署，信息流明文傳輸，攻擊者可截取數(shù)據(jù)報(bào)文或偽造站點(diǎn)劫持用戶訪問，造成數(shù)據(jù)信息泄漏。部分需明確訪問群體的關(guān)鍵應(yīng)用難以控制。

2.2.5 缺少有效的日志監(jiān)控策略

現(xiàn)有業(yè)務(wù)應(yīng)用日志、安全日志、設(shè)備日志等信息僅發(fā)揮排錯(cuò)作用，未形成集中的日志審核措施，關(guān)鍵問題無法做到實(shí)時(shí)發(fā)現(xiàn)和處置。

3 針對(duì)問題的應(yīng)對(duì)措施

3.1 全面審視網(wǎng)絡(luò)結(jié)構(gòu)，合理規(guī)劃設(shè)計(jì)區(qū)域和層級(jí)，做到多層次防護(hù)

如圖1所示，在保證原有金保網(wǎng)絡(luò)和人社業(yè)務(wù)系統(tǒng)穩(wěn)定運(yùn)行的基礎(chǔ)上，綜合考慮了互聯(lián)網(wǎng)應(yīng)用對(duì)網(wǎng)絡(luò)結(jié)構(gòu)方面的新要求，把整個(gè)業(yè)務(wù)流模型按處理邏輯區(qū)分為“前置應(yīng)用-數(shù)據(jù)交換應(yīng)用-中間件-核心數(shù)據(jù)”四個(gè)區(qū)域，細(xì)化區(qū)域間交互接口邏輯，邊界和各區(qū)域之間布署安全防護(hù)設(shè)備和策略。網(wǎng)絡(luò)準(zhǔn)入方面依據(jù)“僅允許”思維設(shè)計(jì)，細(xì)化業(yè)務(wù)訪問URL和路徑，最小化開放。區(qū)域間接口調(diào)用路徑采用雙向地址轉(zhuǎn)換技術(shù)隱藏各區(qū)域真實(shí)IP，各區(qū)域IP、路由信息獨(dú)立同時(shí)設(shè)置黑洞路由，未匹配到轉(zhuǎn)換策略的數(shù)據(jù)報(bào)文一律丟棄。

3.2 安全防護(hù)多樣化、透明化，布署可動(dòng)態(tài)識(shí)別、完整分析的防護(hù)措施，杜絕設(shè)備缺陷

如圖2所示，邊界、前置應(yīng)用及中間件區(qū)域側(cè)采用雙層防火墻，兩臺(tái)防火墻各自IP、路由信息獨(dú)立不關(guān)聯(lián)，僅識(shí)別直聯(lián)網(wǎng)絡(luò)，安全策略采用“僅允許”模式設(shè)計(jì)，數(shù)據(jù)報(bào)文通信需經(jīng)過DNAT←→SNAT←→DNAT雙向、多次NAT轉(zhuǎn)換，阻斷直接網(wǎng)絡(luò)訪問并隱藏網(wǎng)絡(luò)細(xì)節(jié)；防火墻采用不同品牌，杜絕設(shè)備可能的相同底層缺陷。

設(shè)置應(yīng)用識(shí)別分發(fā)代理，用戶訪問應(yīng)用一律經(jīng)由代理應(yīng)用精確匹配URL和二級(jí)路徑，觸發(fā)式響應(yīng)用戶訪問；未匹配至策略流量引導(dǎo)至蜜罐系統(tǒng)記錄分析，杜絕惡意掃描，亦可設(shè)置聯(lián)動(dòng)選擇性屏蔽惡意訪問的源IP。

防火墻間透明化布署IPS動(dòng)態(tài)識(shí)別入侵防御和WAF應(yīng)用安全防護(hù)，對(duì)應(yīng)用層入侵手段諸如SQL注入、溢出攻擊、暴力破解等識(shí)別阻斷，同時(shí)配置僅允許NAT后的數(shù)據(jù)報(bào)文通過；保護(hù)防火墻設(shè)備本身不被入侵。

中間件、數(shù)據(jù)交換和核心數(shù)據(jù)區(qū)域間布署防火墻，依據(jù)控制需要設(shè)計(jì)安全策略；對(duì)區(qū)域內(nèi)和區(qū)域間流量進(jìn)行鏡像存儲(chǔ)，交予IDS系統(tǒng)對(duì)流量拼接重組，綜合識(shí)別并分析，檢測(cè)發(fā)現(xiàn)可疑流量記錄告警。

