徐 鋒

（南通日報社，江蘇 南通 226300）

導語

隨著新聞出版報紙數(shù)字化、網絡化的廣泛應用，紙類傳媒信息安全工作的重要性日益彰顯。移動互聯(lián)網的不斷發(fā)展，各種新興媒體以速度快的優(yōu)勢后來居上，對傳統(tǒng)媒體構成了沖擊。在過去，基礎網絡建設方面存在著很多不足，許多工作主機是傳統(tǒng)的PC 模式，網絡設備智能化程度不高，不便于統(tǒng)一管理和配置，自然安全風險就比較高。而傳統(tǒng)媒體偏重紙媒的出版發(fā)行，對新媒體建設投入不足，基礎設施、設備老舊，不能適應新形態(tài)的媒體形式，性能產生瓶頸；內部素材管理沒有統(tǒng)一規(guī)范，內容上與自家的網站、微信、App雷同，并且存在“多次編輯、多次發(fā)布”的問題，浪費了大量的人力物力。鑒于這些問題，南通日報社在集團黨委的領導下大膽地提出對報社IT 系統(tǒng)進行網絡安全全面改造。在系統(tǒng)改造過程中，基于“云計算”的虛擬化技術被我們首次引入，在實踐中采用了公有云和私有云安全建設方案，將新媒體的對外發(fā)布App 放在公有云平臺，將傳統(tǒng)媒體的采編和排版系統(tǒng)放在了私有云平臺，在安全建設方面，同時對這兩個平臺制定了具有針對性的安全建設方案。

1.云計算的定義

云計算[2]就是分布式計算的一種形式，通過龐大的互聯(lián)網將多臺服務器組織在一起，來共同處理被分解的一個個小單元，通過分布在各個地方的處理單元，將計算處理的結果統(tǒng)一匯集到一起，最后發(fā)給用戶。通過這種分布式計算處理，可以在短時間內處理龐大的數(shù)據(jù)，達到性能的最大化。狹義上講，云計算就是一種提供資源的平臺，用戶可以輕松的從云上獲取所需資源，按需求量的多少進行付費使用，并且可以在后期使用中進行動態(tài)無限擴展，這種模式提供按需的網絡訪問，按需的資源配置，共享的資源配置池包括網絡資源、服務器硬件、存儲資源、操作系統(tǒng)及多種服務，這些資源可以被快速的配置，快速的進行重組及快速的進行平臺升級，只需要投入較少的維護管理或與云供應商進行簡單的溝通處理，就可以達到非常大的效果。

其中云計算在實踐過程中具有的特點有：

1.1 全局虛擬化技術的應用

云計算中最重要的莫過于虛擬化技術的成熟應用，虛擬化技術將所有硬件資源與軟件資源整合到一起，突破了服務器單機運算的瓶頸，將原先單獨的各個模塊（物理硬件平臺、應用軟件平臺、虛擬軟件平臺、數(shù)據(jù)存儲平臺等），統(tǒng)統(tǒng)整合到一起，進行統(tǒng)一管理，統(tǒng)一監(jiān)控，資源統(tǒng)一分配，數(shù)據(jù)統(tǒng)一備份，做到應用24 小時不宕機，數(shù)據(jù)再也不會丟失。

1.2 可實時擴展資源

在以往的計算環(huán)境中，經常會遇到資源不夠的情況，如服務器內存不夠、CPU 運算能力不足、數(shù)據(jù)存儲空間滿了等，針對這些問題，以往只能重新更換性能更高的服務器，增加存儲磁盤的容量，現(xiàn)在如果使用了云計算的平臺，這些問題就迎刃而解，可隨時在不影響業(yè)務的情況下，實時增加CPU、內存、存儲等硬件資源，使計算的能力和計算的速度得到大大的提升。計算機云計算系統(tǒng)中出現(xiàn)設備的故障，對用戶來說，無論是在計算機層面上，抑或是在具體運用上均不會受到阻礙，可以利用計算機云計算具有的動態(tài)擴展功能來對其他服務器進行有效擴展。這樣一來就能夠確保任務得以有序完成。

