獸藥網站信息安全等級保護實踐與思考

李曉平，劉 玲，朱明文，張積慧，唐 軍，劉業(yè)兵

(中國獸醫(yī)藥品監(jiān)察所，北京 100081)

信息安全等級保護是指對國家秘密信息、法人和其他組織及公民的專有信息以及公開信息和存儲、傳輸、處理這些信息的信息系統(tǒng)分等級實行安全保護，對信息系統(tǒng)中使用的信息安全產品實行按等級管理，對信息系統(tǒng)中發(fā)生的信息安全事件分等級響應、處置［1］。國家把信息和信息系統(tǒng)按照重要程度，也就是對單位的利益、社會公眾利益、國家安全的影響，三方面要素的重要程度來確定信息系統(tǒng)的安全等級。國家對信息安全等級劃分了五個等級［2］，第一級：用戶自主保護級;第二級：指導保護級;第三級：監(jiān)督保護級;第四級：強制保護級;第五級：專控保護級。

開展信息安全等級保護工作不僅是保障重要信息系統(tǒng)安全的重大措施，也是一項事關國家安全、社會穩(wěn)定、國家利益的重要任務。2007年7月公安部會同國家保密局、國家密碼管理局和國務院信息辦聯(lián)合制定了《信息安全等級保護管理辦法》［3］(公通字［2007］43 號)，明確了信息安全等級保護制度的基本內容、流程及工作要求，進一步明確了信息系統(tǒng)運營使用單位和主管部門、監(jiān)管部門在信息安全等級保護工作中的職責、任務，為開展信息安全等級保護工作提供了規(guī)范保障。截至目前，全國在地市級以上公安機關備案的信息系統(tǒng)53106個，其中第二級信息系統(tǒng)31632個、第三級信息系統(tǒng)21356個、第四級信息系統(tǒng)118個，三級系統(tǒng)占所有已定級系統(tǒng)的40%。中國獸藥信息網網站按照等級保護相關要求，通過對網站系統(tǒng)的軟硬件升級改造建設，解決系統(tǒng)存在的安全性、穩(wěn)定性問題，已經達到網站安全三級等保要求，并于2011年通過中國信息安全評測中心等級保護三級評測，特就網站等級保護改造及評測后的一些工作思考予以介紹。

1 網站等級保護改造的實踐［4］

1.1 分析差距，設計方案 中國獸藥信息網(www.ivdc.gov.cn)網站是由中國獸醫(yī)藥品監(jiān)察所(農業(yè)部獸藥評審中心)于2001年創(chuàng)辦，為國家獸醫(yī)藥品的監(jiān)督管理、企業(yè)和廣大的消費者構建的信息交流公共平臺。原網站系統(tǒng)前后臺、數據庫、郵件等部署在2臺HP(惠普)LH3000上，1臺服務器上集中多項任務，隨著訪問量的急增經常造成死機，影響系統(tǒng)正常運行。在網絡結構上所有應用服務器接入一臺CISCO4006，上聯(lián)一臺SecGate3600防火墻直接接入國際互聯(lián)網絡，安全性能極低。網站網絡體系已運行多年，網站相關的軟硬件體系和網絡結構的性能以及安全防護功能已經不能適應信息化建設的需要，亟待提高網站的整體運行能力，從而保證網站系統(tǒng)的安全、穩(wěn)定。

網站三級等保建設改造綜合考慮了網站性能、網站安全和網站內容、機房環(huán)境的實際情況后，對比現在的實際需求以及將來擴展空間，以“可控安全”為原則，設計改造方案。同時，還按照信息安全建設需求，進行了整體信息系統(tǒng)及基礎環(huán)境的安全評估加固、安全管理制度體系設計與編寫等級技術管理規(guī)程等，建立了覆蓋組織、策略、技術、運作的一整套可控安全保障體系。

1.2 網站三級等保改造建設實施 首先，通過網絡架構設計、邊界及網絡區(qū)域安全、主機安全、數據備份恢復和建立管理中心幾方面關于安全的改造，提升網站的整體安全預防、防護、響應性能，進而達到國家安全三級標準的水平。其次，通過硬件升級，應用分散部署、負載均衡和數據庫優(yōu)化，以及軟件開發(fā)和升級來提升網站的整體性能。最后，通過對網站內容、版面進行重新規(guī)劃、設計，可以更好地保證界面的美觀及風格統(tǒng)一，通過系統(tǒng)設置優(yōu)化減少數據頻繁交換和服務器負載。

