摘要：近年來，隨著水利科研院各自的云計算中心相繼建立，云計算與以往的計算模式安全風險差異很大，面臨的風險也更大，因為以往的系統(tǒng)多數(shù)為集中式管理范圍較小，安全管理和設備資源是可控的，而云計算是分布式管理，是一個動態(tài)變化的計算環(huán)境，這種環(huán)境在某種意義上是無序的，這種虛擬動態(tài)的運行環(huán)境更不可控，傳統(tǒng)的安全邊界消失。同時，云計算在認證、授權、訪問控制和數(shù)據(jù)保密這些方面這對于信息網(wǎng)絡安全也提出了更高的要求。由云安全聯(lián)盟和惠普公司列出了云計算面臨的7宗罪(風險)，說明云安全的狀況變化非常快，現(xiàn)有的技術和管理體系并不完全適應于云計算的模式，如何結合自身特點制定出適合云計算的等級保護體系架構是今后研究的方向。

　　關鍵詞：水利科研,信息科技,工程計劃

　　嚴格按照國家制定的等級保護測評相關標準規(guī)劃設計信息網(wǎng)絡，加快水利科研院所信息系統(tǒng)安全級別的定級及開展相關測評工作對加快水利信息化安全建設步伐，保障水利科研院所信息系統(tǒng)平穩(wěn)安全運行起到至關重要的作用。

　　水利科研院所信息系統(tǒng)結構相對簡單，在管理制度上基本建立了機房管控制度、人員安全管理制度等，技術上也都基本達到了一級防護的要求。下面以某水利科研單位為例分析。某水利科研單位主機房選址為大樓低層(3層以下)，且不臨街。機房大門為門禁電磁防盜門，機房內安裝多部監(jiān)控探頭。機房內部劃分為多個獨立功能區(qū)，每個功能區(qū)均安裝門禁隔離。機房鋪設防靜電地板，且已與大樓防雷接地連接。機房內按照面積匹配自動氣體消防，能夠對火災發(fā)生進行自動報警，人工干預滅火。機房內已安裝溫度濕度監(jiān)控探頭，對機房內溫濕度自動監(jiān)控并具有報警功能，機房配備較大功率UPS電源，能夠保障關鍵業(yè)務系統(tǒng)在斷電后2小時正常工作。機房采用通信線路上走線，動力電路下走線方式。以上物理條件均滿足二級要求。網(wǎng)絡拓撲結構分為外聯(lián)區(qū)、對外服務區(qū)、業(yè)務處理區(qū)和接入?yún)^(qū)4大板塊，對外服務區(qū)部署有VPN網(wǎng)關，外部人員可通過VPN網(wǎng)關進入加密SSL通道訪問業(yè)務處理區(qū)，接入?yún)^(qū)用戶通過認證網(wǎng)關訪問互聯(lián)網(wǎng)。整個網(wǎng)絡系統(tǒng)未部署入侵檢測(IDS)系統(tǒng)、非法外聯(lián)檢測系統(tǒng)、網(wǎng)絡安全審計系統(tǒng)以及流量控制系統(tǒng)。由上述拓撲結構可以看出，現(xiàn)有的安全防護手段可基本保障信息網(wǎng)絡系統(tǒng)的安全，但按照二級要求，系統(tǒng)內缺少IDS系統(tǒng)、網(wǎng)絡安全審計系統(tǒng)和非法外聯(lián)檢測系統(tǒng)，且沒有獨立的數(shù)據(jù)備份區(qū)域，給整個信息網(wǎng)安全帶來一定的隱患。新的網(wǎng)絡系統(tǒng)在外聯(lián)區(qū)邊界防火墻下接入了入侵檢測系統(tǒng)(IDS)，新規(guī)劃了獨立的數(shù)據(jù)備份區(qū)域，在核心交換機上部署了網(wǎng)絡審計系統(tǒng)，并在接入?yún)^(qū)安裝了非法外聯(lián)檢測系統(tǒng)。形成了較為完整的信息網(wǎng)絡安全防護體系。

