信息系統安全管理策略分析與應用

周寅晴，歐陽資春

（郴州市煙草公司，郴州 423000）

福城煙云以敏捷服務郴州煙草和諧生態共同體為目標，通過打造信息服務管理平臺，利用大數據、云計算、人工智能應用提升工作效率，以現代信息化技術手段推動精益管理創新，推進企業服務模式的戰略轉型，力促企業從高速度發展向高質量發展。福城煙云部署在郴州煙草云計算管理平臺上，與傳統IT系統安全技術體系類似，福城煙云安全技術體系主要從應用層、系統層、網絡層、虛擬化層、管理層五個方面進行設計。

1 應用層安全

1.1 接入安全

1.1.1 密碼策略

福城煙云服務平臺使用用戶名+密碼（密鑰）方式對操作員進行認證。管理員執行嚴格的密碼配置策略，防止密碼被攻擊或破解，對操作員密碼實施了全面檢查，包括密碼的長度、組成字符、英文大小寫、歷史密碼、密碼強弱度等[1]。

系統提供了密碼修改功能，操作員可根據應用需求和行為習慣自主修改密碼；修改密碼時，系統會要求錄入舊密碼，同時二次錄入新密碼進行確認。

此外，提前提示修改即將過期的密碼，對于過期密碼，在登錄系統前強制修改舊密碼。1.1.2 授權管理

對于所有登錄用戶請求，應用系統根據其相應的權限進行檢查，對于非授權訪問和請求予以拒絕。

福城煙云服務平臺實施統一的用戶管理，以及基于角色的統一權限管理。

1.1.3 認證與會話控制

福城煙云服務平臺的訪問通過訪問控制和通信控制進行保護，所有到福城煙云服務平臺的訪問必須經過適當的認證和授權。對于基于Web的應用，用戶登錄要求提供一次性驗證碼。

1.2 數據安全

1.2.1 數據加密算法

使用加密算法保護諸如操作員登錄密碼、用戶登陸密鑰、虛擬機登陸密碼等敏感數據。對于操作員登錄密碼、采用不可逆算法。對于系統用戶登陸密鑰、虛擬機登陸密碼，采用RSA進行加密。

1.2.2 應用數據保護

執行文件、日志、配置、數據等被規劃到不同目錄，并設置不同權限以便實施不同的保護和備份策略。

對于平臺所管理和生成的業務數據，采用權限控制、日志和審計措施來保護。

1.3 通訊安全

平臺部件之間的通信實施必要的安全性保護，平臺使用安全的交互協議。如支持HTTPS承載敏感的Web操作；如鏡像等數據傳輸，SFTP協議被作為首選協議確保數據傳輸安全。與外部第三方系統互聯，采用VPN方式。

1.4 監控、日志、審計和告警

福城煙云平臺通過監控、日志、審計與告警等措施來確保其安全運作。

重要的系統操作均被記錄日志。應用日志被安全存儲，防止被刪除或隨意篡改；并且可以通過配置以實時消息方式或批量模式傳遞到可信設備（如集中日志服務器）進行歸檔。

實時監控生產環境、應用運行狀態并將生成性能報告和告警消息發送到監控臺集中統一處理。

操作日志可以被審計以便發現非法操作。監控與告警觸發對云平臺業務系統的及時調整，確保業務系統正常運行，保障服務可用性。

2 系統層安全

系統層包括操作系統、數據庫、中間件、應用服務器等。

2.1 操作系統安全

操作系統最小化安裝，根據需要對操作系統部件進行裁減，對于不必要的部件不予以安裝；并且打上最新經過驗證的操作系統補丁。

賬號與操作環境：禁用不必要的系統賬號或者鎖定系統賬號的登錄權限，調整活動賬號配置和登錄、操作環境，確保其密碼非空、目錄以及配置文件權限設置安全，調整缺省掩碼，保證產生文件不被其他用戶任意訪問。

密碼策略：啟用強口令策略，并對密碼生命期進行限制。

2.2 數據庫安全

賬號管理：對于無需使用的缺省賬號實施鎖定，并設置為過期；對于數據庫內部賬號的缺省密碼進行設置。

密碼策略：啟用增強密碼策略，包括密碼長度、構成（大小寫字母、數字等的數目限制）、密碼生命期管理、歷史密碼限制等。

權限控制：使用基于數據庫對賬號進行身份認證，對于用戶賬號，僅僅授予其工作所需要的預定義角色，限制授予額外的權限。

網絡接入：使用防火墻限制對數據庫的訪問，僅僅允許對特定端口的訪問。

審計日志：啟用對所有安全事件的日志記錄。

2.3 防病毒

郴州煙草云計算管理平臺的所有物理主機和虛擬機操作系統均部署了防病毒軟件，防范病毒的攻擊。

3 網絡層安全

3.1 網絡設備安全

網絡設備安全主要是運行穩定性，一是CPU關鍵指標，要求其負載高峰的使用值<60%；二是網絡帶寬，包括接入網和核心網，要求其業務高峰時段使用值<60%。用戶操作網絡設備必須輸入口令進行身份認證，不得使用默認用戶和默認口令。設備管理員的登錄地址嚴格受限，不能在未注冊登記的地址上登錄網絡設備，管理員只能從堡壘機上遠程登錄閉幕式管理網絡中的設備[2]。

