渔船渔港异地容灾备份中心网络安全及保护研究

虞嘉禄，倪晨瀚，徐硕，刘慧媛，孔淼

（1.上海市农业农村委员会，上海 200003；2.中国水产科学研究院渔业工程研究所，北京 100000）

渔船渔港异地容灾备份中心是建设海洋渔船通导与安全装备项目中的重要内容，项目由农业农村部渔业渔政管理局统筹规划，沿海11 个省（区、市）和大连、青岛、宁波、厦门4 个计划单列市渔业主管厅/局共同出资建设，系统主要实现了沿海地区渔船位置数据、渔港基础数据和渔政数据的集中备份、实时交换和统计分析功能。

在当前信息化技术不断发展，网络规模迅速增大的时代，不论是个人的学习，还是企业、机关、国家的发展都离不开网络系统，然而，随着互联网给我们生活带来高效与便捷的同时，网络攻击也越来越严重，各种网络攻击手段和新型网络攻击工具带来了更加严重的安全问题。面对如今较为严峻的网络安全环境，如果凭借的单一类型的网络安全设备，将难以满足系统的安全需求，各类安全设备产生的安全事件，彼此间存在着关联性弱，数据项数据格式不统一的情况，况且整个系统下的网络安全设备数据更加复杂繁多。在此背景之下，网络安全态势感知技术应运而生，通过此项技术，可以使安全管理人员能更简单、更全面掌握网络安全态势，从而提高网络安全防护能力[1]。

网络安全态势评估方法，目前较为常用的有以下三种：基于数学模型、基于知识推理和基于模式识别的方法[2]。具体方法有：层次化分析、马尔科夫模型、DS证据理论等[3-8]。陈秀真等人提出了一种基于多层次的网络安全威胁态势评估方法，格局网络主机及服务的重要性，来划分设定不同的权重，并逐步计算出服务及主机的态势威胁程度，据此进一步计算出整个网络的态势威胁程度[9]。

其中层次化分析的定量评价体系是指，将网络进行层次划分，结合资产信息、漏洞信息及攻击威胁对各层态势进行计算，然后通过公式将各层态势融合为整体网络的态势，以此达到对系统网络安全态势感知的目的。此体系能够较为充分地考虑影响网络的大部分因素，使得态势评估结果更加合理、准确，因此本章采用此体系对网络安全态势进行评估，以期达到对系统网络的全面性评估[10-16]。

本篇以渔船渔港异地容灾备份中心的网络保护需求为起点，对于大型、多复杂度的网络环境特性进行网络环境的全方位评估研究，目标是让安全管理工作人员进一步加强对网络环境的全面了解和理解。通过构建基于分层感知技术的网络态势评估，探查网络中存在的弱点及潜在风险，对网络攻击威胁程度进行量化，识别当前网络态势，为网络安全保护提供依据。

1 安全日志数据

渔船渔港异地容灾备份中心部署在中国水产科学研究院渔业工程研究所的容灾备份中心专用机房内，网络环境与基础物理环境方面依托所信息中心提供安全管理服务，而服务器及软件方面由软件开发团队提供运行维护支持。

本文收集2021 年期间网络安全数据采集防火墙、入侵检测系统、防病毒网关等安全设备的报警信息和日志信息，除此之外还收集了服务器、存储等设备的告警日志。根据信息安全技术-安全漏洞等级划分的导向，我们使用CNNVD 和CVE 等漏洞分类标准[17]来将先前收集的安全事件数据进行信息过滤和威胁等级的识别。在处理后，我们共找到了5000 多个安全事件数据，包括源IP 地址、目标IP 地址、源端口、目标端口、发生时间、事件类型以及威胁等级等信息。详细的提取信息如下表所示：

表1 规范化处理的报警含义表

根据攻击对业务系统造成的损失程度对攻击威胁等级进行划分[18]。例如获得计算机控制权限，安装恶意软件，执行有害代码等，会使业务系统受到严重损害，这种攻击等级相当高；那些试图获取系统内部信息的攻击，虽然不直接破坏主机系统，但成功采集了业务系统的敏感信息，因此被认为是中等；像网络扫描、获取网络信息等攻击，其对网络的冲击相对较小，所以其严重性被评定为较低，详情的威胁等级划分如下表所示：

表2 威胁等级划分

2 威胁等级量化

在多传感器信息融合过程中，权系数理论用于确定多个传感器的权值[19]，将权系数理论与攻击威胁等级划分有机结合以确定攻击威胁值。基于威胁等级越高，威胁值越大的原则，采用权系数分布函数，将威胁等级投射到(0,1]，以此达到攻击等级的量化，并通过对权系数函数离散化操作，得出权系数公式：

其中n 为攻击等级个数，i 表示攻击威胁等级由高到低的序号，即i=0，1，2 时分别代表高、中、低。利用权系数公式，我们只需要确定了威胁的等级就能计算出攻击的威胁值，这在一定程度上减少了主观性的依赖。本次采集数据的攻击类型和威胁因子如表3 所示。

表3 威胁类型和威胁因子

3 网络安全态势评估

3.1 层次化评估模型

通过分层感知技术，建立层次化网络安全评估模型，将网络划分为服务、主机、网络3 个层次。通过依次计算服务层、主机层的态势值，最终将各个主机的主机层态势融合为全网的态势值[20]。其模型如图1 所示：

