高校信息服务系统安全防护探析

吴铭

摘要：信息时代，高校信息服务系统发挥着越来越重要的作用，迫切需要通过构建完善的信息服务系统安全防护架构，加强信息服务系统安全管理等措施来做好其安全防护工作。

关键词：信息服务系统；安全防护

中图分类号：TP393 文献标识码：A 文章编号：1009-3044（2015）11-0059-03

Analysis of the University Information System Security Protection

WU Ming

（The PLA of National Information Academy， Wuhan 430010， China）

Abstract： The information age， the information service system plays a more and more important role， the urgent need to construct the framework of the information service system of perfect safety protection， strengthen the safety management of information service system and other measures to do the security work.

Key words： information service system； safety protection

随着现代信息技术的快速发展及其在高校的广泛应用，高校信息服务系统得到了快速发展。高校信息服务系统在高校日常教学科研、行政管理、后勤服务等方面发挥着越来越重要的作用。然而，由于高校信息服务系统安全体系架构不完善、安全管理不到位，使系统存在许多安全漏洞，安全状况堪忧，迫切需要采取有力措施，加强其安全防护，保证其正常运行。

1 构建完善信息服务系统安全防护架构

高校信息服务系统服务对象众多，服务地域分散，服务内容庞杂，服务设施多样。要保证其安全，首先要建立完善其安全防护架构。从信息服务系统整体进行防护，其安全防护系统应由基础承载安全、安全支撑服务、共用服务安全和安全保密运维管理等部分组成，其结构如图1所示。

图1 信息服务系统安全防护架构

1.1 基础承载安全

基础承载安全方面，主要实现网络安全防护、虚拟计算安全、存储系统安全和信道传输加密，保护信息服务系统网络边界安全，保证计算、存储资源受控使用，提供对虚拟环境、资源调度、网络架构的安全防护，实现安全保密与网络、计算、存储的平滑嵌入和一体化设计。

1）网络安全防护。提供DDoS异常流量清洗、网络接入用户控制、网络边界协议控制、网络入侵检测等功能，能够抑制DDoS流量攻击，对网络攻击行为进行实时检测告警，只允许合法用户接入和合法协议通过。

2）虚拟计算安全。提供虚拟计算环境的安全增强，实现虚拟机安全监控、虚拟机穿透攻击阻断、业务虚拟迁移安全一致性保证；提供虚拟防火墙、虚拟入侵检测等虚拟边界防护，为用户访问虚拟环境下的业务资源提供透明防护。

3）存储系统安全。提供面向用户的存储加密和敏感数据保护功能，支持密钥和算法分割管理，防止用户敏感数据泄露。

4）信道传输安全。提供信道传输加解密，支持高速信道。

1.2 安全支撑服务

安全支撑服务方面，提供安全核心服务，适应虚拟计算环境和面向服务应用要求，为共用信息服务提供安全支撑；支持数据单向引接、实时格式化业务交互、IP流媒体交互和数据业务交换等典型业务的分类隔离保护；提供动态数据应用的密码支撑服务，支持多密级和密码分割使用。

为共用服务安全保障提供安全服务和网间交换安全。

1）安全服务。提供认证、授权、身份、跨域、单点登录和审计日志服务，适应虚拟计算环境和面向服务应用要求，为公共信息服务、业务信息服务、数据服务等应用服务提供安全支撑。

2）网间交换安全。通过综合接入站点和综合业务交换中心建设，选用网络拓扑屏蔽、网间接入认证、业务服务鉴权、传输协议控制、密码落地转换、信令攻击过滤、数据签名验证、网间交换审计、信源审计、网间病毒查杀、安全标识匹配和光纤单向传送等安全机制，提供数据单向引接、实时格式化业务交互、机动指控系统无线接入、IP流媒体交互、数据业务交换等五类网间交换业务的隔离防护，实现网系相对集中对接、业务分类受控交互和用户跨域鉴权。