3.3 互聯(lián)網(wǎng)應(yīng)用訪問通信全程加密，杜絕數(shù)據(jù)泄漏；關(guān)鍵應(yīng)用雙向加密認(rèn)證，控制訪問群體

如圖3所示，互聯(lián)網(wǎng)+人社業(yè)務(wù)應(yīng)用全部實(shí)現(xiàn)基于用戶、密碼認(rèn)證。普通公眾類查詢服務(wù)用戶群體廣泛，采用單向SSL認(rèn)證加密，使用全球可信證書頒發(fā)機(jī)構(gòu)頒發(fā)的數(shù)字證書配合布署應(yīng)用，實(shí)現(xiàn)站點(diǎn)可信認(rèn)證、通信過程加密；交易、經(jīng)辦類業(yè)務(wù)等關(guān)鍵服務(wù)訪問模式相對(duì)可控，采用雙向SSL認(rèn)證加密，搭建私有CA體系，針對(duì)特定應(yīng)用用戶或終端頒發(fā)私有證書，在接口調(diào)用、用戶和終端訪問時(shí)要求對(duì)方提供證書，實(shí)現(xiàn)站點(diǎn)可信認(rèn)證、通信過程加密的基礎(chǔ)上進(jìn)一步對(duì)接口使用者、用戶或終端的身份、有效期進(jìn)行認(rèn)證。

3.4 嚴(yán)格把關(guān)軟件代碼審核，最小化布署；定時(shí)升級(jí)軟件，及時(shí)修復(fù)漏洞

互聯(lián)網(wǎng)應(yīng)用嚴(yán)格最小化布署，剔除無用代碼及組件，把控好代碼審核，盡可能減少軟件本身缺陷；制定軟件升級(jí)和修復(fù)計(jì)劃，在做足兼容性、穩(wěn)定性測(cè)試的條件下按計(jì)劃升級(jí)軟件版本，及時(shí)修復(fù)漏洞。

3.5 集中日志，定義規(guī)則實(shí)時(shí)審核狀態(tài)，做到問題早發(fā)現(xiàn)，及時(shí)處置

建立集中監(jiān)控告警系統(tǒng)，所有應(yīng)用、軟件、操作系統(tǒng)、設(shè)備日志集中管理，設(shè)計(jì)日志分析規(guī)則，實(shí)時(shí)分析所有對(duì)象在可用性、安全性方面狀態(tài)；配置多樣化告警，針對(duì)不同級(jí)別告警實(shí)現(xiàn)窗體消息、郵件、短信甚至聯(lián)動(dòng)等自動(dòng)化安全預(yù)警。

3.6 密碼管理，制定密碼管理策略，確定密碼更新周期

改變每個(gè)新的和現(xiàn)有系統(tǒng)中的所有默認(rèn)密碼，密碼應(yīng)使用隨機(jī)密碼生成軟件生成，每三十天更新密碼一次；所有內(nèi)網(wǎng)主機(jī)關(guān)閉遠(yuǎn)程登錄功能，屏蔽telnet應(yīng)用，將嘗試登錄認(rèn)證失敗的次數(shù)設(shè)置為一個(gè)特定的值，當(dāng)超過規(guī)定的次數(shù)時(shí)將自動(dòng)關(guān)閉該賬戶。

4 人社網(wǎng)絡(luò)安全的發(fā)展趨勢(shì)

如今，攻擊者可以肆意利用的工具多于以往。而且，他們還會(huì)狡猾地適時(shí)選用各種工具，牟取最大利益。移動(dòng)終端和在線流量激增，讓攻擊者如虎添翼。他們不僅有更大的行動(dòng)空間，所能利用的攻擊目標(biāo)和攻擊手段也更加廣泛。

