公安网信息安全保障策略研究*

张晓霞 陈怡平 魏 萍 杨经华

（广东警官学院网络信息中心，广东广州510230）

公安网信息安全保障策略研究*

张晓霞 陈怡平 魏 萍 杨经华

（广东警官学院网络信息中心，广东广州510230）

公安网在我国公安工作中发挥着越来越重要的作用。本文分析了当前形势下公安网存在的各种安全威胁，结合网络安全、系统安全和制度法规，提出了公安网信息安全保障策略。

信息安全安全风险安全保障

公安信息网（以下简称公安网）是公安工作正常运作的重要载体和公安综合业务网络平台，已经成为我国政府重要的政务网之一。信息安全的实质就是保护业务系统或信息网络中的信息资源免受各种类型的威胁、干扰和破坏。随着计算机网络信息技术的快速发展，公安工作对信息服务的可用性、保密性、完整性、真实性要求越来越高，公安网也存在着当今互联网络共通的安全问题。

1 当前公安网存在的信息安全风险

我国《计算机信息安全保护条例》对信息安全的定义：通过计算机技术和网络技术手段，使计算机系统的硬件、软件、数据库等受到保护，最大可能不因偶然的或恶意的因素而遭破坏、更改或泄密，系统能够正常运行，使用户获得对信息使用的安全感。它涵盖了信息环境、信息网络、数据、信息内容和信息服务等多方面的安全。公安工作的特殊性决定了网络信息安全的重要性。公安网一旦发生信息泄漏，就不仅仅是一般的泄密问题，而是涉及国家秘密泄露，直接威胁到国家安全。目前，公安网存在的安全威胁主要有以下几方面：

1.1 计算机网络的不可用、不安全

网络主干传输网物理链路遭受人为破坏，硬件设备没有定期巡检，老旧设备没有及时更换等故障导致网络中断。因断电或其它因素导致关键硬件设备的损坏，导致数据丢失等。网络硬件设备受到攻击被修改配置，导致网络不可用。另外，终端多网卡的非法外联行为，也会造成信息泄密。

1.2 计算机信息系统运行存在的风险

系统运行存在的安全风险主要有信息系统的建设存在漏洞后门等安全隐患。对数据备份不完整和缺乏管理，导致数据丢失，应用系统无法恢复正常服务。若操作系统和数据库产品为国外产品，闭源的代码、私有的网络协议，存在技术黑洞等深层次的隐患。没有及时安装升级补丁，及时修补操作系统和信息系统的安全漏洞。缺乏有效的安全审计系统：一方面，产生大量系统日志，但缺少审计分析工具，无法及时发现问题；另一方面，日志或审计记录不全或被修改、删除，无法回访记录。

1.3 使用、管理方面存在的安全风险

有些用户保密意识不强，政治敏感度不高，视密非密，导致一些涉密信息发布到公安网上。用户违规使用未授权移动介质进行资料拷贝，或私自安装存在安全隐患的应用软件。用户没有充分认识PKI/PMI系统的重要性，用户名和口令设置过于简单。对参与系统建设的技术人员缺乏严格保密教育和审核，信息分类不明确，系统的访问控制没有精确到位，如最高权限（Admin）账户没有及时管理、设置或者停用，系统的一些关键信息可能泄密。

2 公安网信息安全保障策略

针对上述分析的公安网存在的安全威胁和风险，根据相关的信息保密安全标准，从信息安全的技术规范、技术标准、管理和立法三方面进行分析研究，笔者认为可从网络平台、信息系统、制度管理三个方面构建公安网络信息安全保障策略。（如图所示）

2.1 网络组建的安全

网络是信息流动的载体，组网安全是决定公安信息安全的基础。公安网是星型加环型结构，实现了公安部到各省（自治区、直辖市）公安厅、各市（地、州、盟）公安局、各县公安局的三级主干网络。

