市縣級國土資源系統信息網絡安全體系建設探討

徐寶海 張亞鈺 張彭

[摘 要] 隨著國土資源信息化建設向虛擬化、集中化、大數據化方向發展，目前迫切需要考慮從全局的角度對信息網絡安全體系進行規劃。本文從江蘇省市縣級國土資源系統的信息網絡安全市縣級試點城市——泰州的現狀出發，通過風險分析結合國家信息安全等級保護的要求，提出了市縣級國土資信息網絡安全體系建設的具體解決方案。

[關鍵詞] 國土資源信息化建設； 等級保護； 網絡安全； 信息安全； 風險評估

doi ： 10 . 3969 / j . issn . 1673 - 0194 . 2014 . 04. 058

[中圖分類號] TP37 [文獻標識碼] A [文章編號] 1673 - 0194（2014）04- 0112- 02

0 概 述

當今社會已進入信息時代，計算機網絡成為一種必不可缺的信息交換工具出現在我們的日常工作中，然而，由于計算機網絡具有互聯性、開放性和連接方式的多樣性以及終端分布的不均勻性，再加上網絡本身存在技術弱點和人為疏忽，因此計算機信息網絡比較容易遭受計算機病毒、黑客或惡意軟件等的侵害。近年來國土資源部門面對網絡安全的種種威脅，大力推進“金土工程”、等級保護等相關工作，雖然取得了一定的進展，但隨著國土資源業務及信息化需求的發展變化以及業務系統自身的虛擬化、集中化、大數據化的發展，國土資源系統仍迫切需要從全局的角度對信息網絡安全體系進行規劃。

1 市縣級國土資源系統信息網絡安全現狀

江蘇省國土資源系統對信息安全體系建設十分重視，已經建立了國土資源內外網隔離體系、信息安全等級保護體系，并且研究制定了《江蘇省國土資源系統市縣鄉三級信息安全指標體系》。但尚存在一些需要完善的地方，集中體現在以下幾個方面。

1.1 一些工作人員對信息網絡安全的重視程度較低

一些工作人員對計算機知識的了解程度很有限，對信息網絡安全的重視程度較低，缺乏基本的網絡安全意識，往往在不自知的情況下進行不安全的操作，沒有意識到自己的操作有可能已經危及到信息網絡安全，如目前內外網U盤，絕大部分工作人員都在混用，容易造成內部信息的外流，也會向內網帶入病毒木馬，存在信息泄露等嚴重的安全風險。

近幾年來，對于接入國土資源業務網的計算機在操作上做了許多安全限制，規范使用業務網計算機，但有些員工怕麻煩，抱有僥幸心理，違反操作規范，造成安全隱患，與此同時，對于工作人員的信息網絡安全培訓工作較少，有些人信息網絡安全意識不強，但也有不少人已經意識到信息安全的重要性，但知識有限，不知道如何進行有效的防范。

1.2 內網計算機終端存在安全風險

對于一般用戶，信息安全隱患一般來自網絡外部的病毒破壞和黑客攻擊，而對于國土資源系統業務網，已與互聯網實現完全的物理隔離，最主要的安全威脅來自于網絡內部的計算機客戶端。主要的風險有：內網終端計算機較長時間不打補丁，存在嚴重的系統安全漏洞，不能及時更新病毒庫；移動電腦和存儲設備可以隨意接入業務內網，缺乏安全管控措施；業務內網計算機終端存在非法外聯（一機兩用，既上互聯網，又上國土資源業務內網）的風險，沒有采用技術手段實現有效管控；客戶端設備可隨意更換IP地址訪問業務內網，沒有實現IP/MAC的綁定，管理混亂；客戶端設備被惡意修改成與服務器相同的信息造成服務器中斷服務；誤刪系統文件夾及系統文件等。

1.3 業務網與外部網絡數據交換缺乏有效安全管控措施

業務網與外部網絡數據交換主要通過這幾種方式：① 部分本地內網與其他橫向單位內網存在物理鏈接帶來的網絡入侵風險和數據傳輸風險；② 業務內網與省廳主干網存在數據交換，兩套網絡的建設方式不盡相同，安全策略的部署也有所不同；③ 業務內網本身在省、市、縣三級網絡存在數據交換，下級單位數據上報至上級單位審批，上級單位審批完成后返回下級單位存檔，上級單位一般會做相應備份一份。

