◆郭曉佳 江彩英

行業(yè)與應(yīng)用安全

市級(jí)氣象專網(wǎng)網(wǎng)絡(luò)管理與氣象數(shù)據(jù)維護(hù)

◆郭曉佳 江彩英

（南平市氣象局 福建 353000）

本文基于氣象業(yè)務(wù)專網(wǎng)的訪問(wèn)控制管理，氣象業(yè)務(wù)服務(wù)器與終端計(jì)算機(jī)的安全管理，氣象業(yè)務(wù)專網(wǎng)網(wǎng)絡(luò)設(shè)備的維護(hù)與管理，氣象數(shù)據(jù)的運(yùn)行維護(hù)與管理，優(yōu)化了運(yùn)維流程以提高應(yīng)對(duì)氣象信息系統(tǒng)風(fēng)險(xiǎn)能力。

氣象專網(wǎng)；網(wǎng)絡(luò)管理；氣象數(shù)據(jù)維護(hù)

隨著氣象業(yè)務(wù)現(xiàn)代化的飛速發(fā)展，南平市氣象信息網(wǎng)絡(luò)也日漸發(fā)展完善。氣象信息網(wǎng)絡(luò)應(yīng)用的不斷深入、業(yè)務(wù)系統(tǒng)功能的不斷增加、氣象數(shù)據(jù)呈幾何倍數(shù)增長(zhǎng)，對(duì)氣象信息網(wǎng)絡(luò)相關(guān)設(shè)備與氣象數(shù)據(jù)的運(yùn)維提出了更高的挑戰(zhàn)。氣象信息系統(tǒng)運(yùn)維人員與進(jìn)俱進(jìn)學(xué)新知識(shí)，及時(shí)總結(jié)日常工作經(jīng)驗(yàn)，優(yōu)化運(yùn)維流程，提高應(yīng)對(duì)氣象信息系統(tǒng)風(fēng)險(xiǎn)能力十分必要。

1 氣象業(yè)務(wù)專網(wǎng)的訪問(wèn)控制管理

訪問(wèn)控制管理可分為兩個(gè)層次內(nèi)容：物理訪問(wèn)控制和邏輯訪問(wèn)控制[1]。物理訪問(wèn)控制包含對(duì)符合標(biāo)準(zhǔn)規(guī)定的用戶、設(shè)備、門(mén)、鎖和安全環(huán)境等方面的管理，而邏輯訪問(wèn)控制則是在數(shù)據(jù)、應(yīng)用、系統(tǒng)、網(wǎng)絡(luò)、權(quán)限等層面實(shí)現(xiàn)的管理。氣象業(yè)務(wù)專網(wǎng)的訪問(wèn)控制要求做到二者兼顧，機(jī)房門(mén)禁系統(tǒng)、運(yùn)維審計(jì)堡壘機(jī)及網(wǎng)絡(luò)準(zhǔn)入管理系統(tǒng)在南平市局氣象業(yè)務(wù)專網(wǎng)網(wǎng)絡(luò)管理上得到很好的應(yīng)用。

1.1 機(jī)房門(mén)禁系統(tǒng)

通過(guò)機(jī)房門(mén)禁系統(tǒng)實(shí)現(xiàn)對(duì)氣象信息網(wǎng)絡(luò)核心區(qū)即機(jī)房的出入門(mén)和通道進(jìn)出控制防非法人員進(jìn)入、防非法時(shí)間進(jìn)入。系統(tǒng)還具備對(duì)出入核心區(qū)人員及出入時(shí)間、頻次的統(tǒng)計(jì)和查詢等功能，從而在物理訪問(wèn)控制層面實(shí)現(xiàn)對(duì)服務(wù)器、網(wǎng)絡(luò)、數(shù)據(jù)存儲(chǔ)設(shè)備的安全保障。

1.2 運(yùn)維審計(jì)型堡壘機(jī)