2.1.1 物理层的安全

严格按照《电子计算机房设计规范》等相关标准建设机房，为硬件设备运行提供良好的环境。建设环境监控等系统，对机房环境运行出现的故障得以第一时间得到响应。加强机房管理，防止硬件设备人为盗窃或破坏。定期对物理链路进行巡检，防止链路被人为损坏，同时互联设备相邻节点间的链路需要认证。对需要防止电磁泄漏的硬件设备配备电磁干扰设备，必要时可以使用屏蔽机柜。

2.1.2 子网划分

组网中，可在交换局域网的基础上划分虚拟子网。子网可在相同或不同的设备上划分，从而将网络里的设备从逻辑上分成不同的网段。划分子网，可以限制子网间的通信，可以限制广播的传播，提高网络的整体性能；可以限制不同子网的访问权限，方便做访问控制，保障网络信息的安全。

2.1.3 边界安全

在网络边界部署防火墙，实现不同信任区域的数据传送。其目的就是在网络连接之间建立一个安全控制点，通过允许、拒绝或重新定向经过防火墙的数据流，实现对进、出内部网络的服务和访问的审计和控制。新一代防火墙采用最新的应用层安全防护理念，结合先进的多核高速数据包并发处理技术，建立起以应用为核心的网络安全策略和以内网资产风险识别、云端安全管理为显著特征的全方位的安全防护体系。

入侵检测系统作为一种积极主动的安全防护技术，提供了对内部攻击、外部攻击和误操作的实时保护，在不影响网络性能的前提下对网络上的数据流进行实时检查，并将检查结果和系统中设定的入侵特征数据库中的数据进行比较。如果发现非授权的网络访问和攻击行为，对出现的大量可能危害服务器的行为及时做出警报、阻断响应，提供日志记录和分析。

将防火墙和入侵检测系统有效联动起来，实现检测、响应、防护一体化的安全防护模型，提高了信息网络安全基础结构的完整性。

2.1.4 审计系统

在网络内部部署审计系统针对上网行为提供有效行为审计、内容审计、行为报警、行为控制及相关审计功能，从而对网络行为进行有效监督，预防、制止数据泄密。审计系统提供完整的上网记录，便于信息追踪、系统安全管理和风险防范。

2.1.5 备份与恢复

主要指对网络核心硬件和数据的备份。对核心网络硬件设备进行备份（双机热备）是保障网络结构安全的重要措施，避免核心硬件因各种原因（老化、各种意外或者硬件故障等）无法正常运行时网络能够不受影响，或者响应较快地恢复网络服务。数据备份的目的是要保护数据的完整性和可用性，建议重要数据完全数据备份每周一次，增量备份或差分备份每天一次，备份介质存放在数据运行所在场地外，有条件的单位对重要信息进行异地灾备，保证极端情况下能够实现备份业务应用的及时切换。

2.1.6 终端接入

网络的终端接入设备（用户计算机）是网络攻击、非法窃取的最直接源地，所以必须严格控制和管理终端的接入，全面部署网络版防病毒软件，防范网内病毒、木马等威胁网络安全。

“一机两用”是公安内部对于一种网络违规外联行为的定义，具体指公安网内使用的专用机，连接到互联网或者外部网络的行为。对此，策略应采用级联方式的，以监控“一机两用”行为为主，同时兼顾对全国联网计算机设备的注册和管理。监控系统有效地监控网内联网计算机的信息，杜绝“一机两用”的情况。

同时，加强移动介质管理。对所有允许接入公安网的U盘进行授权，非授权U盘在安装了介质管理软件的专用机上无法使用，所有授权的U盘也无法在未安装移动介质管理软件的计算机上使用。安装了介质管理软件后的信息交换必须通过中间机杀毒后转换数据。中间机上的所有数据转换操作要记录到审计日志，方便日后查询。

2.2 信息系统的安全

作为我国重要的政府网之一，公安网上运行着各种公安业务的信息系统。信息系统的安全是公安信息安全的重要部分。信息系统的安全主要包括操作系统、数据库、中间件、应用登录四方面的安全。

