導語：物資管理的安全策略淺析一文來源于網友上傳，不代表本站觀點，若需要原創(chuàng)文章可咨詢客服老師，歡迎參考。

物資管理信息系統(tǒng)安全等級

廣西電網公司物資管理信息系統(tǒng)的業(yè)務信息如果受到破壞，各使用單位無法通過該系統(tǒng)進行物資采購和供應商管理，無法完成南方電網公司、廣西電網公司預定的業(yè)務目標，使公司工作職能受到嚴重影響，業(yè)務能力顯著下降且嚴重影響主要功能執(zhí)行，會嚴重損害相關單位總體利益。因此，廣西電網公司物資管理信息系統(tǒng)的業(yè)務信息安全等級為第2級。廣西電網公司物資管理信息系統(tǒng)的系統(tǒng)服務受到破壞時，將對本單位的合法權益產生損害，即對公民、法人和其他組織的合法權益造成損害，但不損害社會秩序和公共利益，不損害國家安全[3]。因此，廣西電網公司物資管理信息系統(tǒng)的系統(tǒng)服務安全等級為第2級。廣西電網公司物資管理信息系統(tǒng)的安全保護等級由業(yè)務信息安全等級和系統(tǒng)服務安全等級較高者決定，因此最終確定其安全保護等級為第2級。

Oracle11gR2RAC網絡連接

RAC（RealApplicationClusterArchitecture）是Oracle數據庫的、可以協(xié)調多個節(jié)點（2個或2個以上）同時運作的一個集群解決方案。每個節(jié)點就是1臺獨立的服務器，所有節(jié)點使用和管理同1個數據庫，目的是分散每一臺服務器的工作量。RAC結構如圖2所示，物資系統(tǒng)數據庫后臺使用2臺IBMP780小機作為節(jié)點，使用統(tǒng)一存儲作為共享存儲設備。通信層一方面響應客戶端的請求，一方面管理節(jié)點之間通信。在Oracle11gR2RAC中可以把通信網絡分成專用網絡和公用網絡[4]。各節(jié)點之間使用心跳線連接，心跳線的作用是使得集群管理器獲得節(jié)點成員信息和節(jié)點更新情況，以及節(jié)點某個時間點的運行狀態(tài)，保證集群系統(tǒng)正常運行。用心跳線連接的網絡也叫專用網絡或者叫專用高速網絡，這種高速網絡也稱為集群互聯或高速互聯。在專用網絡上配置的是privateip。OracleCacheFusion通過在專用網絡上傳輸實時高速緩存中存儲的數據，還允許其他用戶實時訪問這些數據。所謂的公用網絡是真正向用戶開放使用的網絡，在公用網絡中可以配置網卡的固定IP、VIP和SCANIP。為了維持高可用性，在Oracle10g為每個集群節(jié)點分配了1個虛擬IP地址（VIP）。為了使節(jié)點更容易擴展，在Oracle11gR2中定義了SCANIP。固定IP、VIP和SCANIP屬于公用網絡，其中固定IP綁定于網卡。1）SCAN（SingleClientAccessName，單客戶端訪問名稱）IP[5]是Oracle11gR2引進的概念。SCAN是一個網絡名稱，它可在DNS或GNS中注冊不同的IP地址。當客戶端數據庫被轉移到集群中的不同節(jié)點時，不需要改變客戶端連接字符串，因此，SCAN簡化了客戶端的連接管理。Oracle公司建議使用SCAN或者SCANIP連接RAC數據庫，這樣可以使節(jié)點更加易于擴展，并且實現實例節(jié)點的負載均衡。2）VisualIP是Oracle10g推出的虛擬IP，其根本目的是實現應用的無停頓。若客戶端使用SCANIP發(fā)起連接，當連接建立后最終RAC數據庫還是使用VIP和客戶端發(fā)送數據。一旦某個客戶連接的VIP所在的實例宕機，Oracle會自動將該VIP映射到正常的實例上，因此VIP也被稱為浮動IP。在物資管理信息系統(tǒng)中，南方電網數據中心連接使用的是SCANIP，其分發(fā)過程如圖3所示。圖3SCAN監(jiān)聽示意圖圖3中的用戶和應用服務器在同一時刻使用SCANIP訪問RAC數據庫時，SCAN監(jiān)聽器會監(jiān)聽到所有客戶端的請求。由于SCAN不代表任何一個節(jié)點，而是代表了整個集群，SCAN監(jiān)聽器把監(jiān)聽到的所有請求根據輪叫算法發(fā)到各個節(jié)點上[6]，最終使用VIP和客戶進行通信。客戶端與服務器的連接過程可簡化為：Client->SCANListener->LocalListener->LocalInstance[7]。

