自然資源管理行業網絡安全運維研究與探討

摘 要 本文以重慶市規劃和自然資源局為例，總結了自然資源管理行業網絡安全運維的特點和難點，并詳細介紹了多年來的網絡安全運維工作做法，并對下一步網絡安全管理工作的思路進行了探討。

關鍵詞 自然資源管理;網絡安全;安全運維

Abstract This paper takes Bureau of Planning and Natural resources of Chongqing Municipal as an example， summarizes the characteristics and difficulties of network security operation and maintenance in the natural resource management industry， and， introduces in detail the network safe operation and maintenance work practices over the years， and probes into the next step of network security management ideas.

Key words Natural resources;? Network security;? Operations Management;? Safe Operation

概述

自然資源管理部門業務信息系統因為涉及國土空間規劃、自然資源調查評價、不動產登記等重大民生服務，具有用戶多、覆蓋范圍廣、對接口徑雜、業務模式復雜等特點，各系統運行保障、數據共享及服務、信息安全防護等各方面都決定了其網絡安全運維工作的復雜性和困難度[1]。如何有效地保障自然資源信息系統安全穩定運行，同時滿足業務發展、數據對接、共享服務等動態化需求變化，形成系統化、流程化、智能化的網絡安全運維管理模式，是每一個自然資源信息化管理人員所探索的重點問題。

本文重點論述了重慶市自然資源行業信息系統在網絡安全運維管理方面，結合目前的工作安排，探討了下一步的工作思路和體系架構。

1自然資源管理行業網絡安全運維的現狀

1.1 網絡安全運維管理現狀

重慶市自然資源業務信息系統網絡安全運維管理有四個方面的難點。一是行業內外用戶量大，組網復雜、網絡邊界多，網絡運維難度大。二是系統穩定性要求高，如不動產登記等業務具有實時性、穩定性等方面的要求，不容許太多調試或運維管理窗口時間。三是業務模式復雜，應用場景多樣、數據分散點多，統籌管理難度較大。四是安全底線高，自然資源管理系統或數據多涉及重大民生或城市管理決策數據，不發生數據泄露或系統破壞等重大安全事故是嚴守的底線。

重慶市自然資源管理行業網絡安全運維主要從技術防護體系和安全運維保障體系兩個方面推進工作：

（1）持續提升網絡安全技術防護體系

通過近年來網絡安全技術防護體系的建設和完善，已初步形成了圍繞物理、網絡、主機、數據、應用和監控六大方面的技術防護體系，同時結合網絡安全等級保護2.0基于“一個中心，三重防護”等最新要求，持續優化技術防護體系，實現網絡安全資產可管、風險可控、態勢可視。

一是夯實物理安全。行業數據中心在設計和建設時，統籌考慮了防火、防水、溫濕度控制等十多個子系統。數據中心動環監控全部納入監控，強化對數據中心物理環境的實時監測和故障告警。

二是提升網絡安全。將網絡根據功能和安全要求，劃分為不同區域，區域間通過交換機、路由器、防火墻、應用網關等安全設施，實現邊界有隔離、訪問有控制、流量有監控。同時部署日志審計系統、細化電子政務外網和自然資源業務網之間的訪問策略，提升對網絡安全事件的可追溯能力。

三是增強主機安全。通過堡壘機、主機安全加固、病毒查殺、漏洞升級、整機備份、安全掃描、主機安全策略控制等措施，增強主機安全。

四是加強應用安全。通過部署應用網關、應用漏洞掃描、滲透測試檢查、應用漏洞加固等措施，確保應用系統安全。

五是強化數據安全。通過部署數據庫審計系統、測試數據脫敏處理、建立數據備份平臺、開展數據恢復演練、實施數據訪問控制等措施，確保數據安全。采用開源技術自主搭建了包含結構化、非結構化數據的備份平臺，解決了原有方式備份效果差、備份周期長的問題，進一步完善了數據備份機制。

