人民法院网络架构安全体系建设的分析

◆许洁

人民法院网络架构安全体系建设的分析

◆许洁

（江苏领航服务外包有限公司 江苏 210031）

本文通过详细介绍人民法院五大网系的基础架构建设和网络通信安全及应对策略，对人民法院网络架构安全体系建设情况进行深入分析，并总结归纳了当前系统建设的问题，针对相应问题提出了下一步发展的建议，旨在对人民法院信息化安全建设贡献一份薄力。

人民法院五大网系；WAF；IDS；IPS；AIP

近年来，为提高人民法院办公办案效率，国家加强人民法院信息网络系统的建设和应用，逐步形成了以办公内网、法院专网、外部专网、互联网和涉密内网等人民法院五大网系为基础的全国法院网络体系。信息网络系统的推广提升法院办公办案效率的同时，网络信息的安全保障问题也面临着前所未有的考验。司法过程中的案件信息、行政信息、个人信息等数据泄露，将带来非常严重的社会影响，甚至会影响法治社会的建设进程。本文通过讨论人民法院信息系统网络基础设施架构的特点，分析人民法院对网络安全的需求，并进一步提出了人民法院信息系统网络安全的应用策略。

1 基础架构安全策略

基础架构体系的安全，也即物理环境的安全，是整个安全防护体系的基础。我们在架设网络时，一定要选择可靠易控的点位。除了要进行合理划区，从建设前期就要规划清晰点位布控以外，还要重点考虑机房物理安全、终端安全、物理链路的安全等问题。

（1）合理划区

在平面设计阶段，合理考虑涉密区、办公区、对外开放区的布设。涉密点位应充分满足相关的保密要求，有条件的法院，在设计阶段还可以考虑将审理委员会议室等涉密场所的墙体内隐藏布设金属壳体，将其设计为屏蔽箱体。而对公众开放的诉讼服务中心，随着“两个一站式”的深入推广，应合理布设无线接入点设施，既要做到全覆盖，又要减少过渡冗余带来的串扰。

（2）机房物理安全环境

机房位置要选择防潮、防水、抗震、抗风的环境，配备避雷装置、温湿度控制系统、防火材料及设施，还应增设电子门禁系统、全覆盖的监控系统，从物理层面进行访问控制；同时对主要的部位要增设报警系统，合理进行线缆隐藏等防盗、防破坏设计；布设必要的电磁防护措施，避免五大网系相互之间的串扰，并防止数据的泄露。

（3）终端保护

根据设备不同的用途，按照相关要求做到严格的物理防护。严格区分内外网设备，内网及涉密终端从物理层禁用USB等传输接口，涉密终端还要确保终端环境和配件的安全。曾有通过电源线从隔离的电脑中窃取数据的电力线载波通信案例，利用电线来传输数据和媒体信号，方式极其隐蔽[1]。因此，对于涉密终端，应严格评估并控制环境安全，进行全方位的物理隔离，比如采取安装红黑电源隔离插座、配备国家保密局颁发资质证书的信号干扰器等措施。

（4）物理链路保障

重要链路应有保活措施。根据庭审公开的要求，如无特殊情况的案件，均需在中国庭审公开网上进行案件审理直播，这就要求我们的科技法庭能满足不断电、不断网的要求。双路供电+UPS电池的组合可确保电源供应；选择两家不同的优质运营商作为主备份链路，确保不断网。

建设灾备机房，提升安全可靠性。一般情况下，综合考虑数据安全和建设成本，我们会在物理地域相近但不相同的两地建立两个相互独立运行的数据机房，主备机房具备基本等同的业务处理能力并通过高速链路实时同步数据，日常情况下可同时分担业务及管理系统的运行，并可切换运行[2]，而意外发生时则由主机房无缝切换至灾备机房，保持业务连续运行。

2 网络通信安全策略

网络信道往往是泄密的重要渠道，因此网络通信安全同样至关重要。当前全国司法审判信息资源库已逐步实现了案件、人事、财务、政务等数据的一体化，形成司法大数据知识库。司法大数据中包含了大量的个人信息、民商事信息甚至国家秘密，一旦泄露，后果不堪设想。我们既不能因噎废食，更不能坐以待毙。可采用如下三种技术手段提升网络通信安全：一是防火墙技术，二是系统漏洞检测及防范技术；三是入侵检测及防范技术。

（1）防火墙技术

防火墙技术是网络层面的防护，严格把控不同网络间的信息交互，为人民法院五大网系筑起第一道安全堡垒。针对不同的需求，采用硬件、软件以及软硬件结合的防火墙，实现不同信任域之间高可靠性和高安全性的数据传输。

在防火墙应用部署上，一般采用网络部署和分布式部署方式相结合的方式。整体架构采用分布式，将对应策略的防火墙部署在五大网系的边界和网络关键节点的主机、服务器等处，由安全策略管理服务器定义整体安全策略，并由分布域网络中的各防火墙端点来具体执行，从架构层面实现人民法院五大网系的安全控制，有效避免性能瓶颈和单点失效隐患，可灵活便捷地实现整体防护。在办公内网、法院专网和涉密内网的端点处，采用屏蔽子网型防火墙部署技术，使用两个包过滤路由器，直接构建被隔离子网的缓冲带，控制外部网络数据包进入子网，不得穿过屏蔽子网直接通信，采用多重过滤和隔离机制，将屏蔽子网设置成隔离区，可抵抗双向攻击。在外部专网和互联网的端点处，采用双穴堡垒主机型防火墙部署技术，用一台装有两块网卡的堡垒主机做防火墙，有利于留痕办公的系统日志维护。

