大數(shù)據(jù)時(shí)代網(wǎng)絡(luò)出口安全問(wèn)題及對(duì)策研究

唐紹家

【摘要】本文從規(guī)劃建設(shè)、運(yùn)維管理等方面，探索適合現(xiàn)代企業(yè)電子商務(wù)應(yīng)用的互聯(lián)網(wǎng)出口安全系統(tǒng)，利用合理的結(jié)構(gòu)和技術(shù)手段，提高互聯(lián)網(wǎng)出口整體安全防護(hù)水平。

【關(guān)鍵詞】應(yīng)用發(fā)布;互聯(lián)網(wǎng)出口;網(wǎng)絡(luò)攻擊;安全防護(hù)

【基金項(xiàng)目】石家莊市科學(xué)技術(shù)研究與發(fā)展計(jì)劃項(xiàng)目，編號(hào)：201130411A

中圖分類號(hào)：TN92? ? ? ? ? ? ? ? ? ?文獻(xiàn)標(biāo)識(shí)碼：A? ? ? ? ? ? ? ? ? ? ? ?DOI：10.12246/j.issn.1673-0348.2021.011..032

“互聯(lián)網(wǎng)+”行動(dòng)計(jì)劃，從2015年3月李克強(qiáng)總理提出到現(xiàn)在，只有短短三年時(shí)間，互聯(lián)網(wǎng)已經(jīng)以迅猛不可阻擋的勢(shì)頭滲透到了人們的衣食住行各個(gè)方面。人們?nèi)找孓D(zhuǎn)變的意識(shí)觀念和新的消費(fèi)形態(tài)，促使企業(yè)爭(zhēng)先恐后的駛上internet這條信息高速公路，各種電子商務(wù)、服務(wù)平臺(tái)如雨后春筍一樣破土而出，在給企業(yè)帶來(lái)商機(jī)的同時(shí)，也同樣使企業(yè)面臨挑戰(zhàn)和考驗(yàn)。

1. 宕機(jī)事件概述

2017年2月28日，號(hào)稱亞馬遜AWS最穩(wěn)定的云存儲(chǔ)服務(wù)S3出現(xiàn)“超高錯(cuò)誤率”的宕機(jī)事件。2015年5月27日下午，支付寶錢包客戶端出現(xiàn)系統(tǒng)癱瘓，約兩個(gè)小時(shí)之后，支付寶恢復(fù)正常，宕機(jī)事件所涉及到的地區(qū)以及造成的經(jīng)濟(jì)損失無(wú)法估算，同時(shí)引發(fā)用戶對(duì)支付寶資金安全的擔(dān)憂。

這例子提醒我們，企業(yè)可以依靠互聯(lián)網(wǎng)得到榮耀和資本，但互聯(lián)網(wǎng)應(yīng)用中任何一個(gè)微小的失誤，都可能發(fā)展成為不可挽回的損失，使客戶的利益受損，使企業(yè)蒙羞甚至落沒(méi)。

2. 互聯(lián)網(wǎng)出口系統(tǒng)面臨的威脅

企業(yè)建立互聯(lián)網(wǎng)出口，將對(duì)外應(yīng)用發(fā)布出去，就意味著該互聯(lián)網(wǎng)出口要承載不計(jì)其數(shù)的不可控的用戶訪問(wèn)，在為用戶提供服務(wù)的同時(shí)，面臨著各式各樣的威脅。

3. 安全的互聯(lián)網(wǎng)出口系統(tǒng)

以上提到的如此多的威脅，全部來(lái)源于互聯(lián)網(wǎng)，作為連接企業(yè)與互聯(lián)網(wǎng)的樞紐，互聯(lián)網(wǎng)出口區(qū)域的重要性不言而喻。那么如何建立一套強(qiáng)壯、敬業(yè)、可靠的出口系統(tǒng)，在這場(chǎng)充滿硝煙的互聯(lián)網(wǎng)戰(zhàn)場(chǎng)上，為企業(yè)謀取生存和發(fā)展呢？

3.1 架構(gòu)設(shè)計(jì)

良好架構(gòu)設(shè)計(jì)是實(shí)現(xiàn)互聯(lián)網(wǎng)出口系統(tǒng)可用、可靠、安全的前提。在互聯(lián)網(wǎng)出口系統(tǒng)開始建設(shè)之前，就要充分考慮合理的物理和鏈路架構(gòu)，使其具有良好的冗余性能和升級(jí)擴(kuò)展性能，力求其在內(nèi)部系統(tǒng)軟件生命周期中盡可能長(zhǎng)時(shí)間的穩(wěn)定可靠運(yùn)行，同時(shí)為內(nèi)部系統(tǒng)提供強(qiáng)有力的安全防護(hù)。推薦的互聯(lián)網(wǎng)出口系統(tǒng)架構(gòu)：

