某内部专网信息安全问题分析与对策研究

姚刚，齐玉东，崔嘉，乔勇军，董庆超

（1.海军航空大学岸防兵学院，烟台264001；2.海军航空大学作战勤务学院，烟台264001）

0 引言

某内部专网是依托互联网，借助互联网安全防护体系与设备建设起来的一个虚拟专用网，以传输处理单位的机密级（含）以下信息，因而内部专网担负着严峻的安全保密任务。内部专网至今已运行多年，一些当初不太明显的安全隐患日渐突出，因此有必要对其进行信息安全问题的分析与研究。

本文着重从三个方面进行研究：①内部专网的信息安全技术，包括虚拟专用网技术、数据加密技术、隔离技术、资源池技术、容灾备份技术等；②内部专网的物理安全，包括环境、设备、介质等；③内部专网的软件，包括操作系统、内部专用门户、邮件收发系统等。

1 某内部专网基本情况分析

本内部专网是建立在互联网上的虚拟专用网，运行着内部专用业务信息系统，从技术体系上与互联网保持一致或兼容，主要目的是能够充分利用互联网的成果（包括信息安全防护技术与设备），提高内部专网的技术水平，但紧跟而来的问题是不得不面对互联网日益突出的安全威胁。

本单位内部专网络由机关层、管理层、作业层及各层的局域网组成，各局域网借助互联网实现互联。各级配置数据库服务器、Web 应用服务器以及安全防护等设备，负责各自辖区内的内部专用业务信息存储、运行管理及服务。各局域网结构，一般采用层次结构，中心点在信息中心，根据单位建筑布局设立二、三级交换中心。

目前，该内部专网运行的主要业务包括WinWeb-Mail 邮件系统、专用门户及专用信息系统。

2 内部专网信息安全分析

2.1 主要安全技术及问题分析

本内部专网主要运用的信息安全技术包括：虚拟专用网技术、数据加密技术、隔离技术、资源池技术、容灾备份技术。

（1）虚拟专用网技术

虚拟专用网（Virtual Private Network，VPN），是依托公共开放的网络作为基本传输载体，使用数据加密和流量验证的方法来避免公用网络传输的保密信息被偷窥和删改，从而向终端使用者提供近似于私有网络（Private Network）性能的网络服务技术。

该内部专网采用了基于传统网络安全协议（IPSec）的VPN 技术，IPSec 的关键优势在于节点与节点之间是永久连接的。工作在网络层也使其与上层的软件应用无关，所有使用IP 协议的应用都可以利用它实现传输。然而，IPsec 中这一核心的设计也是它的弱点。虽然它提供了认证、授权和加密，但是隧道一旦建立，远程用户通常可以访问到服务器上的任何资源，这为不法分子获取或破坏机密信息、攻击服务器、注入恶意代码、利用通用网关接口（CGI）脚本执行非法任务等提供了可乘之机。另外，由于目前虚拟专用网技术标准还不够完善，因此不同厂商不想或者没有能力来遵守虚拟专用网技术标准，导致他们的虚拟专用网产品和解决方案并不总是互相兼容的，进而引起的问题就是内部专网的相关设备更新换代会非常麻烦，混合搭配甚至会引起技术难题，增加成本。

（2）数据加密技术

数据加密（Data Encryption）技术是指发送方将原始数据（Plain Text）利用加密钥匙（Encryption Key）及加密函数转换，成为一堆乱码即密文（Cipher Text），而另一方则将此密文通过解密算法、解密钥匙（Decryption Key）恢复成原文。

内部专网所有设备均采用主管部门批准的密码方案，在IP 网上构建保密的虚拟专网，为业务应用提供安全的网络传输平台，确保数据传输过程中的机密性和完整性，防止外部非授权用户的非法进入，防止从网络传输平台引入的非法接入、篡改、窃听、重放等攻击。但即便如此，也难以根除它与生俱来的弊端，即无论是密码算法，还是密码技术，一旦硬件固定，那技术算法也就相应的固定，那它就存在被攻破的风险。但此类问题只要加强管理，出现风险的概率就会大大降低。

