試論上海交通安全信息網(wǎng)對信息安全的研究

...v.1引言隨著計算機和電子通訊技術(shù)的飛速開展，網(wǎng)絡的應用越來越廣泛，國內(nèi)政府部門都不約而同地意識到利用網(wǎng)絡傳遞信息可以在一定程度上提高辦事效率、提高政府的對外形象。XX市交警總隊已經(jīng)建成XX交通平安信息網(wǎng)，通過Internet宣傳交通法規(guī)以及交通違規(guī)的查詢，與傳統(tǒng)的方式相比擬有著明顯的投資少收益大的效果。另一方面隨著生活條件不斷提高，私家車的比例越來越高，對于通過網(wǎng)絡了解交通法規(guī)以及交通違規(guī)查詢的需求越來越大，XX交通平安信息網(wǎng)越來越成為一個市民離不開的門戶。正因為這樣，信息化平安問題的重要性就日益凸現(xiàn)出來。

目前交通平安信息網(wǎng)的效勞器主要承載的應用有以下幾個方面：web效勞器；主數(shù)據(jù)庫；電子監(jiān)控／XX記分查詢數(shù)據(jù)庫；第四焦點點播／交通平安聯(lián)席會議平臺；效勞器等。交通平安信息網(wǎng)效勞器托管在XX電信的機房，該機房提供100M共享網(wǎng)絡。在所有的效勞器前段架設(shè)了CISCO防火墻，根據(jù)需要對公網(wǎng)開設(shè)了相應的端口。現(xiàn)有配置架構(gòu)如圖1所示。

2存在的平安問題

下面從五個方面對該現(xiàn)有系統(tǒng)存在的風險進展分析.

2.1物理平安風險分析

網(wǎng)絡的物理平安的風險是多種多樣的。包括地震、水災、火災等環(huán)境事故;電源故障;人為操作失誤或錯誤;設(shè)備被盜、被毀;電磁干擾;線路截獲。以及高可用性的硬件、雙機多冗余的設(shè)計、機房環(huán)境及報警系統(tǒng)、平安意識等。它是整個網(wǎng)絡系統(tǒng)平安的前提，現(xiàn)有系統(tǒng)主要托管在電信機房，物理的平安風險相比照擬小。

2．2網(wǎng)絡平臺的平安風險分析

網(wǎng)絡平臺的平安涉及到網(wǎng)絡拓撲構(gòu)造、網(wǎng)絡路由狀況及網(wǎng)絡的環(huán)境等?，F(xiàn)有系統(tǒng)主要對外提供、EMAIL等效勞，已經(jīng)部署了一個防火墻，做了適當?shù)膬?nèi)、外網(wǎng)隔離。但還是會受到電信托管機房網(wǎng)絡平臺因素的影響，會影響現(xiàn)有系統(tǒng)對外提供的效勞。一個好的網(wǎng)絡構(gòu)造將大大防止網(wǎng)絡平臺帶來的平安風險，平安的應用往往是建立在網(wǎng)絡系統(tǒng)之上的。網(wǎng)絡系統(tǒng)的成熟與否直接影響平安系統(tǒng)成功的建立。2．3系統(tǒng)的平安風險分析

網(wǎng)絡操作系統(tǒng)、網(wǎng)絡硬件平臺的可靠性：對于所有人來說，恐怕沒有絕對平安的操作系統(tǒng)可以選擇，無論是Microsoft的WindowsNT或者其他任何商用UNIX操作系統(tǒng)。我們可以這樣講：沒有完全平安的操作系統(tǒng)。但是，我們可以對現(xiàn)有的操作平臺進展平安配置、對操作和訪問權(quán)限進展嚴格控制，提高系統(tǒng)的平安性。因此，不但要選用盡可能可靠的操作系統(tǒng)和硬件平臺。而且，必須加強登錄過程的認證(特別是在到達效勞器主機之前的認證)，確保用戶的合法性；其次應該嚴格限制登錄者的操作權(quán)限，將其完成的操作限制在最小的范圍內(nèi)?，F(xiàn)有的系統(tǒng)必須作必要的加固才能防止系統(tǒng)的平安風險。2．4管理的平安風險分析

