蘭 蕊,劉旭生

1.忻州師范學(xué)院,山西忻州 034000

2.山西忻州供電分公司,山西忻州 034000

論信息系統(tǒng)中關(guān)鍵數(shù)據(jù)的深度防護(hù)

蘭 蕊1,劉旭生2

1.忻州師范學(xué)院,山西忻州 034000

2.山西忻州供電分公司,山西忻州 034000

關(guān)鍵數(shù)據(jù)的安全直接關(guān)系著現(xiàn)代企業(yè)的發(fā)展命脈，針對(duì)企業(yè)關(guān)鍵數(shù)據(jù)安全的重要性，本文提出了建立信息系統(tǒng)中關(guān)鍵數(shù)據(jù)的深度防護(hù)體系，從信息設(shè)備、網(wǎng)絡(luò)傳輸和數(shù)據(jù)加密3個(gè)方面論述了關(guān)鍵數(shù)據(jù)深度防護(hù)體系的必要性和可靠性。通過(guò)在某大型企業(yè)部署深度防護(hù)體系，大大增強(qiáng)了關(guān)鍵數(shù)據(jù)的安全性，同時(shí)也大大提高了整個(gè)網(wǎng)絡(luò)與信息系統(tǒng)的穩(wěn)定性。實(shí)踐證明該種深度防護(hù)體系能有效保障關(guān)鍵數(shù)據(jù)的安全性。

關(guān)鍵數(shù)據(jù)；數(shù)據(jù)保護(hù)；訪問(wèn)控制；加密

1 信息系統(tǒng)中保護(hù)關(guān)鍵數(shù)據(jù)的重要性

信息化發(fā)展到今天，關(guān)鍵數(shù)據(jù)成為現(xiàn)代企業(yè)的核心競(jìng)爭(zhēng)力，保護(hù)數(shù)據(jù)則成為一個(gè)企業(yè)立于不敗之地的要素之一。人為操作不當(dāng)、應(yīng)用程序漏洞、病毒和黑客攻擊都有可能造成數(shù)據(jù)丟失或損壞，如何能最大限度的保護(hù)數(shù)據(jù)不被這些因素破壞已成為一個(gè)企業(yè)的重中之重。

目前，大多數(shù)企業(yè)的信息系統(tǒng)均采用客戶終端—應(yīng)用服務(wù)器—數(shù)據(jù)庫(kù)服務(wù)器的三級(jí)業(yè)務(wù)模式，如圖1所示，企業(yè)的關(guān)鍵數(shù)據(jù)放置在數(shù)據(jù)庫(kù)服務(wù)器區(qū)域，該區(qū)域的數(shù)據(jù)是否安全呢，答案是不安全。從系統(tǒng)的體系架構(gòu)上來(lái)看，由客戶端向應(yīng)用服務(wù)器發(fā)起訪問(wèn)請(qǐng)求，應(yīng)用服務(wù)器根據(jù)情況向數(shù)據(jù)庫(kù)發(fā)送請(qǐng)求，數(shù)據(jù)庫(kù)作出響應(yīng)并由應(yīng)用服務(wù)器反饋給客戶端，原則上客戶端并不直接訪問(wèn)數(shù)據(jù)庫(kù)。但從圖1的拓?fù)渖暇涂梢钥闯?，?yīng)用服務(wù)器區(qū)域和數(shù)據(jù)庫(kù)服務(wù)器區(qū)域的所有服務(wù)器通過(guò)網(wǎng)絡(luò)對(duì)客戶端都是透明的，沒(méi)有訪問(wèn)控制設(shè)備和相應(yīng)的措施，非法用戶、黑客、病毒通過(guò)網(wǎng)絡(luò)都可以侵入數(shù)據(jù)庫(kù)服務(wù)器區(qū)域，對(duì)關(guān)鍵數(shù)據(jù)造成破壞，因此關(guān)鍵數(shù)據(jù)是不安全的，需要構(gòu)建深度防護(hù)體系。

圖1

2 關(guān)鍵數(shù)據(jù)深度防護(hù)體系的構(gòu)成

構(gòu)建關(guān)鍵數(shù)據(jù)的深度防護(hù)體系需要從以下3方面來(lái)解決：

1）實(shí)施數(shù)據(jù)保護(hù)技術(shù)，對(duì)關(guān)鍵設(shè)備實(shí)行服務(wù)器容錯(cuò)，部署數(shù)據(jù)備份體系，制定合理的災(zāi)難恢復(fù)和容災(zāi)方案，確保當(dāng)發(fā)生數(shù)據(jù)災(zāi)難時(shí)能及時(shí)完整的恢復(fù)數(shù)據(jù)；

