李鐵錚 張 皓 佫文華 猛 虎 孔志鋼

1（北京市公安局大興分局 北京 102600）

2（中交機(jī)電工程局有限公司 北京 100088）

3（農(nóng)信銀資金清算中心 北京 100029）

4（公安部第一研究所 北京 100044）

5（北京互聯(lián)云時(shí)代科技有限公司 北京 100024）（blackbear008＠qq．com）

隨著全球信息時(shí)代的到來(lái)，網(wǎng)絡(luò)成為國(guó)家第五大主權(quán)空間，控制網(wǎng)絡(luò)空間就可以控制國(guó)家的經(jīng)濟(jì)命脈、政治導(dǎo)向和社會(huì)穩(wěn)定［1］．世界各國(guó)圍繞網(wǎng)絡(luò)空間發(fā)展權(quán)、主導(dǎo)權(quán)、控制權(quán)的競(jìng)爭(zhēng)日趨激烈，網(wǎng)絡(luò)空間正在加速演變?yōu)閼?zhàn)略威懾與控制的新領(lǐng)域、意識(shí)形態(tài)斗爭(zhēng)的新平臺(tái)、維護(hù)經(jīng)濟(jì)社會(huì)穩(wěn)定的新陣地、未來(lái)軍事角逐的新戰(zhàn)場(chǎng)．網(wǎng)絡(luò)安全關(guān)乎國(guó)家安全，牽一發(fā)而動(dòng)全身，其戰(zhàn)略性、綜合性、基礎(chǔ)性地位作用日益凸顯［2］．

我國(guó)作為發(fā)展中的網(wǎng)絡(luò)大國(guó)，網(wǎng)絡(luò)安全形勢(shì)異常嚴(yán)峻．西方敵對(duì)勢(shì)力一直妄圖利用互聯(lián)網(wǎng)“扳倒中國(guó)”，多年前有西方政要就聲稱(chēng)“有了互聯(lián)網(wǎng)，對(duì)付中國(guó)就有了辦法”［3］，反共黑客團(tuán)體也利用網(wǎng)絡(luò)不斷向我國(guó)經(jīng)濟(jì)、社會(huì)、文化等各領(lǐng)域信息系統(tǒng)發(fā)起滲透攻擊．大量報(bào)道的網(wǎng)絡(luò)安全事件、事故已表明，互聯(lián)網(wǎng)已經(jīng)成為意識(shí)形態(tài)斗爭(zhēng)的最前沿、主戰(zhàn)場(chǎng)，成為國(guó)家安全面臨的“最大變量”，通過(guò)2017年5月發(fā)生的“永恒之藍(lán)”安全漏洞事件可以看出，網(wǎng)絡(luò)戰(zhàn)爭(zhēng)隨時(shí)可能開(kāi)打，因政務(wù)網(wǎng)站和政務(wù)平臺(tái)的高戰(zhàn)略?xún)r(jià)值、高傳播效應(yīng)，在網(wǎng)絡(luò)戰(zhàn)爭(zhēng)中首當(dāng)其沖．為此，筆者通過(guò)真實(shí)雙向滲透攻擊國(guó)內(nèi)某省政務(wù)內(nèi)外網(wǎng)數(shù)據(jù)交換平臺(tái)為典型案例，討論政務(wù)平臺(tái)防護(hù)．

1 雙向滲透攻擊實(shí)驗(yàn)

2018年5月，筆者所在團(tuán)隊(duì)接到某省級(jí)政府職能部門(mén)（下稱(chēng)甲方）的“護(hù)網(wǎng)2018行動(dòng)”滲透實(shí)驗(yàn)授權(quán)，在承建方（下稱(chēng)乙方）不知情的情況下，針對(duì)甲方的政務(wù)外網(wǎng)數(shù)據(jù)交換平臺(tái)開(kāi)展?jié)B透測(cè)試，此項(xiàng)目為某部屬全國(guó)試點(diǎn)項(xiàng)目．前期，團(tuán)隊(duì)所有滲透人員通過(guò)互聯(lián)網(wǎng)對(duì)平臺(tái)網(wǎng)絡(luò)出口進(jìn)行測(cè)試，在授權(quán)內(nèi)的公網(wǎng)IP目標(biāo)內(nèi)只有一個(gè)家用路由器存在弱口令，可遠(yuǎn)程登錄進(jìn)行管理，從中可以看到若干Apple設(shè)備和其他辦公設(shè)備．因?yàn)槭跈?quán)問(wèn)題，沒(méi)有對(duì)這些設(shè)備進(jìn)行滲透．為此，滲透人員到甲方辦公內(nèi)網(wǎng)向互聯(lián)網(wǎng)方向進(jìn)行滲透，目標(biāo)是在辦公內(nèi)網(wǎng)上訪(fǎng)問(wèn)互聯(lián)網(wǎng)．

