林加寶，王啟東，邵平榮，戴麗金，陳柵樺

（1.福建省地震局信息中心，福州 350000；2.福建地震臺，福州 350000；3.福建省地震局泉州基準(zhǔn)地震臺，福建 泉州 362000）

福建省地震局門戶網(wǎng)站是由福建省地震局信息網(wǎng)中心申請立項，福建省地震局批復(fù)同意建設(shè)的。目前該系統(tǒng)由福建省地震局信息中心負責(zé)運行維護管理運營。福建省地震局門戶網(wǎng)站是福建省地震局面向互聯(lián)網(wǎng)上的所有用戶服務(wù)的信息網(wǎng)站。該網(wǎng)站依托互聯(lián)網(wǎng)，向社會公眾提供各類防震減災(zāi)綜合信息服務(wù)及地震科普知識宣傳教育等內(nèi)容，包括政府信息公開、政務(wù)信息、行業(yè)動態(tài)、震情快訊、地震科普和在線留言等綜合服務(wù)。福建省地震局門戶網(wǎng)站主要由網(wǎng)站系統(tǒng)和后臺數(shù)據(jù)庫系統(tǒng)組成。網(wǎng)站服務(wù)器部署在福建省地震局局域網(wǎng)防火墻的DMZ區(qū)（隔離區(qū)），通過單位統(tǒng)一的100 M光纖寬帶接入互聯(lián)網(wǎng)，在福建省地震局區(qū)域骨干局域網(wǎng)與互聯(lián)網(wǎng)邊界，部署了2臺深信服防火墻，作為邊界網(wǎng)關(guān)防護設(shè)備，與此同時還串連圣博潤WAF（網(wǎng)站應(yīng)用級入侵防御系統(tǒng)）墻進行安全防護。在DMZ區(qū)部署了3臺DELL機架式服務(wù)器作為網(wǎng)站的服務(wù)器。門戶網(wǎng)站系統(tǒng)網(wǎng)絡(luò)結(jié)構(gòu)拓撲圖如圖1所示。

圖1 福建省地震局門戶網(wǎng)站網(wǎng)絡(luò)結(jié)構(gòu)拓撲圖

1 測評內(nèi)容

福建省地震局委托福建省公安廳下屬有測評資質(zhì)的公司進行本次測評工作，最終由福建省網(wǎng)絡(luò)與技術(shù)安全測評中心對福建省地震局門戶網(wǎng)站進行了系統(tǒng)安全等級測評工作。福建省地震局門戶網(wǎng)站是福建省地震局對外的窗口，對安全性要求比較高，經(jīng)過專家多次認證決定進行三級等級保護測評，本次福建省地震局門戶網(wǎng)站安全評測的范圍主要包括福建省地震局門戶網(wǎng)站的物理環(huán)境、服務(wù)器主機、網(wǎng)絡(luò)設(shè)備、安全設(shè)備、業(yè)務(wù)應(yīng)用系統(tǒng)、安全管理制度和人員等方面內(nèi)容。等級保護測評通過靜態(tài)評估、現(xiàn)場測評和綜合評估等相關(guān)環(huán)節(jié)來完成[1-3]，從物理安全、網(wǎng)絡(luò)安全、主機安全、應(yīng)用安全、數(shù)據(jù)安全與備份恢復(fù)、安全管理制度、安全管理機構(gòu)、人員安全管理、系統(tǒng)建設(shè)管理和系統(tǒng)運維管理等方面對福建省地震局門戶網(wǎng)站進行綜合測評[4-5]。

