林志達(dá)，張華兵，曹小明，盧偉開

（1.中國南方電網(wǎng)有限責(zé)任公司數(shù)字化部，廣東廣州 510700；2.南方電網(wǎng)數(shù)字電網(wǎng)研究院有限公司平臺安全分公司，廣東 廣州 510700）

隨著互聯(lián)網(wǎng)技術(shù)的飛速發(fā)展，網(wǎng)絡(luò)在各個行業(yè)中發(fā)揮著重要的作用，企業(yè)信息的日常維護(hù)、安全生產(chǎn)、人事管理等越來越依賴互聯(lián)網(wǎng)，給企業(yè)帶來經(jīng)濟(jì)效益的同時也帶來了更多的網(wǎng)絡(luò)安全問題，如果網(wǎng)絡(luò)出現(xiàn)安全風(fēng)險(xiǎn)，企業(yè)信息將會遭到泄露，其生產(chǎn)和辦公將無法正常運(yùn)行[1]。

目前，企業(yè)網(wǎng)絡(luò)出現(xiàn)的安全問題包括：企業(yè)網(wǎng)絡(luò)受到黑客、病毒、拒絕服務(wù)攻擊，黑客以非法手段獲取企業(yè)操作系統(tǒng)的口令[2]，強(qiáng)行闖入企業(yè)網(wǎng)絡(luò)系統(tǒng)，以此竊取企業(yè)信息，而病毒則將非法數(shù)據(jù)寫入到企業(yè)的操作系統(tǒng)中，從而拷貝企業(yè)網(wǎng)絡(luò)系統(tǒng)中磁盤上的企業(yè)信息。除此之外，企業(yè)網(wǎng)絡(luò)自身存在安全漏洞，安全漏洞來源于企業(yè)的操作系統(tǒng)、網(wǎng)絡(luò)協(xié)議與網(wǎng)絡(luò)服務(wù)[3]。面對這些安全風(fēng)險(xiǎn)，企業(yè)把優(yōu)勢資源只投入到安全漏洞方面，關(guān)注保護(hù)性控制，不重視對企業(yè)信息網(wǎng)絡(luò)安全的日常防護(hù)，從而不能有效防護(hù)來自企業(yè)內(nèi)部網(wǎng)絡(luò)系統(tǒng)與外部網(wǎng)絡(luò)的共同威脅[4]。

基于此，該文構(gòu)建了一種基于堡壘機(jī)技術(shù)的企業(yè)信息網(wǎng)絡(luò)安全防護(hù)模型，在企業(yè)網(wǎng)絡(luò)系統(tǒng)和外部網(wǎng)絡(luò)之間設(shè)置堡壘機(jī)，將企業(yè)信息網(wǎng)絡(luò)安全防護(hù)方案與風(fēng)險(xiǎn)因素進(jìn)行整合，從而得出針對企業(yè)信息網(wǎng)絡(luò)安全的防護(hù)流程，最后通過實(shí)驗(yàn)驗(yàn)證該文設(shè)計(jì)的基于堡壘機(jī)技術(shù)的企業(yè)信息網(wǎng)絡(luò)安全防護(hù)模型的網(wǎng)絡(luò)安全防護(hù)能力。

1 安全防護(hù)模型結(jié)構(gòu)

針對企業(yè)網(wǎng)絡(luò)目前存在的一些安全風(fēng)險(xiǎn)，結(jié)合堡壘機(jī)技術(shù)[5]，得到企業(yè)信息網(wǎng)絡(luò)安全防護(hù)模型結(jié)構(gòu)，如圖1 所示。

圖1 企業(yè)信息網(wǎng)絡(luò)安全防護(hù)模型結(jié)構(gòu)

