烟台市气象局网络安全系统的设计与实现

张孝峰，樊江伟

（烟台市气象局，山东烟台 264000）

计算机网络是气象业务发展的重要支撑，它在现代化气象业务中的运用也日益增多，网络安全系统的架构也变得更加复杂。网络系统的安全稳定运行是确保气象业务高效开展的先决条件，网络安全技术和网络安全设备确保网络系统安全畅通则是网络运行过程中的重点。

在气象业务日益扩展的今天，在安全可靠运行的同时，还需要较高的业务数据处理和传输能力，所以为了确保整个系统能够长期安全稳定地运行，必须在三大系统（网络的脆弱性、网络稽核、反侵入）方面进行研究与开发，构建全方位、多层次的网络安全防护系统，以提升气象网络安全服务的性能，确保通信安全与顺畅，服务气象业务。

1 气象网络安全概述

在目前的网络化情况下，中央数据中心主要包括数据中心区、气象信息处理区、云计算区和下属办公区域。广域网包括了全国总访问区、省局局网、外地局访问区。在内部网与广域网间建立了一道防火墙，在因特网与城市广域网间加入了防御系统（Intrusion Prevention Systems，IPS），在因特网上进行了数据传输，形成了一个简易的信息网安全机制。

在全国范围内，以全国和省际的数据中心为主要的保护措施，以地方和省市的广域网和各省的数据中心为辅助，在全国和各省之间设置2 层防火墙。通过HA（High Availability Cluster，高可用集群）的形式进行热备冗余处理，从配置来看，根据中国气象局的统一管理要求，省局接入全国局的接入及其他省局和其他相关的系统的出口，根据各省市的实际情况，实现“地区—地区”或“点对点”的设置。在地市广域网和省级数据中心间布设2 道防火墙，采用HA 的形式进行热备冗余。

2 网络安全及相应技术

2.1 身份识别

身份识别是一种对双方进行身份认证的高效手段。在向系统提交业务的时候，必须输入使用者ID、密码等相关的资料，并且还要求提供验证用户的证件。在系统安全中，身份识别是最为关键的一项功能。

2.2 存取权限的控制

阻止非法用户访问系统，阻止合法用户非法利用系统资源，是存取控制中最根本的工作。开放系统下网络资源的利用要制定相关的条款，也就是要确认什么用户能够获取什么资源，并界定可获取用户所拥有的各自权限等，这也是当前存取权限控制工作的重点[1]。

2.3 数字签名

使用诸如RSA（Rivest Shamir Adleman，非对称加密）之类的公钥来对该消息（也就是一个签署）设置密码，而该消息的接收者使用该信息传送者的公共钥匙来对该签署的消息进行解密，以确认该传输者的身份。

2.4 密钥管理

信息加密是确保信息安全的一种重要手段。用密文的形式在一个比较安全的通道中进行信息传递能使用户安心上网。若密钥泄露或者黑客通过累积大量密文来提高密文被破解的概率，都可能给通信安全带来威胁。所以，将密钥管理机制引入到密钥的生成、存储、传输及定期更换等过程中加以有效控制，对于提高网络安全性与抗攻击性同样具有十分重要的意义[2]。

3 安全设计与实现的具体措施

3.1 对操作系统进行优化配置

黑客侵入系统时通常都是针对操作系统自身的不足和漏洞，对操作系统采取的防护措施之一是对补丁程序进行及时和持续的更新，只要有正版操作系统，通常可以在其官方网站上进行补丁升级。同时某些违规补丁下载链接也可能让用户不自觉地被各类恶意软件侵入，因此下载补丁时一定要选择正规的网站。

另外，还应该加强对操作系统用户权限的管理，严禁游客账号登录，在增加访问权限的前提下，对匿名用户的访问进行限制，严禁远程端口的用户从服务器中非法获取数据信息[3]。

3.2 将虚拟局域网技术运用于网络结构的优化

从网络安全角度考虑，烟台市气象局内部各部门首先被规划为不同虚拟局域网（Virtual Local Area Network，VLAN），利用路由器把每个县站划分为不同子网。利用中国气象局新增IP 地址段对VLAN 进行分区，并可在已有边缘交换机中进行VLAN 分割。根据VLAN 的特点，一个VLAN 广播与单播流量都不会转发给另一个VLAN，这样有利于控制流量、降低设备投资、简化网络管理、提高网络的安全性[4]。

在核心开关和边沿开关中的每一个访问点执行一个访问限制，并执行一个静态的列表。通过使用路由器的各种安全特性，建立更加安全可靠的网络。

3.3 应用网络版杀毒软件实时监控网络终端系统状态

杀毒软件作为目前最流行的安全技术方案之一，主要作用就是杀毒。目前的局域网采用的是赛门铁克的在线病毒系统，通过对所有的病毒进行更新、对所有的病毒进行全面的更新、对所有的病毒进行实时的更新、对所有的用户进行实时的病毒监测，尤其是对不同客户的软件进行在线检查，为网络的管理者们监控各终端的状况提供了一个非常好的途径。加强对网络的监控，保证每个终端病毒库的实时更新，提前排除网络病毒大爆发的隐患[5]。

