重大活動網絡氣象服務安全保障初探*

陳杰 鄭偉才 鄧闖 魏晨

(浙江省氣象服務中心，浙江 杭州 310017)

重大活動網絡氣象服務安全保障初探*

陳杰 鄭偉才 鄧闖 魏晨

(浙江省氣象服務中心，浙江 杭州 310017)

氣象服務是一項民生服務，在重大活動期間政府的決策和公眾的出行都倍加關注。本文旨在介紹浙江省氣象服務中心在G20杭州峰會期間，基于特定的網絡環境所做的，在網站、手機客戶端服務方面的網絡安全架構設計和網絡應急保障措施，為做好重大活動期間的網絡氣象服務保障提供借鑒和參考。

重大活動氣象服務；網絡安全；網站安全架構；手機APP安全；智慧氣象

0 引 言

隨著互聯網的快速發展，我國高度重視網絡安全。2014年2月召開的中央網絡安全和信息化領導小組第一次會議，明確指出網絡安全事關國家安全，“沒有網絡安全就沒有國家安全”[1]。中央網信辦、國家網信辦與多部門協調合作，多管齊下打造安全清朗的網絡大環境。在此背景下，重大活動期間的網絡安全保障越發顯得重要，特別是在杭州G20峰會期間已上升到政治高度。

然而另一方面，越是有重大活動網絡黑客的攻擊活動就越猖獗，對政府網站和涉及民生的網絡服務不斷的掃描并開展持續的網絡攻擊[2-4]，網絡黑客會設法中斷其正常的服務或篡改服務內容發表反動言論，從而造成不良影響，如：杭州G20峰會9月4日下午杭州某高校的郵件系統被網絡黑客攻破。下面就杭州G20峰會期間如何做好網絡氣象服務安全保障做詳細介紹。

1 網絡安全的制度保障

在G20杭州峰會保障任務中浙江天氣網服務網站和智慧氣象手機APP，該兩項服務涉及公眾民生類氣象服務、重要部門的專業專項氣象服務以及峰會工作決策氣象服務，要求24小時服務不間斷，是杭州G20峰會的氣象保障重點。

建立網絡保障應急預案，通過“事前檢測+事中防護+事后響應”的服務形式對智慧氣象手機客戶端、浙江天氣網本地化業務網頁、臺風專題、專業服務網等本地網絡服務平臺提供安全維護解決方案[5-8]，以降低網絡、應用和數據庫安全風險，保障網絡安全。同時，工作人員加強對以上網絡服務平臺的日常監控，在發現有出現網頁篡改、黑客入侵等異常情況時，應及時告知網絡管理人員，并向應急小組報告。網絡值班人員按照“早發現、早報告、早處置”的原則，加強對各類網絡與信息安全突發公共事件和可能引發突發公共事件的有關信息的收集、分析判斷和持續監測，發生網絡與信息安全突發事件，及時報告。報告內容主要包括信息來源、影響范圍、事件性質、事件發展趨勢和采取的措施等。

除重點考慮網絡安全外，還需考慮可能發生的物理危害，如機房斷電、火災等，應根據當時實際情況，在保障人身安全的前提下，首先保障數據安全，然后是設備的安全。具體方法包括：遇機房停電，根據可供電能力及對外服務的重要性(梳理服務器分級關閉清單)要求，研判是否要關閉或關閉哪些服務器；遇火災等情況及硬盤的拔出與保存，設備的斷電與拆卸、搬遷等。

建立應急預案定期演練制度。按照圖1應急處置流程，通過演練發現應急工作體系和工作機制存在的問題，不斷完善應急預案，提高應急處置能力。

圖1 應急處置流程

2 網絡安全架構的設計

針對G20杭州峰會期間的保障高要求，基于我們的網站和手機APP服務接口都是采用http協議，在網絡安全架構上需做好以下幾個方面。

2.1 軟件代碼的優化

http協議很容易就通過抓包工具監聽到內容，甚至可以篡改內容，為了保證數據不被別人看到和修改，對程序代碼上進行優化，可以通過以下幾個方面避免。

重要的數據，要加密。比如用戶名密碼，我們需要加密，這樣即使被抓包監聽，網絡黑客也不知道原始數據是什么(如果簡單的md5，是可以暴力破解)，所以加密方法越復雜越安全，根據需要，常見的是md5(不可逆)，aes(可逆)，進行自由組合,加一些特殊字符啊，舉例：username=aes(username),pwd=MD5(pwd+username)。

非重要數據，要簽名。簽名的目的是為了防止篡改，比如http://www.xxx.gov.cn/gets?uid=1，獲取uid為1的內容，如果不簽名那么通過uid=2,就可以獲取2的內容等等。通常使用sign，比如原鏈接請求的時候加一個sign參數，sign=md5(uid=1)，服務器接受到請求，驗證sign是否等于md5(uid=1)，如果等于說明正常請求。這會有個弊端，假如規則被發現，那么就會被偽造，所以適當復雜一些，還是能夠提高安全性的。