防火墻將網(wǎng)絡(luò)系統(tǒng)中企業(yè)信息數(shù)據(jù)進(jìn)行打包操作，并按照網(wǎng)絡(luò)安全協(xié)議進(jìn)行過濾，可以保障企業(yè)內(nèi)部網(wǎng)絡(luò)和堡壘機(jī)免受外界入侵。企業(yè)內(nèi)部網(wǎng)絡(luò)在其與互聯(lián)網(wǎng)連通的端口處安裝防火墻[6]，企業(yè)內(nèi)部網(wǎng)絡(luò)內(nèi)所有的原始信息和企業(yè)計(jì)算機(jī)發(fā)送的信息都要經(jīng)過防火墻，它可以幫助企業(yè)內(nèi)部網(wǎng)絡(luò)過濾所有進(jìn)、出網(wǎng)絡(luò)的信息數(shù)據(jù)，能夠阻止黑客對企業(yè)網(wǎng)絡(luò)系統(tǒng)進(jìn)行攻擊，可以有效控制進(jìn)、出企業(yè)網(wǎng)絡(luò)系統(tǒng)的訪問次數(shù)，并管理其訪問行為。如果互聯(lián)網(wǎng)存在對企業(yè)信息不利的業(yè)務(wù)，防火墻可以對其進(jìn)行封堵，禁止其訪問企業(yè)內(nèi)部網(wǎng)絡(luò)[7]。除此之外，防火墻可以實(shí)時記錄進(jìn)、出企業(yè)內(nèi)部網(wǎng)絡(luò)系統(tǒng)的信息內(nèi)容和訪問地址，通過與堡壘機(jī)技術(shù)有機(jī)結(jié)合，對外界攻擊進(jìn)行實(shí)時監(jiān)測并發(fā)出入侵報(bào)警，關(guān)閉互聯(lián)網(wǎng)和企業(yè)內(nèi)部網(wǎng)絡(luò)連接的端口，以便進(jìn)行網(wǎng)絡(luò)安全防護(hù)工作。信息網(wǎng)絡(luò)收集邏輯架構(gòu)如圖2 所示。

圖2 信息網(wǎng)絡(luò)收集邏輯架構(gòu)

信息網(wǎng)絡(luò)收集邏輯架構(gòu)中的VPN 也叫作虛擬專用網(wǎng)絡(luò)，是一種先進(jìn)的網(wǎng)絡(luò)技術(shù)，采用堡壘機(jī)技術(shù)在互聯(lián)網(wǎng)上構(gòu)建企業(yè)網(wǎng)絡(luò)，通過身份認(rèn)證方式對企業(yè)信息進(jìn)行加密，并對網(wǎng)絡(luò)客戶端進(jìn)行密碼檢查。VPN 可以在堡壘機(jī)與堡壘機(jī)或服務(wù)器之間，對向企業(yè)網(wǎng)絡(luò)發(fā)送的信息內(nèi)容進(jìn)行身份認(rèn)證。通過虛擬傳輸接口，讓兩個處于不同客戶端的用戶感覺是在同一個客戶端上，安全、沒有限制地進(jìn)行網(wǎng)絡(luò)信息傳輸，企業(yè)的合作伙伴、員工、領(lǐng)導(dǎo)等可以安全地登錄企業(yè)局域網(wǎng)，瀏覽企業(yè)信息[8]。采集的數(shù)據(jù)類型與數(shù)量如表1 所示。

表1 采集的數(shù)據(jù)類型與數(shù)量

為保護(hù)企業(yè)信息中的私有信息不遭到泄密，在企業(yè)局域網(wǎng)內(nèi)設(shè)有專門的內(nèi)部信息子網(wǎng)，其包含企業(yè)的公共信息和私有信息，采用網(wǎng)絡(luò)安全協(xié)議和防護(hù)策略，在內(nèi)部信息子網(wǎng)的登錄處設(shè)置了訪問端口，對訪問用戶進(jìn)行嚴(yán)格的控制[9]。當(dāng)有緊急情況發(fā)生時，內(nèi)部信息子網(wǎng)可以與企業(yè)網(wǎng)絡(luò)和公共網(wǎng)絡(luò)完全隔離，公共網(wǎng)絡(luò)查看企業(yè)私有信息只能通過堡壘機(jī)技術(shù)查看。

企業(yè)內(nèi)、外部資源訪問內(nèi)部信息子網(wǎng)需要進(jìn)行嚴(yán)格的控制，內(nèi)部訪問資源可以使用較為薄弱的防護(hù)策略，對外部網(wǎng)絡(luò)提供服務(wù)，對訪問用戶進(jìn)行多種控制。外部訪問控制是企業(yè)內(nèi)的一種信息資源控制，企業(yè)外部用戶訪問企業(yè)內(nèi)部資源時，可以對其進(jìn)行身份認(rèn)證[10]。如果遠(yuǎn)端用戶想要訪問企業(yè)信息，需要由企業(yè)外部資源控制驗(yàn)證其身份，檢查訪問權(quán)限，查看訪問級別，才可允許訪問。

2 安全防護(hù)基本流程

基于堡壘機(jī)技術(shù)的企業(yè)信息網(wǎng)絡(luò)安全防護(hù)的關(guān)鍵是將堡壘機(jī)技術(shù)和網(wǎng)絡(luò)安全防護(hù)策略進(jìn)行結(jié)合，在身份認(rèn)證、控制檢查、訪問內(nèi)容、訪問級別、管理權(quán)限、構(gòu)建、測試環(huán)節(jié)[11]融入安全風(fēng)險(xiǎn)與防護(hù)方法。企業(yè)信息網(wǎng)絡(luò)安全防護(hù)方法如圖3 所示。