图1 层次化网络安全态势感知

3.2 服务层态势

对服务态势产生重大影响的要素包括攻击威胁成分和攻击几率等，对于时间间隔Δt 内，第k 个主机上的第j 个服务的态势如下：

这个公式里，g 代表的是在指定时间范围内的所有攻击发生的次数，m 是用来显示第i 次攻击发生的可能性，而f 则是指代第i 次攻击所对应的攻击威胁因子值。

3.3 主机层态势

主机的态势由主机上运行的业务的状态及其在主机上的重要性决定，在时间窗口Δt 内，第k 台主机的态势值为：

在某段时间内，位于该主机的服务状态可以用向量Sk(t)=(sk1(t),sk2(t),…,skn (t)) 描绘，这里的n 代表该主机正在运行的服务总量。同时，主机上运行的服务的权重向量被定义为Vk(t)=(vk1,vk2,…,vkn)。服务权值为：

Suk(t)=(suk1,suk2,…,sukn)象征着在某一主机中应用服务用户数量的向量表达，Sf k(t)=(sfk1,sfk2,…,sfkn)则代表了该主机中每项服务被使用的向量。

3.4 网络层态势

网络层的态势是由网络内每个主机的态势以及它们在网络中所拥有的权重决定的，整个网络的态势为：

在公式中，主机的态势向量定义为 H(t)=(h1(t);h2(t),…,hm(t))，而主机的权值则被表示为 L(t)=(l1,l2,…,lm)。网络中拥有的主机数量是 m。

式中 ：m 为该网络中的主机数量，Hu(t)=(hu1,hu2,…,hum)为网络中各个主机用户数量的向量，Hf (t)=(h f1,h f2,…,h fm)为网络中各个主机使用频率的向量。

通过态势评估策略，可以准确计算出网络的安全状态及其演化状态。在网络遭遇威胁的时候，通过观察网络态势的变动曲线，管理人员能够即时掌握网络现状，使管理人员可以迅速且精准地找出威胁的源头，并及时采取有效措施以保障网络的安全性[21]。

3.5 评估结果

使依据2021 年某天的渔船渔港异地容灾备份中心部分流量数据，持续1000 分钟的观察时间被划分为100 个每个10 分钟的时间段进行试验。统计每个服务器的用户数和使用频率，从而决定每个服务器的权重，接下来将服务器的权重和服务器的态势进行合并，以计算出整个网络的运行态势。如图2 所示。

图2 主机层安全态势

图2 详细展示了当天遭受攻击的连续性情况，并记录下了两次较为鲜明的波动。因此，我们应该重点关注这些时间段主机的工作情况，定位并识别出那些异常的主机。网络态势图精确地呈现了这一天中的实际攻击事件，真实地反映了网络当天的运行情况。

4 安全防护策略

网络安全隐患会随着网络攻击方式的增加而增加，尽可能的对网络环境进行不断改善和管理方式不断优化，提前采取有效的防护措施，可以在一定程度上有效避免安全事件的发生，从而减少系统受到攻击的可能性及受到攻击时的损失，能更好地维护整体网络，保障系统的平稳运行。[22-26]。针对本次采集的攻击数据，对网络安全的保护提出以下建议：

4.1 Web 应用安全建议

（1）身份验证：管理页面采取强口令策略。系统登录验证口令具备一定的复杂度。常见的敏感帐号，如：root、admin、administrator 等，在系统安装完成后将其改名或禁用。

（2）敏感数据保护：敏感数据加密存储、加密传输。

（3）安全审计：发现非法访问、非法篡改、业务异常等异常行为时，对安全信息进行完整记录，包括其发生时间、攻击地址、攻击次数等信息。

4.2 操作系统安全建议

（1）密码策略：开发和管理操作系统安全的密码策略，采用高强度密码规则。

（2）文件系统策略：授予用户对指定目录的只读权限。除了授予访问权限的用户外，所有用户都拒绝访问。

（3）操作系统最小化：除去不重要的应用程序来减少可能的系统漏洞。

（4）记录和监控策略：定期审查监控系统的日志文件，并限制用户对系统日志文件的访问权限，保护系统日志文件的安全免受篡改，及日志记录配置文件的安全。

4.3 数据库安全建议

（1）用户策略：在配置数据库帐户时，确保该帐户具有应用系统的最低权限。任何额外的权限都可能成为潜在的攻击点。

（2）漏洞补丁策略：定期安装数据库厂商提供的漏洞补丁。

（3）配置策略：对数据库进行安全配置，在充分考虑对应用的影响后，尽可能开启数据库自身提供的安全设置将会极大降低被不法分子攻击的成功率。

（4）密码策略：配置高强度密码，杜绝弱口令或默认口令。

5 结论

本文以渔船渔港异地容灾备份中心不同安全检测设备产生的攻击日志和告警信息等数据为主要研究对象，对容灾备份中心网络安全进行分析研究。将分散的网络安全事件进行整合，化被动的防御模式为为主动感知威胁，由定性分析网络安全现状通过安全事件数据转为定量分析，评估网络安全态势现状，为威胁防护提供方法。采用层次化定量评估理论，借助网络安全态势的评估了解目前网络环境所面对的安全风险，并对这些潜在的危险和威胁的影响区域及其严重性进行深入评估，以协助管理人员呈现当前网络的安全情况，进而提供网络安全防护的建议，并针对网络安全防护展开研究。