楊凱

（海河水利委員會海河下游管理局，天津300061）

水利系統(tǒng)內(nèi)外網(wǎng)隔離方案淺析

楊凱

（海河水利委員會海河下游管理局，天津300061）

隨著信息技術(shù)的迅猛發(fā)展和數(shù)字化進(jìn)程的不斷加快，水利信息政務(wù)內(nèi)網(wǎng)和水利公共外網(wǎng)的信息安全變得尤為重要。闡述了水利信息政務(wù)內(nèi)網(wǎng)和公共外網(wǎng)的關(guān)系，根據(jù)信息安全等級保護(hù)辦法，重新規(guī)劃海河下游管理局辦公樓網(wǎng)絡(luò)布局，將政務(wù)內(nèi)網(wǎng)和公共外網(wǎng)進(jìn)行物理隔離，并通過有效的網(wǎng)絡(luò)管理辦法和配套措施，保障水利系統(tǒng)內(nèi)部信息安全。

水利信息；政務(wù)內(nèi)網(wǎng)；公共外網(wǎng)；網(wǎng)絡(luò)隔離

1 引言

隨著信息產(chǎn)業(yè)的飛速發(fā)展，水利信息化建設(shè)取得了重大成就，各類水信息應(yīng)用系統(tǒng)和數(shù)據(jù)資源為政府提供了重要的生產(chǎn)管理手段和技術(shù)支撐。但病毒傳播、網(wǎng)絡(luò)攻擊、數(shù)據(jù)破壞等安全風(fēng)險(xiǎn)也隨著信息化的發(fā)展而增加，水利信息政務(wù)內(nèi)網(wǎng)和水利公共外網(wǎng)的信息安全問題變得尤為重要，尤其是內(nèi)網(wǎng)中存有大量水利工程資料、水域信息資料、流域水文資料等。這些信息如果遭遇外部攻擊、互聯(lián)網(wǎng)病毒入侵或者內(nèi)部泄密，將會帶來不可估量的損失和危害。因此，科學(xué)有效地解決水利信息政務(wù)內(nèi)網(wǎng)和水利公共外網(wǎng)隔離問題變得尤為重要。

筆者依據(jù)《信息安全等級保護(hù)管理辦法》及海委信息安全等級保護(hù)整改工程的要求，將為海河下游管理局政務(wù)內(nèi)網(wǎng)與公共外網(wǎng)進(jìn)行物理隔離，確保海河下游管理局水利信息政務(wù)內(nèi)網(wǎng)免受外部攻擊、互聯(lián)網(wǎng)病毒入侵，從而達(dá)到等級保護(hù)的相關(guān)要求。

2 水利信息政務(wù)內(nèi)網(wǎng)與公共外網(wǎng)關(guān)系

水利信息政務(wù)內(nèi)網(wǎng)是水利系統(tǒng)內(nèi)部辦公業(yè)務(wù)網(wǎng)絡(luò)，主要為領(lǐng)導(dǎo)決策和指揮提供信息支持和技術(shù)服務(wù)，并承擔(dān)公文、應(yīng)急、值班、郵件、會議等辦公業(yè)務(wù)，運(yùn)行以核心和涉密業(yè)務(wù)為主體的應(yīng)用系統(tǒng)。

水利公共外網(wǎng)是承擔(dān)水利部門與其他相關(guān)部門之間非涉密的信息交換和業(yè)務(wù)互動(dòng)以及水利部門面向企業(yè)和公眾的監(jiān)督和服務(wù)業(yè)務(wù)，運(yùn)行的主要是服務(wù)社會的各類水利業(yè)務(wù)如氣候查詢、雨水情預(yù)報(bào)等業(yè)務(wù)系統(tǒng)，屬于非涉密網(wǎng)。典型的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，如圖1所示。

圖1 計(jì)算機(jī)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)