目前，堡壘機(jī)按使用場(chǎng)景的不同分為兩種類型的堡壘機(jī)，一是網(wǎng)關(guān)型堡壘機(jī)，二是運(yùn)維審計(jì)型堡壘機(jī)。其中運(yùn)維審計(jì)型堡壘機(jī)被稱為“內(nèi)控堡壘機(jī)”[2]，它可對(duì)主機(jī)、服務(wù)器、網(wǎng)絡(luò)設(shè)備、安全設(shè)備等的管理維護(hù)進(jìn)行安全、有效、直觀的操作審計(jì)，對(duì)策略配置、系統(tǒng)維護(hù)、內(nèi)部訪問(wèn)等進(jìn)行詳細(xì)的記錄，提供細(xì)粒度的審計(jì)，并支持操作過(guò)程的全程回放。它將運(yùn)維審計(jì)由原來(lái)的針對(duì)事件審計(jì)提升為更加復(fù)雜的針對(duì)內(nèi)容的審計(jì)，并將身份認(rèn)證、授權(quán)、管理、審計(jì)有機(jī)的結(jié)合，保證只有授權(quán)用戶才擁有運(yùn)維權(quán)限[3]。目前，南平市局根據(jù)運(yùn)維管理工作需求部署了運(yùn)維審計(jì)型堡壘機(jī)。當(dāng)市局內(nèi)設(shè)機(jī)構(gòu)、直屬單位或他們委托公司開(kāi)發(fā)的系統(tǒng)需要部署在市局機(jī)房Windows server服務(wù)器上時(shí)，通過(guò)RDP（遠(yuǎn)程桌面）方式訪問(wèn)其部署的服務(wù)器必須通過(guò)堡壘機(jī)進(jìn)行訪問(wèn)，使用堡壘機(jī)授權(quán)的運(yùn)維操作員用戶才可以以RDP（遠(yuǎn)程桌面）方式訪問(wèn)服務(wù)器，且運(yùn)維審計(jì)員還可在堡壘機(jī)查看到審計(jì)事件的統(tǒng)計(jì)報(bào)表和運(yùn)維操作員登錄服務(wù)器的所有操作過(guò)程回放。

1.3 網(wǎng)絡(luò)準(zhǔn)入管理系統(tǒng)

網(wǎng)絡(luò)準(zhǔn)入管理系統(tǒng)核心是解決設(shè)備接入問(wèn)題，規(guī)避非法設(shè)備接入引起的病毒傳播、數(shù)據(jù)泄露、惡意攻擊、木馬植入、靜默監(jiān)聽(tīng)等安全隱患。為了確保氣象業(yè)務(wù)專網(wǎng)以及業(yè)務(wù)系統(tǒng)的安全，需要建立一個(gè)牢固的立體安全防護(hù)體系，以達(dá)到更加完善的網(wǎng)絡(luò)系統(tǒng)安全[4]。網(wǎng)絡(luò)準(zhǔn)入系統(tǒng)對(duì)每一臺(tái)接入氣象業(yè)務(wù)專網(wǎng)的終端進(jìn)行身份合法性、主機(jī)合規(guī)性檢查，構(gòu)建“入網(wǎng)必合法、入網(wǎng)必可信”，從而提升網(wǎng)絡(luò)的整體安全。目前，市局以純旁路方式部署了網(wǎng)絡(luò)準(zhǔn)入管理系統(tǒng)，采用端口的鏡像準(zhǔn)入技術(shù)，對(duì)交換機(jī)鏡像數(shù)據(jù)實(shí)時(shí)分析，實(shí)時(shí)監(jiān)測(cè)并及時(shí)阻斷配置有IP地址的非授權(quán)終端接入，同時(shí)技術(shù)人員通過(guò)配置IP、MAC、端口三者的強(qiáng)制綁定有效防止終端仿冒IP接入網(wǎng)絡(luò)。

2 氣象業(yè)務(wù)服務(wù)器與終端計(jì)算機(jī)的安全管理

氣象數(shù)據(jù)采集、加工處理、預(yù)報(bào)預(yù)測(cè)、共享服務(wù)、存儲(chǔ)歸檔等氣象業(yè)務(wù)和科研各個(gè)環(huán)節(jié)離不開(kāi)業(yè)務(wù)專網(wǎng)中服務(wù)器和終端計(jì)算機(jī)軟硬件的支撐，安全運(yùn)維服務(wù)器和終端計(jì)算機(jī)關(guān)系到氣象業(yè)務(wù)及科研的正常開(kāi)展，可以通過(guò)以下幾種常用方法實(shí)現(xiàn)氣象信息網(wǎng)絡(luò)中服務(wù)器與終端計(jì)算機(jī)的安全管理。

