基于信息安全體系實現靶場事后數據處理系統*

張 東

(92941部隊96分隊 葫蘆島 125000)

基于信息安全體系實現靶場事后數據處理系統*

張 東

(92941部隊96分隊 葫蘆島 125000)

信息安全日益成為靶場試驗需要面臨和解決的現實問題。論文基于網絡和數據庫技術,采用先進的信息安全手段,構建一個高效穩定的信息安全體系,從而為靶場事后數據處理和管理提供強有力的安全保障。

數據處理;信息安全;權限;密鑰

Class Number TP309

1 引言

靶場事后數據處理系統中存儲的數據具有非常重要戰略意義,包括任務信息、型號信息、處理模型、模型參數、原始數據、計算結果和圖像數據等。隨著事后數據處理系統的發展,各種涉密電子文件及共享資源等各種信息安全問題逐漸顯現。同時,隨著系統的升級和擴展越來越依賴于網絡平臺,必然要求一個穩定、可靠的安全體系提供持續有力的安全保障。系統信息安全體系建設的總體目標是：基于現代信息安全理論,遵循國家標準,采用目前國內外先進的信息安全技術,建設涵蓋事后數據處理中心的網絡、應用和管理等各個方面的統一、安全、穩定、高效的信息安全體系,并根據系統建設進程制定信息安全體系建設的分步實施方案,建成完整的系統信息安全保障體系。

2 體系模型

信息安全體系模型由基礎安全設施、信息安全管理、安全技術支撐和安全保障服務四個層面構成,為事后數據處理系統提供全面的安全體系保障,如圖1所示。

· 基礎安全設施：基礎安全設施為數據處理系統信息安全體系建立一個可相互信任的環境,是其他安全技術實施的基礎。基礎安全設施以PKI(公鑰基礎設施)/PMI(特權管理基礎設施)/KMI(密鑰基礎設施)技術為核心,實現證書認證、權限管理、密鑰管理、可信時間戳、密碼服務等功能[1]。

· 信息安全管理：在數據處理系統信息安全體系中,管理占有相當大的比重。信息安全管理包括策略管理、組織管理、制度管理、網絡管理、設備管理、系統管理、病毒管理、介質管理、安全審計管理等功能。

圖1 信息安全體系模型

· 安全技術支撐：利用各類安全產品和技術建立起事后數據處理安全技術支撐平臺。安全技術支撐包括物理安全、運行安全和信息安全。物理安全包括環境安全、設備安全和介質安全;運行安全采用防病毒、入侵檢測和代碼防護等成熟技術對網絡進行防護;信息安全包括訪問控制、信息加密、電磁泄漏發射防護、安全審計、數據庫安全等功能。

· 安全保障服務：安全保障服務確保在出現自然災害、系統崩潰、網絡攻擊或硬件故障下,事后數據處理系統得以快速響應和恢復,并定期進行安全培訓服務,建立安全可靠的服務保障機制[2～4]。

3 體系劃分

3.1 基礎安全設施

事后數據處理系統基礎安全設施是以PKI/PMI/KMI技術為基礎而構建的證書認證、權限管理、密鑰管理和密碼服務等基礎設施。基礎安全設施提供的技術支撐適用于整個事后數據處理系統,具有通用性。基礎安全設施的技術運行和管理具有相對的獨立性[5]。

1) 證書認證

證書認證是對數字證書進行全過程的安全管理。由證書簽發、密鑰管理、證書管理、本地注冊、證書/證書撤銷列表查詢、遠程注冊等部分構成。

2) 權限管理

權限管理是信息安全體系基礎安全設施的重要組成部分。它采用基于角色的訪問控制技術,通過分級的、自上而下的權限管理職能的劃分和委派,建立統一的特權管理基礎設施,在統一的授權管理策略的指導下實現分布式的權限管理[6～7]。

權限管理能夠按照統一的策略實現層次化的信息資源結構和關系的描述和管理,提供統一的、基于角色和用戶組的授權管理,對授權管理和訪問控制決策策略進行統一的描述、管理和實施。建立統一的權限管理,不僅能夠解決面向單獨業務系統或軟件平臺設計的權限管理機制帶來的權限定義和劃分不統一、各訪問控制點安全策略不一致、管理操作冗余、管理復雜等問題,還能夠提高授權的可管理性,降低授權管理的復雜度和管理成本,方便應用系統的開發,提高整個系統的安全性和可用性。