目前，大部分電子政務(wù)網(wǎng)絡(luò)注重的是外網(wǎng)安全，主要精力也放在針對防御網(wǎng)絡(luò)外部攻擊上，從一定程度上為電子政務(wù)網(wǎng)絡(luò)提供了有效防護(hù)。在日常工作中，水利信息政務(wù)內(nèi)網(wǎng)中處理的文件部分內(nèi)容屬于單位內(nèi)部重要信息，一旦遭到惡意竊取或破壞，將危及企事業(yè)單位的利益和安全。

將水利信息政務(wù)內(nèi)網(wǎng)安全與水利公共外網(wǎng)安全結(jié)合起來，建立一個(gè)完整的安全體系變得尤為重要。主要需求表現(xiàn)在內(nèi)外網(wǎng)應(yīng)實(shí)現(xiàn)物理隔離，認(rèn)證需求，訪問控制需求，保密需求等。其中，認(rèn)證需求是指提供某個(gè)實(shí)體的身份認(rèn)證，保證只有合法用戶才能訪問內(nèi)部資源；訪問控制需求是指涉密公文必須得到嚴(yán)格的訪問控制，確保非法訪問者無法訪問；保密需求是指在全行業(yè)信息與網(wǎng)絡(luò)系統(tǒng)中，保障涉密公文加密存放、加密傳輸。

3 內(nèi)外網(wǎng)終端隔離方式

3.1 隔離方式

內(nèi)外網(wǎng)隔離有邏輯隔離和物理隔離2種概念。邏輯隔離無法隔離數(shù)據(jù)，只是通過軟件使數(shù)據(jù)有選擇地通過，此方法容易被黑客、內(nèi)部用戶等邏輯實(shí)體操縱，因此機(jī)密數(shù)據(jù)的安全不能完全依賴于邏輯隔離。

物理隔離，將政務(wù)內(nèi)網(wǎng)和企事業(yè)公共外網(wǎng)完全分開，中間不作任何連接，為政務(wù)內(nèi)網(wǎng)劃定了完全物理隔離的安全邊界，使得政務(wù)內(nèi)網(wǎng)的可控性增強(qiáng)，便于內(nèi)部管理?，F(xiàn)存在3種物理隔離手段。

（1）雙機(jī)雙網(wǎng)卡模式。即配置2臺終端，分別接入內(nèi)外網(wǎng)中，該方法簡單、直接、快速地將內(nèi)外網(wǎng)進(jìn)行物理隔離。但是，雙機(jī)雙網(wǎng)卡模式會提高企事業(yè)單位投資成本，占用更多的空間，同時(shí)會加重網(wǎng)絡(luò)、終端的維護(hù)負(fù)擔(dān)。

（2）雙硬盤隔離卡模式。即在原有終端上，配置1塊硬盤和1塊隔離卡，2塊硬盤分別對應(yīng)內(nèi)外網(wǎng)，啟動(dòng)機(jī)器時(shí)手動(dòng)選擇進(jìn)入內(nèi)網(wǎng)硬盤和外網(wǎng)硬盤，采取重啟的方式進(jìn)行內(nèi)外網(wǎng)切換，可以有效地實(shí)現(xiàn)內(nèi)外網(wǎng)物理隔離。雙硬盤隔離卡模式的核心在于隔離卡，隔離卡安裝存在一些局限，機(jī)器PCI插槽位置、硬盤位置、供電電源位置都會給安裝帶來不便；同時(shí)，頻繁的內(nèi)外網(wǎng)切換會損耗隔離卡和硬盤的壽命，增加維護(hù)成本。

