立體防護體系確保應用系統安全運行

隨著電子政務建設的不斷深入，科技部的應用系統數量不斷增多，規模不斷擴大，在各項工作中的重要性也不斷增強。目前，已有包括科技部門戶網站信息系統、科技計劃項目經費預算申報中心等在內的多個面向社會公眾的重要應用系統。但隨著信息化建設的不斷推進，信息安全態勢日趨嚴峻，網上黑客的入侵、計算機病毒、木馬、系統非法入侵、數據泄密、服務癱瘓、漏洞非法利用等安全威脅日益嚴重，應用系統的安全防護已成為電子政務建設的重要組成部分。基于對應用系統安全建設的統一規劃，科技部從網絡邊界防護、主機安全防護、應用安全防護、數據安全保護以及安全管理制度多個層面，構建一套立體防護體系，確保應用系統安全運行。

認真評析應用系統面臨的安全風險

電子政務打破組織界限，運用信息以及通信技術高效快捷地向人們提供各種不同的服務選擇。電子政務的建立將使相關工作更開放透明，更有效率。但是，有效保障應用系統安全是實現電子政務職能，發揮電子政務優勢的根本前提。目前，應用系統安全確實面臨嚴峻的挑戰。

1.網絡安全威脅。

網絡安全威脅主要是指應用系統在網絡層面存在的安全風險。計算機網絡是應用系統進行信息交互的通道，同時也是攻擊者非法入侵電子政務系統的通道。而網絡中運行的TCP/IP協議固有安全漏洞，給攻擊者造成可乘之機，攻擊者可以利用拒絕服務攻擊、分布式拒絕服務攻擊、會話重放、IP欺騙、堆溢出等手段進行攻擊。

2.主機安全威脅。

主機安全威脅主要是指承載應用系統的操作系統平臺所面臨的安全風險。一方面，目前的操作系統規模不斷擴大，代碼量巨大，模塊接口眾多，被發掘的安全漏洞也不斷增多，成為攻擊者利用的對象。另一方面，操作系統不恰當的配置和使用也給應用系統帶來安全隱患。操作系統的脆弱性直接影響到其承載的應用系統的安全。

3.應用安全威脅。

應用安全威脅主要是指應用系統在應用層面所面臨的安全風險。應用系統多為定制開發，在開發過程中由于代碼編寫不規范，開發工具固有安全漏洞等因素，造成應用系統在對外服務中存在安全隱患。另外，應用系統的不斷更新和完善，使得在距離應用安全檢測與修復的時間段內，應用系統處于不安全的狀態。常見的應用安全威脅有SQL注入、跨站腳本攻擊、網頁非法篡改、Cookie假冒、緩沖區溢出、目錄遍歷漏洞、非法輸入、強制訪問等。

4.數據安全威脅。

數據安全威脅是指應用數據在存儲過程中可能遭受的破壞。應用系統經過多年的應用和積累，已經沉淀了大量重要的相關數據，這些數據對于各項工作有著重要的意義。因此，數據的安全防范工作是應用系統安全防護中重要的一部分。在日常的運行維護中，硬件損壞、管理員誤操作、外界不可抗力等都可能造成數據的丟失。

5.管理層面威脅。

管理層面安全主要是指由于管理措施和制度制定不完善或執行不到位引發的安全風險。相對于技術防范手段，安全管理制度與實際執行情況等，常常成為整個安全體系的薄弱環節。缺乏完善的針對全體工作人員的信息化安全管理制度;缺乏定期對操作管理人員和用戶進行安全培訓;缺少及時獲知安全狀態及最新安全漏洞的途徑;缺少完整的應急處理流程應對可能出現的安全問題等都給應用系統帶來安全風險。

建立立體防護體系，保證應用系統安全需求

綜合以上分析，不難看出，應用系統安全是一項系統工程，涉及到多個層次和多個方面，一方面涉及從網絡到應用的安全防范技術，另一方面也涉及到完善的安全策略和安全管理。這就要求我們必須建立立體的、全方位的安全防范體系。

