扬州市住房公积金业务系统网络安全现状分析及建设构想

摘要：扬州市住房公积金管理中心，担负着全市职工住房公积金管理工作重任。业务应用系统和网络平台的稳定安全运行，对全市公积金业务的正常办理显得极其重要。需要对目前业务网安全系统现况进行分析并采取措施进行整体部署，以满足相关要求，确保公积金的安全完整。下面我从中心业务系统网络安全现状、面临的威胁、建设的构想和实施方案三个方面进行深入探讨，为扬州公积金管理中心信息安全工作做一点探索。

关键词：公积金管理信息系统现状分析建设构想

1 中心信息系统安全现状分析

扬州公积金中心自建设以来，已经在安全方面做了一定工作，但远不能满足公积金中心业务网、互联网对信息安全的要求。

1.1 扬州市公积金管理中心现有网络结构拓朴图：

1.2 业务网接入安全现状分析

1.2.1 各分中心、管理部通过专线连接到市中心机房，市中心机房通过一台防火墙做边界防护，将市中心和各分中心、管理部逻辑隔离，网络安全得到了一定的保障；但是各分中心、管理部之间没有安全措施，存在安全隐患，一旦爆发蠕虫等病毒，影响甚广。

1.2.2 部分银行通过专线直接连接到市中心机房核心交换处，扩大了市中心网络的边界，可能会造成市中心网络整体安全性的破坏。

1.2.3 市中心网络缺乏异常流量监控、网络病毒防范、审计和入侵防御机制，现如今网络上存在着大量的病毒、木马和恶意攻击代码，如何来防御和监控通过网络传播的病毒、攻击，是我们这次业务网建设的重点。

1.2.4 业务终端与核心服务器仅采用逻辑隔离或没有隔离，终端上的病毒可能感染核心服务器，无法保证服务器的24×7的正常运作，服务器区域边界不明显，存在较多的安全隐患。整体防病毒体系建设尚未完成，目前终端PC机只部署了桌面级防病毒软件，但针对当前网络安全威胁混合式攻击的特征（包括蠕虫病毒、木马等），仅仅是桌面级防病毒软件已经无力进行阻断、拦截这些攻击。因公积金管理系统采用C/S架构，核心服务器是整个系统安全防范的重点，目前服务器区对于网络攻击，网络入侵没有做任何防范，一旦服务器遭到攻击，将会影响到整个公积金管理系统。

1.3 存在的问题

1.3.1 缺乏集中管理平台。集中管理平台可实时查看重要设备、主机、服务器的运行情况和系统资源情况。通过管理平台集中同时实时的了解设备，服务器的运行状态，使用情况，大大提高了运维的效率，防止由于管理人员的遗漏造成问题解决的不及时。

1.3.2 缺乏完整的安全防护体系。虽然目前已经使用了一些安全产品，但各产品之间没有联系，给管理工作带来了一定的难度，难以发挥应有的整体效果。

1.3.3 主要部位PC机、服务器日志（记录，备份，报表，审查）缺乏审计记录分析机制，定期检查系统运行状况。系统的日志是作为我们检查设备状态的一个最重要的手段，通过日志我们可以了解设备的访问状况，系统的健康状况，可以总结出设备的各种运维模式，为我们下一步的工作提供依据。

1.3.4 缺乏对网络设备运行状况的定期巡检，日志分析管理平台。网络设备的巡检可以将设备的故障率大大的降低，避免设备问题造成的网络中断，日志分析可以提供一个网络的访问模型，在出现问题时，可以快速定位故障设备及原因。

1.3.5 安全事件定位困难。在没有网络审计、入侵检测和病毒监测等网络管理工具的使用下，对发现的违规操作或感染病毒的计算机，不能快速、准确定位，不能及时阻断有害侵袭并快速查出侵袭的设备和人员。

