市級稅務系統網絡安全規劃設計

廖海峰 王 芳

1 概述

隨著社會全面進入信息化時代，信息化辦公帶來的便利性日趨明顯，十三五規劃期間電子政務信息化積極建設，對提升政府辦公效率及優化政務服務發揮了重要作用。然而，伴隨稅務系統的信息化建設，稅務系統的安全性問題逐漸明顯。稅務系統對此不僅要高度重視，還需要對實際應用需求進行分析并改進。如果不能保障稅務信息系統的安全運行，就如同在公共場所放置的無人看管的財產一樣，最終都將被隨意拿取或破壞。為確保稅收的準確性、合理性及安全性，維護國家的切身利益，因此，對于加強稅務信息網絡系統的安全建設，至關重要。

稅務信息系統的網絡安全性問題主要體現在系統受到各種原因的攻擊而造成內部信息的不法外泄、篡改或破壞。保障稅務系統的網絡安全性，就是要保證網絡上傳輸的信息具有完整性、真實性和可用性，以及避免稅務信息被盜取、竊聽等行為。其完整性指沒有經過授權的用戶，不能對信息進行篡改或破壞?？捎眯灾副ＷC在運行環境惡劣的情況下稅務系統能夠正常運行。當授權用戶需要訪問所需信息時能過隨時訪問。

對于稅務信息系統的網絡安全重點體現在任意情況下稅務信息網絡系統中的數據，都應防止泄露給非法的用戶，使信息數據不能被非法利用。防止出現在未經授權的情況下，數據被隨意篡改、破壞或丟失，使稅務信息數據可以隨時被授權用戶使用和儲存，保證在傳輸過程中對信息和數據能夠被控制，一旦出現安全問題，能夠為及時通過日志等依據采取相應的處理措施。

2 系統總體設計

2.1 需求分析

基于稅務系統網絡保密要求情況，可將稅務系統網絡安全分為為政務外網（公共管理與服務網）、政務內網（內部辦公網）和政務專網（辦公業務資源網）。其中政務外網對外提供公共服務的訪問能力，與Internet 連接。政務內網使用于行政辦公局域網，保密要求性最高。政務專網是承建稅務信息系統共建共享的政務資源信息庫，通過連接各部門、各地方的內網，形成覆蓋全國的政務專網。

通過對網絡保密程度分級，采取不同保密程度的區域使用不同的保密措施，保證稅務信息網絡系統在任意情況下都不被非法授權者入侵，對使用稅務信息網絡系統中數據信息的非法用戶進行攔截[1]；針對網絡安全的保密性特點，經過授權的用戶則受到保護，若是系統受到非法入侵，則自動啟動對信息系統的防護措施，攔截非法用戶的入侵行為，保證稅務系統的網絡安全，從而保證數據信息的安全性和保密性。

其中現稅務系統網絡安全主要需求涉及以下幾點：

1.實現網絡隔離機制：實現三網的物理隔離，外網與Internet 之間進行邏輯隔離[2]。對信息內網和信息外網間的所有區域，進行信息安全區域等級的分劃工作。通過架設邊界防火墻做好對外信息區域的高等級防護工作，同時搭建在交換數據的區域的防火墻，控制好各個區域內的訪問，避免無授權情況下的用戶私自訪問。

2.實現數據通信隔離：通過阻斷交換區域網絡的直接物理連接和邏輯連接，并對需要交換的數據進行安全性審查，把可能潛在的不安全代碼進行排查處理，確保交換的原始數據無任何危害性。

3.構建邊界防火墻系統：對于邊界網絡安全需要構建防火墻系統，確保內部網絡與外部網絡的相對獨立。對傳輸網絡中的不安全因素進行阻隔，建立傳輸網絡的保護屏障，避免非法用戶入侵，防止外部網絡對內部網絡的干擾[3]。監控網絡中的所有行為，并且對非法授權訪問、信息盜用等行為進行阻隔，避免稅務信息被泄露。從而加強網絡安全，實現對稅務信息系統網絡安全防護系統的全面管控。

4.構建入侵檢測及防御系統：針對服務器集群安全，通過架設入侵檢測系統和入侵防御系統，并進行相互聯動設置，確保服務器安全。對網絡中的數據傳輸進行實時監控，在發現存在可疑數據傳輸時及時給管理員發出警報提醒或者采取主動措施進行應對。

5.構建系統監控服務：在稅務網絡安全建設中，通過部署系統監控服務用于規范稅務人員的工作行為。實現計算機配置管理、安全行為審計及安全預警管理、文檔保護等功能。

2.2 整體設計

基于上訴功能需求分析，本市級稅務系統網絡安全規劃設計功能結構由5 個模塊組成，每個模塊下面分別包括若干個子模塊。具體如下圖1 所示:

