周趙宏

摘 要： 在湖南省煙草行業(yè)計算機網(wǎng)絡(luò)與信息系統(tǒng)的基礎(chǔ)上，全省煙草各級單位已經(jīng)開展了一系列的網(wǎng)絡(luò)應用業(yè)務(wù)系統(tǒng)，但全省整個煙草行業(yè)網(wǎng)絡(luò)安全體系非常薄弱，基本上沒有建立完善的安全防范體系，因此安全問題非常突出。文章根據(jù)對湖南煙草信息系統(tǒng)安全現(xiàn)狀進行分析，研究出湖南煙草信息系統(tǒng)安全建設(shè)總體目標。

關(guān)鍵詞：湖南煙草；信息系統(tǒng)；安全；總體目標

經(jīng)過多年的信息化工作，目前湖南省煙草行業(yè)已經(jīng)建立起全省的計算機網(wǎng)絡(luò)信息系統(tǒng)。全省信息網(wǎng)絡(luò)系統(tǒng)建設(shè)包括各市級分公司局域網(wǎng)和省域網(wǎng)建設(shè)。局域網(wǎng)建設(shè)方面，全省包括省局（公司）機關(guān)、白沙物流中心、市級分公司、縣公司都已完成了局域網(wǎng)建設(shè)，省域網(wǎng)絡(luò)的建設(shè)也規(guī)劃完畢開始實施。省公司辦公區(qū)域白沙物流中心機房通過千兆裸光纖相連，白沙物流以及各個市級分公司通過專線連入電信MSTP專網(wǎng)。省公司、白沙物流中心機房和14個市級分公司都有Internet接口，并且可以通過10M VPN相連接作為備份鏈路。市級分公司與其下屬的縣級分公司之間通過電信MSTP專網(wǎng)相連接，同時還有一條2M的ADSL備份線路。省公司及14個市級分公司分別購買了2臺IBM小型機，是全省煙草信息系統(tǒng)的核心設(shè)備。

一、 湖南煙草信息系統(tǒng)安全現(xiàn)狀

目前，在進行安全系統(tǒng)建設(shè)初期，全省整個煙草行業(yè)網(wǎng)絡(luò)安全體系非常薄弱，基本上沒有建立完善的安全防范體系，因此安全問題非常突出?？傮w情況來看，各個市級分公司僅僅有防火墻，無其他的安全防護設(shè)施。省公司和各個分公司在信息安全方面均各自為政，沒有采取統(tǒng)一的有效的安全策略和防護措施。還有，雖然省公司、部分分公司采用了病毒防殺軟件，但是沒有覆蓋全網(wǎng)的網(wǎng)絡(luò)防毒系統(tǒng)，缺乏統(tǒng)一的管理和控制，因此病毒問題顯得尤其突出。下面列出了已有的安全設(shè)施和措施：

（一） 物理與鏈路層安全設(shè)施

在湖南煙草信息系統(tǒng)系統(tǒng)建設(shè)中，現(xiàn)有的物理與鏈路層安全設(shè)施如下：

1、物理安全方面：

通過對省中心機房和各個市級分公司機房的改造，增加了包括門禁、錄像監(jiān)控等等安全設(shè)備。另外加強了多種安全防護措施，包括：防火、防水、防靜電、電源安全等等新的設(shè)備，使全省網(wǎng)絡(luò)的物理安全性基本滿足了現(xiàn)階段的需求。

2、數(shù)據(jù)傳輸鏈路安全方面：

目前的信息系統(tǒng)建設(shè)過程中，采用了Cisco PIX防火墻建立VPN鏈路，而且在網(wǎng)絡(luò)主干路上采用MPLS VPN技術(shù)，使得：信息在傳輸過程中保持保密性、完整性、可靠性，防篡改，采用IPSEC加密技術(shù)和產(chǎn)品，對敏感數(shù)據(jù)的傳輸進行加密，同時對傳輸雙方的身份加以鑒別，從而達到安全保密性以及完整性的要求。

省域網(wǎng)（MSTP）的鏈路為主鏈路，通過Internet的VPN鏈路為備份鏈路，在主鏈路發(fā)生故障的情況下，及時采用備份鏈路，最大程度的保障網(wǎng)絡(luò)的可用性，保證相關(guān)信息的傳輸不受到人為、物理的其它因素的影響。