（1）為每臺(tái)計(jì)算機(jī)安裝正版的操作系統(tǒng)。作為其他軟件的載體，正版操作系統(tǒng)能及時(shí)得到廠家不斷更新升級(jí)的服務(wù)以保證系統(tǒng)性能的安全平穩(wěn)運(yùn)行。

（2）為每臺(tái)計(jì)算機(jī)配置安全賬號(hào)和密碼。日常工作須加強(qiáng)操作系統(tǒng)的賬號(hào)和密碼的維護(hù)和管理。在密碼設(shè)置上要符合口令的安全性要求，避免設(shè)置容易簡(jiǎn)單易猜的密碼。在賬號(hào)管理上，普通用戶要設(shè)置賬號(hào)管理策略，對(duì)不同的用戶設(shè)置不同的操作權(quán)限，并定期更新賬號(hào)名稱和密碼，關(guān)閉不常用的賬戶，禁用匿名登錄賬號(hào)，修改默認(rèn)管理員用戶名稱[5]。

（3）為每臺(tái)計(jì)算機(jī)安裝網(wǎng)絡(luò)版殺毒軟件。技術(shù)人員定期通過(guò)殺毒軟件控制中心進(jìn)行病毒庫(kù)的升級(jí)，然后殺毒軟件客戶端根據(jù)控制中心的升級(jí)策略進(jìn)行殺毒軟件的自動(dòng)或手動(dòng)升級(jí)。

（4）為每臺(tái)計(jì)算機(jī)做好操作系統(tǒng)及重要應(yīng)用的各種補(bǔ)丁程序的安裝。技術(shù)人員在網(wǎng)絡(luò)中部署漏洞掃描產(chǎn)品，考慮到漏洞掃描與修復(fù)是對(duì)操作系統(tǒng)及重要應(yīng)用的修復(fù)，對(duì)系統(tǒng)的運(yùn)行有可能造成影響，且修復(fù)完成均要重啟計(jì)算機(jī)補(bǔ)丁才生效，因此在漏洞掃描控制中心配置升級(jí)策略為手動(dòng)升級(jí)，接著漏洞掃描客戶端按需求從控制中心手動(dòng)下載并安裝系統(tǒng)補(bǔ)丁程序，從而規(guī)避可能的系統(tǒng)錯(cuò)誤和風(fēng)險(xiǎn)。

（5）為每臺(tái)計(jì)算機(jī)關(guān)閉不需要的端口和服務(wù)。技術(shù)人員在實(shí)際工作中要梳理氣象業(yè)務(wù)專網(wǎng)中每臺(tái)計(jì)算機(jī)的通訊端口，“啟用”操作系統(tǒng)自帶防火墻，然后在防火墻“高級(jí)設(shè)置”中配置“出站規(guī)則”和“入站規(guī)則”，阻擋或允許特定程序或端口的連接。例如要避免勒索病毒利用風(fēng)險(xiǎn)端口135、137、138、139、445入侵計(jì)算機(jī)，首先在系統(tǒng)防火墻配置中“啟用WINDOWS防火墻”，然后在“高級(jí)設(shè)置”的“入站規(guī)則”中“新建規(guī)則”以阻止以上風(fēng)險(xiǎn)端口的連接。

（6）定期為每臺(tái)計(jì)算機(jī)做好日志檢查與分析。技術(shù)人員在對(duì)數(shù)據(jù)中心服務(wù)器日常巡視時(shí)要注意查看系統(tǒng)日志。系統(tǒng)日志是記錄系統(tǒng)中硬件、軟件和系統(tǒng)問(wèn)題的信息，同時(shí)還可以監(jiān)視系統(tǒng)中發(fā)生的事件。通過(guò)查看系統(tǒng)日志來(lái)檢查錯(cuò)誤發(fā)生的原因，或者尋找受到攻擊時(shí)攻擊者留下的痕跡，以便有針對(duì)性地采取措施應(yīng)對(duì)同類風(fēng)險(xiǎn)再次發(fā)生。

3 氣象業(yè)務(wù)專網(wǎng)網(wǎng)絡(luò)設(shè)備的管理與維護(hù)