2 測評目的

等級保護測評的目的是通過對福建省地震局門戶網(wǎng)站在安全技術(shù)與管理等方面進行安全評估測試，從而對福建省地震局門戶網(wǎng)站系統(tǒng)的安全技術(shù)狀態(tài)與安全管理狀況作出初步判斷，給出門戶網(wǎng)站系統(tǒng)在安全技術(shù)與安全管理等方面與三級安全等級保護系統(tǒng)的要求之間的差距。等級保護評測結(jié)論作為福建省地震局門戶網(wǎng)站進一步完善系統(tǒng)安全策略和安全技術(shù)防護措施的依據(jù)。為進一步提高福建省地震局門戶網(wǎng)站安全保障能力，根據(jù)《信息安全等級保護管理辦法》的精神，福建省地震局對門戶網(wǎng)站進行三級等級保護測評，以期發(fā)現(xiàn)門戶網(wǎng)站系統(tǒng)和等級保護標(biāo)準(zhǔn)的差距和存在的安全隱患，為后續(xù)的安全整改工作提供參考和依據(jù)[6]，從而提高福建省地震局門戶網(wǎng)站安全防護能力。

3 測評過程

本次等級測評過程主要經(jīng)歷4個階段：測評準(zhǔn)備階段、方案編制階段、現(xiàn)場測評階段，以及報告編制階段，具體詳細過程如圖2所示。

圖2 等級保護測評工作的流程圖

測評準(zhǔn)備階段主要做了3件事情，首先是召開了工作啟動會議，確定了大概的工作方案及工作人員名單；其次是對需要測評的系統(tǒng)做了一個信息收集和分析。最后確定了需要準(zhǔn)備的工具和表單。

方案編制階段：首先完成了測評對象和測評指標(biāo)的確定；而后確定測評內(nèi)容和測評工具、方法；最后開發(fā)測評指導(dǎo)書和編制測評方案[7]。

現(xiàn)場測評階段：福建省網(wǎng)絡(luò)與信息安全測評中心共來4個人，其中1人負責(zé)文檔資料這一塊的檢查，其中1人負責(zé)門戶網(wǎng)站系統(tǒng)和數(shù)據(jù)庫檢查，另外1人負責(zé)網(wǎng)絡(luò)和安全設(shè)備的檢查，最后1個組長負責(zé)協(xié)調(diào)整個測評過程，包括現(xiàn)場測評環(huán)境搭建，現(xiàn)場測評結(jié)果記錄、測評結(jié)果記錄的確認及相關(guān)資料歸還等工作[8]。福建省地震局信息中心網(wǎng)絡(luò)信息室也有4個人和網(wǎng)絡(luò)與信息安全測評中心測評人員對接測評，從而在1 d內(nèi)順利完成了現(xiàn)場測評工作。

報告編制階段：現(xiàn)場測評結(jié)束后，網(wǎng)絡(luò)與信息安全測評中心測評人員會對單項測評結(jié)果進行判定及單元測試結(jié)果進行判定，而后對整體進行測評，系統(tǒng)安全保障評估、安全問題風(fēng)險分析和主要存在的安全問題及整改意見，最后完成等級測評結(jié)論的形成及最終測評報告的編制。完成測評報告編制意味著整個測評過程的結(jié)束。

4 測評結(jié)果

通過對門戶網(wǎng)站信息系統(tǒng)基本安全保護狀態(tài)的分析，福建省地震局針對福建省地震局門戶網(wǎng)站面臨的主要安全威脅采取了相應(yīng)的安全機制，以下方面基本達到了保護信息系統(tǒng)重要資產(chǎn)的作用。

（1）在安全責(zé)任制方面。福建省地震局成立了指導(dǎo)和管理網(wǎng)絡(luò)安全工作的領(lǐng)導(dǎo)小組，領(lǐng)導(dǎo)小組的組長由單位負責(zé)人擔(dān)任；設(shè)立網(wǎng)絡(luò)安全管理工作的職能部門和各業(yè)務(wù)科室崗位人員，并設(shè)定各崗位負責(zé)人所承擔(dān)的職責(zé)，針對重要系統(tǒng)變更、操作及系統(tǒng)接入等事項建立了審批流程[9]，同時積極參與內(nèi)外部的溝通協(xié)作，共同解決信息安全問題，安全審查和檢查工作也按照國家和行業(yè)標(biāo)準(zhǔn)對信息安全等級保護的要求順利開展。