結(jié)合湖南煙草的實際情況來看，從物理與數(shù)據(jù)傳輸鏈路層的安全設(shè)施可以看出，當前信息系統(tǒng)的建設(shè)主要側(cè)重于保障網(wǎng)絡(luò)系統(tǒng)的可用性，在此基礎(chǔ)上綜合考慮完整性以及保密性的要求。在今后的安全系統(tǒng)建設(shè)中，也要遵循這個原則。

（二）網(wǎng)絡(luò)層安全設(shè)施

在湖南煙草網(wǎng)絡(luò)平臺現(xiàn)有的體系中，網(wǎng)絡(luò)層的安全設(shè)施主要包括以下內(nèi)容：

優(yōu)化整個網(wǎng)絡(luò)的安全

骨干網(wǎng)絡(luò)采用MPLS VPN技術(shù)，不同地市的不同業(yè)務(wù)網(wǎng)絡(luò)，統(tǒng)一地市的不同業(yè)務(wù)網(wǎng)絡(luò)，不同地市的統(tǒng)一業(yè)務(wù)網(wǎng)絡(luò)抖邏輯隔離。不同的業(yè)務(wù)網(wǎng)絡(luò)可以獨立管理QOS。省中心和各個市級節(jié)點可以相互訪問，但是市級節(jié)點不可以相互之間訪問。

防火墻

防火墻是用于隔離信任網(wǎng)絡(luò)與不信任網(wǎng)絡(luò)的有效工具，在省公司、白沙物流信息中心、各個市級分公司網(wǎng)絡(luò)的Internet出口處部署PIX防火墻，可以隔離內(nèi)外網(wǎng)，設(shè)置NAT等等安全策略，不僅僅節(jié)省了公網(wǎng)IP地址，而且隱藏了內(nèi)網(wǎng)的網(wǎng)絡(luò)結(jié)構(gòu)，屏蔽了大多數(shù)的網(wǎng)絡(luò)攻擊，免收外來侵擾。

VPN

通過PIX防火墻通過Internet建立VPN鏈路，實現(xiàn)分公司與省公司之間通過Internet進行備份數(shù)據(jù)傳輸通道以及移動用戶撥入省公司內(nèi)網(wǎng)的安全加密措施。

網(wǎng)絡(luò)安全監(jiān)管與故障處理

目前已經(jīng)采購了多種網(wǎng)絡(luò)管理軟件，包括CiscoWorks管理軟件（設(shè)備管理模塊、VPN管理模塊、無線網(wǎng)絡(luò)管理模塊），可以管理所有的Cisco設(shè)備。ACS安全認證管理軟件，用于建立和管理全網(wǎng)的身份認證系統(tǒng)。Sniffer軟件，用于監(jiān)控網(wǎng)絡(luò)流量，發(fā)現(xiàn)、分析、排除各種網(wǎng)絡(luò)故障。還有IBM的Tivoli Enterprise Console管理管理軟件，帶有Tivoli Netview模塊，可以檢查并長期監(jiān)控多種網(wǎng)絡(luò)設(shè)施的運行狀態(tài)。

通過這些工具建立網(wǎng)絡(luò)管理系統(tǒng)，實現(xiàn)對全網(wǎng)關(guān)鍵網(wǎng)絡(luò)設(shè)備的運行狀態(tài)、鏈路的情況進行實時監(jiān)控與管理，及時發(fā)現(xiàn)網(wǎng)絡(luò)故障情況，并采取相應的響應報警機制，馬上通知管理人員進行處理，盡量保障網(wǎng)絡(luò)的可用性。

（三）系統(tǒng)層安全設(shè)施

在湖南煙草網(wǎng)絡(luò)平臺現(xiàn)有的體系中，網(wǎng)絡(luò)層的安全設(shè)施主要包括以下內(nèi)容：

主機安全監(jiān)管

通過IBM 的管理軟件Tivoli Monitor，對關(guān)鍵主機和服務(wù)器系統(tǒng)的運行狀態(tài)、資源的使用情況、安全日志等進行監(jiān)管，及時發(fā)現(xiàn)系統(tǒng)的異常行為和故障，保障主機與業(yè)務(wù)系統(tǒng)的可用性。

