浅谈基层网络数据安全问题

◆潘统芬

（鹿城公安分局网络警察大队 浙江 325000）

0 引言

今年5月12日20∶00时许，全球爆发Wannacry病毒，波及150多个国家。服务器受到攻击，数据被加密，资料被删除，大量信息被窃取，要解密须按其留下的提示支付一定数据的比特币，故又叫“比特币勒索”网络病毒。据 BBC报道，这次病毒造成经济损失40多亿美元。我国大量的教育网、企业网、行业网计算机信息系统受到攻击，再次对基层的网络数据安全敲响了警钟。

1 网络数据定义与重要性

网络数据的概念第一次出现在全国人大常委会2015年公布的《中华人民共和国网络安全法（草案）》第六十五条规定：“网络数据，是指通过网络收集、存储、传输、处理和产生的各种电子数据。”

习总书记高度概括了网络安全的重要性——没有网络安全就没有国家安全。网络数据作为网络信息的载体，它的重要性受世界上多个国家立法保护，2015年，我国发布了《关于印发促进大数据发展行动纲要的通知》，提出要加强大数据环境下的网络安全问题研究和基于大数据的网络安全技术研究，建立健全大数据安全保障体系；同年美国、澳大利亚、俄罗斯等国都出台了网络信息安全立法，如俄罗斯第149-FZ号联邦法《关于信息、信息技术与信息保护》的法律。

2 案例与面临的威胁

案例1：利用CVE-2016-1240漏洞（Tomcat本地提权漏洞）远程修改网页实施入侵破坏。今年5月份我们接到一政府单位报案，称其网站被黑客入侵。经查，黑客人员利用了其网站的CVE-2016-1240漏洞进行入侵，修改了网站的界面导致使大量合法用户无法正常登录。

案例2：利用SQL注入漏洞修改了服务器数据库内容。今年2月份我们接到某做金融业务的互联网单位报案，称其网站数据库被黑客入侵并修改。经侦查发现黑客人员发现其网站存在SQL注入漏洞，利用 Sqlmap工具入侵了其服务器并修改了网站数据库内容的犯罪事实。

计算机网络具有组成形式多样性、网络的开放性和互联性等特征，这使得网络容易受到来自黑客、恶意软件、病毒木马、钓鱼网站等攻击和窃听。攻击者通过拒绝服务攻击、电子欺骗、非授权访问、监视网络数据获得敏感信息，基层网络数据服务器数量庞大,系统漏洞多,运维力量弱等特点,容易被黑客攻破,即使相对独立的局域网，也难以保证自身的安全，Wannacry病毒的爆发，就是一个例证。

3 基层网络数据脆弱性原因

基层网络数据安全除了上述提到的问题外，还有安全意识不到位、管理不到位，重应用轻安全，技术力量弱，漏洞补丁不及时等原因，突出的问题主要有以下四点。

3.1 先期系统问题多解决不主动

多数基层网络信息单位，数据安全网络架构缺乏整体规划，信息量大服务器多，先期系统建设重应用的多，安全方面考虑少，重要数据是明码传输，不符合安全管理要求等问题，解决成本非常高。信息化建设阶段性明显，某个阶段建设的往往是选那家公司推销的一堆产品和技术，不同阶段安全产品相互脱节，缺少从信息安全的保密性、完整性、可用性等需求为出发点，缺乏构建以管理、技术和人员三者有机结合的立体的信息安全保障体系，想要整个解决系统安全问题，会涉及大量的人力、物力、财力等问题，很多单位领导不会主动去触碰，工作缺乏主动性和积极性。

3.2 基层单位运维力量较为薄弱

案例1与案例2中存在的风险隐患，互联网上很早就有公示，但技术人员一直没有打补丁，若不是被黑客攻击与入侵，这些问题一直延续着，案例中的现象，基层单位普遍存在。随着互联网的高速发展，网络信息采集越来越精细化、多元化，越来越多的信息数据接入到网络服务中，架构越来越复杂，应用服务器有如Tomcat、nginx等五大开源Web服务器，数据库就有oracle、mysql等系统；另外系统本身的漏洞不断被发现，数据库不断地完美，出现漏洞的数量不断增加，仅CVE公布的Oracle漏洞数已达1100多个。很多基层网络信息单位技术人员大多没有能力解决，基层网络单位整体运维力量较为薄弱。

3.3 基层单位专业人材储备不足

受体制、待遇等问题限制，基层单位留不住技术强的人才，好的人才容易跳槽，储备力量跟不上。单位梯队培养意识较差，招聘过来的人员，是一个萝卜一个坑，没有更多的机会让年轻人员跟班作业，或者送出去进行必要的知识系统培训，导致部分的技术人员，对系统产生的日志不会看，或不知在何处看，如案例1，其数据库是mysql，其每个日志文件有1Gb。二进制格式，详见图1，该案发单位的技术人员，文件太大打不开，也不知如何转为可读的格式，也没有阅读工具。这说明他们平时没有去做维护；事实上，该单位已经请专业的公司为他们做技术维护，但问题同样存在，因此真正的安全还是依靠自己的力量，大多基层单位技术人员储备严重不足。

