海洋数据安全三层防范体系的设计构建

2014-11-16李安虎崔爱菊宋庆磊滕中山

海洋开发与管理 2014年4期

李安虎，崔爱菊，宋庆磊，滕中山

（国家海洋局第一海洋研究所青岛 266061）

从信息安全的角度，对数据资料的保护主要采取网络隔离的方式，通用的做法是根据数据资料的性质建设涉密网络、内部局域网和外部局域网（连接互联网）3 套物理隔离的网络，不同性质的数据在不同的网络上进行传输。但这种模式的有效性必须建立在网络及数据使用管理比较规范的前提下，而对由内部行为违规进入外部局域网的敏感数据则无能为力，这些数据仍然有可能以明文形式走失。

海洋数据具备自身独有的特点。其来源复杂，资料内容多样，涉及多学科，年限跨度大，观测手段、处理方法和观测精度在不同的时期差异较大。在信息内容、数据采集与更新方式、数据标准、资料格式、存储介质、管理与服务方式等方面也存在较大程度的不一致［1］。

本研究针对海洋数据的多样化及数据处理过程环节多导致重要数据易散失的特点，构建单位外部局域网3 层防范体系，其中在主机上构建数据安全层，预先指定格式的海洋数据文件及重要资料一旦离开宿主机，在网络链路中传输的均是密文，这样通过移动存储介质等手段违规进入外部局域网内计算机的重要数据，由于在网络传输链路中已变成了密文，即使走失，如果未经授权，任何人得到的将是一堆乱码，从而筑起了最后一道防护屏障，有效地保障了海洋数据的安全。

1 需求分析

海洋作为地球的宝库和生命的摇篮，给人类提供了维系自身生存和发展的空间，对海洋的研究利用是全人类共同面临的课题。当前世界的海洋科研活动主要围绕着海洋能源、资源的开发与利用，海洋与全球气候变化关系、海洋环境与生态的研究、海洋权益及军事防御工作开展。

海洋研究作为实践性学科，越来越依赖于系统的、高可信度的、长时间序列的基本科学数据及其衍生的数据产品。海洋科学的基本数据来源于海洋科学调查及海洋观测，获取数据的背后是艰苦的工作和高昂的成本，非常珍贵［2］。而对于海洋学调查研究、海洋工程技术和海洋环境保障等军事海洋学中涉及的数据资料［3］，在从原始数据到产品数据的处理过程中，更经历诸多环节。数据涉及水文、地质、遥感、生态、测绘等各个学科，其中包括大量的海图，这些数据随着其物理属性及其精度高低的不同，存在不同程度的安全要求，而数据格式的多样化也使管理难度增大。因此，对这些海洋数据采取严密的防护措施、避免重要数据流失显得尤为重要。

2 系统设计

海洋数据安全3层防范体系（图1）基于信息安全框架设计构建，包括网络安全、主机安全和数据安全3 层架构，其主导思想是通过加强网络和主机的防护措施来抵御入侵，并通过加密计算机和传输链路上指定格式的数据来避免明文的暴露。系统部署后，对于一些性质不明确的敏感海洋数据，甚至违规出现在网络上的重要信息，只要符合预先设置的特定格式，都统一自动给予了加密处理，一旦离开了应用环境或未授予权限，呈现出的将是毫无价值的乱码，从而有效降低了数据资料丢失后的安全风险。

图1 3层体系逻辑架构

2．1 网络安全体系设计

从信息安全角度，海洋数据3 层防范体系（图2）的第一道关口便是网络安全体系构建，其目的是抵御外部入侵。

图2 3层体系物理架构

目前，较为通用的作法便是建设内网、外网、涉密网3套网络，实现涉密、内、外3网物理隔离。涉密信息在涉密单机或涉密网络上运行，工作信息在内部局域网运行，公开信息在外部局域网（连接互联网）运行。作为数据流失的最后一道屏障，本研究仅对外网的网络安全架构进行阐述。

