1、动力环境集中监控系统安全分层控制浅析丁锡松（中国联通台州分公司运维部动力中心 318000）摘要：本文作者结合自己在中国联通台州分公司运维部动力中心 3 年多的动力环境集中监控系统维护工作中的点滴经验，从涉及动力监控系统安全的 6 个方面的主要因素进行分析，继之详细论述了监控系统安全分层控制方案的内容，简要分析动力监控系统安全的重要性及如何保证监控系统安全性，进而对各层面的安全采取不同的技术措施。关键词：监控 安全 分层控制目前，动力环境集中监控系统（以下简称：动力监控系统）已经成为整个电信行业维护管理人员不可缺少的先进维护手段。随着台州地区移动通信业务的迅猛发展，基站数目不断增加，网络规模日
2、益扩大，基站的动力监控系统成为工程建设初期就必须考虑的方面，其重要性不言而喻。然而，在动力监控系统的应用过程中，我们将大部分的注意力都集中在动力监控系统硬件的性能和软件的功能上，往往忽视了监控系统数据的安全问题。实际上，动力随着建设规模日益扩大，更多的设备和仪器并网运行，系统变得庞大而复杂，任何一个节点的故障都会给监控系统带来严重的隐患。目前的监控系统采用服务器客户机的运行模式，客户机上不存放任何数据，它的数据均来自服务器，因此，当业务台网络或服务器运行不正常时，业务台会受到影响或不能运行。更为严重的是，如果服务器的数据存储硬件（硬盘、内存等）损坏，将会使整个监控系统的所有数据丢失，多年苦心维
3、护的监控系统完全崩溃。因此，动力监控系统安全是我们需要面对的问题，如何建立完善的网络安全方案、保护核心资源是摆在我们面前的一大课题。1、监控系统安全的主要威胁影响监控安全的因素很多，既有自然因素，也有人为因素，其中人为因素危害较大，归结起来，主要有六个方面构成对监控系统网络的威胁：1.1、 人为失误一些无意的行为，如：丢失口令、非法操作、资源访问控制不合理、管理员安全配置不当以及疏忽大意允许不应进入网络的人登陆等，都会对监控系统造成极大的安全隐患。1.2、 病毒感染从简单的引导型病毒、宏病毒，到更具破坏性的 CIH、爱虫、冲击波等“蠕虫”病毒，病毒一直是计算机系统安全最直接的威胁，网络更是为病
4、毒提供了迅速传播的途径，病毒很容易地通过代理服务器以软件下载、邮件接收等方式进入网络，然后对网络进行攻击，造成很大的损失，人们甚至到了谈“毒”变色的程度。1.3、 来自网络外部的攻击这是指来自局域网外部的恶意的攻击，例如：有选择地破坏网络信息的有效性和完整性；伪装为合法用户进入网络并占用大量资源；修改网络数据、窃取、破译机密信息、破坏软件执行；在中间站点拦截和读取绝密信息等。1.4、 来自网络内部的攻击在局域网内部，一些非法用户冒用合法用户的口令以合法身份登陆网站后，查看数据信息，修改信息内容及破坏应用系统的运行。或者一部分局域网电脑在中了病毒之后，成为病毒的“帮凶” ，不断对系统发动蠕虫攻击
5、，造成网络瘫痪。1.5、 系统的漏洞及“后门”操作系统及网络软件不可能是百分之百的无缺陷、无漏洞的。另外，编程人员为自便而在软件中留有“后门” ，一旦“漏洞”及“后门”为外人所知，就会成为整个网络系统受攻击的首选目标和薄弱环节。大部分的黑客入侵网络事件就是由系统的“漏洞”和“后门”所造成的。1.6、 隐私及机密资料的存储和传输机密资料存储在网络系统内，当系统受到攻击时，如不采取措施，很容易被搜集而造成泄密。同样，机密资料在传输过程中，由于要经过多个外节点，且难以查证，在任何中介服务器均可以读取。因而，隐私和机密资料的存储及传输也是威胁网络安全的一个重要方面。由于网络本身所带来的诸多不安全因素，