1.3 根據(jù)需求來部署應用環(huán)境

需求不同，部署的應用環(huán)境就不同，根據(jù)業(yè)務的需求，部署不同的操作系統(tǒng)、應用系統(tǒng)、資源池。云計算平臺對快速部署的響應是非?？斓?，它可以根據(jù)業(yè)務應用系統(tǒng)的需要，快速地配置出高性能的計算機系統(tǒng)來。

1.4 云計算的高兼容性

高兼容性是云計算能持續(xù)發(fā)展下去的必要前提，在現(xiàn)在這個時代硬件和軟件的更新?lián)Q代非常快，如不能有效的兼容不同品牌的硬件和較早的低端硬件，那必然會影響云計算的發(fā)展?，F(xiàn)在虛擬化軟件有很多品牌，服務器、操作系統(tǒng)、存儲網絡的品牌也琳瑯滿目，如何將這些資源整合到虛擬池中，那就需要云計算的高兼容性。

1.5 服務器的高可靠性

單臺服務器如出現(xiàn)故障，是絕不會影響應用系統(tǒng)的，云計算中的HA 功能可以將故障服務器上的業(yè)務虛擬機，在不宕機的情況下，遷移到集群中正常的服務器上，完全不影響用戶端，不會中斷業(yè)務的正常使用。

1.6 云計算使用的綜合成本低

云計算使用中不需要購買昂貴的高性能主機，本地只需要價格相對便宜的PC，在資源使用中，可以根據(jù)需求量，動態(tài)擴展資源池中的資源，相比購買高性能的服務器、大空間的存儲等，云計算的使用來得更加便宜，性價比會更高。

2.云安全的特征

云計算架構是一種新型的架構形式，不管是公有云還是私有云環(huán)境，需要關注的安全節(jié)點越來越多，對云安全的防范也是一種嚴峻的挑戰(zhàn)。如虛擬機用戶端的穩(wěn)定運行、數(shù)據(jù)傳輸?shù)目煽啃浴?shù)據(jù)在云端的存儲安全等，都是需要重點關注的安全問題。涉及的面非常廣，暫從以下幾個方面講解。

2.1 身份安全

通過申請云計算服務，就會被賦予合法的用戶身份，通過這個合法的身份，將可以通過網絡來獲得云端相應的應用和服務，在此過程中，云端服務提供者將會檢查你的身份，只有在身份合法時，才可獲得相應的服務。一旦檢查出是未授權的用戶，提供者將終止為其提供服務。

2.2 業(yè)務安全

虛擬化網絡技術[3]使云計算在底層實現(xiàn)了數(shù)據(jù)、資源的共享，在共享資源的同時，安全問題也需要值得考慮，虛擬機與虛擬機之間的互訪策略、虛擬機與存儲之間的訪問策略、虛擬交換機A 與虛擬交換機B 之間的互訪策略等，這些策略與以往在防火墻上添加一條規(guī)則或在交換機里添加一條ACL 完全不同。

2.3 數(shù)據(jù)安全

數(shù)據(jù)的保存應該屬于整個業(yè)務系統(tǒng)中最重要的一環(huán)，數(shù)據(jù)包括生產數(shù)據(jù)、歷史數(shù)據(jù)以及各種數(shù)據(jù)庫數(shù)據(jù)等等，一旦丟失或遭非法篡改，都會造成不可挽回的損失。傳統(tǒng)架構中的數(shù)據(jù)都是放在本地存儲中，管理可控性更強，而云端的數(shù)據(jù)因不在本地，管理可控性差的原因，一般都進行數(shù)據(jù)的多次拷貝，多次異地備份等措施，來確保云端業(yè)務系統(tǒng)的數(shù)據(jù)安全。

云安全是從云計算演變而來，云安全就是基于云計算商業(yè)模式的安全軟件、硬件、用戶、機構安全云平臺的總稱。因其總體架構、網絡部署、運維服務具有一定的相似性，繼而面臨著安全風險也具有一定的共性。