六是實現統一監控。自主研發的運維監控系統基本實現了物理、網絡、主機、應用和數據的實時監控和報警，運行數據的采集和存儲，安全態勢的分析和展示。

（2）逐步優化網絡安全運維保障體系

網絡安全運維保障團隊以網絡安全運維監控、態勢感知等平臺為手段，逐步建立起“事前預防、事中監控和事后整改”的網絡安全運營保障體系，積極落實八大運營保障工作機制。

1）積極做好事前預防，筑牢網絡安全基礎防線。

落實等級保護工作機制，按照等保2.0要求，做好信息系統定級、備案、測評和整改。

落實應急響應工作機制，由信息化單位人員與技術支持機構人員、專家等共同組成應急支撐隊伍，落實備機、備件和安全監測，根據應急預案及時響應和處置各類安全事件，同時每年通過開展應急演練，完善應急流程、提升應急能力、鍛煉人員隊伍。

落實安全檢測和排查工作機制，每月由專業安全機構對市局全網漏洞掃描，對政務網站、不動產登記系統、國土空間信息平臺等重要系統進行惡意代碼分析、主機安全檢測、滲透測試等安全檢查;新系統、新功能上線前必須通過安全檢測;結合重要節假日和活動安排、上級部門工作部署等需要，積極開展全面的網絡安全排查和整改。

落實宣傳培訓工作機制，針對全體員工開展網絡安全及密碼法教育培訓，針對開發人員進行等保2.0應用開發規范培訓，針對網絡安全管理人員組織參加注冊信息安全專業人員培訓和考試，多方面地提高人員網絡安全意識和管理水平。

2）嚴格落實事中監控，保障信息系統安全運行。

落實安全監控和處置工作機制，針對基礎設施、網絡、主機、存儲、數據備份、虛擬化平臺、重要應用系統等軟硬件設施，通過運維監控系統實時進行可用性檢測，結合專人現場、多次巡查，非工作時間遠程值班巡檢等方式。

落實資源和權限審核工作機制，針對網絡訪問、數據調用、虛擬機使用、互聯網映射等資源和權限申請，均需根據具體業務需要進行審核，建立權限和資源使用臺賬，并定期根據申請時限、使用現狀等進行清理，確保資源的高效使用和權限的可管可控。

3）持續督促事后整改，不斷提升防護能力。

落實安全審計工作機制，通過日志審計系統對數據庫、網絡、主機、應用系統、安全設備等日志實現自動采集和集中存儲，并對日志進行分析審計，及時發現和處置可疑問題。

落實安全隱患整改工作機制，針對各類安全預警和通報，形成風險和隱患臺賬，落實整改責任部門和責任人，及時跟蹤、加強督促、落實整改，形成安全隱患發現、通報和整改的良性循環。

1.2 存在的問題

一是信息資產監管難度大。隨著行業信息化建設發展，網絡架構、業務系統越來越復雜，單位多、資產多、系統多的問題越來越突出，目前監測更多關注應用、數據庫、網絡、數據訪問等核心組件，對于配套的網絡設備、處理終端、測試系統、備份系統等，由于數量大、分散、使用周期不固定，管理人員不能及時統籌，所以監管較少覆蓋，信息資產也難以集中采集、統一監控，即使遭到攻擊也難以及時發現。

二是安全監測手段不足。目前大部分防護的重點均停留互聯網或邊界側，對內部業務與數據訪問的防護還不健全。黑客往往利用合法用戶的計算機與身份對財務系統或小型業務系統等內部資產進行非法訪問、數據竊取與資產破壞行為。傳統的監測手段往往是基于網絡層面，無法發現應用層面存在的風險。

三是缺乏風險全生命周期管理。為了對風險漏洞進行全生命周期的管理，需要從發現（漏洞檢測）、呈現（漏洞呈現）、消除（漏洞處置）、評估（效果評價）全流程對漏洞進行管理，從而實現漏洞的閉環管理。漏洞的全生命周期管理的過程是一個動態的過程，目前漏洞管理全靠人工的形式進行統計和追蹤，準確度和及時性都無法保證。

