基于新一代信息安全標(biāo)準(zhǔn)下的業(yè)務(wù)系統(tǒng)風(fēng)險分析及應(yīng)對方法

黃淼婉，殷軼娜，劉麗雙，劉靜聞，王秀木

（遼寧省地震局，遼寧 沈陽 110034）

0 引言

隨著時代的發(fā)展，人們越來越依賴互聯(lián)網(wǎng)，智慧城市、物聯(lián)網(wǎng)、大數(shù)據(jù)、云計算、移動互聯(lián)網(wǎng)、互聯(lián)網(wǎng)+、區(qū)塊鏈、人工智能、工業(yè)互聯(lián)網(wǎng)等，各種高科技產(chǎn)品也如雨后春筍般涌現(xiàn)[1]。系統(tǒng)原有的安全防護(hù)已經(jīng)不能滿足現(xiàn)今的網(wǎng)絡(luò)環(huán)境，遇到網(wǎng)絡(luò)攻擊被破解的幾率逐年增高，為此更新業(yè)務(wù)系統(tǒng)安全防護(hù)體系需要考慮到新出現(xiàn)的技術(shù)及攻擊手段。本文根據(jù)最新的信息安全標(biāo)準(zhǔn)[2]，對業(yè)務(wù)系統(tǒng)進(jìn)行了一次全面的信息安全測評，分析系統(tǒng)出現(xiàn)的風(fēng)險并提出了具體的修復(fù)建議[3]。

1 業(yè)務(wù)系統(tǒng)介紹

為了可以真實(shí)的測試安全漏洞，搭建了一個模擬真實(shí)場景的業(yè)務(wù)平臺。該業(yè)務(wù)平臺按照邏輯分區(qū)可分為：外聯(lián)邊界區(qū)、核心區(qū)、視頻會議接入?yún)^(qū)、服務(wù)器區(qū)和辦公接入?yún)^(qū)。如圖1所示，為該業(yè)務(wù)的簡略拓?fù)鋱D。

圖1 業(yè)務(wù)拓?fù)鋱DFig.1 Business Topology

外聯(lián)邊界區(qū)通過外聯(lián)邊界路由器連接到了互聯(lián)網(wǎng)，并部署了防火墻實(shí)現(xiàn)區(qū)域間的訪問控制。核心區(qū)部署了2 臺核心交換機(jī)連接系統(tǒng)服務(wù)器區(qū)，采用IRF 技術(shù)實(shí)現(xiàn)冗余，通過路由協(xié)議實(shí)現(xiàn)數(shù)據(jù)交換。在服務(wù)器區(qū)中，系統(tǒng)內(nèi)部分服務(wù)器采用虛擬化方式部署，系統(tǒng)采用華為FusionComputer 虛擬化技術(shù)實(shí)現(xiàn)服務(wù)器和業(yè)務(wù)終端的虛擬化。視頻會議接入?yún)^(qū)中，小魚視頻會議平臺管理端對視頻會議流量進(jìn)行監(jiān)測和管控。

2 物理層面風(fēng)險分析

業(yè)務(wù)平臺的所有服務(wù)器、交換機(jī)、路由器都布置在機(jī)房，物理安全是整個業(yè)務(wù)平臺安全正常運(yùn)行的前提。物理層面的風(fēng)險主要來源于場地安全、物理訪問控制、設(shè)備安全、供電保障等幾個方面[4-5]。

（1）場地安全：檢查機(jī)房是否防火、防雷擊、防震、防潮、防風(fēng)、防雨?？梢酝ㄟ^安裝自動氣體滅火系統(tǒng)、使用耐火的材料裝修機(jī)房、測試機(jī)房防震能力、對機(jī)房窗戶/屋頂/墻壁采用防水或防潮（如使用密封膠條封死窗戶等）措施進(jìn)行防護(hù)。

（2）設(shè)備安全：設(shè)備可能因靜電累計得不到釋放造成損壞，機(jī)房所有機(jī)柜和設(shè)備采用接地防靜電措施。也可能因?yàn)殡娫淳€和通信設(shè)備相互干擾，從而導(dǎo)致系統(tǒng)運(yùn)行故障，有條件的機(jī)房可以用強(qiáng)電和弱電隔離進(jìn)行鋪設(shè)。

（3）物理訪問控制：機(jī)房出入口可以安裝電子門禁系統(tǒng)，或者安排專人進(jìn)行值守，控制、鑒別以及記錄進(jìn)入的人員信息，并且建議根據(jù)應(yīng)用需求最小化原則設(shè)置允許進(jìn)入人員名單。對于機(jī)房來訪人員，必須有一套正規(guī)的申請流程，得到領(lǐng)導(dǎo)審批同意后，管理人員需要備案詳細(xì)的訪問記錄及訪問過程，防止出現(xiàn)問題找不到根源。