6、使得网络使用者必须采用相应的网络安全技术和安全控制体系来堵塞安全漏洞以保证信息的安全。2、安全分层控制方案在网络安全方面，可以采用多种技术从不同角度来保证住处的安全。然而，单纯的防护技术可能导致系统安全的盲目性，这种盲目是对系统的某个或某些方面的安全采取了安全措施而对其它方面有所忽视。因而，在网络安全上，我们采用分层控制方案，将整个网络分为外部网络传输控制层、内外网间访问控制层、内部网络访问控制层、操作系统及应用软件层和数据存储层，进而对各层的安全采取不同的技术措施。2.1、外部网络传输控制层外部网络是指局域网路由器和防火墙之外的公用网。当前网络技术发展迅速，网络四通八达，网上黑客手段多种多样
7、，为了保证安全，可以从多个方面采取措施，保证网络安全，目前比较流行和常见的方法有以下四种：2.1.1、虚拟专网（VPN）技术：对于从专线连接的外部网络用户，采用虚拟专网（VPN）技术，它使架设于公众网络上的私有网络使用信道协议及相关的安全程序进行保密，还可以采用点对点协议、加密后送出资料及加密收发两端网络位置等措施使虚拟专网更加可靠。2.1.2、身份认证技术：对于拨号入网的用户进行严格控制，在拨号线路上加装保密机，使无保密机的用户无法拨通；通过用户名和口令认真检查用户身份；利用回拨技术再次确认和限制非法用户的入侵。2.1.3、加密技术：在外部网络的数据传输过程中，采用密码技术对信息加密是最常用
8、的安全保护手段。目前广泛使用的有对称算法和非对称算法两类加密算法，两种方法结合使用，加上数字签名、数字时间戳、数字水印及数字证书等技术，可以使通信安全得到保证。2.1.4、物理隔离：共用网及因特网黑客日益猖獗，加上我国使用计算机及网络设备的软硬件产品大多数是进口的，安全上没有很好的保证，因而将外部网络中的因特网与公司内部的专用网络如运维网等实现物理隔离，使之没有任何连接，可以使局域与外部专用网络连接时，局域网在安全上较为稳妥。2.2、内外网间访问控制层在内部局域网和外部网络之间，可以采用以下技术来对外部和内部网络间的访问进行控制：2.2.1、防火墙：防火墙是硬件和软件的组合，它在内部网和外部网
9、间建立起一个安全网关，过滤经过的数据包，决定是否将它们转送到目的地。它能够控制网络进出的信息流向，提供网络使用状况和流量的审计、隐藏内部 IP 地址及网络结构的细节。2.2.2、防毒网关：防火墙无法防止病毒的传播，因而需要安装基于 Internet 网关的防毒软件，具体可以安装到代理服务器上，以防止 Internet 病毒及 Java 程序对系统的破坏。2.2.3、网络地址转换技术：当内部主机与外部相连时，使用同一 IP 地址；相反，外部网络与内部主机连接时，必须通过网关映射到内部主机上。它使外部看不到内部网络，从而隐藏内部网络，达到保密作用，同时，它还可能解决 IP 地址的不足。2.2.4、
10、代理服务及路由器：可以根据设置地址、服务、内容等要素来控制用的访问，代理服务器及路由器起访问的中介作用，使内部网络和外部网络间不能直接访问，从而保证内部关键信息的安全。2.2.5、安全扫描：可以通过各种安全扫描软件对系统进行检测与分析，迅速找到安全漏洞并加以修复。目前有多种软件可以对设备进行扫描，检查它们的弱点并生成报表。2.2.6、入侵检测：可以采用一些安全产品对网络上流动的数据包进行检查，识别非法入侵入其它可疑行为，并给予及时的响应及防护。目前，台州联通动力监控系统内外网络的接口为一台 TP-Link 调制解调器，可以远程登陆动力监控系统查看数据。在安全控制措施方面，我们首先采取物理隔离，