四是態勢感知能力不足。只有足夠全面的數據，才有可能做到感知，做到針對性的事先防范。而自然資源管理行業現有的安全技術體系和安全運營體系普遍與信息化發展規劃存在一定脫節，主要是由于發現的安全問題缺乏相應的檢測分析能力和追溯能力，無法實現真正的“看到”和“看懂”。

五是網絡安全決策支撐能力弱。自然資源管理部門的網信領導小組在進行網絡安全決策和考核評價時，需首先掌控全局安全態勢、資產狀況、運營水平，而相關原始數據散亂在不同的安全軟硬件系統中，缺乏統一的系統平臺對原始數據進行有效整合和分析，直觀展示給領導小組，以提供決策輔助支撐能力。

2下一步工作思考和探討

根據自然資源行業信息化系統的適用范圍和安全防護要求，隨著網絡安全等級保護2.0標準的正式實行，在標準中針對三級以上系統明確提出了應開展態勢感知工作，同時要具備對“新型攻擊行為的分析”能力、要能夠檢測到對重點節點進行入侵的行為，并能夠對“各類安全事件進行識別、報警和分析”[2]。

2.1 工作目標

為了滿足法律法規要求、保障業務安全為基礎，在下一步的工作中，需要建設智能防控平臺，具備對自然資源行業信息化管理范圍的入侵威脅、事件處置、威脅情報、應急響應等實現智能化監測、調度能力，實現行業網絡安全的可管、可控、可視及監管模式的根本性轉變。

一是實現基礎信息可管理。建立安全基礎信息庫，采用自動加人工的方式收集全局系統信息化資產信息（各單位的網絡安全設施設備、計算機終端設備、業務應用系統、IP地址、責任人等）、網絡安全防護策略、日志文件、威脅情報信息、惡意代碼庫、安全審計記錄等。

二是實現安全風險可監控。通過持續、全面和高頻率的安全監測，包括漏洞掃描、事件監測、可用性監測等，準確定位信息化資產存在的風險，及時推送安全預警。

三是實現安全態勢可視。運用大數據、人工智能分析等手段提前探查到網絡中存在的脆弱性和威脅，通過可視化的方式直觀展現，反映出行業特定時間內的安全態勢，為后續安全策略的制訂提供支持。

四是實現智能化運營可支撐。圍繞著資產、脆弱性、威脅、事件這四個抓手，持續化的開展安全運營保障管控工作，達到行業內安全合規、風險可控、評價量化的安全效果目標。實現行業內安全運營保障工作有章可循、有人負責、有據可查、有人監督的智能化、閉環式管理[3]。

2.2 重點工作內容思考

（1）總體設計

重慶市規劃和自然資源局網絡安全下一步工作將建立全局網絡安全智能防控平臺，對全局主機、業務信息系統、應用接口、終端資產等軟硬件資源進行統一安全管理和綜合分析，實現安全事件集中管理和監控的技術支撐平臺，實現安全工作自動化和流程化。將實現對各種安全對象、安全事件及數據的統一管理和集中分析，為安全策略管理、安全風險管理、安全預警管理等提供技術平臺支撐。

平臺整體功能架構如下圖所示：

一是數據采集層：通過各廠家安全防護設備進行網絡安全基礎數據采集，匯總網絡安全防護數據，實現對各種不同安全對象相關安全信息及數據的采集，包括安全事件信息、漏洞信息、配置信息、狀態信息、安全對象信息、性能狀態信息等。

二是數據處理層：使用各種分析引擎，對所采集的數據進行集中分析、關聯分析，發現網絡安全風險，通過關聯分析、規則分析、行為分析等多種方式，獲取最終有用的網絡安全數據。