外部局域网的网络安全主要是在网关处部署防火墙和入侵检测系统。在目前流行的网络安全应用体系中，比较通用的一种做法是仅通过部署防火墙进行防护，但防火墙有一个特点，即对被允许的主机和应用的攻击无能为力，因为这些攻击会伪装成对合法主机和应用服务的访问，从而骗过防火墙，进入到受防火墙保护的区域之内。

针对上述假冒攻击，需在防火墙保护的基础上，采用入侵检测系统（IDS）提高网络的安全防护水平。网络入侵检测系统（IDS）通过监视网络流量，侦听指定网段的数据包，实现对网络的实时监视、发现可疑连接和非法闯入等，防范网络层至应用层的各种恶意攻击和误操作。通过有效配置，网络入侵检测系统与防火墙实现联动，对网络数据包进行过滤及实现访问控制，将访问限制在网络被允许的主机（IP地址）和应用服务（端口），从而缩小安全防范区域，尽可能少地避免计算机被控制［4］。

除此之外，为完善网络安全体系，还可增加漏洞扫描系统，对网络上的系统进行扫描，以便发现漏洞和隐患并及时采取措施；在网关处增设病毒和木马过滤网关，最大限度地防止病毒和木马通过网络进入网络上的计算机；在局域网内部架设网络安全审计系统，实现上网用户的身份认证和访问控制并能追溯上网记录。

2．2 主机安全体系设计

海洋数据3 层防范体系的第二道关口是计算机主机的保护。计算机信息系统主要由操作系统和应用软件组成。目前，黑客入侵和木马控制主要是通过操作系统的漏洞或者采取欺骗方式获得系统管理权限进而控制计算机，从而窃取计算机上的文件，如果计算机上存在涉密或敏感海洋数据，便导致了泄密事件的发生。

计算机的防护首先从设置密码开始，密码设置包括开机密码、系统密码、电子邮箱密码、屏幕保护密码，文档压缩也可设置密码。为增加密码强度，密码位数要尽可能地长，尽量大小写字母、符号与数字混合，并要经常更换密码［5］。

病毒和木马查杀软件是计算机主机系统保护的另一道屏障，目前市面上的此类软件众多，用户可根据自己需要进行配备，安装成功后及时升级软件包和更新病毒木马代码库，并经常进行病毒和木马的扫描［6］。

在浏览网页和使用电子邮箱时用户还需具备警惕和防范意识，黑客经常采取欺骗的手段进行攻击。因为当前的互联网上有相当数量的恶意网站挂了病毒或木马，浏览这些网站的网页极易中木马或病毒，从而导致自己的计算机被黑客控制。另一个欺骗手段便是通过电子邮件，携带病毒或木马的电子邮件通常冒充工作信息，如果不仔细审查邮件来源，点击其携带的附件，木马就会控制计算机，文件丢失或系统被破坏而造成损失。

2．3 数据安全体系设计

海洋数据三层防范体系的第三道关口是数据安全体系（图3）。防火墙、入侵检测系统（IDS）、内外网隔离以及其他针对外部网络的访问控制系统，可有效防范来自网络外部的进攻，但内部人员可以轻松地将计算机中的敏感信息通过网络、存储介质和打印等方式泄露出去，因此为了保障内部信息的安全，数据安全体系的建设异常重要。当前信息安全市场上推出的防水墙等产品已成为数据安全体系建设、防止内部信息外泄的有效手段。

图3 数据安全体系部署

2．3．1 原理

防火墙综合利用加解密、身份认证、访问控制等技术手段，对重要信息和敏感数据的存储、传播和处理过程实施安全保护，采取的身份认证、加密、权限控制及操作日志管理等手段降低了泄漏和违规外传的可能性，其安全审计功能则有效增强了追溯性。得到保护的数据文件由于已被加密，如果没有权限，既打不开，也读不了。