11、平时关闭调制解调器电源，拔除电话线；另外，对拨入号码保密，只有确有拨号要求并经过领导同意的人员才知道号码，并在连接断开后立即通知机房将调制解调器关闭。2.3、内部网访问控制层在局域网内部，非法用户的登陆和对数据的非法修改更加不易查出。当用户安全意识差、口令选择或保存不慎、帐号转借和共享都会对网络安全造成极大的威胁，从内部网访问控制层进行安全防护，可采取五种措施。2.3.1、用户的身份认证：用户入网访问控制分为三步，即用户名的验证：用户口令的验证；用户帐号的验证。用户口令是入网的关键，必须经过加密，用户还可采用每次登陆更换一个密码的方法，另外还可以使用智能卡来验证用户身份。同时，还可将用户与所用
12、的计算机联系起来，使用户用固定的计算机上网，以减少用户的流动性，加强管理。2.3.2、权限控制：这是针对网络非法操作提出的一种安全保护措施。用户和用户组被赋予一定的权限，网络控制用户和用户组可以访问哪些目录、子目录、文件和其它资料及用户可执行的操作。2.3.3、加密技术：为存放秘密信息的服务器加装密码机，对网上传输的秘密信息加密，以实现秘密数据的安全传输。2.3.4、客户端安全防护：首先，应切断病毒传播的途径，降低感染病毒的风险；其次，使用的浏览器必须确保符合安全标准，使客户端的工作站得安全保证。2.3.5、安全检测：使用安全检测和扫描软件对网络设备和客户端工作站进行检测和分析，查找安全漏洞并
13、加以修复，使用防病毒软件进行病毒查找和杀毒工作。在内部网访问控制层方面，台州联通采用的是多种控制措施相结合的手段。并且，将所有动力监控计算机纳入 Windows 域中，由服务器作为域控制器，备份服务器作为备份域控制器，其他应用计算机作为域的成员，建立统一的账户和密码。使用 Windows 域的优势在于，如果某台计算机不是域的成员，那么，即使这台计算机与动力监控系统处于同一个局域网内，也无法访问 Windows 域内的计算机，进一步加强了监控系统的安全性。2.4、操作系统及应用软件层操作系统是整个系统工作的基础，也是系统安全的基础，因而必须采取措施保证操作系统平台的安全。安全措施主要包括：采用安
14、全性较高的系统，对系统文件加密，操作系统防病毒、系统漏洞及入侵检测等。2.4.1、采用安全性较高的系统：美国国防部技术标准把操作系统安全等级分为 D1、C1、C2、B1 、B2、B3、A 级，安全等级由低到高，目前主要的操作系统等级分为 C2 级。在使用 C2 级系统时，应尽量使用C2 级的安全措施及功能，对操作系统进行安全配置。在极端重要的系统中，应采用 B 级操作系统。2.4.2、加密技术：对操作系统中某些重要的文件进行加密，防止非法出版的读取及修改。2.4.3、病毒的防范：在主机上安装防病毒软件，对病毒进行定时或实时的病毒扫描及检测，对防病毒软件进行及时升级以发现和杀灭新型的病毒。2.4
15、.4、安全扫描：通过对主机进行一系列设置和扫描，对系统的各个环节提供可靠的分析结果，为系统管理员提供可靠性和安全性分析报告，对系统进行及时升级以弥补漏洞及关闭“后门” 。2.4.5、入侵检测：安装基于主机的入侵检测系统，可检查操作系统日志和其它系统特征，判断入侵事件，在非法修改系统时自动做出反应，对已入侵的访问和试图入侵的访问进行跟踪记录，并及时通知系统管理员，使管理员可对网络的各种活动进行实时监视。2.5、数据存储层数据库安全是信息安全的重要内容之一。数据库安全日益成为用户关心的问题，目前仍有很多技术问题待突破。数据存储在服务器或加密终端上，数据存储的安全性是系统安全性的重要组成部分。对数据