1.2.1 網絡架構建設改造 網絡架構改造首先是將原來的單鏈路改為雙鏈路網絡架構。一是增加冗余線路。由網絡服務提供商(ISP)開辟第二個互聯(lián)網出口，同時提供Internet連接。二是增加冗余網絡設備。對網絡中的關鍵網絡設備采用冗余設計，避免單點故障，保證網絡系統(tǒng)的可用性，使網絡設備的業(yè)務處理能力具備冗余空間，滿足業(yè)務高峰期需要。其中包括兩臺路由器冗余和兩臺核心交換機冗余。三是網站系統(tǒng)結構調整劃分安全不同區(qū)域。對網站系統(tǒng)平臺內的服務器按安全級別劃分為4個不同的安全區(qū)域：向互聯(lián)網提供服務的DMZ區(qū)、提供網站系統(tǒng)后臺支持的內網管理區(qū)、關鍵數據庫服務器區(qū)及數據區(qū)、管理監(jiān)控的安全管理區(qū)。將各區(qū)域與核心交換機直接連接，核心交換機通過VLAN劃分的方式實現區(qū)域之間的安全隔離。

1.2.2 硬件系統(tǒng)建設改造 網站的硬件性能改造主要是通過網站系統(tǒng)硬件平臺升級和優(yōu)化部署網絡結構的方式實現，具體方法主要有：一是按系統(tǒng)和功能分散部署。新購買和更新14臺高性能服務器，把Web系統(tǒng)、中國獸藥雜志編輯系統(tǒng)、國家獸醫(yī)微生物菌毒種保藏管理系統(tǒng)、國家獸藥標準物質管理系統(tǒng)、國家微生物耐藥監(jiān)控系統(tǒng)、獸藥數據庫系統(tǒng)等分別部署在不同的服務器上。重新部署后的系統(tǒng)解決了使用和管理的問題，更主要是提高了系統(tǒng)的安全性、穩(wěn)定性和系統(tǒng)運行的綜合能力。二是通過負載均衡解決系統(tǒng)的穩(wěn)定性、安全性和訪問能力。對關鍵服務器采取雙機集群方式，通過NAT實現負載均衡，有效地擴展服務器帶寬和增加了吞吐量，加強網絡數據處理能力，提高網絡的靈活性和可用性，提供更好的訪問質量;提高服務器響應速度;提高服務器及其他資源的利用效率;避免了網絡關鍵部位出現單點失效。負載均衡(Load Balance)建立在網站現有網絡結構之上，它提供了一種廉價有效透明的方法擴展網絡設備和服務器的帶寬、增加吞吐量、加強網絡數據處理能力、提高網絡的靈活性和可用性。三是數據庫優(yōu)化整合。中國獸藥信息網系統(tǒng)具備很多應用功能，其運行必須依賴于數據庫，把數據庫部署到獨立的高性能服務器上，使用雙機群集，保證數據庫服務的高性能、高可用性。

1.2.3 應用系統(tǒng)建設改造 中國獸藥信息網及獸藥信息數據庫系統(tǒng)是利用TRS全文檢索WCM系統(tǒng)構建的網站平臺，逐步建立了較完善的信息管理和安全管理系統(tǒng)，包括信息發(fā)布、后臺采編發(fā)、獸藥數據庫、郵件、防病毒、網絡管理等系統(tǒng)。一是網站改版和后臺系統(tǒng)升級。通過網站改版，重新設計了主頁子頁，規(guī)劃了系統(tǒng)頻道及欄目，內容力求簡潔、規(guī)范和標準化，同時，將原來的TRS WCM V4.1版升級至TRS WCM V6.5，成為能夠支撐多形式、多結構、多來源的內容管理平臺。二是TRS WAS網站信息數據庫管理系統(tǒng)升級。該系統(tǒng)主要針對獸藥數據庫，對其內容和結構重新規(guī)劃并設計。首先升級國家獸藥基礎數據庫發(fā)布系統(tǒng)，將TRS內容發(fā)布應用服務器版本升級，使其具備全面信息發(fā)布、按頻道組織發(fā)布信息功能及全方位全文檢索功能。三是SQL Server數據庫軟件升級。將網站原使用的數據庫SQL Server2000升級至SQL Server2005，實現了數據庫鏡像、在線恢復、在線檢索操作、快速恢復等功能，并且通過數據庫加密、設置安全默認值、增強密碼政策、縝密的許可控制等，構建成增強型的安全模式。

