本文作者：刘丰韩伟作者单位：国家海洋信息中心

对策研究

1建设目标

海洋信息安全体系建设的目标是建设一个由策略、防护、检测和响应组成的完整安全体系，从而最大限度地保护信息不受诸多威胁的侵犯，确保连续性，将损失和风险降低到最低程度。为保证系统的安全运行，安全系统建设确定以下具体建设目标。（1）在系统各个网络上建立比较完整的安全防护体系，为核心业务应用提供安全可靠的网络环境。网络安全需要分级、分层次的防护措施，充分利用现阶段的各种防护产品，加强网络信息系统的基础安全防护。（2）实现多级的安全访问控制功能。按照“纵深防御，重点保护”的策略，对网络中的不同级别的资源实现不同程度的防护强度和不同的访问控制力度。（3）实现对重要信息的传输加密保护。建立以VPN为基础的数据传输加密系统，防止信息在网络传输中被窃取和破坏。（4）做好网络安全基础建设。做好网络边界和安全域边界的隔离和保护，通过部署防火墙或安全隔离系统，防止非法访问；部署网络入侵防御和漏洞扫描系统，加强对网络非法活动的监测，及时修补网络和系统的漏洞；部署应用和网络的审计系统，追踪和审计应用和网络操作行为，做到有据可查；根据数字海洋各应用系统安全状况，做好其他安全产品的部署和实施。（5）完善各业务系统网络全方位的病毒防范体系。采用包括客户端、服务器、邮件以及防病毒硬件网关等系列产品构筑强大有效的网络防病毒体系。（6）完善重要应用系统的数据和关键的主机系统冗余备份系统。建立数据备份系统，包括异地容灾建设，以保证关键业务的系统和数据有效备份。（7）完善简易身份认证系统和授权系统。为了满足业务系统对身份认证和授权系统的急迫要求，需要先建立内部以数字证书为基础的简易身份认证系统和授权系统。对于注册账号可采用的认证方式包括口令、CA证书、双因素和双向等认证方式。（8）完善有效的安全管理机制和组织体系。要培养和建立起一支网络信息安全的技术队伍和管理队伍，保证各级网络系统安全技术和管理落实到人。在制定实用的可操作的安全管理制度的前提下，强化安全意识和培训，加强安全管理制度的执行力度，确保海洋局各级机构各项业务的安全运行。

2策略原则

在海洋信息安全体系建设过程中，应该遵循“统筹规划、分步实施、安全可靠、经济实用、灵活方便、统一标准、统一规范”的原则进行。要遵循的主要原则如下。（1）业务需求的原则：系统信息安全体系建设的目标和安全行为应根据业务的目标和需要进行，并接受业务管理的指导。（2）可靠性原则：系统信息安全体系在基本不影响应用系统功能和效率的前提下，必须做到稳定、可靠地不间断运行。（3）可扩展性原则：系统信息安全体系必须允许增加新的安全组件与安全功能，保证系统安全性不断增长的需要。（4）标准化原则：系统信息安全体系建设的各个环节都必须符合国家关于信息安全的法律和法规。（5）可管理性原则：系统信息安全体系必须可管理，做到分布式安全布控，集中式安全管理。（6）经济适用原则：系统信息安全体系的设计要在安全需求、安全风险和安全成本之间进行科学的平衡、比较和折中，使系统信息安全体系安全、经济、适用，易用、性能价格比合理。（7）联合共建的原则：在系统信息安全体系建设过程中，充分利用现有的安全资源，发挥企业的积极性和安全系统集成商、安全产品供应商、安全技术服务商的积极性，促进安全技术广泛的应用和共享，避免重复设计和重复建设。（8）统筹规划、分步实施的原则：做好统筹规划工作，制定总体方案，采取边建设、边服务的分步实施方针，确保工程建设的顺利进行，避免出现重大的投资失误或因系统不能有效发挥作用而影响投资的效益。（9）严格监督的原则：建立相应组织，采取有效措施，对工程质量、工程进度和投资状况进行严格的论证、把关和监督，确保项目工程有计划、按步骤地顺利进行。