和血膠囊為皂礬與麩炒蒼術(shù)兩味中藥經(jīng)粉碎加工而制成，具有健脾燥濕、補(bǔ)氣生血的功效，常用于治療脾胃虛弱、氣血不足、面色萎黃、心悸乏力、缺鐵性貧血等癥[1]。和血膠囊原標(biāo)準(zhǔn)收載于衛(wèi)生部藥品標(biāo)準(zhǔn)《中藥成方制劑》第19冊，標(biāo)準(zhǔn)編號：WS3-B-3609-98[1]。原標(biāo)準(zhǔn)只有顯微鑒別對蒼術(shù)藥材、化學(xué)反應(yīng)方法對皂礬進(jìn)行質(zhì)量控制，其專屬性不強(qiáng)，且缺乏定量檢測指標(biāo)，難以真正控制成品的質(zhì)量。按照國家藥監(jiān)局“國家藥品標(biāo)準(zhǔn)提高研究課題任務(wù)書”（項(xiàng)目編號158號）文件要求，對和血膠囊的質(zhì)量標(biāo)準(zhǔn)進(jìn)行全面修訂與提高。

（3）單硬盤隔離卡模式。本模式是在雙硬盤隔離卡模式基礎(chǔ)上升級出來的，隔離卡將硬盤分為外網(wǎng)分區(qū)和內(nèi)網(wǎng)分區(qū)2個(gè)分區(qū)，啟動(dòng)機(jī)器時(shí)手動(dòng)選擇進(jìn)入內(nèi)網(wǎng)分區(qū)和外網(wǎng)分區(qū)，采用系統(tǒng)休眠的方式進(jìn)行內(nèi)外網(wǎng)切換。

3.2 改造情況

根據(jù)《信息安全等級保護(hù)管理辦法》要求，海河下游管理局對原有網(wǎng)絡(luò)機(jī)房進(jìn)行改造。為滿足需求，對原有辦公網(wǎng)絡(luò)重新規(guī)劃。辦公樓共5層，每層20余間辦公室，去除原有網(wǎng)絡(luò)信息點(diǎn)，對每間辦公室重新進(jìn)行布線，滿足每間辦公室內(nèi)2個(gè)外網(wǎng)信息點(diǎn)、2個(gè)內(nèi)網(wǎng)信息點(diǎn)和2個(gè)電話通訊信息點(diǎn)的需求。對會議室、職工休息室、倉庫等非辦公室類房間根據(jù)用途布設(shè)相應(yīng)信息點(diǎn)。

同時(shí)，對現(xiàn)有計(jì)算機(jī)終端進(jìn)行登記。針對部分較為陳舊、不具備申請報(bào)廢條件的計(jì)算機(jī)終端，采用雙機(jī)雙網(wǎng)卡隔離方式，即新配備1臺計(jì)算機(jī)主機(jī)，采用KVM切換器公用1臺顯示器、1套鍵盤鼠標(biāo)，如圖2所示。

圖2 雙主機(jī)雙網(wǎng)卡模式

對部分具備PCI插槽、硬盤容量較小的計(jì)算機(jī)終端，采用雙硬盤隔離卡模式，如圖3所示。

圖3 雙硬盤隔離卡模式

市面上常用隔離卡品牌有宇思盾、偉思、山東中孚等，根據(jù)現(xiàn)有計(jì)算機(jī)終端臺賬，海河下游管理局現(xiàn)有終端以戴爾、方正、清華同方以及兼容機(jī)為主?？紤]到終端機(jī)箱大小、PCI插槽以及隔離卡與主板兼容性幾個(gè)方面，選擇安裝中孚HDP-IIIK720QS型號的隔離卡。該產(chǎn)品即插即用，切換界面自動(dòng)顯示；支持雙百兆網(wǎng)絡(luò)，雙SATA硬盤數(shù)據(jù)流自動(dòng)切換，系統(tǒng)軟件可以實(shí)時(shí)切換；管理軟件附加文件粉碎功能，可以有效保護(hù)個(gè)人隱私，自動(dòng)監(jiān)控內(nèi)網(wǎng)系統(tǒng)違規(guī)外聯(lián)行為，有效保護(hù)內(nèi)網(wǎng)數(shù)據(jù)安全；管理軟件附加IP地址綁定功能，可以防止內(nèi)外網(wǎng)線誤連；安裝時(shí)自動(dòng)標(biāo)識內(nèi)外網(wǎng)硬盤，可以防止內(nèi)外網(wǎng)硬盤對置。其應(yīng)用廣泛，支持WINXP/VISTA/WIN7等主流操作系統(tǒng)。