（4）供電保障：安裝UPS 及發(fā)電機(jī)，所有重要設(shè)備采取雙電路模式，一條連接市電，另外一條連接UPS 及發(fā)電機(jī)。

（5）環(huán)境監(jiān)控：機(jī)房安裝防盜報警系統(tǒng)或者安裝視頻監(jiān)控系統(tǒng)并配備專人24 小時值守，安裝空調(diào)及防水報警系統(tǒng)，保證機(jī)房溫濕度一直在正常范圍內(nèi)。

3 通信網(wǎng)絡(luò)層面風(fēng)險分析

物理層面固然重要，但一個安全的通信網(wǎng)絡(luò)環(huán)境也必不可少?，F(xiàn)在科技日新月異，攻擊手段也層出不窮，下面介紹幾種典型攻擊手段及其應(yīng)對方法。

3.1 網(wǎng)絡(luò)攻擊

受到外部的網(wǎng)絡(luò)攻擊，可以通過設(shè)置防火墻的訪問控制、為系統(tǒng)網(wǎng)絡(luò)分配不同的地址來防護(hù)。

（1）為防火墻設(shè)置訪問控制策略，建議根據(jù)系統(tǒng)應(yīng)用需求最小化原則設(shè)置。系統(tǒng)的邊界區(qū)域尤為重要，如果是在邊界區(qū)設(shè)置訪問策略，顆粒度應(yīng)達(dá)到端口級。倘若系統(tǒng)的防火墻存在全通策略，將無法對網(wǎng)絡(luò)訪問進(jìn)行控制，容易造成網(wǎng)絡(luò)攻擊、惡意代碼傳播（如：服務(wù)器感染病毒被反向連接）等風(fēng)險。一般防火墻就可以配置訪問控制，方法比較簡單。

（2）按照方便管理的原則為網(wǎng)絡(luò)區(qū)域分配地址。如若系統(tǒng)內(nèi)網(wǎng)絡(luò)區(qū)域未分配地址，那么遭受惡意代碼或者網(wǎng)絡(luò)攻擊的時候就極易造成風(fēng)險擴(kuò)散，使網(wǎng)絡(luò)攻擊、惡意代碼的傳播及開展變得非常容易。

為網(wǎng)絡(luò)區(qū)域劃分地址，我們可以通過劃分VLAN 的方法達(dá)到這個目的。劃分VLAN 有三種方式，分別是端口劃分VLAN，MAC 劃分VLAN，IP 地址劃分VLAN，比較常用的就是按照IP 地址劃分。劃分VLAN 之前需要了解一下端口類型，端口一共有三種類型：Access、Trunk 及Hybrid。Access 比較死板，規(guī)定一個端口只能屬于一個VLAN，經(jīng)常用于連接主機(jī)設(shè)備。Trunk 規(guī)定一個端口可以屬于多個VLAN，經(jīng)常用在交換機(jī)與交換機(jī)之間。Hybrid 與Trunk 類似，它們接收數(shù)據(jù)的時候是一樣的，發(fā)送數(shù)據(jù)的時候Hybrid 可以允許多個VLAN 報文不打標(biāo)簽，而Trunk 只允許缺省VLAN 的報文不打標(biāo)簽。

下面就以服務(wù)器匯聚交換機(jī)為例劃分一下VLAN。該交換機(jī)為華為交換機(jī)，上聯(lián)核心交換機(jī)，下聯(lián)服務(wù)器交換機(jī)及虛擬化交換機(jī)。首先，在交換機(jī)上創(chuàng)建VLAN，并且把交換機(jī)的上聯(lián)接口設(shè)置成Hybrid 類型，使用port hybrid tagged/untagged 語句把VLAN 加入到該端口中。之后配置下聯(lián)接口信息，使用trunk allow-pass語句把VLAN 加入到接口中。接著使用ipsubnet-vlan enable 語句在上聯(lián)接口中激活基于IP 子網(wǎng)劃分VLAN 的功能，并用vlan precedence ip-subnet-vlan 設(shè)置優(yōu)先使用IP 劃分VLAN 功能。最后用ip-subnet-vlan+優(yōu)先級+ip+ip 地址配置VLAN 與之關(guān)聯(lián)的IP 地址段。優(yōu)先級數(shù)字越大，優(yōu)先級越高。

3.2 身份鑒別

為了減少用戶名、密碼流出或者被破解的幾率，可以增加密碼復(fù)雜度或者設(shè)置登錄失敗處理等功能。

（1）網(wǎng)絡(luò)設(shè)備、安全設(shè)備、服務(wù)器、應(yīng)用系統(tǒng)、控制臺、終端、數(shù)據(jù)庫等重要設(shè)備及服務(wù)建議配置口令策略。如網(wǎng)絡(luò)設(shè)備為本地Console 管理，需要配備身份鑒別機(jī)制防止口令被惡意用戶獲得，合法用戶身份被仿冒。

以配置辦公匯聚交換機(jī)為例，該交換機(jī)為華為交換機(jī)。華為交換機(jī)用local-user 語句創(chuàng)建用戶的時候，默認(rèn)設(shè)置了口令策略（密碼長度最小為8，大寫字母、小寫字母、數(shù)字和特殊字符中至少兩種，且不能與用戶名或用戶名的倒寫相同）。

