為企業(yè)信息系統(tǒng)“上保險(xiǎn)”

□魏素辰

近年來，在中國石化信息工作“六統(tǒng)一”戰(zhàn)略方針的引導(dǎo)下，河北石油從公司到遍布全省的油庫、片區(qū)、開票點(diǎn)、加油站，全部實(shí)現(xiàn)了聯(lián)網(wǎng)。二次物流、OA、ERP、加油卡、零售管理、非油品等一大批系統(tǒng)的應(yīng)用，表明信息技術(shù)對企業(yè)日常經(jīng)營管理工作的支持力度不斷加大，應(yīng)用風(fēng)險(xiǎn)也逐漸顯現(xiàn)。如何實(shí)現(xiàn)信息安全高效的運(yùn)轉(zhuǎn)，成為企業(yè)需要研究的重要課題。

內(nèi)外網(wǎng)分設(shè)和細(xì)分虛擬網(wǎng)，用“院墻”圍出安全空間

經(jīng)過近幾年的建設(shè)，河北公司已經(jīng)實(shí)現(xiàn)全省聯(lián)網(wǎng)，網(wǎng)絡(luò)節(jié)點(diǎn)多，接入方式多樣，網(wǎng)絡(luò)結(jié)構(gòu)越來越復(fù)雜，對網(wǎng)絡(luò)建設(shè)和維護(hù)提出了越來越高的要求。網(wǎng)絡(luò)病毒傳染速度快，波及范圍廣，傳播途徑多種多樣，破壞性極大而且難以徹底清除，嚴(yán)重威脅著網(wǎng)絡(luò)的穩(wěn)定運(yùn)行。

病毒肆虐的原因，很大程度要?dú)w結(jié)于病毒滋生的溫床——企業(yè)局域網(wǎng)中能夠訪問因特網(wǎng)的微機(jī)。在企業(yè)中，員工素質(zhì)良莠不齊，很多人網(wǎng)絡(luò)知識(shí)有限，缺少病毒防范意識(shí)，一旦訪問帶毒的外部網(wǎng)站，下載帶毒文件，染毒文件通過文件共享、郵件服務(wù)等方式在企業(yè)內(nèi)部網(wǎng)傳遞，很容易造成一機(jī)中毒，全網(wǎng)傳播的情況。

為了改變這種病毒泛濫—查殺—再次中毒的被動(dòng)狀況，公司從病毒的途徑入手，積極在全省推動(dòng)內(nèi)外網(wǎng)隔離措施，徹底關(guān)閉病毒入侵的門戶。省公司為每個(gè)處室設(shè)立一個(gè)上網(wǎng)室，配備專門的上網(wǎng)微機(jī)。上網(wǎng)微機(jī)單獨(dú)劃分為一個(gè)局域網(wǎng)，通過進(jìn)行局域網(wǎng)間訪問控制，使上網(wǎng)用微機(jī)不能訪問辦公網(wǎng)絡(luò)，而辦公微機(jī)不能訪問因特網(wǎng)和上網(wǎng)微機(jī)，封殺私自架設(shè)代理服務(wù)器的功能。2009年，公司又在11個(gè)市公司推廣了這種網(wǎng)絡(luò)模式。市公司根據(jù)實(shí)際情況，共建立16個(gè)上網(wǎng)室，配備上網(wǎng)電腦100臺(tái)，封閉了辦公微機(jī)的上網(wǎng)功能，禁止上網(wǎng)室微機(jī)訪問內(nèi)部辦公網(wǎng)。

為了進(jìn)一步防范病毒傳播，優(yōu)化細(xì)分內(nèi)網(wǎng)結(jié)構(gòu)，省公司對辦公樓的網(wǎng)絡(luò)進(jìn)行了全新的規(guī)劃和設(shè)計(jì)，按照樓層和應(yīng)用類別，采用VLAN劃分局域網(wǎng)，將全樓劃分為30個(gè)虛擬局域網(wǎng)，并且在VLAN間控制訪問權(quán)限，終端所在VLAN可以自由訪問服務(wù)器VLAN，而終端VLAN之間不能隨意訪問。此后，對11個(gè)市公司網(wǎng)絡(luò)模式也進(jìn)行了改造。市公司根據(jù)實(shí)際情況，采用按樓層、按處室、按功能等方式在本公司局域網(wǎng)劃分了VLAN，進(jìn)行相應(yīng)的VLAN訪問權(quán)限控制，有效抑制了病毒在終端微機(jī)之間的傳播，排除網(wǎng)絡(luò)故障的速度大大加快。同時(shí)，利用端口安全、限制MAC接入數(shù)量、端口MAC黏滯等技術(shù)手段，使交換機(jī)端口與上網(wǎng)微機(jī)一一綁定，杜絕了私自更換微機(jī)和接入設(shè)備的情況。

