物資管理的安全策略淺析

時(shí)間:2022-07-03 03:47:19

導(dǎo)語(yǔ):物資管理的安全策略淺析一文來(lái)源于網(wǎng)友上傳,不代表本站觀點(diǎn),若需要原創(chuàng)文章可咨詢客服老師,歡迎參考。

物資管理的安全策略淺析

物資管理信息系統(tǒng)安全等級(jí)

廣西電網(wǎng)公司物資管理信息系統(tǒng)的業(yè)務(wù)信息如果受到破壞,各使用單位無(wú)法通過(guò)該系統(tǒng)進(jìn)行物資采購(gòu)和供應(yīng)商管理,無(wú)法完成南方電網(wǎng)公司、廣西電網(wǎng)公司預(yù)定的業(yè)務(wù)目標(biāo),使公司工作職能受到嚴(yán)重影響,業(yè)務(wù)能力顯著下降且嚴(yán)重影響主要功能執(zhí)行,會(huì)嚴(yán)重?fù)p害相關(guān)單位總體利益。因此,廣西電網(wǎng)公司物資管理信息系統(tǒng)的業(yè)務(wù)信息安全等級(jí)為第2級(jí)。廣西電網(wǎng)公司物資管理信息系統(tǒng)的系統(tǒng)服務(wù)受到破壞時(shí),將對(duì)本單位的合法權(quán)益產(chǎn)生損害,即對(duì)公民、法人和其他組織的合法權(quán)益造成損害,但不損害社會(huì)秩序和公共利益,不損害國(guó)家安全[3]。因此,廣西電網(wǎng)公司物資管理信息系統(tǒng)的系統(tǒng)服務(wù)安全等級(jí)為第2級(jí)。廣西電網(wǎng)公司物資管理信息系統(tǒng)的安全保護(hù)等級(jí)由業(yè)務(wù)信息安全等級(jí)和系統(tǒng)服務(wù)安全等級(jí)較高者決定,因此最終確定其安全保護(hù)等級(jí)為第2級(jí)。