　　主機安全的測評主要對操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)展開測評。通常水利科研院所服務器種類繁多，從最多見的機架式服務器到曙光一類的大型并行服務器均有部署，同時操作系統(tǒng)有window系列、Linux、Unix、Solaris等多種操作系統(tǒng)，數(shù)據(jù)庫以主流SQLSERVER、ORACLE為主，早期開發(fā)的系統(tǒng)還有Sybase，DB2等數(shù)據(jù)庫。對于window操作系統(tǒng)是容易被攻擊的重點，因為二級等保為審計級保護所以重點在于身份鑒別、訪問控制、安全審計、入侵防范、惡意代碼4個方面進行測評，主要審計重要用戶行為、系統(tǒng)資源的異常使用和重要信息的命令使用等系統(tǒng)內重要的安全相關事件。對于LINUX等其他系統(tǒng)和數(shù)據(jù)庫，主要審計操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的身份標識唯一性，口令應復雜程度以及限制條件等。

　　水利科研院所內部業(yè)務種類繁多，如OA系統(tǒng)，科研管理系統(tǒng)，內部財務系統(tǒng)、網(wǎng)站服務器群，郵件服務器等，測評的重點主要是對這些業(yè)務系統(tǒng)逐個測評身份驗證，日志記錄，訪問控制、安全審計等功能。

　　數(shù)據(jù)安全的測評主要就數(shù)據(jù)的完整性、保密性已及備份和恢復可靠性、時效性展開測評。水利科研院所數(shù)據(jù)量十分龐大，一般達到上百TB級數(shù)據(jù)量，一旦遭受攻擊，恢復任務十分艱巨，因此備份區(qū)和應用區(qū)應該選用光纖直連的方式，避免電纜數(shù)據(jù)傳輸效率的瓶頸。日常情況下應做好備份計劃，采用增量備份的方式實時對數(shù)據(jù)備份。

　　機房的物理安全測評主要是選址是否合理，機房大門防火防盜性能，機房的防雷擊、防火、防水防潮防靜電設施是否完好達標，溫濕度控制、電力供應以及電磁防護是否符合規(guī)定等物理條件。

　　安全管理主要就制定的制度文檔和記錄文檔展開評測。制度文檔主要分為3類，流程管理，人員管理和設備管理。記錄文檔主要為制度文檔的具體實施形式。在滿足二級的條件下，一般需要制度文檔有《信息安全管理辦法》、《安全組織及職責管理規(guī)定》、《安全審核與檢查管理制度》、《授權和審批管理規(guī)定》、《信息安全制度管理規(guī)范》、《內部人員安全管理規(guī)定》、《外部人員安全管理規(guī)定》、《系統(tǒng)設計和采購安全管理規(guī)定》、《系統(tǒng)實施安全管理規(guī)定》、《系統(tǒng)測試驗收和交付安全管理規(guī)定》、《軟件開發(fā)安全管理規(guī)定》、《系統(tǒng)運維和監(jiān)控安全管理規(guī)定》、《網(wǎng)絡安全管理規(guī)定》、《系統(tǒng)安全管理規(guī)定》、《賬號密碼管理規(guī)定》等基本規(guī)章制度。同時對管理制度本身進行也要規(guī)范管理，如版本控制，評審修訂流程等。需要制定的記錄文檔有《機房出入登記記錄》、《機房基礎設施維護記錄》、《各類評審和修訂記錄》、《人員考核、審查、培訓記錄》、《各項審批和批準執(zhí)行記錄》、《產(chǎn)品的測試選型測試結果記錄》、《系統(tǒng)驗收測試記錄報告》、《介質歸檔查詢等的等級記錄》、《主機系統(tǒng)，網(wǎng)絡，安全設備等的操作日志和維護記錄》、《機房日常巡檢記錄》、《安全時間處理過程記錄》、《應急預案培訓，演練，審查記錄》等。