海洋信息系统安全体系建设内容及分析

通过分析《国家信息系统安全保护等级基本要求》的相关标准，对等级保护的安全层级划分为安全技术与安全管理两大部分，对于海洋信息系统的安全建设也将从这两个方面进行着手。

1技术安全解决措施

1）物理安全。机房具有较强防震、防风和防雨等能力。完全与用水设备隔离。机房出入口安排专人值守，记录进入人员，机房的来访人员经过申请审批流程，安排工作人员一起陪同，并限制和监视其活动范围。对机房划分区域进行管理，区域和区域之间设置物理隔离装置，在重要区域前设置过渡区域。在机房的门口配置电子门禁系统。各种设备放置在机柜内，设置明显的标记。所有线路铺设在防静电地板下的线槽内。安装视屏监控系统。机房所在的建筑安装避雷装置，海洋信息系统安全体系如图1所示。机房内安装自动气体灭火系统，在值班室设置控制台，以达到自动检测火情，自动报警，自动灭火等功能。机房墙面采用耐火的彩钢板。在机房的地板下面安装漏水检测系统，一旦漏水系统将及时报警。每个机柜都连接接地放静电。机房地板采用防静电地板。将房内设置机房专用恒温恒湿机，并且合理地分配机房专用空调位置，达到合理温度和湿度调节效果。在机房的四周安装温度和湿度的实时监控系统。当温度和湿度超出了设定范围值，系统将自动报警。电源线和通信线路隔离铺设，避免相互干扰。磁介质部署电磁屏蔽装置。

2）网络安全。为业务专网和外界物理隔离。主干网络带宽为采用155MCPOS结构，完全满足业务高峰期的需要。采用VPN技术。制定重要业务系统各子网之间的访问控制策略，重要网段的边界处均部署防火墙，并通过防火墙安全策略实现各网段间逻辑隔离。按照不同的地域和业务划分虚拟子网、网段分配地址段。根据各个业务部门的工作职能和业务重要性，控制各子网之间的访问。按照业务重要性为业务分配带宽。并在网络边界部署防火墙，启用访问控制功能，控制端口，实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议的控制，限制网络最大流量数及网络连接数。部署集中安全审计系统，对网络设备运行状况、网络流量和用户行为等进行日志记录。并进行分析，生成审计报表。将边界和网络设备日志集中管理并定期进行审计。在网络边界部署非法外联检测系统服务器，通过外联方式对终端用户进行监控，如各种拨号行为，发现违规外联行为时实时阻断，通过网络间的连通性来判断终端主机是否已经外联，如果发现已经外联，按照管理员预设的动作，执行提示终端用户、禁用网卡、向管理员告警等动作。整体达到严密的外联监控效果。在网络边界部署入侵防御系统，能够精确识别并实时防范各种网络攻击和滥用行为。通过深入到七层的分析与检测，实时阻断网络流量中隐藏的病毒、蠕虫、木马、间谍软件和网页篡改等攻击和恶意行为，实现对网络应用、网络基础设施和网络性能的全面保护。部署防毒网关在网络边界处对恶意代码进行检测和清除，建立病毒库的定期更新升级要求并严格执行，定期检查病毒库的更新情况。用SSH加密传输替代Telnet远程管理方式；并能使用其他身份审核方式以保证用户登陆的可信性。

3）主机安全。对登录操作系统和数据库系统的用户进行身份表示和鉴别。增加主机口令策略中对口令长度，口令复杂，口令生命周期，新旧口令的替换的策略。采用证书加上USB－key认证的方式。启用安全审计策略。建立访问控制策略，依据最小原则授予用户权限；对主机内无用、多余的账户进行删除。对账号采用分级最小化原则管理。部署主机审计系统，审计功能与用户标志与鉴别、自主访问控制、标记及强制访问控制等安全功能的设计紧密结合。使用空间清理和数据擦写工具确保动态分配与管理的资源，在保持信息安全的情况下被再利用，确保非授权用户不能查找在使用后返还系统的记录介质中的信息内容；确保非授权用户不能查找系统现已分配给他的记录介质中以前的信息内容。在重要服务器网段部署IDS／IPS，及时发现入侵行为并及时通过多种方式报警、阻断。能够记录入侵的源IP、攻击类型、攻击的目的、攻击的时间并在发生严重入侵事件时提供警报。服务器上部署瑞星防病毒软件，统一管理，保持及时升级；防病毒软件和防病毒网关协同工作，建立统一防毒体系，保证安全性。建立运控系统，对主机和其他网络设备的CPU、硬盘、内存以及占用网络带宽等资源进行实时监控。