1.3.6 随着机器数量的增多，与之相关的安全控制难题也相继产生。如何有效、便捷的管理好数目众多的PC机；如何防止非法PC接入；防止用户对PC机安装非法软件；如何检查用户有无补丁升级等，这些在目前公积金计算机网络管理中尚是一片空白。缺乏对网络终端运维的集中管理平台，集中控制所有终端（包括资产管理、非法内联、非法外联、软件分发、补丁升级等）。

2 中心信息系统面临的安全威胁

威胁是一种对系统、组织及其资产构成潜在破坏能力的可能性因素或者事件，主要有两个特点，①威胁总是针对具体的信息资产，比如公积金中心网络中的机密及敏感信息、信息网络中的网络资源、信息网络中的关键应用等；②威胁总是在利用信息资产的弱点时，才会造成风险。威胁从形式上划分为威胁来源和威胁手段，信息安全所面临的威胁来自很多方面，针对公积金中心网络，其面临的安全威胁有非人为威胁和人为的威胁。

2.1 人为的威胁来源

对于公积金中心网络的主要威胁来源包括：

外部攻击：一些个人或组织攻击网络和系统以发现在运行系统中的弱点或其它错误，从而达到自己的特定目标，这些人员可能在系统外部，也可能在系统内部，其对网络的攻击带有很强的预谋性，往往对系统的正常运行造成很大的破坏，或者造成机密信息的外泄；

内部攻击：一些怀有危害局域网络或系统想法的气愤、不满的内部员工，或者是一些技术爱好者，希望尝试一些技术，这些员工由于掌握了公积金中心业务网络的一些资源，所以攻击成功的可能性很高，并且对系统的破坏也很严重。此外内部员工的误操作行为也会给公积金中心业务网络造成威胁，误操作行为有可能导致信息网络的正常运行被中断，或者重要数据丢失，或者不慎将机密信息带出公积金中心信息网络，造成泄密。

2.2 非人为的威胁来源

非人为的安全威胁主要分为两类：一类是自然灾难，另一类为技术局限性。

自然灾难包括：地震、水灾、火灾、风灾等。自然灾难可以对网络系统造成毁灭性的破坏，其特点是：发生概率小，但后果严重。

技术局限性体现在网络技术本身的局限性、漏洞和缺陷，典型的漏洞包括：链路老化、电磁辐射、设备以外故障、自然威胁可能来自于各种自然灾害、恶劣的场地环境、电磁辐射和电磁干扰、网络设备自然老化等。这些无目的的事件，有时会直接威胁网络的安全，影响信息的存储媒体。对于公积金中心网络来讲，技术局限性还表现在系统、硬件、软件的设计上可能存在不足，配置上没有完全执行即定的安全策略等。

3 安全建设的构想和实施方案

通过对以上中心的安全现况分析和面临的安全威胁的特点，构想通过防火墙、入侵防御、安全隔离、防病毒、漏洞扫描、终端管理、WEB防护、安全管理、审计等产品的部署与实施，来实现系统所需要的安全功能，防范和抵御上述威胁。具体方案和措施如下：

3.1 公积金信息系统安全建设原则

信息系统安全建设应遵循以下原则：系统性、综合性、整体性原则；需求、风险、代价平衡的原则；一致性原则；先进性、适应性、分步实施原则；多重保护原则。

3.2 安全建设的最终目标

设想通过建设达到保护网络系统的可用性、保护系统服务的连续性、防范网络资源的非法访问及非授权访问、防范入侵者的恶意攻击与破坏、保护网络信息在存储、处理、传输等过程环节上的机密性、完整性、防范病毒的侵害的最终目标，实现网络的集中安全管理。

3.3 安全建设实施方案设计

对于中心业务网络安全建设，我设想通过划分安全区域、防火墙系统建设、入侵防御系统建设、防病毒网关系统建设、内容审计系统建设五个步骤的规划和建设来完成。

3.3.1 划分安全区域

对照《信息系统安全等级保护实施指南》，首先将业务网市中心网络划分为：核心数据区、分中心、管理部接入区、市中心终端区，按区域中不同的需求进行建设。

3.3.2 防火墙系统建设

在市中心部署一台核心防火墙，在六个分中心、管理部各分别部署一台边界防火墙，通过防火墙系统，负责审核进出网络的访问请求，确保只有合法的访问才能通过，从而为服务器系统建立安全的防御屏障，防范互联网黑客攻击和非法用户的访问。