圖1 國(guó)內(nèi)某省數(shù)據(jù)交換平臺(tái)滲透路線(xiàn)

1．1 平臺(tái)滲透情況

1．1．1 辦公內(nèi)網(wǎng)區(qū)信息收集與邊界設(shè)備攻擊

通過(guò)甲方授權(quán)，筆者等滲透人員在甲方辦公內(nèi)網(wǎng)上開(kāi)展工作，對(duì)指定IP段內(nèi)的網(wǎng)絡(luò)設(shè)備進(jìn)行掃描與信息收集．通過(guò)團(tuán)隊(duì)多人1周的努力，利用“永恒之藍(lán)”漏洞拿下10余臺(tái)乙方運(yùn)維人員的工作終端，同時(shí)在網(wǎng)絡(luò)中發(fā)現(xiàn)1臺(tái)FTP服務(wù)器存在匿名登錄漏洞，共收集到數(shù)十GB的高價(jià)值信息，包括此項(xiàng)目方案書(shū)、各子系統(tǒng)維護(hù)手冊(cè)、用戶(hù)名和密碼、甲乙雙方的部分人員學(xué)歷證書(shū)、照片、工作文檔等信息，其中對(duì)滲透最有幫助的文件是系統(tǒng)平臺(tái)架構(gòu)圖和平臺(tái)內(nèi)各運(yùn)營(yíng)、監(jiān)控系統(tǒng)的運(yùn)維手冊(cè)．通過(guò)分析獲取的信息，滲透人員首先對(duì)Ⅰ，Ⅱ區(qū)邊界上的2個(gè)審核服務(wù)器進(jìn)行了攻擊，具體是通過(guò)此業(yè)務(wù)審核服務(wù)器上Web中間件的struts2遠(yuǎn)程執(zhí)行（RCE）漏洞，上傳了Linux SSH遠(yuǎn)程登錄認(rèn)證文件到?root?．ssh?authorized＿keys，使用了Linux SSH遠(yuǎn)程登錄的密鑰驗(yàn)證授權(quán)機(jī)制，拿到了此服務(wù)器的root遠(yuǎn)程權(quán)限，即操作系統(tǒng)shell腳本．從而發(fā)現(xiàn)此服務(wù)器只通過(guò)Web和軟件過(guò)濾了Ⅰ區(qū)和Ⅱ區(qū)的業(yè)務(wù)邏輯流，并沒(méi)有過(guò)濾兩區(qū)間的網(wǎng)絡(luò)數(shù)據(jù)流，筆者在此服務(wù)器進(jìn)行相關(guān)軟件部署和配置，可在Ⅰ區(qū)的主機(jī)上訪(fǎng)問(wèn)到Ⅱ區(qū)的網(wǎng)絡(luò)，完全打通Ⅰ區(qū)和Ⅱ區(qū)縱深隔離［4］．

