網站信息系統安全探討

鄧紅友

摘 要 隨著互聯網技術的發展與網絡安全問題的爆發，網絡安全越來越受到各級政府的重視。文章就如何做好網站信息系統安全等級保護做了全面的闡述，詳細介紹了物理安全、網絡安全、應用安全等方面的關鍵信息。

關鍵詞 信息安全；網絡安全；等保測評

中圖分類號 TP393 文獻標識碼 A 文章編號 2096-0360（2018）07-0041-02

隨著網絡化信息化的發展，信息網絡的安全越來越受到各級政府、金融機構、新聞媒體、互聯網企業、網絡安全公司的重視，特別是美國“斯諾登事件”爆發后，全世界各國政府對網絡安全的重視更是提到空前的高度，美國前總統奧巴馬就將網絡安全視作美國面臨的最大挑戰之一，2015年發布了《網絡安全法》，2016年發布《網絡安全國家行動計劃》，同樣，中國政府也非常重視網絡安全，2014年成立中央網絡安全和信息化領導小組，2016年11月7日通過《中華人民共和國網絡安全法》，自2017年6月1日起施行。

1 網絡信息安全系統定級

信息安全是指保障國家、機構、個人的信息空間、信息載體和信息資源等信息不受來自任何內外各種形式的危險、威脅、侵害[1]。根據《信息安全等級保護管理辦法》的規定，信息安全等級保護堅持自主定級、自主保護的原則。信息系統的安全保護等級分為五級，其中地市級單位一般是二級至三級，韶關民聲網根據網站的規模與影響力，參照“第二級，信息系統受到破壞后，會對公民、法人和其他組織的合法權益產生嚴重損害，或者對社會秩序和公共利益造成損害，但不損害國家安全，國家信息安全監管部門對該級信息系統安全等級保護工作進行指導”①的要求，確定申報第二級等級保護。信息系統安全從管理角度看可分為信息安全策略、信息安全技術、風險評估、信息安全管理、信息安全監管等；從技術角度分析可分為物理安全、系統安全、網絡安全、應用安全，本文著重從技術角度分析信息系統的安全管理與應用。

2 物理安全

物理安全分為環境安全與設備安全，環境安全是設備安全的基礎，環境安全包括場地安全與運行環境安全，場地選址應該符合國家標準《電子計算機機房設計規范》（GB 50174—93）、《計算站場地安全要求》（GB 9631—88）等規定，一般單位機房主要考慮避開塵埃、腐蝕性氣體、低洼、潮濕、防水等情況[2]；場地必須做好防火、防靜電與防雷擊等措施，滅火器是機房建設的最低標準，靜電防護主要考慮地面與墻壁的靜電防護，必須對所有的防靜電地板進行有效的連接；線路安全，機房中的各種設備必須通過線路連接才能正常工作，線路安全包括電力線路與通訊線路，為了防止兩種線路的互相干擾，兩種線路的鋪設不能放在同一個線槽中，所有線路的鋪設必須符合《建筑物電子信息系統防雷技術規范》（GB 50343—2004），如平行鋪設的電力線纜與信號線的間距需大于130 mm；設備安全主要是防盜、防毀、防靜電以及介質安全。機房配備必備的防盜系統，所有設備按照一定的規則貼上標簽，安裝360度無死角監控與配備門禁系統，做到出現異常情況有據可查；所有的信息都是存儲在介質設備的，保存關鍵數據與重要數據的介質應采取加密與上鎖等有效措施，介質銷毀必須得到專業的管理，應避免隨意丟棄或放置電子介質的行為，確保介質內的信息安全。

3 系統安全

系統安全分為操作系統與數據庫系統安全，操作系統的功能包括存儲、文件、設備、作業與處理器的管理，當多個程序一起運行時，操作系統負責優化每個程序的處理時間。系統安全主要做好用戶與權限管理，刪除GUEST這類不必要用戶，對默認管理員（administrator）改名，管理員、操作員、維護員等用戶按照需要盡可能使用最小的用戶權限控制；保護UNIX/Linux系統賬號安全最關鍵是對文件/etc/group與/etc/passwd進行寫保護；密碼策略設定，密碼長度最小8個字符、區分大小寫，且必須包含有特殊字符、字母、數字等符號，定期修改密碼，密碼“最長存留期”設定越小越安全，一般設定30天，為了安全，還需設定密碼“最短存留期”，一般7天左右，確保用戶不切回舊密碼；審計日志，定期查看審計日志可以及時發現系統存在的各種安全問題，及時做好安全防范；數據備份，任何專業的設備，無論如何保養維護，都難免會出故障，做好數據備份是信息安全的最安全方式，也是信息安全的底線，最基本要求，一般有完全備份、差分備份、增量備份等類型；系統升級，及時關聯相關系統供應商官網，發現有新的補丁在做好備份的基礎上及時升級系統，通過安全軟件掃描系統漏洞，發現漏洞及時升級，目前，一般的系統管理軟件都有自動檢測功能，系統安裝后都能自動檢測系統漏洞，并提示升級。

