人社领域信息安全与架构设计

摘 要本文分析了人社信息网络安全发展的历程和现状，讨论了“互联网+人社”公共服务的背景下，人社领域信息安全面临的形势和遇到的挑战，从网络架构设计、边界防护、通信加密、代码审核、日志监控和密码管理等方面，分别给出了具体措施和解决方案，达到了既提供高效便捷的公共服务，又有效防护人社敏感信息的目的。

【关键词】互联网+人社 网络架构 通信加密 代码审核 密码管理

1 引言

随着信息网络技术迅猛发展和移动智能终端广泛普及，移动互联网以其泛在、连接、智能、普惠等突出优势，有力推动了互联网和电子政务深度融合，已经成为创新发展新领域、公共服务新平台、信息分享新渠道。国家人力资源和社会保障部在“金保二期”的基础上提出并制定了 “互联网+人社”的口号和行动计划，是加快人力资源社会保障领域简政放权、放管结合、优化服务改革的重要举措，对于增强人力资源社会保障工作效能，提升公共服务水平和能力，具有重要意义。同时，随着信息技术的日新月异和“互联网+人社”业务快速发展，人社部门不得不去面对日益严峻网络安全问题，网络黑客和病毒的存在使得网络数据信息的安全得不到有效的保障，给整个社会或个人带来较大损失。网络安全成为悬在“互联网+人社”头上的达摩克利斯之剑，迫切需要通过合理的架构设计和防御策略保证网络系统的安全，使互联网技术能够更好的应用到人社领域。

2 人社网络安全现状和面临的安全问题

2.1 从专网向互联网模式转变

自人社金保专网建立以来，经过金保一期、二期的不断升级，业务网络发展到了覆盖全国、联通城乡的多级分层网络，趋于业务覆盖面、信息安全和稳定的考虑，网络和业务全部基于专网、专线、专用的架构，在这一封闭的结构中，网络安全得到基本保证。

随着社会和政策业务的不断发展，这种架构显现了越来越多的局限性，因此在金保专网的基础上，逐步推进互联网应用，业务向互联网模式转变。但是由于前期的深度封闭化运行，人社业务在网络安全方面明显落后于互联网开放水平，在由专网运行向互联网转变的过程中出现了较為棘手的问题。2016年度，人社领域在互联网应用集中爆发了诸如业务逻辑漏洞、数据泄漏、网络渗透等一系列安全事件。

2.2 目前面临的网络安全问题分析

2.2.1 网络基础结构安全性脆弱，容易被渗透

人社互联网应用布署完全基于原有专网结构改造，仅仅在原有基础上增加业务区域，整体网络结构缺乏全面性的网络安全考虑和设计。网络结构模型通透、简单，安全防护层级较少，安全策略设计因考虑不周失守后，极易全网渗透。

2.2.2 软件升级和漏洞补丁修复滞后

出于对业务系统稳定性的考虑，前置应用、中间件等基础容器升级滞后，版本较为老旧，软件漏洞未能及时修复。

2.2.3 安全措施被动，过度依赖常规安全硬件

金保专网从建立初期至今，普遍依据现有相关法律规定购置和布署了各类安全硬件设备，例如早期网络物理隔离GAP（网闸）、防火墙、病毒防护等，基本依靠预定义规则防护，如今入侵破坏手段层出不穷，此类设备难以动态、完整的分析网络数据流，无法做到有效防护。网络设备本身可能有一些安全问题，缺少对硬件设备的防护措施。

