吳銘

摘要：信息時代，高校信息服務(wù)系統(tǒng)發(fā)揮著越來越重要的作用，迫切需要通過構(gòu)建完善的信息服務(wù)系統(tǒng)安全防護架構(gòu)，加強信息服務(wù)系統(tǒng)安全管理等措施來做好其安全防護工作。

關(guān)鍵詞：信息服務(wù)系統(tǒng)；安全防護

中圖分類號：TP393 文獻標(biāo)識碼：A 文章編號：1009-3044（2015）11-0059-03

Analysis of the University Information System Security Protection

WU Ming

（The PLA of National Information Academy， Wuhan 430010， China）

Abstract： The information age， the information service system plays a more and more important role， the urgent need to construct the framework of the information service system of perfect safety protection， strengthen the safety management of information service system and other measures to do the security work.

Key words： information service system； safety protection

隨著現(xiàn)代信息技術(shù)的快速發(fā)展及其在高校的廣泛應(yīng)用，高校信息服務(wù)系統(tǒng)得到了快速發(fā)展。高校信息服務(wù)系統(tǒng)在高校日常教學(xué)科研、行政管理、后勤服務(wù)等方面發(fā)揮著越來越重要的作用。然而，由于高校信息服務(wù)系統(tǒng)安全體系架構(gòu)不完善、安全管理不到位，使系統(tǒng)存在許多安全漏洞，安全狀況堪憂，迫切需要采取有力措施，加強其安全防護，保證其正常運行。

1 構(gòu)建完善信息服務(wù)系統(tǒng)安全防護架構(gòu)

高校信息服務(wù)系統(tǒng)服務(wù)對象眾多，服務(wù)地域分散，服務(wù)內(nèi)容龐雜，服務(wù)設(shè)施多樣。要保證其安全，首先要建立完善其安全防護架構(gòu)。從信息服務(wù)系統(tǒng)整體進行防護，其安全防護系統(tǒng)應(yīng)由基礎(chǔ)承載安全、安全支撐服務(wù)、共用服務(wù)安全和安全保密運維管理等部分組成，其結(jié)構(gòu)如圖1所示。

圖1 信息服務(wù)系統(tǒng)安全防護架構(gòu)

1.1 基礎(chǔ)承載安全

基礎(chǔ)承載安全方面，主要實現(xiàn)網(wǎng)絡(luò)安全防護、虛擬計算安全、存儲系統(tǒng)安全和信道傳輸加密，保護信息服務(wù)系統(tǒng)網(wǎng)絡(luò)邊界安全，保證計算、存儲資源受控使用，提供對虛擬環(huán)境、資源調(diào)度、網(wǎng)絡(luò)架構(gòu)的安全防護，實現(xiàn)安全保密與網(wǎng)絡(luò)、計算、存儲的平滑嵌入和一體化設(shè)計。

1）網(wǎng)絡(luò)安全防護。提供DDoS異常流量清洗、網(wǎng)絡(luò)接入用戶控制、網(wǎng)絡(luò)邊界協(xié)議控制、網(wǎng)絡(luò)入侵檢測等功能，能夠抑制DDoS流量攻擊，對網(wǎng)絡(luò)攻擊行為進行實時檢測告警，只允許合法用戶接入和合法協(xié)議通過。

2）虛擬計算安全。提供虛擬計算環(huán)境的安全增強，實現(xiàn)虛擬機安全監(jiān)控、虛擬機穿透攻擊阻斷、業(yè)務(wù)虛擬遷移安全一致性保證；提供虛擬防火墻、虛擬入侵檢測等虛擬邊界防護，為用戶訪問虛擬環(huán)境下的業(yè)務(wù)資源提供透明防護。

3）存儲系統(tǒng)安全。提供面向用戶的存儲加密和敏感數(shù)據(jù)保護功能，支持密鑰和算法分割管理，防止用戶敏感數(shù)據(jù)泄露。

4）信道傳輸安全。提供信道傳輸加解密，支持高速信道。

1.2 安全支撐服務(wù)

安全支撐服務(wù)方面，提供安全核心服務(wù)，適應(yīng)虛擬計算環(huán)境和面向服務(wù)應(yīng)用要求，為共用信息服務(wù)提供安全支撐；支持?jǐn)?shù)據(jù)單向引接、實時格式化業(yè)務(wù)交互、IP流媒體交互和數(shù)據(jù)業(yè)務(wù)交換等典型業(yè)務(wù)的分類隔離保護；提供動態(tài)數(shù)據(jù)應(yīng)用的密碼支撐服務(wù)，支持多密級和密碼分割使用。

