６０　海洋开发与管理２０１２年　第７期海洋信息系统的安全问题与对策研究刘　丰，韩　伟（国家海洋信息中心　天津　３００１７１） 摘 要：如何做到信息化与信息安全协调发展成为海洋信息化进一步面临的一个主要问题。

从我国信息化和信息安全的形式出发，分析海洋信息系统安全状况，指出海洋信息安全方面存在的问题，提出了加强网络与信息安全的措施。

关　键　词：海洋信息；海洋网络；网络安全；信息安全１　概述进入２１世纪，信息化对全球经济社会发展的影响愈加深刻，信息化水平以及信息化程度已经成为衡量一个国家和地区发达程度的重要标准之一。

随着海洋系统信息化进程的推进，各信息系统不断的建设和推广，并且逐步成为海洋系统的重要基础设施。

因此，信息系统安全问题已经被提到战略性高度。

对于海洋信息系统来说，一个完整的安全体系，应当以整体安全策略为基础，在其上使用安全技术措施，建立相应的安全管理体系，实现对系统的安全保护。

２　网络信息安全现状与问题当今信息时代，计算机网络已经成为一种社会经济发展不可缺少的物质基础。

然而由于计算机网络具有复杂性和动态性的特点，因此在管理层面上难以实施有效的保证安全；而计算机网络也存在大量的缺陷和人为疏忽，致使网络很容易受到计算机病毒、黑客或恶意软件代码的侵害。

根据国家计算机网络应急技术处理协调中心（ＣＮＣＥＲＴ／ＣＣ）的统计，２０１０年２月我国大陆地区被篡改的网站数量为２　３０４个，其中政府网站被篡改的数量为４０３个，这严重地威胁到国家安全、社会秩序、公共利益和社会公众的合法权益。

２０１２年２月２０—２６日期间，境内感染网络病毒的主机数约为２００．１万个，其中，被木马或被僵尸程序控制的主机约为２９．９万个，境内感染飞科（Ｃｏｎｆｉｃｋｅｒ）蠕虫的主机约为１７０．３万个［１］。

从木马或僵尸程序受控主机在我国大陆的分布情况来看，主机感染量较大的都在我国沿海省市，其中排名前３位的分别是广东省４．３４万（约占中国内地总感染量的１４．５％）、江苏省２．５５万（约占中国内地总感染量的８．６％）、和浙江省２．０３万（约占中国内地总感染量的６．８％）［２］。

从数据来看，海洋信息安全面临着巨大的挑战。

３　对策研究３．１　建设目标海洋信息安全体系建设的目标是建设一个由策略、防护、检测和响应组成的完整安全体系，从而最大限度地保护信息不受诸多威胁的侵犯，确保连续性，将损失和风险降低到最低程度。

为保证系统的安全运行，安全系统建设确定以下具体建设目标。

（１）在系统各个网络上建立比较完整的安全防护体系，为核心业务应用提供安全可靠的网络环境。

网络安全需要分级、分层次的防护措施，充分利用现阶段的各种防护产品，加强网络信息系统的基础安全防护。

（２）实现多级的安全访问控制功能。

按照“纵深防御，重点保护”的策略，对网络中的不同级别的资源实现不同程度的防护强度和不同的访问控制力度。

（３）实现对重要信息的传输加密保护。

建第７期刘　丰，等：海洋信息系统的安全问题与对策研究６１立以ＶＰＮ为基础的数据传输加密系统，防止信息在网络传输中被窃取和破坏。

（４）做好网络安全基础建设。

做好网络边界和安全域边界的隔离和保护，通过部署防火墙或安全隔离系统，防止非法访问；部署网络入侵防御和漏洞扫描系统，加强对网络非法活动的监测，及时修补网络和系统的漏洞；部署应用和网络的审计系统，追踪和审计应用和网络操作行为，做到有据可查；根据数字海洋各应用系统安全状况，做好其他安全产品的部署和实施。