經(jīng)過一段時(shí)間的使用，這種網(wǎng)絡(luò)模式很好地抑制了網(wǎng)絡(luò)病毒的傳播和爆發(fā)，大大減輕了網(wǎng)絡(luò)管理和維護(hù)工作的負(fù)擔(dān)，提高了網(wǎng)絡(luò)的整體性能和穩(wěn)定運(yùn)行的能力。

加強(qiáng)核心機(jī)房建設(shè)，靠“場地”保障設(shè)備有效運(yùn)轉(zhuǎn)

如果把服務(wù)器比做人，機(jī)房就是人工作的主要“場地”，保障機(jī)房安全高效運(yùn)轉(zhuǎn)的重要性不言而喻。河北石油制定執(zhí)行規(guī)范的管理制度，做好機(jī)房基礎(chǔ)設(shè)施的運(yùn)行維護(hù)，不斷提高機(jī)房的建設(shè)標(biāo)準(zhǔn)，用可靠的技術(shù)建設(shè)保障機(jī)房的安全運(yùn)行。經(jīng)過近幾年的建設(shè)，河北石油中心機(jī)房已經(jīng)具備了智能的視頻監(jiān)控和門禁系統(tǒng)，可靠的電力供應(yīng)保障系統(tǒng)，精密的機(jī)房環(huán)境維持系統(tǒng)，精確的機(jī)房環(huán)境監(jiān)控系統(tǒng)和響應(yīng)及時(shí)的機(jī)房報(bào)警系統(tǒng)。

機(jī)房門禁系統(tǒng)由信息處統(tǒng)一分配權(quán)限，出入均需刷卡，刷卡記錄永久保存，確保機(jī)房出入人員是經(jīng)過授權(quán)的。機(jī)房除了安排正常人員值班以外，還安裝了24小時(shí)實(shí)時(shí)在線的視頻監(jiān)控系統(tǒng)，對機(jī)房出入口、值班室、機(jī)柜走廊及UPS等關(guān)鍵位置進(jìn)行全方位監(jiān)控，錄像可保存3個(gè)月。

機(jī)房的供電系統(tǒng)分為照明和動(dòng)力兩部分，其中照明部分與大樓照明相連；動(dòng)力部分為兩路市電輸入，兩路60千伏安的UPS輸入，按機(jī)柜數(shù)目布置刀閘，機(jī)柜內(nèi)兩個(gè)UPS的電力獨(dú)立輸入對應(yīng)的PDU，解決了服務(wù)器用電的后顧之憂。機(jī)房內(nèi)安裝了兩臺(tái)專用智能精密空調(diào)，采用了下送風(fēng)的模式，可根據(jù)機(jī)房內(nèi)環(huán)境調(diào)節(jié)送風(fēng)量、制冷量、加濕量，既確保了設(shè)備運(yùn)行的環(huán)境穩(wěn)定舒適，又節(jié)省了電能的損耗。

機(jī)房設(shè)備區(qū)域部分有專門的氣體滅火系統(tǒng)，惰性氣體可在火災(zāi)發(fā)生后10秒內(nèi)充滿整個(gè)機(jī)房，可最大限度減少設(shè)備的損失；在空調(diào)四周安裝了防水墻，杜絕了冷凝水與強(qiáng)電區(qū)的接觸。

提高機(jī)房的自動(dòng)化監(jiān)控水平。室內(nèi)溫濕度、新風(fēng)風(fēng)量、UPS參數(shù)、配電柜參數(shù)、機(jī)柜PDU電量采集、空調(diào)運(yùn)行狀況等參數(shù)被采集后，以圖形化的形式展現(xiàn)出來，為機(jī)房內(nèi)環(huán)境及動(dòng)力監(jiān)控提供了有力幫助。借助環(huán)境監(jiān)控系統(tǒng)的有利條件，為了能夠準(zhǔn)確定位故障發(fā)生的環(huán)節(jié)，公司為重要的環(huán)境參數(shù)和服務(wù)器設(shè)備設(shè)置了預(yù)警條件。在設(shè)備運(yùn)行過程中，一旦發(fā)生超出預(yù)警條件的情況，機(jī)房預(yù)警系統(tǒng)會(huì)自動(dòng)發(fā)出報(bào)警短信給值班人員，及時(shí)提醒值班人員關(guān)注機(jī)房環(huán)境和服務(wù)器設(shè)備的變化。