管理是網(wǎng)絡平安中最重要的局部。責權(quán)不明，管理混亂、平安管理制度不健全及缺乏可操作性等都可能引起管理平安的風險。當網(wǎng)絡出現(xiàn)攻擊行為或網(wǎng)絡受到其它一些平安威脅時(如內(nèi)部人員的違規(guī)操作等)，無法進展實時的檢測、監(jiān)控、報告與預警。同時，當事故發(fā)生后，也無法提供黑客攻擊行為的追蹤線索及破案依據(jù)，即缺乏對網(wǎng)絡的可控性與可審查性。這就要求我們必須對站點的訪問活動進展多層次的記錄，及時發(fā)現(xiàn)非法入侵行為。需要建立全新網(wǎng)絡平安機制，必須深刻理解網(wǎng)絡并能提供直接的解決方案，因此，最可行的做法是管理制度和管理解決方案的結(jié)合?，F(xiàn)有系統(tǒng)這個環(huán)節(jié)比擬缺乏。2．5對外應用晌應的風險分析

根據(jù)目前情況每日的總訪問人次在110000人次以上，從訪問的次數(shù)上看問題并不大，每天平均每秒才1人次左右，但由于訪問該頂峰時間段比擬集中，主要集中在每天上午的9點到l1點之間，所以會造成效勞器瞬時的并發(fā)數(shù)大于500，造成效勞器對外應用響應的間歇故障風險，前期已經(jīng)對效勞器作了優(yōu)化處理，但這種風險依然存在。另外隨著私家車的不斷增加，對于交通平安信息的訪問需求也將會不斷增加，對外應用響應的風險也就越來越大。3解決方案3．1提出解決方案的原那么

根據(jù)以上的平安需求分析及相應的平安建議內(nèi)容，我們遵循以下原那么推薦平安解決方案來幫助用戶建立系統(tǒng)的平安防御體系：

(1)綜合性、整體性原那么：應用系統(tǒng)丁程的觀點、方法，分析網(wǎng)絡的平安及具體措施。也只有從系統(tǒng)綜合整體的角度去對待、分析，才能取得有效、可行的措施。即計算機網(wǎng)絡平安應遵循整體平安陛原那么，根據(jù)規(guī)定的平安策略制定出合理的網(wǎng)絡平安體系構(gòu)造。

(2)需求、風險、代價平衡的原那么：對任意一個網(wǎng)絡，絕對平安難以到達，也不一定是必要的。對一個網(wǎng)絡進展實際地研究(包括任務、性能、構(gòu)造、可靠性、可維護性等)，并對網(wǎng)絡面臨的威脅及可能承當?shù)娘L險進展定性與定量相結(jié)合的分析，然后制定標準和措施，確定本系統(tǒng)的平安策略。

(3)一致性原那么：一致性原那么主要是指網(wǎng)絡平安問題應與整個網(wǎng)絡的工作周期(或生命周期)同時存在，制定的平安體系構(gòu)造必須與網(wǎng)絡的平安需求相一致。

(4)易操作性原那么：平安措施需要人為去完成，如果措施過于復雜，對人的要求過高，本身就降低了平安性。其次，措施的采用不能影響系統(tǒng)的正常運行。

(5)分步實施原那么：由于網(wǎng)絡系統(tǒng)及其應用擴展范圍廣闊，隨著網(wǎng)絡規(guī)模的擴大及應用的增加，網(wǎng)絡脆弱性也會不斷增加。一勞永逸地解決網(wǎng)絡平安問題是不現(xiàn)實的。同時由于實施信息平安措施需要相當?shù)馁M用支出。因此分步實施，即可滿足網(wǎng)絡系統(tǒng)及信息平安的根本需求，亦可節(jié)省費用開支。

(6)多重保護原那么：任何平安措施都不是絕對平安的，都可能被攻破。但是建立一個多重保護系統(tǒng)，各層保護相互補充，當一層保護被攻破時，其它層仍可保護信息的平安。

(7)可評價性原那么：如何預先評價一個平安設(shè)計并驗證其網(wǎng)絡的平安性，這需要通過國家有關(guān)網(wǎng)絡信息平安測評認證機構(gòu)的評估來實現(xiàn)。3．2解決方案說明和拓撲圖

介于上面的原那么，以及網(wǎng)絡的實際情況和平安需求的分析，我們建議以下的平安解決方案：調(diào)整原先部署的防火墻設(shè)備；部署入侵檢測設(shè)備；部署防毒、防垃圾網(wǎng)關(guān)；IDC的應用監(jiān)測效勞；效勞器的負載均衡；平安維護制度以及應急預案。新的網(wǎng)絡拓撲圖如2所示。