2.2.4 互联网应用（业务）入口过于臃肿开放，关键入口保护不够

人社系统业务逻辑复杂，为保证覆盖各类事务和业务流，普遍使用大而集中的开发架构，很难做到最小化布署，无关业务接口和软件代码容易外泄。

在原有人社专网保护环境下，业务系统仅对预定的机构、窗口和相关人员开放，使用人访问控制较为容易，封闭的网络和应用环境致使开发过程中对代码审核、字符I/O过滤控制相对薄弱，应用本身可能出现BUG缺陷。在互联网安全系统中都会存在一定的漏洞，有的是设计人员故意为之，为了能够再出现意外的时候，管理人员顺利进入系统中。但是这样的漏洞常常被黑客利用起来，许多非法入侵的人有了更多攻击系统的便利条件。有的时候破坏者会通过这些漏洞发出较多的链接，以此来增加系统的负荷，出现请求超时的情况，从而严重影响网络系统的正常使用。

互联网应用发展初期普遍采用较为原始的HTTP协议布署，信息流明文传输，攻击者可截取数据报文或伪造站点劫持用户访问，造成数据信息泄漏。部分需明确访问群体的关键应用难以控制。

2.2.5 缺少有效的日志监控策略

现有业务应用日志、安全日志、设备日志等信息仅发挥排错作用，未形成集中的日志审核措施，关键问题无法做到实时发现和处置。

3 针对问题的应对措施

3.1 全面审视网络结构，合理规划设计区域和层级，做到多层次防护

如图1所示，在保证原有金保网络和人社业务系统稳定运行的基础上，综合考虑了互联网应用对网络结构方面的新要求，把整个业务流模型按处理逻辑区分为“前置应用-数据交换应用-中间件-核心数据”四个区域，细化区域间交互接口逻辑，边界和各区域之间布署安全防护设备和策略。网络准入方面依据“仅允许”思维设计，细化业务访问URL和路径，最小化开放。区域间接口调用路径采用双向地址转换技术隐藏各区域真实IP，各区域IP、路由信息独立同时设置黑洞路由，未匹配到转换策略的数据报文一律丢弃。

3.2 安全防护多样化、透明化，布署可动态识别、完整分析的防护措施，杜绝设备缺陷

如图2所示，边界、前置应用及中间件区域侧采用双层防火墙，两台防火墙各自IP、路由信息独立不关联，仅识别直联网络，安全策略采用“仅允许”模式设计，数据报文通信需经过DNAT←→SNAT←→DNAT双向、多次NAT转换，阻断直接网络访问并隐藏网络细节；防火墙采用不同品牌，杜绝设备可能的相同底层缺陷。

设置应用识别分发代理，用户访问应用一律经由代理应用精确匹配URL和二级路径，触发式响应用户访问；未匹配至策略流量引导至蜜罐系统记录分析，杜绝恶意扫描，亦可设置联动选择性屏蔽恶意访问的源IP。

防火墙间透明化布署IPS动态识别入侵防御和WAF应用安全防护，对应用层入侵手段诸如SQL注入、溢出攻击、暴力破解等识别阻断，同时配置仅允许NAT后的数据报文通过；保护防火墙设备本身不被入侵。

中间件、数据交换和核心数据区域间布署防火墙，依据控制需要设计安全策略；对区域内和区域间流量进行镜像存储，交予IDS系统对流量拼接重组，综合识别并分析，检测发现可疑流量记录告警。

3.3 互联网应用访问通信全程加密，杜绝数据泄漏；关键应用双向加密认证，控制访问群体

如图3所示，互联网+人社业务应用全部实现基于用户、密码认证。普通公众类查询服务用户群体广泛，采用单向SSL认证加密，使用全球可信证书颁发机构颁发的数字证书配合布署应用，实现站点可信认证、通信过程加密；交易、经办类业务等关键服务访问模式相对可控，采用双向SSL认证加密，搭建私有CA体系，针对特定应用用户或终端颁发私有证书，在接口调用、用户和终端访问时要求对方提供证书，实现站点可信认证、通信过程加密的基础上进一步对接口使用者、用户或终端的身份、有效期进行认证。