拓?fù)鋱D中的互聯(lián)網(wǎng)出口系統(tǒng)由多種網(wǎng)絡(luò)和安全設(shè)備構(gòu)成，實(shí)現(xiàn)路由選擇、路由轉(zhuǎn)發(fā)、地址轉(zhuǎn)換等數(shù)據(jù)通訊功能，并通過(guò)安全設(shè)備阻擋來(lái)自互聯(lián)網(wǎng)的攻擊和病毒入侵。整套系統(tǒng)設(shè)計(jì)著眼于加強(qiáng)以下幾方面：（1）可靠性——整套系統(tǒng)可靠性從兩方面加強(qiáng)，一方面企業(yè)同時(shí)租用多個(gè)運(yùn)行商鏈路接入互聯(lián)網(wǎng)，起到鏈路備份功能，其中任何一條鏈路中斷，不會(huì)對(duì)互聯(lián)網(wǎng)應(yīng)用產(chǎn)生大的影響;另一方面，交換機(jī)采用堆疊的方式部署，互聯(lián)網(wǎng)線路和雙網(wǎng)卡服務(wù)器接入同一堆疊組中的不同交換機(jī)。安全設(shè)備全部采用雙機(jī)熱備方式，通過(guò)心跳線同步設(shè)備配置和監(jiān)聽網(wǎng)絡(luò)狀態(tài)，整套系統(tǒng)具有很強(qiáng)的硬件的冗余能力。（2）可用性——多電信運(yùn)營(yíng)商線路的接入，不僅可以增加帶寬，通過(guò)鏈路負(fù)載均衡器，還能對(duì)來(lái)自不同運(yùn)營(yíng)商的用戶流量進(jìn)行引導(dǎo)，起到分流作用的同時(shí)提高用戶訪問(wèn)速度;對(duì)外發(fā)布應(yīng)用的服務(wù)器區(qū)，部署專用的服務(wù)器負(fù)載均衡設(shè)備，提高服務(wù)器集群部署靈活度，優(yōu)化用戶訪問(wèn)流量的分配，提高對(duì)外發(fā)布系統(tǒng)的響應(yīng)速度和整體性能。（3）安全性——設(shè)立DMZ區(qū)，放置對(duì)外應(yīng)用服務(wù)器，加強(qiáng)不同安全區(qū)域之間安全管理。合理規(guī)劃安全設(shè)備部署，根據(jù)設(shè)備所處位置面臨的網(wǎng)絡(luò)威脅，確定設(shè)備選型。利用不同的設(shè)備功能，構(gòu)建縱深防御體系，通過(guò)層層過(guò)濾和攔截，最大可能的減少到達(dá)DMZ區(qū)的不安全因素。

3.2 安全系統(tǒng)構(gòu)成

3.2.1 抗DDOS防火墻

網(wǎng)絡(luò)攻擊者，通過(guò)組織多臺(tái)互聯(lián)網(wǎng)上的計(jì)算機(jī)，短時(shí)間內(nèi)向同一個(gè)攻擊目標(biāo)發(fā)送大量的或者虛假的服務(wù)請(qǐng)求，造成網(wǎng)絡(luò)資源浪費(fèi)、鏈路帶寬堵塞、服務(wù)器資源耗盡而無(wú)法處理合法用戶的正常請(qǐng)求甚至業(yè)務(wù)中斷，這就是DDOS攻擊。DDOS硬件防火墻可以對(duì)通過(guò)它的數(shù)據(jù)流量進(jìn)行檢測(cè)和清洗過(guò)濾，通過(guò)制定數(shù)據(jù)包過(guò)濾規(guī)則、流指紋檢測(cè)過(guò)濾、及數(shù)據(jù)包內(nèi)容定制過(guò)濾等特有技術(shù)，準(zhǔn)確識(shí)別出不正常的外來(lái)流量，攔截外來(lái)異常流量后，再將正常數(shù)據(jù)流量回注入網(wǎng)絡(luò)，以達(dá)到網(wǎng)絡(luò)防護(hù)目的。