三是核心業務層：對網絡安全數據進行邏輯處理與業務場景結合，實現業務功能。

（2）核心功能點設計

一是統一認證功能。統一認證子模塊主要是平臺提供統一登錄入口，統一網絡安全工作臺和消息服務等，實現統一的身份認證和單點登錄，形成統一的消息提醒和文件傳遞渠道，便于全局各級網絡安全和運維工作人員處理工作信息。

二是資產管理功能。IT資產是系統安全運維的重要基礎，通過對全局安全、終端資產進行自動采集，避免人工填報的隨意性、更新不及時等問題，實現資產數據的精確管理，從而支撐全局資產安全風險評估工作的有效開展，功能架構如圖3所示。

三是安全監測功能。安全監測對網絡中可能存在的威脅進行實時監測，包括安全性監測和可用性監測兩個子項。安全性監測主要監測網絡中存在的SQL注入、跨站腳本、跨站請求偽造、弱密碼等幾千種漏洞。可用性監測主要對業務系統指定頁面能否訪問、響應是否緩慢，評估業務的可用情況。

四是脆弱性管理功能。脆弱性管理目的是改善安全、減少網絡資產風險、掌握全網安全健康情況、實現漏洞全生命周期高效管理。通過采集公網漏洞信息、內網主機掃描結果、內網應用掃描結果、資產基線核查、人工滲透測試結果等信息，對IT資產脆弱性信息進行統一關聯、展現和告警，使得管理人員可以有效地跟蹤IT資產脆弱性生命周期，全方位掌握IT資產風險面，做到威脅事前可控。

五是入侵威脅管理功能。入侵威脅管理子模塊從安全產品中獲取數據以后，通過從關聯分析、特征分析以及威脅研判等，對安全威脅預警進行篩選，其功能模塊如下圖所示。

六是策略管理功能。策略管理是明確資產受攻擊面的基礎，能夠了解信息系統中各個層面的安全策略就能判斷信息系統的受攻擊面，從而針對受攻擊面進行重點防護。主要內部包含梳理全局安全策略，明確策略風險，形成策略拓撲，進行策略可視化建設。

七是威脅情報功能。機器掃描、人工滲透這兩種方式在日常過程中對于新發現風險都有所滯后，機器掃描需要更新新漏洞的規則，人工滲透需要滲透測試人員關注并學習到某個風險，為了縮短信息獲取時間，因此通過威脅情報管理對威脅情況進行自動獲取，從而增加情報的時效性。

八是考核評價功能。考核評價模塊是展示重慶市規劃和自然資源局網絡安全工作開展成果的重要模塊，將安全工作進行量化，從數據層面展示各下屬單位網絡安全工作內容與進度，將數據與網絡安全評價基礎數據進行對比，形成全局考核評價體系，以評促管。

3結束語

重慶市自然資源行業網絡安全的建設及運維管理工作，是根據業務需求，結合信息化建設現狀，摸索出了一條適合于重慶市的工作方案，隨著自然資源管理涵蓋范圍的進一步明確，各信息系統作為重要民生服務將發揮更大、更積極的作用，同時也對網絡安全運維管理工作帶來較大的壓力，如何利用技術的進步，不斷完善網絡安全運維管理體系，提高運維管理能力，加強安全防控水平，達到“安全、穩定、可控”的目的，將是網絡安全運維工作者不斷思考和探索的問題。

參考文獻

[1] 蔣文彪.深入學習習近平總書記關于網絡強國的重要思想，全面貫徹落實自然資源部信息化建設總體方案[J].國土資源信息化，2020（1）：3-6.

[2] 信息安全技術網絡安全等級保護基本要求：GB/T 22239-2019[S].北京：中國標準出版社，2019.

[3] 王建兵.關于自然資源部安全威脅態勢感知平臺建設的幾點思考[J].國土資源信息化，2019（3）：46-48.

作者簡介

閆亮（1983-），男，山東濟寧人;畢業院校：重慶郵電大學，專業：計算機應用技術，學歷：碩士，職稱：高級工程師，現就職單位：重慶市規劃和自然資源信息中心，研究方向：規劃和自然資源管理信息化。