（3）隔离技术

网络隔离是指把两个及以上可路由网络的直接连接断开，采用不可路由的协议和专用隔离设备进行信息交流而实现隔离，以保证内部网络的安全，避免信息泄漏。

内部专网所采用的网络隔离设备是安全隔离网闸属于第四代的隔离技术。网闸通过使用电路的互斥开关以及自有协议实现内外部网络分时访问临时缓存器的功能，从而保证内网、外网在无数据交换时，完全断开。但始终无法保证两者完全隔离，即通过内外网对隔离区的分时访问，一方的数据包最后还是会进入到另一方的网络中，那么入侵与攻击就存在了进入的路径。

（4）资源池技术

资源池是指云计算中心所涉及到的各种硬件和软件的集合，就是利用虚拟化技术，实现服务器、网络、存储等基础设施资源的抽象，使其成为一个个可以被灵活生成、调度、管理的基础资源单位。按其类型可分为计算资源、存储资源和网络资源。

但由于当初建设时的技术限制，导致留下了一个问题：计算资源池与存储资源池共享一个存储空间。这本身是云平台的一个特性——信息资源共享。但随着内部专网的规模不断扩大，终端用户日趋庞大，产生了越来越多的数据需要存储。因为资源共享的缘故，存储资源不断增多，那么势必就会导致计算资源的减少，进而导致的结果就是数据的处理能力大大下降，极大地降低了工作效率，违背了云平台建设的初衷。

（5）容灾备份技术

容灾是为了在遭遇灾害时能保证信息系统正常运行，帮助企业实现业务连续性的目标，备份是为了应对灾难来临时造成的数据丢失问题。受限于目前的单位体制，只有一个信息中心，导致内部专网产生的所有数据（包括用户信息、物资信息等）都存放在内部专门的服务器上，其产生的问题自然不言而喻。一旦，内部服务器的数据被干扰、阻断、破坏，都会导致整个网络性能的不稳定，甚至是无法运行。更为严重的是，一旦内部专部的数据被窃取，其产生的后果也是无法想象的。但目前，内部专网还处于持续建设阶段，产生的数据还不多，服务器的性能也比较稳定，导致问题可能还不是特别明显。

2.2 物理的安全隐患分析

（1）环境的安全隐患

环境安全是指对整个网络所在环境的安全防护。内部专网存在部分节点不经常使用，导致环境方面的安全隐患比较突出：节点机房环境恶劣；有些安全防护设备配置不齐全、摆放随意，配置的安全防护设备有的还没有开机使用；防火措施不到位或者防火器材不足；主机损坏后，也无人问津，没有及时的修理或者销毁。

（2）设备的安全隐患

为了尽可能削减此类安全风险，内部专网选购了以下信息安全设备：网络信息安全隔离网闸、多功能安全网关、网络漏洞扫描系统、网络恶意代码监控系统台、密码设备。

网闸利用隔离与交换控制单元阻断用户业务连接，只完成数据的交换。

内部专网使用的网关并非专用网关，使用的是互联网的网关，但无疑其是一类组合类网关。此类网关利用复杂的过滤器提供十分坚实的访问控制，保护内网不被非法的外网用户访问的作用是显著的。

网络漏洞扫描系统及网络恶意代码监控系统台须依赖其中的检测分析算法和漏洞、恶意代码数据库，故都必须及时地安装补丁。

当前，密码设备使用数据通信科学技术研究所研制的JJP901F 百兆IP 密码机和JJP904C 桌面型密码机。基本密钥的更换周期一般为一年，暂时采取人为方式更换。