系統(tǒng)冗余和備份

通過對關(guān)鍵的主機應用系統(tǒng)建立相應的系統(tǒng)冗余與備份措施--服務(wù)器雙機熱備等措施，最大程度保障主機系統(tǒng)的可用性，最大程度的保障煙草業(yè)務(wù)的連續(xù)性。

（四） 應用層安全設(shè)施

在湖南煙草安全系統(tǒng)建設(shè)過程中，應用層的安全已經(jīng)包括：

建立了全省數(shù)據(jù)備份中心，所有的省、市各級公司的業(yè)務(wù)數(shù)據(jù)每日備份到了省數(shù)據(jù)備份中心，有效地建立數(shù)據(jù)的本地在線備份以及異地遠程備份的機制，確保數(shù)據(jù)在意外情況下的及時恢復，建立災難和應急相應機制。

通過Tivoli Monitoring for Database實時監(jiān)控數(shù)據(jù)庫以及應用系統(tǒng)的關(guān)鍵性操作，并且對意外事件提供反應措施，從而進一步增加對網(wǎng)絡(luò)及信息資源的可控性；

通過Tivoli Monitoring for Web Infrastructure，對關(guān)鍵應用和業(yè)務(wù)系統(tǒng)的運行狀態(tài)進行監(jiān)管，及時發(fā)現(xiàn)并排除應用故障問題，保障業(yè)務(wù)的連續(xù)性。

目前湖南煙草的信息安全管理的技術(shù)平臺和管理制度，都已經(jīng)具備了簡單的雛形，但是還不能滿足現(xiàn)有的網(wǎng)絡(luò)安全需求和今后的進一步發(fā)展，還有待于進一步的加強。雖然湖南省煙草信息安全系統(tǒng)的建設(shè)已經(jīng)開始起步，也具備了一定的安全防護能力，但是整體的安全防護還有很多的需求沒有得到滿足，尤其是網(wǎng)絡(luò)層的防護，還有很多的安全設(shè)施沒有到位，遠遠沒有達到國家煙草總局在《煙草行業(yè)計算機網(wǎng)絡(luò)和信息安全技術(shù)與管理規(guī)范》所提出的"縱深防御體系"和"動態(tài)防護"的要求。

二、 湖南煙草信息安全建設(shè)總體目標

針對湖南煙草的現(xiàn)狀以及安全需求分析，提出在湖南煙草信息安全系統(tǒng)建設(shè)的總體目標描述如下：

基于安全基礎(chǔ)設(shè)施、以安全策略為指導，通過統(tǒng)一的安全管理平臺，提供全面的安全服務(wù)內(nèi)容，覆蓋從物理通信到網(wǎng)絡(luò)、系統(tǒng)平臺直至數(shù)據(jù)和應用平臺的各個層面的安全需求，構(gòu)建全面、完整、可靠、高效的省行業(yè)信息安全體系構(gòu)架。從而在煙草行業(yè)信息化整體發(fā)展的基礎(chǔ)上，極大地提高湖南省煙草行業(yè)的整體安全等級，為保障煙草行業(yè)的健康發(fā)展提供堅實的信息安全保障體系。

可以分解為以下四個具體目標：

網(wǎng)絡(luò)和系統(tǒng)實體的可用性以及抗攻擊性；

信息的安全性、保密性和可靠性；

系統(tǒng)安全的可管理性；

整體系統(tǒng)運行狀態(tài)的可控性；

安全需求是建立良好的安全體系的前提條件，我們從湖南煙草行業(yè)網(wǎng)絡(luò)系統(tǒng)得實際情況出發(fā)，根據(jù)對用戶網(wǎng)絡(luò)系統(tǒng)脆弱性以及安全威脅的風險評估，結(jié)合湖南煙草安全系統(tǒng)的總體建設(shè)目標，我們把整體的安全需求根據(jù)不同的側(cè)重點，從信息安全管理體系、物理與鏈路層安全、網(wǎng)絡(luò)層安全、系統(tǒng)層安全、應用層安全等五個方面進行充分的考慮。安全需求涵蓋了整個信息系統(tǒng)的每個層次，具有一定的縱深性和涵蓋面，其中安全管理部分我們認為是非中重要的一項，因為完善的安全防御體系是以各類安全技術(shù)的應用加以安全管理貫穿于始終，才能實現(xiàn)安全系統(tǒng)的良好運作發(fā)揮其性能。信息安全保障體系各層次的安全需求目標具體描述如下：