實驗及分析

根據南方電網信息安全要求，物資管理信息系統(tǒng)安全保護等級定為2級，因此在廣西電網公司總部必須使用防火墻進行安全加固。按照開放最小化原則，既要保證系統(tǒng)能被區(qū)內各單位正常訪問和南方電網數據中心正常同步，又要保證系統(tǒng)的安全。由于區(qū)內各單位訪問系統(tǒng)，是穿透防火墻后通過負載均衡器radware設置的IP來訪問物資管理信息系統(tǒng)的，而南網數據中心是直接穿透防火墻與數據庫連接。為了制定防火墻安全策略，本實驗用辦公電腦（IP:10.X.X.X）、防火墻軟件（瑞星個人防火墻）、抓包軟件（IPAnalyse.exe）為工具分析其數據包投遞過程，按照開放最小化原則，確定向以上兩類用戶開放哪些端口和哪些IP。先設置防火墻攔截VIP1、VIP2（將VIP1、VIP2加入黑名單），然后打開抓包軟件，在辦公電腦使用sqlplus執(zhí)行“conn用戶名/密碼@SCANIP:1521/實例名”，直到出現“ORA-12170:TNS:連接超時”。另外，將SCANIP、VIP1、VIP2加入白名單，在辦公電腦使用sqlplus執(zhí)行conn用戶名/密碼@SCANIP:1521/實例名，提示“已連接”。抓包分析如圖4所示（圖中未畫出辦公電腦（IP:10.X.X.X）和SCANIP間已完成的3次握手過程），從抓到的數據包結合圖4進行如下分析：1）辦公電腦使用SCANIP連接發(fā)起連接請求，請求的數據包通過防火墻到達OracleRAC數據庫并被SCANListener監(jiān)聽，SCANListener監(jiān)聽器根據輪叫算法把本次連接請求轉給VIP1，監(jiān)聽器給辦公電腦返回“使用VIP1來連接”的通告報文，辦公電腦收到該通告報文后發(fā)起向VIP1的連接請求。由于防火墻已經把VIP1、VIP2設置到黑名單，所以這次請求被防火墻拒絕。辦公電腦再請求2次都被拒絕，最后辦公電腦的Oracle客戶端程序發(fā)出“ORA-12170:TNS：連接超時”的警告。2）將SCANIP、VIP1、VIP2加入白名單，同時開始抓包，在IE輸入物資系統(tǒng)的訪問IP/web并操作一段時間。從抓包信息可以看到辦公電腦和“物資管理信息系統(tǒng)的訪問IP”之間的通信，并沒有發(fā)現辦公電腦和物資管理信息系統(tǒng)的應用服務器之間的通信。

在物資管理信息系統(tǒng)RAC數據庫中使用SCANIP的輪叫算法實現負載均衡。物資管理信息系統(tǒng)應用服務器集群使用radware實現負載均衡。他們之間的機制不同，簡單地說，radware物理機本身保存了客戶機和服務器之間的連接信息，客戶機并不需要知道和哪臺服務器通信，直接交給radware處理就行了。因此在防火墻策略設置中，對南方電網數據中心只對需要同步的服務器開放SCANIP、VIP1、VIP2的1521訪問權限；對廣西電網公司總部及各下屬單位開放radware訪問IP的80端口即可。

本文作者：郭俊謝朋宇工作單位：廣西電網公司玉林供電局