(一)在技術層面，加強安全防范措施

科技部應用系統的安全防護技術由從外到內的“縱深防御”模型構成，依次包括“網絡邊界防護”、“主機安全防護”、“應用安全防護”和“數據安全保護”。

1.網絡邊界防護

科技部在網絡邊界采用安全域劃分、訪問控制、入侵檢測等網絡邊界安全防護技術手段，及時發現并阻斷大多數網絡攻擊行為，為應用系統提供一個安全的運行環境。一是根據業務特點及保護對象的安全需求不同，將網絡劃分為不同的安全域，包括互聯網接入域、公共服務域、終端接入域，有針對性的為各安全域部署不同安全產品，配置不同安全策略，提供一個規范、安全和靈活的網絡環境。二是在互聯網入口部署了入侵防御系統作為第一層安全防護，及時發現并阻斷從互聯網進入科技部網絡的網絡攻擊和病毒，保障進入流量較為干凈。三是在各安全域的出口均部署防火墻，作為網絡邊界的第二層防護，對互聯網到各安全域和各安全域之間進行基于IP地址和端口訪問控制，阻斷非法訪問，保障公共服務域只允許必要的源地址訪問必要的服務端口，終端接入域不對外開放端口。四是在公共服務域的出口部署入侵檢測系統和網絡分析系統，及時發現并記錄核心安全域發生安全事件和網絡行為，為網絡安全事件的定位和取證提供支持。

2.主機安全防護

科技部建有多個重要的應用系統，如門戶網站系統、郵件系統等，這些系統的主機作為重要應用和數據的載體，其安全問題至關重要?？萍疾繌牟《痉雷o、系統漏洞防護、主機入侵防護和系統監控管理多個方面對主機進行安全防護。一是做好病毒防護和控制工作。在所有服務器和終端部署網絡版防病毒系統，制定統一的防護策略，管理服務器及時將安全策略和特征庫推送至各應用服務器和終端，保障防病毒系統正常有效運行。同時，對于病毒爆發較多的終端，堅持“一個用戶一個端口，一個端口一個VLAN”原則，確保個別終端感染病毒后不會影響其他終端和服務器，更不會影響整個網絡的可用性和穩定性。二是加強安全漏洞監控和防范。每天由專人監控系統漏洞預警及發布情況，當相關廠商發布漏洞補丁后，第一時間通知相關運行維護人員及時修復系統補丁。另外，利用漏洞掃描評估系統定期對關鍵服務器和終端進行安全評估，檢查其是否處于一個較為安全的運行狀態，同時，定期借助專業安全服務力量對服務器進行操作系統層面的評估和加固修復。三是提高主機安全狀態檢測能力。科技部定制開發了一套應用系統重要參數變化采集系統，按照既定策略定時采集各服務器的重要參數，包括活動服務項、異常網絡訪問、關鍵注冊表項、系統關鍵文件夾，并建立安全基線，將采集的數據與安全基線值對比，及時發現安全狀態變化，提醒安全管理人員分析處理。四是加強對主機的監控和管理。一方面，科技部注重對應用服務器的授權管理，建立授權審批流程，被授權用戶通過“用戶名+密碼”方式認證。所用密碼的強壯度，即密碼長度、復雜度和更換周期，需符合相關要求;另一方面，構建了終端行為安全管理系統，加強外聯控制，對科技部網絡的違規接入以及個人計算機違規存儲使用嚴格控制，另外加強安全行為監管，及時發現并阻斷個人計算機的非既定啟動項、非既定進程、可疑域名訪問、違規數據下載等存在安全風險的行為