為共用服務(wù)安全保障提供安全服務(wù)和網(wǎng)間交換安全。

1）安全服務(wù)。提供認(rèn)證、授權(quán)、身份、跨域、單點登錄和審計日志服務(wù)，適應(yīng)虛擬計算環(huán)境和面向服務(wù)應(yīng)用要求，為公共信息服務(wù)、業(yè)務(wù)信息服務(wù)、數(shù)據(jù)服務(wù)等應(yīng)用服務(wù)提供安全支撐。

2）網(wǎng)間交換安全。通過綜合接入站點和綜合業(yè)務(wù)交換中心建設(shè)，選用網(wǎng)絡(luò)拓?fù)淦帘?、網(wǎng)間接入認(rèn)證、業(yè)務(wù)服務(wù)鑒權(quán)、傳輸協(xié)議控制、密碼落地轉(zhuǎn)換、信令攻擊過濾、數(shù)據(jù)簽名驗證、網(wǎng)間交換審計、信源審計、網(wǎng)間病毒查殺、安全標(biāo)識匹配和光纖單向傳送等安全機制，提供數(shù)據(jù)單向引接、實時格式化業(yè)務(wù)交互、機動指控系統(tǒng)無線接入、IP流媒體交互、數(shù)據(jù)業(yè)務(wù)交換等五類網(wǎng)間交換業(yè)務(wù)的隔離防護，實現(xiàn)網(wǎng)系相對集中對接、業(yè)務(wù)分類受控交互和用戶跨域鑒權(quán)。

1.3 共用服務(wù)安全

發(fā)布授權(quán)等機制，實現(xiàn)信息服務(wù)來源可信；提供服務(wù)環(huán)境保護功能，實現(xiàn)服務(wù)運行安全；支持端用戶按權(quán)限訪問服務(wù)，為網(wǎng)絡(luò)端用戶訪問提供傳輸安全保護，實現(xiàn)內(nèi)容/目錄按密級提供。

為保障共用服務(wù)注冊、發(fā)布、執(zhí)行過程的安全可信，以及用戶對信息服務(wù)資源的受控使用，提供服務(wù)注冊認(rèn)證、服務(wù)運行安全和用戶受控訪問功能。

1）服務(wù)注冊認(rèn)證。提供服務(wù)代碼安全性審核、服務(wù)軟件注冊認(rèn)證和數(shù)據(jù)服務(wù)發(fā)布授權(quán)。能夠?qū)Ψ?wù)代碼進行安全性檢測，保證服務(wù)代碼質(zhì)量，從源頭降低安全風(fēng)險；實現(xiàn)對服務(wù)注冊發(fā)布的來源認(rèn)證，依托身份認(rèn)證基礎(chǔ)服務(wù)，提供服務(wù)注冊發(fā)布簽名/驗證工具，對服務(wù)注冊發(fā)布過程的安全性進行管理控制。

2）服務(wù)運行安全。能夠準(zhǔn)確、實時地識別并阻斷或限制跨站腳本攻擊、HTTP協(xié)議攻擊、XML惡意代碼、XDoS攻擊、注入攻擊等服務(wù)與應(yīng)用層面的攻擊行為，實現(xiàn)消息安全處理，提供XML/SOAP消息內(nèi)容的加解密、簽名/驗證、完整性鑒別、內(nèi)容解析與錯誤處理，協(xié)議封裝與解封等功能。

3）用戶受控訪問。支持對服務(wù)請求者的身份真實性與時效性進行驗證；提供授權(quán)策略獲取、授權(quán)判決和授權(quán)執(zhí)行功能，實現(xiàn)對應(yīng)用服務(wù)的授權(quán)控制；提供基于安全標(biāo)識和標(biāo)識策略的標(biāo)識處理功能，實現(xiàn)基于安全標(biāo)識的服務(wù)強制訪問控制。

1.4 安全運維管理

在安全保密運維管理方面，實現(xiàn)安全設(shè)備管理、審計日志管理和密碼設(shè)備管理。安全管理支持安全策略動態(tài)調(diào)整、安全設(shè)備管理和安全事件處理，支持服務(wù)虛擬遷移安全策略一致性管理；審計日志管理支持運維管理員操作全程審計、網(wǎng)絡(luò)端用戶訪問關(guān)鍵操作審計、核心數(shù)據(jù)訪問全程審計等；密碼管理提供支持多密級和密碼分割的密鑰管理和密碼模塊管理，支持密碼設(shè)備丟失應(yīng)急處置。

