◎ 江蘇省建設(shè)信息中心 車?yán)鑴?潘晶晶

【關(guān)鍵字】電子政務(wù) 信息安全 網(wǎng)絡(luò)優(yōu)化

“十一五”期間，江蘇省住房城鄉(xiāng)建設(shè)主管部門始終將信息網(wǎng)絡(luò)安全作為電子政務(wù)的工作重點，不斷加大資金投入，著力提高信息安全監(jiān)控水平。省級部門先后出臺了《計算機信息系統(tǒng)安全預(yù)案》、《計算機網(wǎng)絡(luò)管理辦法》、《政務(wù)網(wǎng)站信息發(fā)布管理辦法》等一系列規(guī)范性文件，編制完成計算機網(wǎng)絡(luò)安全和運行總體建設(shè)方案，構(gòu)建完成電子政務(wù)硬件公共服務(wù)平臺，以及集硬件設(shè)備、系統(tǒng)軟件、應(yīng)用軟件、安全系統(tǒng)與網(wǎng)管軟件為一體的協(xié)同網(wǎng)管平臺。通過上述措施，優(yōu)化了計算機網(wǎng)絡(luò)運行環(huán)境，做到了網(wǎng)絡(luò)防攻擊防入侵，網(wǎng)站防篡改、內(nèi)網(wǎng)有審計、上網(wǎng)行為有監(jiān)控、用戶需認(rèn)證，確保了電子政務(wù)系統(tǒng)的安全、可靠和穩(wěn)定運行。

然而，隨著政府部門依賴信息網(wǎng)絡(luò)程度的不斷提高，電子政務(wù)信息安全和網(wǎng)絡(luò)優(yōu)化工作已成為電子政務(wù)信息化建設(shè)的重中之重，尤其是隨著信息技術(shù)日新月異的迅速發(fā)展，電子政務(wù)信息安全和網(wǎng)絡(luò)建設(shè)不斷面臨新問題、新情況和新挑戰(zhàn)，需要我們不斷應(yīng)用新技術(shù)新手段去完善和優(yōu)化信息網(wǎng)絡(luò)，更好地適應(yīng)電子政務(wù)信息化建設(shè)和應(yīng)用的新需求。

1 信息安全和網(wǎng)絡(luò)建設(shè)現(xiàn)狀和問題

經(jīng)過近幾年的努力，省、市建設(shè)部門已基本建成外網(wǎng)、內(nèi)部業(yè)務(wù)網(wǎng)和與政府相連的政務(wù)內(nèi)網(wǎng)，網(wǎng)絡(luò)間相互獨立，實現(xiàn)了物理或邏輯隔離。三類網(wǎng)絡(luò)中，外網(wǎng)承擔(dān)門戶網(wǎng)站政務(wù)信息發(fā)布、行政事項網(wǎng)上受理與結(jié)果反饋和互聯(lián)網(wǎng)訪問等功能；業(yè)務(wù)內(nèi)網(wǎng)承擔(dān)機關(guān)辦公自動化系統(tǒng)（OA）、行政事項審批等功能；政務(wù)內(nèi)網(wǎng)屬于涉密網(wǎng)絡(luò)，與其他網(wǎng)路相互物理隔離，主要承擔(dān)各級建設(shè)部門與黨委、政府電子公文交換、政務(wù)信息報送、行政權(quán)力網(wǎng)上公開透明運行和信用信息交換，以及與政府其他職能部門信息共享共用等功能。