1.2.4 網站三級等保邊界及網絡區(qū)域安全建設改造 網絡系統(tǒng)，通過防火墻(網神SecGate3600)、防病毒網關設備(網神SecAV3600)、入侵檢測系統(tǒng)(網神 SecIPS3600－G2)、及身份認證(網神SecFOX－NBA)等的部署，實現了網絡區(qū)域安全的建設。一是邊界訪問控制。通過對各區(qū)域的邊界進行訪問控制，并部署防火墻的方式實現高級別的訪問控制。二是網絡行為檢測與審計。實現對網絡行為的檢測功能，一方面避免影響網絡性能，在關鍵區(qū)域通過雙機的方式部署網絡入侵防御系統(tǒng)(IPS)，實施主動防御。另一方面實時檢測互聯(lián)網對內部各區(qū)域的訪問行為，分析入侵事件，實現實時報警與阻斷，并生成詳細記錄及報表。三是邊界防病毒。通過雙機的方式部署防病毒網關，在網絡出口處實現了網絡病毒的檢測與阻斷，保障內部網絡中所有區(qū)域不被病毒涌入，與終端防病毒系統(tǒng)構建成立體的病毒防護體系。采用硬件防毒墻實現此功能。

1.2.5 網站主機及業(yè)務區(qū)域環(huán)境安全建設 維護主機及業(yè)務區(qū)域環(huán)境安全建設，采用多種方式進行部署：

1.2.5.1 終端防病毒 部署網絡防病毒管理和升級服務器，提供病毒特征碼升級服務。通過集中的管理服務器統(tǒng)一配置病毒查殺等策略，提高殺毒效率和效果。先后購置網絡版防病毒軟件一套和防病毒服務器一臺，進一步做好安全防范。

1.2.5.2 終端安全管理 部署終端安全管理系統(tǒng)實現對終端的安全保障。其功能包括：非法主機內聯(lián)、外聯(lián)網絡發(fā)現及阻斷機制、殺毒軟件監(jiān)控、弱口令檢測、硬件變化審計、進程控制和審計、安裝和卸載控制、補丁集中管理等。

1.2.5.3 主頁防篡改 網站因被公眾訪問而暴露于因特網上，極易成為黑客的攻擊目標，意味著黑客和不法者對網站網頁內容的篡改可能會時有發(fā)生，而此類事件對公眾產生的負面影響又是非常嚴重的。因此，針對發(fā)布服務器和Web服務器，在中國獸藥信息網部署了網頁防篡改系統(tǒng)。其中，發(fā)布服務器位于內網管理區(qū)，部署主頁防篡改產品的發(fā)布服務器軟件。Web服務器位于DMZ中，本身處在不安全的環(huán)境中，部署主頁防篡改產品的Web服務器端軟件。

1.2.5.4 數據庫審計 獸藥數據庫存儲著大量網站系統(tǒng)的核心關鍵數據，其完整性、可用性和保密性都非常重要，為了保證對數據庫信息的實時監(jiān)控、審計，采用了旁路的方式在核心交換機上部署數據庫審計引擎(硬件)，收集與檢測訪問數據庫的數據信息，在安全管理中心部署數據庫審計中心，實現數據信息的分析與引擎的管理。

1.2.5.5 關鍵主機核心防護 由于大部分操作系統(tǒng)在安全性方面都有一些缺陷，只能通過外加安全軟件的方式進行修補。因此，在網站的關鍵服務器上，部署了安全、穩(wěn)定的服務器加固與管理系統(tǒng)(TOS)，以便對系統(tǒng)內關鍵服務器主機進行有效的安全防護。

