摘要：近年來(lái)，隨著水利科研院各自的云計(jì)算中心相繼建立，云計(jì)算與以往的計(jì)算模式安全風(fēng)險(xiǎn)差異很大，面臨的風(fēng)險(xiǎn)也更大，因?yàn)橐酝南到y(tǒng)多數(shù)為集中式管理范圍較小，安全管理和設(shè)備資源是可控的，而云計(jì)算是分布式管理，是一個(gè)動(dòng)態(tài)變化的計(jì)算環(huán)境，這種環(huán)境在某種意義上是無(wú)序的，這種虛擬動(dòng)態(tài)的運(yùn)行環(huán)境更不可控，傳統(tǒng)的安全邊界消失。同時(shí)，云計(jì)算在認(rèn)證、授權(quán)、訪問(wèn)控制和數(shù)據(jù)保密這些方面這對(duì)于信息網(wǎng)絡(luò)安全也提出了更高的要求。由云安全聯(lián)盟和惠普公司列出了云計(jì)算面臨的7宗罪(風(fēng)險(xiǎn))，說(shuō)明云安全的狀況變化非常快，現(xiàn)有的技術(shù)和管理體系并不完全適應(yīng)于云計(jì)算的模式，如何結(jié)合自身特點(diǎn)制定出適合云計(jì)算的等級(jí)保護(hù)體系架構(gòu)是今后研究的方向。

　　關(guān)鍵詞：水利科研,信息科技,工程計(jì)劃

　　嚴(yán)格按照國(guó)家制定的等級(jí)保護(hù)測(cè)評(píng)相關(guān)標(biāo)準(zhǔn)規(guī)劃設(shè)計(jì)信息網(wǎng)絡(luò)，加快水利科研院所信息系統(tǒng)安全級(jí)別的定級(jí)及開展相關(guān)測(cè)評(píng)工作對(duì)加快水利信息化安全建設(shè)步伐，保障水利科研院所信息系統(tǒng)平穩(wěn)安全運(yùn)行起到至關(guān)重要的作用。

　　水利科研院所信息系統(tǒng)結(jié)構(gòu)相對(duì)簡(jiǎn)單，在管理制度上基本建立了機(jī)房管控制度、人員安全管理制度等，技術(shù)上也都基本達(dá)到了一級(jí)防護(hù)的要求。下面以某水利科研單位為例分析。某水利科研單位主機(jī)房選址為大樓低層(3層以下)，且不臨街。機(jī)房大門為門禁電磁防盜門，機(jī)房?jī)?nèi)安裝多部監(jiān)控探頭。機(jī)房?jī)?nèi)部劃分為多個(gè)獨(dú)立功能區(qū)，每個(gè)功能區(qū)均安裝門禁隔離。機(jī)房鋪設(shè)防靜電地板，且已與大樓防雷接地連接。機(jī)房?jī)?nèi)按照面積匹配自動(dòng)氣體消防，能夠?qū)馂?zāi)發(fā)生進(jìn)行自動(dòng)報(bào)警，人工干預(yù)滅火。機(jī)房?jī)?nèi)已安裝溫度濕度監(jiān)控探頭，對(duì)機(jī)房?jī)?nèi)溫濕度自動(dòng)監(jiān)控并具有報(bào)警功能，機(jī)房配備較大功率UPS電源，能夠保障關(guān)鍵業(yè)務(wù)系統(tǒng)在斷電后2小時(shí)正常工作。機(jī)房采用通信線路上走線，動(dòng)力電路下走線方式。以上物理?xiàng)l件均滿足二級(jí)要求。網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)分為外聯(lián)區(qū)、對(duì)外服務(wù)區(qū)、業(yè)務(wù)處理區(qū)和接入?yún)^(qū)4大板塊，對(duì)外服務(wù)區(qū)部署有VPN網(wǎng)關(guān)，外部人員可通過(guò)VPN網(wǎng)關(guān)進(jìn)入加密SSL通道訪問(wèn)業(yè)務(wù)處理區(qū)，接入?yún)^(qū)用戶通過(guò)認(rèn)證網(wǎng)關(guān)訪問(wèn)互聯(lián)網(wǎng)。整個(gè)網(wǎng)絡(luò)系統(tǒng)未部署入侵檢測(cè)(IDS)系統(tǒng)、非法外聯(lián)檢測(cè)系統(tǒng)、網(wǎng)絡(luò)安全審計(jì)系統(tǒng)以及流量控制系統(tǒng)。由上述拓?fù)浣Y(jié)構(gòu)可以看出，現(xiàn)有的安全防護(hù)手段可基本保障信息網(wǎng)絡(luò)系統(tǒng)的安全，但按照二級(jí)要求，系統(tǒng)內(nèi)缺少IDS系統(tǒng)、網(wǎng)絡(luò)安全審計(jì)系統(tǒng)和非法外聯(lián)檢測(cè)系統(tǒng)，且沒(méi)有獨(dú)立的數(shù)據(jù)備份區(qū)域，給整個(gè)信息網(wǎng)安全帶來(lái)一定的隱患。新的網(wǎng)絡(luò)系統(tǒng)在外聯(lián)區(qū)邊界防火墻下接入了入侵檢測(cè)系統(tǒng)(IDS)，新規(guī)劃了獨(dú)立的數(shù)據(jù)備份區(qū)域，在核心交換機(jī)上部署了網(wǎng)絡(luò)審計(jì)系統(tǒng)，并在接入?yún)^(qū)安裝了非法外聯(lián)檢測(cè)系統(tǒng)。形成了較為完整的信息網(wǎng)絡(luò)安全防護(hù)體系。