3) 密鑰管理

密鑰管理是指密鑰管理基礎設施,為基礎安全設施提供支持,并提供證書密鑰的生成、存儲、認證、分發、查詢、注銷、歸檔及恢復等管理服務[8]。密鑰管理與證書認證服務按照“統一規劃、同步建設、獨立設置、分別管理、有機結合”的原則進行建設和管理,由指定專人維護管理。密鑰管理與證書認證是分別設立,各自管理,緊密聯系,共同組成一個完整的數字證書認證系統。密鑰管理主要為證書認證提供用戶需要的加密用的公/私密鑰對,并為用戶提供密鑰恢復服務。

4) 密碼服務

密碼服務要構建一個相對獨立的、可信的計算環境,進行安全密碼算法處理。根據系統規模,可采用集中式或分布式計算技術,系統性能動態可擴展[9]。事后數據處理系統采用集中式計算技術。

3.2 安全技術支撐

安全技術支撐是利用各類安全產品和技術建立起安全技術支撐平臺。安全技術支撐包括物理安全、運行安全和信息安全。物理安全包括環境安全、設備安全和介質安全;運行安全包括防病毒、入侵檢測和代碼防護等;信息安全包括訪問控制、信息加密、電磁泄漏發射防護、安全審計、數據庫安全等功能。

3.2.1 物理安全

物理安全的目標是保護計算機信息系統的設備、設施、媒體和信息免遭自然災害、環境事故、人為物理操作失誤、各種以物理手段進行的違法犯罪行為導致的破壞、丟失。物理安全主要包括環境安全、設備安全和介質安全三方面。

對事后數據處理中心的各種計算機、外設設備、數據處理系統等物理設備的安全保護尤其重要。對攜帶進入數據處理中心的U盤、移動硬盤、可攜帶筆記本等移動介質進行單獨安全處理。

3.2.2 運行安全

運行安全采用防火墻、入侵檢測、入侵防護、病毒防治、傳輸加密、安全虛擬專網等成熟技術,利用物理環境保護、邊界保護、系統加固、節點數據保護、數據傳輸保護等手段,通過對網絡和系統安全防護的統一設計和統一配置,實現全系統高效、可靠的運行安全防護。系統安全域劃分為事后數據處理中心專網安全域、靶場專網安全域、外聯網安全域。事后數據處理中心專網與靶場專網安全域邏輯隔離,靶場專網與外聯網安全域邏輯隔離[10]。

1) 防火墻

防火墻技術以包過濾防火墻為主,對系統劃分的各個安全域進行邊界保護。在事后數據處理中心出入口、網絡節點出入口、外網出入口等節點安裝配置防火墻設備,保證數據傳輸安全。

2) 入侵檢測

入侵檢測對事后數據處理系統的關鍵安全域進行動態風險監控,使用成熟的入侵檢測技術對整個系統網絡的入侵進行防控。

3) 病毒防治

在各網絡節點保證出入站的電子郵件、數據及文件安全,保證網絡協議的使用安全,防止引入外部病毒。在事后數據處理系統的重要系統服務器(包括專業處理服務器、數據服務器等)配置服務器防病毒產品。在所有桌面系統配置防病毒防護產品,提供全面的跨平臺病毒掃描及清除保護,阻止病毒通過軟盤、光盤等進入事后數據處理系統網絡,同時控制病毒從工作站向服務器或網絡傳播。在事后數據處理中心配置防病毒管理控制中心,通過安全管理平臺管理控制服務器、控制臺和代理程序,進行各個防病毒安全域的防病毒系統的管理和配置。

3.2.3 信息安全

信息安全包括訪問控制、信息加密、電磁泄漏發射防護、安全審計、數據庫安全等功能。信息安全技術是保證事后數據處理中心的原始測量數據、計算結果數據、圖像數據等各類數據的安全技術,使用成熟的安全信息技術產品完成全面的信息安全保障。

1) 訪問控制

訪問控制主要包括防止非法的人員或計算機進入數據處理中心的系統,允許合法用戶訪問受保護的系統,防止合法的用戶對權限較高的網絡資源進行非授權的訪問。

訪問控制根據方式可分為自主訪問控制和強制訪問控制。自主訪問控制是事后數據處理中心各級用戶自身創建的對象進行訪問,并授予指定的訪問權限;強制訪問控制是由系統或指定安全員對特定的數據、對象進行統一的強制性控制,即使是對象的創建者,也無權訪問。

