湖南煙草信息系統安全現狀和建設總體目標研究

周趙宏

摘 要： 在湖南省煙草行業計算機網絡與信息系統的基礎上，全省煙草各級單位已經開展了一系列的網絡應用業務系統，但全省整個煙草行業網絡安全體系非常薄弱，基本上沒有建立完善的安全防范體系，因此安全問題非常突出。文章根據對湖南煙草信息系統安全現狀進行分析，研究出湖南煙草信息系統安全建設總體目標。

關鍵詞：湖南煙草；信息系統；安全；總體目標

經過多年的信息化工作，目前湖南省煙草行業已經建立起全省的計算機網絡信息系統。全省信息網絡系統建設包括各市級分公司局域網和省域網建設。局域網建設方面，全省包括省局（公司）機關、白沙物流中心、市級分公司、縣公司都已完成了局域網建設，省域網絡的建設也規劃完畢開始實施。省公司辦公區域白沙物流中心機房通過千兆裸光纖相連，白沙物流以及各個市級分公司通過專線連入電信MSTP專網。省公司、白沙物流中心機房和14個市級分公司都有Internet接口，并且可以通過10M VPN相連接作為備份鏈路。市級分公司與其下屬的縣級分公司之間通過電信MSTP專網相連接，同時還有一條2M的ADSL備份線路。省公司及14個市級分公司分別購買了2臺IBM小型機，是全省煙草信息系統的核心設備。

一、 湖南煙草信息系統安全現狀

目前，在進行安全系統建設初期，全省整個煙草行業網絡安全體系非常薄弱，基本上沒有建立完善的安全防范體系，因此安全問題非常突出?？傮w情況來看，各個市級分公司僅僅有防火墻，無其他的安全防護設施。省公司和各個分公司在信息安全方面均各自為政，沒有采取統一的有效的安全策略和防護措施。還有，雖然省公司、部分分公司采用了病毒防殺軟件，但是沒有覆蓋全網的網絡防毒系統，缺乏統一的管理和控制，因此病毒問題顯得尤其突出。下面列出了已有的安全設施和措施：

（一） 物理與鏈路層安全設施

在湖南煙草信息系統系統建設中，現有的物理與鏈路層安全設施如下：

1、物理安全方面：

通過對省中心機房和各個市級分公司機房的改造，增加了包括門禁、錄像監控等等安全設備。另外加強了多種安全防護措施，包括：防火、防水、防靜電、電源安全等等新的設備，使全省網絡的物理安全性基本滿足了現階段的需求。

2、數據傳輸鏈路安全方面：

目前的信息系統建設過程中，采用了Cisco PIX防火墻建立VPN鏈路，而且在網絡主干路上采用MPLS VPN技術，使得：信息在傳輸過程中保持保密性、完整性、可靠性，防篡改，采用IPSEC加密技術和產品，對敏感數據的傳輸進行加密，同時對傳輸雙方的身份加以鑒別，從而達到安全保密性以及完整性的要求。

省域網（MSTP）的鏈路為主鏈路，通過Internet的VPN鏈路為備份鏈路，在主鏈路發生故障的情況下，及時采用備份鏈路，最大程度的保障網絡的可用性，保證相關信息的傳輸不受到人為、物理的其它因素的影響。

結合湖南煙草的實際情況來看，從物理與數據傳輸鏈路層的安全設施可以看出，當前信息系統的建設主要側重于保障網絡系統的可用性，在此基礎上綜合考慮完整性以及保密性的要求。在今后的安全系統建設中，也要遵循這個原則。

（二）網絡層安全設施

在湖南煙草網絡平臺現有的體系中，網絡層的安全設施主要包括以下內容：

優化整個網絡的安全

骨干網絡采用MPLS VPN技術，不同地市的不同業務網絡，統一地市的不同業務網絡，不同地市的統一業務網絡抖邏輯隔離。不同的業務網絡可以獨立管理QOS。省中心和各個市級節點可以相互訪問，但是市級節點不可以相互之間訪問。

防火墻

防火墻是用于隔離信任網絡與不信任網絡的有效工具，在省公司、白沙物流信息中心、各個市級分公司網絡的Internet出口處部署PIX防火墻，可以隔離內外網，設置NAT等等安全策略，不僅僅節省了公網IP地址，而且隱藏了內網的網絡結構，屏蔽了大多數的網絡攻擊，免收外來侵擾。

VPN

通過PIX防火墻通過Internet建立VPN鏈路，實現分公司與省公司之間通過Internet進行備份數據傳輸通道以及移動用戶撥入省公司內網的安全加密措施。

網絡安全監管與故障處理

目前已經采購了多種網絡管理軟件，包括CiscoWorks管理軟件（設備管理模塊、VPN管理模塊、無線網絡管理模塊），可以管理所有的Cisco設備。ACS安全認證管理軟件，用于建立和管理全網的身份認證系統。Sniffer軟件，用于監控網絡流量，發現、分析、排除各種網絡故障。還有IBM的Tivoli Enterprise Console管理管理軟件，帶有Tivoli Netview模塊，可以檢查并長期監控多種網絡設施的運行狀態。