為提升信息服務(wù)保障中心安全運維管理效能，提供安全設(shè)備管理和審計日志管理功能。

1）安全設(shè)備管理。能夠采集安全設(shè)備狀態(tài)信息，支持對安全設(shè)備的防護策略進行實時監(jiān)察，實現(xiàn)安全戰(zhàn)備等級的動態(tài)調(diào)整；支持安全虛擬機、虛擬網(wǎng)絡(luò)防護設(shè)備的狀態(tài)監(jiān)控和運維管理，能夠?qū)崿F(xiàn)虛擬機遷移過程中安全策略的自動調(diào)整。

2）審計日志管理。提供用戶核心數(shù)據(jù)訪問及服務(wù)交互過程的安全審計，實現(xiàn)用戶訪問和服務(wù)交互過程的可追蹤性；對運維管理員操作進行全程審計；確保審計數(shù)據(jù)的完整性和權(quán)威性，防止審計數(shù)據(jù)非授權(quán)單方修改，實現(xiàn)審計數(shù)據(jù)查看的第三方授權(quán)。

1.5 密碼服務(wù)及密碼管理

1）網(wǎng)絡(luò)密碼保密。提供鏈路加解密；為SIP協(xié)議、SSL協(xié)議等傳輸協(xié)議提供密碼支持；提供網(wǎng)間密碼轉(zhuǎn)換服務(wù)。

2）計算環(huán)境密碼保密。為虛擬化和非虛擬化計算提供密碼服務(wù)支持，服務(wù)器群密碼設(shè)備通過網(wǎng)絡(luò)方式，為刀片服務(wù)器的各刀片提供密碼服務(wù)，為服務(wù)器提供透明的網(wǎng)絡(luò)傳輸數(shù)據(jù)加密服務(wù)；服務(wù)器密碼設(shè)備通過網(wǎng)絡(luò)或PCI-E總線連接方式，為機架式服務(wù)器提供密碼服務(wù)；可信密碼模塊為可信計算提供雜湊運算、數(shù)字簽名驗證、加解密運算、密鑰管理四種密碼服務(wù)；支持多密碼設(shè)備、多通道密碼服務(wù)的組合應(yīng)用方式，具備密碼資源跟隨服務(wù)進行遷移功能。

3）存儲環(huán)境密碼保密。服務(wù)器密碼機支持服務(wù)器本地磁盤或網(wǎng)絡(luò)磁盤的物理邏輯卷分區(qū)加密，支持細(xì)粒度的多密級分割存儲保護；高速網(wǎng)絡(luò)存儲密碼機連接到磁盤陣列與光纖交換機之間，實現(xiàn)數(shù)據(jù)集中存儲加密保護。數(shù)據(jù)備份與異地容災(zāi)密碼設(shè)備為數(shù)據(jù)備份存儲和異地容災(zāi)網(wǎng)絡(luò)提供密碼保護，支持磁帶庫模式。存儲加解密操作對用戶透明，支持雙機熱備和故障還原。

4）服務(wù)密碼保密。提供柵格服務(wù)環(huán)境下的存儲加密、傳輸加密、消息加密等多密級密碼保密服務(wù)，按基礎(chǔ)支撐服務(wù)標(biāo)準(zhǔn)要求為客戶端和服務(wù)器端間業(yè)務(wù)交互提供標(biāo)準(zhǔn)的數(shù)據(jù)數(shù)字簽名/驗證服務(wù)、數(shù)據(jù)加密/解密服務(wù)。

5）密碼管理保障。具備多級密碼管理能力，能夠?qū)γ艽a算法、參數(shù)、密鑰實施統(tǒng)一管理；具備密碼管理員、密碼審計、密碼設(shè)備管理等功能；具備多級分布式部署功能，支持密碼管理域、密碼管理節(jié)點的動態(tài)遷移和管理系統(tǒng)的結(jié)構(gòu)重組；具備分布式密碼資源服務(wù)能力，能夠?qū)γ艽a算法、參數(shù)、密鑰等密碼資源實施分布式部署；具備分布式多服務(wù)公鑰密碼管理能力，實現(xiàn)公鑰密碼生命周期進行管理。

2 加強信息服務(wù)系統(tǒng)安全防護管理

信息服務(wù)系統(tǒng)安全是信息服務(wù)正常進行和效益得以發(fā)揮的保證，通過信息安全工作確保信息、網(wǎng)絡(luò)及信息系統(tǒng)的有效性、完整性、機密性和一致性。當(dāng)前，做好高校信息服務(wù)系統(tǒng)安全工作，要從以下幾個方面著手：

