當前位置：中國廣告人網站--->品牌營銷欄目--->電子商務-->詳細內容
石煙管理信息系統安全方案詳解
作者：佚名 日期：2002-1-16 字體：[大] [中] [小]
-
隨著企業信息化建設的進一步發展和完善，安全問題也日益引起人們的關注。本文通過開發和管理石煙管理信息系統的經驗，提出了在C/S和B/S相結合的體系結構下，針對系統安全性所采取的若干方法和技術。
引言
石家莊卷煙廠計算機管理信息系統是由百聯優利公司歷時三年余的時間開發而成，其體系結構是C/S（客戶機/服務器 Client/Server）,但隨著石煙Intranet和網站的建設，其體系結構正逐漸從C/S向B/S（瀏覽器/服務器 Browser/Server）模式轉變，目前采用的是C/S和B/S相結合的方式。
通過這兩種體系結構的有效集成，能夠最大程度地發揮出兩者各自的優勢，但無論應用系統體系結構如何變化，其安全問題，一直是人們關注的焦點。
下面，在簡要概述了石煙整個系統構架后，對系統安全規劃設計及實現方面所采取的措施進行探討。
系統平臺
一、網絡環境平臺
內部網絡的拓樸結構采用快速交換以太網技術，網絡主干為光纖，選用百兆和千兆的交換機，以無線方式與廠外業務單位聯通，使用防火墻和路由器通過DDN線路和光纖與外圍單位及本地ISP相連。
二、 服務器系統平臺
數據庫服務器采用Alpha DS20，Alpha系列機型采用COMPAQ公司推出的64位RISC微處理器芯片，采用超標量多流水線技術，它具有高性能、高速充及尋址功能，Alpha芯片擁有64位的浮點運算器，64位整數運算器以及64位的地址空間，是真正的64位芯片。并采用SCSI硬盤構成Raid5磁盤陣列實現系統雙機熱備份，以保證系統運行的高效、安全及可靠。由于磁盤容錯采用磁盤陣列，可跨越故障；以RAID5方式構成磁盤陣列，讀磁盤的速度快，數據可靠性高，有效容量達到66％～87％之間，性價比較高。
Web系列服務器選用IBM公司的Netfinity 7100，其具有極為卓越的性能，面向業務通訊、電子商務、內部網、WEB等各種應用服務。
防病毒服務器和Proxy服務器選用DELL公司的Dell PowerEdge 4400 Server。
石煙系統體系結構圖
三、主機系統平臺
工作站經過升級后，均為PⅢ600，10G，128M以上。
四、 系統平臺
服務器操作系統：TrueUnix、Win2000 Server版、Linux
數據庫服務器軟件： ORACLE 8.1.6、SQL Server、IIS、Exchange
工發工具軟件：Developer/2000 6.0、Delphi5、Dreamdreaver、Flash、Photoshop
系統安全
由于這套系統涉及到企業至關重要的信息，其在保密性、準確性及防篡改等安全方面都有較高的要求，因此，本系統著重設計了一套嚴密的安全并取得了卓有成效的成果。
一、 一般措施
1、實體安全措施
就是要采取一些保護計算機設備、設施（含網絡、通信設備）以及其他媒體免地震、水災、火災、有害氣體和其他環境事故（如電磁污染）破壞的措施、過程。這是整個管理信息系統安全運行的基本要求。
尤其是機房的安全措施，計算機機房建設應遵循國標GB2887－89《計算機場地技術條例》和GB9361 －88《計算機場地安全要求》，滿足防火、防磁、防水、防盜、防電擊、防蟲害等要求，配備相應的設備。
2、運行安全措施
為保障整個系統功能的安全實現，提供一套安全措施，來保護信息處理過程的安全，其中包括：風險分析、審計跟蹤，備份恢復、應急等。
制定必要的、具有良好可操作性的規章制度，去進行制約，是非常必要和重要的，而且是非常緊迫的。
形成一支高長自覺、遵紀守法的技術人員隊伍，是計算機網絡安全工作的又一重要環節。要在思想品質、職業道德、經營、管理、規章制度、教育培訓等方面，做大量艱苦細致的工作，強化計算機系統的安全管理，加強人員教育，來嚴格有效地制約用戶對計算機的非法訪問，防范法用戶的侵入。只有嚴格的管理，才能把各種危害遏止最低限度。