（2）在管理制度體系方面，福建省地震局制定網(wǎng)絡(luò)安全工作的總體方針和安全策略，闡明機構(gòu)安全工作的總體目標(biāo)、范圍、原則和安全框架等；在安全管理制度方面具備較為完善的規(guī)劃，建立了日常操作的操作規(guī)程，構(gòu)成了較為完整的安全管理制度體系。

（3）在基礎(chǔ)設(shè)施與網(wǎng)絡(luò)環(huán)境方面，提供了對登錄操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的用戶采用用戶名與口令方式進行身份鑒別，且口令具有復(fù)雜度，具有登錄失敗處理功能；當(dāng)對服務(wù)器進行遠程管理時，采取了防止鑒別信息在網(wǎng)絡(luò)傳輸過程中被竊聽的措施，為操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的不同用戶分配不同的用戶名，不存在多余的、過期的賬戶，審計范圍應(yīng)覆蓋到服務(wù)器和重要客戶端上的每個操作系統(tǒng)用戶和數(shù)據(jù)庫用戶，審計進程受保護不會中斷。

（4）在安全控制措施方面，業(yè)務(wù)高峰期的流量值小于核心網(wǎng)絡(luò)設(shè)備和邊界網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理性能；在網(wǎng)絡(luò)邊界部署有訪問控制設(shè)備，并根據(jù)系統(tǒng)的應(yīng)用需求啟用了相應(yīng)的訪問控制功能，控制粒度為端口級；網(wǎng)絡(luò)邊界處的入侵檢測系統(tǒng)可以監(jiān)視端口掃描、強力攻擊、木馬后面攻擊、拒絕服務(wù)攻擊、緩沖區(qū)溢出攻擊、IP碎片攻擊和網(wǎng)絡(luò)蠕蟲等[10]。

（5）在系統(tǒng)邊界方面，該單位保證跨越式邊界的訪問和數(shù)據(jù)流通過邊界設(shè)備提供的受控接口進行通信；刪除多余無效的訪問控制規(guī)則并優(yōu)化訪問控制列表，從而保證訪問控制規(guī)則盡量不重復(fù)多余；并在關(guān)鍵網(wǎng)絡(luò)節(jié)點處檢測、防止外部發(fā)起的網(wǎng)絡(luò)攻擊行為。

（6）在數(shù)據(jù)保護方面，設(shè)備配置更改時備份，每天進行備份，備份介質(zhì)場外存放。

（7）在應(yīng)用安全方面，基于榕基RJ-CMS內(nèi)容管理系統(tǒng)V2.3設(shè)置了登錄模塊，且該登錄模塊對口令長度和復(fù)雜度做了相應(yīng)要求，采用登錄驗證碼等措施防止非法用戶進行暴力破解；針對權(quán)限具有較好的控制措施，能夠正確實施對資源的訪問控制；系統(tǒng)的審計日志覆蓋比較全面，審計內(nèi)容較為完善，無法被刪除、修改或覆蓋，有專門的審計模塊可以進行統(tǒng)計、查詢、分析或生成報表；福建省地震局門戶網(wǎng)站服務(wù)器系統(tǒng)采用多服務(wù)器集群部署的方式，能夠較好地保障系統(tǒng)的穩(wěn)定運行。

（8）在系統(tǒng)規(guī)劃與建設(shè)方面，福建省地震局已對系統(tǒng)開展了定級備案工作并對信息系統(tǒng)開展等級測評工作；信息安全等級測評工作選擇了具有合格資質(zhì)的公司開展測評工作；根據(jù)系統(tǒng)的安全保護等級選擇了基本安全措施，考慮了安全技術(shù)框架、安全策略、總體建設(shè)規(guī)劃和詳細設(shè)計方案，并形成相關(guān)文件；產(chǎn)品采購根據(jù)國家采購相關(guān)規(guī)定的工作流程方法進行，確保從產(chǎn)品選型、工程實施到系統(tǒng)交付工作符合信息安全保護的國家標(biāo)準(zhǔn)和行業(yè)標(biāo)準(zhǔn)。