面對(duì)日益擴(kuò)大的威脅形勢(shì)，人社部門可采用大量的策略來應(yīng)對(duì)這些挑戰(zhàn)。一方面，可以購(gòu)買各種獨(dú)立工作的同類最佳解決方案，來獲得信息和保護(hù)。另一方面，可以招募人才成立安全團(tuán)隊(duì)。要完全阻止所有攻擊是不現(xiàn)實(shí)的。但是，我們可以通過限制攻擊者的行動(dòng)空間，來抑制其對(duì)人社信息的危害，從而最大限度降低風(fēng)險(xiǎn)和威脅的影響。作為一種可行的措施，我們可以將所有安全工具簡(jiǎn)化為一套互聯(lián)的集成安全架構(gòu)。在自動(dòng)化的架構(gòu)中配合使用集成安全工具，可簡(jiǎn)化檢測(cè)和緩解威脅的過程。

網(wǎng)絡(luò)安全技術(shù)不再是單一技術(shù)壁壘，它會(huì)存在于互聯(lián)網(wǎng)全面性發(fā)展的整個(gè)過程中。各類安全問題層出不窮，以往個(gè)體式的安全防護(hù)已經(jīng)無法滿足需要。互聯(lián)網(wǎng)發(fā)展提倡數(shù)據(jù)共享，通過收集和分析數(shù)據(jù)等，最終所有網(wǎng)絡(luò)安全信息、知識(shí)庫(kù)集中于云安全，借助大數(shù)據(jù)精確分析匹配，針對(duì)性的安全防護(hù)策略和聯(lián)動(dòng)機(jī)制將會(huì)成為主流。

5 結(jié)束語(yǔ)

“互聯(lián)網(wǎng)+人社”戰(zhàn)略為人社網(wǎng)絡(luò)安全領(lǐng)域帶來從觀念意識(shí)，到技術(shù)、管理、監(jiān)管等多個(gè)層面的全新挑戰(zhàn)。面對(duì)“互聯(lián)網(wǎng)+”環(huán)境下信息安全需求的大幅提高和升級(jí)，如何把握時(shí)代機(jī)遇，為“互聯(lián)網(wǎng)+”時(shí)代整個(gè)社會(huì)經(jīng)濟(jì)安全、健康發(fā)展保駕護(hù)航，是信息安全領(lǐng)域需要思考的新課題。

本文討論了“互聯(lián)網(wǎng)+人社”公共服務(wù)的背景下人社領(lǐng)域信息安全面臨的問題，從網(wǎng)絡(luò)架構(gòu)設(shè)計(jì)、邊界防護(hù)、通信加密、代碼審核和日志監(jiān)控等方面，分別提出具體的網(wǎng)絡(luò)安全策略，給出了人社網(wǎng)絡(luò)安全架構(gòu)設(shè)計(jì)方案。本方案能夠有效降低入侵攻擊的風(fēng)險(xiǎn)，為互聯(lián)網(wǎng)+人社公共服務(wù)提供了一種安全的訪問手段。但是，網(wǎng)絡(luò)安全技術(shù)不斷發(fā)展，黑客入侵手段層出不窮，網(wǎng)絡(luò)防護(hù)的策略和架構(gòu)設(shè)計(jì)也要不斷迭代和完善。

參考文獻(xiàn)

[1]寧向延，張順頤.網(wǎng)絡(luò)安全現(xiàn)狀與技術(shù)發(fā)展[J].南京郵電大學(xué)學(xué)報(bào)（自然科學(xué)版），2012（05）：49-58.

[2]陳鑫杰.淺談如何構(gòu)建安全計(jì)算機(jī)網(wǎng)絡(luò)[J].數(shù)字技術(shù)與應(yīng)用，2012.

[3]孫小芳，李妍緣，朱勁松，時(shí)存.網(wǎng)絡(luò)安全現(xiàn)狀分析與發(fā)展趨勢(shì)[J].電子制作，2014（20）：135.

[4]張康林.網(wǎng)絡(luò)安全技術(shù)的現(xiàn)狀與發(fā)展趨勢(shì)[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2015（04）：176+179.

[5]張衛(wèi)清.網(wǎng)絡(luò)安全與網(wǎng)絡(luò)安全文化[D].南華大學(xué)，2006.

作者簡(jiǎn)介

朱忠池（1974-），男，山東省濰坊市人。碩士研究生?，F(xiàn)供職于濰坊市人力資源和社會(huì)保障信息中心，從事信息化管理工作。

作者單位

濰坊市人力資源和社會(huì)保障信息中心 山東省濰坊市 261041