（一）物理與鏈路層安全需求目標分析

在湖南煙草安全系統(tǒng)建設(shè)中，物理與鏈路層安全需求闡述如下：

考慮到大量內(nèi)部的數(shù)據(jù)跨過廣域網(wǎng)（如Internet、電信省域網(wǎng)等）進行傳輸，可能被它人竊聽和破壞，因此對數(shù)據(jù)的傳輸?shù)陌踩哂幸韵滦枨螅?/p>

信息在傳輸過程中保持保密性、完整性、可靠性，防篡改，擬采用相關(guān)加密技術(shù)和產(chǎn)品，對敏感數(shù)據(jù)的傳輸進行加密，同時對傳輸雙方的身份加以鑒別，從而達到安全保密性以及完整性的要求。

關(guān)鍵信息傳輸?shù)逆溌繁仨毻ㄟ^備份鏈路等方式，保證相關(guān)信息的傳輸不受到人為、物理的其它因素的影響。

對系統(tǒng)中的關(guān)鍵應用以及關(guān)鍵的網(wǎng)絡(luò)連接建立相應的安全機制，如建立備份通道，以便在主通道發(fā)生故障的情況，及時采用備份通道，最大程度的保障網(wǎng)絡(luò)的可用性。

（二） 網(wǎng)絡(luò)層安全需求目標分析

網(wǎng)絡(luò)層是網(wǎng)絡(luò)入侵者進攻信息系統(tǒng)的渠道和通路，因此許多安全問題都集中體現(xiàn)在網(wǎng)絡(luò)的安全方面。在湖南煙草網(wǎng)絡(luò)平臺安全體系中，安全需求主要包括以下內(nèi)容：

網(wǎng)絡(luò)安全優(yōu)化

主要是對系統(tǒng)中不同網(wǎng)段的、不同功能要求以及不同的安全等級的區(qū)域的劃分，同時根據(jù)不同的安全級別，針對性的制定各區(qū)域之間的訪問控制規(guī)則。主要是對現(xiàn)有的網(wǎng)絡(luò)設(shè)備加強安全策略配置如訪問控制列表，進行嚴格的訪問控制，并對核心網(wǎng)絡(luò)設(shè)備進行相應的安全設(shè)置。

防火墻

防火墻是網(wǎng)絡(luò)層安全領(lǐng)域最成熟、使用最廣泛的技術(shù)，用于隔離信任網(wǎng)絡(luò)與不信任網(wǎng)絡(luò)的有效工具。需要在全省各網(wǎng)絡(luò)中部署防火墻隔離內(nèi)外網(wǎng)，設(shè)置各級安全屏蔽，將全網(wǎng)在網(wǎng)絡(luò)上分割為相對獨立的子網(wǎng)，免收外來襲擊。

網(wǎng)絡(luò)入侵防護與相應的安全審計系統(tǒng)

建立全網(wǎng)網(wǎng)絡(luò)入侵防護檢測與相應的安全審計系統(tǒng)，及時監(jiān)測、攔截并記錄來自外部和網(wǎng)絡(luò)其它部分的黑客入侵行為，拒絕服務(wù)攻擊，違規(guī)操作等，并能對相關(guān)入侵行為進行多個日志系統(tǒng)的關(guān)聯(lián)分析，排除虛假的報警信息、過濾掉低風險事件，得到最準確的關(guān)鍵安全事件信息。

VPN

建立VPN鏈路，實現(xiàn)分公司與省公司之間通過Internet進行備份數(shù)據(jù)傳輸通道以及移動用戶撥入省公司內(nèi)網(wǎng)的安全加密措施。

（三）系統(tǒng)層安全需求目標分析

主機服務(wù)器系統(tǒng)是整個應用業(yè)務(wù)的基礎(chǔ)平臺設(shè)施，因此其安全性會影響到整個應用業(yè)務(wù)系統(tǒng)能否正常的運營。在湖南煙草安全系統(tǒng)中，系統(tǒng)平臺的安全建設(shè)主要有：

主機系統(tǒng)漏洞掃描與加固

采用安全掃描技術(shù)，對煙草系統(tǒng)中關(guān)鍵的主機和服務(wù)器進行定期漏洞掃描與評估，針對相關(guān)的系統(tǒng)漏洞，自動提出修補的措施，并定期進行相關(guān)操作系統(tǒng)的裁剪、修補和加固的工作。

