地市级气象信息网络安全架构标准化设计研究

◆鲍磊磊 吴锐涛 姜淑杨

地市级气象信息网络安全架构标准化设计研究

◆鲍磊磊 吴锐涛 姜淑杨

（南通市气象局气象探测中心 江苏 226000）

为贯彻落实《中华人民共和国网络安全法》，全面推进气象信息化建设，按照信息系统和安全同步设计、同步建设的原则，针对地市级气象部门网络安全各自设计、建设，没有统一标准的问题，开展了气象信息网络安全架构标准化设计研究。本设计基于网络安全等级保护制度2.0相关国标，从网络安全现状、设计目标和原则两方面展开讨论；研究气象信息网络安全架构的基本要求、安全保障体系和等级保护生命周期；设计气象系统网络安全结构标准化解决方案，旨在全面提高气象信息化安全防护及管理水平，适应气象业务安全需求，保障气象事业快速稳定发展。

等级保护；入侵防御；访问控制；安全审计；态势感知

1 网络安全现状

1.1 网络现状

气象信息网络主要分为：气象业务内网、电子政务网和互联网。

（1）内网：主要用于省、市和县（市、区）级气象部门之间的气象业务数据通讯，是气象部门的核心网络，内网与局内业务的开展密切相关，气象业务流的上行与下行均依靠内网完成，局内气象业务信息系统也部署在内网。

（2）电子政务网：分为电子政务外网和内网，外网和互联网联通，主要用于日常行政办公、气象对外服务、移动气象台VPN接入、自动站中心站数据接收等业务。内网主要用于政务系统信息通讯。

（3）互联网：主要用于无线设备互联网访问。

1.2 安全分析

在中国气象局的统一领导和要求下，国家和省级单位网络安全技术力量和防护能力强。中国气象局预报司印发了《气象网络安全基础架构设计方案（2019年）》，方案中对国家级和省级节点做了详细的安全设计和区域划分，基本满足了顶层气象事业发展需要。近几年来，随着严峻的内外部网络安全形势变化和新技术的不断发展，尤其在市、县（市、区）级气象部门，现有技术防护已经无法满足气象事业发展对网络安全的需求，主要存在以下问题。

（1）整体防御能力弱：地市级节点自行开展网络安全建设，缺乏统筹，网络安全结构不规范，防护能力不均衡，防护短板大量存在，整体的安全防御能力弱[1]。

（2）风险感知能力弱：网络安全设备部署零散、各级气象部门安全信息互不相通，安全设备缺乏联动机制，潜在风险的监测预测能力弱。

（3）应用和数据安全薄弱：业务系统建设过程中对安全重视不够，开发过程中存在大量的插件、代码或数据库漏洞。业务应用中对各类数据的保护设计薄弱，缺乏针对性的授权管控、审计记录和容灾备份等保护功能。

（4）安全防护严重滞后：云计算、大数据、移动互联网等新技术在气象业务中迅速应用推广，与之匹配的安全防护技术部署滞后[2]。

2 目标和原则

（1）统一规划建设：统一安全建设技术标准和管理规范，突出顶层设计、统筹规划的重要性。

（2）全面综合防御：综合使用多种安全技术防护设备，增强不同安全防护设备之间的联动作用，构建立体的综合防护体系。

（3）技术管理并重：配齐管理机构、人员、制度和设备。网络安全七分管理、三分技术，突出管理在信息网络安全体系中的重要性。科学管理，弥补当前技术防护的不足，实现更佳的保护效果。