针对防火墙的攻击防范应从多层次入手。硬件层面可采用ASCI、FPGA、NP或多核架构；软件层面采用分权分域管理、采用最小特权策略（按需开放端口等）、细粒度访问控制；系统层面采用非Windows系统（可考虑国产操作系统），减少对外提供的数据管理接口，严格按需开放API。

（2）系统漏洞检测及防范技术

使用漏洞扫描器，再通过主机、数据库、网络、WEB四层面的漏洞检测，使用图论、攻击树、可生存性等分析法，利用Nmap、NGS Squirrel、Satan、ISS Internet Scanner、Burp Suite等工具，全面分析系统漏洞，并在此基础上制定合理的防范攻击技术。

Web应用防火墙（WAF）技术，是从应用层对网络实施保护的策略。开放式Web应用程序安全项目OWASP TOP 10 2017中详细介绍了最新的应用安全漏洞及对应的防范措施。Web2.0架构中HTTP/HTTPS应用的安全威胁，越来越多地充斥在网络环境中，为了使人民法院网络更加安全地服务为民，应尽量靠近服务器端部署WAF。

（3）入侵检测及防范技术

入侵检测系统（IDS）是守护网络空间安全的雷达。一些黑客组织，善于应用高级可持续威胁攻击（APT），最终达到控制子系统、窃取情报等目的。攻击者通过精心制作木马病毒，利用看起来是健康安全的文件来实现木马攻击，或者直接利用合法网站的漏洞进行攻击。应综合考虑攻击系统的生成原理、传播机制、触发机制、隐藏手段以及破坏影响，通过主机、网络、其他等安全数据采集，利用统计、模式匹配、协议解析、数据关联等技术手段，分析并检测入侵信息，并及时作出响应处理。

入侵防御系统（IPS）是在检测发现网络入侵后，能自动丢弃入侵报文或者阻断攻击源[3]，从根本上避免攻击行为的保护策略。一般情况下，采用应用入侵防护（AIP），在网络链路上配置安全策略[4]，于应用服务器之前实现对网络服务器的安全保障。

3 问题及建议

（1）被动防御为主，智能程度亟待加强

当下，人民法院网络安全系统建立在被动防御架构基础上，对经验已知的攻击和威胁有效，但应对未知入侵攻击的能力不足。由于主动防御能力不足，虽然人民群众对“一站式”服务和公开司法的要求越来越高，为确保网络安全，法院系统的开放程度跟需求相比仍处于滞后状态。

（2）缺乏完善的顶层设计

由于缺乏完善整体规划，全国各级法院分开探索，内部工作平台和审判类业务百花齐放，拉动智慧司法前进的同时，也造成了互联互通的障碍。过多的API接口的暴露也加重网络信息安全的负担。建议最高人民法院加强顶层设计和规划，指导和完善法院网络安全建设。

（3）涉密内网和办公内网边界模糊

缺乏科学界定的网络划分，部分干警对所处理信息应归属网络认知不足，存在误用、混用网络现象，造成数据泄露。新建涉密网络、部署涉密应用的法院，应依据安全保密管理制度，落实涉密信息系统分级保护制度和国家电子政务内网相关标准规范要求，依据相关保密标准开展分级保护测评和安全防护整改工作。对涉密数据严格从基础设施、人员管理、网络安全等各层面进行严格把控。

（4）专业人才队伍需进一步强化

目前，既熟悉法院信息业务，又熟悉信息化专业知识的人才非常稀缺，人民法院信息化人才队伍相对薄弱。有的法院运维技术人员甚至管理人员非自有人力，人才管控处于被动，运维人员的安全防线处于薄弱环节。下一步应加强法院信息化及网络安全人才培养，为信息化建设持续发展提供有力支撑。

4 总结

目前人民法院信息系统主要是以被动防御体系为主建设的，下一步需要加强主动防御体系的建设及网络安全智能分析与反制技术，建议使用国产操作系统，加大探索量子密码、区块链等新兴技术的投入，从顶层统筹规划、指导建设，创建更加安全的网络环境。与此同时，还应重视人的因素，加强全员的网络安全教育，提升涉密人员的专业素养，从技术和管理双层面共同发力，让司法更加便捷、有效、安全地服务为民。

[1]GuriM，Zadov B，Bykhovsky D，et al. PowerHammer：Exfiltrating Data from Air-Gapped Computers through Power Lines[J]. IEEE Transactions on Information Forensics and Security，2018，PP（99）.

[2]张嵩. 云计算在人力资源社会保障多数据中心容灾业务中的设计[J]. 信息系统工程，2012（009）：33-35.

[3]李梦钰. 基于Snort的入侵防御系统的设计与实现[D]. 西安电子科技大学，2016.

[4]沈萍. 动态防御系统的研究与实现[D]. 电子科技大学，2006.