　　是利用各種測試工具，通過對目標系統(tǒng)的掃描、探測等操作，使其產(chǎn)生特定的響應等活動，查看分析響應結果，獲取證據(jù)以證明信息系統(tǒng)安全保護措施是否得以有效實施的一種方法。工具測試種類繁多，這里特指適用于等保測評過程中的工具測試。利用工具測試不僅可以直接獲得系統(tǒng)本身存在的漏洞，同時也可以通過不同的區(qū)域接入測試工具所得到的測試結果判斷出不同區(qū)域之間的訪問控制情況。利用工具測試并結合其他的核查手段能為測試結果提供客觀準確的保障。

　　收集信息→規(guī)劃接入點→編制《工具測試作業(yè)指導書》→現(xiàn)場測試→結果整理。收集信息主要是對網(wǎng)絡設備、安全設備、主機設備型號、IP地址、操作系統(tǒng)以及網(wǎng)絡拓撲結構等信息進行收集。規(guī)劃接入點是保證不影響整個信息系統(tǒng)網(wǎng)絡正常運行的前提下嚴格按照方案選定范圍進行測試。接入點的規(guī)劃隨著網(wǎng)絡結構，訪問控制，主機位置等情況的不同而不同,但應該遵循以下規(guī)則。(1)由低級別系統(tǒng)向高級別系統(tǒng)探測。(2)同一系統(tǒng)同等重要程度功能區(qū)域之間要互相探測。(3)由外聯(lián)接口向系統(tǒng)內部探測。(4)跨網(wǎng)絡隔離設備(包括網(wǎng)絡設備和安全設備)要分段探測。

　　利用漏洞掃描器、滲透測試工具集、協(xié)議分析儀、網(wǎng)絡拓撲結構生成工具更能迅速可靠地找到系統(tǒng)的薄弱環(huán)節(jié)，為整改方案的編制提供依據(jù)。

　　信息系統(tǒng)從規(guī)劃到建立是一個復雜漫長的過程，需要做好規(guī)劃。一般情況下,信息系統(tǒng)的安全規(guī)劃分為計算機系統(tǒng)、邊界區(qū)域、通信系統(tǒng)的安全設計。相應的技術測評工作也主要圍繞這3個模塊展開。

　　信息系統(tǒng)是個復雜工程，設備的簡單堆疊并不能有效保障系統(tǒng)的絕對安全，新建系統(tǒng)應嚴格按照等保規(guī)劃設計，已建系統(tǒng)要對信息系統(tǒng)進行安全測試，對于測評不合格項對照整改。信息系統(tǒng)安全測試范圍很廣，主要在網(wǎng)絡安全、主機安全、應用安全、數(shù)據(jù)安全、物理安全、管理安全六大方面展開測評。本文僅對測評內容要素進行描述，對具體測試方法及工具不作描述。

　　水利科研院所網(wǎng)絡安全的測評主要參照公安部編制《信息安全等級測評》條件對網(wǎng)絡全局、路由和交換設備、防火墻、入侵檢測系統(tǒng)展開測評。但應結合科研院所實際有所側重。水利科研院所信息系統(tǒng)數(shù)據(jù)傳輸量大，網(wǎng)絡帶寬占用比例相對較高，因此，在網(wǎng)絡全局中主要測試網(wǎng)絡設備是否具備足夠的數(shù)據(jù)處理能力，網(wǎng)絡設備資源占用情況，確保網(wǎng)絡設備的業(yè)務處理能力冗余性。科研院所地理位置相對分散，因此，需要合理的VLAN劃分，確保局部網(wǎng)絡攻擊不會引發(fā)全局癱瘓。科研院所擁有大量的研究生，這類人群對于制度的約束相對較差，網(wǎng)絡應用多伴有P2P應用，對出口帶寬影響極大，因此除了用經(jīng)濟杠桿的手段外，在技術上要求防火墻配置帶寬控制策略。同時對“非法接入和外聯(lián)”行為進行檢查。網(wǎng)絡中應配置IDS對端口掃描，對木馬、后門攻擊、網(wǎng)絡蠕蟲等常見攻擊行為監(jiān)視等等。