蘭 蕊,劉旭生
1.忻州師范學院,山西忻州 034000
2.山西忻州供電分公司,山西忻州 034000
論信息系統(tǒng)中關(guān)鍵數(shù)據(jù)的深度防護
蘭 蕊1,劉旭生2
1.忻州師范學院,山西忻州 034000
2.山西忻州供電分公司,山西忻州 034000
關(guān)鍵數(shù)據(jù)的安全直接關(guān)系著現(xiàn)代企業(yè)的發(fā)展命脈,針對企業(yè)關(guān)鍵數(shù)據(jù)安全的重要性,本文提出了建立信息系統(tǒng)中關(guān)鍵數(shù)據(jù)的深度防護體系,從信息設(shè)備、網(wǎng)絡(luò)傳輸和數(shù)據(jù)加密3個方面論述了關(guān)鍵數(shù)據(jù)深度防護體系的必要性和可靠性。通過在某大型企業(yè)部署深度防護體系,大大增強了關(guān)鍵數(shù)據(jù)的安全性,同時也大大提高了整個網(wǎng)絡(luò)與信息系統(tǒng)的穩(wěn)定性。實踐證明該種深度防護體系能有效保障關(guān)鍵數(shù)據(jù)的安全性。
關(guān)鍵數(shù)據(jù);數(shù)據(jù)保護;訪問控制;加密
信息化發(fā)展到今天,關(guān)鍵數(shù)據(jù)成為現(xiàn)代企業(yè)的核心競爭力,保護數(shù)據(jù)則成為一個企業(yè)立于不敗之地的要素之一。人為操作不當、應用程序漏洞、病毒和黑客攻擊都有可能造成數(shù)據(jù)丟失或損壞,如何能最大限度的保護數(shù)據(jù)不被這些因素破壞已成為一個企業(yè)的重中之重。
目前,大多數(shù)企業(yè)的信息系統(tǒng)均采用客戶終端—應用服務器—數(shù)據(jù)庫服務器的三級業(yè)務模式,如圖1所示,企業(yè)的關(guān)鍵數(shù)據(jù)放置在數(shù)據(jù)庫服務器區(qū)域,該區(qū)域的數(shù)據(jù)是否安全呢,答案是不安全。從系統(tǒng)的體系架構(gòu)上來看,由客戶端向應用服務器發(fā)起訪問請求,應用服務器根據(jù)情況向數(shù)據(jù)庫發(fā)送請求,數(shù)據(jù)庫作出響應并由應用服務器反饋給客戶端,原則上客戶端并不直接訪問數(shù)據(jù)庫。但從圖1的拓撲上就可以看出,應用服務器區(qū)域和數(shù)據(jù)庫服務器區(qū)域的所有服務器通過網(wǎng)絡(luò)對客戶端都是透明的,沒有訪問控制設(shè)備和相應的措施,非法用戶、黑客、病毒通過網(wǎng)絡(luò)都可以侵入數(shù)據(jù)庫服務器區(qū)域,對關(guān)鍵數(shù)據(jù)造成破壞,因此關(guān)鍵數(shù)據(jù)是不安全的,需要構(gòu)建深度防護體系。
圖1
構(gòu)建關(guān)鍵數(shù)據(jù)的深度防護體系需要從以下3方面來解決:
1)實施數(shù)據(jù)保護技術(shù),對關(guān)鍵設(shè)備實行服務器容錯,部署數(shù)據(jù)備份體系,制定合理的災難恢復和容災方案,確保當發(fā)生數(shù)據(jù)災難時能及時完整的恢復數(shù)據(jù);
2)加強訪問控制措施,對信息系統(tǒng)體系進行“分區(qū)分級”,逐級進行防護,確保各級系統(tǒng)只能讓授權(quán)用戶訪問被授權(quán)的數(shù)據(jù),不能越級訪問;
3)部署數(shù)據(jù)加密體系,針對數(shù)據(jù)庫層、應用服務層和客戶終端層分別進行節(jié)點加密、鏈路加密和端對端加密,防止數(shù)據(jù)在傳輸時被竊聽、泄漏、篡改和破壞。
采用雙機熱備技術(shù)或服務器集群技術(shù)對存放重要數(shù)據(jù)的服務器實行服務器容錯,可以極大地降低企業(yè)業(yè)務在災難發(fā)生時的損失,保證業(yè)務系統(tǒng)的7×24小時不間斷運轉(zhuǎn)。