1．1．2 數(shù)據(jù)交換區(qū)信息收集

利用上面提到的業(yè)務(wù)審核服務(wù)器作為跳板，滲透人員對(duì)Ⅱ區(qū)內(nèi)的幾個(gè)IP段上的設(shè)備進(jìn)行了掃描和信息收集，結(jié)合在FTP服務(wù)器里收集到的各種密碼，利用1周時(shí)間暴力破解出了Ⅱ區(qū)50多臺(tái)服務(wù)器的root，administrator密碼，拿到了這些服務(wù)器的操作系統(tǒng)shell腳本．滲透人員在這50多臺(tái)服務(wù)器上并沒(méi)有找到對(duì)下一步滲透有幫助的高價(jià)值信息．通過(guò)幾天的努力，滲透人員在對(duì)這些服務(wù)器進(jìn)行了下一層網(wǎng)絡(luò)設(shè)備的掃描和信息收集，發(fā)現(xiàn)與“應(yīng)用服務(wù)器1”進(jìn)行數(shù)據(jù)通信的網(wǎng)絡(luò)設(shè)備在此平臺(tái)運(yùn)維管理系統(tǒng)中的設(shè)備對(duì)應(yīng)，“應(yīng)用服務(wù)器1”為滲透關(guān)鍵節(jié)點(diǎn)．但以此服務(wù)器為第2層跳板，繼續(xù)密碼暴力破解沒(méi)有成功［5］．筆者與團(tuán)隊(duì)人員手工滲透同“應(yīng)用服務(wù)器1”通信的Web服務(wù)器，發(fā)現(xiàn)“應(yīng)用服務(wù)器2”的php代碼存在本地文件包含LFI（local file include）攻擊漏洞，即php著名的LFI漏洞，利用此漏洞，讀取到了“應(yīng)用服務(wù)器2”上的?etc?shadow文件 ，即Linux操作系統(tǒng)用于保存用戶(hù)密碼密文的文件，從中得到了root的密碼hash值．在某部屬研究所攻防實(shí)驗(yàn)室建立的hash密碼破解平臺(tái)幫助下，破解出root密碼．直接利用此密碼遠(yuǎn)程登錄了“應(yīng)用服務(wù)器2”［6］．

1．1．3 數(shù)據(jù)交換區(qū)的邊界設(shè)備攻擊

由于筆者與同事們?cè)谕黄脾騾^(qū)與Ⅲ區(qū)的邊界時(shí)，花費(fèi)了大量的時(shí)間和精力，因此特意提出一節(jié)進(jìn)行詳細(xì)描述．滲透人員通過(guò)分析所有收集到的大量消息，決定集中滲透Ⅱ區(qū)和Ⅲ區(qū)邊界上的SSL VPN網(wǎng)關(guān)．

通過(guò)又1周左右時(shí)間的努力，VPN的SSH和Web登錄的密碼暴力破解均沒(méi)有成功．滲透團(tuán)隊(duì)在此期間專(zhuān)門(mén)大力研究了此品牌型號(hào)的VPN后發(fā)現(xiàn)，其Web管理頁(yè)面存在越權(quán)訪(fǎng)問(wèn)漏洞．可以越權(quán)訪(fǎng)問(wèn)VPN后臺(tái)管理頁(yè)面，直接下載到了此款VPN的配置文件．從中，我們找到了配置文件里明文存儲(chǔ)的管理員用戶(hù)名和密碼，登錄VPN發(fā)現(xiàn)其具有執(zhí)行OS命令的功能，因沒(méi)有嚴(yán)格過(guò)濾用戶(hù)提交的內(nèi)容，存在Linux多命令執(zhí)行漏洞［7］．使用第1步中的方法，直接通過(guò)root權(quán)限實(shí)現(xiàn)運(yùn)程SSH免密碼登錄，并獲取了VPN通道的操作系統(tǒng)shell腳本．

1．2 移動(dòng)互聯(lián)網(wǎng)區(qū)的設(shè)備滲透情況

因?yàn)槭跈?quán)時(shí)限問(wèn)題及光單向傳輸設(shè)備的特點(diǎn)，團(tuán)隊(duì)最終只在VPN上看到了Ⅲ區(qū)流向Ⅱ區(qū)的網(wǎng)絡(luò)流量，沒(méi)有最終滲透到Ⅲ區(qū)的設(shè)備．

