汤勇 章昌军
计算机网络的安全问题往往被人们所忽视，他们认为网络建成后能够使用就行，对网络的维护和安全问题没有引起足够的重视和形成正确的概念。殊不知，计算机网络在建立后的主要工作任务就是安全维护。一个网络如果能够长期稳定运行，背后就一定有一个网络安全维护体系在支撑着，这包括多方面的因素，如网络技术人员管理、软件、硬件、网络保护等。
在安全问题愈来愈突出的“金财工程”网络中，为保证国库集中支付、预算编审、非税征管、国有资产管理、电子政务等应用能够顺利进行，我们必须对该网络安全有一个清醒的认识，以便及时解决突发的安全问题。下面就我们所了解的情况谈谈我市“金财工程”网络的安全现状以及需要采取的对策。
一、目前我市“金财工程”网络的安全现状
1、网络安全防护结构简单
我市“金财工程”网络是一个含有局域网、城域网的综合性大型网络。结构复杂，应用繁多，需要有一定的人力、物力、财力来维护。网络以财政中心机房为核心，通过局域网连接各业务科室、通过城域网连接各商业银行、局直单位、市本级预算单位。网络中心机房和单位、银行连接前均设立了硬件防火墙，并在网络中安装了网络版杀毒软件（网络拓扑见图一）。安全防护手段比较简单，不能有效的防止一些不安全威胁，只能靠技术人员在后台手工进行查漏补缺，工作效率低下。在数据安全存储方面，只有双机共享磁盘阵列柜一套方案，数据安全风险较大。
图一 常德市“金财工程”网络拓扑简图
2、防病毒能力弱
根据近期国内权威防病毒机构公布内容来看，目前网络中的病毒活动非常频繁，尤其是木马病毒，系统漏洞已成为病毒传播的主要渠道，病毒变种速度快，传播范围广。而我市“金财工程”网络的防毒措施非常简单，仅靠一套网络版的杀毒软件来控制病毒的感染和攻击。由于势单力薄，在网络中的计算机感染病毒的情况时有发生。并且受内部局域网的限制，不能实现实时升级病毒库，只能手动升级，这样给病毒造成了可乘之机。在“金财工程”网络中由于没有合适的手段和机制来预防通过U盘、移动硬盘、软盘、光盘等移动中间存储介质传播病毒，使网络版杀毒软件防不胜防，造成 “金财工程”网络中一些计算机在中毒后无法排除故障，只能重装系统。
3、防攻击能力差
我市“金财工程”网络中对外防御措施是在主干链路上部署了一些防火墙。网络中传输的数据都是明文传输，没有经过任何数据加密处理的，而且外界能通过防火墙所开放的端口来进行攻击网络内部的业务服务器和核心服务器设备。对内没有防御措施和安全限制，这样很容易造成内部网络遭受攻击后而瘫痪。同样受内部局域网的限制，网内各服务器不能实时打漏洞补丁，这给攻击行为埋下了严重隐患。
4、没有建立灾难备份机制
所谓灾难就是由于地震、飓风、火灾、恐怖袭击、战争以及病毒和黑客的严重攻击使核心系统和数据瘫痪和丢失。而灾难备份就是一种居安思危、未雨绸缪的机制和方法。它是指我市“金财工程”网络中的核心数据库在发生了灾难后，我们能否有能力可以在一定的时间内恢复“金财工程”中所有完整的核心数据。
目前，我市“金财工程”网络中还没有建立灾难备份机制，也没有相关的软硬件设备来实施这项工程，核心数据的保障完全依赖于我们的小型机和磁盘柜的可靠性和稳定性，虽然我们每天都进行手工的数据库逻辑备份，但是出现灾难后用它来恢复的不是完整的数据，只能说损失可能小一点，显然这不是我们所要的理想结果。
二、我市“金财工程”网络的安全解决对策
根据我市“金财工程”网络安全现状分析，加强现有网络的安全已迫在眉睫。针对以上问题，我们建议采取如下对策和方法：
1、完善“金财工程”网络拓扑结构
在现有的网络结构基础上进一步完善和优化，将不合理或容易引起的攻击的结构进行改进和加强。将城域网中不需要进入局域网中心的客户端，通过局部路由进行链接，最大限度的减少外部攻击的可能性。进一步规划、整理好网络IP地址，提高传输介质的传输能力，规范网络访问权限，将网络的路径尽量选择最短路径算法，使网上延迟时间少，信息流程短，传输速率高，各个节点间均可以直接建立数据链路，便于全网范围内的合法访问和资源共享。
2、加强防病毒能力
要加强“金财工程”网络的防病毒能力必须从两方面入手。