數(shù)據(jù)備份是一種十分重要的數(shù)據(jù)安全策略,通過備份軟件把數(shù)據(jù)備份到磁帶設(shè)備或是其它設(shè)備上,在原始數(shù)據(jù)丟失或遭到破壞的情況下,利用備份數(shù)據(jù)把原始數(shù)據(jù)恢復出來,使系統(tǒng)能夠正常工作。從備份方案來看,主要有完全備份、增量備份和差異備份3種,一般都是結(jié)合使用。網(wǎng)絡(luò)存儲備份管理系統(tǒng)可以對整個網(wǎng)絡(luò)的數(shù)據(jù)進行備份管理,系統(tǒng)管理員可對全網(wǎng)的備份策略進行統(tǒng)一管理,備份服務器可以監(jiān)控所有機器的備份作業(yè),也可以修改備份策略,并可即時瀏覽所有目錄。
數(shù)據(jù)恢復與備份技術(shù)本身并不沖突,前者作為后者的補救手段。常見容災系統(tǒng)按業(yè)務系統(tǒng)不同、所要求的RTO和RPO不同,可分為介質(zhì)容災、遠程備份容災、數(shù)據(jù)容災和應用容災等四種類型(本文只討論數(shù)據(jù)容災)。數(shù)據(jù)容災的保護對象是業(yè)務數(shù)據(jù),容災方案必須能夠?qū)崿F(xiàn)對數(shù)據(jù)庫數(shù)據(jù)、基于文件系統(tǒng)的數(shù)據(jù),甚至對系統(tǒng)的數(shù)據(jù)卷,進行實時有效保護。根據(jù)數(shù)據(jù)的需要,可以實現(xiàn)數(shù)據(jù)文件容災、數(shù)據(jù)庫容災、存儲網(wǎng)絡(luò)層數(shù)據(jù)容災、數(shù)據(jù)卷容災、磁盤陣列級數(shù)據(jù)容災等功能。
如圖2所示,將整個系統(tǒng)拓撲分為3個大區(qū):客戶終端區(qū)、應用服務器區(qū)和數(shù)據(jù)庫區(qū)。在客戶終端區(qū)和應用服務器區(qū)之間部署第一道防火墻和入侵防御系統(tǒng)IPS(圖2中的防火墻1和IPS)。對應用服務器區(qū)的服務分為公共服務類和專業(yè)服務類。公共服務是為所有終端提供服務的,比如DNS服務、全局性的WWW服務、網(wǎng)絡(luò)版殺毒軟件分發(fā)、辦公系統(tǒng)服務等,此類服務幾乎所有終端都會使用,所以對此類服務進行端口控制,不進行IP限制。如DNS服務器只打開53端口,防火墻1設(shè)置策略:只有通過53端口才能訪問DNS服務器。專業(yè)服務如財務、生產(chǎn)、營銷等應用服務等,該類型服務是局限在某類專業(yè)人員范圍內(nèi)使用的,用戶不多,因此防火墻1設(shè)置策略:只有專業(yè)用戶終端的IP地址通過特定的端口才可以訪問對應的專業(yè)服務。在防火墻1和交換機1之間部署IPS,通過IPS深入到7層的分析與檢測,實時阻斷網(wǎng)絡(luò)流量中隱藏的病毒、蠕蟲、木馬、間諜軟件、DDoS等攻擊和惡意行為,并對分布在網(wǎng)絡(luò)中的各種P2P、IM等非關(guān)鍵業(yè)務進行有效管理,實現(xiàn)對網(wǎng)絡(luò)應用、網(wǎng)絡(luò)基礎(chǔ)設(shè)施和網(wǎng)絡(luò)性能的全面保護。
在應用服務器區(qū)和數(shù)據(jù)庫區(qū)部署第二道防火墻(圖2中的防火墻2),因為數(shù)據(jù)庫區(qū)存儲的都是關(guān)鍵數(shù)據(jù),所以它是整個信息系統(tǒng)的核心。數(shù)據(jù)庫區(qū)的數(shù)據(jù)都是通過應用服務器來提交的,客戶終端不可能直接向數(shù)據(jù)庫中存數(shù)數(shù)據(jù),因此在防火墻2上部署策略:只允許特定的應用服務器通過特定的端口訪問對應數(shù)據(jù)庫中的數(shù)據(jù),并開啟日志。