Oracle11gR2RAC網(wǎng)絡(luò)連接

RAC(RealApplicationClusterArchitecture)是Oracle數(shù)據(jù)庫(kù)的、可以協(xié)調(diào)多個(gè)節(jié)點(diǎn)(2個(gè)或2個(gè)以上)同時(shí)運(yùn)作的一個(gè)集群解決方案。每個(gè)節(jié)點(diǎn)就是1臺(tái)獨(dú)立的服務(wù)器,所有節(jié)點(diǎn)使用和管理同1個(gè)數(shù)據(jù)庫(kù),目的是分散每一臺(tái)服務(wù)器的工作量。RAC結(jié)構(gòu)如圖2所示,物資系統(tǒng)數(shù)據(jù)庫(kù)后臺(tái)使用2臺(tái)IBMP780小機(jī)作為節(jié)點(diǎn),使用統(tǒng)一存儲(chǔ)作為共享存儲(chǔ)設(shè)備。通信層一方面響應(yīng)客戶端的請(qǐng)求,一方面管理節(jié)點(diǎn)之間通信。在Oracle11gR2RAC中可以把通信網(wǎng)絡(luò)分成專用網(wǎng)絡(luò)和公用網(wǎng)絡(luò)[4]。各節(jié)點(diǎn)之間使用心跳線連接,心跳線的作用是使得集群管理器獲得節(jié)點(diǎn)成員信息和節(jié)點(diǎn)更新情況,以及節(jié)點(diǎn)某個(gè)時(shí)間點(diǎn)的運(yùn)行狀態(tài),保證集群系統(tǒng)正常運(yùn)行。用心跳線連接的網(wǎng)絡(luò)也叫專用網(wǎng)絡(luò)或者叫專用高速網(wǎng)絡(luò),這種高速網(wǎng)絡(luò)也稱為集群互聯(lián)或高速互聯(lián)。在專用網(wǎng)絡(luò)上配置的是privateip。OracleCacheFusion通過(guò)在專用網(wǎng)絡(luò)上傳輸實(shí)時(shí)高速緩存中存儲(chǔ)的數(shù)據(jù),還允許其他用戶實(shí)時(shí)訪問(wèn)這些數(shù)據(jù)。所謂的公用網(wǎng)絡(luò)是真正向用戶開(kāi)放使用的網(wǎng)絡(luò),在公用網(wǎng)絡(luò)中可以配置網(wǎng)卡的固定IP、VIP和SCANIP。為了維持高可用性,在Oracle10g為每個(gè)集群節(jié)點(diǎn)分配了1個(gè)虛擬IP地址(VIP)。為了使節(jié)點(diǎn)更容易擴(kuò)展,在Oracle11gR2中定義了SCANIP。固定IP、VIP和SCANIP屬于公用網(wǎng)絡(luò),其中固定IP綁定于網(wǎng)卡。1)SCAN(SingleClientAccessName,單客戶端訪問(wèn)名稱)IP[5]是Oracle11gR2引進(jìn)的概念。SCAN是一個(gè)網(wǎng)絡(luò)名稱,它可在DNS或GNS中注冊(cè)不同的IP地址。當(dāng)客戶端數(shù)據(jù)庫(kù)被轉(zhuǎn)移到集群中的不同節(jié)點(diǎn)時(shí),不需要改變客戶端連接字符串,因此,SCAN簡(jiǎn)化了客戶端的連接管理。Oracle公司建議使用SCAN或者SCANIP連接RAC數(shù)據(jù)庫(kù),這樣可以使節(jié)點(diǎn)更加易于擴(kuò)展,并且實(shí)現(xiàn)實(shí)例節(jié)點(diǎn)的負(fù)載均衡。2)VisualIP是Oracle10g推出的虛擬IP,其根本目的是實(shí)現(xiàn)應(yīng)用的無(wú)停頓。若客戶端使用SCANIP發(fā)起連接,當(dāng)連接建立后最終RAC數(shù)據(jù)庫(kù)還是使用VIP和客戶端發(fā)送數(shù)據(jù)。一旦某個(gè)客戶連接的VIP所在的實(shí)例宕機(jī),Oracle會(huì)自動(dòng)將該VIP映射到正常的實(shí)例上,因此VIP也被稱為浮動(dòng)IP。在物資管理信息系統(tǒng)中,南方電網(wǎng)數(shù)據(jù)中心連接使用的是SCANIP,其分發(fā)過(guò)程如圖3所示。圖3SCAN監(jiān)聽(tīng)示意圖圖3中的用戶和應(yīng)用服務(wù)器在同一時(shí)刻使用SCANIP訪問(wèn)RAC數(shù)據(jù)庫(kù)時(shí),SCAN監(jiān)聽(tīng)器會(huì)監(jiān)聽(tīng)到所有客戶端的請(qǐng)求。由于SCAN不代表任何一個(gè)節(jié)點(diǎn),而是代表了整個(gè)集群,SCAN監(jiān)聽(tīng)器把監(jiān)聽(tīng)到的所有請(qǐng)求根據(jù)輪叫算法發(fā)到各個(gè)節(jié)點(diǎn)上[6],最終使用VIP和客戶進(jìn)行通信??蛻舳伺c服務(wù)器的連接過(guò)程可簡(jiǎn)化為:Client->SCANListener->LocalListener->LocalInstance[7]。

