【文章內(nèi)容簡介】 通過各種方式 截獲網(wǎng)絡傳輸數(shù)據(jù)、入侵數(shù)據(jù)庫， 對信息安曙光防火墻、網(wǎng)絡型 NIDS 保障網(wǎng)絡安全 曙光主機型 HIDS 保障主機系統(tǒng)安全 曙光機群 DCMM 監(jiān) 控系統(tǒng) 可實現(xiàn)全域資源 的集中管理、 統(tǒng)一配置 8 全造成嚴重的威脅。 因此，如何全方位的保護信息安全成為企業(yè)信息化建設的關鍵一環(huán)。 安全需求，催生防護新向 對于企業(yè)來講，運算、存放核心數(shù)據(jù)的 高性能計算 機或者服務器的信息安全就更為關鍵。隨著高性能計算需求的不斷增加，已建或新建的高性能計算 機群 為了方便用戶使用、擴大用戶的使用范圍，逐漸由原來的客戶端 /服務器模式（ C/S）轉向瀏覽器 /服務器 模式（ B/S），并直接面向局域網(wǎng)乃至互聯(lián)網(wǎng)用戶，這使得原來與局域網(wǎng)或互聯(lián)網(wǎng)物理隔離的高性能計算網(wǎng)面臨著嚴重的安全問題。因此在公司網(wǎng)絡建設，尤其是計高性能計算機群中特別需要考慮安全問題。 曙光技術專家 高琦表示：“ 科學計算系統(tǒng)不但對內(nèi)部提供各種服務， 越來越多的高性能計算 也 提供到商業(yè)用戶中，高性能計算對外的情況屢見不鮮。一方面內(nèi)部安全是安全的主要問題， 據(jù)統(tǒng)計， 內(nèi)部攻擊和內(nèi)部人員的誤用造 成 70%的安全問題；另一方面，對外需要加強訪問控制、非法入侵、安全過濾等邊界安全。另外，用戶還有海量存儲 、 后備磁帶庫災難容錯需求。 ” 四重措施，讓安全面面俱到 知己知彼，百戰(zhàn)不殆，只有對高性能計算機運行、通訊程序非常了解，才能讓安全防范措施做到“滴水不漏”。曙光技術專家 高琦講道， 高性能計算（ HPC）是一個綜合系統(tǒng)，涉及網(wǎng)絡系統(tǒng)、主機系統(tǒng)兩個層次。網(wǎng)絡系統(tǒng)的模型是一個分層次的拓撲結構，通常采用五層模型，即物理層、數(shù)據(jù)鏈路層、網(wǎng)絡層、傳輸層、應用層。主機系統(tǒng)也可以分為兩個層次：操作系統(tǒng)、應用服務 。 因此高性能計算（ HPC）的安全防護也需采用分層次的拓撲防護措施 ，即一個完整的高性能計算（ HPC）安全解決方案應該覆蓋網(wǎng)絡與主機的各個層次，并且與 安全管理相結合。 以該思想為出發(fā)點，曙光公司 推出 了 兼具專用防火墻、網(wǎng)絡入侵檢測系統(tǒng)（ NIDS）和 主機入侵檢測系統(tǒng)（ HIDS） 、 VPN（ 虛擬專用網(wǎng)絡）功能 、機群綜合管理的 全方位 “ 立體安全 ”解決方案。 將 曙光 立體安全解決方案 部署于局域網(wǎng)與互聯(lián)網(wǎng)、或局域網(wǎng)中某個特定區(qū)域， 就能 為局域網(wǎng)或局域網(wǎng)中的特定區(qū)域提供 多方面的立體 安全保護。 9 (立體安全方案架構圖 ) 層層遞進，構建立體安全 以前，在安全領域主要是以禁用主機上沒用的服務端口、設置殺毒軟件、軟件版本的防火墻等 以實現(xiàn)抵御外部產(chǎn)生的威脅，而目前網(wǎng)絡的安全措施主要是獨立的硬件防火墻。它可以實現(xiàn)用戶信息的 訪問控制和安全防范 、 實現(xiàn)對網(wǎng)絡不同安全區(qū)域的隔離 ， 達到可控訪問的目的。 