2）加強(qiáng)訪問(wèn)控制措施，對(duì)信息系統(tǒng)體系進(jìn)行“分區(qū)分級(jí)”，逐級(jí)進(jìn)行防護(hù)，確保各級(jí)系統(tǒng)只能讓授權(quán)用戶訪問(wèn)被授權(quán)的數(shù)據(jù)，不能越級(jí)訪問(wèn)；

3）部署數(shù)據(jù)加密體系，針對(duì)數(shù)據(jù)庫(kù)層、應(yīng)用服務(wù)層和客戶終端層分別進(jìn)行節(jié)點(diǎn)加密、鏈路加密和端對(duì)端加密，防止數(shù)據(jù)在傳輸時(shí)被竊聽(tīng)、泄漏、篡改和破壞。

3 實(shí)施數(shù)據(jù)保護(hù)技術(shù)，提高自身的可靠性

3.1 對(duì)關(guān)鍵設(shè)備實(shí)行服務(wù)器容錯(cuò)

采用雙機(jī)熱備技術(shù)或服務(wù)器集群技術(shù)對(duì)存放重要數(shù)據(jù)的服務(wù)器實(shí)行服務(wù)器容錯(cuò)，可以極大地降低企業(yè)業(yè)務(wù)在災(zāi)難發(fā)生時(shí)的損失，保證業(yè)務(wù)系統(tǒng)的7×24小時(shí)不間斷運(yùn)轉(zhuǎn)。

3.2 部署數(shù)據(jù)備份體系

數(shù)據(jù)備份是一種十分重要的數(shù)據(jù)安全策略，通過(guò)備份軟件把數(shù)據(jù)備份到磁帶設(shè)備或是其它設(shè)備上，在原始數(shù)據(jù)丟失或遭到破壞的情況下，利用備份數(shù)據(jù)把原始數(shù)據(jù)恢復(fù)出來(lái)，使系統(tǒng)能夠正常工作。從備份方案來(lái)看，主要有完全備份、增量備份和差異備份3種，一般都是結(jié)合使用。網(wǎng)絡(luò)存儲(chǔ)備份管理系統(tǒng)可以對(duì)整個(gè)網(wǎng)絡(luò)的數(shù)據(jù)進(jìn)行備份管理，系統(tǒng)管理員可對(duì)全網(wǎng)的備份策略進(jìn)行統(tǒng)一管理，備份服務(wù)器可以監(jiān)控所有機(jī)器的備份作業(yè)，也可以修改備份策略，并可即時(shí)瀏覽所有目錄。

3.3 制定合理的災(zāi)難恢復(fù)和容災(zāi)方案

數(shù)據(jù)恢復(fù)與備份技術(shù)本身并不沖突，前者作為后者的補(bǔ)救手段。常見(jiàn)容災(zāi)系統(tǒng)按業(yè)務(wù)系統(tǒng)不同、所要求的RTO和RPO不同，可分為介質(zhì)容災(zāi)、遠(yuǎn)程備份容災(zāi)、數(shù)據(jù)容災(zāi)和應(yīng)用容災(zāi)等四種類型（本文只討論數(shù)據(jù)容災(zāi)）。數(shù)據(jù)容災(zāi)的保護(hù)對(duì)象是業(yè)務(wù)數(shù)據(jù)，容災(zāi)方案必須能夠?qū)崿F(xiàn)對(duì)數(shù)據(jù)庫(kù)數(shù)據(jù)、基于文件系統(tǒng)的數(shù)據(jù)，甚至對(duì)系統(tǒng)的數(shù)據(jù)卷，進(jìn)行實(shí)時(shí)有效保護(hù)。根據(jù)數(shù)據(jù)的需要，可以實(shí)現(xiàn)數(shù)據(jù)文件容災(zāi)、數(shù)據(jù)庫(kù)容災(zāi)、存儲(chǔ)網(wǎng)絡(luò)層數(shù)據(jù)容災(zāi)、數(shù)據(jù)卷容災(zāi)、磁盤(pán)陣列級(jí)數(shù)據(jù)容災(zāi)等功能。