一是基礎設施安全風險。主要包括：物理環(huán)境及設備安全風險、虛擬化安全風險、開源組件風險、配置與變更操作錯誤、帶寬惡意占用、資源編排攻擊。

二是網絡部署安全風險。主要包括：數(shù)據(jù)泄露、身份和密鑰管理、接入認證、跨數(shù)據(jù)中心的橫向攻擊、APT等新型攻擊。

三是云上應用安全風險。主要包括：API 接口安全、無服務器攻擊、DOS 攻擊、跨租戶/跨省橫向攻擊、跨工作負載攻擊、云服務被濫用及違規(guī)使用、用戶賬號管理安全、核心網攻擊。

3.云安全建設中面臨的問題

目前，南通日報社以全媒體采編系統(tǒng)為核心，結合了報紙排版系統(tǒng)、網站發(fā)布系統(tǒng)、南通發(fā)布App 系統(tǒng)和其他第三方系統(tǒng)（如第三方CMS 系統(tǒng)、微信公眾號、新浪微博等）。將所有系統(tǒng)進行統(tǒng)籌安排后，分為兩部分：一部分為報社采編系統(tǒng)、報紙排版系統(tǒng)（用于報社集團辦公及紙質媒體出版使用的）。由于這部分系統(tǒng)較為重要，考慮使用了本地化私有云部署，在部署方案上使用了大品牌的VMware 服務器虛擬化和Citrix 桌面虛擬化軟件，在后期使用中，不管在兼容性還是在安全性方面都是挺不錯的選擇。另一部分為南通網系統(tǒng)和南通發(fā)布App 系統(tǒng)（用于門戶網站和移動客戶端資訊的發(fā)布），針對這部分新媒體的系統(tǒng)，考慮到以后的快速發(fā)展和便捷的擴展性，使用了阿里的公有云部署，在計算能力、資源調配、數(shù)據(jù)存儲、訪問效率等各方面都進行了綜合考慮后，選擇了性能優(yōu)越的公有云服務器。

媒體作為重點單位，其自身的所有信息系統(tǒng)安全[4]都應該屬于重點系統(tǒng)。因此，在南通市信息安全等級保護工作領導小組辦公室進行了三級備案，并邀請第三方測評公司對本單位進行了安全風險等級測評。依據(jù)等級保護基本要求中三級標準要求，對本單位的公有云和私有云系統(tǒng)進行了網絡安全等級測評。因前期僅進行了網絡基礎建設，并未考慮安全方面的建設，導致測評后發(fā)現(xiàn)在云安全防護上比較弱，不能達到三級防護的要求，根據(jù)等級化保護2.0 要求，將測評中屬于高風險值的問題分別列出：

一是公有云系統(tǒng)使用的阿里云的云服務器，在前期使用中，只考慮了使用的方便，沒有對系統(tǒng)的安全性進行考慮，如云服務器的防火墻策略，沒有進行訪問策略的控制，因此，風險等級較高，需要及時處理。

二是私有云系統(tǒng)中未部署態(tài)勢感知類產品，無法對整個系統(tǒng)中存在的網絡攻擊行為進行發(fā)現(xiàn)、檢測、防范、限制和報警，存在不能及時發(fā)現(xiàn)網絡攻擊行為而造成系統(tǒng)信息泄漏和損壞的風險。

三是系統(tǒng)網絡中未部署非法外聯(lián)、內聯(lián)檢查防范類產品，存在非授權用戶連接系統(tǒng)后，訪問系統(tǒng)資源及違規(guī)外聯(lián)繞過安全措施的風險。

四是私有云業(yè)務系統(tǒng)網絡邊界處未部署防惡意代碼產品，不能檢測網絡中潛在的惡意代碼程序，可能會造成惡意代碼程序進入重要信息系統(tǒng)，造成系統(tǒng)及應用程序故障的風險。

五是沒有在網絡中部署審計類設備，目前系統(tǒng)所處網絡環(huán)境中未部署日志審計類設備，無法對網絡邊界、重要網絡節(jié)點進行安全審計，重要網絡設備、安全設備、服務器等日志均本地存儲，無法滿足網絡安全法要求保留6 個月以上，無法滿足標準要求。

六是應用服務器操作系統(tǒng)未采用兩種或兩種以上組合的鑒別技術，一般都是采用的用戶名加密碼認證的方式，且用戶名多數(shù)為administrator 賬號，密碼的復雜程度也較低，因此，登錄密碼容易被未授權的用戶輕松破解，操作系統(tǒng)容易被非法控制。