3.4 严格把关软件代码审核，最小化布署；定时升级软件，及时修复漏洞

互联网应用严格最小化布署，剔除无用代码及组件，把控好代码审核，尽可能减少软件本身缺陷；制定软件升级和修复计划，在做足兼容性、稳定性测试的条件下按计划升级软件版本，及时修复漏洞。

3.5 集中日志，定义规则实时审核状态，做到问题早发现，及时处置

建立集中监控告警系统，所有应用、软件、操作系统、设备日志集中管理，设计日志分析规则，实时分析所有对象在可用性、安全性方面状态；配置多样化告警，针对不同级别告警实现窗体消息、邮件、短信甚至联动等自动化安全预警。

3.6 密码管理，制定密码管理策略，确定密码更新周期

改变每个新的和现有系统中的所有默认密码，密码应使用随机密码生成软件生成，每三十天更新密码一次；所有内网主机关闭远程登录功能，屏蔽telnet应用，将尝试登录认证失败的次数设置为一个特定的值，当超过规定的次数时将自动关闭该账户。

4 人社网络安全的发展趋势

如今，攻击者可以肆意利用的工具多于以往。而且，他们还会狡猾地适时选用各种工具，牟取最大利益。移动终端和在线流量激增，让攻击者如虎添翼。他们不仅有更大的行动空间，所能利用的攻击目标和攻击手段也更加广泛。

面对日益扩大的威胁形势，人社部门可采用大量的策略来应对这些挑战。一方面，可以购买各种独立工作的同类最佳解决方案，来获得信息和保护。另一方面，可以招募人才成立安全团队。要完全阻止所有攻击是不现实的。但是，我们可以通过限制攻击者的行动空间，来抑制其对人社信息的危害，从而最大限度降低风险和威胁的影响。作为一种可行的措施，我们可以将所有安全工具简化为一套互联的集成安全架构。在自动化的架构中配合使用集成安全工具，可简化检测和缓解威胁的过程。

网络安全技术不再是单一技术壁垒，它会存在于互联网全面性发展的整个过程中。各类安全问题层出不穷，以往个体式的安全防护已经无法满足需要。互联网发展提倡数据共享，通过收集和分析数据等，最终所有网络安全信息、知识库集中于云安全，借助大数据精确分析匹配，针对性的安全防护策略和联动机制将会成为主流。

5 结束语

“互联网+人社”战略为人社网络安全领域带来从观念意识，到技术、管理、监管等多个层面的全新挑战。面对“互联网+”环境下信息安全需求的大幅提高和升级，如何把握时代机遇，为“互联网+”时代整个社会经济安全、健康发展保驾护航，是信息安全领域需要思考的新课题。

本文讨论了“互联网+人社”公共服务的背景下人社领域信息安全面临的问题，从网络架构设计、边界防护、通信加密、代码审核和日志监控等方面，分别提出具体的网络安全策略，给出了人社网络安全架构设计方案。本方案能够有效降低入侵攻击的风险，为互联网+人社公共服务提供了一种安全的访问手段。但是，网络安全技术不断发展，黑客入侵手段层出不穷，网络防护的策略和架构设计也要不断迭代和完善。

参考文献

[1]宁向延，张顺颐.网络安全现状与技术发展[J].南京邮电大学学报（自然科学版），2012（05）：49-58.

[2]陈鑫杰.浅谈如何构建安全计算机网络[J].数字技术与应用，2012.

[3]孙小芳，李妍缘，朱劲松，时存.网络安全现状分析与发展趋势[J].电子制作，2014（20）：135.

[4]张康林.网络安全技术的现状与发展趋势[J].网络安全技术与应用，2015（04）：176+179.

[5]张卫清.网络安全与网络安全文化[D].南华大学，2006.

作者简介

朱忠池（1974-），男，山东省潍坊市人。硕士研究生。现供职于潍坊市人力资源和社会保障信息中心，从事信息化管理工作。

作者单位

潍坊市人力资源和社会保障信息中心 山東省潍坊市 261041