4 加強(qiáng)訪問(wèn)控制措施，避免非法用戶訪問(wèn)

如圖2所示，將整個(gè)系統(tǒng)拓?fù)浞譃?個(gè)大區(qū)：客戶終端區(qū)、應(yīng)用服務(wù)器區(qū)和數(shù)據(jù)庫(kù)區(qū)。在客戶終端區(qū)和應(yīng)用服務(wù)器區(qū)之間部署第一道防火墻和入侵防御系統(tǒng)IPS（圖2中的防火墻1和IPS）。對(duì)應(yīng)用服務(wù)器區(qū)的服務(wù)分為公共服務(wù)類和專業(yè)服務(wù)類。公共服務(wù)是為所有終端提供服務(wù)的，比如DNS服務(wù)、全局性的WWW服務(wù)、網(wǎng)絡(luò)版殺毒軟件分發(fā)、辦公系統(tǒng)服務(wù)等，此類服務(wù)幾乎所有終端都會(huì)使用，所以對(duì)此類服務(wù)進(jìn)行端口控制，不進(jìn)行IP限制。如DNS服務(wù)器只打開(kāi)53端口，防火墻1設(shè)置策略：只有通過(guò)53端口才能訪問(wèn)DNS服務(wù)器。專業(yè)服務(wù)如財(cái)務(wù)、生產(chǎn)、營(yíng)銷等應(yīng)用服務(wù)等，該類型服務(wù)是局限在某類專業(yè)人員范圍內(nèi)使用的，用戶不多，因此防火墻1設(shè)置策略：只有專業(yè)用戶終端的IP地址通過(guò)特定的端口才可以訪問(wèn)對(duì)應(yīng)的專業(yè)服務(wù)。在防火墻1和交換機(jī)1之間部署IPS，通過(guò)IPS深入到7層的分析與檢測(cè)，實(shí)時(shí)阻斷網(wǎng)絡(luò)流量中隱藏的病毒、蠕蟲(chóng)、木馬、間諜軟件、DDoS等攻擊和惡意行為，并對(duì)分布在網(wǎng)絡(luò)中的各種P2P、IM等非關(guān)鍵業(yè)務(wù)進(jìn)行有效管理，實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)應(yīng)用、網(wǎng)絡(luò)基礎(chǔ)設(shè)施和網(wǎng)絡(luò)性能的全面保護(hù)。

在應(yīng)用服務(wù)器區(qū)和數(shù)據(jù)庫(kù)區(qū)部署第二道防火墻（圖2中的防火墻2），因?yàn)閿?shù)據(jù)庫(kù)區(qū)存儲(chǔ)的都是關(guān)鍵數(shù)據(jù)，所以它是整個(gè)信息系統(tǒng)的核心。數(shù)據(jù)庫(kù)區(qū)的數(shù)據(jù)都是通過(guò)應(yīng)用服務(wù)器來(lái)提交的，客戶終端不可能直接向數(shù)據(jù)庫(kù)中存數(shù)數(shù)據(jù)，因此在防火墻2上部署策略：只允許特定的應(yīng)用服務(wù)器通過(guò)特定的端口訪問(wèn)對(duì)應(yīng)數(shù)據(jù)庫(kù)中的數(shù)據(jù)，并開(kāi)啟日志。

如上所述，對(duì)應(yīng)用服務(wù)器區(qū)的防護(hù)形成一級(jí)防護(hù)，防止客戶終端對(duì)應(yīng)用服務(wù)進(jìn)行非法訪問(wèn)或攻擊，保證了應(yīng)用服務(wù)器區(qū)的安全；對(duì)數(shù)據(jù)庫(kù)區(qū)的防護(hù)形成二級(jí)防護(hù)，防止非法用戶直接訪問(wèn)或通過(guò)應(yīng)用服務(wù)器訪問(wèn)數(shù)據(jù)庫(kù)，確保數(shù)據(jù)安全。用戶終端只能通過(guò)特定的端口或特定IP來(lái)訪問(wèn)對(duì)應(yīng)的應(yīng)用服務(wù)器，數(shù)據(jù)庫(kù)只能被指定的應(yīng)用服務(wù)器訪問(wèn)，不能越權(quán)越級(jí)訪問(wèn)，保證了整個(gè)信息系統(tǒng)安全穩(wěn)定運(yùn)行。