對具備PCI插槽、硬盤容量足夠大的計(jì)算機(jī)終端，采用單硬盤隔離卡模式，即安裝智華WA12單硬盤隔離卡，對原有硬盤進(jìn)行分區(qū)處理。具體操作過程是，將隔離卡平穩(wěn)地插入PCI插槽，啟動(dòng)計(jì)算機(jī)，計(jì)算機(jī)在完成自檢（POST）過程之后隔離系統(tǒng)將進(jìn)入硬盤的分區(qū)設(shè)置如圖4所示，待分區(qū)完成后，實(shí)現(xiàn)內(nèi)外網(wǎng)的管理功能。

圖4 智華WA12單硬盤隔離卡分區(qū)程序

4 內(nèi)網(wǎng)安全保護(hù)措施

在水利信息政務(wù)內(nèi)網(wǎng)系統(tǒng)中安裝防火墻，在用戶終端區(qū)域與水利信息服務(wù)器區(qū)域之間建立網(wǎng)關(guān)，依照協(xié)議在授權(quán)許可時(shí)執(zhí)行指定的安全控制策略，避免病毒通過用戶終端進(jìn)入服務(wù)器區(qū)域。根據(jù)不同需求，配置防火墻策略，控制數(shù)據(jù)流，對出現(xiàn)的外部攻擊及時(shí)報(bào)告和報(bào)警。同時(shí)，需要搭建Kaspersky Security Center服務(wù)器，實(shí)現(xiàn)對內(nèi)網(wǎng)終端的統(tǒng)一管理。

4.2 終端軟件配置

根據(jù)計(jì)算機(jī)資產(chǎn)臺賬，對每一臺進(jìn)入政務(wù)內(nèi)網(wǎng)的計(jì)算機(jī)型號、配置、硬盤序列號、MAC地址、IP地址、維修使用記錄進(jìn)行嚴(yán)格登記。

采用天津市國家保密局監(jiān)制的計(jì)算機(jī)保密安全檢查取證系統(tǒng)，對每臺內(nèi)網(wǎng)計(jì)算機(jī)進(jìn)行硬盤掃描，清除所有非政務(wù)辦公文件。安裝卡巴斯基反病毒W(wǎng)indows工作站，更新至最新病毒庫，進(jìn)行全盤殺毒，確保進(jìn)入政務(wù)內(nèi)網(wǎng)機(jī)器不帶有安全隱患。待查毒完畢后接入政務(wù)內(nèi)網(wǎng)中。

4.3 管理制度及方法

根據(jù)國家計(jì)算機(jī)信息系統(tǒng)安全保密的相關(guān)標(biāo)準(zhǔn)，依照海河下游管理局網(wǎng)絡(luò)環(huán)境及現(xiàn)有規(guī)章，新定《工作人員保密守則》《網(wǎng)絡(luò)安全保密管理制度》《非涉密計(jì)算機(jī)保密管理規(guī)定》《涉密計(jì)算機(jī)管理規(guī)定》《涉密移動(dòng)存儲介質(zhì)保密管理暫行規(guī)定》《內(nèi)網(wǎng)移動(dòng)存儲介質(zhì)管理規(guī)定》《泄密事件報(bào)告和查處制度》等文件，修訂原有網(wǎng)絡(luò)管理制度，依據(jù)規(guī)章制度嚴(yán)格操作，完善計(jì)算機(jī)網(wǎng)絡(luò)管理制度和配套措施。

