建设行业电子政务信息网络建设与优化

◎ 江苏省建设信息中心 车黎刚 潘晶晶

【关键字】电子政务 信息安全 网络优化

“十一五”期间，江苏省住房城乡建设主管部门始终将信息网络安全作为电子政务的工作重点，不断加大资金投入，着力提高信息安全监控水平。省级部门先后出台了《计算机信息系统安全预案》、《计算机网络管理办法》、《政务网站信息发布管理办法》等一系列规范性文件，编制完成计算机网络安全和运行总体建设方案，构建完成电子政务硬件公共服务平台，以及集硬件设备、系统软件、应用软件、安全系统与网管软件为一体的协同网管平台。通过上述措施，优化了计算机网络运行环境，做到了网络防攻击防入侵，网站防篡改、内网有审计、上网行为有监控、用户需认证，确保了电子政务系统的安全、可靠和稳定运行。

然而，随着政府部门依赖信息网络程度的不断提高，电子政务信息安全和网络优化工作已成为电子政务信息化建设的重中之重，尤其是随着信息技术日新月异的迅速发展，电子政务信息安全和网络建设不断面临新问题、新情况和新挑战，需要我们不断应用新技术新手段去完善和优化信息网络，更好地适应电子政务信息化建设和应用的新需求。

1 信息安全和网络建设现状和问题

经过近几年的努力，省、市建设部门已基本建成外网、内部业务网和与政府相连的政务内网，网络间相互独立，实现了物理或逻辑隔离。三类网络中，外网承担门户网站政务信息发布、行政事项网上受理与结果反馈和互联网访问等功能；业务内网承担机关办公自动化系统（OA）、行政事项审批等功能；政务内网属于涉密网络，与其他网路相互物理隔离，主要承担各级建设部门与党委、政府电子公文交换、政务信息报送、行政权力网上公开透明运行和信用信息交换，以及与政府其他职能部门信息共享共用等功能。

建设系统电子政务网络拓扑结构如图1所示。

传统的网络硬件部署在实际应用中虽然能够满足需求，但在资源利用效率和网络安全上还存在以下问题。

1.1 硬件资源的传统部署模式导致服务器效能低下

各级建设系统计算机网络中心承担着为不同 业务部门和单位提供IT基础设施服务的任务。随着信息化建设的发展，面临的挑战也越来越严峻：不同时期开发的业务系统，由不同的业务处室或单位独立开发，每套系统的维护管理一般由建设单位负责。仅省级部门共有独立的信息系统、网站等22个，拥有服务器设备31台。按照传统的建设模式，通常是一个物理机运行单个应用，而且，为了确保一些重点应用系统的业务连续性，还采用双机热备的方式。随着服务器数量的急剧增加，机房空间日趋饱和、电力负荷接近满载，尤其是在工作峰值时段，机器散热问题引发系统故障时有发生。此外，设备维护、精密空调24小时不间断运行等运维成本居高不下。

经过对服务器性能进行跟踪监控后发现，目前运行的服务器利用率十分低下，CPU平均利用率在6%-10%左右，远未充分发挥现有硬件资源的作用。此外，应用系统和服务器数量同比例增加后，其管理难度同时加大。因此，整合网络硬件资源的工作十分迫切。

1.2 信息网络的传统部署模式导致安全隐患

1、不同安全等级区域间未隔离

图1 建设系统电子政务网络拓扑结构图

在外网区域内，属于第二保护等级的Web应用服务区、业务系统区和属于第三保护等级的数据存储区之间，未按照公安部《关于信息安全等级保护工作的实施意见》的要求，严格采用有效的隔离方式，一旦较低级别的区域遭受黑客攻击，较高等级的区域将可能直接开放给黑客，极易受到攻击和入侵。

2、未建立完备的数据备份系统

建设系统电子政务信息数据涉及：城乡规划、建设和管理、住房保障、建筑市场监管、房地产市场监管、建筑节能和行政审批等信息，还包括机关内部办公自动化系统及公文交换系统中的各类收文来文信息。建设行业一些信息数据与社会民生和社会稳定息息相关，其重要性可想而知，而且数据类型多（结构化和非结构化数据），数据量大（空间数据等图文共存），时效性强（行政审批信息、房产市场交易信息等），但是，由于建设存储系统前期投入较大，不少地方至今尚未建立完备的数据备份系统，一旦发生重要数据丢失事故，后果不堪设想。

3、计算机终端可能成为信息网络安全管理的盲区

不同地区和部门信息网络安全防范意识、计算机应用水平和工作人员自身综合素质等存在较大差异，加上部分终端计算机使用未经有效认证，极有可能被黑客利用成为“跳板”，通过内部网络绕过防火墙和入侵检测设备，掌控服务器核心区域的访问控制权限，逐级攻破Web应用服务区、业务系统区和数据存储区，注入木马病毒等程序致使系统瘫痪、数据丢失，甚至造成敏感信息泄露事故。