至此，滲透團(tuán)隊(duì)通過(guò)3周的努力，從甲方政務(wù)辦公內(nèi)網(wǎng)區(qū)滲透到了移動(dòng)互聯(lián)網(wǎng)區(qū)邊界，一共獲取了操作系統(tǒng)shell腳本和Web應(yīng)用shell腳本近80個(gè)，高標(biāo)準(zhǔn)完成甲方要求，從軟件漏洞修復(fù)、服務(wù)器加固、平臺(tái)架構(gòu)、設(shè)備安全配置等多方面，向甲方提出了高建設(shè)性、高價(jià)值建議．基于此次滲透任務(wù)情況，結(jié)合多年網(wǎng)絡(luò)攻防、等級(jí)保護(hù)的工作經(jīng)驗(yàn)，筆者以攻擊者的角度談?wù)務(wù)?wù)平臺(tái)的防護(hù)思路．

2 典型政務(wù)平臺(tái)的防護(hù)思路

近年來(lái)，隨著我國(guó)社會(huì)進(jìn)步和網(wǎng)絡(luò)技術(shù)水平提高，網(wǎng)絡(luò)安全被提升到國(guó)家安全的高度，政務(wù)平臺(tái)的安全直接關(guān)系到社會(huì)穩(wěn)定．隨著網(wǎng)絡(luò)安全技術(shù)的高速發(fā)展，管理與技術(shù)已成為網(wǎng)絡(luò)安全這架馬車(chē)的2個(gè)車(chē)輪，但在政務(wù)平臺(tái)防護(hù)工作中，管理不閉環(huán)、技術(shù)不到位的情況已經(jīng)成為常態(tài)，管理與技術(shù)2個(gè)車(chē)輪大小不同，造成政務(wù)平臺(tái)的網(wǎng)絡(luò)安全防護(hù)工作在不同半徑的圓上打轉(zhuǎn)．結(jié)合第1節(jié)中所提到的數(shù)據(jù)交換平臺(tái)的滲透內(nèi)容，從管理和技術(shù)2個(gè)方面來(lái)闡述政務(wù)平臺(tái)的防護(hù)思想．

2．1 安全閉環(huán)管理

安全管理應(yīng)當(dāng)形成有效的閉環(huán)，在具體的實(shí)現(xiàn)上可以分成以下步驟進(jìn)行．

2．1．1 安全管理的技術(shù)支持

目前，各政務(wù)平臺(tái)的主要負(fù)責(zé)人以70后、80后為主，這些部門(mén)領(lǐng)導(dǎo)在網(wǎng)絡(luò)安全管理方面基本上是套用了普通政務(wù)管理的經(jīng)驗(yàn)與作法，在網(wǎng)絡(luò)安全管理方面找不到工作抓手．筆者在工作中聽(tīng)到最多的管理思路是“三分技術(shù)、七分管理”．造成的結(jié)果是技術(shù)部門(mén)的領(lǐng)導(dǎo)在政務(wù)平臺(tái)安全管理方面找不到工作重點(diǎn)，沒(méi)有較強(qiáng)的技術(shù)實(shí)力和可靠技術(shù)思路應(yīng)對(duì)網(wǎng)絡(luò)安全事件、事故，將安全管理工作“留于紙面”、“掛在墻面”，部分領(lǐng)導(dǎo)在工作過(guò)程中嚴(yán)重缺少網(wǎng)絡(luò)安全思維和技術(shù)思維，出現(xiàn)亂指揮、亂管理情況．筆者也曾目睹相關(guān)領(lǐng)導(dǎo)無(wú)力應(yīng)對(duì)Wanna Cry病毒暴發(fā)緊急事件，部分管理人員僅關(guān)注政務(wù)平臺(tái)文檔審核，不關(guān)心平臺(tái)實(shí)際部署等情況．更有甚者，認(rèn)為平臺(tái)外包給乙方，乙方會(huì)做好相關(guān)安全工作，自己只要關(guān)心平臺(tái)是否正常提供業(yè)務(wù)部門(mén)功能使用即可，網(wǎng)絡(luò)安全與自己無(wú)關(guān)，這些管理方式嚴(yán)重威脅到政務(wù)平臺(tái)安全，或者已經(jīng)造成嚴(yán)重的安全事件、事故．