4）应用安全。系统提供单点登录的控制模块，使用证书USB－key和用户名密码的身份鉴别技术时间身份鉴别，定义鉴别尝试允许次数，并通过延长鉴别失败超出允许次数后，再次允许鉴别的时间间隔来限制重复尝试，并对此过程进行记录。用于身份鉴别的用户名／口令对应当在信道中加密传输。对用户的来源进行控制和监控。定期审计身份鉴别日志，对发现的异常进行及时处理，对累积性事件进行必要的趋势分析。部署安全审计系统，覆盖事件的日期、时间、发起者信息、类型、描述和结果等内容，审计记录的内容应尽可能详细；系统生成的日志最好采取一次性存储设备，以防篡改，可采取集中异地存储的形式，防止数据被破坏或篡改；应当设立单独的日志审计人员维护和管理数据。对网络环境下运行的数据库管理系统，应建立分布式的审计系统，并以审计中心进行管理和控制。使用专用的磁盘空间擦写工具和内存释放工具，保证在使用后的信息不被未授权人员获得。

5）数据安全及备份恢复。系统管理数据、鉴别信息和重要业务数据在传输和存储过程中完整性受到破坏时，系统应具有监测并能采取必要恢复措施的功能。在数据传输的边界部署加密机。实现系统管理数据、鉴别信息和重要业务数据传输和存储保密性。在保存、修改和传输数据时，对于敏感信息，例如账号、密码和证件号码等字段采用事先约定对称加密算法进行加密。在本地建立磁盘阵列和磁带库并安装相应的存储备份软件，建立存储备份机制，完整的数据每周备份一次，差异备份每天进行一次，备份的时间在每天凌晨，数据量最小时进行备份。采用SAN网络存储，选用管线磁盘存储阵列和光纤带库作为存储载体，选用光纤交换机作为存储网络的交换部件，用于连接数据库服务器、光纤磁盘存储阵列和光纤带库，配合专用的数据库、存储管理、备份恢复软件共同构建一个全光纤、全冗余的SAN存储网络环境。避免单点故障。提供网络设备、通信线路和数据处理系统的硬件冗余，保证系统的高可用性。

2安全管理体系建设

海洋信息系统所在的各个单位成立专门的运行管理机构负责信息系统的运行维护与安全管理工作，配备专门的运行维护管理人员，并制定安全管理制度，制定网络与信息安全应急预案以应对突发的网络与信息安全事件。

1）增强相关工作人员的安全防范意识。当前信息安全管理工作中首要的突出的问题是工作人员的安全意识淡薄，安全措施责任落实不明确。因此，在实际工作中，我们要不断增强相关工作人员的安全防范意识，时时刻刻，在头脑中绷紧安全这根弦。从根本上杜绝因工作人员的粗心大意而造成的安全问题。同时，加大对工作人员的安全技能培训力度，工作人员安全知识的掌握程度直接关系到信息系统安全保障应用程度。因此，对工作人员采取必要的安全技能培训，并且不断丰富他们的业务知识。建立一支政治可靠、技术精湛、作风优良的内部技术人员队伍［3］。

2）建立健全相关的安全管理制度。目前，我国在网络信息安全方面制定了相当数量的法律、法规及一些规范性的文件，但仍有许多不足之处。如缺乏统一标准、监管成本高、可操作性不强等。因此我们应充分认识到依法保障和促进信息系统健康发展的重要性，尽快完善相应法律、法规建设，使信息安全管理有法可依。