福建省地震局門戶網站等級保護測評

林加寶，王啟東，邵平榮，戴麗金，陳柵樺

（1.福建省地震局信息中心，福州 350000；2.福建地震臺，福州 350000；3.福建省地震局泉州基準地震臺，福建 泉州 362000）

福建省地震局門戶網站是由福建省地震局信息網中心申請立項，福建省地震局批復同意建設的。目前該系統由福建省地震局信息中心負責運行維護管理運營。福建省地震局門戶網站是福建省地震局面向互聯網上的所有用戶服務的信息網站。該網站依托互聯網，向社會公眾提供各類防震減災綜合信息服務及地震科普知識宣傳教育等內容，包括政府信息公開、政務信息、行業動態、震情快訊、地震科普和在線留言等綜合服務。福建省地震局門戶網站主要由網站系統和后臺數據庫系統組成。網站服務器部署在福建省地震局局域網防火墻的DMZ區（隔離區），通過單位統一的100 M光纖寬帶接入互聯網，在福建省地震局區域骨干局域網與互聯網邊界，部署了2臺深信服防火墻，作為邊界網關防護設備，與此同時還串連圣博潤WAF（網站應用級入侵防御系統）墻進行安全防護。在DMZ區部署了3臺DELL機架式服務器作為網站的服務器。門戶網站系統網絡結構拓撲圖如圖1所示。

圖1 福建省地震局門戶網站網絡結構拓撲圖

1 測評內容

福建省地震局委托福建省公安廳下屬有測評資質的公司進行本次測評工作，最終由福建省網絡與技術安全測評中心對福建省地震局門戶網站進行了系統安全等級測評工作。福建省地震局門戶網站是福建省地震局對外的窗口，對安全性要求比較高，經過專家多次認證決定進行三級等級保護測評，本次福建省地震局門戶網站安全評測的范圍主要包括福建省地震局門戶網站的物理環境、服務器主機、網絡設備、安全設備、業務應用系統、安全管理制度和人員等方面內容。等級保護測評通過靜態評估、現場測評和綜合評估等相關環節來完成[1-3]，從物理安全、網絡安全、主機安全、應用安全、數據安全與備份恢復、安全管理制度、安全管理機構、人員安全管理、系統建設管理和系統運維管理等方面對福建省地震局門戶網站進行綜合測評[4-5]。

2 測評目的

等級保護測評的目的是通過對福建省地震局門戶網站在安全技術與管理等方面進行安全評估測試，從而對福建省地震局門戶網站系統的安全技術狀態與安全管理狀況作出初步判斷，給出門戶網站系統在安全技術與安全管理等方面與三級安全等級保護系統的要求之間的差距。等級保護評測結論作為福建省地震局門戶網站進一步完善系統安全策略和安全技術防護措施的依據。為進一步提高福建省地震局門戶網站安全保障能力，根據《信息安全等級保護管理辦法》的精神，福建省地震局對門戶網站進行三級等級保護測評，以期發現門戶網站系統和等級保護標準的差距和存在的安全隱患，為后續的安全整改工作提供參考和依據[6]，從而提高福建省地震局門戶網站安全防護能力。

3 測評過程

本次等級測評過程主要經歷4個階段：測評準備階段、方案編制階段、現場測評階段，以及報告編制階段，具體詳細過程如圖2所示。

圖2 等級保護測評工作的流程圖

測評準備階段主要做了3件事情，首先是召開了工作啟動會議，確定了大概的工作方案及工作人員名單；其次是對需要測評的系統做了一個信息收集和分析。最后確定了需要準備的工具和表單。

方案編制階段：首先完成了測評對象和測評指標的確定；而后確定測評內容和測評工具、方法；最后開發測評指導書和編制測評方案[7]。

現場測評階段：福建省網絡與信息安全測評中心共來4個人，其中1人負責文檔資料這一塊的檢查，其中1人負責門戶網站系統和數據庫檢查，另外1人負責網絡和安全設備的檢查，最后1個組長負責協調整個測評過程，包括現場測評環境搭建，現場測評結果記錄、測評結果記錄的確認及相關資料歸還等工作[8]。福建省地震局信息中心網絡信息室也有4個人和網絡與信息安全測評中心測評人員對接測評，從而在1 d內順利完成了現場測評工作。

報告編制階段：現場測評結束后，網絡與信息安全測評中心測評人員會對單項測評結果進行判定及單元測試結果進行判定，而后對整體進行測評，系統安全保障評估、安全問題風險分析和主要存在的安全問題及整改意見，最后完成等級測評結論的形成及最終測評報告的編制。完成測評報告編制意味著整個測評過程的結束。

4 測評結果

通過對門戶網站信息系統基本安全保護狀態的分析，福建省地震局針對福建省地震局門戶網站面臨的主要安全威脅采取了相應的安全機制，以下方面基本達到了保護信息系統重要資產的作用。

（1）在安全責任制方面。福建省地震局成立了指導和管理網絡安全工作的領導小組，領導小組的組長由單位負責人擔任；設立網絡安全管理工作的職能部門和各業務科室崗位人員，并設定各崗位負責人所承擔的職責，針對重要系統變更、操作及系統接入等事項建立了審批流程[9]，同時積極參與內外部的溝通協作，共同解決信息安全問題，安全審查和檢查工作也按照國家和行業標準對信息安全等級保護的要求順利開展。

（2）在管理制度體系方面，福建省地震局制定網絡安全工作的總體方針和安全策略，闡明機構安全工作的總體目標、范圍、原則和安全框架等；在安全管理制度方面具備較為完善的規劃，建立了日常操作的操作規程，構成了較為完整的安全管理制度體系。