南平市局氣象信息網(wǎng)絡(luò)根據(jù)福建省氣象局規(guī)劃和部署，已接入覆蓋全省的氣象信息專用網(wǎng)絡(luò)，市局氣象信息網(wǎng)絡(luò)在該專網(wǎng)中起匯聚層的作用，上承福建省氣象局專網(wǎng)，下接南平所轄十縣市（區(qū)）氣象局專網(wǎng)，氣象業(yè)務(wù)專網(wǎng)中運(yùn)行的各種網(wǎng)絡(luò)設(shè)備從功能上大致可分為兩種：網(wǎng)絡(luò)互聯(lián)設(shè)備與網(wǎng)絡(luò)安全設(shè)備，以下是運(yùn)維網(wǎng)絡(luò)設(shè)備必須關(guān)注事項(xiàng)。

（1）與計(jì)算機(jī)管理相同，要為每臺(tái)網(wǎng)絡(luò)設(shè)備配置安全賬號(hào)和密碼。日常工作須加強(qiáng)設(shè)備賬號(hào)和密碼的維護(hù)和管理。在密碼設(shè)置上要符合口令的安全性要求，避免設(shè)置容易簡(jiǎn)單易猜的密碼，并定期更新密碼，關(guān)閉不常用的賬戶，禁用匿名登錄賬號(hào)。

（2）指定專用終端管理網(wǎng)絡(luò)設(shè)備，以避免不被允許的終端修改網(wǎng)絡(luò)設(shè)備配置。技術(shù)人員對(duì)網(wǎng)絡(luò)設(shè)備進(jìn)行策略配置時(shí)必須使用堡壘機(jī)，利用堡壘機(jī)實(shí)時(shí)監(jiān)控和完整審計(jì)的功能更好地規(guī)范技術(shù)人員的操作行為。

（3）熟悉網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，定期做好網(wǎng)絡(luò)互聯(lián)設(shè)備的巡檢。南平市氣象寬帶通信網(wǎng)已實(shí)現(xiàn)省－市－縣雙線路，雙路由的冗余熱備、自動(dòng)切換，南平市局網(wǎng)絡(luò)管理人員必須重點(diǎn)關(guān)注市局的兩臺(tái)匯聚路由器的工作狀態(tài)，包含南平市局至省氣象局與南平市局至所轄十縣市（區(qū)）氣象局雙線路的連接狀態(tài)、接口與協(xié)議的啟用、路由器的軟件版本、CPU的溫度、設(shè)備電源的工作狀態(tài)、風(fēng)扇的工作狀態(tài)、QOS策略的配置等等。

（4）定期做好網(wǎng)絡(luò)安全設(shè)備如防火墻、入侵檢測(cè)等安全設(shè)備的升級(jí)。安全設(shè)備上的漏洞是不法黑客的攻擊的重要入口，因此對(duì)安全設(shè)備必須定期更新升級(jí)，其中包括升級(jí)各種規(guī)則庫(kù)、病毒庫(kù)、URL庫(kù)、IPS特征庫(kù)等。

（5）定期對(duì)網(wǎng)絡(luò)設(shè)備配置進(jìn)行保存并導(dǎo)出，以方便在發(fā)生故障時(shí)可用來(lái)恢復(fù)之前的配置。這在對(duì)網(wǎng)絡(luò)設(shè)備進(jìn)行策略調(diào)整時(shí)尤為重要，在調(diào)整策略前后均要將配置備份后分別導(dǎo)出，對(duì)配置調(diào)整后的導(dǎo)出文件必須標(biāo)注日期及更新內(nèi)容，以備后查。

（6）充分發(fā)揮安全設(shè)備的防護(hù)能力，精細(xì)配置防護(hù)策略使其既能保障氣象業(yè)務(wù)專網(wǎng)中服務(wù)器及其應(yīng)用的正常運(yùn)行，又能最小化授權(quán)拒絕非法訪問(wèn)，從而實(shí)現(xiàn)氣象業(yè)務(wù)專網(wǎng)受保護(hù)安全域的業(yè)務(wù)開(kāi)展和安全保障要求的平衡。