建設(shè)系統(tǒng)電子政務(wù)網(wǎng)絡(luò)拓撲結(jié)構(gòu)如圖1所示。

傳統(tǒng)的網(wǎng)絡(luò)硬件部署在實際應(yīng)用中雖然能夠滿足需求，但在資源利用效率和網(wǎng)絡(luò)安全上還存在以下問題。

1.1 硬件資源的傳統(tǒng)部署模式導(dǎo)致服務(wù)器效能低下

各級建設(shè)系統(tǒng)計算機網(wǎng)絡(luò)中心承擔(dān)著為不同 業(yè)務(wù)部門和單位提供IT基礎(chǔ)設(shè)施服務(wù)的任務(wù)。隨著信息化建設(shè)的發(fā)展，面臨的挑戰(zhàn)也越來越嚴(yán)峻：不同時期開發(fā)的業(yè)務(wù)系統(tǒng)，由不同的業(yè)務(wù)處室或單位獨立開發(fā)，每套系統(tǒng)的維護管理一般由建設(shè)單位負責(zé)。僅省級部門共有獨立的信息系統(tǒng)、網(wǎng)站等22個，擁有服務(wù)器設(shè)備31臺。按照傳統(tǒng)的建設(shè)模式，通常是一個物理機運行單個應(yīng)用，而且，為了確保一些重點應(yīng)用系統(tǒng)的業(yè)務(wù)連續(xù)性，還采用雙機熱備的方式。隨著服務(wù)器數(shù)量的急劇增加，機房空間日趨飽和、電力負荷接近滿載，尤其是在工作峰值時段，機器散熱問題引發(fā)系統(tǒng)故障時有發(fā)生。此外，設(shè)備維護、精密空調(diào)24小時不間斷運行等運維成本居高不下。

經(jīng)過對服務(wù)器性能進行跟蹤監(jiān)控后發(fā)現(xiàn)，目前運行的服務(wù)器利用率十分低下，CPU平均利用率在6%-10%左右，遠未充分發(fā)揮現(xiàn)有硬件資源的作用。此外，應(yīng)用系統(tǒng)和服務(wù)器數(shù)量同比例增加后，其管理難度同時加大。因此，整合網(wǎng)絡(luò)硬件資源的工作十分迫切。

1.2 信息網(wǎng)絡(luò)的傳統(tǒng)部署模式導(dǎo)致安全隱患

1、不同安全等級區(qū)域間未隔離

圖1 建設(shè)系統(tǒng)電子政務(wù)網(wǎng)絡(luò)拓撲結(jié)構(gòu)圖

在外網(wǎng)區(qū)域內(nèi)，屬于第二保護等級的Web應(yīng)用服務(wù)區(qū)、業(yè)務(wù)系統(tǒng)區(qū)和屬于第三保護等級的數(shù)據(jù)存儲區(qū)之間，未按照公安部《關(guān)于信息安全等級保護工作的實施意見》的要求，嚴(yán)格采用有效的隔離方式，一旦較低級別的區(qū)域遭受黑客攻擊，較高等級的區(qū)域?qū)⒖赡苤苯娱_放給黑客，極易受到攻擊和入侵。

2、未建立完備的數(shù)據(jù)備份系統(tǒng)

建設(shè)系統(tǒng)電子政務(wù)信息數(shù)據(jù)涉及：城鄉(xiāng)規(guī)劃、建設(shè)和管理、住房保障、建筑市場監(jiān)管、房地產(chǎn)市場監(jiān)管、建筑節(jié)能和行政審批等信息，還包括機關(guān)內(nèi)部辦公自動化系統(tǒng)及公文交換系統(tǒng)中的各類收文來文信息。建設(shè)行業(yè)一些信息數(shù)據(jù)與社會民生和社會穩(wěn)定息息相關(guān)，其重要性可想而知，而且數(shù)據(jù)類型多（結(jié)構(gòu)化和非結(jié)構(gòu)化數(shù)據(jù)），數(shù)據(jù)量大（空間數(shù)據(jù)等圖文共存），時效性強（行政審批信息、房產(chǎn)市場交易信息等），但是，由于建設(shè)存儲系統(tǒng)前期投入較大，不少地方至今尚未建立完備的數(shù)據(jù)備份系統(tǒng)，一旦發(fā)生重要數(shù)據(jù)丟失事故，后果不堪設(shè)想。

3、計算機終端可能成為信息網(wǎng)絡(luò)安全管理的盲區(qū)

不同地區(qū)和部門信息網(wǎng)絡(luò)安全防范意識、計算機應(yīng)用水平和工作人員自身綜合素質(zhì)等存在較大差異，加上部分終端計算機使用未經(jīng)有效認(rèn)證，極有可能被黑客利用成為“跳板”，通過內(nèi)部網(wǎng)絡(luò)繞過防火墻和入侵檢測設(shè)備，掌控服務(wù)器核心區(qū)域的訪問控制權(quán)限，逐級攻破Web應(yīng)用服務(wù)區(qū)、業(yè)務(wù)系統(tǒng)區(qū)和數(shù)據(jù)存儲區(qū)，注入木馬病毒等程序致使系統(tǒng)癱瘓、數(shù)據(jù)丟失，甚至造成敏感信息泄露事故。