4 網絡安全

目前，網絡安全設備很多，根據不同的信息系統不同的等級保護要求選擇相應的安全設備，韶關民聲網網站信息系統根據系統需要配置了下一代防火墻、WEB防火墻、網絡安全審計系統與堡壘機等安全設備。下一代防火墻采取串聯的連接方式隔離外網與內網，將新一代多核技術與64位并行處理系統硬件平臺相結合，基于Web2.0，構成高性能的多核平臺，并在該多核平臺上采用雙驅動引擎設計，將數通引擎和一體化安全引擎完美結合。數通引擎將一體化策略機制通過用戶識別、應用識別、安全和管理功能進行一體化聯動與整合，保證防火墻的高性能、高識別、高可用性和高安全。一體化安全引擎和數通引擎無縫配合，對網絡數據包一次性拆解，全方位并行的安全掃描與防御，確保了系統與外界數據交換的安全。網絡安全審計系統采用混合方式接入網絡，通過網絡數據的采集、識別、分析，實時動態監測通信內容、網絡行為與網絡流量，發現與捕獲各種敏感信息、違規行為，實時報警響應，全面記錄網絡中的所有會話和事件，實現對網絡信息的智能綜合分析、評估及安全事件的全程跟蹤定位。可對網頁頁面內容、數據庫訪問、遠程終端訪問與論壇發帖等提供完整的內容檢測與信息還原功能。堡壘機與服務器設備并行連接，隨著網絡信息系統的不斷發展，網絡規模和設備數量逐步擴大，不同背景的運維人員的行為給信息系統安全帶來較大風險，堡壘機可以全面對網絡設備、主機、安全設備和數據庫等資源進行集中賬號管理。支持跨平臺的運維行為管理能力，同時覆蓋多種主流操作系統、網絡設備和運維協議，可以全面監控與記錄所有操作人員的行為。

5 應用安全

應用安全是指以保護特定應用為目的的安全技術，目前主要有網頁防篡改、反網絡釣魚、內容過濾等技術，韶關民聲網網絡信息系統主要有新聞、論壇、直播與點播等應用系統，作為一個地市級的門戶網，代表政府的形象，擁有的眾多高薪階層、企事業單位與私營企業主等高質量的網友，必須確保網絡信息系統的安全，讓廣大網友接受健康有益的第一手資訊，韶關民聲網部署了Web應用防火墻，它集Web防護、網頁保護于一體，可以對HTTP訪問控制、自動化攻擊工具識別、控制非法文件上傳和下載、阻止盜鏈和爬蟲，可以做CSRF防護、XSS防護、Cookie簽名和加密等安全策略，保護Web客戶端。新聞、論壇系統采取業界最流行最適宜地市級官網管理的組合應用系統，即windows2012操作系統+Apache服務器+Mysql數據庫/PHP語言來搭建網站，新聞系統按照廣播電視新聞管理規定設有記者、編輯、總編三個不同等級的權限，只有總編擁有發布權，確保新聞的真實性、權威性；論壇發帖必須經過版主、超級版主、管理員等管理組用戶審核后才能發布到前臺頁面。新聞與論壇系統還可以通過設定不同的關鍵字，過濾不同等級的信息；對于經常發布不良信息的網友，管理組人員可以直接對該網友禁言一段時間，也可以直接禁用該發帖網友的IP。

按照國家信息安全等保測評要求，必須做好系統的物理、網絡、主機、應用等方面的安全管理工作，信息安全必須把技術、人員、制度的管理很好的融合在一起才能確保安全，俗話說：“三分技術，七分管理”，安全管理中人員的管理才是重中之重。必須規范各項規章制度，讓所有人敬畏規章制度，定期做好安全技術培訓與應急演練，樹立信息安全永遠在路上的工作理念。

注釋

①百度百科：信息安全等級保護。https：//baike.baidu.com/item/%E4%BF%A1%E6%81%AF%E5%AE%89%E5%85%A8%E7%AD%89%E7%BA%A7%E4%BF%9D%E6%8A%A4.

參考文獻

[1]中國網絡空間研究院，中國網絡空間安全協會.網絡安全測評培訓教程[M].北京：人民郵電出版社，2016.

[2]荊繼武.信息安全技術教程[M].北京：中國人民公安大學出版社，2007.