實(shí)驗(yàn)及分析

根據(jù)南方電網(wǎng)信息安全要求,物資管理信息系統(tǒng)安全保護(hù)等級(jí)定為2級(jí),因此在廣西電網(wǎng)公司總部必須使用防火墻進(jìn)行安全加固。按照開(kāi)放最小化原則,既要保證系統(tǒng)能被區(qū)內(nèi)各單位正常訪問(wèn)和南方電網(wǎng)數(shù)據(jù)中心正常同步,又要保證系統(tǒng)的安全。由于區(qū)內(nèi)各單位訪問(wèn)系統(tǒng),是穿透防火墻后通過(guò)負(fù)載均衡器radware設(shè)置的IP來(lái)訪問(wèn)物資管理信息系統(tǒng)的,而南網(wǎng)數(shù)據(jù)中心是直接穿透防火墻與數(shù)據(jù)庫(kù)連接。為了制定防火墻安全策略,本實(shí)驗(yàn)用辦公電腦(IP:10.X.X.X)、防火墻軟件(瑞星個(gè)人防火墻)、抓包軟件(IPAnalyse.exe)為工具分析其數(shù)據(jù)包投遞過(guò)程,按照開(kāi)放最小化原則,確定向以上兩類用戶開(kāi)放哪些端口和哪些IP。先設(shè)置防火墻攔截VIP1、VIP2(將VIP1、VIP2加入黑名單),然后打開(kāi)抓包軟件,在辦公電腦使用sqlplus執(zhí)行“conn用戶名/密碼@SCANIP:1521/實(shí)例名”,直到出現(xiàn)“ORA-12170:TNS:連接超時(shí)”。另外,將SCANIP、VIP1、VIP2加入白名單,在辦公電腦使用sqlplus執(zhí)行conn用戶名/密碼@SCANIP:1521/實(shí)例名,提示“已連接”。抓包分析如圖4所示(圖中未畫(huà)出辦公電腦(IP:10.X.X.X)和SCANIP間已完成的3次握手過(guò)程),從抓到的數(shù)據(jù)包結(jié)合圖4進(jìn)行如下分析:1)辦公電腦使用SCANIP連接發(fā)起連接請(qǐng)求,請(qǐng)求的數(shù)據(jù)包通過(guò)防火墻到達(dá)OracleRAC數(shù)據(jù)庫(kù)并被SCANListener監(jiān)聽(tīng),SCANListener監(jiān)聽(tīng)器根據(jù)輪叫算法把本次連接請(qǐng)求轉(zhuǎn)給VIP1,監(jiān)聽(tīng)器給辦公電腦返回“使用VIP1來(lái)連接”的通告報(bào)文,辦公電腦收到該通告報(bào)文后發(fā)起向VIP1的連接請(qǐng)求。由于防火墻已經(jīng)把VIP1、VIP2設(shè)置到黑名單,所以這次請(qǐng)求被防火墻拒絕。辦公電腦再請(qǐng)求2次都被拒絕,最后辦公電腦的Oracle客戶端程序發(fā)出“ORA-12170:TNS:連接超時(shí)”的警告。2)將SCANIP、VIP1、VIP2加入白名單,同時(shí)開(kāi)始抓包,在IE輸入物資系統(tǒng)的訪問(wèn)IP/web并操作一段時(shí)間。從抓包信息可以看到辦公電腦和“物資管理信息系統(tǒng)的訪問(wèn)IP”之間的通信,并沒(méi)有發(fā)現(xiàn)辦公電腦和物資管理信息系統(tǒng)的應(yīng)用服務(wù)器之間的通信。

在物資管理信息系統(tǒng)RAC數(shù)據(jù)庫(kù)中使用SCANIP的輪叫算法實(shí)現(xiàn)負(fù)載均衡。物資管理信息系統(tǒng)應(yīng)用服務(wù)器集群使用radware實(shí)現(xiàn)負(fù)載均衡。他們之間的機(jī)制不同,簡(jiǎn)單地說(shuō),radware物理機(jī)本身保存了客戶機(jī)和服務(wù)器之間的連接信息,客戶機(jī)并不需要知道和哪臺(tái)服務(wù)器通信,直接交給radware處理就行了。因此在防火墻策略設(shè)置中,對(duì)南方電網(wǎng)數(shù)據(jù)中心只對(duì)需要同步的服務(wù)器開(kāi)放SCANIP、VIP1、VIP2的1521訪問(wèn)權(quán)限;對(duì)廣西電網(wǎng)公司總部及各下屬單位開(kāi)放radware訪問(wèn)IP的80端口即可。

本文作者:郭俊謝朋宇工作單位:廣西電網(wǎng)公司玉林供電局