1.4 缺乏安全審計

目前對于用戶訪問業務網內部系統和數據缺乏詳細的安全審計措施，沒有比較完整的日志信息，對于一些可能存在的非法訪問行為無法做出判斷和處理，出現問題后難以追溯原因。缺乏安全審計管控措施帶來的安全隱患主要體現在：非法更改網絡配置參數、服務器配置參數、業務系統配置參數以及非授權的數據庫方位和非法的內容篡改。

2 市縣級國土資源系統業務網絡和信息安全防護體系建設

隨著國土資源部“金土工程”的統一部署，分階段地逐步落實到位，市縣級國土資源系統網絡和信息安全的設計也逐步分階段進行建設部署?，F階段重點需要完成了以下幾個方面建設：通過建立一套完善、先進、科學、有效的信息網絡安全管理體系和管理制度，從管理上彌補技術上的不足，管理和技術相結合共同創造信息網絡安全環境；通過部署防火墻達到訪問控制的目的，阻擋非授權用戶的非法訪問；使用網閘實現國土資源業務內網與省政務網的有限數據交換；通過部署入侵防御設備，如IPS、IDS等，可以有效監控網絡，發現異常訪問的入侵者并將其隔離，阻擋其惡意攻擊行為；在內網安裝網絡版殺毒軟件，合理部署安全查殺策略，及時更新病毒庫；建立內網安全管理及補丁分發系統，及時下發補丁策略減少系統漏洞，降低內部終端安全風險；建立起國土資源系統核心業務區域防護的“堡壘機”，對主機操作行為進行審計和管控。

2.1 建立一套完善、先進、科學、有效的信息網絡安全管理體系和管理制度

信息安全工作涉及信息網絡系統的方方面面，工作內容極其繁雜，因此必須建立起一套行之有效的信息網絡安全管理體系，明確相關工作人員職責，規范信息網絡安全相關工作內容，建立規范化流程和應急響應體系，努力做到未雨綢繆、防患于未然，從而確保整個信息網絡安全，以安全促發展：

（1） 成立信息安全領導小組。單位一把手擔任領導小組組長，下設信息安全領導小組辦公室，各級國土資源單位信息中心主要承擔本級的具體信息安全工作，其重要工作職責是保障國土資源系統網絡與信息安全。

（2） 實行多人負責，職責應明確。工作人員應對其所在崗位切實負起責任，明確角色，履行職責。

（3） 制定科學完善的安全管理制度，建立應急響應體系。“三分技術、七分管理”，科學完善的信息安全管理體系是信息安全工作順利進行下去的保障，信息安全工作中須要嚴格的操作規程來做規范和指導，各項安全管理制度中應明確責任、落實到人，明確工作內容與操作流程，應以實用可行為原則。

（4） 定期組織開展各地市國土資源系統的信息安全管理工作專項檢查，評估各地市信息系統在安全管理制度方面存在的風險，依據專項檢查結果制定整改計劃，不斷改進、完善信息安全管理體系，加強網絡與信息安全培訓工作，從而不斷促進國土資源系統信息安全建設。

2.2 增強信息安全技術手段，建立安全防護技術體系

2.2.1 防火墻

通過防火墻的部署，防止非授權用戶的非法訪問，為防火墻制訂相應安全策略，對流經它的網絡通信進行掃描、監測和限制，使得出入本單位內網的數據得到有效的訪問控制，同時也使得當業務應用服務器遭受非法攻擊時，不會影響到內部數據庫服務器。通過端口控制，對本單位國土資源系統網絡，以最小化原則僅開放需要使用的端口并指定特定的端口進行單向訪問，對訪問服務器的地址進行限制，從而有效防止來自非授權者的通信，實現網絡與信息的安全防護。