登錄態怎么做，http是無狀態的，也就是服務器沒法自己判斷兩個請求是否有聯系，那么登錄之后，以后的接口怎么判定是否登錄呢，簡單的做法，在數據庫中存一個token字段(名字隨意)，當用戶調用登陸接口成功的時候，就將該字段設一個值，(比如aes(過期時間))，同時返回給前端，以后每次前端請求帶上該值，服務器首先校驗是否過期，其次校驗是否正確，不通過就讓其登錄。

2.2 硬件的安全防護

第一道安全防線，配備網絡防火墻。通過詳細分析業務需求，對防火墻的安全策略進行嚴格配置，只開通必要的服務端口。在采購網絡防火墻時，最好用國內品牌的產品，在G20峰會前期公安部就通報了深信服的網絡防火墻都留有后門，具有很大的安全隱患。為滿足24小時不間斷服務需求，最好購買兩臺網絡防火墻進行HA熱備份，任何一臺出現硬件故障可實現自動切換。

網絡防火墻可以根據IP地址(IP-Addresses)或服務端口(Ports)過濾數據包。但是，它對于利用合法IP地址和端口而從事的破壞活動則無能為力。因為,防火墻極少深入數據包檢查內容。目前流行的攻擊程序和有害代碼如DoS(Denial of Service拒絕服務)、DDoS(Distributed DoS分布式拒絕服務)、暴力猜解(Brut-Force-Attack)、端口掃描(Portscan)、嗅探、病毒、蠕蟲、垃圾郵件、木馬等等。此外還有利用軟件的漏洞和缺陷鉆空子、干壞事，讓人防不勝防。因此需要構建第二道安全防線，在防火墻后端需要增加入侵防御系統IPS(Intrusion Prevention System)。IPS是對防病毒軟件(Antivirus Programs)和防火墻(Packet Filter, Application Gateway)的補充，它是一種能夠監視網絡或網絡設備的網絡資料傳輸行為的計算機網絡安全設備，能夠即時的中斷、調整或隔離一些不正?；蚴蔷哂袀π缘木W絡資料傳輸行為。

第三道安全防線，Web應用防護系統(Web Application Firewall,簡稱：WAF)。WAF代表了一類新興的信息安全技術，用以解決諸如防火墻一類傳統設備束手無策的Web應用安全問題。與傳統防火墻不同，WAF工作在應用層，因此對Web應用防護具有先天的技術優勢。基于對Web應用業務和邏輯的深刻理解，WAF對來自Web應用程序客戶端的各類請求進行內容檢測和驗證，確保其安全性與合法性，對非法的請求予以實時阻斷，從而對各類網站站點進行有效防護。

第四道安全防線，Web負載均衡[9-11]。該設備不是真正意義上的網絡安全產品，到通過該硬件設備可以架構Web服務的集群，根據訪問的負載大小可在后端隨時增減服務器數量，可滿足Web服務備份的需要，從而提供可靠的24小時不間斷服務。

硬件的網絡安全防護框架如圖2。

圖2 網絡安全防護框架

2.3 軟件的安全防護

加強氣象業務內外網網絡安全管理。針對外網、內網同時連接的短信網關電腦，除短信業務發送時段外，切斷外網連接，降低安全風險；氣象部門內部信息傳輸避免使用外網，關停原外網Ftp服務，改用內網Ftp服務；加強計算機密碼安全管理，修改各業務系統設備的管理員密碼等，嚴禁將密碼外泄；將原有通過內外網相連方式，直接傳輸程序全部關閉，改用人工方式，從內網電腦拷貝到外網電腦再進行Ftp上傳。

對外網網絡安全進行加固。請負責峰會網絡安保的安恒公司對浙江天氣網本地化服務網頁、智慧氣象手機客戶端進行網絡安全掃描，清除之前可能存在有安全隱患網站頁面。對智慧氣象手機客戶端軟件進行安全加固后更新投放到各個App市場。改進智慧氣象手機客戶端數據訪問方式為域名訪問，同時將浙江天氣網本地

化服務網頁、智慧氣象的域名映射到安恒公司的玄武盾(風暴中心)進行網絡安全防護，并在本地防火墻建立白名單禁止除經過安恒公司的風暴中心監測外的非正常訪問。通過風暴中心監控界面如圖3可查看實時的網絡訪問流暢度(左上角的區域地圖顏色區分)、網絡攻擊情況(右下角的攻擊IP排名)，還可了解各時段詳細的正常訪問和攻擊變化曲線如圖4，根據監控到的數據值班人員可以做出研判，獲知網絡攻擊的風險時段和具體攻擊的IP地址源，可及時采取措施在網絡安全設備上進行安全策略的進一步加固。