1.3 共用服务安全

发布授权等机制，实现信息服务来源可信；提供服务环境保护功能，实现服务运行安全；支持端用户按权限访问服务，为网络端用户访问提供传输安全保护，实现内容/目录按密级提供。

为保障共用服务注册、发布、执行过程的安全可信，以及用户对信息服务资源的受控使用，提供服务注册认证、服务运行安全和用户受控访问功能。

1）服务注册认证。提供服务代码安全性审核、服务软件注册认证和数据服务发布授权。能够对服务代码进行安全性检测，保证服务代码质量，从源头降低安全风险；实现对服务注册发布的来源认证，依托身份认证基础服务，提供服务注册发布签名/验证工具，对服务注册发布过程的安全性进行管理控制。

2）服务运行安全。能够准确、实时地识别并阻断或限制跨站脚本攻击、HTTP协议攻击、XML恶意代码、XDoS攻击、注入攻击等服务与应用层面的攻击行为，实现消息安全处理，提供XML/SOAP消息内容的加解密、签名/验证、完整性鉴别、内容解析与错误处理，协议封装与解封等功能。

3）用户受控访问。支持对服务请求者的身份真实性与时效性进行验证；提供授权策略获取、授权判决和授权执行功能，实现对应用服务的授权控制；提供基于安全标识和标识策略的标识处理功能，实现基于安全标识的服务强制访问控制。

1.4 安全运维管理

在安全保密运维管理方面，实现安全设备管理、审计日志管理和密码设备管理。安全管理支持安全策略动态调整、安全设备管理和安全事件处理，支持服务虚拟迁移安全策略一致性管理；审计日志管理支持运维管理员操作全程审计、网络端用户访问关键操作审计、核心数据访问全程审计等；密码管理提供支持多密级和密码分割的密钥管理和密码模块管理，支持密码设备丢失应急处置。

为提升信息服务保障中心安全运维管理效能，提供安全设备管理和审计日志管理功能。

1）安全设备管理。能够采集安全设备状态信息，支持对安全设备的防护策略进行实时监察，实现安全战备等级的动态调整；支持安全虚拟机、虚拟网络防护设备的状态监控和运维管理，能够实现虚拟机迁移过程中安全策略的自动调整。

2）审计日志管理。提供用户核心数据访问及服务交互过程的安全审计，实现用户访问和服务交互过程的可追踪性；对运维管理员操作进行全程审计；确保审计数据的完整性和权威性，防止审计数据非授权单方修改，实现审计数据查看的第三方授权。

1.5 密码服务及密码管理

1）网络密码保密。提供链路加解密；为SIP协议、SSL协议等传输协议提供密码支持；提供网间密码转换服务。

2）计算环境密码保密。为虚拟化和非虚拟化计算提供密码服务支持，服务器群密码设备通过网络方式，为刀片服务器的各刀片提供密码服务，为服务器提供透明的网络传输数据加密服务；服务器密码设备通过网络或PCI-E总线连接方式，为机架式服务器提供密码服务；可信密码模块为可信计算提供杂凑运算、数字签名验证、加解密运算、密钥管理四种密码服务；支持多密码设备、多通道密码服务的组合应用方式，具备密码资源跟随服务进行迁移功能。

3）存储环境密码保密。服务器密码机支持服务器本地磁盘或网络磁盘的物理逻辑卷分区加密，支持细粒度的多密级分割存储保护；高速网络存储密码机连接到磁盘阵列与光纤交换机之间，实现数据集中存储加密保护。数据备份与异地容灾密码设备为数据备份存储和异地容灾网络提供密码保护，支持磁带库模式。存储加解密操作对用户透明，支持双机热备和故障还原。

4）服务密码保密。提供栅格服务环境下的存储加密、传输加密、消息加密等多密级密码保密服务，按基础支撑服务标准要求为客户端和服务器端间业务交互提供标准的数据数字签名/验证服务、数据加密/解密服务。