3．2．1防火墻部署

現(xiàn)有系統(tǒng)已經(jīng)部署有思科防火墻，調(diào)整加固現(xiàn)有防火墻有效確保平安是首要任務。通過防火墻的過濾規(guī)那么，限制INTERNET用戶對、Emai1效勞器的訪問，將訪問權(quán)限控制在最小的限度。通過過濾規(guī)那么，對遠程更新的時間、來源(通過IP地址)進展限制。通過防火墻來開放必要的應用效勞端口，其它端口可以全部關(guān)閉，減少不必要的平安隱患；需要防火墻物理上隔離互聯(lián)網(wǎng)和內(nèi)部網(wǎng)，控制進出網(wǎng)絡的信息流；排除網(wǎng)絡上的病毒惡意掃描及蠕蟲攻擊對效勞器的影響，需要防火墻過濾惡意的信息包，保護內(nèi)部的效勞器免受感染。調(diào)整防火墻的工作模式，變透明模式為NAT模式，保護內(nèi)部的效勞器平安，以此提供第一道防線。3．2．2部署入侵檢測設(shè)備

監(jiān)控網(wǎng)絡中的信息，統(tǒng)計并記錄網(wǎng)絡中的異常主機以及異常連接；及時中斷異常連接；通過聯(lián)動機制，向防火墻發(fā)送指令，在限定的時間內(nèi)對特定的IP地址實施封堵?？紤]到與現(xiàn)有思科防火墻的兼容以及聯(lián)動，擬采用部署思科IDS．4215-K9。思科IDS4215~準確地查看和保護65Mbps流量，適用于多T1／E1和T3環(huán)境。此外，CiscoIPS4215上支持多個監(jiān)控接口，能在單一設(shè)備中提供入侵檢測和防御(IDS／IPS)效勞，從而同時保護多個子網(wǎng)。入侵檢測系統(tǒng)(IDS)是防火墻的補充解決方案，可以防止網(wǎng)絡根底設(shè)施(路由器、交換機和網(wǎng)絡帶寬)和效勞器(操作系統(tǒng)和應用層)受到拒絕效勞(DoS)襲擊。由于問題比擬復雜，先進的IDS解決方案一般都包含兩個組件：用于保護網(wǎng)絡的IDS(NIDS)和用于保護效勞器及其上運行的應用主機IDS(HIDS)?？紤]到站點復雜性，襲擊技術(shù)多種多樣，黑客數(shù)量只增不減，必須采用全面的解決方案才能有效預防黑客的襲擊。這種解決方案應該能對抗多種襲擊技術(shù)，并防止在典型襲擊過程中執(zhí)行惡意操作。

3．2．3部署防病毒防垃圾網(wǎng)關(guān)

現(xiàn)有系統(tǒng)部署有系統(tǒng)，所以要考慮部署一套防病毒防垃圾網(wǎng)關(guān)。通過分析決定采用梭子魚垃圾防火墻300，它是整合了軟硬件的較完美解決方案，提供以下防護：反垃圾；反病毒；反欺騙；反釣魚；反問諜；拒絕效勞器攻擊。

3．2．4lDC的應用監(jiān)測效勞

可以和IDC托管提供者協(xié)商要求提供7×24／小時實時主頁監(jiān)控效勞，根據(jù)URL實時監(jiān)測主頁變動情況，一有變動立即告警。同時保障所托管設(shè)備的網(wǎng)絡鏈路。

3．2．5效勞器的負載均衡

要想解決好不斷增加的對外應用響應的風險，部署效勞器的負載均衡勢在必行。負載均衡的設(shè)計如圖3所示。

考慮到用戶訪問端不會修改數(shù)據(jù)庫內(nèi)容，而只是由管理員對效勞器數(shù)據(jù)庫進展更新，所以將電子違章查詢平臺與數(shù)據(jù)庫同時部署于4臺效勞器，通過負載均衡設(shè)備將外部訪問的流量動態(tài)分配到各臺效勞器，而后臺數(shù)據(jù)庫利用數(shù)據(jù)庫同步軟件更新一臺效勞器其他同步到位，從而實現(xiàn)對外應用效勞的均衡。部署之后實現(xiàn)了負載的均衡和高可靠性，解決了原有對外應用的瓶頸和單點故障。另外部署了4臺對外的web效勞器，按照單臺效勞器250并發(fā)數(shù)的標準可以保證1000個并發(fā)數(shù)，可以保證每天86400000人次的訪問，能滿足3～5年內(nèi)不斷增加訪問需求。

3．2．6平安維護制度以及應急制度

為了使這個網(wǎng)絡平臺能夠正常工作，還必須建立相關(guān)規(guī)章制度，我們已經(jīng)建立?維護設(shè)備檔案?、?系統(tǒng)部署標準?、?設(shè)備維護標準?、?密碼設(shè)置標準?和?應急制度?。在