防火墙是近年发展起来的重要安全技术，其主要作用是在网络入口点检查网络通信，根据用户设定的安全规则，在保护内部网络安全的前提下，提供内外网络通信。防火墙属于一种被动的安全防御工具。设立防火墙的目的就是保护一个网络不受来自另一个网络的攻击

3.3.3 网络入侵防御系统建设

位于在市中心业务网出口处部署一套网络入侵防御系统，通过设置检测与阻断策略对流经入侵防御系统的网络流量进行分析过滤，并对异常及可疑流量进行积极阻断，同时向管理员通报攻击信息，从而提供对网络系统内部IT资源的安全保护。

入侵防御系统是在线部署在网络中，提供主动的、实时的防护，具备对2到7层网络的线速、深度检测能力，同时配合以精心研究、及时更新的攻击特征库，即可以有效检测并实时阻断隐藏在海量网络中的恶意代码、攻击与滥用行为，也可以对分布在网络中的各种流量进行有效管理，从而达到对网络架构防护、网络性能保护和核心应用防护。

入侵防御系统可以提供网络架构防护、网络性能保护、核心应用防护，通过使用入侵防御系统可提供最强大且最完整的保护以防御各种形式的网络攻击行为，如：蠕虫、拒绝服务攻击、恶意代码以及非法的入侵和访问，为企业网络提供“虚拟补丁”的保护作用。

3.3.4 防病毒网关系统建设

位于在市中心的核心服务器前部署专门的病毒过滤网关系统，串接在防火墙和入侵防御系统IPS之间。一方面可以适当减少需要过滤网关处理的数据量，另一方面也可以保护过滤网关系统自身不受外界的恶意攻击。实时检查进入内部网络的数据流，当网关检测到病毒时，它会自动根据相应的策略来处理病毒和染毒文件，保护内部网络中的服务器和工作站设备，同时对用户是完全透明的。部署后可防止来自业务网的病毒和恶意代码进入服务器系统，同时也防止业务网病毒传播扩散占用业务网出口带宽。另外防病毒网关需要内置硬件BYPASS功能，当设备出现软件、硬件及电源故障时快速、自动切换到直通状态，保障网络可用性。

随着业务应用和数据交换越来越依赖于网络，病毒的危害也越来越普遍。为了保护公积金管理系统免受来自内网上的病毒、蠕虫、木马及其他恶意代码的侵害，部署防病毒网关系统，可通过其实时在线的病毒检测和过滤机制，对进出市公积金中心网的各种可能携带病毒和恶意代码的网络数据流进行实时检测，确保只有干净的数据才能进入，同时也防止网络病毒传播扩散影响业务网出口带宽使用。

3.3.5 内容审计系统建设

在业务网核心服务器前串联部署一套内容审及系统,对访问核心服务器的数据进行监控、记录和审计，确保所有对服务器的访问都被真实、客观的记录，便于日后对网络事件的查询和取证。

内容审计系统能够有效的协助管理网络，从网络接入控制、权限控制到细致的应用与协议管理，以及更加深入的内容管理，该产品都显示出了应有的专业性。加强了业务网使用管理，控制非法接入，提高网络安全性。

4 结束语

以上建设方案与中心业务和设备状况紧密贴合，实施以后可以完全满足中心5年的信息化发展。通过多层防护措施构成的整体安全防护体系部署后，可以消除网络安全隐患，解决非法入侵、非法访问等网络安全问题，大大降低网络安全事件发生的概率。使安全防护措施完全达到信息安全二级标准（GB/T22239-2008），为扬州公积金事业的大发展奠定了坚实的安全基础。

推荐访问:扬州市 网络安全 构想 住房公积金 现状分析