2) 安全審計

事后數據處理中心運用安全審計技術對系統的軟件系統、設備使用、網絡資源、安全事件等進行全面的審計。可建立安全保密檢測控制中心,負責對系統安全的監測、控制、處理和審計,所有的安全保密服務功能、網絡中的所有層次都與審計跟蹤系統有關。

3) 數據庫安全

數據庫系統的安全特性主要是針對數據而言的,包括數據獨立性、數據安全性、數據完整性、并發控制、故障恢復等幾個方面[11]。

4 事后處理系統解決方案

事后數據處理系統主要用于完成遙測和外測的事后數據處理任務,提供目標內外彈道參數,并存儲和管理各類測量數據,為各種武器試驗的故障分析和性能評定提供支撐和依據。該系統必須具備的主要功能如下：

· 海量的數據輸入輸出和存儲管理功能;

· 快速的各類試驗測量數據處理功能;

· 可靠的數據質量評估和精度分析功能;

· 有效的信息安全防護功能;

· 強大的數據、圖像、曲線顯示分析以及報告自動生成功能。

基于以上需求和功能構建事后數據處理系統的拓撲圖如圖2所示。

建立事后數據處理系統信息安全運行與管理的基礎平臺,構建整個系統信息安全的安全支撐體系,保證事后數據處理系統各種業務應用的安全運行,通過技術手段實現事后數據處理系統安全可管理、安全可控制的目標,使安全保護策略貫穿到系統的物理環境、網絡環境、系統環境、應用環境、災備環境和管理環境的各個層面。

· 實現事后數據處理任務信息、型號信息、處理模型、模型參數、原始數據、計算結果、圖像數據的安全保護;

· 建立起認證快捷安全、權限/密鑰管理完備、密碼服務安全的安全設施;

· 建立起功能齊全、協調高效、信息共享、監控嚴密、安全穩定的安全技術支撐平臺;

· 建立事后數據處理系統信息安全體系的技術標準、規范和規章制度。

圖2 系統拓撲圖

5 結語

事后數據處理系統信息安全體系以國家相關標準和軍用涉密要求為面,深層防御為體,動態響應、積極防御的思想為指導,建立既符合靶場任務需求,又適應自身實際要求,同時具有良好的可擴展性的安全體系,為數據處理中心的建設和發展提供了良好的基礎平臺和持續有力的安全保障。

[1] 熊平.信息安全原理及應用[M].北京:清華大學出版社,2012:14-16.

[2] 沈昌祥,左曉棟.信息安全[M].杭州:浙江大學出版社,2007:7-10.

[3] 唐昌龍,劉吉強.面向企業戰略和服務的信息安全架構設計與應用[J].信息安全與技術,2013(2):35-41.

[4] 張大朋,蔡克,張敏,等.云計算數據安全支撐平臺架構研究[J].計算機研究與發展,2011,48(z2):261-267.

[5] 胡光勇.基于云計算的數據安全存儲策略研究[J].計算機測量與控制,2011,19(10):2539-2541.

[6] 王建軍,黨懷義.基于WEB的分布式試飛數據處理系統結構設計[J].計算機測量與控制,2010,18(6):1452-1454.

[7] 任新,楊兵.網絡安全系統的設計與應用[J].計算機與網絡,2011(3):140-142.

[8] 翟廣輝,張遠.一種海量數據安全存儲技術的研究[J].科技通報,2013(8):25-27.

[9] 蘇孝青,盛志華.云計算環境下的數據安全存儲技術[J].信息安全與技術,2012(8):23-24.

[10] 張翼飛,蘭蕓.面向等級保護的數據安全保護系統研究與設計[J].信息網絡安全,2013(12):72-74.

[11] 劉勝利,王文冰,費金龍,等.基于可信網絡連接的局域網數據保密系統設計與實現[J].信息工程大學學報,2010(2):83-87.

Test Range System of Post-flight Data Processing Based on Information Security System

ZHANG Dong

(Unit 96, No. 92941 Troops of PLA, Huludao 125000)

Information security is becoming the problem which test range needs to face and resolve today. Adopting advanced methods, a effective and steady information security system is constructed in this paper based on network and database technology, which will provide more powerful safeguard for post-flight data processing system of test range.

data processing, information security, privilege, key

2014年5月1日,

2014年6月19日 作者簡介:張東,男,碩士,高級工程師,研究方向:數據處理。

TP309

10.3969/j.issn1672-9730.2014.11.032