七是操作系統(tǒng)未統(tǒng)一安裝網絡版殺毒軟件，即使一部分安裝了殺毒軟件，也都是免費的版本，且病毒庫長時間不更新，殺毒能力較差，也沒有進行升級、殺毒的統(tǒng)一管理，導致很大一部分客戶端極易受到病毒的侵襲。

4.云安全中技術加固設計

4.1 安全加固的原則

首先，事前風險預防包括事前分析系統(tǒng)各個組成要素、組成要素可能面臨的威脅和存在的脆弱性，并將分析結果作為安全治理輸入，[5]對于威脅，需要制定相應措施避免或減少威脅發(fā)生。對于脆弱性，需要針對性地進行鞏固，比如對經常會導致系統(tǒng)故障的系統(tǒng)變配操作，通過統(tǒng)一的變更平臺集中管理各種變配申請，從而實現(xiàn)對變配操作集中管控。

其次，通過最小權限原則，限制操作人操作權限，包括操作時間限制、操作對象限制和操作范圍限制。另外，每一次的變配操作，系統(tǒng)可以根據(jù)操作人、操作對象、操作類型等要素，計算操作過程中存在的風險，一旦發(fā)現(xiàn)過程中存在確定風險，則會直接阻斷當前操作；如果是高風險，則會發(fā)起交叉確認流程；如果是低風險，則會直接放行。這種方式，既實現(xiàn)了對風險的實時管控，防止由于人為失誤導致故障，同時又平衡了研發(fā)效率與安全生產間的關系。

快速發(fā)現(xiàn)是避免損失擴大的重要手段。在系統(tǒng)運行過程中，通過業(yè)務指標觀測、應用程序觀測、云資源觀測相結合的方式，能夠及時發(fā)現(xiàn)系統(tǒng)存在的問題，一旦發(fā)現(xiàn)故障，按照事先制定的預案，系統(tǒng)會通知相關人員進行處理。其次，基于大數(shù)據(jù)和人工智能算法，平臺會實時預測相關指標變化趨勢，將故障預警時間再次提前。

盡管事前事中制定了詳盡的方案，但還是很難避免故障發(fā)生。一旦故障發(fā)生，如何快速進行故障恢復就是首要事情。按照故障不同類型，可以使用故障恢復手段有限流、攔截、熔斷、快恢、降級、擴容、切流、重啟等。不同恢復方式都需要有相應系統(tǒng)支持和日常演練測試。故障恢復后，安全生產委員會還需要組織相關人員排查和分析故障原因，制定整改方案，確定故障責任人，推進和落實整改方案，防止相同故障再次發(fā)生。[6]

4.2 安全加固的措施

目前網絡攻擊形式越來越多樣化，手法也越來越隱匿，面對這種多樣化攻擊，往往需要部署多種安全設備，如防火墻、IPS、日志審計、WAF 等。面對多種多樣的安全設備，需要知道安全設備只是輔助，在日常維護中，需要定期進行安全巡檢，其中包括對安全設備記錄的日志進行分析，發(fā)現(xiàn)潛在威脅、定期進行策略優(yōu)化、定期進行特征庫升級等。

針對單位內網站系統(tǒng)和采編系統(tǒng)目前的情況，對網絡安全整改按高、中、低安全風險等級進行逐步進行。首先考慮的是等保測評中屬于高風險的項目，進行初步的安全加固，在邊界處安裝防火墻，使內外域達到安全隔離的效果，做到有效的防護和訪問控制。

本次在圍繞設備加固的同時，強化安全管理，完善系統(tǒng)管理員制度，建立網絡拓撲圖，方便系統(tǒng)管理員圖形化的管理；建立硬件資產管理系統(tǒng)，讓管理員能查詢系統(tǒng)中所有平臺的硬件信息。

針對通過安全測評檢查出來的問題，根據(jù)等保2.0標準中的技術要求和管理要求，對網絡安全基礎設施進行整改、優(yōu)化，并對各個應用系統(tǒng)的安全性的架構設計、安全漏洞等方面進行整改和優(yōu)化。