圖3 風暴中心實時監控界面

圖4 風暴中心不同時段監控界面

對防火墻等安全設備的軟件版本進行升級，彌補出現的安全漏洞，優化防火墻、WEB防火墻(WAF)的安全策略，檢查了WEB服務器的防篡改軟件啟用情況，內外網必須交互的信息采用網閘解決。

3 網絡安全的人員保障

在完成軟件、硬件的安全防護后，需要設置最后一道防線，加強現場的值班值守。根據制定的工作流程和方案，有條不紊、高質高效地開展氣象服務各項工作。

1)加強智慧氣象客戶端運行監控。峰會前期組織相關人員對“智慧氣象”客戶端內容開展全天候查漏查錯工作，發現的所有差錯和問題及時在新組建的“智慧氣象”服務保障微信群里進行反饋，相關技術人員快速響應，第一時間予以解決，確保智慧氣象客戶端的優化及正常運行，盡量避免在峰會期間對智慧氣象客戶端的程序改動從而影響運行的穩定性；

2)加強值班值守，編制了應急排班表，特別針對網絡、APP等服務出口從8月19日起增設了數據監控、網絡技術2個24小時全天候值班崗位，同時安排1名技術骨干24小時在崗，提高問題解決響應能力；

3)根據統一安排，天融信、安恒公司的兩名技術人員駐場待命協助解決相關問題。

4 取得的效果

中國氣象局鄭國光局長、嬌梅燕副局長在G20峰會總結會上充分肯定了智慧氣象手機客戶端在此次峰會氣象保障服務工作中發揮的重要作用。得到了從普通公眾到各級政府的高度關注，充分體現了氣象現代化建設成果與移動互聯技術相結合的顯著成效。8月19日到9月6日9時，智慧氣象總訪問數為986.7萬次，其中峰值出現在9月4日，智慧氣象訪問量258.8萬次，峰會期間的變化曲線如圖5。截止9月6日智慧氣象總用戶數124016，其中8月1日—9月6日決策服務用戶數增加了25803。

圖5 智慧氣象訪問量曲線

8月19日到9月6日9時，浙江天氣網本地化網頁總點擊率為1601.2萬次，其中峰值出現在9月4日280.5萬次，峰會期間的變化曲線如圖6。

圖6 浙江天氣網本地化網頁訪問量曲線

5 結 語

此次G20峰會網絡氣象服務取得的成功，得益于前期的應急預案和演練、網絡安全軟硬件的安全加固、合理的值班值守、有效的管理等多方面工作成效。同時借助此次峰會網絡服務的成功經驗，將部分網絡安全措施常態化從而提高日常的網絡安全防護能力。

網絡安全防護是一攻一守的長期博弈，沒有攻不破的堡壘沒有絕對的網絡安全，因此網絡安全防護工作永遠在路上。后續特別是重大活動期間的網絡氣象服務還需不斷跟蹤安全薄弱環節進行加強完善，如服務器操作系統核心部分的防護等。

[1] 王鐵方,李濤.蜜網與防火墻及入侵檢測的無縫結合的研究與實現[J].四川師范大學學報(自然科學版),2005(01)：119-122.

[2] 李建,王仕星,張旗.手機3G網站在氣象服務中的應用探析[J].浙江氣象,2009,30(C00):89-91.

[3] 鐘建偉.基于防火墻與入侵檢測技術的網絡安全策略[J].武漢科技學院學報,2004(04):61-64.

[4] 吳煥萍,羅兵,王維國,等.GIS技術在決策氣象服務系統建設中的應用.應用氣象學報,2008,19(3):380-384.

[5] 李建,鄭偉才,馬琰鋼.“無線城市”浙江氣象站的設計與實現[J].計算機應用研究,2013,30(C00):89-91.

[6] 李建.浙江天氣網氣象商城系統設計和實現[J].計算機應用研究,2014,31(Z1):362-363.

[7] 丁志芳,徐孟春,王清賢,曾韻.評說防火墻和入侵檢測[J].網絡安全技術與應用,2002(04):37-41.

[8] 李建.基于手機位置信息“我的氣象臺”的研究與實現[J].計算機應用研究,2015,32(7):291-299.

[9] 鄭偉才,李建,馬琰鋼.氣象網數據產品監控系統應用開發[J].計算機與網絡,2012,38(427):138-140.

[10] 王波.負載均衡構建高負載網站的利器[J].中國計算機報,1999,94:8-10.

[11] 李建,鄭偉才,王建森,等.利用F5-BIG-IP設備實現浙江天氣網負載均衡[J].計算機與網絡,2012,37(420):189-192.

2016-09-09

*資助項目：浙江省科技廳項目“浙江省高速公路氣象風險區劃及預報預警服務技術研究”(2014C23003);浙江省氣象局項目“智慧氣象技術研究”(2013ZD08)資助