例如入侵者如果打開了主機上某些被禁止的端口，由于防火墻并未開放該端口，因此入侵者仍然不可以使用該端口進行內(nèi)外網(wǎng)之間的通訊，防止了內(nèi)部資源或數(shù)據(jù)的外泄。如曙光 天羅防火墻可以 通過 訪問控制 、 安全過濾 、 抗攻擊 、 流量帶寬管理 、 防止非法入侵 等功能提高安全等級。當其 檢測到危險信息時，系統(tǒng)可以根據(jù)管理員的設置斷開連接，實現(xiàn)入侵主動防護。 另外使用防火墻還可以有效地降低 安全管理的工作強度，提高計算機群系統(tǒng)安全的可管理性。 （立體安全解決方案網(wǎng)絡拓撲圖） 防火墻為高性能機群提供了基本的安全防范，然而防火墻只能提供被動的、靜態(tài)的保護， 綜合安全管理 網(wǎng)絡安全 主機安全 數(shù)據(jù)安全 10 所提供的安全級別較低，如果與網(wǎng)絡入侵檢測系統(tǒng)（ NIDS）、 主機入侵檢測系統(tǒng)（ HIDS） 、 數(shù)據(jù)安全、機群安全管理 4 個層面互相 配合，則可以提供動態(tài)的安全防護，全面提升計算機群的安全等級。 第一級防護：網(wǎng)絡安全 處在互聯(lián)網(wǎng)中的計算機首先要面對的就是網(wǎng)絡安全。一般情況下，防火墻 對于對被允許的主機和應用的攻擊無能為力，因為這些攻擊會偽裝成對這些合法主機 和應用服務的訪問，從而騙過防火墻，進入到受防火墻保護的區(qū)域之內(nèi)。因此對于安全要求較高的局域網(wǎng)、或者局域網(wǎng)中部署有關鍵應用的，應該在使用防火墻保護的基礎上，采用入侵檢測系統(tǒng)（ NIDS）提高相關區(qū)域的安全防護水平。 網(wǎng)絡入侵檢測系統(tǒng)（ NIDS） 能 監(jiān)視網(wǎng)絡流量， 通過偵聽特定網(wǎng)段的數(shù)據(jù)包，實現(xiàn)對該網(wǎng)段實時監(jiān)視 、發(fā)現(xiàn) 可疑連接 和 非法訪問的闖入等，防范網(wǎng)絡層至應用層的 各種 惡意攻擊和誤操作。 網(wǎng)絡入侵檢測系統(tǒng)通過與防火墻聯(lián)動，對網(wǎng)絡數(shù)據(jù)包的過濾和訪問控制，將訪問限制在網(wǎng)絡被允許的主機（ IP 地址）和應用服務（端口），從而極大地 縮小所需管理的安全范 ，實現(xiàn)針對網(wǎng)絡入侵的安全防護。 第二級防護：主機系統(tǒng)安全 雖然網(wǎng)絡入侵檢測可以對各種應用服務，如 Web、 SMTP、 POP3 等提供保護，然而這些更多是對網(wǎng)絡數(shù)據(jù)包的檢查， 而且 防御手段通常會滯后于攻擊手段的發(fā)展，因此也就存在由于這種滯后而造成網(wǎng)絡的 威脅 ，而使受保護網(wǎng)絡被侵入 ，如 網(wǎng)絡中的某臺主機 受到了攻擊 并成為攻擊的中轉站 ， 入侵者通 過 對被攻破的 主機 系統(tǒng)進行修改，掩藏自己 并 對網(wǎng)絡中其它主機發(fā)動攻擊 。 這些行為是網(wǎng)絡入侵檢測系統(tǒng)無法解決的， 這時就需要完善的主機防護系統(tǒng)。 而 主機入侵檢測系統(tǒng)（ HIDS） 就能很好的解決這一問題， 作為立體安全中十分重要的一環(huán) 主機入侵檢測系統(tǒng)（ HIDS） 能 防范對 主機 系統(tǒng)文件的惡意纂改和誤操作，實時監(jiān)視可疑連接、定期檢查系統(tǒng)日志，掃描用戶行為，發(fā)現(xiàn)非法訪問闖入等。