关于算法及效率问题，当前此类系统加、解密主要基于AES或RC4加密算法，整个加解密操作（图4）在驱动层进行，无需人工操作，只要系统改写磁盘，设置指定的文件类型就会自动加密或解密，不影响文件打开时间，文件传输过程中始终是密文，但面向授权用户动态透明可见，授权用户始终觉察不到加、解密过程的存在［7］。

图4 数据加、解密系统架构

2．3．2 部署

防火墙的部署包括服务器、控制台和客户端3部分。服务器端需要安装服务器端软件和支持数据库，设立安全认证机制，对客户端系统配置策略、审计操作等功能；控制台软件实现系统管理、参数配置、策略管理和系统审计等功能，控制台软件采用分权分级模式进行授权，细化对敏感信息的访问权限，以提高系统的安全性；客户端执行服务器配置好的安全策略，根据策略监测客户端用户的行为。当然，客户端软件采取了严密措施，一旦安装完毕，便防止本地用户自行关闭及卸载客户端程序［8］。

2．3．3 安全性分析

AES算法又称Rijndael加密法，作为美国联邦政府采用的一种区块加密标准，是对称密钥加密流行算法之一。算法采用迭代型分组密码，其分组长度和密钥长度均可变，均可指定为128位、192位、256 位。AES迭代加密使用循环结构重复置换和替换输入数据，通过分组密码返回的加密数据的位数与输入数据相同。作为对称密钥密码算法，AES使用相同的密钥加密和解密数据，这一点与公共密钥机制不同，后者考虑到效率一般多用于小数据量文件［9］。

据查阅文献，到目前为止，对于Rijndael密码的攻击还没有比穷尽密钥搜索攻击更有效的方法，而已经公布的攻击方法还不能形成有效的攻击［8］。

RC4算法作为应用广泛的流密码算法，由于其采用了分组算法中的S盒，非线性较高，对差分和线性高度免疫。算法采用从1 到256个字节（8 到2 048 位）可变长度密钥，利用一个256个字节的状态矢量S，记为S ［0］，S［1］·…S ［255］，每次生成的密钥字节K 由S中256个元素按一定方式选出一个元素而生成，每生成一个密钥字节，S向量中元素会进行一次置换操作。流密码的基本模型可作如下描述。

明文序列：m＝m1m2m3……

密钥序列：z＝z1z2z3……

密文序列：c＝c1c2c3……

加密变换：Ci＝E （zi，mi）（i＝1，2，3……）

解密变换：mi＝D （zi，ci）（i＝1，2，3……）

在安全性上，由于RC4 算法加密采用xor（异或）操作，当子密钥序列出现重复时理论上存在被破解的可能性［9］，但经查阅文献，对RC4的缺陷分析目前都只停留在理论上，在实践中当密钥长度达到128位时还没有任何的攻击对RC4形成威胁，所以RC4也是目前最安全的加密算法之一［10］。

2．3．4 文件加密配置

近些年来，海洋调查仪器设备及技术方法日益先进，海洋调查覆盖的学科包括水文、地质、遥感、地球物理、化学及生物等。在海洋研究过程中，产生了大量的科研项目文档及海洋数据等资料。就数据而言，以海底调查为例，其数据包括水深测量、地形、地貌、剖面影像、侧扫声呐影像、样品、重磁力等数据。数据按照获取阶段划分为原始数据和成果数据，成果数据是原始数据输出产品，海洋信息呈现出海量、多源、动态、分布式、保密性强等特点［11］。

按照本研究所述，对海洋调查仪器产生的各种原始数据、后期数据产品以及涉及的项目文档，按照文件格式进行分类，在数据安全体系中对敏感性的格式文件有选择地进行配置，使特定格式的文件只要出现便自动进行加密，只有具备相关权限的人员才能对这些信息进行访问。假如网络遭受攻击或被植入木马造成文件丢失，黑客得到的则是一堆乱码，文件既打不开，也读不了，无从判断数据的价值，纵使采取解密手段，仍然增加了破解成本，甚至无从破解，有效保障了海洋数据安全。