操作系統(tǒng)安全

通過使用主機訪問控制等技術(shù)措施及手段，對系統(tǒng)中的主機與服務(wù)器系統(tǒng)嚴格劃分、管理、控制用戶的權(quán)限和行為，增強操作系統(tǒng)的健壯性以及安全性，使操作系統(tǒng)達到更高層次的安全級別。

網(wǎng)絡(luò)病毒防殺系統(tǒng)

建立全網(wǎng)的病毒檢測與防范系統(tǒng)，及時檢測和控制各種文件、宏和其它網(wǎng)絡(luò)病毒的傳播和破壞，具有集中統(tǒng)一的管理界面，系統(tǒng)具有自動升級，自動數(shù)據(jù)更新，可管理性等特性。

主機安全監(jiān)管

通過網(wǎng)絡(luò)安全綜合管理，對關(guān)鍵主機和服務(wù)器系統(tǒng)的運行狀態(tài)、資源的使用情況、安全日志等進行監(jiān)管，及時發(fā)現(xiàn)系統(tǒng)的異常行為和故障，保障主機與業(yè)務(wù)系統(tǒng)的可用性。

（四） 應用層安全需求目標分析

應用平臺安全是系統(tǒng)最終保障的目標，數(shù)據(jù)的保密性、高可靠性和防篡改等特性，以及應用系統(tǒng)對于系統(tǒng)功能和相關(guān)數(shù)據(jù)的嚴格控制，將成為整個應用和數(shù)據(jù)安全體系的主要需求。在湖南煙草安全系統(tǒng)建設(shè)過程中，應用安全需求具體包括：

建立PKI/CA體系，為應用安全提供認證、加密、數(shù)字簽名、數(shù)據(jù)完整性等功能和服務(wù)。

有效地建立信息資源的標記、加密存儲和保管機制。考慮應用層對傳輸數(shù)據(jù)進行加密。

建立全省數(shù)據(jù)備份中心，有效地建立數(shù)據(jù)的本地在線備份以及異地遠程備份的機制，確保數(shù)據(jù)在意外情況下的及時恢復，建立災難和應急相應機制。

實時監(jiān)控數(shù)據(jù)庫以及應用系統(tǒng)的關(guān)鍵性操作，并且對意外事件提供反應措施，從而進一步增加對網(wǎng)絡(luò)及信息資源的可控性；

通過網(wǎng)絡(luò)安全綜合管理系統(tǒng)，對關(guān)鍵應用和業(yè)務(wù)系統(tǒng)的運行狀態(tài)進行監(jiān)管，及時發(fā)現(xiàn)并排除應用故障問題，保障業(yè)務(wù)的連續(xù)性。

從上述湖南煙草安全系統(tǒng)的建設(shè)需求分析中可以看出，整個系統(tǒng)的建需要包含從安全管理體系、物理與鏈路安全、網(wǎng)絡(luò)安全、系統(tǒng)安全以及應用安全等五個方面的要求，結(jié)合了從管理到技術(shù)的各個層次。根據(jù)湖南煙草計算機網(wǎng)絡(luò)系統(tǒng)的實際情況，現(xiàn)階段的建設(shè)重點是解決網(wǎng)絡(luò)安全和網(wǎng)絡(luò)的高可用性，解決網(wǎng)絡(luò)系統(tǒng)在信道傳輸、訪問控制、運行保障以及與外界的網(wǎng)絡(luò)的互連接口等方面的安全問題。最終按照國家煙草總局的相應安全規(guī)范，建設(shè)一個集策略、防護、檢測、反應為一體的，基于國際先進的P2DR（策略/Police，防護/Protection，檢測/Detection，反應/Response）模型的、動態(tài)適應的計算機網(wǎng)絡(luò)安全防護體系。

參考文獻：

[1] 李紅等.管理信息系統(tǒng)開發(fā)與應用[M].電子工業(yè)出版社出版社.2003年：8頁

[2]郭漢軍.吳健強 .學生管理信息系統(tǒng)的開發(fā)[J] .新疆大學學報（自然科學版）.2006年

[3]郭長安，王琪.基于B/S模式的學生信息管理系統(tǒng)設(shè)計與實現(xiàn).計算機工程與設(shè)計，2006年7月