　　主機(jī)安全的測(cè)評(píng)主要對(duì)操作系統(tǒng)、數(shù)據(jù)庫(kù)系統(tǒng)展開測(cè)評(píng)。通常水利科研院所服務(wù)器種類繁多，從最多見的機(jī)架式服務(wù)器到曙光一類的大型并行服務(wù)器均有部署，同時(shí)操作系統(tǒng)有window系列、Linux、Unix、Solaris等多種操作系統(tǒng)，數(shù)據(jù)庫(kù)以主流SQLSERVER、ORACLE為主，早期開發(fā)的系統(tǒng)還有Sybase，DB2等數(shù)據(jù)庫(kù)。對(duì)于window操作系統(tǒng)是容易被攻擊的重點(diǎn)，因?yàn)槎?jí)等保為審計(jì)級(jí)保護(hù)所以重點(diǎn)在于身份鑒別、訪問(wèn)控制、安全審計(jì)、入侵防范、惡意代碼4個(gè)方面進(jìn)行測(cè)評(píng)，主要審計(jì)重要用戶行為、系統(tǒng)資源的異常使用和重要信息的命令使用等系統(tǒng)內(nèi)重要的安全相關(guān)事件。對(duì)于LINUX等其他系統(tǒng)和數(shù)據(jù)庫(kù)，主要審計(jì)操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)的身份標(biāo)識(shí)唯一性，口令應(yīng)復(fù)雜程度以及限制條件等。

　　水利科研院所內(nèi)部業(yè)務(wù)種類繁多，如OA系統(tǒng)，科研管理系統(tǒng)，內(nèi)部財(cái)務(wù)系統(tǒng)、網(wǎng)站服務(wù)器群，郵件服務(wù)器等，測(cè)評(píng)的重點(diǎn)主要是對(duì)這些業(yè)務(wù)系統(tǒng)逐個(gè)測(cè)評(píng)身份驗(yàn)證，日志記錄，訪問(wèn)控制、安全審計(jì)等功能。

　　數(shù)據(jù)安全的測(cè)評(píng)主要就數(shù)據(jù)的完整性、保密性已及備份和恢復(fù)可靠性、時(shí)效性展開測(cè)評(píng)。水利科研院所數(shù)據(jù)量十分龐大，一般達(dá)到上百TB級(jí)數(shù)據(jù)量，一旦遭受攻擊，恢復(fù)任務(wù)十分艱巨，因此備份區(qū)和應(yīng)用區(qū)應(yīng)該選用光纖直連的方式，避免電纜數(shù)據(jù)傳輸效率的瓶頸。日常情況下應(yīng)做好備份計(jì)劃，采用增量備份的方式實(shí)時(shí)對(duì)數(shù)據(jù)備份。