2.2.2 入侵防御系統（IPS）

入侵防御系統能夠對網絡中所有進出的數據包封包進行詳細的7層協議分析，從而相較防火墻（僅具有4層數據包封包協議解析功能）能夠更加有效地防止各類攻擊行為。入侵防御系統通?？刹渴鹩诜阑饓εc本單位局域網之間，雙進雙出，一條安全可行的路徑是防火墻-入侵防御系統-核心交換機-接入交換機-防火墻-服務器群，另一條安全可行的路徑是防火墻-入侵防御系統-核心交換機-接入交換機-內部局域網，依據服務器群和內部局域網的不同需求實施不同的安全策略。這樣做既可以防御來自于外部對內部局域網的攻擊，也可以防御來自內部終端用戶對于重要服務器、數據庫存儲設備等核心設備的攻擊。入侵防御系統旨在提供對各種入侵行為的監控和防御，可以通過配置內置的策略，實現對如下攻擊行為進行監控和阻斷：掃描探測行為、SQL 注入攻擊、惡意代碼、木馬后門、僵尸程序、溢出攻擊、異常協議行為、流行蠕蟲攻擊、即時通訊行為、間諜軟件、脆弱口令行為、數據庫漏洞攻擊、操作系統漏洞攻擊等。值得一提的是，通過開放或禁止不同的網絡應用訪問行為，配置不同的帶寬使用限制，提高帶寬利用率。

2.2.3 網閘（GAP）

網閘又叫安全隔離網閘，是一種能夠在網絡之間不存在鏈路層連接的情況下進行安全適度的數據交換。安全隔離網閘可以直接處理網絡中應用層數據，使用存儲轉發的方法進行數據交換，在交換的同時，對應用數據進行各種安全檢查和處理包括病毒查殺、安全隔離、安全審計、訪問控制、協議轉換等。網閘通常用于限制兩個不同的網絡之間，針對國土資源系統，可以部署在本單位局域網與存在物理連接的非本單位網絡之間，管理員可以從本單位的網絡對安全隔離網閘進行管理，也可以部署在本單位局域網內部兩種不同安全級別的網絡中間，如內部終端和核心設備之間，能夠有效防止內部終端對核心設備的攻擊。

2.2.4 網絡版防病毒系統

在本單位內網部署網絡版防病毒系統， 為內網終端提供防病毒服務。網絡版防病毒系統通過在服務器部署服務控制端，使用服務控制端來控制所有安裝防病毒系統終端的內網計算機進行統一的管理，包括病毒庫更新、終端查殺、實時病毒監控等，同時，終端如果存在異常，會立馬上報給服務端，病毒管理員可以通過服務端對局域網內全部終端用戶的防病毒情況有一個全局性的把握，當內網爆發病毒時，能夠及時有效地進行病毒查殺，避免大面積病毒感染事件。

2.2.5 內網安全管理與補丁分發系統

內網終端安全往往成為傳統信息安全工作中的一個盲區，內網終端長期不受管控，許多內網終端多年不升級，成為極其危險的機器，一旦內網計算機被人惡意使用，那么內網安全將受到極大的挑戰。因此，通過在業務內網部署一套內網安全管理與補丁分發系統，對內網終端進行進入控制管理，提供標準化桌面管理，對終端的注冊表和端口進行管控，對終端的網絡流浪和行為進行監控，阻斷非法外鏈，綁定IP等一系列的管理措施能夠保障終端的使用安全。同時，補丁分發系統通過管理平臺統一下發補丁包進行升級，有效地解決內網終端的補丁更新問題，彌補系統漏洞。

2.2.6 部署關鍵業務網段的堡壘機，對核心業務訪問進行安全審計

國土行業單位存在許多重要和敏感數據，對主機、數據庫系統、業務系統的登入操作需進行有效的管理、控制和事后審計。堡壘機就相當于在服務器系統、數據庫系統、網絡設備等IT系統中設立一個門衛，通過堡壘機單點登入各個硬件和軟件系統。堡壘機對登入賬號能夠進行有效的安全管理：定期更換賬號、有效授權、對應不同的管理人員角色，授予不同的管理權限等。比如對數據庫，有些用戶的權限只能查詢，有些用戶有刪除數據的權力，有些用戶可以添加記錄。雖然單個的系統都有類似的功能，但堡壘機能夠將這些功能進行集中統一的管控，將零亂的權限條理化，從而提高管理效率。同時，堡壘機具備：事中控制功能、定義某種操作觸發報警、防止誤操作或者故意對系統的非法更改、有效的事后日志審計，所有賬號的所有操作均有日志可查，能夠進行事后的追溯和責任倒查，有效加強IT系統管理。

3 總 結

信息網絡安全體系建設是一個持續的、全方位的、動態的過程，在建設中遵循整體性、動態性、均衡性、立體性的原則，應由統一的安全管理和安全策略機制指導整個安全系統的建設和管理，形成包括VPN、防火墻、入侵防御、安全審計、病毒防御、終端安全、管理安全等相互配合的安全保障體系。