（7）日常巡視并分析安全設(shè)備的告警日志，適時(shí)調(diào)整“安全策略”。部署安全設(shè)備不足以保護(hù)網(wǎng)絡(luò)的安全，一次配置完成安全設(shè)備不意味著一勞永逸，技術(shù)人員還需要不斷監(jiān)控和分析安全設(shè)備產(chǎn)生的日志。通過(guò)分析日志檢測(cè)諸如網(wǎng)絡(luò)入侵、病毒攻擊、反常行為、異常流量等安全威脅，從而有針對(duì)性調(diào)整網(wǎng)絡(luò)整體安全策略。并且在安全設(shè)備上還可監(jiān)控到網(wǎng)絡(luò)流量情況，進(jìn)而更科學(xué)規(guī)劃網(wǎng)絡(luò)帶寬。

4 氣象數(shù)據(jù)的運(yùn)維管理

安全的氣象業(yè)務(wù)專網(wǎng)為氣象數(shù)據(jù)提供可靠場(chǎng)所，進(jìn)而保障氣象業(yè)務(wù)正常運(yùn)行。目前，業(yè)務(wù)專網(wǎng)氣象數(shù)據(jù)有多種來(lái)源，不僅可通過(guò)地市級(jí)CMACAST衛(wèi)星接收小站接收國(guó)家氣象局下發(fā)的各類氣象數(shù)據(jù)、本市各自動(dòng)觀測(cè)氣象站收集的觀測(cè)數(shù)據(jù)、省氣象局共享服務(wù)器共享的氣象數(shù)據(jù)，還可通過(guò)全國(guó)綜合氣象信息共享平臺(tái)（CIMISS）獲取氣象數(shù)據(jù)。市氣象局預(yù)報(bào)、科研、服務(wù)人員根據(jù)收集的氣象數(shù)據(jù)分析制作各種產(chǎn)品或成果存放到市局氣象數(shù)據(jù)中心。氣象數(shù)據(jù)中心將這些數(shù)據(jù)入庫(kù)或以文件方式分類存放在固定的目錄下提供給氣象應(yīng)用各平臺(tái)使用，日常氣象數(shù)據(jù)運(yùn)維的運(yùn)維策略如下。

（1）梳理各種氣象數(shù)據(jù)的數(shù)據(jù)流，根據(jù)數(shù)據(jù)流程中的各記錄和留痕定位故障原因。例如，防災(zāi)減災(zāi)平臺(tái)上臺(tái)風(fēng)數(shù)據(jù)的獲取的完整數(shù)據(jù)鏈路是從CMACAST衛(wèi)星接收小站接收原始數(shù)據(jù)、氣象信息綜合分析處理系統(tǒng)（MICAPS）后處理程序處理后分發(fā)產(chǎn)品在MICAPS系統(tǒng)臺(tái)風(fēng)工作目錄下，防災(zāi)減災(zāi)平臺(tái)以共享方式將數(shù)據(jù)讀取到平臺(tái)服務(wù)器的臺(tái)風(fēng)原始數(shù)據(jù)目錄下，接著入庫(kù)程序?qū)⑴_(tái)風(fēng)數(shù)據(jù)寫(xiě)入防災(zāi)減災(zāi)平臺(tái)數(shù)據(jù)庫(kù)，這樣防災(zāi)減災(zāi)平臺(tái)服務(wù)端才可從數(shù)據(jù)庫(kù)讀取臺(tái)風(fēng)數(shù)據(jù)。當(dāng)平臺(tái)客戶端讀不到臺(tái)風(fēng)數(shù)據(jù)時(shí)，技術(shù)人員需要對(duì)多臺(tái)服務(wù)器，多個(gè)應(yīng)用程序及網(wǎng)絡(luò)鏈路進(jìn)行排查，根據(jù)每臺(tái)服務(wù)器留痕定位故障原因。