　　機(jī)房的物理安全測(cè)評(píng)主要是選址是否合理，機(jī)房大門防火防盜性能，機(jī)房的防雷擊、防火、防水防潮防靜電設(shè)施是否完好達(dá)標(biāo)，溫濕度控制、電力供應(yīng)以及電磁防護(hù)是否符合規(guī)定等物理?xiàng)l件。

　　安全管理主要就制定的制度文檔和記錄文檔展開評(píng)測(cè)。制度文檔主要分為3類，流程管理，人員管理和設(shè)備管理。記錄文檔主要為制度文檔的具體實(shí)施形式。在滿足二級(jí)的條件下，一般需要制度文檔有《信息安全管理辦法》、《安全組織及職責(zé)管理規(guī)定》、《安全審核與檢查管理制度》、《授權(quán)和審批管理規(guī)定》、《信息安全制度管理規(guī)范》、《內(nèi)部人員安全管理規(guī)定》、《外部人員安全管理規(guī)定》、《系統(tǒng)設(shè)計(jì)和采購(gòu)安全管理規(guī)定》、《系統(tǒng)實(shí)施安全管理規(guī)定》、《系統(tǒng)測(cè)試驗(yàn)收和交付安全管理規(guī)定》、《軟件開發(fā)安全管理規(guī)定》、《系統(tǒng)運(yùn)維和監(jiān)控安全管理規(guī)定》、《網(wǎng)絡(luò)安全管理規(guī)定》、《系統(tǒng)安全管理規(guī)定》、《賬號(hào)密碼管理規(guī)定》等基本規(guī)章制度。同時(shí)對(duì)管理制度本身進(jìn)行也要規(guī)范管理，如版本控制，評(píng)審修訂流程等。需要制定的記錄文檔有《機(jī)房出入登記記錄》、《機(jī)房基礎(chǔ)設(shè)施維護(hù)記錄》、《各類評(píng)審和修訂記錄》、《人員考核、審查、培訓(xùn)記錄》、《各項(xiàng)審批和批準(zhǔn)執(zhí)行記錄》、《產(chǎn)品的測(cè)試選型測(cè)試結(jié)果記錄》、《系統(tǒng)驗(yàn)收測(cè)試記錄報(bào)告》、《介質(zhì)歸檔查詢等的等級(jí)記錄》、《主機(jī)系統(tǒng)，網(wǎng)絡(luò)，安全設(shè)備等的操作日志和維護(hù)記錄》、《機(jī)房日常巡檢記錄》、《安全時(shí)間處理過(guò)程記錄》、《應(yīng)急預(yù)案培訓(xùn)，演練，審查記錄》等。

　　是利用各種測(cè)試工具，通過(guò)對(duì)目標(biāo)系統(tǒng)的掃描、探測(cè)等操作，使其產(chǎn)生特定的響應(yīng)等活動(dòng)，查看分析響應(yīng)結(jié)果，獲取證據(jù)以證明信息系統(tǒng)安全保護(hù)措施是否得以有效實(shí)施的一種方法。工具測(cè)試種類繁多，這里特指適用于等保測(cè)評(píng)過(guò)程中的工具測(cè)試。利用工具測(cè)試不僅可以直接獲得系統(tǒng)本身存在的漏洞，同時(shí)也可以通過(guò)不同的區(qū)域接入測(cè)試工具所得到的測(cè)試結(jié)果判斷出不同區(qū)域之間的訪問(wèn)控制情況。利用工具測(cè)試并結(jié)合其他的核查手段能為測(cè)試結(jié)果提供客觀準(zhǔn)確的保障。