筆者認(rèn)為，在網(wǎng)絡(luò)安全形勢(shì)日益嚴(yán)峻的今天，政務(wù)平臺(tái)的安全管理工作應(yīng)以毛澤東思想為指導(dǎo)，切實(shí)落實(shí)“黨要指揮槍”、“槍桿子里面出政權(quán)”這2點(diǎn)，政務(wù)人員需要掌控對(duì)政務(wù)平臺(tái)的安全管理，真實(shí)做到安全管理閉環(huán)．各類(lèi)政務(wù)平臺(tái)的主要負(fù)責(zé)人應(yīng)參照ISC2的信息系統(tǒng)安全專(zhuān)家認(rèn)證（certified information systems security professional，CISSP）認(rèn)證考試中涵蓋的10個(gè)考核方向，強(qiáng)化其所負(fù)責(zé)平臺(tái)的安全管理工作，這10個(gè)考核方向包括信息安全治理與風(fēng)險(xiǎn)管理、訪(fǎng)問(wèn)控制、安全架構(gòu)與設(shè)計(jì)、物理和環(huán)境安全、通信與網(wǎng)絡(luò)安全、密碼術(shù)、業(yè)務(wù)連續(xù)性與災(zāi)難恢復(fù)、法律法規(guī)、軟件開(kāi)發(fā)安全、安全運(yùn)營(yíng)［8］．政務(wù)平臺(tái)的主要負(fù)責(zé)人應(yīng)當(dāng)有能力通過(guò)技術(shù)方法對(duì)技術(shù)報(bào)告、文檔進(jìn)行檢查、核實(shí)，至少要有與技術(shù)人員進(jìn)行語(yǔ)言溝通的能力．也許有讀者認(rèn)為這個(gè)要求太嚴(yán)格，但從震網(wǎng)病毒和WannaCry病毒等網(wǎng)絡(luò)安全事件來(lái)看，我國(guó)的網(wǎng)絡(luò)戰(zhàn)爭(zhēng)隨時(shí)開(kāi)打，那時(shí)這些政務(wù)平臺(tái)的主要領(lǐng)導(dǎo)者將成為基層指揮員、首批防衛(wèi)者、反擊主力軍．

2．1．2 安全管理講究開(kāi)放

由于政務(wù)平臺(tái)的特殊性，滲透人員在測(cè)試此類(lèi)信息系統(tǒng)時(shí)，常被平臺(tái)主要負(fù)責(zé)人和平臺(tái)承建方認(rèn)為是沒(méi)事找事，在給其工作成果、績(jī)效做減法．筆者在滲透上述數(shù)據(jù)交換平臺(tái)時(shí)，同樣遇到乙方的不支持、不配合，想必其他滲透測(cè)試團(tuán)隊(duì)、安全研究團(tuán)隊(duì)都遇到過(guò)這種情況．

筆者認(rèn)為，信息系統(tǒng)的安全管理需要開(kāi)放的態(tài)度，政務(wù)平臺(tái)的安全管理更加需要．政務(wù)平臺(tái)已是政府相關(guān)單位管理社會(huì)、服務(wù)民生的平臺(tái)，其重要性不必多說(shuō)，單單從2016年美國(guó)大選期間的希拉里“郵件門(mén)”事件就不難看出網(wǎng)絡(luò)安全的重要．前述的數(shù)據(jù)交換平臺(tái)項(xiàng)目，甲乙方都認(rèn)為平臺(tái)很安全，有相關(guān)安全經(jīng)驗(yàn)的讀者可以看出，筆者所在團(tuán)隊(duì)僅僅使用了公開(kāi)的漏洞就滲透到了平臺(tái)Ⅱ區(qū)和Ⅲ區(qū)的邊界，甲方和筆者都感到震驚．打鐵還需自身硬，在網(wǎng)絡(luò)安全領(lǐng)域，1名黑客擊敗1支完整安全技術(shù)團(tuán)隊(duì)的例子比比皆是，政務(wù)應(yīng)用平臺(tái)安全管理的“千里之堤”，完全有可能潰于1個(gè)不起眼的“蟻穴”．絕大部分安全滲透的目的是為了政務(wù)平臺(tái)更加安全可靠，所以需要政務(wù)平臺(tái)的主要負(fù)責(zé)人轉(zhuǎn)變思想，以開(kāi)放的態(tài)度看待各種網(wǎng)絡(luò)安全測(cè)試，才能使政務(wù)平臺(tái)更安全，最大程度抵御境外勢(shì)力攻擊．

