論信息系統的安全管理

閻朋舉

【摘 要】在某公司集團級安全的信息系統項目中，本安全系統由安全機制、安全服務、安全技術三部分搭建而成，在實施中運用了項目管理的知識和技術，建立了一套滿足用戶需求、較為完善的安全系統，保障了用戶信息系統的安全運行。

【關鍵詞】信息；安全；管理；服務

中圖分類號： TP309.2 文獻標識碼： A 文章編號： 2095-2457（2018）24-0229-002

DOI：10.19694/j.cnki.issn2095-2457.2018.24.110

0 引言

某公司集團級安生的信息系統由安全機制、安全服務、安全技術三部分構成，工作分解結構WBS[1]為：新的網絡核心機房裝修、數據備份機房裝修、IT設備支撐系統、UPS系統、制冷系統、新風系統、消防系統、監控系統、數據備份機房、數據存儲與備份系統、防火墻與入侵檢測等子系統。該系統原來由于資金緊缺、網絡結構簡單、應用系統少等原因，在當時沒有很完善的安全管理系統。但隨著網絡的不斷的延伸，用戶數量急驟上升，業務的不斷擴展，如：資金系統、財務系統、通風系統、瓦斯系統、生產調度系統、電力調度系統等重要應用系統的運行，原來簡單的安全管理已不能滿足系統的安全需要，需要建立一套能滿足用戶需要的、較為完善且安全的系統。

1 某公司集團級安全的信息系統

為了提高某公司集團級信息系統的安全性，滿足用戶的更高水平要求，對信息系統進行了安全升級，并完善成安全的信息系統，具體做法如下：

1.1 安全機制

安全機制[2]（security mechanism）是指設計用于檢測、預防安全攻擊或者恢復系統的機制；通過安裝防火設施、防雷、視頻監控、門禁、UPS、精密空調等附屬設施，同時建立了異地備份機房，大大地保證了基礎設施的實體安全。

a、基礎設施實體安全。為了保障基礎設施的實體安全，對機房進行了潔凈機房裝修，裝修后面積約140M2，分為三個功能區，從左到右分別為監控室、主機房和消防間。走廊東面設有安全門，南側為開放辦公區。核心機房全部采用整體落地玻璃間隔。主機房設有兩個出入口，一個通向監控室，維護人員正常工作時使用；另一個面向走廊，當搬運大件設備或者緊急情況時啟用。主機房東側是消防間，面向走廊開門，用于存放消防鋼瓶，同時也便于工作人員維護核心機房的空調室外機。

機房裝修時，首先對窗戶進行了雙層玻璃的密封，地面鋪設了防靜電地板，安裝了兩臺APC FM40精密空調機（帶加溫系統），采用下送風上回風的氣流循環方式，保證機房恒溫恒濕的需要。安裝了新風系統，完善了接地系統，保證了機房環境、溫度、有效地防范了電磁、噪聲、灰塵、靜電等對設備的影響；場地安全方面在機房安全了視頻監控系統、環境監測設備、七氟丙烷自動滅火系統，這些有效地保證了場地安全；設施安全方面，核心交換機由主備兩臺交換機進行冗余保護，通信線路實行雙向環技術，這些措施保證了設備可靠性和通信線安全自愈能力；在動力系統安全中，電源系統采用了兩路市電主備供電的方法，減少單路供電停的不安全因素，同時UPS采用了APC公司的40k+10k模塊化設計的集成供電系統，保證機房40K千瓦的用電需求，現設備負荷率達65%。并在電源端做了防雷裝置，保證系統設備的正常供電或雷雨季節的安全運行。

災難預防和恢復，為了提高容災能力，建立了異地（因為條件限制實際是在不同的樓上）備份機房，其與主核心機房全是用光纖聯接。

b、平臺安全。為了保證本網絡的平臺安全，在內網與外網之間安全裝了防火墻，在網絡中還安裝了安全入侵檢測、脆弱性掃描，對系統內所的終端都安裝卡巴斯基防毒軟件；在UNIX、WINDOWS、LINUX系統上安裝了操作系統漏洞檢測與修復軟件。總之通過這些工作基本上保證了平臺安全。

c、數據安全。異主要采用異地數據容災，為系統數據備份系統提供運行環境保障。同時也可作為網絡核心機房的備份，并為非核心業務網絡服務提供機房環境支持。數據備份機房建設充分利用了原核心機房撤出的基礎設施和設備，并通過遠程監控等手段實現與心網絡核心機房的統一管理與維護。

