大数据平台系统项目安全保障

大数据平台系统项目

安全保障

安全是系统正常运行的保证。根据本项目的业务特点和需要，以及现有的网络安全状况，建立一个合理、实用、先进、可靠、综合、统一的安全保障体系，确保信息安全和业务系统的正常运行。

一、规章制度建设

1.1机房管理制度

为保证系统每天24小时，全年365天不间断运行，加强防火、防盗、防病毒等安全意识，应该制定严格的机房管理制度，以下列出常见的机房管理方面的十条规定：

（1）路由器、交换机和服务器以及通信设备是网络的关键设备，须放置计算机机房内，不得自行配置或更换，更不能挪作它用。

（2）要求上机工作人员严格执行机房的有关规定，严格遵守操作规程，严禁违章作业。

（3）要求上机工作人员，都必须严格遵守机房的安全、防火制度，严禁烟火。不准在机房内吸烟。严禁将照相机、摄像机和易燃、易爆物品带入机房。

机房工作人员要掌握防火技能，定期检查消防设施是否正常。出现异常情况应立即报警，切断电源，用灭火设备扑救。

（4）要求外来人员必须经有关部门批准，才能进入放置服务器的机房，一般人员无故不得在机房长时间逗留。

（5）要求机房值班人坚守工作岗位，不得擅离职守；下班时，值班人员要对所有计算机的电源进行细致的检查，该关的要切断电源，并检查门窗是否关好。

（6）双休日、节假日，要有专人检查网络运行情况，如发现问题及时解决，并做好记录处理，解决不了的及时报告。

（7）机房内所有设备、仪器、仪表等物品和软件、资料要妥善保管，向外移（带）设备及物品，需有主管领导的批示或经机房工作负责人批准。

制定数据管理制度。对数据实施严格的安全与保密管理，防止系统数据的非法生成、变更、泄露、丢失及破坏。当班人员应在数据库的系统认证、系统授权、系统完整性、补丁和修正程序方面实时修改。

（8）网管人员应做好网络安全工作，服务器的各种帐号严格保密。监控网络上的数据流，从中检测出攻击的行为并给予响应和处理。统一管理计算机及其相关设备，完整保存计算机及其相关设备的驱动程序、保修卡及重要随机文件，做好操作系统的补丁修正工作。

（9）保持机房卫生，值班人员应及时组织清扫。

（10）保护机房肃静，严禁在机房内游艺或进行非业务活动。

1.2计算机病毒防范制度

（1）网络管理人员应有较强的病毒防范意识，定期进行病毒检测（特别是邮件服务器），发现病毒立即处理并通知管理部门或专职人员；

（2）采用国家许可的正版防病毒软件并及时更新软件版本；

（3）未经系统或网络管理人员许可，一般操作人员不得在服务器上安装新软件，若确为需要安装，安装前应进行病毒例行检测；

（4）经远程通信传送的程序或数据，必须经过检测确认无病毒后方可使用。二、系统安全保障机制

系统安全保障机制涉及到计算机硬件的物理安全、网络安全和信息安全，信息的保密涉及到信息的访问控制、密级控制及加密处理等。作为一个企业级计算环境，从技术上说，所有的安全性问题可以形象地归结为“四把锁”：

第一把锁是计算机硬件系统和环境的可靠性；

第二把锁是通信网络的安全屏障；

第三把锁是数据库系统的保密性和安全性；

第四把锁是软件的安全性，包括系统软件和应用软件的安全可靠性。

系统安全建设是信息系统建设的重要考虑因素，所以要遵照“预防为主，主动防范”的原则，从各个层面考虑，建立起完备可靠的安全防范与保密体系。

计算机硬件系统主要涉及到各类设备的稳定可靠性，网络级的安全主要是对各类用户访问的控制方法，不使非法用户入侵系统资源，信息安全包括存贮媒体的安全存放和应急恢复，以及信息的分级管理。

通过对信息内容进行分级管理，对不同级别的信息采取相应有效的加密措施，确保非法用户在截取了数据的情况下，也无法读取和识别出真正的信息。

2.1通讯网络的安全屏障

通讯网络的安全屏障一般指：

用户鉴别：收发双方均要确认已识别对方的真实身份；

存取控制：设置网络用户的存取权限；

数据安全：防止数据被非法签收、替换、删除；

信息保密：防止数据被截取后造成信息泄漏；

防否认：收发双方都要承认收到或发过的数据；

审计：收集登录用户的网上活动，以便事后追踪审计；

容错：采用多路由选择、断点重发、节点双工等。

在计算机网络中，最主要的安全机制就是数据安全、信息保密和存取控制。

（1）局域网的安全

作为内部网，其用户群是相对稳定和已知的，对每类用户根据其在系统中的操

作级别，可以授予不同的访问权限。网络用户的操作级别可以划分为：系统管理员、数据库管理员、超级用户、一般用户等，一般用户中又根据其工作性质划分为不同的用户组。

对网络中的文件、设备等系统资源，可以按照不同的操作级别规定其相应的访问权限，例如规定某共享文件夹对系统管理员是完全控制的，对超级用户具有只读权限，而对于一般用户没有任何权限，那么一般用户根本无法进入该共享文件夹。对网络上的共享设备，例如打印机和绘图仪，也可作相似的规定，例如只有数据库管理员能够使用打印机或绘图仪输出报表或图纸，其他用户则没有此项权限。

考虑到80%以上的信息泄漏是由于内部因素引起的，在为用户提供的解决方案中集成了网络数据传输加密措施，对所有经由网络传送的业务数据和GIS空间数据，无论在局域网还是在广域网，都先进行三重DES加密后再发送。

（2）防火墙技术

Intranet和Internet的常用安全措施就是防火墙（Firewall）。防火墙由滤波器和网关（gateway）组成。滤波器的作用是阻止某些类型的通讯传输，而网关的作用是提供中继服务，以补偿滤波器的效应。典型防火墙的配置是用两个网关，外部滤波器保护网关免受来自外部的攻击。内部滤波器对一系列中间网关进行防卫，这些滤波器都是为了防止外界的攻击。滤波可分为三类：分组滤波、应用级滤波和线路滤波。

一般情况下，滤波器设置在本组织与外界之间，对于一些大的组织需要设置内部滤波器，将一些安全域和一般用户域隔离，也可对不同级别的安全域设置多个防