網絡安全要把握一個度

引言：網絡保安全固然十分重要，但絕對安全很難做到，甚至無法做到，而安全是有成本的，設備成本、人員成本和效率成本等。要求越高成本越高，這就有個平衡問題，分清主次緩急，掌握好一個度。下面是筆者單位網絡管理的典型做法。

網絡保安全固然十分重要，但絕對安全很難做到，甚至無法做到，而安全是有成本的，設備成本、人員成本和效率成本等。要求越高成本越高，這就有個平衡問題，分清主次緩急，掌握好一個度。下面是筆者單位網絡管理的典型做法。

網絡概況

單位系統內部計算機網絡是流域內部計算機網絡系統的一個組成部分，經過最近20年的持續建設，目前已覆蓋多個省、市、縣級及直屬單位、54座水閘和大部分的基層段所，距離跨度超過600公里，網絡的特點是點多、面廣、線長。各單位之間的連接方式不盡相同，主要有光纜、微波和寬帶無線接入等，承載各種業務應用系統70多個。

目前流域系統內部網絡分為兩類：一類是政務內網，屬于涉密網，范圍只限于流域總部機關內部，系統內部網絡與政務內網沒有連接。二是政務外網，也就是通常所說的流域內網，屬于非涉密網，覆蓋流域總部機關和流域各單位，系統內部網絡均屬于政務外網。政務外網與政務內網采用物理隔離，是相互獨立的兩套網絡。政務外網的用戶不僅可以訪問流域內網的應用系統，也可以通過防火墻訪問互聯網，但是互聯網的用戶不能訪問政務外網。系統內部政務外網還包括公眾服務部分，系統內部網和局屬各單位的門戶網站等均屬于此類，該部分不僅能被內部用戶訪問也能被互聯網用戶訪問。

安全定位和措施要點

除水閘遠程監控系統外，在網絡安全等級保護評級中，單位自主開發的應用系統均定為1或2級（總共5級，5級最高）。其中對2級保護的定位如下：信息系統受到破壞后，會對公民、法人和其他組織的合法權益產生嚴重損害，或者對社會秩序和公共利益造成損害，但不損害國家安全。根據上述安全定位，單位采取常規網絡安全措施即可，關鍵是措施切實得到嚴格執行，要點如下：

一是管理與技術措施并用，側重管理措施。根據有關統計，70%的安全事故都是內部管理原因造成的，制定的制度得到切實執行是問題的關鍵。應用系統管理員密碼管理，移動介質管理，職責明確到人。

二是技術措施不是一勞永逸的。防火墻等設備的策略設置要根據變化的情況隨時進行調整。定期檢查分析防火墻和服務器的安全日志，逐個查清異常告警發生的原因，及時采取措施。如果不經常監測分析研判，再好的安全設備也會變成聾子的耳朵。操作系統等服務器端程序要及時打補丁，及早彌補安全漏洞。

三是加強上網信息審核制度，做到涉密、敏感信息不上網，這樣就確保了即使發生了信息泄露，也不會造成嚴重損失和不良影響。

四是切實保護好數據庫系統。這是信息系統存在的基礎，如果說功能程序可重新開發的話，數據的損失是很難完整恢復的，往往造成不可挽回的損失。要有適合的備份措施和備份策略，重要的歷史數據最好要有離線備份。

五是各單位的門戶網站，直接面對互聯網公眾，所以遭遇網絡攻擊的風險高、影響大，是安全防范的難點和重點。針對各單位網絡防護能力參差不齊的問題，單位已經實行了由系統內部信息中心集中進行后臺技術管理和維護的模式，實踐證明這個辦法是有效的。技術措施方面主要有：采用先進的技術架構，具備完善的界面防篡改和數據庫隔離機制。定期進行網站加固、日志分析，關閉無關的端口和協議等。

六是制定確實可行的應急預案，可確保出現問題得到及時得當的處置。

水閘遠程監控系統風險分析

作為流域總部水閘遠程監控系統的一部分，單位有54座水閘安裝了遠程監控，該系統被作為關鍵信息基礎設施和水利部水利工程工業控制系統進行了上報。2016年12月上級部門來單位聽取匯報并進行為期2天的現場檢查檢測。被認為一旦被互聯網黑客提起閘門將是非常嚴重的網絡安全事故。下面簡要分析一下該系統的安全情況。

首先，水閘閘門的遠程啟閉控制的軟件部分是采用WonderwareIntourch工業自動化組態軟件，根據閘門控制系統的實際需要進行定制的。閘門遠程啟閉必須安裝定制的客戶端程序，這個客戶端程序是有版權控制的，程序的安裝和運行必須使用開發商提供的硬件加密狗，否則無法安裝和運行。其次，遠程監控用戶根據賦予的權限不同分為5個級別，用戶的注冊、權限設置等均由流域總部主管部門統一管理，流域單位均無此權限。第三，只有使用流域內網的合法IP地址才能安裝和正常運行Intourch客戶端程序，脫離內網環境其地址是不可路由的，即使得到客戶端軟件也無法使用。第四，考慮到安全可靠性，正常情況下現地站控制按鈕默認設置為手動模式，啟閉閘門由當地的水閘管理所人員現場手動操控。需要遠程控制時，需要現地工作人員將開關切換到遠程自動模式，并且由現場人員做好相關的檢查才能進行，以防止各種不測事故的發生。

通過上述分析，只要嚴格按程序辦事，內部管理不出問題，單位水閘遠程監控系統可以從根本上排除被外部黑客啟閉閘門的風險。

要走出不計代價搞安全的誤區

網絡安全是相對的而非絕對的，沒有絕對安全，要立足基本國情保安全，避免不計成本追求絕對安全。很多單位為了保證萬無一失，本來經過簡單改造或在軟件上稍加改動即可正常使用的設備和應用系統被強制報廢，造成了不必要的浪費。