3、信息安全措施
數據是信息的基礎，是企業的寶貴財富。信息管理的任務和目的是通過對數據采集、錄入、存儲、加工，傳遞等數據流動的各個環節進行精心組織和嚴格控制，確保數據的準確性、完整性、及時性、安全性、適用性和共亨性。
制定良好的信息安全規章制度，是最有效的技術手段。而且不僅僅是數據，還應把技術資料、業務應用數據和應用軟件包括進去。
二、防病毒措施
計算機病毒泛濫，速度之快，蔓延之廣，貽害社會之大，為有史以來任何一種公害所無可比擬。從CIH 到 紅色代碼和尼姆達，已充分說明了病毒的難以預知性、潛藏性和破壞性，另一方面也說明了防毒的重要性。
本系統中采用了KILL98 網絡看防病毒軟件，運行在Win2000服務器上。
該軟件是世界第二大軟件公司CA與國內第一家反病毒軟件開發公司中國金辰公司合作推出的新一代反病毒產品，KILL運用主動內核技術，其基礎是CA公司的Unicenter TNG無縫連接技術，這種技術可以保證反病毒模塊從底層內核，在發生病毒入侵反應時，反病毒操作不會傷害及到操作系統內核，同時確保殺滅來犯病毒。
此外，KILL還有很強的網管能力，其可利用Vxd技術，進行實時反病毒。軟件可實現自動安裝，只要連接互聯網，通過域管理方式可實現自動升級。
三、內部網絡安全
1、針對局域網采取安全措施
由于局域網采用的是以廣播為技術基礎的以太網，任何兩個節點之間的通信數據包，不僅為這兩個節點的網卡所接收，也同時為處在同一以太網上的任何一個節點的網卡所截取。因此，只要接入以太網上的任一節點進行偵聽，就可以捕獲發生在這個以太網上的所有數據包，對其進行解包分析。從而竊取關鍵信息。這就是局域網固有的安全隱患。
為了解決這個問題，采取了以下措施：
1)網絡分段
由于局域網采用以交換機為中心、路由器為邊界的網絡格局，又基于中心交換機的訪問控制功能和三層交換功能 ，綜合應用物理分段與邏輯分段兩種方法，來實現對局域網的安全控制，其目的就是將非法用戶與敏感的網絡資源相互隔離，從而防止可能的非法偵聽，這是一重要的措施。
2)以交換式集線器代替共享式集線器
由于部分網絡最終用戶的接入是通過分支集線器而不是交換機，而使用最廣泛的分支集線器通常是共享式集線器。這樣，當用戶與主機進行數據通信時，兩臺機器之間的數據包還是會被同一臺集線器上的其他用戶所偵聽。如一種危險的情況是：用戶TELNET到一臺主機上，由于TELNET程序本身缺加密功能，用戶所鍵入的每一個字符（包括用戶名、密碼、關鍵配置等重要信息），都將被明文發送，這就是一個很大的安全隱患。
因此，應該以交換式集線器代替共享式集線器，使單播包僅在兩個節點之間傳送，從而防止非法偵聽。
3)VLAN（虛擬專用網）的劃分
本系統中采取劃分VLAN的方法，進一步克服了以太網的廣播問題。
目前的VLAN技術主要有三種：基于交換機端口的VLAN、基于節點MAC地址的VLAN和基于應用協議的VLAN。基于交換機端口的VLAN雖然稍欠靈活，但卻比較成熟，在實際就用中較多，且效果顯著。所以石煙信息系統采取了這種方式。
在集中式網絡環境下，我們是將中心的所有主機系統集中到一個VLAN里，在這個VLAN里不允許任何用戶節點，從而較好地保護敏感的主機資源。在分布式網絡環境下，我們按機構或部門的設置來劃分VLAN。各部門內部的所有服務器和用戶節點都在各自的VLAN內，互不侵擾。VLAN內部的連接采用交換實現，而VLAN與VLAN之間的連接則采用路由實現。2、強化Server端的安全措施
在C/S結構中，C端的重要性是顯而易見的。雖然C/S系統的安全已比較成熟，然而這種安全體系統中還有其潛在問題，尤其是在一個復雜系統中，由于存在著大量的數據庫實體及擁用不同操作權限的用戶，存在多個用戶對數據庫實體的操作可以是增、刪、改、查的任意組合。因此，即使用角色或工作組的方式為其授權，也會顯得相當復雜，甚至存在著嚴重的安全漏洞。
針對這些狀況，本系統采取了如下安全措施：
1) 內核級透明代理