16、的安全保护措施可以采用以下几种方式：2.5.1、使用较安全的数据库系统：目前的大多数数据库系统是基于 C2 安全等级的。使用时，应尽量使用 C2 级安全措施及功能。在重要的系统中，在 B 级操作系统的基础上采用 B 级数据库系统。2.5.2、加密技术：对于要求保密的数据，采用加密的方法进行存储。加密存储可以通过连接在服务器或终端机上的加密机完成。2.5.3、数据库安全扫描：采用安全扫描软件对数据库进行扫描和检测，为数据库管理系统找出存在的漏洞，以便及时升级系统、弥补漏洞。2.5.4、存储介质的安全：可以通过磁盘镜像，磁盘双工、RAID 技术等数据维护技术，再配合磁盘备份、光盘备份等技术来做到不
17、会因某个硬盘的损坏而导致系统崩溃、数据丢失等灾难发生。以下简要介绍几种针对 MS SQL2000 的有效的安全控制措施：1. 安装最新的服务包。升级到 SQL Server 2000 SP3a。同时安装所有已发布的安全更新。 2. 使用 Microsoft 基线安全性分析器（MBSA）来评估服务器的安全性。3. 在任何可能的时候，都应该对指向 SQL Server 的连接要求 Windows 身份验证模式。它通过限制对 Windows 用户和域用户帐户的连接，保护 SQL Server 免受大部分 Internet 工具的侵害，4. 隔离您的服务器并定期备份，同时不要只在一台计算机上存放备份。
18、5. sa 帐户应该总拥有一个强健的密码，即使在配置为要求 Windows 身份验证的服务器上也该如此。6. 限制 SQL Server 服务的权限。7. 在防火墙上禁用 SQL Server 端口。8. NTFS 是最适合安装 SQL Server 的文件系统。它比 FAT文件系统更稳定且更容易恢复。而且它还包括一些安全选项，在允许的情况下，应该将文件系统转化为 NTFS。9. 删除或保护旧的安装文件。10. 审核指向 SQL Server 的连接。同时，在可能的情况下，不要将这些日志和数据文件保存在同一个硬盘上。无论我们如何强调数据库的重要性都不过分，所以，在实际的维护和操作过程中，应该尽
19、可能多的使用多种安全控制措施相结合的方法，更加全面有方法效的保护监控系统数据的安全性。最后，整个动力监控系统的电力保障也是与系统安全紧密相关的，系统掉电和电力不稳定将会严重影响监控系统对数据的采集和处理过程，干扰值班人员对故障的判断和处理。稳定、可靠、纯净的电力才是整个监控系统的安全基础。3、总结动力监控系统安全需要从多方面加以考虑，特别需要研究整个网络的安全策略，并在安全策略的指导下进行整体的安全建设。这里给出了一个分层安全控制方案，每一层采用多种技术手段进行实现，作为监控系统维护的参考。安全问题十分复杂，而无论如何复杂先进的系统也需要人的干预和操作，不断提高系统管理人员的综合素质和安全管理
20、意识，才能建立合适的安全策略、采用对应的安全技术、选择正确的软硬件工具，保证系统的信息安全。参考文献：高春艳 李艳 谷伟东 Visual Basic 数据库开发关键技术与实例应用 人民邮电出版社 2004 年 5 月第一版 245-277王亚平 主编 数据库系统工程师教程 清华大学出版社 2004 年 7 月第一版 308-315邱玉辉 总编 电脑报 2002 年合订本 西南师范大学出版社 2003 年 1 月第一版 203王珊 陈虹 数据库系统原理教程 清华大学出版社 1998 年 7 月第一版 145-182邱玉辉 总编 电脑报 2005 年合订本 西南师范大学出版社 2006 年 1 月第一版下册 107 155 191 287作者简介：丁锡松，男，1978 年 4 月出生，于 2001 年 6 月毕业于武汉理工大学材料科学与工程系，学士学位，目前就 职于中国联通台州分公司， 动力机务员职务，助理工程师职称。通信地址：浙江省台州市椒江区白云山中路 50 号中国联通台州分公司运维部动力中心 邮编 318000 联系电话 13326074178