（9）在系統(tǒng)運維管理方面，建立了機房安全管理制度，由機房安全管理人員對機房設(shè)備的運維、物品與人員的出入和環(huán)境安全等工作進行管理；信息處理設(shè)備不允許帶離機房或辦公地點，因工作需要確實需要帶離的，需經(jīng)過相關(guān)領(lǐng)導(dǎo)批準(zhǔn)才可帶離；網(wǎng)絡(luò)設(shè)備在更新前都必須對設(shè)備的配置進行備份；對系統(tǒng)變更等重要操作，開展變更審批流程化管理，重要變更通過主管領(lǐng)導(dǎo)批準(zhǔn)方可實施；相關(guān)領(lǐng)導(dǎo)部門還制定了安全事件報告和處置管理制度，明確安全事件的類型，確定事件的報告流程，根據(jù)安全事件制定了不同的應(yīng)急預(yù)案，并定期對各類應(yīng)急預(yù)案開展培訓(xùn)和演練。

通過對福建省地震局門戶網(wǎng)站進行細致測評分析，也發(fā)現(xiàn)了一些其他問題，主要表現(xiàn)在如下幾個方面。

（1）安全物理環(huán)境方面。機房窗戶、屋頂和墻壁未采取防水或防潮措施，存在滲水安全隱患，不利于設(shè)備安全可靠穩(wěn)定的運行，機房未配備防靜電手環(huán)、靜電鞋套或靜電消除器防止靜電的產(chǎn)生，靜電未消除會給機房內(nèi)設(shè)備、存儲介質(zhì)和線纜等帶來不小的安全隱患。

（2）安全網(wǎng)絡(luò)通信方面。網(wǎng)絡(luò)拓撲結(jié)構(gòu)存在單點故障，關(guān)鍵設(shè)備交換機、防火墻未采用雙機冗余部署；應(yīng)用系統(tǒng)未采用經(jīng)國家密碼管理局認可的密碼技術(shù)進行通信保密性驗證，網(wǎng)站管理后臺通過明文傳輸，無加密措施。通信設(shè)備不具備可信驗證能力。

（3）安全區(qū)域邊界方面。系統(tǒng)中部署的Web應(yīng)用防火墻，未設(shè)置通過郵件、短信等方式進行安全事件告警通知管理員；系統(tǒng)內(nèi)對內(nèi)網(wǎng)攻擊行為不能很好地進行分析和檢測；系統(tǒng)不具備基于可信根對邊界設(shè)備的可信驗證。

（4）安全計算環(huán)境方面。網(wǎng)絡(luò)設(shè)備、安全設(shè)備和服務(wù)器等未對數(shù)據(jù)進行備份恢復(fù)測試；安全設(shè)備、網(wǎng)絡(luò)設(shè)備和服務(wù)器等未限制終端管理接入地址；門戶網(wǎng)站審計記錄內(nèi)容僅包含操作日志，未包含登錄日志。

5 結(jié)束語

通過對信息系統(tǒng)基本安全保護狀態(tài)分析，福建省地震局針對福建省地震局門戶網(wǎng)站面臨的主要安全威脅采取了相應(yīng)的安全機制，使得信息系統(tǒng)重要資產(chǎn)得到有效的保護，福建省地震局門戶網(wǎng)站三級等級保護測評結(jié)論為基本符合。測評符合率為78.70%，部分符合率為2.80%，不符合率為18.50%，不適用數(shù)為4，問題數(shù)總計61個，其中高風(fēng)險問題數(shù)0個，中風(fēng)險問題數(shù)45個，低風(fēng)險問題數(shù)16個[11]；針對這些中低風(fēng)險問題進行了逐一分析，能立即整改到位馬上整改，暫時無法整改完成的就是相關(guān)工作人員今后工作努力的方向。通過此次等級保護測評了解了網(wǎng)站系統(tǒng)存在的薄弱環(huán)節(jié)，使福建省地震局門戶網(wǎng)站防護水平有很大的提高，在系統(tǒng)防護上，特別是使事前的風(fēng)險規(guī)避和事后恢復(fù)、溯源都有了很大的提高，為實現(xiàn)福建省地震局門戶網(wǎng)站安全、穩(wěn)定和可靠運行打下了堅實的基礎(chǔ)。