5）密码管理保障。具备多级密码管理能力，能够对密码算法、参数、密钥实施统一管理；具备密码管理员、密码审计、密码设备管理等功能；具备多级分布式部署功能，支持密码管理域、密码管理节点的动态迁移和管理系统的结构重组；具备分布式密码资源服务能力，能够对密码算法、参数、密钥等密码资源实施分布式部署；具备分布式多服务公钥密码管理能力，实现公钥密码生命周期进行管理。

2 加强信息服务系统安全防护管理

信息服务系统安全是信息服务正常进行和效益得以发挥的保证，通过信息安全工作确保信息、网络及信息系统的有效性、完整性、机密性和一致性。当前，做好高校信息服务系统安全工作，要从以下几个方面着手：

2.1 控制信息的安全流动

信息服务是一个信息流动的过程，要实现信息服务价值，首要的就是要保证信息的安全流动，主要机制有：一是单向传送机制，保证信息只能按一个方向传送，没有反馈通路，切断交互式攻击行为的控制回路和信息窃密行为的回传路径；二是数据落地机制，各类信息资源只能以数据落地方式跨域传送，将安全风险限制在数据层面，屏蔽其他层面攻击；三是代码检测机制，深度检测跨域信息内容格式，自动查杀传送数据中的已知病毒，防范恶意代码跨域传播；四是认证审计机制，采用基于用户实名的端点认证、强制审计策略，确保数据传送操作有据可查。

2.2 加强服务系统受控共享

信息服务系统安全防护的重点是依托全网统一的信任体系，保证信息资源安全受控共享。具体安全机制：一是建立服务软件合法验证、服务注册实名认证、信息资源预先检测等机制，确保信息服务系统服务端各要素安全可信；二是建立用户身份及访问权限与信息资源分类、属性之间的映射关系，形成从用户终端到信息服务系统服务端的完整信任链；三是建立用户登录、目录查询、资源访问等认证控制机制，确保用户按权受控获取信息服务；四是为防止内部人员非授权访问，确保集中存储的数据资源安全，对值勤维护人员的管理权限进行控制、操作行为进行审计。

2.3 提升整体安全防护能力

信息服务整体防护能力是确保信息安全完整、服务系统正常运行、信息流通安全可靠的能力。要通过多层防护，设置防护屏障，建立防护体系，保障信息系统稳定、信息活动的安全。具体做法：一是全方位的安全预警。建立层次分明、可控可管的信息监控系统，对数据、网络和信息系统进行实时监测，预测信息安全的危险度，分析遭受信息攻击的可能性，对系统异常、失效和不测事件做出快速反应，自动识别，发现入侵后能立即记录入侵细节，并发送警报、进行跟踪。二是深层次的信息服务系统安全防护。采取多种手段和方法，抵御来自不同渠道的信息威胁，防止各种途径对信息系统的攻击，配备防火墙、入侵检测、身份认证等安全设备，保证信息在存储或传输过程中不被修改、破坏及丢失。在用户终端加装保密设备，防止信息被窃取和篡改。三是高效率的自愈恢复。在受到攻击后，能够迅速隔离故障、重组资源，恢复受到破坏的信息和数据，能完成对入侵内容、目标、来源、手段的判断，以及对入侵后果做出风险评估，能自动做出控制反应，立即中断攻击者与关键网络的连接。四是高强度信息服务系统安全攻防演练。要通过模拟或实战的形式，对信息服务系统安全防护工作进行高强度的演练，检验防护策略的科学性、安全防护措施的有效性、安全防护人员的能力素质的高低等，从而能及时发现安全防护上存在的问题，提高安全防护能力。

参考文献：

[1]宋刚，籍涛.计算机网络安全与防护[J].电子技术与软件工程，2014（07）.

[2]马健丽.信息系统安全功能符合性检验关键技术研究[D].北京邮电大学，2010.

[3]李军，郭红梅.计算机信息安全技术的应用探究[J].电子测试，2014（21）.