基于安全通用技術要求，在所有系統(tǒng)的邊界處部署了下一代防火墻、IPS 入侵防御系統(tǒng)、Web 應用防火墻、防病毒系統(tǒng)、安全日志審計系統(tǒng)綜合解決方案，按照分級分域的原則，對安全區(qū)域邊界進行全面保護，有效應對區(qū)域邊界常見的安全威脅。在網絡中部署態(tài)勢感知設備對整網進行安全分析，防范來自單位內部及外部針對重要業(yè)務系統(tǒng)的網絡攻擊及病毒傳播；在網絡中部署非法外聯(lián)、內聯(lián)檢查設備，對網絡中的違規(guī)內外聯(lián)操作進行有效監(jiān)測處置；在網絡中部署日志審計設備，對重要網絡設備的日志進行統(tǒng)一收集管理分析，對運維操作進行安全審計管理，便于日后的分析及安全事件發(fā)生后的追溯，通過安全管理平臺對網絡中的設備進行統(tǒng)一管理，便于網絡管理者的日常運維工作。[7]

4.3 安全計算環(huán)境

計算環(huán)境的安全涉及的面很廣，主要是主機層面和應用層面的風險，其具體包括：安全訪問控制策略方面的、身份驗證方面的、數(shù)據(jù)安全保護方面的、個人信息安全保護方面的、入侵防御與惡意代碼攻擊等方面。

在業(yè)務系統(tǒng)服務配備兩種或兩種以上組合的鑒別技術對管理用戶進行身份鑒別，如動態(tài)口令、USB key 等方式，有效保證身份鑒別的可靠性。

在網絡中部署日志審計、堡壘機、數(shù)據(jù)庫審計設備，對重要服務器系統(tǒng)及數(shù)據(jù)庫的日志進行統(tǒng)一收集管理分析，在統(tǒng)一存儲日志的同時，協(xié)助網絡管理員分析日志信息。

通過自檢和第三方公司，定期對日報社重要信息系統(tǒng)進行漏洞掃描、滲透測試，對發(fā)現(xiàn)的操作系統(tǒng)、數(shù)據(jù)庫、應用系統(tǒng)高危漏洞進行及時修補。

為終端和服務器都部署網絡版防病毒和防惡意代碼產品，通過服務端進行統(tǒng)一管理、統(tǒng)一升級、統(tǒng)一殺毒。

為重要數(shù)據(jù)處理系統(tǒng)進行冗余部署，通過租用運營商的云存儲空間，將系統(tǒng)重要數(shù)據(jù)庫和重要數(shù)據(jù)進行了本地和異地備份，保障了系統(tǒng)的高可用性。

4.4 安全管理中心

為了解決安全隱患，我們部署了一套終端管理系統(tǒng)，包括資產的統(tǒng)一管理、安全外聯(lián)管控、漏洞的統(tǒng)一管理、病毒和惡意代碼的統(tǒng)一查殺。

南通日報社單位內部網絡包含著多種多樣的網絡設備和網絡終端，內部服務器和PC 搭載著許多重要的應用平臺和數(shù)據(jù)，由于辦公使用人員的防范意識普遍偏低，防毒措施往往不到位，一旦發(fā)生病毒感染，往往擴散到全網絡，令網絡陷于癱瘓狀態(tài)，工作無法進行。故通過終端管理系統(tǒng)中的病毒和惡意代碼查殺模塊，對單位內部網絡進行統(tǒng)一管理、統(tǒng)一查殺。

由于對終端準入沒有做限制，訪客PC 或外來終端設備可以輕易的接入企業(yè)內網獲取企業(yè)內部信息，尤其在當今網絡無邊界的趨勢之下，通過私設無線路由，手機、Pad、USB 無線網卡等移動終端也可以輕松的接入企業(yè)內網。故通過部署終端管理系統(tǒng)中的安全外聯(lián)管控模塊來對內部網絡中的非法內外聯(lián)進行限制，對不允許接入互聯(lián)網的、不允許接入內部網絡的嚴格進行限制。