如上所述,對應用服務器區(qū)的防護形成一級防護,防止客戶終端對應用服務進行非法訪問或攻擊,保證了應用服務器區(qū)的安全;對數(shù)據(jù)庫區(qū)的防護形成二級防護,防止非法用戶直接訪問或通過應用服務器訪問數(shù)據(jù)庫,確保數(shù)據(jù)安全。用戶終端只能通過特定的端口或特定IP來訪問對應的應用服務器,數(shù)據(jù)庫只能被指定的應用服務器訪問,不能越權(quán)越級訪問,保證了整個信息系統(tǒng)安全穩(wěn)定運行。
圖2
網(wǎng)絡(luò)加密技術(shù)就是指對數(shù)據(jù)進行編碼使其看起來毫無意義,同時仍保持其可恢復的形式,接收到的加密消息可以被解密,轉(zhuǎn)換回它原來的可理解的形式。加密可以在網(wǎng)絡(luò)的不同層次上進行,對應于數(shù)據(jù)庫層、應用服務層和客戶終端層的3層模式可以分別用節(jié)點加密、鏈路加密和端對端加密對數(shù)據(jù)進行保護。
1)節(jié)點加密。它對數(shù)據(jù)庫層加密,它僅對報文加密而不對報頭加密,以便于傳輸路由根據(jù)其報頭的標識進行選擇;
2)鏈路加密。它對數(shù)據(jù)庫層和應用服務層之間的傳輸鏈路進行加密。鏈路加密側(cè)重與在通信鏈路上而不考慮信源和信宿,是對保密信息通過各鏈路采用不同的加密密鑰提供安全保護的。它面向節(jié)點,對于客戶終端層主體是透明的;
3)端對端加密。它對客戶終端層進行加密,不對下層協(xié)議進行信息加密,協(xié)議信息以明文形式傳輸,用戶數(shù)據(jù)在中央節(jié)點不需解密。由于網(wǎng)絡(luò)本身并不會知道正在傳送的數(shù)據(jù)是加密數(shù)據(jù),這對防止拷貝網(wǎng)絡(luò)軟件和軟件漏洞也很有效。而且網(wǎng)絡(luò)上的每個用戶可以擁有不同的加密密鑰,網(wǎng)絡(luò)本身不需要增添任何專門的加解密設(shè)備,但每個系統(tǒng)具備加密設(shè)備與軟件。6 結(jié)論
關(guān)鍵數(shù)據(jù)的安全已成為一個企業(yè)信息化的核心內(nèi)容,保證關(guān)鍵數(shù)據(jù)的安全是信息化工作的必需。本文深入討論了關(guān)鍵數(shù)據(jù)深度防護體系,對設(shè)備實施數(shù)據(jù)保護技術(shù)、對網(wǎng)絡(luò)加強訪問控制措施、對數(shù)據(jù)進行加密,從關(guān)鍵數(shù)據(jù)可能出現(xiàn)安全問題的3個方面分別進行了論述并提出解決方案,通過該體系的實施可以保證關(guān)鍵數(shù)據(jù)的安全。
[1]郭鑫,催紅霞,姜彬.企業(yè)網(wǎng)絡(luò)安全致勝寶典[M].電子工業(yè)出版社.網(wǎng)絡(luò)技術(shù),2007,10.
[2]陳逸,謝霆.網(wǎng)絡(luò)優(yōu)化與故障檢修手冊[M].電子工業(yè)出版社.網(wǎng)絡(luò)技術(shù),2005,9.
[3]李輝,張立,宋曉倩.黑客攻防與計算機病毒分析檢測安全解決方案[M].電子信息技術(shù)出版社,2006,6.
[4]Catherine paquet,Diane Teare.組建可擴展的Cisco互連網(wǎng)絡(luò)[M].人民郵電出版社,2004,2.
[5]何艷輝,王達.網(wǎng)管員必讀—網(wǎng)絡(luò)管理[M].電子工業(yè)出版社,2005,3.
[6]仲治國.搞定黑客當好網(wǎng)管[M].電腦報電子音像出版社,2009,4.
TP393
A
1674-6708(2011)35-0178-02