新闻采编系统网络安全体系建设与实践

中国新闻社技术部 朱颖

摘要：本文阐述了网络安全的基本概念，从分析新闻采编系统网络结构入手，论述新闻采编系统面临的网络安全风险，提出构建新闻采编系统网络安全系统的设计原则及方案。关键词：新闻采编系统 网络安全体系构建引言随着互联网的广泛应用，依托互联网、手机网来进行移动新闻采编、新闻分发和即时新闻发布，已成为当前新闻采编系统的发展趋势。但同时，来自互联网的非法入侵、病毒攻击也给系统安全带来了极大的威胁。因此，在构建新闻采编系统时，必须同时建立相应的网络安全体系，确保新闻采编系统的安全、稳定运行。1 网络安全基本概念网络安全是指保护计算机网络系统中的硬件、软件及其数据不因偶然或者恶意原因而遭到破坏、更改、泄露，从而保障系统能连续正常运行，网络服务不中断。网络安全具备系统性、层次性和动态性的特点，需要在整体的安全分析和安全综合策略指导下，根据系统的安全需求，综合运用多种安全防护技术，分层实现对信息的机密性、完整性、不可否认性、可用性、可控性保护。一个良好完整的安全体系，不仅需要恰当的保护，而且需要动态的检测机制，在发现问题时及时响应。整个体系要在统一的安全策略的指导下实施。根据APPDRR网络安全模型，整个信息安全保障体系应包括风险分析（A）制定策略(P)十系统防护(P)+实时监测(D)+实时响应(R)+灾难恢复(R)六个方面，见图1所示。

图 1 APPDRR网络安全模型

在具体网络安全体系构建中，应首先根据系统的结构与应用来进行风险分析，确定安全风险来源于何处，在此基础上确定系统的网络安全策略，从物理、网络、系统、应用和管理等方面进行多层次的防护。同时，建立相应的入侵检测、漏洞扫描、防病毒、日志与审计等实时监测机制，及时发现安全问题进行实时报警，在安全策略指导下，对网络异常情况做出快速积极的反应，并在多种备份机制的基础上，启用应急响应恢复机制实现系统的瞬时还原，进行现场恢复及攻击行为的再现，供研究和取证。2 新闻采编系统安全风险分析

2.1 新闻采编系统网络结构

根据新闻采编系统应用模式，新闻采编系统的网络结构可分为处理区、传输区和用户区三部分，见图2所示。

图2 新闻采编系统基本网络结构

处理区主要承担新闻稿件等新闻产品生成功能和对外新闻交换、新闻发布、浏览查询等新闻产品发布功能，内部采用高速局域网进行互联，外部通过信息传输区与专业级用户、公共用户和移动终端建立连接关系，实现跨地域的协同交流；传输区包括互联网、手机网和租用专线，实现新闻采编区与用户区之间的各类信息传输；用户区包括专业用户、移动用户和互联网用户三类，专业用户一般为其它新闻社用户，具备一定的访问权限，可通过C/S方式对新闻采编区进行访问，协同开展各类新闻采编工作。移动用户主要为记者群，具备新闻采编区的使用权限，可通过互联网与新闻采编区相连接，上传采集的新闻稿件，并直接使用新闻采编系统完成新闻的编辑、审签、发布等任务。互联网用户主要指新闻系统之外的普通用户，可以通过web访问的方式浏览公开发布的新闻产品。由新闻采编系统基本网络结构及应用方式可知，新闻采编系统具有以下特点：一是用户复杂，系统使用者既有本地用户和外地专业用户、移动用户，又有系统外的互联网用户，各类用户之间的权限不同；二是信息交换关系复杂，系统由分布在多地的总社及各分支机构的新闻采编软件及数据组成，彼此之间既要进行用户管理、系统管理的管理信息交换，又要进行各类新闻稿件及处理流程的业务信息交换，信息交换类型多、接口关系复杂；三是信息安全要求多样，对于已完成审签的新闻稿件，其重点是确保信息的完整性、不可否认性。对于正在审签的新闻稿件，其重点是确保信息的可控性、机密性。对于管理信息，其重点是确保信息的机密性、不可否认性；四是系统漏洞修补不及时，新闻采编系统一旦投入长期运行，其重点关注的是确保系统的可靠性和实时性，系统状态不得随意更改，且系统软件分布在各个地域，软件升级难以及时完成，导致许多已知的漏洞得不到修补。2.2 网络安全风险分析从新闻采编系统的基本网络结构与工作流程可以看出，新闻采编系统主要面临的网络安全风险来自以下四个方面，来自外部互联网的恶意网络攻击、恶意代码传播、越权访问与非法使用，来自内部或外部用户的无意网络攻击、越权访问和非法使用、操作失误，以及信息传输时的信息泄密、篡改等。见表1所示。