　　收集信息→規(guī)劃接入點(diǎn)→編制《工具測(cè)試作業(yè)指導(dǎo)書》→現(xiàn)場(chǎng)測(cè)試→結(jié)果整理。收集信息主要是對(duì)網(wǎng)絡(luò)設(shè)備、安全設(shè)備、主機(jī)設(shè)備型號(hào)、IP地址、操作系統(tǒng)以及網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)等信息進(jìn)行收集。規(guī)劃接入點(diǎn)是保證不影響整個(gè)信息系統(tǒng)網(wǎng)絡(luò)正常運(yùn)行的前提下嚴(yán)格按照方案選定范圍進(jìn)行測(cè)試。接入點(diǎn)的規(guī)劃隨著網(wǎng)絡(luò)結(jié)構(gòu)，訪問(wèn)控制，主機(jī)位置等情況的不同而不同,但應(yīng)該遵循以下規(guī)則。(1)由低級(jí)別系統(tǒng)向高級(jí)別系統(tǒng)探測(cè)。(2)同一系統(tǒng)同等重要程度功能區(qū)域之間要互相探測(cè)。(3)由外聯(lián)接口向系統(tǒng)內(nèi)部探測(cè)。(4)跨網(wǎng)絡(luò)隔離設(shè)備(包括網(wǎng)絡(luò)設(shè)備和安全設(shè)備)要分段探測(cè)。

　　利用漏洞掃描器、滲透測(cè)試工具集、協(xié)議分析儀、網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)生成工具更能迅速可靠地找到系統(tǒng)的薄弱環(huán)節(jié)，為整改方案的編制提供依據(jù)。

　　信息系統(tǒng)從規(guī)劃到建立是一個(gè)復(fù)雜漫長(zhǎng)的過(guò)程，需要做好規(guī)劃。一般情況下,信息系統(tǒng)的安全規(guī)劃分為計(jì)算機(jī)系統(tǒng)、邊界區(qū)域、通信系統(tǒng)的安全設(shè)計(jì)。相應(yīng)的技術(shù)測(cè)評(píng)工作也主要圍繞這3個(gè)模塊展開。

　　信息系統(tǒng)是個(gè)復(fù)雜工程，設(shè)備的簡(jiǎn)單堆疊并不能有效保障系統(tǒng)的絕對(duì)安全，新建系統(tǒng)應(yīng)嚴(yán)格按照等保規(guī)劃設(shè)計(jì)，已建系統(tǒng)要對(duì)信息系統(tǒng)進(jìn)行安全測(cè)試，對(duì)于測(cè)評(píng)不合格項(xiàng)對(duì)照整改。信息系統(tǒng)安全測(cè)試范圍很廣，主要在網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)用安全、數(shù)據(jù)安全、物理安全、管理安全六大方面展開測(cè)評(píng)。本文僅對(duì)測(cè)評(píng)內(nèi)容要素進(jìn)行描述，對(duì)具體測(cè)試方法及工具不作描述。

　　水利科研院所網(wǎng)絡(luò)安全的測(cè)評(píng)主要參照公安部編制《信息安全等級(jí)測(cè)評(píng)》條件對(duì)網(wǎng)絡(luò)全局、路由和交換設(shè)備、防火墻、入侵檢測(cè)系統(tǒng)展開測(cè)評(píng)。但應(yīng)結(jié)合科研院所實(shí)際有所側(cè)重。水利科研院所信息系統(tǒng)數(shù)據(jù)傳輸量大，網(wǎng)絡(luò)帶寬占用比例相對(duì)較高，因此，在網(wǎng)絡(luò)全局中主要測(cè)試網(wǎng)絡(luò)設(shè)備是否具備足夠的數(shù)據(jù)處理能力，網(wǎng)絡(luò)設(shè)備資源占用情況，確保網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力冗余性。科研院所地理位置相對(duì)分散，因此，需要合理的VLAN劃分，確保局部網(wǎng)絡(luò)攻擊不會(huì)引發(fā)全局癱瘓。科研院所擁有大量的研究生，這類人群對(duì)于制度的約束相對(duì)較差，網(wǎng)絡(luò)應(yīng)用多伴有P2P應(yīng)用，對(duì)出口帶寬影響極大，因此除了用經(jīng)濟(jì)杠桿的手段外，在技術(shù)上要求防火墻配置帶寬控制策略。同時(shí)對(duì)“非法接入和外聯(lián)”行為進(jìn)行檢查。網(wǎng)絡(luò)中應(yīng)配置IDS對(duì)端口掃描，對(duì)木馬、后門攻擊、網(wǎng)絡(luò)蠕蟲等常見攻擊行為監(jiān)視等等。