因此主機入侵檢測系統(tǒng)可以很好地彌補網(wǎng)絡入侵檢測系統(tǒng)的盲區(qū)，二者形成互補 ， 對繞過防火墻的攻擊行為進行細粒度的檢測和防御，實現(xiàn)從網(wǎng)絡到主機的全面防護 。 第三級防護： 數(shù)據(jù)安全 高性能計算機群多數(shù)都是用于科學研究或重要數(shù)據(jù)處理，因此其原始資料、計算結果等 11 都屬于安全敏感數(shù)據(jù)，這些敏感數(shù)據(jù)在局域網(wǎng)、互聯(lián)網(wǎng)中傳輸時極易被竊取、篡改， 因此在設計高性能計算機群的安全問題時，數(shù)據(jù)傳輸中的安全問題也必須要考慮。 而 利用防火墻的虛擬專用網(wǎng)絡 （ VPN－ Virtual Private Network）功能 實現(xiàn) 互聯(lián)網(wǎng)用戶和局域網(wǎng)用戶 、 HPC 用戶接口之間 的安全通訊成為一種極為必要的手段。 VPN 是指在公眾網(wǎng)絡上所建立的企業(yè)網(wǎng)絡，此網(wǎng)絡擁有與專用網(wǎng)絡相同的安全、管理及功能等特點，它替代了傳統(tǒng)的撥號訪問，利用 INTERNET 公網(wǎng)資源作為企業(yè)專網(wǎng)的延續(xù) 。它能通過加密、認證、數(shù)字簽名等保證數(shù)據(jù)的安全性、完整性。 VPN 在立體安全中的應用為關鍵數(shù)據(jù)的傳輸建起了一個高安全的專用數(shù)據(jù)傳輸通道，成為立體安全極為重要的一部分。 綜合管理：機群安全管理 作為立體安全，一個高效便捷的管理系統(tǒng)十分重要。曙光機群安全管理系統(tǒng)可實現(xiàn)網(wǎng)絡的全域資源管理，實行集中管理，統(tǒng)一配置。防火墻、 IDS、 VPN 與機群 安全 管理緊密結合，為機群服務器提供更高的安全、更強的管理，從而實現(xiàn)了曙光公司所倡導的 “ 立體安全 ” 理念。 電子政務網(wǎng)絡安全概述 以 Inter 為代表的全球性信息化浪潮日益深刻，信息網(wǎng)絡技術的應用正日益普及和廣泛，應用層次正在深入，應用領域從傳統(tǒng)的、小型業(yè)務系統(tǒng)逐漸向大型、關 鍵業(yè)務系統(tǒng)擴展，典型的如行政部門業(yè)務系統(tǒng)、金融業(yè)務系統(tǒng)、 政府機關 商務系統(tǒng)等。伴隨網(wǎng)絡的普及，安全日益成為影響網(wǎng)絡效能的重要問題，而 Inter 所具有的開放性、國際性和自由性在增加應用自由度的同時，對安全提出了更高的要求。如何使信息網(wǎng)絡系統(tǒng)不受黑客和工業(yè)間諜的入侵，已成為政府機構、企事業(yè)單位信息化健康發(fā)展所要考慮的重要事情之一。 網(wǎng)絡 規(guī)劃 （一） 各級 網(wǎng)絡 利用現(xiàn)有線路及網(wǎng)絡進行完善擴充，建成互聯(lián)互通、標準統(tǒng)一、結構簡單、功能完善、安全可靠、高速實用、先進穩(wěn)定的 級別分明卻又 統(tǒng)一 的 網(wǎng)絡。 （二）數(shù)據(jù)中心 12 建設 集中 的數(shù)據(jù)中心，對 所有的 信息資源、空間、信用等數(shù)據(jù)進行集中存放、集中管理。