浅谈三级气象信息系统测评及安全防护策略.docVIP

浅谈三级气象信息系统测评及安全防护策略 　　【 摘 要 】 气象信息系统安全是一项技术及管理程度复杂的系统工程，研究气象信息系统的安全，制定气象信息系统安全策略极为重要。本文首先对辽宁省气象局三级气象信息系统测评工作进行总结，并针对辽宁气象三级信息系统测评中发现的问题，提出了通过防火墙及入侵检测技术、防病毒技术、数据备份与灾难恢复技术、桌面终端管理技术、防止非法接入技术、防攻击技术、物理隔离技术等信安全应用技术，构建气象信息系统安全体系结构。 　　【 关键词 】 系统；安全；策略 　　1 引言 　　近年来随着气象信息技术的发展和气象服务领域的不断扩大，气象部门新建或已建的气象信息系统所承载的业务、服务范围、安全需求经常发生变化，各种信息系统的安全问题也逐渐暴露出来，很多单位和部门针对信息安全也作了大量的工作。本文在结合辽宁省气象信息系统等级保护工作现状的基础上，通过对三级气象信息系统进行测评，对其中发现的系统安全的共性问题做一些探讨，提出了安全防护策略，对开展气象信息系统等级保护工作和提高气象信息系统安全性方面具有重要的意义。 　　2 气象信息系统测评 　　信息等级保护测评即确定信息系统的安全保护等级，发现信息系统存在的漏洞与风险，提出针对性的整改措施；根据各信息系统安全保护等级的不同，确定其不同的能力目标以及所能应对的不同级别的安全威胁。 　　辽宁省气象局三级气象信息系统等级保护测评工作主要针对辽宁省气象部门内部的重要信息系统，包括辽宁省气象信息综合分析处理系统（Micaps系统）、全国气象宽带网辽宁分系统、国内气象通信系统辽宁分系统。测评工作主要分测评准备、测评方案方案编制、现场测试和测评分析与报告编制四个阶段进行，内容涵盖终端设备情况调查、网络局域环境调查、业务应用服务情况调查、数据备份情况调查及相关安全人员访谈等多项内容，测评于7个工作日内完成。 　　2.1 测评准备 　　测评工作具体由辽宁省信息安全测评中心（具备等级测评资质）组织实施，在测评前，首先进行测评准备，确认了辽宁省三级气象信息系统的功能组件，技术功能组件为232个，管理功能组件为154个，提交了具体的测评方案，签订了测评合同。 　　2.2 现场测试 　　现场测试主要是对网络设备、主机设备、应用软件的安全功能/策略的验证性测试。在测试的广度上，覆盖到不同类型，在数量、范围上进行抽样；在测试的深度上，进行了系统功能测试，主要涉及到功能规范、高级设计和操作规程等内容。 　　2.3 单元测评 　　单元测评是把测评指标和测评方式等结合到气象信息系统的功能组件上，构成了一个个可以具体测评实施的工作单元。从技术上的物理安全、网络安全、主机安全、应用安全和数据安全五个层面和管理上的安全管理机构、安全管理制度、人员安全管理、系统建设管理和系统运维管理五个方面分别逐一进行测评。 　　2.4 系统整体测评 　　系统整体测评主要是在单元测评的基础上，通过测评分析系统在安全控制间、层面间和安全区域间三个方面存在的关联作用，验证和分析不符合项是否影响系统的安全保护能力，同时分析系统与其他系统边界安全性是否影响系统的安全保护能力，综合测试分析系统的整体安全性是否合理。具体内容包括：安全控制间安全测评、层面间安全测评、区域间安全测评和系统结构安全测评。 　　在上述工作结束后，最终出具三级气象信息系统等级保护测评报告。 　　3 气象信息安全现状及存在的问题 　　在对上述气象信息系统测评过程中发现三类共性的安全问题。 　　3.1 信息安全问题 　　首先，是未在核心区与楼层接入区、下联边界区采取访问控制措施；其次，是系统内未部署了入侵检测系统，对服务器的网络访问进行监控；最后，是缺少必要的安全策略和操作规程，未形成完备的安全管理体系。 　　3.2 气象信息安全需要多方参与 　　辽宁省气象信息安全工作由省气象信息中心承担。在这种情况下，信息安全问题很可能没有得到充分研究和支持。负责信息安全工作的管理及技术人员应在深入理解气象信息系统的业务流程和目标的基础下，积极参与分析系统所面临的风险，及时了解可能给系统造成潜在影响的最新威胁和漏洞，提供权威的信息风险评估。省气象信息中心通过对风险评估的正确理解，制定安全策略、标准和准则，进而保障信息系统的完整性、机密性和可用性。 　　3.3 气象信息网络内外网分离 　　为了有效地降低气象信息系统遭受攻击的风险，信息网络应将信息内网和信息外网物理隔离。 　　黑客可以通过Internet公共信息网采用木马、蠕虫和病毒等攻击手段，破坏办公系统、窃取机密气象资料、篡改气象网站信息等等。所有这些攻击行为都会对气象信息系统造成损害。 　　为了保障气象信息系统的安全，应分别建立两套独立的信息网络。信息内网承载气象核