2.2.1 操作系统安全

应对用户进行身份标识和鉴别；用户身份鉴别信息不易被冒用，口令复杂度应满足要求并定期更换。启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施，限制同一用户连续失败登录次数。应限制默认账户的访问权限，重命名默认账户，修改这些账户的默认口令。应及时删除多余的、过期的账户，避免共享账户的存在。进行远程管理时，应采取必要限制措施，防止任何人都可以进行远程管理。遵循最小安装的原则，仅安装需要的组件和应用程序，非必要的服务禁止启动，防止设备负载过高而造成服务不可用，并保证相关补丁及时得到更新。

2.2.2 数据库安全

禁止数据库SYSDBA账号远程登录，禁止数据库SYSDBA账号自动登录，清理public各种默认权限（Oracle）。对已经被利用的公开数据库漏洞进行安全防护。应修改数据库默认端口。对数据库中的敏感字段，应加密保存。数据库服务器应当置于单独的服务器区域，任何对这些数据库服务器的物理访问均应受到控制。应提供本地数据备份与恢复功能，应定期对数据库配置参数进行备份。在数据库与前端应用之间设置防火墙，限制对数据库的访问链接。

2.2.3 中间件安全

应对中间件管理后台操作进行登陆源限制，应用端口与管理端口应分开部署，管理端口对普通用户不可见。禁用中间件在通信过程发送服务标识，防止信息泄露。防止软件版本信息泄漏，确保禁止遍历操作系统目录。修改中间件默认端口，应限制应用服务器Socket或Threads数量，避免拒绝服务攻击。重命名控制文件夹，对错误页面进行重定向处理。

2.2.4 应用登录安全

对通信过程中的用户口令、会话密钥等敏感信息进行加密；对不同职责的使用者，信息的保密级别不同，授权访问不同，采用公安数字证书（PKI/PMI）登录提供身份认证，防止非授权访问。

3 制度和管理

信息安全的防范和管理，仅靠技术防范是不可能堵塞所有的漏洞，更多的是涉及到制度和人的因素。公安网规模大，分布广，涉及的人员层次也是极其复杂，因此建立一套科学、规范、严格的管理制度才能真正有效地保障信息安全。

首先，从管理机构层面上，成立信息安全管理领导小组，指导、监督信息安全工作，检查相关制度的落实情况。建立信息安全管理的长效机制，加强技术检查和信息管理问题排查。各级信息安全管理机构由系统管理、硬件维护、系统稽查、网络通信等有关方面的人员组成。

其次，加强公安信息网信息安全教育，全面提高使用者的信息安全意识。确定各岗位人员的职责、权限及操作规范，形成文档，建立岗位责任制，重要信息必须加以审核才能上网发布。加强专业技术的培训，提高网络管理人员的管理水平，还须与信息化合作的公司及技术人员签订保密协议，防止信息系统建设相关信息泄露。

最后，在制度与规范上，要根据《公安计算机信息系统安全保护规定》制定保障公安信息系统的管理制度。严格执行《公安机关人民警察使用公安信息网违规行为行政处分暂行规定》、《公安部关于加强公安信息网规范化管理工作的通知》等规定，健全信息化项目管理机制和日常运行维护工作制度；设备故障送检或报废，应制定相关规定流程，由有涉密资质的单位实施。还要定期举行内部网络信息安全保密大检查。

4 结语

信息安全是一门复杂的综合性学科，只有提高意识、提高防护技术、增强管理体系、制定法律规范，坚持积极防御和综合防范，采用管理与技术相结合，管理科学性和技术前瞻性结合的方法，才能保障网络信息安全。公安网络信息安全体系是实现公安系统信息共享、快速反应和高效运行的重要保证。

［1］康冉.公安网络安全系统的设计与实现［D］.山东：山东大学，2010.

［2］周芬.电子政务网络安全分析与防范策略的研究［D］.江西：南昌大学，2011.

［3］王飞.公安信息专网的信息安全防护［J］.信息安全与通信保密，2006（8）.

［4］GB/T 22239-2008.信息安全技术信息系统安全等级保护基本要求.

*广东警官学院2014年院级科研项目“公安信息安全保障体系”的研究成果，项目编号：2014－Q04