同時(shí)，加強(qiáng)終端管理方法的有效性，使用Kaspersky Security Center服務(wù)器對內(nèi)網(wǎng)終端設(shè)備進(jìn)行統(tǒng)一管理，禁用內(nèi)網(wǎng)終端的USB存儲設(shè)備，僅允許使用USB鍵盤鼠標(biāo)，確保內(nèi)網(wǎng)文件資料的保密性，并防止病毒侵入內(nèi)網(wǎng)；禁用DVD刻錄功能；禁止內(nèi)網(wǎng)終端間通過網(wǎng)絡(luò)傳遞大小超過500Mb的文件；每周五下午對內(nèi)網(wǎng)客戶端進(jìn)行統(tǒng)一病毒庫升級；每周一上午對內(nèi)網(wǎng)客戶端進(jìn)行全盤掃毒。

5 內(nèi)外網(wǎng)日常運(yùn)維

5.1 隔離卡安裝運(yùn)行常見問題及解決方法

（1）開機(jī)自檢找不到硬盤。檢查硬盤與隔離卡的線路連接是否正常；檢查主板CMOS設(shè)置是否正確。

（2）插卡后無法進(jìn)入隔離卡選擇界面，直接進(jìn)入系統(tǒng)。檢查未進(jìn)入系統(tǒng)所在硬盤與隔離卡連線是否正常。

（3）進(jìn)入系統(tǒng)后，無法上網(wǎng)。檢查網(wǎng)絡(luò)連線與系統(tǒng)是否一致；檢查網(wǎng)線接口連接是否接觸不良。

（4）進(jìn)入系統(tǒng)后，無法運(yùn)行內(nèi)外網(wǎng)切換軟件。檢查隔離卡驅(qū)動(dòng)程序是否安裝正常。

（5）進(jìn)入系統(tǒng)后，通過內(nèi)外網(wǎng)切換軟件無法進(jìn)行軟切換。檢查內(nèi)外網(wǎng)切換軟件安裝程序是否遭到破壞。

5.2 做好設(shè)備臺賬及維護(hù)記錄

認(rèn)真做好網(wǎng)絡(luò)內(nèi)每臺終端的臺賬及故障維修記錄，其中終端臺賬包括資產(chǎn)編號、權(quán)屬部門、設(shè)備型號、購入時(shí)間、安裝處室及負(fù)責(zé)人、硬件設(shè)備信息、MAC地址和IP地址等信息，錄入完畢后需終端負(fù)責(zé)人簽字。并對每一臺終端進(jìn)行維護(hù)記錄登記，建立該終端的檔案，加強(qiáng)管理規(guī)范性，便于日常運(yùn)維工作的開展。

6 結(jié)語

水利信息政務(wù)內(nèi)網(wǎng)涉及大量水利系統(tǒng)內(nèi)部重要信息，因此對水利信息政務(wù)內(nèi)網(wǎng)和公共外網(wǎng)進(jìn)行物理隔離成為企事業(yè)單位內(nèi)部信息安全的重要組成。筆者依托現(xiàn)有內(nèi)外網(wǎng)物理隔離技術(shù)、邏輯隔離技術(shù)，結(jié)合本單位內(nèi)部網(wǎng)絡(luò)環(huán)境現(xiàn)狀及日常運(yùn)維工作中發(fā)現(xiàn)的問題，對現(xiàn)有計(jì)算機(jī)終端、網(wǎng)絡(luò)安全實(shí)行了統(tǒng)一管理。

物理隔離是保障水利信息安全的一種策略和方法，隨著技術(shù)的發(fā)展，物理隔離需要完善一些必要功能，包括用戶訪問控制功能、網(wǎng)絡(luò)身份認(rèn)證功能、用戶行為日志功能及審計(jì)功能等。水利信息政務(wù)內(nèi)網(wǎng)與水利公共外網(wǎng)信息安全問題三分靠技術(shù)，七分靠管理，需要更加完善的管理措施和相關(guān)的安全措施保障政務(wù)信息的機(jī)密性、完整性和可靠性。

TP399

B

1004-7328（2014）03-0059-03

10.3969/j.issn.1004-7328.2014.03.021

2014-03-10

楊凱（1987-），男，碩士，助理工程師，主要從事水利信息技術(shù)工作。