與傳統的CS安全模式不同，該系統所采取的解決方案是： 每個數據庫應用只建立一個真正的數據庫帳號,他具有對系統應用所涉及的所有數據實體進行操作的全部權限。與此同時，為每一位系統操作人員分別創建了一個“應用系統帳號”，實際上只數據庫中創建的的名為USERS用戶表里的一條記錄。這樣，每次應用程序在客戶端執行時，首先會以其真正數據庫帳號登錄數據庫，然后執行自行編寫的登錄程序，與USERS表結合，實現就用系統登錄。
這種安全體系使得應用系統成為數據庫的趨勢用戶，而應用系統的所有操作人員（包括系統管理員）則是數據庫的間接用戶；換言之，應用系統除了完成其應用邏輯之外，還將系統用戶和數據庫徹底隔離開來，成為數據庫的一道堅固的“防火墻” 由于在這種安全體系中，真正的數據庫帳號泄露及擴散的可能性幾乎為零，所有的用戶必須通過應用系統這一“單點” 訪問數據庫，所以可以得出結論只要應用程序是安全、可靠的，則整個系統是安全可靠的。
這樣，系統開發人員的精力可以主要集中到應用程序安全性的編寫上。經過深入地研究、分析，系統采取兩級帳號、兩級登錄的改進方案。第一級帳號是應用系統帳號，也就是實際用戶所掌握的帳號，建立的方法如上段所述；第二級為數據庫系統帳號。兩個帳號使用相同的用戶名，但口令不同，以此來隔離用戶和數據庫系統。
具體而言，用戶先使用應用系統帳號登錄應用系統，應用系統再將應用級帳號變換為數據庫系統帳號，然后應用系統用數據庫系統帳號登錄數據庫。僅在兩級登錄都成功的前提下，整個登錄過程才算成功。系統在使用了兩級登錄都成功的前提下，整個登錄過程才算成功。系統在使用了兩級登錄的機制后，數據庫系統便能識別登錄應用系統的用戶身份，因此，ORACLE原有的所有功能得以繼承。在改進后的系統中，作者只對應用層的事件加入日志，有關數據庫的操作則直接從ORACLE日志表中獲取
2) 增強的用戶授權機制
由于在這種安全體系中，應用系統成為隔離用戶和數據庫的防火墻，其本身就必須具務相當的安全特性。尤其是用戶授權管理機制，其嚴密將直接影響整個系統的安全。
基于此，作者從功能出發將整個系統細分為若干個可分配的最小權限單元，這些權限具體表現在對數據庫中所涉及的表、視圖的數據操作（DML：插入 修改 刪除、查詢等）的劃分上。然后再運用角色或工作組的概念，結合各種系統使用人員的工作性質，為系統創建了4類基本等級：系統管理員，高級操作員，一般操作員及簡單操作員，并相應地為每個等級賦予了不同的權限，以此來簡化權限管理工作。此外，為了增加系統安全管理的靈活性，授權管理模塊還可以對屬于某一等能用戶的權限作進一步限制，達到所有權限均可任意組合的效果。
同時，為了進一步提高系統管理員的工作效率，系統為系統權限，用戶及每種等級所對應的默認權限組合都建立了數據字典，以便在不同的應用環境下，管理員都能方便地增加等，或改變某種等難的默認權限，此外，為了能暫時封鎖某一帳號的使用，安全系統還提供了帳號凍結及解凍的功能。
能過這種方式，在統一管理之下，又具有相錄的靈活性，有助于系統管理員更為方便，更為嚴密地控制整個系統的安全。
3) 智能型日志
日志系統具有綜合性數據記錄功能 和自動分類檢索能力。在該系統中，日志將記錄自某用戶登錄時起，到其退出系統時止，這所執行的所有操作，包括登錄失敗操作，對數據庫的操作及系統功能的使用。日志所記錄的內容有執行某操作的用戶保執行操作的機器IP地址 操作類型 操作對象及操作執行時間等，以備日后審計核查之用
在這個系統中，不僅可以分類檢索日志內容，系統還能根據已記錄的日志內容，通過智能型揄，自動找出可能存在的不安全因素，并實時觸發相應的警告，信息以及時通知系統管理員及用戶。
以下例舉幾個智能性檢查。
·潛在非法攻擊檢查
對于那些企圖登錄系統的黑客，在其三次登錄指令性后，系統便會自行關閉。由于使用了智能型日志系統，系統管理員便會及時得知有非法用戶攻擊，尤其是針對同一帳號的攻擊，在若干次嘗試指失敗以后，系統將會自動凍結該帳號。在與帳號持有人取得聯系后，管理員便可以根據日志文件的具體內容，如攻擊點的確切位置、攻擊時間等，采取相應措施，如更改帳號口令或封鎖工作站，確保系統的安全性。