（3）在基礎設施與網絡環境方面，提供了對登錄操作系統和數據庫系統的用戶采用用戶名與口令方式進行身份鑒別，且口令具有復雜度，具有登錄失敗處理功能；當對服務器進行遠程管理時，采取了防止鑒別信息在網絡傳輸過程中被竊聽的措施，為操作系統和數據庫系統的不同用戶分配不同的用戶名，不存在多余的、過期的賬戶，審計范圍應覆蓋到服務器和重要客戶端上的每個操作系統用戶和數據庫用戶，審計進程受保護不會中斷。

（4）在安全控制措施方面，業務高峰期的流量值小于核心網絡設備和邊界網絡設備的業務處理性能；在網絡邊界部署有訪問控制設備，并根據系統的應用需求啟用了相應的訪問控制功能，控制粒度為端口級；網絡邊界處的入侵檢測系統可以監視端口掃描、強力攻擊、木馬后面攻擊、拒絕服務攻擊、緩沖區溢出攻擊、IP碎片攻擊和網絡蠕蟲等[10]。

（5）在系統邊界方面，該單位保證跨越式邊界的訪問和數據流通過邊界設備提供的受控接口進行通信；刪除多余無效的訪問控制規則并優化訪問控制列表，從而保證訪問控制規則盡量不重復多余；并在關鍵網絡節點處檢測、防止外部發起的網絡攻擊行為。

（6）在數據保護方面，設備配置更改時備份，每天進行備份，備份介質場外存放。

（7）在應用安全方面，基于榕基RJ-CMS內容管理系統V2.3設置了登錄模塊，且該登錄模塊對口令長度和復雜度做了相應要求，采用登錄驗證碼等措施防止非法用戶進行暴力破解；針對權限具有較好的控制措施，能夠正確實施對資源的訪問控制；系統的審計日志覆蓋比較全面，審計內容較為完善，無法被刪除、修改或覆蓋，有專門的審計模塊可以進行統計、查詢、分析或生成報表；福建省地震局門戶網站服務器系統采用多服務器集群部署的方式，能夠較好地保障系統的穩定運行。

（8）在系統規劃與建設方面，福建省地震局已對系統開展了定級備案工作并對信息系統開展等級測評工作；信息安全等級測評工作選擇了具有合格資質的公司開展測評工作；根據系統的安全保護等級選擇了基本安全措施，考慮了安全技術框架、安全策略、總體建設規劃和詳細設計方案，并形成相關文件；產品采購根據國家采購相關規定的工作流程方法進行，確保從產品選型、工程實施到系統交付工作符合信息安全保護的國家標準和行業標準。

（9）在系統運維管理方面，建立了機房安全管理制度，由機房安全管理人員對機房設備的運維、物品與人員的出入和環境安全等工作進行管理；信息處理設備不允許帶離機房或辦公地點，因工作需要確實需要帶離的，需經過相關領導批準才可帶離；網絡設備在更新前都必須對設備的配置進行備份；對系統變更等重要操作，開展變更審批流程化管理，重要變更通過主管領導批準方可實施；相關領導部門還制定了安全事件報告和處置管理制度，明確安全事件的類型，確定事件的報告流程，根據安全事件制定了不同的應急預案，并定期對各類應急預案開展培訓和演練。

通過對福建省地震局門戶網站進行細致測評分析，也發現了一些其他問題，主要表現在如下幾個方面。

（1）安全物理環境方面。機房窗戶、屋頂和墻壁未采取防水或防潮措施，存在滲水安全隱患，不利于設備安全可靠穩定的運行，機房未配備防靜電手環、靜電鞋套或靜電消除器防止靜電的產生，靜電未消除會給機房內設備、存儲介質和線纜等帶來不小的安全隱患。

（2）安全網絡通信方面。網絡拓撲結構存在單點故障，關鍵設備交換機、防火墻未采用雙機冗余部署；應用系統未采用經國家密碼管理局認可的密碼技術進行通信保密性驗證，網站管理后臺通過明文傳輸，無加密措施。通信設備不具備可信驗證能力。

（3）安全區域邊界方面。系統中部署的Web應用防火墻，未設置通過郵件、短信等方式進行安全事件告警通知管理員；系統內對內網攻擊行為不能很好地進行分析和檢測；系統不具備基于可信根對邊界設備的可信驗證。

（4）安全計算環境方面。網絡設備、安全設備和服務器等未對數據進行備份恢復測試；安全設備、網絡設備和服務器等未限制終端管理接入地址；門戶網站審計記錄內容僅包含操作日志，未包含登錄日志。

5 結束語

通過對信息系統基本安全保護狀態分析，福建省地震局針對福建省地震局門戶網站面臨的主要安全威脅采取了相應的安全機制，使得信息系統重要資產得到有效的保護，福建省地震局門戶網站三級等級保護測評結論為基本符合。測評符合率為78.70%，部分符合率為2.80%，不符合率為18.50%，不適用數為4，問題數總計61個，其中高風險問題數0個，中風險問題數45個，低風險問題數16個[11]；針對這些中低風險問題進行了逐一分析，能立即整改到位馬上整改，暫時無法整改完成的就是相關工作人員今后工作努力的方向。通過此次等級保護測評了解了網站系統存在的薄弱環節，使福建省地震局門戶網站防護水平有很大的提高，在系統防護上，特別是使事前的風險規避和事后恢復、溯源都有了很大的提高，為實現福建省地震局門戶網站安全、穩定和可靠運行打下了堅實的基礎。