文/施偉春 陳娟 朱伊帆

【機動車專欄】

檢測機構網絡安全構架分析

文/施偉春 陳娟 朱伊帆

本文結合檢測機構應用特點和系統(tǒng)通用架構的現狀，通過對信息安全各個組成要素的分析，同時針對管理手段以及信息應用的實際情況，運用當今先進、成熟和安全的軟硬件技術手段，進行系統(tǒng)集成和整合，研究構建以管理措施為保障，不僅滿足檢測機構應用要求，且符合國家頒布的相關互聯網安全法規(guī)與標準的高質量數據傳輸的立體式信息安全架構體系。

檢測機構 網絡 標準 質量

信息技術普遍應用于各行各業(yè)，為提高效率、規(guī)范流程和簡化查詢等提供便利，已成為日常工作生活不可或缺的工具。對于企業(yè)來說，信息技術的深入應用已成為構建企業(yè)核心競爭力的必要技術手段，這也是當代企業(yè)賴以生存的技術工具和基本條件。但，近年來互聯網黑客行為愈演愈烈，互聯網環(huán)境堪憂。黑客攻擊技術的發(fā)展，也促使防御技術不斷更新，目前已形成了一系列成熟的防御模型，被業(yè)界普遍使用?；ヂ摼W是企業(yè)信息公開、發(fā)布的大環(huán)境，因此網絡安全直接影響到企業(yè)的生存，而企業(yè)在構建自身網絡架構時，往往只借助成熟的模型和案例，長此以往便形成了拿來主義。照搬照抄，或許可迅速構建基本的安全防御體系，但由于前期缺乏量體裁衣的長遠構架考慮，實際使用中問題頻出，未來只能在不斷完善、持續(xù)投入而系統(tǒng)卻越來越復雜、效果又不佳的怪圈中循環(huán)往復。一般企業(yè)尚且如此，那么對于更注重信息價值和依賴信息技術的檢測機構而言，問題就更為明顯。要建立適合自身實際的網絡安全構架，必須先分析實際的應用需求，因為應用需求是構建網絡安全架構的關鍵。但在分析檢測機構信息技術應用特點之前，我們需了解檢測機構網絡現狀。

一、檢測機構網絡現狀

檢測機構是具有政府授權資質的公共實驗室，從事產品的技術研究、檢驗、檢測和校準等工作，為產品的性質判定提供客觀數據，具有獨立性、科學性、公正性和嚴謹性等特點，是在公眾中具有公信力的技術性組織。檢測機構的工作職責是依據相關標準，對產品的尺寸、質量和性能等要素進行測定，判斷其是否符合規(guī)定的要求，并提交相應的檢測報告。因檢測業(yè)務涉及商業(yè)機密，對數據安全保護系統(tǒng)的質量提出了較一般行業(yè)更高的標準和要求。

我們曾走訪幾家檢測機構，發(fā)現其在網絡安全架構方面普遍存在如下問題：

·水土不服：硬件照搬照抄造成軟、硬件功能重復、兼容問題影響系統(tǒng)正常運行；

·應用層面脫鉤：軟、硬件不匹配造成應用層面脫鉤，信息系統(tǒng)運行不理想；

·投入不足：網絡安全資金投入不足，造成防御體系落后，易被木馬、病毒侵入；

·管理漏洞：主要表現在IT管理人員網絡安全意識淡薄、網絡安全管理制度滯后、網絡安全知識普及度不高等方面；

·信息應用系統(tǒng)原發(fā)缺陷：原發(fā)缺陷不可避免，如程序代碼設計缺陷、部署環(huán)境不穩(wěn)定等。

二、檢測機構網絡應用需求

檢測機構網絡應用更注重于數據來源的可靠性，結論的科學性和準確性，信息發(fā)布的公正性和權威性。通常檢測機構的信息應用需求可分為兩類：

檢測機構為滿足日益增長和全方位的應用需求，一般都需擁有實驗室管理系統(tǒng)（LIMS）、辦公自動化系統(tǒng)（OA）、客戶管理系統(tǒng)（CRM）、企業(yè)資源管理計劃（ERP）、園區(qū)公共管理系統(tǒng)等實現內部實驗室、行政辦公和客戶資源等信息的管理；需擁有郵件系統(tǒng)進行信息收發(fā)與交互；需擁有門戶網站提供機構技術能力與自身文化的展示平臺。