網絡中有多個管理員的，各個用戶的賬號和標識惟一；應用兩種以上的組合鑒別技術對用戶進行身份鑒別；啟用口令復雜度檢測，要求采用數字+字符組號混排，長度不得少于8位，并且要求定期更換，3個月失效強制要求更換，5次以內歷史密碼發生重復則無效；啟用登錄失敗處理，防止無限嘗試攻擊并對攻擊進行鎖定；網絡登錄后長時間沒有操作，超時失效自動退出。為不同級別的用戶分配相應的操作權限，對設備特權用戶仍進行權限細分，可分為系統管理員、安全審計員、安全管理員等。

3.2 網絡結構安全

根據業務和部門的區別，劃分多個不同的網段，各網段之間不能互為訪問，僅能與服務器網段進行交互，建立安全的訪問路徑。建立三網四線：辦公網（一主一備兩條線）、互聯網、視頻監控網，嚴格實行內外網物理隔離機制，通過應用防火墻的配置，對各網段之間進行有效的控制。福城煙云將數據庫虛擬服務器部署在內網云計算中心，WEB應用虛擬服務器部署在DMZ區資源池，內網和DMZ區通過防火墻進行隔離，根據業務的重要性和優先級，制定帶寬應用和分配的原則。

3.3 訪問控制安全

網絡邊界設備防火墻，建立端口級控制要求，配置訪問控制策略，對進出網絡的信息內容進行檢測過濾，應用技術措施防止網絡欺騙，對超過會話非活躍終止時間的進行阻斷，同時，合理限制網絡的最大流量和連接數量[3]。

3.4 邊界完整性安全

部署終端管理軟件，對內部網絡運行行為進行監控，防止內部攻擊、非法應用、未授權應用等行為；檢測到內部用戶在辦公網絡終端使用無線網絡或雙網卡連接互聯網時，及時進行阻斷，并生成工作報告通報管理員并備查；同時，關閉閑置的網絡設備端口。

3.5 入侵防御檢測

網絡邊界部署IDS、IPS等入侵檢測功能設備。監控設備策略庫要定期升級，對攻擊行為進行檢測和監視，提供電話、短信或聲音等主動報警，并分析和保存攻擊源IP、時間、目標及影響的詳細日志。

3.6 惡意代碼防范

在網絡邊界部署防病毒網關、UTM和IPS的防病毒模塊等，合理進行配置以保存惡意代碼檢測記錄，及時更新惡意代碼庫為最新版本，通過軟件層面解決終端安全問題。

4 虛擬化層安全

4.1 虛擬流量可視化

云安全解決方案中，由于虛擬機內部的流量不可視，需要實現對虛擬流量可視化，以滿足合規要求。通過云平臺將虛擬機內部流量鏡像、虛擬安全設備等方式獲取云環境中的流量，對云環境內核心且關鍵流量中存在的異常進行檢測。采集檢測可以獲取的威脅數據包括：信息收集行為、權限獲取、遠程控制、數據盜取、系統破壞、木馬/病毒/僵尸網絡；入侵攻擊與病毒泛濫造成的網絡流量異常；黑客或黑客組織攻擊行為、針對特定目標的入侵行為。以此形成虛擬流量的邏輯拓撲圖。

4.2 虛擬機防護

應用虛擬機安全agent安全插件，對虛擬機的性能、風險狀態以及虛擬機之間的流量、邏輯拓撲進行檢測，以可視化的方式展示虛擬機的態勢感知，重點檢測如下：Webshell檢測；暴力破解檢測；僵尸網絡檢測；微隔離。

5 管理層安全

5.1 日志管理

福城煙云產生操作日志、系統日志、安全日志等，這些日志應該被周期性地備份到安全的地方，如遠程安全服務器或者備份到磁帶并妥善保管。如果沒有自動備份機制，對日志和日志空間進行日常檢查。

5.1.1 操作日志備份

平臺操作日志必須定期保存一段時間，日志需要備份到其他存儲介質上，可使用專用日志服務器來備份所有日志。只有系統管理員或指定的個人可以進行日志備份，有權查看日志，任何人都沒有權限修改或刪除日志。5.1.2 系統日志備份

對于登錄等安全日志，有必要定期備份。其中日志文件、路徑以及使用規則針對不同操作系統存在差異。5.1.3 日志審計

建立日志審查制度。管理員定期審查系統安全日志、操作日志，對系統運行狀態進行檢查，及時發現系統的異常操作。

5.2 補丁管理

平臺提供集中的補丁管理策略，對系統補丁進行自動下載、測試和升級，及時修補系統漏洞。此外，將由專門的安全應急響應團隊針對緊急安全事件進行評估、判斷和決策，根據需要及時發布預警、提供安全補丁，最大限度降低緊急安全事件對系統的影響和破壞。

5.3 安全告警管理

當平臺偵測到違背安全策略的事件行為時，將安全事件相關的所有信息上報給安全告警管理，管理員接到告警信息后及時進行處理，排除安全隱患。安全告警內容須包含告警的級別、類型、原因、來源、時間、服務提供者和使用者等信息。

5.4 備份管理

在系統升級前須提前備份操作系統和數據庫。定期對宿主機和虛擬機系統、應用和數據按照定制的備份策略進行備份，當系統發生異常和破壞時，可以使用備份的數據立即進行恢復。