單位的網絡資產較多、較亂，沒有進行統(tǒng)一管理，某些設備很容易就被遺忘，對于龐大的資產，僅有的技術人員很難做到管理到位，且所有的系統(tǒng)也沒有及時進行漏洞掃描、升級補丁。針對此，通過部署了終端管理中的資產管理模塊和漏洞管理模塊，對整個系統(tǒng)進行統(tǒng)一管理，自動掃描系統(tǒng)中的所有資產信息，分類管理，定期掃描整個系統(tǒng)中設備的漏洞，及時修補補丁。

4.5 安全運維管理

定期對應用系統(tǒng)進行漏洞掃描、滲透測試工作，對漏掃、滲透測試中發(fā)現(xiàn)的安全問題進行及時整改，確保信息系統(tǒng)的安全性。

定期修訂評估信息系統(tǒng)應急演練文檔，并對系統(tǒng)相關的人員進行應急預案培訓，應急預案的培訓應至少每半年舉辦一次。定期開展信息系統(tǒng)等級測評工作，每年邀請第三方公司進行一次全網的等級測評，對測評中發(fā)現(xiàn)的安全問題進行及時整改，使得信息系統(tǒng)能完全達到安全保護能力要求。

5.云系統(tǒng)安全加固中的管理設計

5.1 安全管理制度

在制度方面，南通日報社根據(jù)安全管理制度的基本要求，修訂了一系列的管理規(guī)定、辦法。制定嚴格的網絡運行與維護制度，如：重要網絡設備放置在主機房內，由網絡管理員負責管理。網絡管理員實時監(jiān)測系統(tǒng)的運行情況，檢查登錄日志。嚴禁任何人將未經技術保障部許可的計算機及通信設備接入網絡。

5.2 安全管理機構

根據(jù)要求成立了相應的管理機構，設立了各個崗位，明確了各個崗位的管理人員，包括有安全管理員、網絡管理員和系統(tǒng)管理員等，成立了領導小組，負責制訂所有崗位的工作章程、工作分工，在管理機構的管理下，有序地開展工作。

5.3 安全管理人員

成立了信息安全領導小組，主要負責整個信息系統(tǒng)的安全管理工作。領導小組的組長由社長擔任，安全主管由分管技術保障部的領導擔任，安全管理員由技術保障部的主任擔任，網絡管理員和系統(tǒng)管理員由核心的技術人員擔任，設備和機房管理員由單位技術人員擔任，各司其職、分工合作。

5.4 安全建設管理

根據(jù)等級保護的要求，南通日報社制定了安全建設管理方面的制度，包括有系統(tǒng)安全方案設計、系統(tǒng)安全等級的定級，測評、軟件開發(fā)的方案實施與驗收、系統(tǒng)完備后的驗收與交付。從系統(tǒng)項目的前期一直到最后，從開始的設計、定級，到最后的驗收、交付都按照安全建設管理的制度有條不紊的進行。

5.5 安全運維管理

對管理員來說，信息系統(tǒng)的日常維護管理是個繁雜的工作，涉及方方面面的設備與資產，按照等保標準要求，制定出管理制度且利用安全管理中心對所有系統(tǒng)進行有序的管理、維護工作。統(tǒng)一管理的對象有網絡設備的管理、PC 與服務器的管理、數(shù)據(jù)備份與恢復的管理、入侵與惡意代碼防范的管理、應急預案的管理等。

結語

云計算的運用是當今時代的前沿技術，在使用云計算業(yè)務的同時，南通報業(yè)傳媒集團進行了一次全方位、大面積的信息系統(tǒng)安全建設，在各個方面都進行了安全加固，從前期基礎建設的思考，到安全設計方案、再到管理措施及人員安全培訓等[8]，進行了一系列的措施。隨著《網絡安全法》的頒布和等級化保護2.0 標準的實施，云安全建設也被越來越關注，針對信息系統(tǒng)的安全也越來越高，南通日報社的兩個三級系統(tǒng)，更應該按照等保2.0 的標準，嚴格執(zhí)行網絡安全的要求，保護好公有云業(yè)務系統(tǒng)和私有云業(yè)務系統(tǒng)，作為重要的媒體單位，網絡安全的建設刻不容緩！