4、用戶身份認(rèn)證強度低

近50%以上的建設(shè)系統(tǒng)行政管理部門仍沿用傳統(tǒng)的“用戶名+ 口令”的方式，還有一部分業(yè)務(wù)系統(tǒng)已采用自制密碼鎖的方式登錄系統(tǒng)，大部分系統(tǒng)尚未采用具有法律效力的第三方數(shù)字身份認(rèn)證（CA認(rèn)證）登錄。目前的應(yīng)用系統(tǒng)一般采用B/S構(gòu)架，若沒有采取嚴(yán)格的身份認(rèn)證等安全措施，用戶通過互聯(lián)網(wǎng)訪問系統(tǒng)時，非法用戶有可能破譯登錄密鑰，非法獲取訪問權(quán)入侵?jǐn)?shù)據(jù)庫破壞系統(tǒng)。

2 優(yōu)化硬件網(wǎng)絡(luò)共享平臺對策

應(yīng)用VMware虛擬技術(shù)是優(yōu)化硬件網(wǎng)絡(luò)資源，提高資源利用效率的有效方法。

VMware能在單一的物理平臺上無限多的運行完全隔離的系統(tǒng)環(huán)境，而每一個虛擬服務(wù)器，從功能、性能和操作方式上，等同于傳統(tǒng)的單臺物理服務(wù)器，在每個虛擬服務(wù)器上，再安裝配置Windows或Linux操作系統(tǒng)，進而再安裝應(yīng)用軟件，這樣以前的每個物理服務(wù)器就變身成為VMware服務(wù)器上的虛擬機，從而大大提高資源利用率，降低成本，增強系統(tǒng)和應(yīng)用的可用性，提高系統(tǒng)的靈活性和快速響應(yīng)，實現(xiàn)服務(wù)器虛擬架構(gòu)的整合。這樣可以控制和減少物理服務(wù)器的數(shù)量，明顯提高每個物理服務(wù)器及其CPU的資源利用率，從而降低硬件成本。

圖2 優(yōu)化的建設(shè)系統(tǒng)電子政務(wù)網(wǎng)絡(luò)拓撲結(jié)構(gòu)圖

采用虛擬架構(gòu)后，每個虛擬機所需使用的系統(tǒng)資源均由虛擬架構(gòu)軟件統(tǒng)一調(diào)配，這種調(diào)配可以在虛擬機運行過程中在線的發(fā)揮作用，使每一個應(yīng)用均有充分的資源來保證穩(wěn)定運行。同時，該應(yīng)用閑置資源又可以被其他更需要的資源調(diào)度過去，最大限度地提高整體系統(tǒng)的資源利用率。虛擬化后的信息網(wǎng)絡(luò)資源突顯以下優(yōu)勢：

1、通過部署服務(wù)器虛擬化技術(shù)，顯著地提升了服務(wù)器的利用率，每個服務(wù)器的平均利用率從5%-15%提高到60%-80%，并且將部署應(yīng)用所需要的物理服務(wù)器大幅度降低，節(jié)約出來的服務(wù)器和數(shù)據(jù)中心空間可以部署新應(yīng)用。

2、大大降低運營成本，包括數(shù)據(jù)中心空間、機柜、網(wǎng)線、耗電量、冷氣空調(diào)和人力成本。

3、由于整合了多臺物理服務(wù)器，能夠有效降低服務(wù)器維護管理所需要的工作量。

4、將所有服務(wù)器作為一個資源池統(tǒng)一進行管理，并按需自動進行動態(tài)資源調(diào)配。

在實際硬件網(wǎng)絡(luò)部署中，配合集中存儲方式，將虛擬機的文件系統(tǒng)集中存儲在存儲陣列空間的中，利用VMware群集文件系統(tǒng)，允許多個VMware服務(wù)器訪問同一虛擬機存儲，通過VMware提供的基于虛擬化的分布式基礎(chǔ)結(jié)構(gòu)服務(wù)，可在一臺VMware服務(wù)器故障情況下啟動另外一臺VMware服務(wù)器加載虛擬機文件系統(tǒng)，恢復(fù)應(yīng)用和業(yè)務(wù)系統(tǒng)的運行，消除單點故障。

部分城市建設(shè)部門已開始采用虛擬化技術(shù)整合優(yōu)化硬件網(wǎng)絡(luò)資源，盡管這種方式一次性投入較多，但從長遠看，它實現(xiàn)了資源最優(yōu)化調(diào)度，硬件資源始終高效率運行，整體投入反而降低，實際應(yīng)用效果良好。