通過這些工具建立網絡管理系統，實現對全網關鍵網絡設備的運行狀態、鏈路的情況進行實時監控與管理，及時發現網絡故障情況，并采取相應的響應報警機制，馬上通知管理人員進行處理，盡量保障網絡的可用性。

（三）系統層安全設施

在湖南煙草網絡平臺現有的體系中，網絡層的安全設施主要包括以下內容：

主機安全監管

通過IBM 的管理軟件Tivoli Monitor，對關鍵主機和服務器系統的運行狀態、資源的使用情況、安全日志等進行監管，及時發現系統的異常行為和故障，保障主機與業務系統的可用性。

系統冗余和備份

通過對關鍵的主機應用系統建立相應的系統冗余與備份措施--服務器雙機熱備等措施，最大程度保障主機系統的可用性，最大程度的保障煙草業務的連續性。

（四） 應用層安全設施

在湖南煙草安全系統建設過程中，應用層的安全已經包括：

建立了全省數據備份中心，所有的省、市各級公司的業務數據每日備份到了省數據備份中心，有效地建立數據的本地在線備份以及異地遠程備份的機制，確保數據在意外情況下的及時恢復，建立災難和應急相應機制。

通過Tivoli Monitoring for Database實時監控數據庫以及應用系統的關鍵性操作，并且對意外事件提供反應措施，從而進一步增加對網絡及信息資源的可控性；

通過Tivoli Monitoring for Web Infrastructure，對關鍵應用和業務系統的運行狀態進行監管，及時發現并排除應用故障問題，保障業務的連續性。

目前湖南煙草的信息安全管理的技術平臺和管理制度，都已經具備了簡單的雛形，但是還不能滿足現有的網絡安全需求和今后的進一步發展，還有待于進一步的加強。雖然湖南省煙草信息安全系統的建設已經開始起步，也具備了一定的安全防護能力，但是整體的安全防護還有很多的需求沒有得到滿足，尤其是網絡層的防護，還有很多的安全設施沒有到位，遠遠沒有達到國家煙草總局在《煙草行業計算機網絡和信息安全技術與管理規范》所提出的"縱深防御體系"和"動態防護"的要求。

二、 湖南煙草信息安全建設總體目標

針對湖南煙草的現狀以及安全需求分析，提出在湖南煙草信息安全系統建設的總體目標描述如下：

基于安全基礎設施、以安全策略為指導，通過統一的安全管理平臺，提供全面的安全服務內容，覆蓋從物理通信到網絡、系統平臺直至數據和應用平臺的各個層面的安全需求，構建全面、完整、可靠、高效的省行業信息安全體系構架。從而在煙草行業信息化整體發展的基礎上，極大地提高湖南省煙草行業的整體安全等級，為保障煙草行業的健康發展提供堅實的信息安全保障體系。

可以分解為以下四個具體目標：

網絡和系統實體的可用性以及抗攻擊性；

信息的安全性、保密性和可靠性；

系統安全的可管理性；

整體系統運行狀態的可控性；

安全需求是建立良好的安全體系的前提條件，我們從湖南煙草行業網絡系統得實際情況出發，根據對用戶網絡系統脆弱性以及安全威脅的風險評估，結合湖南煙草安全系統的總體建設目標，我們把整體的安全需求根據不同的側重點，從信息安全管理體系、物理與鏈路層安全、網絡層安全、系統層安全、應用層安全等五個方面進行充分的考慮。安全需求涵蓋了整個信息系統的每個層次，具有一定的縱深性和涵蓋面，其中安全管理部分我們認為是非中重要的一項，因為完善的安全防御體系是以各類安全技術的應用加以安全管理貫穿于始終，才能實現安全系統的良好運作發揮其性能。信息安全保障體系各層次的安全需求目標具體描述如下：

（一）物理與鏈路層安全需求目標分析

在湖南煙草安全系統建設中，物理與鏈路層安全需求闡述如下：

考慮到大量內部的數據跨過廣域網（如Internet、電信省域網等）進行傳輸，可能被它人竊聽和破壞，因此對數據的傳輸的安全具有以下需求：

信息在傳輸過程中保持保密性、完整性、可靠性，防篡改，擬采用相關加密技術和產品，對敏感數據的傳輸進行加密，同時對傳輸雙方的身份加以鑒別，從而達到安全保密性以及完整性的要求。