·單帳號多用戶檢查
在同一時刻中，若有以同一帳號登錄系統的用戶出現，則說明某一帳號可能已被泄露，這在一定程度上將對系統安全構成威脅。為此系統將自動監視，統計這種情況度及時通知系統管理員，以杜絕帳號擴散的可能，防患于未然。
·非工作時間操作檢查
對于8小時工作時間之外的任何操作或是被管理定義成非工作時所執行的任何操作，智能型日志也會視之為可疑現象而警告系統管理員
4) 完善的備份及恢復機制
誠然，日志能記錄任何非法操作，然而要真正使系統從災難中恢復出來，還需要一套完善的備份方案及恢復機制
為了防止存儲設備的異常損壞，本系統中采用了可熱插拔的SCSI硬盤所組成的磁盤容錯陣列，以RAID5的方式進行系統的實時熱備份。
為了防止人為的失誤或破壞，本系統中建立了強大的數據庫觸發器以備份重要數據的刪除操作，甚至更新任務。保證在任何情況上，重要數據均能最大程度地有效恢復。具體而言，對于刪除操作，作者將被操作的記錄全部存貯在備份庫中。而對于更新操作，考慮到信息量過于龐大，僅僅備份了所執行的SQL語句。這樣，既能查看到被的內容，又能相當程度地減小備份庫存貯容量。
而在需要跟蹤追溯數據丟失或破壞事件的全部信息時，則將系統日志與備份數據有機地結合在一起真正實現系統安全性。
四、廣域網絡的安全
由于廣域網采用公網來進行數據傳輸，信息在廣域網上傳輸時被截取和利用就比局域網要大得多。本系統中涉及到無線網絡部分和遠程訪問部分，因此，必須采取必要的手段，使得在廣域網上的發送和接收信息時能夠保證：
·除了發送方和接收方外，其他人是無法知悉的（隱私性）
·傳輸過程中不被篡改（真實性）
·發送方能確知接收方不是假冒的（非偽裝性）
·發送方不能否認自己的發送行為（不可抵賴性）
為達到以上目的，我們采用了以下措施：
1、加密技術的運用
加密技術的基本思想是不依賴于網絡中數據通道的安全性來實現網絡系統的安全，而是通過對網絡數據的加密來保障網絡的安全可靠性。數據加密技術可以分為三類，即對稱型加密、不對稱型加密和不可逆加密。
本系統中選用了不可逆加密，因為其不存在密鑰保管和分發問題，且由于本系統中需采取這種措施的數據量有限，所以這種加密方式是適用于系統的網絡體系結構。
2、VPN(虛擬專網)技術的運用
VPN 技術和核心是采用隧道技術，將企業專用網的數據加密封裝后，透過虛擬的公網隧道進行傳輸，從而防止敏感數據的被竊取。企業通過公網建立VPN，就如同通過自己的專用網建立內部網一樣，享有較高的安全性、優先性、可靠性和可管理性，而其建立周期、投入資金和維護費用卻大大降低。
故在本系統的設計中，對于一些遠程訪問用戶，本系統采用了VPN的技術。
五、針對外網采取安全措施
這里所指的外網，是指本系統中與Internet的互聯與外部一些企業用戶部分。
因為采用的是基于TCP/IP協議族，Internet協議族自身的開放性極大地方便了各種計算機的組網和互聯，并直接推動了網絡技術的迅猛發展。但是由于在早期網絡協議設計上對安全性的忽視，至使Internet在使用和管理上的無政府狀態，逐漸使Internet自身的安全受到威脅。
外網安全的威脅主要表現在：非授權訪問 、冒充合法用戶、破壞數據完整性、干擾系統正常運行、利用網絡傳播病毒、線路竊聽等。
針對上述情況，本系統采取了防火墻技術、入侵檢測技術和網絡防病毒技術相結合的方法。
本系統中采用的防火墻是天融信網絡安全技術有限公司的產品，NG FW3000，是中國人設計的符合國情的防火墻系統，具有完全自主版權。其采用模塊化結構設計，可擴展性好，方便用戶定制與升級，而且運用面向對象的管理，支持VPN的無縫集成，多接口等。此外，還采取了一些相關產品如Secutity Messager，SJW11，KILL 98 等，以實現以防火墻技術、加密技術、安全認證技術、安全應用技術、入侵檢測技術和防病毒技術相結全的綜合安全體系。
結束語
石煙管理信息系統安全方案，是基于石煙具體實際情況和國內外最實用計算機安全技術的產物，隨著用戶在實際應用中需求的不斷提高，我們將對系統的安全性進一步完善。