2.1 控制信息的安全流動

信息服務(wù)是一個信息流動的過程，要實現(xiàn)信息服務(wù)價值，首要的就是要保證信息的安全流動，主要機制有：一是單向傳送機制，保證信息只能按一個方向傳送，沒有反饋通路，切斷交互式攻擊行為的控制回路和信息竊密行為的回傳路徑；二是數(shù)據(jù)落地機制，各類信息資源只能以數(shù)據(jù)落地方式跨域傳送，將安全風(fēng)險限制在數(shù)據(jù)層面，屏蔽其他層面攻擊；三是代碼檢測機制，深度檢測跨域信息內(nèi)容格式，自動查殺傳送數(shù)據(jù)中的已知病毒，防范惡意代碼跨域傳播；四是認(rèn)證審計機制，采用基于用戶實名的端點認(rèn)證、強制審計策略，確保數(shù)據(jù)傳送操作有據(jù)可查。

2.2 加強服務(wù)系統(tǒng)受控共享

信息服務(wù)系統(tǒng)安全防護的重點是依托全網(wǎng)統(tǒng)一的信任體系，保證信息資源安全受控共享。具體安全機制：一是建立服務(wù)軟件合法驗證、服務(wù)注冊實名認(rèn)證、信息資源預(yù)先檢測等機制，確保信息服務(wù)系統(tǒng)服務(wù)端各要素安全可信；二是建立用戶身份及訪問權(quán)限與信息資源分類、屬性之間的映射關(guān)系，形成從用戶終端到信息服務(wù)系統(tǒng)服務(wù)端的完整信任鏈；三是建立用戶登錄、目錄查詢、資源訪問等認(rèn)證控制機制，確保用戶按權(quán)受控獲取信息服務(wù)；四是為防止內(nèi)部人員非授權(quán)訪問，確保集中存儲的數(shù)據(jù)資源安全，對值勤維護人員的管理權(quán)限進行控制、操作行為進行審計。

2.3 提升整體安全防護能力

信息服務(wù)整體防護能力是確保信息安全完整、服務(wù)系統(tǒng)正常運行、信息流通安全可靠的能力。要通過多層防護，設(shè)置防護屏障，建立防護體系，保障信息系統(tǒng)穩(wěn)定、信息活動的安全。具體做法：一是全方位的安全預(yù)警。建立層次分明、可控可管的信息監(jiān)控系統(tǒng)，對數(shù)據(jù)、網(wǎng)絡(luò)和信息系統(tǒng)進行實時監(jiān)測，預(yù)測信息安全的危險度，分析遭受信息攻擊的可能性，對系統(tǒng)異常、失效和不測事件做出快速反應(yīng)，自動識別，發(fā)現(xiàn)入侵后能立即記錄入侵細(xì)節(jié)，并發(fā)送警報、進行跟蹤。二是深層次的信息服務(wù)系統(tǒng)安全防護。采取多種手段和方法，抵御來自不同渠道的信息威脅，防止各種途徑對信息系統(tǒng)的攻擊，配備防火墻、入侵檢測、身份認(rèn)證等安全設(shè)備，保證信息在存儲或傳輸過程中不被修改、破壞及丟失。在用戶終端加裝保密設(shè)備，防止信息被竊取和篡改。三是高效率的自愈恢復(fù)。在受到攻擊后，能夠迅速隔離故障、重組資源，恢復(fù)受到破壞的信息和數(shù)據(jù)，能完成對入侵內(nèi)容、目標(biāo)、來源、手段的判斷，以及對入侵后果做出風(fēng)險評估，能自動做出控制反應(yīng)，立即中斷攻擊者與關(guān)鍵網(wǎng)絡(luò)的連接。四是高強度信息服務(wù)系統(tǒng)安全攻防演練。要通過模擬或?qū)崙?zhàn)的形式，對信息服務(wù)系統(tǒng)安全防護工作進行高強度的演練，檢驗防護策略的科學(xué)性、安全防護措施的有效性、安全防護人員的能力素質(zhì)的高低等，從而能及時發(fā)現(xiàn)安全防護上存在的問題，提高安全防護能力。

參考文獻：

[1]宋剛，籍濤.計算機網(wǎng)絡(luò)安全與防護[J].電子技術(shù)與軟件工程，2014（07）.

[2]馬健麗.信息系統(tǒng)安全功能符合性檢驗關(guān)鍵技術(shù)研究[D].北京郵電大學(xué)，2010.

[3]李軍，郭紅梅.計算機信息安全技術(shù)的應(yīng)用探究[J].電子測試，2014（21）.