（3）介质的安全隐患

介质安全主要是为了保证存放在媒体上的信息安全。包括媒体的防盗；媒体的防毁，如防霉和防砸等。

2.3 系统软件的安全威胁研究

软件安全通常是指操作系统、应用程序的安全。软件安全威胁主要由软件设计中的疏忽和不按软件工程的设计要求产生。

（1）测试环境及工具介绍

为了全面地去分析其中的漏洞，采用了模拟黑客攻击的方式对测试环境进行了扫描分析，按照以下步骤进行：配置攻击环境-踩点-扫描-攻击，利用Xscan、SSS、流光等工具进行模拟测试。

（2）威胁分析及解决方案

综合所有的测试结果，共得到主机开放了17 个存在风险的端口或服务，其中安全提示20 个，安全警告6个，安全漏洞14 个，跨站点脚本攻击项目11 个。

3 内部专网改进对策建议

3.1 网络安全策略

（1）VLAN 的重新划分

随着内部专网与单位建设的不断推进，目前的局域网已经存在不符合需求的情况：一些主机长期无人使用；一些局域网内的主机未进行合理配置，导致彼此信息共享、管理比较混乱。

为保证各分区内的自由通信和分区之间的受控通信，同时隔离各种已知的网络攻击行为和非法入侵企图，针对内部专网的使用情况，尤其是面对着日趋复杂的业务需求，可以考虑将各局域网络及业务子网服务区重新划分VLAN，内部区为重新划分区域，按照服务器和终端计算机划分为内部服务器区和内部终端区，内部业务终端可进一步按照工作区域、密级或者业务需求进行再划分。

图1

（2）局域网络策略

各级节点单位局域网是位于监控区内的业务工作计算机网络，按照当前的要求，所有需要访问专网的终端，都必须依次通过UTM、密码机，接入互联网。各终端发送的数据经过密码机的加密，传输到互联网上；来自互联网的信息经过密码设备的解密，传输到内网上，如图2 所示。

图2

如果需要单位实现向上的网络服务和数据备份，并且于其他网络隔离。可将其网络分为3 个安全域，分别为过渡区（用以在专网上提供内部外部连接服务）、内部区（仅在内部提供服务）、管理区（对安全防护设备、网络设备以及身份认证系统等进行集中管理）。安全区是一个逻辑区域，各个安全区内部可继续根据实际连接需求不同，进一步划分子区域，以便制定具体的IP 访问控制策略，如：内部区可按服务器和终端计算机划分为内部服务器区和内部终端区。

（3）网络设备的应用配置

在某单位内部专网中，首先是利用三层交换机的VLAN 功能，根据业务划分将网络划分为多个VLAN，这些VLAN 通过交换机的路由器功能实现路由。划分VLAN 在网络安全方面的主要目的和作用是隔离网络广播信息。

（4）网络入侵检测

随着内部专网的逐步开发和应用，网络规模正在不断扩大，内部专网的用户也会不断增多。各单位都应该根据实际需要配置基于主机的入侵检测系统（HIDS）或者基于网络的入侵监测系统（NIDS）。IDS 可对网络流量进行实时监控，一旦发现可疑情况，会及时报警或者采取基于策略的反应措施，不仅对外部非法用户、内部恶意用户进行网络攻击或渗透时进行异常报警，而且可对内部无意用户过多占用网络流量进行限流等措施以保证网络的高效顺畅。

若网络布局小（如单机）且对传输速率要求不高的情况下，可用统一威胁管理系统（UTM）代替防火墙、IDS 行使相应职能。

（5）恶意代码防护

针对前面提出的恶意代码防护设备的缺陷，建议配备更加专业的网络恶意代码设备，或者是能够提供更多的杀毒软件选择，尤其是针对木马的查杀软件，以便丰富恶意代码库、增强对各种恶意代码的检测，从而减少恶意代码攻击事件的发生以及提高业务工作的效率。

（6）内网安全管理系统

对信息安全的威胁更多的是来自机构内部（也就是内部网络）。除了通过入侵检测系统，内部专网还配备了内网安全管理系统。通过安装使用内网安全管理系统，实现内部网络的安全管理。既对个人计算机（包括笔记本电脑）关键系统资源的运行状况、监控以及审计的集中管理，又对计算机外部接口实现“禁用与允许”的集中控制与审计。

