信息系統應用中的風險分析與預防

霍國東

(中國移動通信集團設計院有限公司河北分公司,河北石家莊050021)

0 引言

隨著計算機網絡的發展,信息化水平的不斷提高,信息系統的應用日益廣泛和深入,企業紛紛建設符合自己目標的信息系統。信息系統涵蓋了絕大部分業務流程,具有數據量大、涉及崗位多和處理流程簡單多變的特點。計算機網絡及信息系統運行的外部環境都存在著各種安全隱患,給公司在信息系統的應用中帶來一定的風險,企業應該對這類風險采取適當的控制措施。下面將結合公司網絡環境下信息系統的風險進行分析,并就如何防范風險,進一步完善網絡及信息系統提出一些建議。

1 信息系統風險分析

1.1 信息系統網絡環境風險

信息系統是建立在網絡環境基礎上的,采取客戶端瀏覽器和服務器架構模式,用戶直接接入信息系統,通過瀏覽器進行訪問與操作,對產生的信息進行存儲、共享和處理。網絡的風險通常包括物理網絡設備的安全缺陷、網絡系統的安全缺陷和通信鏈路安全缺陷等3種風險。網絡的物理安全風險主要指網絡周邊環境和物理特性引起的網絡設備和線路的不可用,從而造成網絡系統的不可用。某局域網采用星型結構,分為核心層和接入層 2層,如圖1所示。

核心層配置一臺華為Quidway S6506作為核心交換機。接入層采用堆疊方式配置華為S2403H-EI作為樓層接入交換機。接入層交換機使用以太網線與核心交換機S6506連接。核心交換機采用華為S6506,核心交換機的主控板為單板,沒有冗余備份機制,當主控板發生故障時,整個局域網將會癱瘓,從而導致信息系統不能使用。樓層交換機為星形結構,如果通往核心交換機的鏈路中斷,也會影響連接這臺樓層交換機下的所有用戶訪問信息系統。樓層交換機不支持802.1X協議透傳,不支持用戶認證方式。網絡系統的安全缺陷主要是指通信協議的先天漏洞,這些漏洞是往往導致OA信息系統在網絡上不可用的風險因素。

圖1 公司局域網拓樸

1.2 信息系統面臨病毒攻擊的風險

雖然員工在終端上部署網絡版防病毒系統,但是在內部的終端上還是經常受到病毒的侵擾,終端用戶在上網瀏覽時,無意間點擊惡意鏈接,導致病毒下載到本地,并在特定條件下觸發感染,造成病毒在內部網絡擴散,攻擊信息系統服務器,導致服務器宕機。由于現在病毒爆發都是多種病毒同時爆發,使病毒樣本難以搜集,所以無法針對流行的Web威脅進行防護,防護效果十分被動,并且滯后性嚴重,而通過分析病毒日志可以看到,80%的病毒、惡意程序來自互聯網。如果不能實時監控、阻止病毒的傳播,也會對信息系統的使用造成威脅。

1.3 企業信息系統實施過程中隱藏的風險

信息系統是與專做通信行業辦公系統的廠家合作開發而成,期間經歷了需求調研分析、系統規劃設計、系統開發測試和系統實施等幾個階段,雖然每個階段都經過詳細的溝通和驗證,但是這些過程中仍有可能存在導致系統出現錯誤造成損失的風險。例如:在需求調研階段,與系統實施商的技術人員溝通不暢,不能深刻理解需求,對需求認識的局限性,造成未來系統的局限性。在系統應用過程中,當這種局限性的條件滿足時,可能對系統的使用產生影響;系統開發測試階段,每一項功能都是由技術人員編寫程序代碼實現,此項工作繁瑣且復雜,代碼太多,人非機器,錯誤是不可絕對避免,開發的質量需要測試工作來保證。有些安全缺陷是可以通過人為努力加以避免或者改進,但有些安全缺陷則是各種折衷所必須付出的代價。測試工作只是模擬未來的使用方式來驗證系統,沒有經過大量用戶長時間的驗證,系統的BUG也可能存在。

1.4 人為操作過程中的風險

信息系統的最終價值是通過人的使用發揮出來的,在系統的使用中,不當操作可能造成錯誤;系統維護中,維護人員的能力和經驗的欠缺,可能對系統引入新的錯誤,這些都是導致損失發生的風險。

1.4.1 口令設置的漏洞

信息系統采用的是最常用的安全與保密措施,即通過用戶名和口令認證的方式。如果用戶采用了適當的口令,那么他的信息系統安全性將得到大力加強。但是,實際上員工中謹慎設置口令的用戶卻很少,這對信息系統的安全保護帶來了很大的隱患。信息系統的設計安全性再強,如果用戶選擇的口令不當,仍然存在被破解的危險。用戶對口令的選擇存在以下幾個誤區:密碼過于簡單(如1,123等)、密碼為生日姓名等和密碼不定期更新。

1.4.2 遠程維護

信息系統雖然已經很完善,但是在使用過程中也經常面臨許多新的需求,這時需要對系統進行部分修改和完善,這部分工作往往交給系統實施商進行修改,實施商可以通過VPN方式登陸到信息系統完成修改工作。這種功能在帶來明顯的維護管理便利的同時,當然也帶來了一種潛在的威脅。在特定情況下,也可以形成企業機密信息的泄露。

