奧運信息安全不簡單

（特約撰稿方枝）雅典、都靈奧運會比賽的順利進行與信息安全系統的大力保障息息相關，面對包括服務器、網絡交換機、路由器、應用軟件系統等17，000多個系統需要被監控的北京2008年奧運會，如何有效保障信息安全，成為奧運會籌備工作中面臨的最大挑戰。

在16天的雅典奧運會比賽中，記錄顯示有超過500萬起信息技術安全報警信息，其中嚴重警報425起、危急警報20起。而在都靈冬奧會的17天比賽期間，共統計到52，855，848起安全報警，嚴重警報達185個。

與往屆相比，2008年北京奧運會新增了很多需求，比如眾多遠距離場館的網絡聯通、參會人數的眾多等等。那么，如何保證比賽網絡的高可用性和實時性？如何保證賽事成績等機密信息不被篡改？如何保證系統設備持續運行不宕機？這一切成了各界人士關注奧運的焦點。為此記者采訪了北京2008奧運會信息安全負責人來針對這些問題做一一解答。

多層保護齊上陣

從硬件系統的服務器、工作站等網絡設備，到軟件系統如操作系統的版本、補丁、BIOS設置（軟驅、光驅、USB的控制等）、注冊表設置，比賽網的所有系統都采用標準定制和統一模式，以此保證更大程度的可控性。除非特殊需要，電腦上的軟驅、光驅和USB都是禁用的，數據僅通過FTP服務器在比賽網和管理網間進行傳輸。

軟件部分采取的措施起到了加固操作系統的作用，如: 屏蔽普通用戶安裝軟件的權限; 及時更新并統一管理全部的補丁; 關掉不需要的進程和全部熱鍵。保障安全的一個原則就是通過操作系統統一的認證平臺確保提供給用戶組最小的訪問權限，即僅授予該用戶組在能夠完成工作的前提下最小的權限。

為了保障比賽網的高可用性，所有的網絡設備（包括路由器、交換機等）、網絡鏈路（包括電信運營商的鏈路設備），甚至數據中心都是雙重備份的。這樣，一旦某個系統出現故障，就會馬上轉到另一個系統中運行，從而確保全網沒有一個地方會造成單點故障而影響整個網絡。

隔離網絡風險小

除了對系統、硬件、軟件采取措施外，為了保證網絡高安全性，比賽網絡采用與互聯網沒有聯系的獨立網絡以減少來自互聯網的攻擊。但是由于比賽網與合作伙伴等外界聯系的需要，系統集成過程中采用專門劃分的雙層認證DMZ（非軍事區）進行網絡邊界管理，對每個對外連接的節點進行嚴格的流量控制，并且所有對外鏈接都要經過多重隔離。

據介紹，雙層DMZ中的第一層是在所有管理網、官方網的合作伙伴之間，如負責記分系統的OMEGA、負責電視廣播的北京奧林匹克廣播公司以及門戶網站搜狐等，第一層DMZ用來隔離較為可信的合作伙伴; 第二層DMZ則用來連接如國外的參賽報名系統、氣象信息匯報的氣象臺等不很可靠的互聯網連接。數據傳輸過程中的數據流向也是嚴格控制的，通常僅允許比賽網數據外傳，而從外向內的傳輸則幾乎不被允許。

在網絡系統接入方面也采取了嚴格的準入制度。每一個網絡端口只允許特定的設備在通過嚴格的安全檢測后接入，一旦發現非法網絡接入企圖，網絡監控系統便會立刻通知場館IT管理人員進行檢查。

網絡流量的分段是保障網絡安全的另一個重要手段。比賽網中不同的應用系統，如IDS、CIS、OVR、GMS等都運行于完全相隔的獨立虛擬網段（VLAN）中，由于跨越VLAN的流量會受到嚴格的訪問控制列表（ACL）的限制，任何非正常的跨越VLAN的流量都會觸動安全報警系統。這就保證了當一個系統受到攻擊時，其他系統都不會受到任何影響。

特別的安全等級制度

源訊及其合作伙伴為奧運專門開發的安全信息管理系統可謂是比賽網安全保障的核心所在，它是比賽網業務系統底層服務形態的支持系統，管理所有比賽網點發送的報警信息，保障奧運比賽網的信息安全。

技術運營中心TOC的中央監控與各場館的本地監控形成一個反應流程，并構成全網的信息安全管理系統。安全信息管理系統由安全報警信息的產生、收集和智能處理系統，中央分析反應系統和監控中心三大部分組成。安全報警信息產生、收集和智能處理系統從比賽網中所有的路由器、交換機、防火墻、入侵檢測設備、防病毒系統、Windows和UNIX系統中收集并保存各種與安全相關的報警信息，并通過智能處理系統，能對其進行縮減、過濾、分類、關聯、優先分級等多步處理后， 由中央風險反應系統處理產生獨立的安全報警事件，發布給安全監控中心，供信息安全專家分析處理。

該系統“比較特別”的智能動態處理功能可以智能地根據奧運會的比賽時間安排，動態地部署安全報警優先等級。 比如奧運會開幕時，來自國家體育場的報警信息將會是比較高的優先級，優先發布給安全監控中心，而此時乒乓球館如果沒有賽事，產生的報警信息優先級就會比較低。這種智能動態的優先級處理系統也是業界的首創。