為 省及各市 部門、單位的關鍵應用及關鍵設施提供機房、安全管理與維護。 網(wǎng)絡總體結構 政府機構從事的行業(yè)性質是跟國家緊密聯(lián)系的，所涉及信息可以說都帶有機密性，所以其信息安全問題，如敏感信息的泄露、黑客的侵擾、網(wǎng)絡資源的非法使用以及計算機病毒等。都將對政府機構信息安全構成威脅。為保證政府網(wǎng)絡系統(tǒng)的安全，有必要對其網(wǎng)絡進行專門安全設計。 所謂電子政務就是政府機構運用現(xiàn)代計算機技術和網(wǎng)絡技術，將其管理和服 務的職能轉移到網(wǎng)絡上完成，同時實現(xiàn)政府組織結構和工作流程的重組優(yōu)化，超越時間、空間和部門分隔的制約，向全社會提供高效、優(yōu)質、規(guī)范、透明和全方位的管理與服務。 實現(xiàn)電子政務的意義在于突破了傳統(tǒng)的工業(yè)時代“一站式”的政府辦公模式，建立了適應網(wǎng)絡時代的“一網(wǎng)式”和“一表式”的新模式，開辟了推動社會信息化的新途徑，創(chuàng)造了政府實施產(chǎn)業(yè)政策的新手段。電子政務的出現(xiàn)有利于政府轉變職能，提高運作效率。 區(qū) 、 縣 局 普 通撥 號 客 戶 端地 、 市 局省 局國 家 總 局政 府 專 網(wǎng)國 家 局 直 屬 單 位國 家 局 直 屬 單 位政 府 專 網(wǎng)政 府 專 網(wǎng)政 府 專 網(wǎng)地 、 市 局 網(wǎng) 絡地 、 市 局地 、 市 局省 局曙 光 天 羅 防 火 墻地 、 市 局省 局 網(wǎng) 絡國 家 局 網(wǎng) 絡 圖示：原有電子政務網(wǎng)絡情況 13 電子政務網(wǎng)絡 的應用系統(tǒng)和網(wǎng)絡連接方 式多樣，由于網(wǎng)絡本身及應用系統(tǒng)的復雜性，無論是有意的攻擊，還是無意的誤操作，都將會給系統(tǒng)帶來不可估量的損失。非法進入的攻擊者可能竊聽網(wǎng)絡上的信息、竊取用戶的口令、數(shù)據(jù)庫的信息 ； 還可以篡改數(shù)據(jù)庫內(nèi)容、偽造用戶身份、否認自己的簽名；更有甚者，攻擊者可以刪除數(shù)據(jù)庫內(nèi)容、摧毀網(wǎng)絡節(jié)點等等。 因此在 電子政務網(wǎng)絡 的建設中，構建網(wǎng)絡安全系統(tǒng)以確保網(wǎng)絡信息的安全可靠是非常必要的。 14 第 2 章 . 電子政務 網(wǎng)絡安全風險分析 電子政務的網(wǎng)絡結構和應用如今隨著網(wǎng)絡發(fā)展及普及，政府行業(yè)單位也從原 來單機到局域網(wǎng)并擴展到廣域網(wǎng)，把分布在全國各地的系統(tǒng) 內(nèi)單位通過網(wǎng)絡互連起來，從整體上提高了辦事效率。例如，一個國家總局 網(wǎng)絡一方面通過寬帶網(wǎng)與國家 總 局直屬單位互連，另一方面國家 總 局網(wǎng)絡經(jīng)電信公司的專網(wǎng)與各省局單位網(wǎng)絡互連 ； 而各省局單位又通過專網(wǎng)與其各自的下屬地市局單位互連。本行業(yè)系統(tǒng)各局域網(wǎng)經(jīng)廣域線路互聯(lián)構成一個全國性的 政府機關 網(wǎng)(Intra)。 