（５）完善各业务系统网络全方位的病毒防范体系。

采用包括客户端、服务器、邮件以及防病毒硬件网关等系列产品构筑强大有效的网络防病毒体系。

（６）完善重要应用系统的数据和关键的主机系统冗余备份系统。

建立数据备份系统，包括异地容灾建设，以保证关键业务的系统和数据有效备份。

（７）完善简易身份认证系统和授权系统。

为了满足业务系统对身份认证和授权系统的急迫要求，需要先建立内部以数字证书为基础的简易身份认证系统和授权系统。

对于注册账号可采用的认证方式包括口令、ＣＡ证书、双因素和双向等认证方式。

（８）完善有效的安全管理机制和组织体系。

要培养和建立起一支网络信息安全的技术队伍和管理队伍，保证各级网络系统安全技术和管理落实到人。

在制定实用的可操作的安全管理制度的前提下，强化安全意识和培训，加强安全管理制度的执行力度，确保海洋局各级机构各项业务的安全运行。

３．２　策略原则在海洋信息安全体系建设过程中，应该遵循“统筹规划、分步实施、安全可靠、经济实用、灵活方便、统一标准、统一规范”的原则进行。

要遵循的主要原则如下。

（１）业务需求的原则：系统信息安全体系建设的目标和安全行为应根据业务的目标和需要进行，并接受业务管理的指导。

（２）可靠性原则：系统信息安全体系在基本不影响应用系统功能和效率的前提下，必须做到稳定、可靠地不间断运行。

（３）可扩展性原则：系统信息安全体系必须允许增加新的安全组件与安全功能，保证系统安全性不断增长的需要。

（４）标准化原则：系统信息安全体系建设的各个环节都必须符合国家关于信息安全的法律和法规。

（５）可管理性原则：系统信息安全体系必须可管理，做到分布式安全布控，集中式安全管理。

（６）经济适用原则：系统信息安全体系的设计要在安全需求、安全风险和安全成本之间进行科学的平衡、比较和折中，使系统信息安全体系安全、经济、适用，易用、性能价格比合理。

（７）联合共建的原则：在系统信息安全体系建设过程中，充分利用现有的安全资源，发挥企业的积极性和安全系统集成商、安全产品供应商、安全技术服务商的积极性，促进安全技术广泛的应用和共享，避免重复设计和重复建设。

（８）统筹规划、分步实施的原则：做好统筹规划工作，制定总体方案，采取边建设、边服务的分步实施方针，确保工程建设的顺利进行，避免出现重大的投资失误或因系统不能有效发挥作用而影响投资的效益。

（９）严格监督的原则：建立相应组织，采取有效措施，对工程质量、工程进度和投资状况进行严格的论证、把关和监督，确保项目工程有计划、按步骤地顺利进行。

４　海洋信息系统安全体系建设内容及分析通过分析《国家信息系统安全保护等级基本要求》的相关标准，对等级保护的安全层级划分为安全技术与安全管理两大部分，对于海洋信息系统的安全建设也将从这两个方面进行着手。