3.2.2 負(fù)載均衡

根據(jù)業(yè)務(wù)需求，互聯(lián)網(wǎng)出口系統(tǒng)可能需要部署一套或多套負(fù)載均衡設(shè)備。服務(wù)器負(fù)載均衡器部署DMZ區(qū)域，主要作用是將外部訪問(wèn)數(shù)據(jù)流根據(jù)需求分發(fā)到服務(wù)器群的各個(gè)服務(wù)器上，減少單臺(tái)服務(wù)器壓力，提高服務(wù)器組的整體可用性。服務(wù)器負(fù)載均衡設(shè)備建議采用旁路部署方式，在不改變?cè)W(wǎng)絡(luò)結(jié)構(gòu)的前提下，簡(jiǎn)化部署流程，而且旁路部署模式靈活性和可擴(kuò)展性更高，在負(fù)載均衡器故障的特殊情況下，對(duì)主體網(wǎng)絡(luò)應(yīng)用的影響也較小。需要注意的是，從下面的拓?fù)鋱D可以看出，采用旁路的部署方式，負(fù)載均衡器連接鏈路的數(shù)據(jù)傳輸帶寬壓力較大，可以采用鏈路聚合的技術(shù)，將負(fù)載均衡器與接入設(shè)備的多條物理鏈路進(jìn)行匯聚，保障所需的鏈路帶寬，同時(shí)實(shí)現(xiàn)鏈路冗余。

3.2.3 安全網(wǎng)關(guān)、WAF

互聯(lián)網(wǎng)出口系統(tǒng)中主要的網(wǎng)絡(luò)防護(hù)功能，是依靠安全網(wǎng)關(guān)和WAF設(shè)備實(shí)現(xiàn)的。安全網(wǎng)關(guān)是防火墻、入侵防御、防毒墻系統(tǒng)的整合，具備上述三類設(shè)備的主要功能。當(dāng)然，在經(jīng)濟(jì)條件允許的情況下，企業(yè)可以分別部署這三類設(shè)備，以獲得更好的防護(hù)效果?；ヂ?lián)網(wǎng)出口系統(tǒng)中，對(duì)外提供服務(wù)最為頻繁的應(yīng)該就是WEB應(yīng)用服務(wù)器，高頻次的訪問(wèn)，也使WEB服務(wù)器承受更多的暴露次數(shù)和攻擊壓力。雖然訪問(wèn)數(shù)據(jù)在到達(dá)WEB服務(wù)器之前，通過(guò)安全網(wǎng)關(guān)的過(guò)濾和攔截，但由于安全網(wǎng)關(guān)性能所限和基于已知漏洞和攻擊行為進(jìn)行防護(hù)的特性，依然有部分針對(duì)WEB服務(wù)器進(jìn)行攻擊的偽裝數(shù)據(jù)被放行。

3.2.4 上網(wǎng)行為管理

上網(wǎng)行為管理系統(tǒng)可以實(shí)現(xiàn)用戶實(shí)名制認(rèn)證、互聯(lián)網(wǎng)訪問(wèn)資源控制、應(yīng)用程序控制、帶寬管理、上網(wǎng)內(nèi)容審計(jì)記錄等功能，從而起到規(guī)范員工上網(wǎng)、凈化網(wǎng)絡(luò)環(huán)境的作用，現(xiàn)已成為企業(yè)互聯(lián)網(wǎng)出口系統(tǒng)必不可少的一個(gè)重要環(huán)節(jié)。企業(yè)可以將內(nèi)部人員上網(wǎng)和外部人員訪問(wèn)兩套系統(tǒng)進(jìn)行分離。

3.3 內(nèi)部安全管理

雖然各種網(wǎng)絡(luò)攻擊的新聞不絕于耳，但常被忽視的一個(gè)事實(shí)是：越來(lái)越多網(wǎng)絡(luò)攻擊的源頭來(lái)自企業(yè)機(jī)構(gòu)內(nèi)部。公司雇員、系統(tǒng)集成商、或者是與公司有數(shù)據(jù)往來(lái)的外部單位。這些攻擊源頭都有一個(gè)共性：即他們?cè)谝欢ǔ潭壬?，被授?quán)來(lái)訪問(wèn)或操作企業(yè)的網(wǎng)絡(luò)設(shè)備或數(shù)據(jù)資料。源于內(nèi)部的網(wǎng)絡(luò)攻擊可能是無(wú)意為之，也可能是主觀惡意的行為，其結(jié)果往往造成重大的破壞，因?yàn)楣粼搭^有更高級(jí)別的訪問(wèn)權(quán)限，攻擊的對(duì)象則往往是企業(yè)信息系統(tǒng)的核心構(gòu)成元素。