建立用戶的時候還可以設(shè)置域名、用戶建立連接數(shù)目（access-limit，最小數(shù)字為1）、閑置超時時間（idle-timeout，可以具體到分、秒）、用戶等級（privilege level，取值范圍為0-15）、用戶狀態(tài)（state，激活狀態(tài)為active，未激活狀態(tài)為block）等。

（2）設(shè)置用戶登錄失敗功能，限制非法登錄次數(shù)、鎖定時間功能，防止身份被濫用等危險。wrong-password 可以設(shè)置本地帳號在輸入錯誤密碼下的被鎖定功能，retry-interval 設(shè)置輸入錯誤密碼重試時間（單位：分鐘），retrytime 設(shè)置允許輸入錯誤密碼次數(shù)，block-time設(shè)置連續(xù)輸入密碼次數(shù)達(dá)到限制次數(shù)后，用戶被鎖定的時間（單位：分鐘，最短為5 分鐘）。

（3）安全設(shè)備、應(yīng)用系統(tǒng)應(yīng)添加SSL 數(shù)字證書，使用加密的HTTPS 協(xié)議進(jìn)行數(shù)據(jù)通信。HTTPS 協(xié)議可以防止重要數(shù)據(jù)在網(wǎng)絡(luò)傳輸過程中被竊聽，防止應(yīng)用系統(tǒng)賬號、口令等重要數(shù)據(jù)被嗅探并盜用。使用secure-server ssl-policy http_server 語句可以為HTTP 服務(wù)器配置SSL策略，secure-server enable 語句可以開啟HTTPS服務(wù)。

3.3 訪問控制

安全設(shè)備、網(wǎng)絡(luò)設(shè)備可以根據(jù)用戶的實(shí)際情況分配權(quán)限，禁用或限制默認(rèn)賬號的訪問權(quán)限。未限制默認(rèn)賬號的訪問權(quán)限，會增加用戶濫用權(quán)限從而導(dǎo)致系統(tǒng)故障的風(fēng)險[6]。賬號權(quán)限在建立賬號的時候就可以設(shè)置，或者之后用local-user privilege level+級別也可以配置用戶權(quán)限。一般缺省情況下，命令級別分為4 個等級（0-3 級）。如果需要更多級別，可以使用command-privilege level 語句，調(diào)整之后的命令級別擴(kuò)展到0～15 級。倘若想要批量調(diào)整級別，可以使用command-privilege level rearrange 語句。

3.4 入侵防范

如果想要防范網(wǎng)絡(luò)入侵，可以通過限制終端地址、修復(fù)漏洞、及時卸載多余組件等方法來進(jìn)行防護(hù)。

（1）對管理終端地址進(jìn)行限制，僅允許特定的地址訪問，防止惡意用戶使用任意終端登錄，嘗試非授權(quán)訪問數(shù)據(jù)庫。可以通過配置VLAN 實(shí)現(xiàn)對管理終端地址的限制。

（2）為避免多余組件服務(wù)可能存在的安全漏洞，或影響數(shù)據(jù)庫性能造成業(yè)務(wù)中斷，建議管理員經(jīng)常查看服務(wù)器、網(wǎng)絡(luò)設(shè)備、數(shù)據(jù)庫等，及時發(fā)現(xiàn)并卸載多余組件/服務(wù)。

3.5 惡意代碼防范

部署主機(jī)防病毒軟件，采用主動免疫可信驗(yàn)證機(jī)制，并通過病毒監(jiān)控中心對服務(wù)器病毒感染情況進(jìn)行監(jiān)控，定期更新防病毒軟件特征庫，降低主機(jī)感染病毒/木馬的風(fēng)險。統(tǒng)一的病毒監(jiān)控機(jī)制將有利于管理員掌握系統(tǒng)內(nèi)各主機(jī)操作系統(tǒng)的病毒防護(hù)現(xiàn)狀，在病毒暴發(fā)時迅速采取及時的應(yīng)對措施。

3.6 外包軟件

對于外包的軟件，建議在系統(tǒng)正式上線之前，對軟件源代碼進(jìn)行一下測試，防止代碼中可能存在的惡意代碼或者bug。測試人員盡量不要選擇開發(fā)單位的人員，可以通過第三方的檢查工具或人工進(jìn)行審查并保留相關(guān)檢查報告。

4 結(jié)語

現(xiàn)在社會上幾乎所有的行業(yè)都涉及到了信息化，且隨著科技的發(fā)展以及人們迫切的需要，信息化的程度也越來越高。高度信息化的同時，網(wǎng)絡(luò)安全風(fēng)險也越來越高，安全防護(hù)能力也需要不斷地提高才能保障業(yè)務(wù)系統(tǒng)的安全。本文主要根據(jù)信息安全標(biāo)準(zhǔn)，全面的對系統(tǒng)平臺的安全風(fēng)險進(jìn)行了分析，并針對部分風(fēng)險提出了整改建議。