信息安全下氣象網(wǎng)絡(luò)方案設(shè)計與規(guī)劃

前言：想要寫出一篇引人入勝的文章？我們特意為您整理了信息安全下氣象網(wǎng)絡(luò)方案設(shè)計與規(guī)劃范文，希望能給你帶來靈感和參考，敬請閱讀。

摘要：結(jié)合信息安全等級保護(hù)三級要求，分析銀川河?xùn)|機(jī)場氣象網(wǎng)絡(luò)配置和拓?fù)浣Y(jié)構(gòu)，查找現(xiàn)有網(wǎng)絡(luò)結(jié)構(gòu)優(yōu)缺點(diǎn)，對網(wǎng)絡(luò)進(jìn)行優(yōu)化。使用防火墻防病毒模塊和入侵檢測模塊對網(wǎng)絡(luò)進(jìn)行實(shí)時監(jiān)控，設(shè)置控制策略控制用戶訪問行為。采用日志系統(tǒng)對訪問重要設(shè)備的終端進(jìn)行記錄和分析，借助審計系統(tǒng)審核終端用戶行為，通過設(shè)定規(guī)則拒絕非法用戶訪問。

關(guān)鍵詞：信息安全；入侵檢測；控制策略；日志系統(tǒng)

隨著氣象業(yè)務(wù)的不斷發(fā)展，氣象設(shè)備的數(shù)量不斷增加，氣網(wǎng)絡(luò)面臨較大的運(yùn)行壓力，同時由于業(yè)務(wù)需求，部分氣象系統(tǒng)連接到互聯(lián)網(wǎng)，通過無線網(wǎng)絡(luò)接入到運(yùn)行網(wǎng)絡(luò)中，給運(yùn)行業(yè)務(wù)帶來比較大的安全風(fēng)險。近年來，網(wǎng)絡(luò)安全越來越受到重視，信息系統(tǒng)安全等級三級[1，2]更是對網(wǎng)絡(luò)結(jié)構(gòu)安全[3-5]、安全審計、訪問控制[6-8]等方面提出了進(jìn)一步的要求。在這種背景下，同時結(jié)合氣象網(wǎng)絡(luò)安全三級等保要求，制定合理的安全策略，使用NAT[9,10]技術(shù)，隱藏內(nèi)部真實(shí)地址，建立合法登錄用戶檔案，拒絕非法登錄，構(gòu)建一個具有較強(qiáng)防護(hù)能力的防御系統(tǒng)。

1基于信息安全的網(wǎng)絡(luò)整體規(guī)劃

1.1防火墻設(shè)計

本次設(shè)計目標(biāo)根據(jù)氣象業(yè)務(wù)需求，對不同安全等級的網(wǎng)絡(luò)進(jìn)行隔離，在網(wǎng)絡(luò)層進(jìn)行安全防護(hù)部署，設(shè)置不同安全區(qū)域，每個安全區(qū)域根據(jù)安全等級進(jìn)行相應(yīng)的防護(hù)設(shè)置，提高網(wǎng)絡(luò)安全性，設(shè)計具體目標(biāo)如下：（1）對氣象數(shù)據(jù)庫系統(tǒng)進(jìn)行分層隔離保護(hù)，數(shù)據(jù)庫服務(wù)器區(qū)域設(shè)置為安全級別較高的trust區(qū)域，其他數(shù)據(jù)流根據(jù)等級設(shè)置成dmz、untrust區(qū)域。外部終端獲取數(shù)據(jù)庫數(shù)據(jù)是通過防火墻映射地址進(jìn)行訪問，防火墻安全策略中設(shè)置控制策略，禁止非法用戶訪問，網(wǎng)絡(luò)拓?fù)鋱D如圖1所示：防火墻安全區(qū)域設(shè)置，服務(wù)器設(shè)置區(qū)域?yàn)閠rust區(qū)域，內(nèi)網(wǎng)設(shè)置為dmz區(qū)域，互聯(lián)網(wǎng)網(wǎng)段為untrust區(qū)域，根據(jù)氣象網(wǎng)絡(luò)不同系統(tǒng)業(yè)務(wù)接口規(guī)劃安全區(qū)域，并設(shè)置各個區(qū)域間訪問控制策略。訪問控制設(shè)置，默認(rèn)下防火墻所有區(qū)域間的安全策略動作設(shè)置為拒絕，僅允許通過策略設(shè)置放行的流量，其余均拒絕；根據(jù)業(yè)務(wù)運(yùn)行變化，定期更新訪問控制策略，對控制策略進(jìn)行調(diào)整優(yōu)化；配置防火墻訪問控制策略，實(shí)現(xiàn)流量控制。升級最新的防病毒模塊和入侵檢測模塊，檢測惡意代碼。安全審計模塊，連接審計系統(tǒng)，對訪問服務(wù)器的用戶行為進(jìn)行安全審計和監(jiān)控；日志系統(tǒng)，連接日志系統(tǒng)，對訪問服務(wù)器的設(shè)備信息、用戶信息進(jìn)行記錄，具體設(shè)計見表1：（2）配置思路及配置命令對防火墻USG6000進(jìn)行配置，設(shè)置接口IP地址和安全區(qū)域，根據(jù)業(yè)務(wù)運(yùn)行配置安全策略，放行可信用戶，禁止非法用戶。配置內(nèi)部服務(wù)器，映射服務(wù)器訪問地址。配置路由器接口地址和OSPF動態(tài)協(xié)議，配置核心交換機(jī)端口鏡像以進(jìn)行流量審計，配置日志輸出功能，具體配置如下：