圖1 系統功能模塊圖

3 詳細設計與實現

3.1 網絡隔離及邊界防火墻的設計與實現

現階段已建設稅務系統的網絡結構多只區分內外網，而忽略專網的重要性，且對于重要數據交換管理并嚴格，安全域的劃分與隔離不明確，造成稅務系統的信息泄露和被不法入侵。所以，本文建議在部署邊界防火墻的基礎之上，對網絡實行安全域分級隔離和數據的可靠交換。針對稅務網絡的政務三網隔離，基于保密要求情況進行網絡隔離設計，外網和Internet 之間通過防火墻實現邏輯上的隔離，三網之間不存在直接物理連接，保障網絡的獨立性，確保網絡的安全?？紤]到外網與專網之間的通信要求，兩個網絡區域之間通過安全隔離網閘進行信息擺渡，對HTTP、FTP等應用層協議進行深度解析及過濾，保障兩個網絡之間沒有直接的物理鏈路，在通信過程中，當與專網區域接通時斷開外網（untrust）區域網絡連接，反之亦然，通過分時的數據通路進行數據交換，以達到隔離和交換的目的。具體設計思路和方案如下圖2所示。

圖2 隔離方式及邊界防火墻圖

在安全隔離網閘使用時，因為自身不存在IP 地址，所以可以杜絕遠程登錄安全隔離網閘的可能性，其次在對安全隔離網閘進行策略設置時，通過屏蔽不安全的網絡協議（如ICMP 等），并關閉不必要服務，對物理地址和網絡地址進行過濾，以及阻擋對端口掃描行為等策略來提高網絡的安全性和保密性。同時，在網絡邊界部署防火墻設備來達到網絡邏輯隔離。通過對進出流量進行篩選過濾，以及訪問控制策略的形式限制非法授權用戶的非法訪問，禁止存在安全脆弱性的服務和未授權的數據通信進出網絡，并防范來自外部的攻擊，對可疑信息流進行行為分析，做出及時的處理。作為單一的網絡接入點，對進出的信息流通過防火墻生成日志記錄，以保障內部網絡的安全。

通過上述措施，我們可以構建一個符合網絡保密程度分級要求，且保障數據信息的安全性和保密性要求的分級區域隔離網絡。對外，通過防火墻進行區域的隔離，隔離出可信任和非可信區域，實現分級保護要求。對需要交換的數據通過安全隔離網閘交換，隔離不安全因素，保障內部網絡安全性，實現對不同保密程度的區域數據安全交換要求。

3.2 入侵檢測、防御及系統監控的設計與實現

入侵檢測及防御技術是防火墻的補充，通過監控網絡或網絡設備的網絡數據傳輸行為，做到即時的中斷、隔離或調整一些不正常行為或具有傷害性的行為?，F今稅務信息網絡采用的安全技術，大多只采用防火墻進行基礎安全防范，所部署的網絡安全設備普遍落后，而如今的網絡安全技術更新較快，新設備新技術不斷推出。基于此，本文提出多種網絡安全設備相結合的方式，互相彌補不足之處。具體設計思路和方案如下圖3所示。

圖3 入侵檢測、防御及系統監控圖

針對服務器組，在DMZ 區部部署入侵檢測和入侵防御設備，以此來滿足服務器群的安全性要求，通過入侵檢測設備對訪問服務器組的數據進行分析，對未授權或異常行為及時響應，并與入侵防御設備聯動，對異常行為及時做出相應處理。針對于內部網絡，在各網絡中構建入侵檢測，對內部網絡的網絡行為進行監控，對內部網絡的異常行為進行響應和記錄。

通過上述部署入侵檢測及防御設備，實現對網絡安全保障的進一步強化，即滿足對外部入侵行為的防范要求，又滿足對內部網絡的行為進行檢測要求。并通過多種網絡安全設備的相互聯動，構建多道防線，檢測防御一體，不同設備不同分工，從而達到加強對網絡安全的防范目的。

3.3 終端管理的設計與實現

現今稅務信息系統網絡，對于終端管理相對匱乏，而終端的影響是整體網絡安全保障中的直接的因素。實行統一化的終端管理和監管，對實現安全防護體系改進是不可或缺的途徑。

終端工作行為的監管，通過在服務器組架設系統監控服務，對安裝代理探頭程序的桌面計算機進行管理，通過啟用拒絕服務檢測功能、啟用端口掃描檢測功能，以及自動禁止攻擊者的IP 時間限時，避免出現由于大量攻擊行為而消耗計算機性能和網絡帶寬的情況發生，提高桌面計算機抵御惡意攻擊的能力，并通過行為審計實現網頁過濾技術、應用控制技術、外發信息審計技術等[4]，可有效防止機密信息的外泄，避免不良信息的擴散，提高員工的工作效率，保障網絡資源合理使用，提高網絡可管理性。

通過終端管理實現終端權限的最小化原則，控制終端對軟件的合法安裝，對系統進行實時的監控和過濾，記錄所有的對操作系統的訪問行為日志，以此降低終端對整體網絡所帶來的風險。

4 總結

通過以上規劃設計，本系統主要構建和設計了一個兼顧成本和實用性的要求的市級稅務系統網絡安全系統，為市級稅務網絡安全的建設提供了一個較為完善的網絡安全建設結構，以期對同級別稅務系統網絡安全的建設提供一個參照。但稅務系統的網絡安全建設是一個動態且長期的過程，需要不斷加強技術升級，探索更為完善有效的防御機制，不斷提高網絡安全水平，更好的保障稅務系統工作的穩定運行。