2．2 技術(shù)防護(hù)工作

安全防護(hù)工作其實(shí)是一項(xiàng)很寬泛、很依靠責(zé)任心的技術(shù)工作，很難整體進(jìn)行量化評(píng)估，需要技術(shù)人員針對(duì)自己實(shí)際工作需求，細(xì)化安全開(kāi)發(fā)、安全運(yùn)營(yíng)、安全架構(gòu)、設(shè)備安全配置等每一個(gè)安全選項(xiàng)．網(wǎng)絡(luò)安全界有個(gè)共同認(rèn)識(shí)，世界上的網(wǎng)站只有2種：一種是自身已經(jīng)知道受到了黑客攻擊的網(wǎng)站；另一種是已經(jīng)受到黑客攻擊卻還不知道的網(wǎng)站［9］．因此，筆者結(jié)合上述對(duì)數(shù)據(jù)交換平臺(tái)的滲透，談?wù)剬?duì)安全技術(shù)到位的理解．

2．2．1 技術(shù)防護(hù)手段是閉環(huán)管理的重要組成部分

管理和技術(shù)是網(wǎng)絡(luò)安全這駕馬車(chē)的2個(gè)車(chē)輪，管理需要藝術(shù)，技術(shù)需要完美主義，同樣來(lái)不得半點(diǎn)馬虎．沒(méi)有技術(shù)支撐的管理工作就像把槍桿子給了別人，在網(wǎng)絡(luò)安全工作中會(huì)受到各種限制．筆者在與上述數(shù)據(jù)交換平臺(tái)的甲方溝通中發(fā)現(xiàn)，甲方更關(guān)心政務(wù)平臺(tái)的功能與業(yè)務(wù)效果，忽視核心技術(shù)掌握和安全防范技術(shù)，這就需要甲乙雙方的技術(shù)人員充分理解實(shí)際工作需求，或者由乙方引導(dǎo)甲方達(dá)成共同目標(biāo)，使技術(shù)到位真正成為閉環(huán)管理里的組成部分，讓甲乙雙方更好地推動(dòng)項(xiàng)目前進(jìn)和網(wǎng)絡(luò)安全發(fā)展．甲方正是因?yàn)榇嬖诩夹g(shù)短板，不能與乙方在平臺(tái)的安全管理等方面有效溝通，從而造成管理不閉環(huán)，致使平臺(tái)存在安全風(fēng)險(xiǎn)．

2．2．2 甲方工程技術(shù)人員是技術(shù)防護(hù)的關(guān)鍵

2000年以來(lái)，各政府部門(mén)都在進(jìn)行科技信息化建設(shè)，大部分都建立了自己的科技信息化部門(mén)，以信息系統(tǒng)建設(shè)、運(yùn)營(yíng)為主要工作內(nèi)容，同時(shí)，每年有大批“211”和“985”高校的畢業(yè)生走進(jìn)政府部門(mén)，其中計(jì)算機(jī)專(zhuān)業(yè)和網(wǎng)絡(luò)安全相關(guān)專(zhuān)業(yè)的畢業(yè)生不在少數(shù)，從網(wǎng)絡(luò)安全角度出發(fā)，這些體制內(nèi)的技術(shù)人員是寶貴的財(cái)富．通常政府部門(mén)的業(yè)務(wù)人員很難將業(yè)務(wù)需求100%地準(zhǔn)確傳遞給承建公司，在此過(guò)程中，需要內(nèi)部的專(zhuān)業(yè)技術(shù)人員將業(yè)務(wù)需要轉(zhuǎn)化為開(kāi)發(fā)人員能懂的語(yǔ)言和參數(shù)，從而將業(yè)務(wù)與承建企業(yè)連接起來(lái)．此時(shí)，體制內(nèi)的技術(shù)人員就顯得尤為關(guān)鍵，他們需要內(nèi)懂業(yè)務(wù)、外懂技術(shù)，充分發(fā)揮關(guān)鍵的橋梁作用，將安全管理與安全技術(shù)相統(tǒng)一，提高雙方溝通水平，相互促進(jìn)，相互學(xué)習(xí)．筆者在滲透上述數(shù)據(jù)交換平臺(tái)時(shí)，就是在甲方使用和維護(hù)的FTP服務(wù)器中找到了滲透平臺(tái)關(guān)鍵的技術(shù)資料，成功滲透平臺(tái)內(nèi)關(guān)鍵網(wǎng)絡(luò)邊界設(shè)備．同時(shí)，由于此平臺(tái)乙方在運(yùn)營(yíng)中，沒(méi)有及時(shí)上報(bào)因滲透造成的設(shè)備非正常宕機(jī)，沒(méi)有落實(shí)網(wǎng)絡(luò)安全責(zé)任，沒(méi)有及時(shí)發(fā)現(xiàn)、處置內(nèi)網(wǎng)滲透行為，滲透測(cè)試人員才有機(jī)可乘．