1.2日志系統(tǒng)配置

（1）LINUX系統(tǒng)和AIX系統(tǒng)系統(tǒng)對/etc/syslog.conf文件進(jìn)行編輯，在文件后面添加：@172.25.40.250，則日志發(fā)送到172.25.40.250日志采集服務(wù)器，配置完成后需要重啟syslog服務(wù)才能生效：#servicesyslogrestart（2）交換機(jī)日志開啟#loggon#logg192.168.19.115#loggservice-interfacef0/21（3）開啟端口鏡像#monitorsession1sourceintf0/1-5#monitorsession1destintf0/9（4）規(guī)則配置：通過Web方式登錄日志系統(tǒng)的配置界面，使用系統(tǒng)賬號admin完成相關(guān)配置，具體如下：導(dǎo)入許可配置：在系統(tǒng)維護(hù)界面點(diǎn)擊導(dǎo)入許可，完成配置；開放端口，用于接收syslog日志和告警信息，添加開放的端口：514,162,443；添加設(shè)備：在資產(chǎn)對象組中添加設(shè)備，填寫設(shè)備的名稱、管理IP地址和子網(wǎng)掩碼；時間統(tǒng)計：點(diǎn)擊事件統(tǒng)計按鈕，對網(wǎng)絡(luò)中的安全事件進(jìn)行設(shè)置，屬性設(shè)置為嚴(yán)重、重要、一般、輕微、信息、總數(shù)。1.3數(shù)據(jù)庫審計配置（1）基本配置，使用系統(tǒng)用戶sysadmin進(jìn)行基本配置。管理口配置：設(shè)置IP地址、子網(wǎng)掩碼、網(wǎng)關(guān)等，配置完成后測試ip是否可用，網(wǎng)關(guān)是否連通。部署方式配置：配置默認(rèn)旁路鏡像，確定部署方式，點(diǎn)擊下方保存按鈕。旁路鏡像用于端口鏡像，agent引流用于云上審計環(huán)境或者沒有做端口鏡像。（2）功能配置，使用系統(tǒng)賬號sysadmin進(jìn)行配置，配置審計對象：設(shè)置數(shù)據(jù)庫服務(wù)器IP、詳細(xì)版本及端口號，配置對應(yīng)審計對象。策略管理：默認(rèn)按規(guī)則審計，界面中依次點(diǎn)擊：策略管理，審計策略，默認(rèn)策略。全部審計表示所有訪問數(shù)據(jù)庫服務(wù)器的數(shù)據(jù)均審計入庫，在前臺可以查看所有操作的審計記錄。按規(guī)則審計：只審計匹配規(guī)則的訪問數(shù)據(jù)庫服務(wù)器信息，未匹配規(guī)則的數(shù)據(jù)不審計入庫，前臺查詢記錄中只有匹配規(guī)則的數(shù)據(jù)。（3）規(guī)則設(shè)置，使用secadmin帳號設(shè)置規(guī)則，制定風(fēng)險的級別、何種操作類型以及針對的對象如操作系統(tǒng)主機(jī)名、子對象、客戶端地址集、客戶端進(jìn)程集、關(guān)鍵字等。針對數(shù)據(jù)庫的操作：選擇操作命令，如查詢、插入、刪除、更新等，在審計結(jié)果中出現(xiàn)對應(yīng)的操作時，出現(xiàn)告警信息。風(fēng)險級別：設(shè)置訪問行為高風(fēng)險、中風(fēng)險、低風(fēng)險、關(guān)注行為、一般行為、不審計。