3.3.1 運(yùn)維操作審計(jì)

企業(yè)互聯(lián)網(wǎng)出口系統(tǒng)為了發(fā)揮系統(tǒng)功能，由多種設(shè)備組成，包括網(wǎng)絡(luò)傳輸設(shè)備、網(wǎng)絡(luò)安全設(shè)備、服務(wù)器等，技術(shù)涉及范圍很廣，系統(tǒng)運(yùn)維必定由多名管理人員完成。通過(guò)對(duì)企業(yè)內(nèi)部人員的操作行為進(jìn)行身份認(rèn)證、授權(quán)、審計(jì)、監(jiān)控和記錄，消除運(yùn)維過(guò)程中的管理盲區(qū)，使內(nèi)部人員的操作可以防范、記錄和追溯。運(yùn)維操作審計(jì)系統(tǒng)的部署方式很簡(jiǎn)單，一般采用旁路部署。

操作審計(jì)系統(tǒng)應(yīng)部署在內(nèi)部網(wǎng)絡(luò)區(qū)域，以減少不必要的數(shù)據(jù)流量穿越安全網(wǎng)關(guān)，部署完成后，需開啟網(wǎng)絡(luò)安全設(shè)備的管理主機(jī)地址過(guò)濾，將操作審計(jì)系統(tǒng)IP地址添加到管理主機(jī)列表，并且在安全網(wǎng)關(guān)開放操作審計(jì)系統(tǒng)IP地址到需運(yùn)維服務(wù)器的IP地址和相應(yīng)端口的訪問(wèn)權(quán)限。為防止操作審計(jì)系統(tǒng)IP地址被冒用，建議在內(nèi)網(wǎng)核心交換設(shè)置其IP地址和MAC地址的靜態(tài)ARP列表。

3.3.2 軟件開發(fā)安全

在上面的所做的各種工作中，企業(yè)竭盡所能，建立了一層層的安全防護(hù)，用以保護(hù)關(guān)鍵的對(duì)外發(fā)布應(yīng)用區(qū)域的安全，這些措施雖然有效，但卻不能完全依賴，網(wǎng)絡(luò)攻擊技術(shù)的隱秘化、多樣化，使再堅(jiān)固的防御也有被滲透的可能。所以，企業(yè)在重視系統(tǒng)外圍安全建設(shè)的同時(shí)，也要關(guān)注軟件系統(tǒng)本身的健康水平。關(guān)注安全需求分析、結(jié)構(gòu)設(shè)計(jì)安全、編程語(yǔ)言安全、安全測(cè)試等各個(gè)軟件安全開發(fā)階段，將安全的理念貫徹軟件系統(tǒng)開發(fā)和使用的全過(guò)程，建立軟件系統(tǒng)開發(fā)安全審計(jì)、監(jiān)督過(guò)程，切實(shí)降低軟件系統(tǒng)漏洞、后門存在的概率，防止帶病軟件上線運(yùn)行，減少安全隱患。

總結(jié)：建立一套可靠、安全、高性能的互聯(lián)網(wǎng)出口系統(tǒng)，保障企業(yè)對(duì)外應(yīng)用系統(tǒng)平穩(wěn)、高效的運(yùn)行，會(huì)給用戶帶來(lái)信任和安全感，也會(huì)給企業(yè)創(chuàng)造財(cái)富和價(jià)值。這不僅需要企業(yè)投入人力、物力和財(cái)力進(jìn)行系統(tǒng)建設(shè)和運(yùn)維，同時(shí)需要企業(yè)提高在安全管理方面的關(guān)注度。只有兩方面平衡發(fā)展，才能使企業(yè)這艘航船在互聯(lián)網(wǎng)的海洋里乘風(fēng)破浪，暢行無(wú)阻。

參考文獻(xiàn)：

[1]莫岱青.中國(guó)電子商務(wù)研究中心評(píng)攜程網(wǎng)癱瘓[J].計(jì)算機(jī)與網(wǎng)絡(luò)，2015，41（11）：8-9.

[2]李晶.大數(shù)據(jù)時(shí)代黑客現(xiàn)象的倫理問(wèn)題及其對(duì)策研究[D].暨南大學(xué)，2018.

[3]李君秋，王法能.入侵檢測(cè)系統(tǒng)中模式匹配算法研究[J].計(jì)算機(jī)安全，2011（02）：43-46.