導語：這是一個快速變化的世界，數據正在經歷爆炸式增長，業務類型和規模也正在以前所未有的速度更新和變化。業務升級正在逐步成為IT行業的常態，如何在這種常態下保證系統的安全穩定運行?工業和信息化部(以下簡稱：工信部)在其郵件系統改造中，引入一套專業的產品來替換原有的業務系統。在新系統的規劃和部署過程中，工信部將主機安全放在首位，通過采用浪潮SSR操作系統安全增強系統(簡稱“浪潮SSR”)，實現了防止病毒入侵、防止黑客竊取機密信息的目標。

美國國務院電子郵件系統迫于黑客攻擊的壓力被關閉，這是今年11月17日爆出的消息。與之類似，我我國政府的電子郵件系統也是黑客攻擊的目標。如何保證核心數據的安全?工業和信息化部郵件系統的升級過程中，通過采用浪潮操作系統安全增強系統(簡稱“SSR”)實現了主機安全，目前尚無一例主機感染的事故，實現了防止病毒入侵、防止黑客竊取機密信息的目標。

系統升級 主機安全成為“頭等大事”

工業和信息化部是國務院直屬部門，肩負著擬訂實施行業規劃、產業政策和標準;監測工業行業日常運行;推動重大技術裝備發展和自主創新;管理通信業;指導推進信息化建設;協調維護國家信息安全等主要職責。工信部作為行業管理部門，主要是管規劃、管政策、管標準，指導行業發展。

隨著用戶數量和業務需求的不斷增長，原有業務系統在多系統對接、系統的安全穩定性和功能支持方面都顯得捉襟見肘。如何跟上業務發展的速度呢?工信部選擇引入一套專業的產品來替換原有的電子政務業務系統。而在如何進行系統的安全防護卻成了讓人頭疼的問題。

工信部內部郵件主要包括兩個部分，一部分用于內部使用;一部分供給大客戶使用。在來往的郵件上涉及到大量標準的未發布版本。這些標準在尚未發布之前都屬于絕密資料，一旦泄漏，將會給行業造成巨大影響。而這部分內容又十分巨大，管中窺豹，可見一斑。僅從工信部2014年第32號公告來看，批準的標準就多達1208項，包含機械、汽車、航空、通信等多個行業，核行業的標準也在其中，這些行業涉及到國計民生的方方面面，關系到國家的穩定和安全。

“我們的系統承擔了國內工業和信息化所有的標準發布工作，郵件系統中運轉的業務和數據關乎國計民生，因此安全性等級相對于一般的郵件系統高出很多。如果因外部人員竊取，或內部人員誤操作造成數據丟失、非法修改等問題，將會給我國的各個行業造成無法彌補的損失。因此，我們力求信息安全架構的全面性、完整性和有效性，絕不能容忍‘死角’產生?！惫ば挪啃畔⒅行墓ぷ魅藛T表示。但是，從外部環境和內部系統來看，安全情況都不容樂觀。

從內部系統來看，現有信息安全架構主機核心層防護措施明顯不足。雖然在服務器外圍加大防護力度但是主機自身的防護能力是外圍安全設備和技術手段無法彌補的。服務器系統的安全很大程度上是由操作系統的安全性決定，但操作系統本身卻不具備完善安全的防護功能，存在諸多的漏洞和后門，一旦主機自帶的安全防護屏障被攻破，黑客便能輕易破壞、盜取數據，必將造成不可彌補的損失或影響。

如何提升全面提升安全等級?主機安全是必由之路。

內核加裝安全甲，實現全方位保護

工信部已經在網絡邊界已經部署了大量的安全設備，但是效果仍有限。那么防護的重點在哪里呢? “考慮到該業務應用軟件主要運行在服務器平臺上，而服務器系統的安全很大程度上是由操作系統的安全性決定。經過我們多次評估和綜合考察、測評，以及嚴格的產品攻防測試，最終采用了浪潮SSR主機操作系統安全增強系統作為服務器平臺操作系統安全運行的保護神?！痹摴ぷ魅藛T表示。

工信部郵件系統過去采用傳統的主機安全措施是通過手工加固的方式提高操作系統安全。通過修改操作系統或者應用軟件自身的安全策略來提升系統的安全性，比如修改系統組策略，劃分更細的權限，降低應用軟件的運行權限等。手動安全加固雖然可以暫時消除系統的安全隱患，但這種加固方法卻有著明顯的弱點。比如：專業性強、費用高、周期長、時間局限明顯等等，無法長期有效的解決系統的安全問題。值得注意的是，所有手工加固都是基于系統管理員的基礎來配置的，這也就是說管理員可以自行加固也可以自行取消，安全策略的有效性得不到審計，一旦黑客獲取系統管理員權限，所有的安全策略都會失效，因此達不到強制訪問控制的功能。

現在，工信部郵件系統的主機安全與過去有了本質區別。通過浪潮SSR為服務器和操作系統成功實現“自動防御”、“主動免疫”的全方位防護。

具體來說，SSR解決方案幫助工信部郵件系統的操作系統實現了“自動”加固。原理是通過對文件、目錄、進程、注冊表和服務的強制訪問控制，有效的制約和分散了原有系統管理員的權限，綜合了對文件和服務的完整性檢測、防緩沖區溢出等功能，能夠把普通的操作系統從體系上升級，使其符合國家信息安全等級保護服務器操作系統安全的三級標準。而且，浪潮以SSR為核心的主機安全解決方案還可以和工信部郵件系統部署在網絡層的防護產品形成“互補”，使得主機安全實現了“既防外網，又控內網”的全新保護框架。

??

【浪潮SSR在工信部的應用部署圖】

系統實現主動免疫和永久自動防御

工信部在分析了關鍵業務運行環境之后，在郵件系統服務器和CDAP(多業務應急接管系統)備份系統上部署了浪潮SSR企業版，對主機上的郵件系統以及服務進程、注冊表等進行安全防護，實現了病毒免疫，防止了各種因為補丁因素造成的應用停擺問題。

工信部信息中心相關專家表示：“工信部郵件系統承載著國內眾多行業的標準溝通和下發，作為國家重點安全防護領域，具有極其重要的地位。所以我們必須要保證其安全性不受到絲毫的威脅。在我們遇到主機安全的困擾之時，浪潮SSR解決方案幫助我們實現了主動和永久自動的防御，實現了對病毒自動免疫，幫助我們實現了系統安全的巨大提升?！?/p>