表1 新闻采编系统面临的网络安全风险分析

3 新闻采编系统网络安全体系设计3.1 安全体系结构设计针对新闻采编系统面临的各类安全风险，在安全对策上应以防范外部的恶意网络攻击与恶意代码攻击为重点，加强身份认证和对外防护，内部应以重点防护越权访问和无意攻击，加强内部的安全防御审计和监控。整个网络安全体系按照统一管理、分层防护、多手段综合和“防护—检测—响应—恢复”的安全机制来构建，主要由安全管理、网络安全防护、系统安全防护和数据安全防护四个部分组成，见图3所示。

图3 新闻采编系统网络安全体系基本结构

（1）安全管理对各类安全设备（系统）进行统一管理，对系统用户进行统一授权管理与身份认证，对安全数据进行审计记录、统计分析，制定相应的系统安全策略制定并下发。实时监视全系统的安全态势，及时发现的各类安全事件并进行报警，以及时进行应急响应处理。同时，提供各类公共安全服务，包括病毒库升级、系统补丁库更新和各类安全软硬件的升级、更新服务。（2）网络安全防护采用边界隔离、访问控制、检测防范和恶意代码防护等多种手段，实现内部网络与外部网络的隔离，对互联网用户对内部网络的访问进行控制，对来自互联网的各类网络攻击、恶意代码攻击进行检测和防护，以达到防止外部攻击、保护边界隔离安全、保护自身网络的目的。（3）系统安全防护包括身份认证、病毒防护、漏洞防范和行为管理。通过防病毒来避免由于管理不到位造成的病毒输入和传播，通过进行身份认证和行为管理来对用户的各类操作进行审计，防止用户越权使用，通过及时进行漏洞扫描与修补来增强系统的安全免疫能力。（4）数据安全防护采用传输保护、备份保护和访问控制等多种手段，来保证数据在处理、传递、存储等环节的保密性、完整性和可用性。其中，传输保护手段包括数据加密、数据源认证，以保证数据在传输过程中无法被窃取、仿冒和篡改；备份保护手段包括数据迁移和数据备份，以确保数据可靠安全，缩短涉密数据在系统中的保存时间、减小安全风险。3.2 网络安全体系根据网络安全体系结构，新闻采编网络安全系统主要由VPN、防火墙、入侵检测、防病毒、上网行为管理、漏洞扫描、网页防篡改、身份认证、网络安全管理和数据备份等设备组成，见图4所示。同时，通过网络结构设计，实现内网、外部之间的有效逻辑隔离。