（4）保障运营安全：完善安全保障机制，加强技术保障培训，提高保障人员的技术水平和应急处置能力，保障网络、信息系统持续性和数据安全[3]。

3 网络安全方案总体设计

3.1 基本要求

气象信息网络安全基本要求横向分为：安全技术和安全管理两大要求。纵向又分为：控制类、控制点和要求项[4]，如图1所示。

（1）安全技术控制类：物理和环境安全、网络与通信安全、设备和计算安全、应用和数据安全。

（2）安全管理控制类：安全策略和管理制度、安全管理机构和人员、安全建设管理和安全运维管理四类控制。

以网络与通信安全在控制点上的要求为例，对于以不同等级备案的气象业务系统、气象基础网络系统或气象云来说，在控制点上的要求如表1所示。

图1 气象信息网络安全基本要求

表1 网络与通信安全控制点要求

安全控制点第一级第二级第三级第三级 网络架构√√√√ 通信传输√√√√ 边界防护√√√√ 访问控制√√√√ 入侵防范 √√√ 恶意代码防范 √√ 安全审计 √√√ 集中管控 √√

所有的系统在安全控制点上均需要有网络架构、通信传输、边界防护和访问控制设备。定级备案为二级的系统需要增加入侵防范和安全审计设备或措施；定级备案为三级以上的系统，需增加恶意代码防范和集中管控措施[5]。

3.2 安全保障体系设计

图2 地市级气象信息网络安全保障体系

安全保障体系分为安全管理体系、安全技术体系和安全运营体系，如图2所示。安全管理体系分为：安全策略和管理制度，安全管理组织和人员，安全建设和运维管理。安全技术体系分为：物理和环境安全，网络和通信安全，设备和计算安全，应用与数据安全。安全运营体系分为：资产梳理分析，安全风险发现，安全漏洞加固，安全分析处理和安全运营管理[6]。

在通用安全技术体系中，包括物理和环境安全方面，机房所在建筑物具有防风、防雨和抗震的能力，安装了火灾自动检测、报警、灭火装置和七氟丙烷灭火设备，配备了UPS、精密空调和动环监控系统。在网络和通信安全方面，需具备入侵防御、病毒防护和访问控制设备或措施[7]。在设备和计算安全方面，入网设备需符合安全准入策略，定期进行漏洞扫描修复，并将日志引入审计设备，日志的保存时间应在6个月以上。在应用和数据安全方面，应部署分布式应用防火墙、审计、漏扫和终端防毒软件，比如：WEB和数据库防火墙、审计、漏扫等。

3.3 等级保护生命周期

为保障气象基础网络系统、信息系统、气象云、大数据安全，以等保合规为基础，需开展等级保护相关工作，按照定级备案-方案设计-建设整改-等级测评-运维保障的全生命周期流程顺序推进[8]，如图3所示。

图3 等保生命周期

（1）定级备案流程：撰写定级报告，组织定级评审，接收定级备案证明。

（2）方案设计流程：进行风险评估，分析对标差距，撰写差距报告和建设方案，组织方案评审，撰写标书。

（3）建设整改流程：制定整改方案梳理岗位职责，实施技术策略，建设管理体系，集成安全产品，组织方案评审，实施安全建设方案，组织项目验收。

（4）等级测评流程：测评材料准备，配合现场测评，组织测评整改，等级测评，接收测评报告。

（5）运维保障流程：驻场运维，定期评估，市（区、县）局安全检查，应急响应支持[9]。

4 气象部门解决方案设计

图4 地市级气象网络安全架构

地市级气象网络的安全架构设计如图4所示，气象内网通过专线线路和省局内网互联，通过隔离交互区后与外网互联，经过NAT转化后提供公网气象服务或者接收自动站数据、开展计量检定和移动巡检服务。气象内网架构，分为边界防护区、核心交换区、核心业务区、安全管理区和隔离交互区。边界到区域、不同区域之间实行分布式防护控制措施。