2網(wǎng)絡(luò)配置與驗(yàn)證

2.1trunk技術(shù)

trunk技術(shù)用于在交換機(jī)之間互連，使不同VLAN通過共享鏈路與其它交換機(jī)中的相同VLAN通信。交換機(jī)之間互連的端口就稱為trunk端口，trunk是基于OSI第二層數(shù)據(jù)鏈路層（DataLinkLayer)的技術(shù)。將互連的交換機(jī)兩個端口mode設(shè)置為trunk模式，實(shí)現(xiàn)交換機(jī)上所有VLAN共享這條線路，不同交換機(jī)相同vlan相互通信，配置命令：[LSW]group-membere0/0/1toe0/0/4[LSW]portlinktrunk[LSW]porttrunkallowvlanall

2.2單臂路由技術(shù)

默認(rèn)情況下，不同網(wǎng)段之間是不能相互通信的。但是在實(shí)際中，不同網(wǎng)段之間又要相互通信，這種情況下可以使用單臂路由技術(shù)，單臂路由（router-on-a-stick）是指在路由器的一個接口上通過配置子接口（或“邏輯接口”，并不存在真正物理接口）的方式，實(shí)現(xiàn)原來相互隔離的不同VLAN（虛擬局域網(wǎng)）之間的互聯(lián)互通，配置命令：[R1-G0/0/0.10]ipaddr172.25.32.25424[R1-G0/0/0.10]dot1qterminationvid10[R1-G0/0/0.10]arpbroadcastenable

2.3訪問控制和NAT映射技術(shù)

訪問控制是網(wǎng)絡(luò)安全防范和保護(hù)的主要策略，保證網(wǎng)絡(luò)資源不被非法使用和訪問，它是保證網(wǎng)絡(luò)安全重要的核心策略之一。NAT（NetAddressTranslation），它是負(fù)責(zé)網(wǎng)絡(luò)地址轉(zhuǎn)換的一個協(xié)議，負(fù)責(zé)把私網(wǎng)內(nèi)的的IP和端口轉(zhuǎn)換成公網(wǎng)的IP和端口，即IP地址映射,外部網(wǎng)絡(luò)通過映射的IP地址訪問內(nèi)部服務(wù)器，起到保護(hù)內(nèi)部設(shè)備的作用，配置命令：[USG]natserverprotocoltcpglobal192.5.202.2501521inside172.25.32.11521[USG]source-zoneuntrust[USG]destination-zonetrust[USG]actionpermit其他網(wǎng)段設(shè)備通過NAT映射地址訪問氣象數(shù)據(jù)庫系統(tǒng)，如綜合顯示系統(tǒng)終端若訪問氣象數(shù)據(jù)庫服務(wù)器，在華為USG6000防火墻中進(jìn)行地址映射和訪問控制，對服務(wù)器進(jìn)行保護(hù)，通過映射地址192.5.202.250訪問氣象數(shù)據(jù)庫系統(tǒng)服務(wù)器允許的sql檢索服務(wù)。

3結(jié)束語

基于信息安全的氣象網(wǎng)絡(luò)自2020年4月運(yùn)行以來，系統(tǒng)總體運(yùn)行穩(wěn)定可靠，未出現(xiàn)因網(wǎng)絡(luò)原因造成的網(wǎng)絡(luò)中斷、信息泄露、系統(tǒng)癱瘓等故障。運(yùn)行期間，由空管局總局組織的等級測試保護(hù)小組對網(wǎng)絡(luò)進(jìn)行了安全滲透測試，分局委托的信息等級保護(hù)安全檢查機(jī)構(gòu)也對本網(wǎng)絡(luò)進(jìn)行等級保護(hù)檢查，測試結(jié)果表明本網(wǎng)絡(luò)完全滿足信息安全等級保護(hù)三級要求。

作者:趙曄暉 單位:寧夏銀川民航寧夏空管分局氣象臺