制定備了份策略：每周聯機熱備，結合每月定時脫機冷備，每日晚做完全邏輯備份，同時在平時持續備份archivelog：每周六晚10點，做一次完全聯機熱備；每日晚10點，做一次增量備份；每周三晚10點，做一次差分備份；每日每隔2小時往磁帶備一次新產生的archivelog，這個備份做2份。

d、運行安全。為了保證運行安全，對運行中存的各種風險進行分析、評估、排序，并對不同風險制定了《信息系統安全應急預案》，在預案中明確了安全求援的機構、指揮長，闡明應急等級和啟動應急預案的流程，使設備在運行中如果出事故時，在應急預案的指導下使故障能速迅得到恢復，保證了系統運行安全。

e、管理安全。在安全上專家認為是“三份技術、七份靠管理”所以我組項目相關干系人，通頭腦風暴法、專家咨詢等手段，結合相關標準建立健全了：《人員安全管理》、《培訓管理》、《應用系統管理》、《軟件管理》、《設備管理》、《文檔管理》、《數據管理》、《操作管理》、《運行管理》、《機房管理》等各項管理制度，為安全管理打下堅實的制度基礎。

f、授權和審計安全。為了保證系統安全，采取發對用戶認證系統，完善了網絡內部活動的監控、統計和分析，提高了對空發事件的事后分析能力，為系統安全運行提供了依據。

1.2 安全服務

為了保證安全服務，安裝了身份認證系統，認證系統中的端點準入防御[3]（EAD，Endpoint Admission Defense）功能從網絡端點接入控制入手，加強網絡終端的主動防御能力，控制病毒、蠕蟲的蔓延。EAD通過安全客戶端、安全策略服務器、接入設備以及防病毒軟件的聯動，可以將不符合安全要求的終端限制在“隔離區” 內，防止“危險”終端對網絡安全的損害，避免“易感”終端受病毒、蠕蟲的攻擊。

認證服務器是整個系統的核心部分，控制所有遠程用戶對網絡和應用系統的訪問，提供全面的認證、授權和審計服務。用戶在登錄系統時，通過安全加密通道與遠程身份認證服務器通訊，由認證服務器完成對用戶身份的認證，并得到當前用戶的身份以及系統的授權信息。

本系統還可以支持多種登錄方式的靈活定制，可以滿足不同情況的需要，及對用戶的管理，支持人員賬戶的查詢，修改，刪除，及對用戶賬號的停用和對用戶權限的限制，支持對第三方CA，及一次性口令的認證登錄和管理員的登錄。這樣避免非授人員對系統的訪問，提高了系統的安全性。

1.3 安全技術

1）訪問控制，訪問控制主要通過防火墻設備來實現。通過防火墻訪問控制措施，保障防火墻服務器區或內網資源的安全性。限制非授權用戶對重要資源的訪問能力，同時允許授權開放的資源供外網用戶提供訪問，最大限度避免將系統漏洞暴露于外部而帶來的網絡安全威脅。本項目使用的是包過濾（Packet filtering）型防為墻，包過濾型防火墻工作在OSI網絡參考模型的網絡層和傳輸層，它根據數據包頭源地址，目的地址、端口號和協議類型等標志確定是否允許通過。只有滿足過濾條件的數據包才被轉發到相應的目的地，其余數據包則被從數據流中丟棄。包過濾方式是一種通用、廉價和有效的安全手段；適用于所有網絡服務；包過濾方式的優點是不用改動客戶機和主機上的應用程序，因為它工作在網絡層和傳輸層，與應用層無關。

2）VPN技術，由于建設方的應系統如：資金系統、財務系統、通風系統、瓦斯系統、生產調度系統、電力調度系統等都跨越不同城市，所以本系統利用VPN技術來解決這些專網的安全，VPN的核心是采用隧道技術，將企業專用網的數據加密封裝后，透過虛擬的公網隧道進行傳輸，從而防止敏感數據的被竊取。企業通過公網建立VPN，就如同通過自己的專用網建立內部網一樣，享有較高的安全性、優先性、可靠性和可管理性，而其建立周期、投入資金和維護費用卻大大降低。從而保證了其安全。

2 結束語

在安全的信息系統項目的實施中，經過項目組人員一致努力，為用戶建立了一套較為完善的信息安全系統，滿足了用戶需求，得到了用戶的好評，同時也積累了實施集團級的安全系統的經驗并鍛煉了隊伍，近而使認識安全是一種意識，而不是某種的技術就能實現真正的安全。除缺乏必要的安全產品和技術引起的不安全因素外，更多的不安全因素來自于管理上的漏洞，要想保證網絡的安全，在做好邊界防護的同時，更要做好內部網絡的管理。安全是永恒的話題，怎樣在安全機制、安全服務、安全技術三維空間中，合理運用各類設備各技術、建立滿足用戶需求的安全策略，還有待于去研究、探索、實踐、總結和提高。

【參考文獻】

[1]魏永濤.工作分解結構WBS技術[J].中國高新技術企業，2011，25

[2]張信明，陳國良.HTTP的安全機制[J].計算機科學，2000，7

[3]朱宇陽，支林仙.端點準入防御機制在網絡安全改造中的可行性分析[J]麗水學院黨報，2007，4（29）：114-115.