一是在硬件方面改善网络的防毒条件，在网络的对外主干链路上增加防毒墙设备，以减轻网络版杀毒软件的压力并与之互补，尽可能的将病毒消灭在主机被感染之前。二是在管理上从防毒、查毒、杀毒三方面下功夫，一方面防毒工作要做到警钟长鸣，常抓不懈，服务器和客户端操作系统应安装自动更新程序，修补漏洞。平时要打开防病毒软件，并及时更新病毒库，定期查毒。而备份工作也是不可忽视的，我们不但要做好服务器的数据备份，还要做好交换机、路由器的配置以及整个网络关键的冗余备份。另一方面要发现和追踪病毒来源，通过查毒应该能准确的发现计算机系统是否感染有病毒，准确查找出病毒的来源，并给出统计报告。查毒的方法有多种多样，不同的情况和场合有不同的应用，平时遇到的情况要多做总结，可用现有的设备做一些试验工作。再一方面从感染对象中清除病毒，恢复被病毒感染前的原始信息。当然这需要熟悉计算机的操作系统，运用各种杀毒方法和相关的软件。平时要多花精力多做操练，有备无患，才能从容不迫。来则能战，战则能胜。
3、加大防攻击力度
从图一的示图我们不难看出防攻击在我市“金财工程”网络中是安全上最薄弱的地方，可以说在这方面没有采取任何防范措施。针对这个随时可能“致命”的弱点，我们应该购置部署网络入侵检测系统和网络漏洞扫描系统。完全、实时的监测网络安全运行状况，它们是防火墙后面的第二道安全闸门，作用非常突出，在不影响网络性能的情况下能对网络进行监测，从而提供对内部攻击、外部攻击和误操作的实时保护。它不但可使系统管理员时刻了解网络系统（包括程序、文件和硬件设备等）的任何变更，还能给网络安全策略的制订提供指南。更为重要的一点是，它的管理、配置简单，从而使技术人员非常容易地掌握网络安全的动态信息。而且，入侵检测系统和漏洞扫描系统还可以根据网络威胁、系统构造和安全需求的改变而改变。入侵检测系统在发现入侵后，会及时作出响应，包括切断网络连接、记录事件和报警等，而漏洞扫描系统则可以事先就能发现网络或主机的漏洞并及时打上安全补丁。
入侵检测和漏洞扫描作为一种积极主动地安全防护技术，提供了对内部攻击、外部攻击和误操作的实时保护，在“金财工程”网络系统受到危害之前拦截和响应入侵。从网络安全立体纵深、多层次防御的角度出发，防攻击理应受到人们的高度重视，未来的防攻击系统将会结合其它网络管理软件，形成入侵检测、网络管理、网络监控三位一体的工具。强大的入侵检测软件的出现极大的方便了网络的管理，其实时报警为网络安全增加了又一道保障。尽管在技术上仍有许多未克服的问题，但正如攻击技术不断发展一样，防攻击也会不断更新、成熟。同时，网络安全需要纵深的、多样的防护。即使拥有当前最强大的入侵检测和漏洞扫描系统，如果不及时修补网络中的安全漏洞的话，安全也无从谈起。
另外很重要的一点就是进行数据加密，采用系统中心和客户端两端数字加密系统对“金财工程”网络中的国库集中支付、预算编审、非税征收、国有资产等应用进行加密，防止数据在传输过程中被窃取和进行篡改。
4、建立灾难备份机制
要建立灾难备份机制首先要在硬件上下功夫，否则那是纸上谈兵。需要购买一整套安全存储设备，在同城中建立热接管的互备中心，接管的时间可以达到即时，数据丢失为零，中心之间的距离在100公里以内。在此双中心内，可以提供一个高可用系统的体系设计，防范非区域性灾难的故障：如某些硬件的故障、区域性火灾等等。实质上实现了一个跨中心的高冗余系统设计。比如：如果系统的磁盘系统发生故障时无需启动灾难系统，可以自动热切换到同城另一个新的磁盘系统上，“金财工程”业务继续运行。
在跨城市、远距离之间的中心建立异步的灾难备份中心，比如在省厅，以防范区域性灾难。此两中心之间的距离可以是几百或几千公里以上，数据的复制技术是异步的，加上应用系统层面的自动化管理，系统的接管可以做到绝大多数的自动化，减少人为的操作错误，尤其是在灾难发生时，无法保证了解系统的技术人员一定可以到现场进行恢复操作。因此在灾难备份方案设计机实施中，是否可以做到极大化的系统操作自动化是一个非常重要的考量方面。另外制定常规的灾难恢复演练计划也是非常必要的。演练的频率、范围可以视“金财工程”网络的具体情况来定。一般一年要进行一次全面的业务、系统、网络、应用等层面的演练，以确保恢复流程的时效性、实效性和可行性，以及技术方案的正确性。
（作者单位：常德市财政局）