檢測機構自身對應用相關的服務也提出了需求，如需滿足龐大的網絡打印管理、內網互聯需求和客戶聯網需求等，但這些服務需求的滿足必須建立在確保數據安全的基礎上。

三、檢測機構網絡安全架構方法及原則

據調研，檢測機構往往熱衷于引進各類成熟的應用系統(tǒng)來滿足日益增長的應用需求，網絡安全系統(tǒng)建設也依賴于成熟的商業(yè)模型。這樣將導致3種局面：一是，系統(tǒng)實際功能與機構的應用需求不匹配，需改進和完善；二是，機構的應用需求不斷變化，導致系統(tǒng)功能無法匹配而不斷淘汰更新；三是，采用成熟的商業(yè)模型，容易遭黑客攻擊，系統(tǒng)生命期短，需不斷升級換代，造成人財物資源的浪費。

因此，我們認為比較可行的方案：一是，從機構的實際應用出發(fā)，根據對應用的需求分析和遠景展望，統(tǒng)一規(guī)劃架構；二是，根據實際應用的階段性需求，以統(tǒng)一規(guī)劃的架構模型為基礎，結合現階段穩(wěn)定實用的技術，制訂階段性構建目標和方案，分階段實施；三是，緊隨技術發(fā)展潮流，適度調整，合理選擇產品，以節(jié)約建設投資，達到良好建設效果。可概括為“統(tǒng)一規(guī)劃，分步實施”。這樣既有長遠而整體的規(guī)劃來保證網絡安全構架的清晰有序，又可因為分階段實施，在具體建設過程中采用新的技術手段和產品，使網絡系統(tǒng)建設真正實現“適時而建，建則不費”。

根據網絡安全技術標準的要求，我們應從操作系統(tǒng)層面、用戶層面、應用層面、網絡層面、數據鏈路的安全層面考慮，結合局域網環(huán)境，邊界、用戶環(huán)境和網絡等方面安全要求，規(guī)劃構架。經調研發(fā)現，檢測機構經多年發(fā)展，其網絡建設工作基本是對原有系統(tǒng)的改造。在此，我們取長補短，以構建高性能、高安全、高穩(wěn)定性和高數據傳輸質量符合相關法規(guī)標準的網絡架構為目標，提出以下建網原則：

·統(tǒng)一規(guī)劃，分段實施；

·高速的網絡鏈接；

·信息結構多樣化；

·良好的可擴充性；

·安全質量可靠；

·操作方面，易于管理；

·性價比高；

·符合全國信息安全委員會提出的技術標準。

四、構建符合檢測機構需求的網絡安全架構

基于以上可知，檢測機構網絡應用具有性能、穩(wěn)定性、安全性3方面的要求，在兼得性能和穩(wěn)定性的同時，在安全性方面應滿足保密性、完整性、可用性、可控性和可審查性等要求。我們提出檢測機構構建基于“四類網絡、三個中心”的網絡安全架構。

①辦公局域網：根據我國公安部第82號令《互聯網安全保護技術措施規(guī)定》，安全級別達到1~3級的網絡，主要應用于檢測機構內部辦公需要，內含機構相關核心業(yè)務；

②機構門戶網（網站）：主要作為檢測機構互聯網門戶，是對外形象展示窗口；

③政務網：根據公安部第82號令，是安全級別達3級及以上網絡，需要高安全級別，要求達到網絡物理分隔，內含機密內容；

④客戶服務網：提供客戶在機構場地范圍內上網服務的網絡，在為客戶提供上網服務便利的同時，亦滿足公安部、信息產業(yè)部等信息安全相關法律法規(guī)要求。

①核心計算中心（見圖1）：主要承擔業(yè)務核心計算工作，與核心數據中心共同承擔業(yè)務計算數據存放，互為實時鏡像、達到負載均衡，互為遠程業(yè)務災備。

圖1 檢測機構三個中心

②核心數據中心：存放實時鏡像數據，核心業(yè)務集群服務器等，可作為核心計算中心的無中斷業(yè)務系統(tǒng)，實現自動切換功能，使得核心計算中心在遇到IT基礎設施損壞無法正常服務時，以最快速度恢復關鍵業(yè)務系統(tǒng)的正常運行。

