水利工程质量管理云平台安全保障与系统架构

应用北斗定位、压力传感器等的硬件基础上,结合以往相关咨询项目以及工程应用相关项目中积累的经验,开发相关云平台系统,对施工过程中产生的相关数据进行数字化、标准化处理,及时纳入到建立的云平台系统中,为工程施工质量的控制提供科学依据和技术支撑。

工程施工质量监控云平台系统总体架构如图7-1所示,共包括5层,最下面一层是硬件平台层,也就是云平台中的IaaS层,主要包括网络设备、服务器与存储设备。

这是整个云平台系统的基础,提供重要的数据存储、运算的资源与环境,并对整个系统的虚拟化处理、安全以及运行维护进行控制;第二层是PaaS层,主要指数据存储、运算等资源硬件以及功能平台之间的中间层,主要包括数据传输与存储相关操作系统、虚拟机操作系统、虚拟应用以及相关的数据接口,是整个系统上下的重要交换部分;第三部分是SaaS层,也是整个系统的重要用户应用层,即出山店主体工程施工质量监控云平台系统中的应用部分,主要包括施工过程监控与主体工程建设信息云平台系统,是面向用户的功能需求方面;第四层是客户端,主要包括编制开发的在数据终端展示的计算机、平板等设备应用;第五层是项目建设所需的网络运行环境需求。

整个系统通过虚拟化技术整合软、硬件以及网络资源,从逻辑功能结构上虚拟出各种应用服务器,如云平台管理服务器、存储管理服务器、虚拟应用交付服务器、虚拟桌面服务器和Web服务器等以满足平台实际应用需求,并由虚拟化管理软件进行运行维护管理,如图7-2所示。

图7-1　工程施工质量监控云平台系统总体架构框图

水利工程质量管理云平台采用私有云模式进行的搭建,与公有云相比大大降低了直接暴露在互联网络中遭受攻击,降低受到的互联网的攻击数量。此外,云平台的安全保障还涉及安全的网络架构(图7-3)、云平台的系统安全、用户身份认证、分级授权管理等方面,具体体现在以下几个方面。

(1)网络架构安全。通过将水利工程建设管理云部署在安全网络环境中,来保障云平台的互联网络接入安全。在Web网关、防病毒网关、防火墙等设备的保护下与国际互联网进行安全数据连接,防止病毒、黑客、蠕虫等对云平台的攻击。

图7-2　工程施工质量管理云计算平台虚拟化逻辑结构

图7-3　水利工程建设管理云平台网络安全架构(www.xing528.com)

(2)平台系统安全。要保障云平台系统的安全需要在云平台部署漏洞扫描、病毒扫描等产品。由于漏洞扫描系统需要强大的病毒库支持,病毒库需要定时更新,建议与现有的安全厂商共同研究开发,使用现有厂商已经成熟的漏洞扫描产品、病毒库以及病毒软件升级系统,研究适合于云平台的漏洞扫描以及病毒升级软件系统,实时监测平台运行的安全状况,保障云平台系统稳定、安全地运行。

(3)用户认证、分级授权。以往的身份认证和访问体系中,大多数应用系统都有各自独立的一套用户信息管理子系统,负责该系统的账号管理、认证和授权工作,并且孤立地以日志形式审计操作者在系统内的操作行为。云平台环境下的身份认证和访问管理,应采用统一的身份认证和访问控制,拥有统一用户群的系统进行关联,统一用户的登录资料,并提供统一的登录认证入口。使用户一个地方一次登录之后,便可以在相应的应用系统群中遨游,而不用每到一个系统就进行一次登录,甚至使用不同的账号和密码进行登录。云平台的各个应用系统实现统一身份认证,通过对数据在传输和保存过程中的加密,保证了网站和服务的安全性、完整性和合法性。采用分级授权体系,用分级授权管理,不同级别的用户具有的权限范围不同,保障信息权限级别拥有不同的授权范围,可查看的数据、软件的下载等的权限不同。授权应用和管理模块根据用户信息数据库中的用户信息对用户进行授权。