图1 mysql数据库的日志文件

3.4 使用人员安全意识不高

基层网络数据应用单位部分工作人员的安全意识不高，经常使用互联网下载未知的软件，或者从不正规的网站上下载视频,不知不觉中将一些恶意木马病毒文件种植到自己的计算机中，这些行为都给黑客人员入侵计算机系统提供了机会，这次内网受到Wannacry病毒攻击，就是一个案例。还有网络道德及相关法律法规教育不强，安全教育不够，技术参数与设置太过简单，容易导致主要信息数据泄露。基层单位中计算机安全保密制度与规范，真实落实不多，大多是挂在墙上应对检查。

4 解决基层网络数据安全方法

今年的6月1日《中华人民共和国网络安全法》正式实施，要求网络运营者应当按照网络安全等级保护制度的要求，履行安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改等义务，因此基层网络数据安全问题解决也已迫在眉捷。

4.1 推行演练，提升技术能力

基层单位一般都会建立和健全计算机安全保密制度，还规定如何规范操作、加强管理、落实安全责任、堵塞泄密漏洞[等制度。但这些制度真正重视落实的非常少，因此要解决基层网络数据安全问题，基层单位必须转变观念，不能等网站被攻击、数据被破坏、窃取后再来解决问题，推行一年至少一次的数据安全演练，重点针对三方面的问题，即用户非正常登录访问网站关键数据、网络数据安全问题、文件非正常上传等问题的发现能力。如图2，一网站正常用户登录、输入验证码后留下的日志信息，基层技术人员要能读得懂。利用问题导向，通过演练，提升对系统的熟练程度，熟悉各系统的构架，以及相应的数据保存位置，从而进一步提升发现数据被非正常修改、批量下载，网页被非正常访问、文件非常正常上传（包括木马文件上传）的能力,及时补漏，提升基层技术人才的能力。

图2 某网站用户登录后的日志文件

4.2 尊重知识，建设安全并重

数据的安全，不仅指预防外部黑客窃取数据，还应有防止开发人员绕过合法应用，直接访问敏感数据；还有用户用网页跟踪软件抓取包数据，获取应用程序传输中的数据；另外数据库的运维人员，往往有最高范围权限，一般为DBA，能看到数据库中的所有敏感信息，不符合安全管理要求等问题。核心数据，要通过数据库透明加密功能，敏感数据保护，这些都需要在建设时就需考虑，实现权限控制和加密存储，无授权用户无法看到加密字段，也无法查看核心数据的明文。建设过程中考虑安全问题，另外低安全配置、弱口令、高危程序代码、权限宽泛等也需要在建设中解决，要留足够的时间进行安全测试。网络应用建设与网络数据安全并重考虑，而不是建成重大安全问题的应用。

4.3 创新技术，提高智能监测

计算机信息系统运行是否正常运行，大多基层单位技术人员通过查看系统日志的方式来发现，对于伪装成正常用户登录的日志，人工巡查难以发现。想要有效发现黑客人员入侵前后的留下的活动轨迹，必须提高智能监测。市场上有销售静态的日志管理系统，对于DDOS攻击的，还是缺少智能监测能力，没有办法应对与防范。因此加强技术的运用，提高对日志动态实现分析的能力，提高智能监测，提供有效的预警，目前运用大数据对服务器智能监测的研究较多，但仅仅利用日志的信息开发的监测能力还是非常有限，特别是现在IP资源不够用，相同IP不同用户访问会大量出现，因此想要提高智能监测，还要结合数据库、根据各自特点开发符合自己的智能监测系统。

4.4 利用等保，加强外部监督

等保是指信息安全等级保护的简称，是对信息和信息载体按照重要性等级分级别进行保护的一种工作，在中国、美国等很多国家都存在的一种信息安全领域的工作。基层网络信息单位信息系统也可参与等保测评，信息系统运营、使用单位及其主管部门按照国家相关法规和标准，自主确定信息系统的安全保护等级，自行组织实施安全保护，也可请当地的公安网安部门给予漏洞扫描，针对在主机安全、网络安全、数据安全、应用安全的技术要求部分，进行扫描。基层单位参与等保信息系统安全等级测评，验证信息系统是否满足相应安全保护等级的评估要求，加强外来监督，及时发现问题，是基层网络数据安全的又一保障。

5 总结

网络数据价值的不断提升，针对网络数据的安全威胁与日俱增，信息数据被精准用于电信诈骗等刑事犯罪活动，山东准大学生徐玉玉案是以生命的代价说明了数据被黑客窃取的严重后果，因此基层单位在数据建设应用的同时，要在人财物、机制等方面要保障相应的投入，确保网络数据的安全, 希望能对基层网络数据建设与应用提供参考。

[1]李广乾著.中国信息化建设的理论与政策研究.电子工业出版社，2016.

[2]安华金.和数据库漏洞扫描系统(DBScan).互联网上发布的数据，2016.

[3]邓琪豪.基于网络信息安全存在的问题及对策[J].科学与财富，2016.

[4]郭圣娥.浅谈计算机网络安全问题及其对策[J].网络空间安全，2016.

[5]李治欣，徐静珍.基层社区安全的计算机网络入侵检测改进[J].信息技术，2016.

[6]张永良，张智勤，吴鸿韬，董灵平，周冰.基于改进卷积神经网络的周界入侵检测方法[J].计算机科学，2017.

[7]段娟，辛阳，马宇威.基于Web应用的安全日志审计系统研究与设计[J].信息网络安全，2014.