對于各級網(wǎng)絡系統(tǒng)而言，通過本地局域網(wǎng)，用戶間可以共享網(wǎng)絡資源 (如 ： 文件服務器、打印機等 )。對于各級用戶而言，根據(jù)用戶應用需要，通過廣域網(wǎng)絡，各級用戶之間可以利用電子郵件互相進行信息交流。而單位間通過網(wǎng)絡互相提供瀏覽器訪問方式對外部用戶發(fā)布信息 ， 提供游覽、查詢等服務。如發(fā)布一些政策、規(guī)劃 ； 如網(wǎng)上報稅等。 各級用戶間還有行業(yè)數(shù)據(jù)需要通過網(wǎng)絡進行交換。而這些數(shù)據(jù)大多都可能涉及到秘密信息。又可能各級單位通過網(wǎng)絡召開電視電話會議，比如研討一些有關國家政策性的內(nèi)容，因此其內(nèi)容在網(wǎng)上傳輸也需要保密。 比如 通過網(wǎng)絡使用單位系統(tǒng)內(nèi)部的 IP 電話。 網(wǎng)絡應用給人們帶來了無盡的好處，但隨著網(wǎng)絡應用擴大網(wǎng)絡安全風險也變得更加嚴重和復雜。原來由單個計算機安全事故引起的損害可能傳播到其他系統(tǒng)和 主機，引起大范圍的癱瘓和損失；另外加上缺乏安全控 制機制和對網(wǎng)絡安全政策及防護意識的認識不足，這些風險正日益加重 。 而這些風險與網(wǎng)絡系統(tǒng)結構和系統(tǒng)的應用等因素密切相關。下面從物理安全、鏈路安全、網(wǎng)絡安全、系統(tǒng)安全、應用安全及管理安全進行分類描述： 物理安全風險分析 網(wǎng)絡物理安全是整個網(wǎng)絡系統(tǒng)安全的前提。物理安全的風險主要有： 地震、水災、火災等環(huán)境事故造成整個系統(tǒng)毀滅； 電源故障造成設備斷電以至操作系統(tǒng)引導失敗或數(shù)據(jù)庫信息丟失； 設備被盜、被毀造成數(shù)據(jù)丟失或信息泄漏； 電磁輻射可能 造成數(shù)據(jù)信息被竊取或偷閱； 報警系統(tǒng)的設計不足可能造成原本可以防止但實際發(fā)生了的事故。 15 鏈路傳輸風險分析 網(wǎng)絡安全不僅是入侵者到 政府機關 內(nèi)部網(wǎng)上進行攻擊、竊取或其它破壞，他們完全有可能在傳輸線路上安裝竊聽裝置，竊取你在網(wǎng)上傳輸?shù)闹匾獢?shù)據(jù)，再通過一些技術讀出數(shù)據(jù)信息，造成泄密或者做一些篡改來破壞數(shù)據(jù)的完整性 ； 以上種種不安全因素都對網(wǎng)絡構成嚴重的安全 威脅 。因此，對于政府這樣帶有重要信息傳輸?shù)木W(wǎng)絡，數(shù)據(jù)在鏈路上傳輸必須加密。并通過數(shù)字簽名及認證技術來 保障數(shù)據(jù) 在網(wǎng)上傳輸?shù)恼鎸嵭?、機密性、可靠性及完整 性。 遠程辦公安全接入 目前， 政府網(wǎng)絡應用 環(huán)境紛亂復雜，既有內(nèi)部的應用如：內(nèi)部 OA 系統(tǒng)、文件共享、 Email等應用服務，又有眾多面向 下屬單位 、合作伙伴 等對外的應用。如何地有效解決遠程用戶安全訪問網(wǎng)絡內(nèi)部資源 ？ 虛擬專用網(wǎng)技術 (VPN， Virtual Private Network)是指在公共網(wǎng)絡中建立專用網(wǎng)絡，數(shù)據(jù)通過安全的“加密通道”在公共網(wǎng)絡中傳播。 政府機關 只需要租用本地的數(shù)據(jù)專線，連接上本地的公眾信息網(wǎng)，那么各