③備份中心：存放核心業(yè)務及應用系統(tǒng)數據，實現定時自動存儲，通過專用存儲數據網絡SAN實現高速數據備份恢復，作為遠程災備中心用于防范各類自然災難及人為災難對信息系統(tǒng)造成的影響，確保信息業(yè)務系統(tǒng)快速恢復，將數據損失和經濟損失降到最低。

圖2 檢測機構網絡安全總體架構圖

檢測機構網絡安全總體架構如上圖2所示，按照網絡基礎安全技術標準，網站平臺、客戶網、政務網單獨搭建，與局域網物理隔離；局域網按照功能劃分為不同的區(qū)域，如業(yè)務系統(tǒng)服務器區(qū)、數據備份區(qū)域、用戶接入區(qū)域等，各區(qū)域之間按照制定的安全策略進行網絡邊界的控制；局域網DMZ區(qū)域作為需要為互聯網用戶提供服務及數據訪問的區(qū)域，需要在互聯網與網絡邊界處進行網絡安全控制，以確保數據傳輸質量符合GB/T 20270－2006《網絡基礎安全技術要求》的要求。

實際應用時，應根據各類網絡的特點對其進行分類安全管理：

①局域網需要授權管理、VPN、入侵檢測、防火墻、防毒墻、網絡監(jiān)控、上網管理、日志審核和設備加固；

②網站平臺需執(zhí)行以上除上網管理以外的全部措施；

③客戶網按國家信息安全相關法律規(guī)定的標準，至少需要授權管理及日志審核、防火墻等安全技術；

④政務網需遵循政務網管理部門相關安全規(guī)定，必須物理隔離。

基于以上設想及網絡安全架構，上海機動車檢測中心已進行了規(guī)劃，并實施了第一階段的改造工作。已建立本文所述的“四類網絡”，目前運行情況良好，通過第一階段的改造有效地提高原有網絡的安全性，為內部員工和外部客戶提供了高效、安全的信息服務。建成的多個網站與平臺（中心網站、機動車出口認證檢測網、全國四輪全地形車標準化技術委員會網、出口認證平臺、標準資源平臺），擴大了其行業(yè)知名度和影響力，取得了良好的社會經濟效益。

五、強化管理的措施建議

除了合理、依需搭建網絡構架，為保障今后的運維我們還建議加強以下各方面管理工作。

對網絡突發(fā)事件及時響應，減少業(yè)務停頓時間，避免服務器或系統(tǒng)遭非法入侵；對于已遭破壞的數據采取相應的技術恢復手段；定期培訓提升IT人員對網絡突發(fā)事件的處理能力；追蹤非法入侵人員。

定期對內部員工進行計算機操作和信息安全知識的培訓，做好宣貫工作，提升員工計算機操作能力及信息安全意識。

明確規(guī)定信息安全相關措施，技術上嚴格控制違規(guī)操作，員工人人遵守，對網絡安全也是一種保障。

當代檢測機構的信息化建設日新月異，網站成為檢測機構在互聯網上展示的窗口；應用信息系統(tǒng)則擔當機構內部信息數據的組織管理者，而兩者的實現都需要擁有一個高安全性、高穩(wěn)定性，同時又能夠滿足各種信息應用需求的網絡構架作為后盾。檢測機構的發(fā)展離不開信息化，基于“四類網絡、三個中心”設想的網絡安全架構適用于檢測機構，并將為檢測機構今后的信息化建設提供可靠的技術保障。

[1] 北京江南天安科技有限公司.GA/T 709-2007《信息系統(tǒng)安全等級保護基本模型》[S].北京:中國標準出版社,2007.

[2] 北京思源新創(chuàng)信息安全資訊有限公司,江南計算技術研究所技術服務中心.GB/T 20270-2006《網絡基礎安全技術要求》[S].北京:中國標準出版社,2006.

[3] 公安部信息安全等級保護評估中心.GB/T 22239-2008《信息安全技術信息系統(tǒng)安全等級保護基本要求》[S].北京:中國標準出版社,2008.

The paper integrated the status of the application characteristics of inspection authority and system's general framework;analyzed the various elements of information security; conducted systems integration according to the actual situation of management tools as well as information application by using currently advanced,mature and safe hardware and software technologies;and studied the construction of three dimensional information safety framework system safeguarded by management measures,which is a high-quality data transmission information security network system that not only meet the application requirements the inspection authority,but also in accordance with internet security regulations and standards issued by Chinese government.

Inspection Authority;Network;Standards;Quality

（作者單位：上海機動車檢測中心）