經(jīng)過優(yōu)化的建設(shè)系統(tǒng)電子政務(wù)網(wǎng)絡(luò)拓撲結(jié)構(gòu)圖如圖2所示。

3 加強信息網(wǎng)絡(luò)安全的對策

加強信息網(wǎng)絡(luò)安全技術(shù)層面工作，應(yīng)按照“兩統(tǒng)一”、“兩嚴(yán)格”的要求進行。

3.1 統(tǒng)一安全隔離設(shè)備部署

使用防火墻設(shè)備將不同等級區(qū)域隔離，并采用訪問策略進行不同等級間的訪問控制。對于WEB服務(wù)區(qū)，禁止其訪問機關(guān)辦公區(qū)、業(yè)務(wù)系統(tǒng)區(qū)和系統(tǒng)服務(wù)區(qū)，也禁止其主動訪問互聯(lián)網(wǎng)，只允許互聯(lián)網(wǎng)及機關(guān)辦公區(qū)訪問WEB服務(wù)區(qū)的網(wǎng)站服務(wù)，及WEB服務(wù)區(qū)對指定數(shù)據(jù)存儲區(qū)服務(wù)設(shè)備的訪問。對于業(yè)務(wù)系統(tǒng)區(qū)及數(shù)據(jù)存儲區(qū)則采用類似安全策略進行防護。

3.2 統(tǒng)一數(shù)據(jù)存儲系統(tǒng)部署

在數(shù)據(jù)存儲區(qū)部署存儲設(shè)備，對數(shù)據(jù)存儲區(qū)設(shè)備內(nèi)數(shù)據(jù)進行熱機備份，同時部署虛擬帶庫系統(tǒng)，對數(shù)據(jù)進行外部存儲介質(zhì)備份，定期將外部存儲介質(zhì)轉(zhuǎn)移至異地存放，確保數(shù)據(jù)庫和應(yīng)用系統(tǒng)安全。

3.3 嚴(yán)格用戶終端管理

使用統(tǒng)一的IP管理策略和部署網(wǎng)絡(luò)管理系統(tǒng)，對各個用戶終端統(tǒng)一規(guī)劃和管理，定期進行系統(tǒng)漏洞掃描和補丁修復(fù)，定期進行病毒查殺和升級，杜絕其成為不同等級安全域之間的“跳板”。

采用防火墻策略限定用戶終端只能對Web應(yīng)用服務(wù)區(qū)、業(yè)務(wù)系統(tǒng)區(qū)和數(shù)據(jù)存儲區(qū)指定服務(wù)端口和設(shè)備的訪問，即使終端被黑客控制，也只能對有限的服務(wù)和設(shè)備造成影響，將事件的危害控制在最小的范圍和深度。

3.4 嚴(yán)格用戶身份認(rèn)證

使用防火墻設(shè)備將業(yè)務(wù)網(wǎng)接入電子政務(wù)外網(wǎng)中，并統(tǒng)一采用VPN、CA等身份認(rèn)證技術(shù)，控制互聯(lián)網(wǎng)用戶訪問同電子政務(wù)外網(wǎng)邏輯隔離的業(yè)務(wù)網(wǎng)中業(yè)務(wù)系統(tǒng)。

業(yè)務(wù)系統(tǒng)部署在業(yè)務(wù)網(wǎng)中，采用邏輯隔離方式與電子政務(wù)外網(wǎng)聯(lián)通，處在互聯(lián)網(wǎng)的用戶必須首先訪問SSL VPN，并通過用戶名密碼和CA認(rèn)證后，才可以取得對業(yè)務(wù)系統(tǒng)的訪問權(quán)限，而且SSL VPN根據(jù)用戶策略限定用戶對業(yè)務(wù)網(wǎng)中系統(tǒng)的訪問范圍，將用戶權(quán)限控制在最低程度。這樣，內(nèi)部業(yè)務(wù)系統(tǒng)只對授權(quán)的互聯(lián)網(wǎng)用戶開放訪問權(quán)限。

4 結(jié)語

電子政務(wù)信息安全是一項復(fù)雜的系統(tǒng)工程，是一個融復(fù)雜組織和先進IT技術(shù)于一體的復(fù)合體。信息網(wǎng)絡(luò)安全建設(shè)要統(tǒng)一考慮，長遠規(guī)劃，才能保證技術(shù)的先進性和可擴展性。雖然現(xiàn)有的網(wǎng)絡(luò)結(jié)構(gòu)已經(jīng)能夠解決很多的安全問題，基本滿足應(yīng)用系統(tǒng)實際運行需要，但在提高硬件資源綜合利用率上需進一步優(yōu)化，信息網(wǎng)絡(luò)安全上需不斷加固，更好地適應(yīng)建設(shè)行業(yè)電子政務(wù)信息化建設(shè)的新形勢。