3.2 应用安全策略

（1）统一的身份认证

统一身份认证由于担负着整个业务系统的安全防护职责，因此它必须有技术手段上的可靠保证。建议使用或进一步加强以下一些技术或手段作为保证：

①通过统一的用户管理，保证统一身份认证业务的顺利运行；

②避免用户的密码在多个应用上储存和交换；

③利用单向加密技术保护用户的密码；

④通过服务器证书，在传输层使用HTTPS 避免传输过程泄密；

⑤对于统一配发的USB Key，必须对每名用户进行身份认证之后，才能享受到内部专网的资源服务。

（2）统一的授权管理

授权的管理是应用安全的重要组成部分，应用系统各自为各自的用户授权，明显不符合统一的业务需求，但过于集中的授权，易于出现超级管理员这样权限过大的角色，而且单一的管理员也无法很好地处理各类应用的授权需要。因此由安全策略中的精准控权原则建议，统一授权管理使用以下一些技术手段：

①统一授权，保证不同用户对应用访问的权限可以集中控制。

②根据实际工作需求，分级授权管理，避免权限过大管理员的出现，同时也便于工作责任落实到人。

③做好审计工作，利用系统审计日志，确保事后审计机制。

（3）应用软件管理

应用系统软件的管理是保证内部专网安全高效的关键，故从操作系统到应用软件的选取都至关重要，根据前面提到的系统软件安全威胁现状，建议采取或加强以下技术手段保护内部专网的平稳运行：

①各应用系统软件应有备份，并进行正确版本管理，在系统故障时能够尽快恢复；

②处于过渡区或者为内外网提供信息服务的服务器应与专网信息服务器分设；

③用户处理文电或其他业务时，要主动或由应用系统强制进行签名验证、密级标识等;

④各种应用应具有完备的日志；

⑤提供信息服务的Web 服务器应避免可利用脚本的出现，同时提供网页防篡改措施，为其他合法用户的身份信息安全提供保证。

3.3 数据安全策略

为了维护内部专网的信息安全，减小失泄密隐患的发生概率，特提出如下的数据安全策略。

（1）数据的访问安全

根据数据存储方式的不同，数据的访问安全主要分三方面，分别是：

①在访问数据库时，综合安全策略以及之前应用安全的经验，建议考虑以下安全措施：严格的数据库用户管理；最小化的数据库访问授权；数据库的连接及访问字符串合法安全；

②对目录的访问控制方式使用的是访问控制列表的方式（ACL），但具体的安全策略与数据库访问类似；

③对于单独的文件访问，尤其是基于Web 的应用，建议考虑到：操作系统、应用软件、Web 容器访问文件时，对其实际的访问过程进行安全性控制，避免被不法分子利用以致产生不利后果（例如本地cookie 的调用）。

（2）数据的存储安全

数据的存储安全，建议考虑到以下几个方面：涉密信息的存储、用户密码的存储、密钥的存储及技术文档、保密介质的管理。

（3）数据的传输安全

针对这点，有一点建议需要考虑：只要是远距离传输机密数据，不管是真正的跨网段，还是只是局域网内部传输，均须通过密码设备进行加密传输。

（4）数据的备份容灾

考虑结合当前的实际情况，在各个局域网内部以及专网之间建立互相的容灾备份。备份不是简简单单的重复，应该充分利用重复数据删除技术、数据镜像技术、数据快照技术、持续数据保护技术等技术实现备份。

3.4 管理安全策略

安全管理人员要落实好制定的规章制度，每日安全审计网络和系统运行情况，每季度组织检测评估本级网络的安全性，按照时限将审计报告、安全日志等保存妥当。

4 结语

本文从实际工作需要出发，对某内部专网的基本情况进行全面深入的了解，并从技术、硬件、软件以及运行情况，分析了当前内部专网存在的安全隐患与威胁，并针对内部专网的安全现状，提出了内部专网的改进对策和意见。