4.1 边界防护区

入侵防御设备：内、外网出口边界处各架设一套高性能IPS，在互联网接入防护的同时能够兼顾到省-市内网边界的防护，阻拦外部攻击。

下一代应用防火墙：配置访问控制策略，定期更新IPS特征库和防病毒特征库，重点对省-市双向访问、公网应用业务的地址和端口作防护。

4.2 核心交换区

核心路由：为了防止设备和线路单点故障，需要使用两台接入路由，通过主、备线路，采用动态路由协议，设置路由优先级，上联省局，下联市局。

核心交换：核心交换上联核心路由，下联核心业务区、安全管理区和隔离交互区，是网络架构的重要节点，应采用多台高性能交换机基于虚拟化技术聚合。

4.3 核心业务区

服务器集群：包含机架式服务器、超融合、虚拟化计算资源池、刀片式计算机集群等

数据中心：包含虚拟化存储资源池、NAS等，数据中心需要使用容灾备份技术或措施，防止重要数据丢失。

汇聚交换：至少两台高性能交换通过链路聚合技术上联核心交换，下联服务器集群。

SAN交换网络：计算和存储资源的高速交换网络。在系统架构中，用于服务器集群计算资源和数据中心存储资源的高速数据交换。

4.4 安全管理区

安全运维审计：对信息系统运维人员操作各信息设备/系统的行为进行记录，便于网络安全管理人员进行审计。

综合日志审计系统：对核心网络设备、安全设备和重要应用软件的日志集中收集并保存，网络管理员和安全管理员可以进行监控或查询。

上网行为管理：对终端电脑的上网流量进行控制和审计，可限制内部员工进行游戏、股票等与工作无关的行为。

漏洞扫描：在核心业务区架设一台漏洞扫描系统，重点扫描计算存储区的服务器，及时识别并修复服务器存在的漏洞。

安全准入软件：对入网设备进行集中管理，对不符合既定安全策略的设备禁止入网。

态势感知系统：是集检测、响应处置、风险预测、可视于一体的大数据安全分析系统。帮助用户监测资产、监控业务、感知威胁和风险，并辅助决策。

4.5 隔离交互区

安全隔离交互系统：利用专有软、硬件系统实现内网和外网在不连通的情况下数据的安全交换和资源共享，从而使气象内、外网从单纯实现“网络隔离禁止交换”发展到“安全隔离和可靠、可控交换”。

VPN：因移动办公需求，在隔离交互区架设一台VPN设备，采用专人专号，账户和移动终端硬件特征码进行绑定等措施严格管理VPN账户，实现外网安全接入内网来进行移动办公。

5 总结

本文从气象信息网络安全架构的基本要求、安全保障体系和等级保护生命周期三方面展开研究；设计了气象系统网络安全架构标准化解决方案，详细介绍了架构边界防护区、核心交换区、核心业务区、安全管理区和隔离交互区的设备部署和具体作用，本标准化架构可指导和规范地市级气象部门网络进行安全建设，适用于：气象信息系统、基础信息网络、云计算平台、大数据平台、物联网系统、采用移动互联技术的网络等。

[1]刘东君，何恒宏，谭振，等. 气象网络安全治理体系研究[J].网络安全技术与应用，2019（02）.

[2]赵冰，王旭，贺永兴. 浅析海南气象信息网络安全建设[J].网络安全技术与应用，2019（12）.

[3]张剑，王琦. 浅析管理在信息系统安全中的必要性[J].信息网络安全，2012（06）.

[4]何占博，王颖，刘军. 我国网络安全等级保护现状与2.0标准体系研究[J].信息技术与网络安全，2019，38（03）.

[5]张朝.医院网络安全等级保护2.0管理体系建设实践[J].网络空间安全，2020，11（03）.

[6]李丹，杨向东，马卓元，等. 等保2.0视域下的网络安全工作思考[J]. 网络安全技术与应用，2019（10）.

[7]莫禹钧，黄捷，潘愈嘉. 基于网络安全态势感知的主动防御系统设计与实现[J].医学信息学杂志，2020，41（03）.

[8]陶源，黄涛，李末岩，等. 基于知识图谱驱动的网络安全等级保护日志审计分析模型研究[J].信息网络安全，2020，20（01）.

[9]裴建廷，于谦，孙斌，等. 基于等保2.0高校网络安全主动防御体系建设探析[J].信息通信，2020（02）.

江苏省气象局青年基金项目（KQ202124）；南通市气象局气象科技项目（NQK202005）