建設(shè)容災(zāi)備份體系，用“后花園”給信息上保險(xiǎn)

過去，所有應(yīng)用系統(tǒng)的服務(wù)器都放置在省公司，沒有建立數(shù)據(jù)異地同步備份機(jī)制，一旦省公司中心機(jī)房出現(xiàn)不測，應(yīng)用系統(tǒng)全部癱瘓，本地?cái)?shù)據(jù)丟失后，全省經(jīng)營管理會(huì)陷入混亂，造成公司重大損失。所有應(yīng)用系統(tǒng)都是系統(tǒng)與數(shù)據(jù)同機(jī)，設(shè)備利用率低，系統(tǒng)和設(shè)備沒有冗余，任何系統(tǒng)故障，都將造成停機(jī)，影響正常經(jīng)營管理。建立容災(zāi)備份體系的緊迫性相當(dāng)明顯。

為了解決以上問題，公司決定建好系統(tǒng)遠(yuǎn)程容災(zāi)備份系統(tǒng)。技術(shù)人員對容災(zāi)備份體系進(jìn)行了廣泛市場調(diào)研，總結(jié)了國內(nèi)外最新發(fā)展趨勢，從中挑選出5種符合企業(yè)需求的產(chǎn)品，在對這5家產(chǎn)品初步了解的基礎(chǔ)上，與5家產(chǎn)品的生產(chǎn)廠家或代理商逐個(gè)對接方案，用兩個(gè)月的時(shí)間對家公司提供的方案和產(chǎn)品逐個(gè)進(jìn)行了測試打分，最終經(jīng)過專家評比，確定了中標(biāo)公司。

整個(gè)存儲(chǔ)系統(tǒng)采用IPSAN技術(shù)，主機(jī)端采用客戶端進(jìn)行備份，通過主機(jī)文件系統(tǒng)層下加載驅(qū)動(dòng)，將數(shù)據(jù)抓取到容災(zāi)服務(wù)器連接的容災(zāi)盤陣中進(jìn)行存儲(chǔ)。所有的備份數(shù)據(jù)通過本地局域網(wǎng)絡(luò)傳輸?shù)奖镜貍浞荼P陣，再通過省公司到張家口的廣域網(wǎng)絡(luò)同步到異地盤陣，共備份系統(tǒng)23個(gè)，服務(wù)器31臺(tái)，其中Windows環(huán)境25臺(tái)，LINUX環(huán)境3臺(tái)，UNIX環(huán)境3臺(tái)。23臺(tái)有文件系統(tǒng)的主機(jī)容災(zāi)的策略主要為：每小時(shí)一份快照，保留一周的數(shù)據(jù)，可以實(shí)現(xiàn)任意快照的回滾追溯；UNIX和LINUX的裸設(shè)備環(huán)境下是一周一次全量備份，每天一次增量備份，保留兩周的數(shù)據(jù)。

經(jīng)過一段時(shí)間穩(wěn)定運(yùn)行，該系統(tǒng)每周的傳輸總量約150G，對現(xiàn)有各應(yīng)用系統(tǒng)影響最小，不改變現(xiàn)有應(yīng)用系統(tǒng)的架構(gòu)、訪問方式，不降低現(xiàn)有各系統(tǒng)的工作性能。系統(tǒng)穩(wěn)定，設(shè)備可靠，運(yùn)維操作簡便，管理軟件功能強(qiáng)大、設(shè)置方便，具備可擴(kuò)展性，在不需要添加主要設(shè)備的情況下，可以任意增減備份系統(tǒng)的數(shù)目。該系統(tǒng)保證了重要系統(tǒng)數(shù)據(jù)的完整，所有在用信息系統(tǒng)的應(yīng)用數(shù)據(jù)本地主系統(tǒng)、本地備份、異地備份各一份，能夠?qū)崿F(xiàn)數(shù)據(jù)在一段時(shí)期內(nèi)的回滾追溯；該系統(tǒng)能快速恢復(fù)，一旦本地出現(xiàn)突發(fā)事件，異地能夠在較短時(shí)間內(nèi)恢復(fù)主要系統(tǒng)，保障主要系統(tǒng)能夠在短時(shí)間內(nèi)正常運(yùn)行。