1.2.5.6 安全評估加固 在操作系統(tǒng)和應用軟件等安裝后的默認設置過程中，仍存在諸多安全漏洞。為保證系統(tǒng)的安全性，采用專業(yè)的安全評估、加固服務對其進行修復、改進。其中，評估的范圍包括項目范圍內規(guī)定的所有服務器;對Windows服務器的評估，包括對服務器操作系統(tǒng)層面的評估和數據庫層面的評估;網絡設備加固主要體現在路由器、防護墻、交換機的評估;PC機評估加固是對Windows工作站的評估。

1.2.6 數據庫安全及備份恢復建設 通過部署磁盤陣列對中國獸藥信息網系統(tǒng)進行數據備份和恢復，存儲設備使用Hash校驗的方法確保了數據的完整性，傳輸過程的完整性受到損壞則運用數據重傳的機制;存儲備份的數據采取本地、異地相結合的備份方式，防止了單一數據損壞造成的損失。

1.2.7 網站三級等保安全管理中心建設 安全管理中心和機房IT設備集中管理(KVM)組成管理中心，對中國獸藥信息網系統(tǒng)內的設備、軟件及數據信息收集、審計等的集中管理。

1.2.7.1 安全管理中心 安全管理中心主要由日志審計系統(tǒng)與網絡監(jiān)控系統(tǒng)組成，兩部分內容緊密結合、密不可分。其功能：一是網絡運行集中監(jiān)控。對網絡中重點設備和系統(tǒng)實時運行狀態(tài)監(jiān)控，對主要指標進行閥值管理，管理員不需要登陸設備就可以掌控設備和系統(tǒng)的運行狀況，快速判斷眾多設備的運行狀況，發(fā)現故障點，及時進行響應，保障整個網絡運行的連續(xù)性。二是安全事件的采集。通過syslog、snmp trap或事件傳感器的方式把各種設備、軟件的安全事件采集后發(fā)送給安全管理平臺。三是安全事件的關聯(lián)分析。通過對安全生產信息系統(tǒng)的IT信息資產進行安全風險分析，利用安全管理平臺安全生產信息系統(tǒng)出具圖文并茂的安全風險分析報告，提供基于風險的安全事件處理，保證以最快的速度解決關鍵設備的嚴重安全事件。四是安全日志的集中審計。將防火墻、網絡防病毒系統(tǒng)、數據庫審計系統(tǒng)、入侵防御系統(tǒng)、終端安全管理系統(tǒng)、主頁防篡改系統(tǒng)、主機、中間件、數據庫的安全日志采集到安全管理平臺，集中保存安全日志和審計事件，保證不被私自篡改，安全管理平臺將根據統(tǒng)一的審計策略進行統(tǒng)一審計。

1.2.7.2 機房IT設備集中管理(KVM) 通過部署KVM系統(tǒng)，達到縮短關鍵設備宕機的恢復時間，極大地提高系統(tǒng)的可用性;集中管理機房設備和異地機房;網管人員協(xié)同作業(yè)，做到即使不在機房也可以遠程管理，簡化管理流程，提高物理安全性;“人機分離”簡化機房管理，提高管理效率。

1.2.8 網站機房安防建設

1.2.8.1 消防報警及氣體滅火 氣體滅火系統(tǒng)設計，依據《氣體滅火系統(tǒng)設計規(guī)范》GB50370－2005氣體滅火系統(tǒng)由兩套七氟丙烷預制式滅火裝置組成，火災報警系統(tǒng)設置自動控制、手動控制二種啟動方式。