图4 新闻采编系统网络安全体系基本结构

（1）结构安全设计根据业务流、安全需求，新闻采编网络系统采用分区、分层设计，主要由互联网接入区、内部应用区、管理服务区三部分组成，各区内部采用交换机互联，外部直接连到核心设备上，采用VLAN进行隔离，通过防火墙进行逻辑控制。（2）VPN为保证通过互联网数据传输的完整性和保密性，采用VPN技术来保证数据传输安全。目前主要的安全VPN技术包括IPSec和SSL两类。IPSec VPN基于Internet 安全协议实现，具备包括加密、认证和数据防篡改功能的完整安全机制，数据安全性好，但VPN网关及客户端的软件部署复杂，适用于不同网络之间的数据传输。SSL VPN是以SSL HTTPS为基础的VPN，可通过Web浏览器实现无客户端的远程访问，适用于远程办公的移动用户。根据新闻采编系统特点，考虑采用防火墙的IPSec VPN技术实现与分社之间的数据安全传输，采用SSL VPN专用设备来为通过互联网接入的多个外部移动用户提供并发支持。（3）防火墙系统为保护系统不受到来自互联网的攻击与侵犯，必须在互联网接入区部署防火墙设备，通过合理配置访问控制策略，来管理互联网与内部网络之间的访问，主要功能包括网络访问控制、信息过滤、流量分析和监控、阻断非法数据传输等，并可有效抵御大多数Dos/DDos攻击，有效抵御地址/端口扫描攻击，以达到防止外部攻击的目的，对网络区域提供安全保护。同时，为了防止安全事件跨区域蔓延，需要在系统内部不同的应用、数据库、管理服务器之间部署多功能的防火墙进行网络隔离。（4）入侵检测设备入侵检测设备是一种主动的安全防护手段，用于弥补防火墙相对静态防御的不足。设备以并联方式设在系统通信核心交换机处，通过对来自外部网和内部的各种信息进行实时收集、分析，包括用户及系统行为分析、入侵模式识别，以及系统配置与安全漏洞检测，从中发现是否有发现有违反安全策略的行为和被攻击的迹象，及时发出警报或者采取主动反应措施。（5）防病毒系统根据“层层设防，集中控管”的思路，采用防病毒网关与防病毒系统相互结合的方式，建立完整的防病毒体系。防病毒服务系统由网络防病毒服务器（含服务器端软件）、杀毒客户端软件组成，用于对系统中的关键服务器和客户端工作区进行病毒防护，严防病毒感染关键服务器和客户端后造成业务系统中断。为了切断网络中蠕虫等病毒爆发对关键网络的业务系统的影响，在网络出口防火墙启用防病毒功能，防止蠕虫、病毒等的进入。日常使用中，通过服务器端管理客户端，并将查杀毒任务下发到客户端，集中管理查杀策略，查杀窗口将安排在夜间，若干台服务器分为一组，分批次每日进行。当系统需要更新病毒库时，只需通过互联网实时更新最新的病毒库，服务器端会按照策略自动将更新同步到每个客户端中，减少整体升级时间。（6）上网行为管理系统部署在系统防火墙和内部核心交换机，针对系统内部用户访问互联网行为进行集中管理与控制。其主要功能有：网页过滤、应用控制、带宽管理、内容审计、用户管理、日志管理等。（7）漏洞扫描系统漏洞扫描系统通过不间断的扫描服务器、工作站等计算设备以及防火墙、路由器、交换机等网络设备，提供软件系统配置和服务配置等方面的检测，即检测系统配置是否合理或是否被安装了后门程序，检测操作系统或应用软件是否存在缺陷、是否采用了不安全的网络协议或提供不安全的服务等，并分析提出修补漏洞、消除系统安全隐患的方案或建议，协助网管员及时发现和堵绝漏洞。（8）网页防篡改系统为防止系统对外Web遭受黑客篡改，确保新闻发布网站的正常运行，将篡改检测模块和应用防护模块内嵌于Web服务器内部，并辅助以增强型事件触发检测技术，实现对静态网页和脚本的实时检测和恢复，并保护数据库中的动态内容免受来自于Web的攻击和篡改。（9）身份认证系统由身份认证服务器和部署在应用服务器端或客户端的安全认证插件/证书组成，通过提供身份证书的申请、注册、签发、撤销等功能和证书认证，对系统用户提供身份鉴别，确保用户身份的真实性、合法性和不可伪造性。同时，对用户的账户信息、权限信息、角色属性等进行统一管理，根据用户身份鉴定结果分给相应的访问权限，实现对系统用户集中的身份管理与权限控制。（10）网络安全管理系统包括网络设备管理、桌面管理和公共安全服务三部分。网络设备管理软件通过解析来自于设备或应用的SNMP参数，达成对整个网络系统设备、系统应用和网络流量的统一监控和管理，并对常规的或自定义的异常事件进行预警和报警。桌面管理包括管理服务器和客户终端软件两部分，采用“一体化”安全防护技术，完成认证管理和实时监控，包括用户接入认证、主机安全性检查、动态授权和行为审计等功能。公共安全服务包括系统补丁分发、应用补丁分发、安全策略分发，可为全系统提供最新的管控策略分发、安全审计策略分发和补丁分发等服务。4 结束语网络安全是一项系统工程，针对来自不同方面的安全威胁，必须建立一套完整的网络安全体系，通过网络安全风险分析，综合采取不同的安全对策，来实现主动实时防护、快速响应、及时可靠的恢复，才能确保系统网络安全。此外，管理是网络安全的核心，只有以安全策略为核心，把技术和管理手段有机结合，才能真正提高网络系统的安全性能。 参考文献：[1] 柳碧高，大中型企业信息网络安全体系设计与实现，信息与电脑，2011.2；[2] 李洪、渠凯，SSL VPN安全方案与发展趋势分析，TELECOMMUNICATIONS TECHNOLOGY，2011.1；[3] 潘洁、刘爱洁，基于APPDRR模型的网络安全系统研究，电信工程技术与标准化，2009.7；[4] 科飞管理咨询公司，信息安全风险评估[M]，中国标准出版社，2005.1；[5] 冯登国，孙锐，张阳 著 信息安全体系结构清华大学出版社2008-09；[6] 启明星辰信息技术有限公司， 产品技术宣传资料[Z]，2004.7。 中国新闻社技术部 朱颖联系电话： 68316640手机号：13661017269Email : zhuying@chinanews.com.cn 编辑：中国新闻技术工作者联合会