（2）制定并用好數(shù)據(jù)庫(kù)監(jiān)控方案和數(shù)據(jù)庫(kù)應(yīng)急備份方案。市局大部分的氣象應(yīng)用平臺(tái)讀取的是數(shù)據(jù)庫(kù)的數(shù)據(jù)，氣象數(shù)據(jù)庫(kù)的運(yùn)維管理至關(guān)重要，而加強(qiáng)數(shù)據(jù)庫(kù)的監(jiān)控與優(yōu)化和做好數(shù)據(jù)庫(kù)的應(yīng)急備份[4]是做好數(shù)據(jù)庫(kù)運(yùn)維管理的關(guān)鍵。技術(shù)人員必須制定詳細(xì)的數(shù)據(jù)庫(kù)監(jiān)控方案和數(shù)據(jù)庫(kù)應(yīng)急備份方案，對(duì)數(shù)據(jù)庫(kù)的監(jiān)控方案規(guī)定對(duì)每天數(shù)據(jù)庫(kù)運(yùn)行狀態(tài)、日志文件、備份情況、數(shù)據(jù)庫(kù)空間使用情況、系統(tǒng)資源的使用情況進(jìn)行檢查，發(fā)現(xiàn)并解決問(wèn)題；每周對(duì)數(shù)據(jù)庫(kù)對(duì)象空間擴(kuò)展情況、數(shù)據(jù)增長(zhǎng)情況進(jìn)行監(jiān)控，對(duì)數(shù)據(jù)庫(kù)對(duì)象的狀態(tài)做檢查，每月根據(jù)數(shù)據(jù)庫(kù)狀態(tài)對(duì)數(shù)據(jù)庫(kù)性能進(jìn)行調(diào)整并提出下一步空間管理計(jì)劃。數(shù)據(jù)庫(kù)應(yīng)急備份方案規(guī)定為每小時(shí)甚至更頻繁備份事務(wù)日志，每天做一次差異備份，每周做一次包含用戶表、系統(tǒng)表、索引、視圖和存儲(chǔ)過(guò)程的完全備份。

5 結(jié)語(yǔ)

當(dāng)今世界，以云計(jì)算、大數(shù)據(jù)、移動(dòng)互聯(lián)、物聯(lián)網(wǎng)等技術(shù)為代表的現(xiàn)代信息技術(shù)方興未艾，深度學(xué)習(xí)、人工智能等技術(shù)蓬勃興起，給各行各業(yè)帶來(lái)深度影響。氣象業(yè)務(wù)不僅需要開(kāi)展基于物聯(lián)網(wǎng)、“互聯(lián)網(wǎng)+”的業(yè)務(wù)應(yīng)用，引導(dǎo)氣象觀測(cè)與氣象服務(wù)的智能化發(fā)展，還要采用新技術(shù)以完善信息系統(tǒng)安全防護(hù)體系，保障各類氣象信息系統(tǒng)安全可靠運(yùn)行。從事氣象信息網(wǎng)絡(luò)工作的技術(shù)人員將面臨更加多元的能力考驗(yàn)，只有不斷地學(xué)習(xí)，更新自身的知識(shí)體系才能應(yīng)對(duì)新時(shí)代新技術(shù)的挑戰(zhàn)。

[1]賈鐵軍. 網(wǎng)絡(luò)安全管理及實(shí)用技術(shù)[M].北京：機(jī)械工業(yè)出版社，2010

[2]許雷. 基于內(nèi)控堡壘主機(jī)的運(yùn)維安全審計(jì)系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)[C]. 《智能城市》雜志社、美中期刊學(xué)術(shù)交流協(xié)會(huì).2016智能城市與信息化建設(shè)國(guó)際學(xué)術(shù)交流研討會(huì)論文集II.《智能城市》雜志社、美中期刊學(xué)術(shù)交流協(xié)會(huì)：旭日華夏（北京）國(guó)際科學(xué)技術(shù)研究院，2016：301-302.

[3]楊波，等. 淺談安全審計(jì)系統(tǒng)在電力企業(yè)中的應(yīng)用[R].甘肅省電機(jī)工程學(xué)會(huì)2014年學(xué)術(shù)年會(huì)，2014.

[4]陳建云，劉唐彪，林春艷.網(wǎng)絡(luò)準(zhǔn)入管理系統(tǒng)在氣象網(wǎng)絡(luò)管理中的應(yīng)用[J].信息記錄材料，2017，18（12）：85-87.

[5]郭曉佳，江彩英，謝丹.氣象業(yè)務(wù)服務(wù)器的管理與維護(hù)[J].軟件導(dǎo)刊，2016，15（12）：101-103.