3.4 明确网络边界，部署防火墙加强边界防护

网络防火墙技术是一种用来加强网络之间访问控制，防止外部网络用户以非法手段通过外部网络进入内部网络访问内部网络资源，保护内部网络操作环境的特殊网络互联设备。它对2 个或多个网络之间传输的数据包如链接方式按照一定的安全策略来实施检查，以决定网络之间的通信是否被允许，并监视网络运行状态。在气象部门的内部一般存在着区县级网络、地市级网络、省市级网络等，如图1 所示，各个网络间需要互访，在各网络边界部署边界防火墙，使之成为一道防御屏障，通过合理正确的配置，可以阻止有安全风险通信数据的渗透。

图1 气象部门防火墙部署

部署防火墙必须配置有效的安全访问控制策略，否则防火墙形同虚设，访问控制技术用于防止非法用户访问网络，去获取和使用网络资源，访问控制主要有自主访问控制、强制访问控制和基于角色访问控制3 种类型；在气象部门内部应严格制定各级用户访问权限，同时限定封堵高危端口，将网络安全风险限定在有限的网络区内，提高全网的安全性。

3.5 进行脆弱性检查，及时更新漏洞补丁

网络安全脆弱性是指计算机或网络系统在硬件、软件、协议设计和实现、系统采取的安全策略存在的不足和缺陷，利用基于网络的安全扫描，及时发现服务器、终端、交换机、防火墙等设备的安全漏洞。

日志审计对可能存在的潜在攻击者起到威慑和警示作用，核心是风险评估。测试系统的控制情况，及时进行调整，保证与安全策略和操作规程协调一致。对已出现的破坏事件，做出评估并提供有效的灾难恢复和追究责任的依据。对系统控制、安全策略与规程中的变更进行评价和反馈，以便修订决策和部署。协助系统管理员及时发现网络系统入侵或潜在的系统漏洞及隐患。

结合气象部门网络实际情况，县级气象部门网络规模相对较小，市、县两级网络大多通过租用电线运营商的专线互联，在每个县级全部部署网络安全设备，将造成极大浪费，也不利于集约化管理。同时县级气象部门人员相对较少，针对这一现实情况，可在市级网络中部署网络安全态势感知设备、脆弱扫描设备、日志审计设备及基于网络的杀毒软件并提供统一的漏洞补丁库。网络安全脆弱性检查如图2 所示。

图2 网络安全脆弱性检查

4 烟台市气象局网络安全技术体系

4.1 防火墙

防火墙装设于受保护内部网络和外部网络之间的连接点，是为了保护网络边界安全，并依据设置合适的网络访问策略及过滤规则列表而设计的一种主要方法，来确定哪些内部服务允许（禁止）外部访问、哪些外部服务允许（禁止）内部访问，或者其他特定的活动，视为访问控制机制之一。防火墙技术作为一种遏制攻击技术，它在阻止外界攻击及非法接入的情况下，对脱离安全域信息进行安全防护，以达到对内部网络防护的效果。局气象专网布放2 台防火墙以互为备份的态势，网络布放安全路由器和1 台防火墙需另布放1 台安全路由器以作备份的态势。

4.2 漏洞扫描

气象专网布设漏洞扫描设备1 台，网络管理员采用扫描等方式检测指定远程目标主机或者本地计算机系统网络安全，掌握目标主机的网络安全设置及运行环境，发现可用漏洞并评估扫描结果及修补漏洞。发挥主动防范功能，有效规避黑客攻击，进一步保证系统网络环境的安全性。

4.3 上网行为管理

将上网行为管理设备部署到气象局的互联网中，以满足对网络行为的监测、控制及管理的需求，并将该设备的子MAC（Media Access Control Address，媒体存取控制位址）地址捆绑到IP 地址中，每名用户都对应一个账号。上网行为管理有效避免了有人非法接入和使用可上网网络设备的情况，同时也解决了因私改IP 地址而引发IP 冲突的情况。上网行为管理设备为网民提供了检测、筛选不良信息或者敏感文字，以及上网内容记录、内容审查等服务，以期达到规范上网行为、杜绝网络接入可能面临法律风险的目的。

5 结束语

现有网络安全措施受资金和其他条件限制，并不是完美无缺的。网络攻击技术手段正在发展变化，病毒变种也层出不穷，严格来说，一切防范措施都是攻击发生之后的补救。所以，在网络安全维修中，对安全设施的及时更新是不可忽略的一项技术措施。而且，与已有网络监控系统和相应控制措施的网管设备相比，其安全性保护的实时性和适用性差，以及对各终端的监控性能仍然有一定的缺陷。所以，一切网络安全之“安全”都只是相对而言。审查一个网络系统的安全性，既要审查它的技术手段，又要评估针对它的网络而采取措施的综合性与可行性，其中包括人员素质。所以，构建安全的网络环境需要在强化网络安全设备配置的同时制定网络安全管理条例来规范安全网络的使用，不断提升网管人员的素质，只有这样才能确保网络安全。