2．3 技術(shù)防護(hù)工作的重要抓手

筆者在工作中，發(fā)現(xiàn)政務(wù)系統(tǒng)平臺(tái)的負(fù)責(zé)人在開(kāi)展網(wǎng)絡(luò)安全防護(hù)工作時(shí)往往缺乏有效的抓手，難以有效開(kāi)展網(wǎng)絡(luò)安全防范工作．針對(duì)上述數(shù)據(jù)交換平臺(tái)具體情況，筆者團(tuán)隊(duì)根據(jù)多年的工作實(shí)踐，總結(jié)出6類(lèi)管用的工作抓手．

2．3．1 重視網(wǎng)絡(luò)安全人才專(zhuān)業(yè)技術(shù)培養(yǎng)

說(shuō)到底，網(wǎng)絡(luò)安全防護(hù)工作拼的是人才——網(wǎng)絡(luò)人才．網(wǎng)絡(luò)安全人才技術(shù)培養(yǎng)是一個(gè)需要長(zhǎng)時(shí)間刻苦學(xué)習(xí)的艱難過(guò)程，是有專(zhuān)門(mén)的安全體系理論可參考學(xué)習(xí)的，比如注冊(cè)云系統(tǒng)安全專(zhuān)家（CCSSP）、注冊(cè)信息系統(tǒng)安全專(zhuān)家（CISSP）、數(shù)據(jù)庫(kù)管理員（DBA）、滲透測(cè)試工程師（PTE）等網(wǎng)絡(luò)安全認(rèn)證課程．

2．3．2 加強(qiáng)網(wǎng)絡(luò)安全設(shè)備的管理與使用

網(wǎng)絡(luò)安全設(shè)備是必要的，但不是起決定作用的，安全是相對(duì)的、動(dòng)態(tài)的、發(fā)展的．通過(guò)新聞媒體和網(wǎng)絡(luò)安全通報(bào)，安全人員每天都能獲得大量涉及網(wǎng)絡(luò)安全的新聞和消息，需要針對(duì)平臺(tái)情況及時(shí)更新網(wǎng)絡(luò)設(shè)備配置，動(dòng)態(tài)提升平臺(tái)安全水平，不能迷信網(wǎng)絡(luò)安全設(shè)備，不能想當(dāng)然地、一味地通過(guò)購(gòu)買(mǎi)設(shè)備達(dá)到安全需要．

2．3．3 加強(qiáng)代碼方面的安全開(kāi)發(fā)與安全審計(jì)

一般的軟件開(kāi)發(fā)公司沒(méi)有專(zhuān)門(mén)的代碼安全審計(jì)崗位或部門(mén)，常用方法是軟件研發(fā)人員相互間的代碼交叉審計(jì)，很難保證軟件質(zhì)量與強(qiáng)壯．為此，需要針對(duì)政務(wù)平臺(tái)的關(guān)鍵服務(wù)、邊界安全設(shè)備進(jìn)行安全審計(jì)，復(fù)查關(guān)鍵代碼，將可能存在漏洞的代碼進(jìn)行安全優(yōu)化，不必要的代碼或服務(wù)去掉，網(wǎng)站后臺(tái)路徑、管理員賬號(hào)、密碼等盡可能修改復(fù)雜一些，相關(guān)資料要嚴(yán)格保密［10］．同時(shí)注意關(guān)注編程語(yǔ)言、服務(wù)中間件的安全公告牌，國(guó)內(nèi)外各安全團(tuán)隊(duì)發(fā)布的網(wǎng)絡(luò)安全通報(bào)等，及時(shí)升級(jí)、更新、加固政務(wù)平臺(tái)內(nèi)的服務(wù)軟件．