4、用户身份认证强度低

近50%以上的建设系统行政管理部门仍沿用传统的“用户名+ 口令”的方式，还有一部分业务系统已采用自制密码锁的方式登录系统，大部分系统尚未采用具有法律效力的第三方数字身份认证（CA认证）登录。目前的应用系统一般采用B/S构架，若没有采取严格的身份认证等安全措施，用户通过互联网访问系统时，非法用户有可能破译登录密钥，非法获取访问权入侵数据库破坏系统。

2 优化硬件网络共享平台对策

应用VMware虚拟技术是优化硬件网络资源，提高资源利用效率的有效方法。

VMware能在单一的物理平台上无限多的运行完全隔离的系统环境，而每一个虚拟服务器，从功能、性能和操作方式上，等同于传统的单台物理服务器，在每个虚拟服务器上，再安装配置Windows或Linux操作系统，进而再安装应用软件，这样以前的每个物理服务器就变身成为VMware服务器上的虚拟机，从而大大提高资源利用率，降低成本，增强系统和应用的可用性，提高系统的灵活性和快速响应，实现服务器虚拟架构的整合。这样可以控制和减少物理服务器的数量，明显提高每个物理服务器及其CPU的资源利用率，从而降低硬件成本。

图2 优化的建设系统电子政务网络拓扑结构图

采用虚拟架构后，每个虚拟机所需使用的系统资源均由虚拟架构软件统一调配，这种调配可以在虚拟机运行过程中在线的发挥作用，使每一个应用均有充分的资源来保证稳定运行。同时，该应用闲置资源又可以被其他更需要的资源调度过去，最大限度地提高整体系统的资源利用率。虚拟化后的信息网络资源突显以下优势：

1、通过部署服务器虚拟化技术，显著地提升了服务器的利用率，每个服务器的平均利用率从5%-15%提高到60%-80%，并且将部署应用所需要的物理服务器大幅度降低，节约出来的服务器和数据中心空间可以部署新应用。

2、大大降低运营成本，包括数据中心空间、机柜、网线、耗电量、冷气空调和人力成本。

3、由于整合了多台物理服务器，能够有效降低服务器维护管理所需要的工作量。

4、将所有服务器作为一个资源池统一进行管理，并按需自动进行动态资源调配。

在实际硬件网络部署中，配合集中存储方式，将虚拟机的文件系统集中存储在存储阵列空间的中，利用VMware群集文件系统，允许多个VMware服务器访问同一虚拟机存储，通过VMware提供的基于虚拟化的分布式基础结构服务，可在一台VMware服务器故障情况下启动另外一台VMware服务器加载虚拟机文件系统，恢复应用和业务系统的运行，消除单点故障。

部分城市建设部门已开始采用虚拟化技术整合优化硬件网络资源，尽管这种方式一次性投入较多，但从长远看，它实现了资源最优化调度，硬件资源始终高效率运行，整体投入反而降低，实际应用效果良好。

经过优化的建设系统电子政务网络拓扑结构图如图2所示。

3 加强信息网络安全的对策

加强信息网络安全技术层面工作，应按照“两统一”、“两严格”的要求进行。

3.1 统一安全隔离设备部署

使用防火墙设备将不同等级区域隔离，并采用访问策略进行不同等级间的访问控制。对于WEB服务区，禁止其访问机关办公区、业务系统区和系统服务区，也禁止其主动访问互联网，只允许互联网及机关办公区访问WEB服务区的网站服务，及WEB服务区对指定数据存储区服务设备的访问。对于业务系统区及数据存储区则采用类似安全策略进行防护。

3.2 统一数据存储系统部署

在数据存储区部署存储设备，对数据存储区设备内数据进行热机备份，同时部署虚拟带库系统，对数据进行外部存储介质备份，定期将外部存储介质转移至异地存放，确保数据库和应用系统安全。

3.3 严格用户终端管理

使用统一的IP管理策略和部署网络管理系统，对各个用户终端统一规划和管理，定期进行系统漏洞扫描和补丁修复，定期进行病毒查杀和升级，杜绝其成为不同等级安全域之间的“跳板”。

采用防火墙策略限定用户终端只能对Web应用服务区、业务系统区和数据存储区指定服务端口和设备的访问，即使终端被黑客控制，也只能对有限的服务和设备造成影响，将事件的危害控制在最小的范围和深度。

3.4 严格用户身份认证

使用防火墙设备将业务网接入电子政务外网中，并统一采用VPN、CA等身份认证技术，控制互联网用户访问同电子政务外网逻辑隔离的业务网中业务系统。

业务系统部署在业务网中，采用逻辑隔离方式与电子政务外网联通，处在互联网的用户必须首先访问SSL VPN，并通过用户名密码和CA认证后，才可以取得对业务系统的访问权限，而且SSL VPN根据用户策略限定用户对业务网中系统的访问范围，将用户权限控制在最低程度。这样，内部业务系统只对授权的互联网用户开放访问权限。

4 结语

电子政务信息安全是一项复杂的系统工程，是一个融复杂组织和先进IT技术于一体的复合体。信息网络安全建设要统一考虑，长远规划，才能保证技术的先进性和可扩展性。虽然现有的网络结构已经能够解决很多的安全问题，基本满足应用系统实际运行需要，但在提高硬件资源综合利用率上需进一步优化，信息网络安全上需不断加固，更好地适应建设行业电子政务信息化建设的新形势。