用户授权还包括对用户行为进行审计以确保云平台的安全,并不只是登录认证通过后就认为用户是合法的安全用户,用户行为审计软件会对用户的行为轨迹进行审计,查找一些具有特殊行为的用户,一经辨别上报,人工核实后需要对此账户进行封号等管理。

(4)访问控制,安全域管理。建议对用户及管理人员实施基于域的分级管理,不同级别的用户只能在特定域范围内操作,享有特定域环境下的权利和服务,禁止跨域的非法访问。安全域之间根据安全需求,采用防火墙进行安全隔离,确保安全域之间的数据传输符合相应的访问控制策略,确保本区域内的网络安全。同时在平台管理上,借助安全芯片,增加一个“可信域”,对用户以及管理员操作进行实时监控和日志记录,强化平台的安全审计功能。

(5)冗余备份。它指定数据备份策略,对虚拟机进行镜像备份,有助于恢复用户个人的资料和整个服务器镜像。也可以采用物理备份,同时保护备份的数据流,包括对备份介质传输与存储进行物理控制。

(6)虚拟化系统安全。在云计算平台中,虚拟机间能够跳过传统的物理网络链路,通过虚拟机管理程序直接通信,从而直接导致各种安全风险。为解决这一问题,首先应该为每一个虚拟机提供一个完全独立的运行环境,使之拥有独占的计算、存储和网络资源。同时,还应使用虚拟机安全机制,如虚拟机蜜罐、虚拟机镜像等,对虚拟机背板上的流量进行细粒度的监测和净化。建议把不同类别的应用程序分离,使之分别运行在不同服务器的虚拟机上,而对同台物理服务器的虚拟机实施同等级别的信任控制,防止旁侧攻击对平台造成损害。

(7)数据加密存储。传统的加密机制与云计算平台运行机制存在着根本的矛盾,完全同态加密为这一矛盾的解决提供了新的技术途径。在理想的情况下,云端在密文上的任何操作都能够直接对应到明文上的相应操作(即完全同态加密性)。用户可以放心地要求云端对数据进行指定的计算操作而不用担心泄露自己的隐私,因为这些被操作的数据在云计算中心都是以密文的形式存在的。如果完全同态加密能够高效、安全地实现,就可以在不完全信任云计算中心的情况下保护用户的隐私,同时享有云计算中心提供的各种计算服务。

在完全同态数据加密基础上,辅以传统的数据混淆、数据完整性验证、平台软件安全验证和服务安全验证这些传统的加密措施,可以从根本上解决软件与数据在平台上的安全运行问题。

(8)访问控制和安全域管理。对用户及管理人员实施基于域的分级管理,不同级别的用户只能在特定域范围内操作,享有特定域环境下的权利和服务,禁止跨域的非法访问。安全域之间根据安全需求,采用防火墙进行安全隔离,确保安全域之间的数据传输符合相应的访问控制策略,确保本区域内的网络安全。同时建议在平台管理上借助安全芯片,增加一个“可信域”,对用户以及管理员操作进行实时监控和日志记录,强化平台的安全审计功能。

在此基础上,采用统一的身份认证、信任服务授权和动态访问控制,将拥有统一用户群的系统进行关联,统一用户信息,提供统一的登录认证入口。使用户一次登录之后,便可以在相应的应用系统群中遨游,而不用每一个系统分别登录,甚至使用不同的账号和密码登录不同的系统。云平台的各个应用系统实现统一身份认证,通过对数据在传输和保存过程中的加密,保证了网站和服务的安全性、完整性和合法性。采用分级授权体系,用分级授权管理不同级别的用户和赋予用户不同的权限范围,保障信息权限级别拥有不同的授权范围,可查看的数据、软件的下载等的权限不同。授权应用和管理模块根据用户信息数据库中的用户信息对用户进行授权。

(9)安全监控。云平台终端用户数据的计算、传输和存储都需要通过网络,这给数据窃取提供了便捷的条件。因此,应该通过加密数据、建立SSL隧道、采用VPN技术等方式来保证数据传输的安全性。同时,通过防火墙、防病毒墙、IDS、网路岗等安全组件对基础设施、中间件和服务软件的整个结构进行全方位的检查和全过程的监控。