關鍵信息傳輸的鏈路必須通過備份鏈路等方式，保證相關信息的傳輸不受到人為、物理的其它因素的影響。

對系統中的關鍵應用以及關鍵的網絡連接建立相應的安全機制，如建立備份通道，以便在主通道發生故障的情況，及時采用備份通道，最大程度的保障網絡的可用性。

（二） 網絡層安全需求目標分析

網絡層是網絡入侵者進攻信息系統的渠道和通路，因此許多安全問題都集中體現在網絡的安全方面。在湖南煙草網絡平臺安全體系中，安全需求主要包括以下內容：

網絡安全優化

主要是對系統中不同網段的、不同功能要求以及不同的安全等級的區域的劃分，同時根據不同的安全級別，針對性的制定各區域之間的訪問控制規則。主要是對現有的網絡設備加強安全策略配置如訪問控制列表，進行嚴格的訪問控制，并對核心網絡設備進行相應的安全設置。

防火墻

防火墻是網絡層安全領域最成熟、使用最廣泛的技術，用于隔離信任網絡與不信任網絡的有效工具。需要在全省各網絡中部署防火墻隔離內外網，設置各級安全屏蔽，將全網在網絡上分割為相對獨立的子網，免收外來襲擊。

網絡入侵防護與相應的安全審計系統

建立全網網絡入侵防護檢測與相應的安全審計系統，及時監測、攔截并記錄來自外部和網絡其它部分的黑客入侵行為，拒絕服務攻擊，違規操作等，并能對相關入侵行為進行多個日志系統的關聯分析，排除虛假的報警信息、過濾掉低風險事件，得到最準確的關鍵安全事件信息。

VPN

建立VPN鏈路，實現分公司與省公司之間通過Internet進行備份數據傳輸通道以及移動用戶撥入省公司內網的安全加密措施。

（三）系統層安全需求目標分析

主機服務器系統是整個應用業務的基礎平臺設施，因此其安全性會影響到整個應用業務系統能否正常的運營。在湖南煙草安全系統中，系統平臺的安全建設主要有：

主機系統漏洞掃描與加固

采用安全掃描技術，對煙草系統中關鍵的主機和服務器進行定期漏洞掃描與評估，針對相關的系統漏洞，自動提出修補的措施，并定期進行相關操作系統的裁剪、修補和加固的工作。

操作系統安全

通過使用主機訪問控制等技術措施及手段，對系統中的主機與服務器系統嚴格劃分、管理、控制用戶的權限和行為，增強操作系統的健壯性以及安全性，使操作系統達到更高層次的安全級別。

網絡病毒防殺系統

建立全網的病毒檢測與防范系統，及時檢測和控制各種文件、宏和其它網絡病毒的傳播和破壞，具有集中統一的管理界面，系統具有自動升級，自動數據更新，可管理性等特性。

主機安全監管

通過網絡安全綜合管理，對關鍵主機和服務器系統的運行狀態、資源的使用情況、安全日志等進行監管，及時發現系統的異常行為和故障，保障主機與業務系統的可用性。

（四） 應用層安全需求目標分析

應用平臺安全是系統最終保障的目標，數據的保密性、高可靠性和防篡改等特性，以及應用系統對于系統功能和相關數據的嚴格控制，將成為整個應用和數據安全體系的主要需求。在湖南煙草安全系統建設過程中，應用安全需求具體包括：

建立PKI/CA體系，為應用安全提供認證、加密、數字簽名、數據完整性等功能和服務。

有效地建立信息資源的標記、加密存儲和保管機制?？紤]應用層對傳輸數據進行加密。

建立全省數據備份中心，有效地建立數據的本地在線備份以及異地遠程備份的機制，確保數據在意外情況下的及時恢復，建立災難和應急相應機制。

實時監控數據庫以及應用系統的關鍵性操作，并且對意外事件提供反應措施，從而進一步增加對網絡及信息資源的可控性；

通過網絡安全綜合管理系統，對關鍵應用和業務系統的運行狀態進行監管，及時發現并排除應用故障問題，保障業務的連續性。

從上述湖南煙草安全系統的建設需求分析中可以看出，整個系統的建需要包含從安全管理體系、物理與鏈路安全、網絡安全、系統安全以及應用安全等五個方面的要求，結合了從管理到技術的各個層次。根據湖南煙草計算機網絡系統的實際情況，現階段的建設重點是解決網絡安全和網絡的高可用性，解決網絡系統在信道傳輸、訪問控制、運行保障以及與外界的網絡的互連接口等方面的安全問題。最終按照國家煙草總局的相應安全規范，建設一個集策略、防護、檢測、反應為一體的，基于國際先進的P2DR（策略/Police，防護/Protection，檢測/Detection，反應/Response）模型的、動態適應的計算機網絡安全防護體系。

參考文獻：

[1] 李紅等.管理信息系統開發與應用[M].電子工業出版社出版社.2003年：8頁

[2]郭漢軍.吳健強 .學生管理信息系統的開發[J] .新疆大學學報（自然科學版）.2006年

[3]郭長安，王琪.基于B/S模式的學生信息管理系統設計與實現.計算機工程與設計，2006年7月