圖2

5 部署數(shù)據(jù)加密體系，防止機(jī)密數(shù)據(jù)丟失

網(wǎng)絡(luò)加密技術(shù)就是指對(duì)數(shù)據(jù)進(jìn)行編碼使其看起來(lái)毫無(wú)意義，同時(shí)仍保持其可恢復(fù)的形式，接收到的加密消息可以被解密，轉(zhuǎn)換回它原來(lái)的可理解的形式。加密可以在網(wǎng)絡(luò)的不同層次上進(jìn)行，對(duì)應(yīng)于數(shù)據(jù)庫(kù)層、應(yīng)用服務(wù)層和客戶終端層的3層模式可以分別用節(jié)點(diǎn)加密、鏈路加密和端對(duì)端加密對(duì)數(shù)據(jù)進(jìn)行保護(hù)。

1）節(jié)點(diǎn)加密。它對(duì)數(shù)據(jù)庫(kù)層加密，它僅對(duì)報(bào)文加密而不對(duì)報(bào)頭加密，以便于傳輸路由根據(jù)其報(bào)頭的標(biāo)識(shí)進(jìn)行選擇；

2）鏈路加密。它對(duì)數(shù)據(jù)庫(kù)層和應(yīng)用服務(wù)層之間的傳輸鏈路進(jìn)行加密。鏈路加密側(cè)重與在通信鏈路上而不考慮信源和信宿，是對(duì)保密信息通過(guò)各鏈路采用不同的加密密鑰提供安全保護(hù)的。它面向節(jié)點(diǎn)，對(duì)于客戶終端層主體是透明的；

3）端對(duì)端加密。它對(duì)客戶終端層進(jìn)行加密，不對(duì)下層協(xié)議進(jìn)行信息加密，協(xié)議信息以明文形式傳輸，用戶數(shù)據(jù)在中央節(jié)點(diǎn)不需解密。由于網(wǎng)絡(luò)本身并不會(huì)知道正在傳送的數(shù)據(jù)是加密數(shù)據(jù)，這對(duì)防止拷貝網(wǎng)絡(luò)軟件和軟件漏洞也很有效。而且網(wǎng)絡(luò)上的每個(gè)用戶可以擁有不同的加密密鑰，網(wǎng)絡(luò)本身不需要增添任何專門的加解密設(shè)備，但每個(gè)系統(tǒng)具備加密設(shè)備與軟件。6 結(jié)論

關(guān)鍵數(shù)據(jù)的安全已成為一個(gè)企業(yè)信息化的核心內(nèi)容，保證關(guān)鍵數(shù)據(jù)的安全是信息化工作的必需。本文深入討論了關(guān)鍵數(shù)據(jù)深度防護(hù)體系，對(duì)設(shè)備實(shí)施數(shù)據(jù)保護(hù)技術(shù)、對(duì)網(wǎng)絡(luò)加強(qiáng)訪問(wèn)控制措施、對(duì)數(shù)據(jù)進(jìn)行加密，從關(guān)鍵數(shù)據(jù)可能出現(xiàn)安全問(wèn)題的3個(gè)方面分別進(jìn)行了論述并提出解決方案，通過(guò)該體系的實(shí)施可以保證關(guān)鍵數(shù)據(jù)的安全。

[1]郭鑫，催紅霞，姜彬.企業(yè)網(wǎng)絡(luò)安全致勝寶典[M].電子工業(yè)出版社.網(wǎng)絡(luò)技術(shù)，2007，10.

[2]陳逸，謝霆.網(wǎng)絡(luò)優(yōu)化與故障檢修手冊(cè)[M].電子工業(yè)出版社.網(wǎng)絡(luò)技術(shù)，2005，9.

[3]李輝，張立，宋曉倩.黑客攻防與計(jì)算機(jī)病毒分析檢測(cè)安全解決方案[M].電子信息技術(shù)出版社，2006，6.

[4]Catherine paquet，Diane Teare.組建可擴(kuò)展的Cisco互連網(wǎng)絡(luò)[M].人民郵電出版社，2004，2.

[5]何艷輝，王達(dá).網(wǎng)管員必讀—網(wǎng)絡(luò)管理[M].電子工業(yè)出版社，2005，3.

[6]仲治國(guó).搞定黑客當(dāng)好網(wǎng)管[M].電腦報(bào)電子音像出版社，2009，4.

TP393

A

1674-6708（2011）35-0178-02