3.應用安全防護

近年來，科技部應用系統面臨的主要應用安全風險有SQL注入、跨站腳本攻擊、目錄遍歷及緩沖區溢出。對此，一是在互聯網訪問出口構建七層過濾的入侵防護系統，過濾來自互聯網的應用攻擊行為。二是組織專業力量定期對應用系統面臨的安全風險進行評估，根據評估結果有針對性地加強對應用系統進行滲透性安全測試，并依據測試結果及時修復發現的問題。三是加強對應用系統的安全監控，專人每天對應用系統的訪問流量情況、訪問數據類型、IDS安全事件進行監控和分析，并每天監控相關域名被篡改和植入木馬情況。

4.數據安全保護

為了保證重要業務數據的安全，科技部構建了一套數據備份與恢復系統。該系統對關鍵應用的操作系統、應用程序和業務數據進行固定周期全備份，每天增量備份，按需求啟動歸檔。一方面，可以保障數據的安全，實現數據歸檔和備份。另一方面，可以對操作系統和應用系統進行備份，出現故障后無需重新部署，直接從備份文件恢復即可，縮短故障恢復時間。

(二)在管理層面，提升安全防范能力

包括防火墻、入侵檢測系統、入侵防御系統、防病毒系統等網絡安全措施，只能解決某方面的安全問題，安全系統的安全性往往需要安全設備的協同和統一管理來確保技術發揮其應有的安全作用，同時，更需要有效的安全管理制度作為有效支撐。因此在加強安全防范技術的基礎上，科技部也注重安全管理能力的提升。

1.建立統一的安全管理平臺

分別對防病毒系統、防火墻系統、網絡設備設施統一管理，風險統一控制，使應用系統和終端在統一安全策略配置下，提高整體防護能力，免受來自外部有組織的團體或有豐富資源的攻擊源發起的惡意攻擊。

2.建立較為完備的信息安全管理制度

根據對象的安全管理需求不同，制定了工作手冊、終端安全管理規范、應用系統安全規范以及關鍵應用配置手冊等一系列管理規章制度，對人員操作、應用系統接入和配置、終端接入和配置等方面提出了相應的要求，一方面確保接入科技部網絡的節點可控，另一方面，保證已經接入科技部網絡的節點以及其使用、維護、管理等操作符合規定的安全標準。

3.建立監控管理工作流程

科技部建有一套較為完善的預警流程，多年堅持7×24小時值班制度，值班過程中對網絡及各應用的安全狀態進行監控，及時對可疑網絡訪問行為進行預警。

4.建立安全態勢分析機制

一方面，與相關單位合作，及時掌握最新安全態勢、漏洞情況及修復方案;另一方面，定期組織專業人員對近期互聯網安全態勢進行分析，評估電子政務應用系統和終端所面臨的安全風險。

5.建立應急處理方案

經過多年的修復和完善，科技部已有結合應用系統的實際運行情況，建立了故障定位準確、操作簡單可行的應急處理方案，并定期對應急方案確定的應急處理流程進行實際演練，根據實際情況的變化不斷完善應急處理流程，提高可操作性。

科技部應用系統立體防護體系在傳統的“防火墻+IDS”防護模型的基礎上，注重增強應用層面安全防護和防護的主動性，在應用系統安全防護方面取得了良好的效果。據數據統計，在科技部應用系統安全域出口每天檢測并及時阻斷的安全行為500余次，2009年全年共計發現200余個應用系統漏洞，都得以及時解決。

電子政務是信息化發展的必然趨勢，它將逐漸成為政務辦公中一個重要部分，解決信息安全問題，消除制約電子政務發展的瓶頸，是推進信息化發展的重要任務。為了應對不斷變化的安全態勢，按照國家信息安全等級保護制度要求，結合科技部電子政務特色，我們將努力探索，進一步深化立體安全防護體系，提高科技部整體安全防護水平。一方面，根據不同等級應用系統安全防護需求的不同，劃分不同級別的安全域，定制不同的安全防護措施，另一方面，提升信息安全整體管理水平，提高各類主機、應用及安全日志的關聯分析和數據挖掘能力，梳理工作流程，將各項防護措施的安全防護效果最大化。

(作者單位:科技部信息中心)