４．１　技术安全解决措施４．１．１　物理安全机房具有较强防震、防风和防雨等能力。

６２　海洋开发与管理２０１２年　完全与用水设备隔离。

机房出入口安排专人值守，记录进入人员，机房的来访人员经过申请审批流程，安排工作人员一起陪同，并限制和监视其活动范围。

对机房划分区域进行管理，区域和区域之间设置物理隔离装置，在重要区域前设置过渡区域。

在机房的门口配置电子门禁系统。

各种设备放置在机柜内，设置明显的标记。

所有线路铺设在防静电地板下的线槽内。

安装视屏监控系统。

机房所在的建筑安装避雷装置，海洋信息系统安全体系如图１所示。

图１　整体安全体系 机房内安装自动气体灭火系统，在值班室设置控制台，以达到自动检测火情，自动报警，自动灭火等功能。

机房墙面采用耐火的彩钢板。

在机房的地板下面安装漏水检测系统，一旦漏水系统将及时报警。

每个机柜都连接接地放静电。

机房地板采用防静电地板。

将房内设置机房专用恒温恒湿机，并且合理地分配机房专用空调位置，达到合理温度和湿度调节效果。

在机房的四周安装温度和湿度的实时监控系统。

当温度和湿度超出了设定范围值，系统将自动报警。

电源线和通信线路隔离铺设，避免相互干扰。

磁介质部署电磁屏蔽装置。

４．１．２　网络安全为业务专网和外界物理隔离。

主干网络带宽为采用１５５ＭＣＰＯＳ结构，完全满足业务高峰期的需要。

采用ＶＰＮ技术。

制定重要业务系统各子网之间的访问控制策略，重要网段的边界处均部署防火墙，并通过防火墙安全策略实现各网段间逻辑隔离。

按照不同的地域和业务划分虚拟子网、网段分配地址段。

根据各个业务部门的工作职能和业务重要性，控制各子网之间的访问。

按照业务重要性为业务分配带宽。

并在网络边界部署防火墙，启用访问控制功能，控制端口，实现对应用层ＨＴＴＰ、ＦＴＰ、ＴＥＬＮＥＴ、ＳＭＴＰ、ＰＯＰ３等协议的控制，限制网络最大流量数及网络连接数。

部署集中安全审计系统，对网络设备运行状况、网络流量和用户行为等进行日志记录。

并进行分析，生成审计报表。

将边界和网络设备日志集中管理并定期进行审计。

第７期刘　丰，等：海洋信息系统的安全问题与对策研究６３在网络边界部署非法外联检测系统服务器，通过外联方式对终端用户进行监控，如各种拨号行为，发现违规外联行为时实时阻断，通过网络间的连通性来判断终端主机是否已经外联，如果发现已经外联，按照管理员预设的动作，执行提示终端用户、禁用网卡、向管理员告警等动作。

整体达到严密的外联监控效果。

在网络边界部署入侵防御系统，能够精确识别并实时防范各种网络攻击和滥用行为。

通过深入到七层的分析与检测，实时阻断网络流量中隐藏的病毒、蠕虫、木马、间谍软件和网页篡改等攻击和恶意行为，实现对网络应用、网络基础设施和网络性能的全面保护。

部署防毒网关在网络边界处对恶意代码进行检测和清除，建立病毒库的定期更新升级要求并严格执行，定期检查病毒库的更新情况。

用ＳＳＨ加密传输替代Ｔｅｌｎｅｔ远程管理方式；并能使用其他身份审核方式以保证用户登陆的可信性。

４．１．３　主机安全对登录操作系统和数据库系统的用户进行身份表示和鉴别。

增加主机口令策略中对口令长度，口令复杂，口令生命周期，新旧口令的替换的策略。

采用证书加上ＵＳＢ－ｋｅｙ认证的方式。

启用安全审计策略。

建立访问控制策略，依据最小原则授予用户权限；对主机内无用、多余的账户进行删除。

对账号采用分级最小化原则管理。

部署主机审计系统，审计功能与用户标志与鉴别、自主访问控制、标记及强制访问控制等安全功能的设计紧密结合。

使用空间清理和数据擦写工具确保动态分配与管理的资源，在保持信息安全的情况下被再利用，确保非授权用户不能查找在使用后返还系统的记录介质中的信息内容；确保非授权用户不能查找系统现已分配给他的记录介质中以前的信息内容。

在重要服务器网段部署ＩＤＳ／ＩＰＳ，及时发现入侵行为并及时通过多种方式报警、阻断。

能够记录入侵的源ＩＰ、攻击类型、攻击的目的、攻击的时间并在发生严重入侵事件时提供警报。

服务器上部署瑞星防病毒软件，统一管理，保持及时升级；防病毒软件和防病毒网关协同工作，建立统一防毒体系，保证安全性。

建立运控系统，对主机和其他网络设备的ＣＰＵ、硬盘、内存以及占用网络带宽等资源进行实时监控。

４．１．４　应用安全系统提供单点登录的控制模块，使用证书ＵＳＢ－ｋｅｙ和用户名密码的身份鉴别技术时间身份鉴别，定义鉴别尝试允许次数，并通过延长鉴别失败超出允许次数后，再次允许鉴别的时间间隔来限制重复尝试，并对此过程进行记录。