2．3．4 加強(qiáng)操作系統(tǒng)管理

及時(shí)更新、升級(jí)服務(wù)端和用戶(hù)終端的操作系統(tǒng)，在日常運(yùn)行中要特別注意賬戶(hù)權(quán)限的有限控制和登錄審計(jì)，強(qiáng)制用戶(hù)定期更改管理員密碼，防范密碼被暴力破解．

2．3．5 加裝入侵檢測(cè)系統(tǒng)和勢(shì)態(tài)感知設(shè)備

按照國(guó)家電子政務(wù)外網(wǎng)管理中心《關(guān)于加快推進(jìn)國(guó)家電子政務(wù)外網(wǎng)安全等級(jí)保護(hù)工作的通知》（政務(wù)外網(wǎng)〔2011〕15號(hào)）文件的相關(guān)要求，在關(guān)鍵節(jié)點(diǎn)安裝入侵檢測(cè)系統(tǒng)（IDS）設(shè)備或“網(wǎng)防G01”綜合防護(hù)系統(tǒng)［11］，對(duì)數(shù)據(jù)交換平臺(tái)實(shí)施保護(hù)，及時(shí)發(fā)現(xiàn)和處置網(wǎng)絡(luò)攻擊，防止有害信息傳播，提高對(duì)網(wǎng)絡(luò)攻擊、病毒入侵、網(wǎng)絡(luò)失竊密的防范能力，切實(shí)落實(shí)網(wǎng)絡(luò)安全責(zé)任，有效提升平臺(tái)網(wǎng)絡(luò)安全．

2．3．6 及時(shí)達(dá)成各類(lèi)安全整改目標(biāo)

經(jīng)常組織技術(shù)力量，對(duì)平臺(tái)開(kāi)展遠(yuǎn)程技術(shù)檢測(cè)、滲透攻擊測(cè)試，及時(shí)發(fā)現(xiàn)安全問(wèn)題與隱患．同時(shí)積極與屬地公安機(jī)關(guān)聯(lián)系，按照公安機(jī)關(guān)等級(jí)保護(hù)檢查與備案工作要求，對(duì)數(shù)據(jù)交換平臺(tái)進(jìn)行整改，及時(shí)達(dá)成整改目標(biāo)［12］．

3 結(jié)束語(yǔ)

綜上所述，政務(wù)平臺(tái)的防護(hù)其實(shí)就是做到管理閉環(huán)、技術(shù)到位，管理與技術(shù)2個(gè)車(chē)輪以相同直徑支持網(wǎng)絡(luò)安全這架馬車(chē)直線(xiàn)進(jìn)行．網(wǎng)絡(luò)安全的核心就是人才的比拼，政務(wù)平臺(tái)的責(zé)任人需要加強(qiáng)網(wǎng)絡(luò)安全技術(shù)學(xué)習(xí)和人才培養(yǎng)，同時(shí)需要以一種開(kāi)放的態(tài)度看待網(wǎng)絡(luò)滲透工作，滲透測(cè)試團(tuán)隊(duì)的主要目的是與授權(quán)方一同發(fā)現(xiàn)、解決網(wǎng)絡(luò)安全問(wèn)題，為政務(wù)平臺(tái)的網(wǎng)絡(luò)安全做加法．通過(guò)此次任務(wù)，滲透團(tuán)隊(duì)的小伙伴們收獲很多，親身經(jīng)歷了大縱深、多分區(qū)防御下的滲透過(guò)程，筆者也體驗(yàn)網(wǎng)絡(luò)特種作戰(zhàn)，為日后學(xué)習(xí)、研究找到了方向．

致謝特別感謝公安部第一研究所網(wǎng)絡(luò)攻防實(shí)驗(yàn)室全體成員，在此次論文撰寫(xiě)過(guò)程中給予的無(wú)私幫助！