1.5 應用集中,風險擴大

信息系統經過多年的發展,從最初的郵件、人事管理、項目管理等功能,到目前辦公自動化和工程項目管理2個分系統,每個分系統又由若干子系統組成,而各子系統由若干模塊組成。各相關模塊、子系統之間實現了無縫連接,全程共享數據,共同構成了一個結構完整、功能齊全、高度開放的協作型和知識型系統,涵蓋了絕大部分業務流程。各種事務都通過信息系統解決,這些既是技術發展的方向,也是管理變革的要求。集中降低了信息化建設的成本、增強了系統的靈活性,信息系統的使用降低了企業的運營成本,但也不可否認,風險也相應增大了。信息系統集中在一臺服務器上部署,服務器的安全會影響到整個信息系統的安全,從而影響公司正常辦公。通過上面的分析,信息系統的建設過程、使用過程、以及相關的環境因素中都存在著大量的導致損失的風險因素,這些風險大多都是信息系統建設自身的特點所決定的,風險不可能完全消除。對待信息系統風險,科學的態度應當是去降低風險發生的概率。

2 信息系統風險預防措施

2.1 更換設備,調整網絡拓撲

為了確保網絡設備及鏈路的正常運轉,進一步加強了對辦公網絡平臺科學、規范的管理與維護,通過升級網絡設備及改變網絡組網方式等措施來解決。局域網接入交換機與核心交換機之間采用環型的網絡結構,如圖2所示。從而保證每臺接入交換機到核心交換機的路由有2條,并且連接到核心交換機的不同業務板。當一條鏈路斷掉時,自動切換到另一條鏈路。核心層配置一臺局域網交換機(S9506),設備支持冗余備份、基于MAC地址的802.1x認證機制,電源、主控板、業務板均有冗余。接入層交換機支持802.1X協議透傳。在核心交換機和樓層交換機開啟802.1X認證機制,有效阻止非法用戶進入網絡。改造后網絡性能指標有較大提升,其中網絡動態完好率提升至99.99%,網絡動態完好率的計算方法為(網絡運行時間-平均故障時間)/網絡運行時間*100% 。通過以上調整使網絡安全的到加強,為信息系統的安全運行提供了必要的保障。

圖2 升級后局域網拓撲圖

2.2 采用入侵檢測技術防范入侵行為

在信息系統與核心交換機之間增加入侵檢測系統,實時地監視、分析網絡中所有的數據報文發現并實時處理所捕獲的數據報文,通過特征匹配、異常檢測和協議分析進行攻擊檢測,當檢測到的各種入侵事件上傳到安全管理中心,并且主動切斷異常主機與信息系統之間的通信,當異常主機恢復正常后,恢復與信息系統的通信。入侵檢測分析過程如圖3所示。

圖3 入侵檢測分析過程

2.3 加強信息系統建設過程的風險管理

信息系統不同于傳統的實物產品,可度量性差,其過程表現的是人的行為和思想活動,信息系統的建設過程本身存在一系列的風險。在與實施商共同開發信息系統時,首先應成立由雙方人員組成的項目組,確定雙方完成目標和分工,在實施過程中需建立工作過程文檔,定期召開會議,檢查每階段工作是否達到預期目標。信息系統建設和業務部門日常工作之間建立責任推動機制,相互配合,相互促進,實現信息系統風險控制工作的良性發展。

2.4 加強信息系統維護過程中的風險控制

信息系統維護工作是個很有挑戰性的工作,難點不是某個錯誤多么隱蔽,多么難改,而是在這樣長期的變化環境中,怎樣保持系統的穩定與可靠。針對此種情況,應委托系統實施商進行維護,與他們簽定維護合同,在合同中要明確雙方的權力和義務,并對實施商的效率及系統安全有明確的說明,比如企業的內部機密和知識產權等。同時為了防止系統實施商因vpn密碼泄露造成損失,應加強對密碼的管理,密碼采用定期更新的策略。

2.5 采用集群技術對信息系統進行加固

信息系統的運用對服務器的穩定性要求較高,但是服務器自身都存在一定的故障率,這類故障發生時必然影響信息系統正常運行,甚至帶來嚴重損失。這類故障主要發生在信息系統部署在一臺服務器時比較常見,影響也比較大。針對這種情況,通過集群技術手段來應對服務器故障的出現,首先采取服務器多CPU、集群技術和負載均衡技術來保障系統高效、可靠和安全的運行。當其中一臺服務器發生硬件或軟件問題時,集群服務器會將打開數據庫請求重新定向到集群中的另一臺服務器,以保證用戶對重要數據庫的不間斷訪問,同時可以跨集群分配用戶帳號,并在集群內平衡額外的工作負載以優化系統性能,平衡服務器間的工作負載、提高服務器的性能以及在擴大企業規模時保持性能,集群中的服務器包含了在任何時間都可用的數據庫復本。如果用戶試圖訪問到集群中服務器上不可用的數據庫,那么它將打開另一臺服務器上此數據庫的復本(如果復本可用)。不斷地同步數據庫,所以無論用戶打開哪個復本,其信息總是相同的。同時還可以將一個服務器設置為備份服務器以保護重要的數據。

3 結束語

通過上述風險分析和預防措施,可以有效降低信息系統存在的風險,但不能保證信息系統絕對安全,隨著信息技術的發展,病毒和黑客等各種攻擊系統方法也在不斷變化與演進,保證信息系統的安全是一個長期的過程,需要不斷學習新的技術,加強信息安全的培訓,共同提高防范意識,爭取把系統的風險因素減少,盡可能提高信息系統的安全,充分發揮信息系統的最大應用價值。

[1]譚偉賢,楊力平.計算機網絡教程[M].北京:國防工業出版社,2001.

[2]陳偉強,黃求新.企業信息安全指南[M].廣州:暨南大學出版社,2003.