1.2.8.2 監(jiān)控系統(tǒng) 首先，建設機房溫濕度監(jiān)測系統(tǒng)，在每個機房加裝1個溫濕度傳感器，以實時檢測機房和重要設備區(qū)域內的溫濕度，溫濕度一體化傳感器將把檢測到的溫濕度值實時傳送到監(jiān)控服務器中，并在監(jiān)控界面上以圖形形式直觀地表現出來;其次，建設機房門禁監(jiān)控系統(tǒng)，將機房主出入口等的出入門進行門禁系統(tǒng)管理;再次，建設機房閉路電視監(jiān)控系統(tǒng)，在機房的重要位置，安裝攝像機，進行全天候視頻監(jiān)控;視頻信號直接傳輸到監(jiān)控服務器中，進行數字化的錄像存儲及畫面顯示;另外，在機房還安裝了換風系統(tǒng)，通過溫度控制，夏天將機房熱氣排出，冬季將室外冷風引進機房，達到節(jié)能環(huán)保的目的;同時在機房加裝了漏水檢測系統(tǒng)，能夠精確及時地發(fā)現泄漏位置，并與機房監(jiān)控系統(tǒng)連接，發(fā)現問題及時處理，保障系統(tǒng)的安全。

2 信息安全三級建設改造的思考及建議

信息系統(tǒng)實行等級保護是國家法定制度和基本國策，是開展信息安全保護工作的有效辦法，也是信息安全保護工作的發(fā)展方向。網站信息系統(tǒng)等級保護改造，不僅在技術層面完成了改造建設，而且在管理層面，結合等級保護安全建設管理要求，建立了一整套安全管理制度規(guī)范和技術標準，進一步明確信息安全的建設、運維、保障的標準化流程。結合中國獸藥信息網網站三級等保改造及測評后的運維，信息安全等級保護建設應該注意以下問題。

一是要充分認識等級保護的重要性，正確的信息安全政策和策略是搞好國家信息安全保護工作的關鍵，等級保護建設改造是信息系統(tǒng)安全運營的基本保障;二是要充分了解等級保護建設工作內容，等級保護建設在軟件方面主要分為建立安全管理機構、建設安全管理制度、人員安全管理、系統(tǒng)建設管理、系統(tǒng)運維管理五大類管理內容，在硬件方面結合系統(tǒng)環(huán)境及實現安全運維需求，需制定覆蓋網絡設備、安全設備、操作系統(tǒng)、數據庫各技術層面的配置運維規(guī)范，在技術方面通過安全管理平臺的部署，落實安全管理制度及安全技術規(guī)范，并實現了網絡及安全設備的統(tǒng)一管理、安全狀態(tài)信息及安全日志的集中收集與關聯(lián)分析;三是認真制定切實可行的等級保護建設改造方案，信息系統(tǒng)安全等級保護作為國家的一項強制性標準，同時具有通用性和嚴格性的特點，這就需要在設計信息安全等級保護建設改造方案時，既要滿足國家關于信息系統(tǒng)安全等級保護的強制性標準，又要符合本單位的實際情況和信息系統(tǒng)特點，做到制度保障、人員管理和技術防范相互制約、相互補充，確保信息系統(tǒng)滿足等級保護的要求。

但是，等級保護通過定級、評測后，維護工作量及難度必然會加大，且每年都需要進行評測和監(jiān)督，而國家對此尚無政策和經費保障，這樣會對相關工作的開展帶來難度。同時，網站系統(tǒng)的安全運轉需大量設備及邊界產品來保障，其運行與維護費時費力，還需要專門的人員進行監(jiān)控和管理，而目前大多數網站系統(tǒng)及單位尚無專門、專業(yè)的人員來負責運維。因此，如何建立長效運行機制，保證網站系統(tǒng)工作穩(wěn)固、持久地運行是運維的工作重點。

做好農業(yè)基礎信息網絡和重要信息系統(tǒng)的安全保護，處理好信息安全與信息化建設間的關系，做到相互協(xié)調，推動網絡安全服務機制的進一步完善，進而保證本單位及各部門的業(yè)務工作安全、高效地運轉，對于信息系統(tǒng)保護和信息化建設都具有深遠的意義。

［1］ 公安部、國家保密局、國家密碼管理委員會辦公室、國務院信息化工作辦公室，關于印發(fā)《關于信息安全等級保護工作的實施意見》的通知公通字［2004］66號［S］.

［2］ GBT 22240－2008，信息系統(tǒng)安全等級保護定級指南［S］.

［3］ 國務院147號令.中華人民共和國計算機信息系統(tǒng)安全保護條例［S］.

［4］ GB/T22239－2008，信息系統(tǒng)安全等級保護基本要求［S］.