圖3 企業(yè)信息網(wǎng)絡(luò)安全防護(hù)方法

堡壘機(jī)技術(shù)下的企業(yè)信息網(wǎng)絡(luò)安全防護(hù)方法被利用在防護(hù)流程中，安全風(fēng)險(xiǎn)發(fā)現(xiàn)階段始于身份認(rèn)證階段，訪問內(nèi)容在遠(yuǎn)端用戶訪問企業(yè)內(nèi)部信息子網(wǎng)時獲得，并在測試階段反映給控制系統(tǒng)[12]。根據(jù)以上給出的網(wǎng)絡(luò)安全防護(hù)方法，基于堡壘機(jī)技術(shù)的企業(yè)信息網(wǎng)絡(luò)安全防護(hù)的基本流程如圖4 所示。

圖4 企業(yè)信息網(wǎng)絡(luò)安全防護(hù)基本流程

企業(yè)信息網(wǎng)絡(luò)安全防護(hù)過程從企業(yè)信息分類開始，在企業(yè)信息分類過程中，建立企業(yè)信息模型并對其進(jìn)行分析，信息分類階段會產(chǎn)生信息分類列表、分類列表的網(wǎng)絡(luò)安全級別、訪問控制向量，為基于堡壘機(jī)技術(shù)的企業(yè)信息建模提供基礎(chǔ)[13]。信息分類階段可以是使用級、網(wǎng)絡(luò)級、企業(yè)級或者信息級，該階段會擴(kuò)展信息訪問功能，以此獲得遠(yuǎn)端用戶訪問企業(yè)內(nèi)部信息子網(wǎng)的效果矩陣，訪問權(quán)限控制功能會建立企業(yè)級的防護(hù)措施，防護(hù)措施通過訪問權(quán)限矩陣得出的結(jié)果返回到企業(yè)信息分類列表中，顯示訪問的信息內(nèi)容，生成訪問級別，并記錄堡壘機(jī)與企業(yè)局域網(wǎng)、企業(yè)網(wǎng)絡(luò)和公共網(wǎng)絡(luò)之間出現(xiàn)的安全風(fēng)險(xiǎn)。遠(yuǎn)端用戶訪問企業(yè)網(wǎng)絡(luò)而形成的控制矩陣會產(chǎn)生以下三種結(jié)果：

1）企業(yè)網(wǎng)絡(luò)控制系統(tǒng)。利用控制矩陣對堡壘機(jī)技術(shù)下的信息訪問效果進(jìn)行評估，需要企業(yè)網(wǎng)絡(luò)控制系統(tǒng)提供當(dāng)前影響訪問效果的因素，以此識別出企業(yè)網(wǎng)絡(luò)控制系統(tǒng)的運(yùn)行狀態(tài)，從而確認(rèn)系統(tǒng)是否需要觸發(fā)更新[14]。采用企業(yè)網(wǎng)絡(luò)的內(nèi)部控制資源輸出控制效果，通過網(wǎng)絡(luò)安全授權(quán)控制器記錄控制結(jié)果，該控制結(jié)果可以更清晰地顯示非法入侵者攻擊企業(yè)網(wǎng)絡(luò)使用的攻擊手段。

2）網(wǎng)絡(luò)安全防護(hù)結(jié)構(gòu)圖。對控制矩陣進(jìn)行定量分析，利用分析結(jié)果可形成企業(yè)信息網(wǎng)絡(luò)安全防護(hù)結(jié)構(gòu)圖，并形成可視化的訪問架構(gòu)，企業(yè)信息分類列表的大小可間接反映控制矩陣的規(guī)模[15]。得到的企業(yè)信息安全態(tài)勢模型如圖5 所示。

圖5 企業(yè)信息安全態(tài)勢模型

3）企業(yè)信息訪問記錄。該記錄可直觀顯示外界對企業(yè)內(nèi)部網(wǎng)絡(luò)攻擊的情況，攻擊的目的是訪問企業(yè)信息，獲取企業(yè)公共信息和私有信息，并粘貼和復(fù)制自身數(shù)據(jù)。企業(yè)信息訪問記錄與網(wǎng)絡(luò)安全防護(hù)結(jié)構(gòu)圖中使用的數(shù)據(jù)集合相同，基于堡壘機(jī)技術(shù)的企業(yè)信息網(wǎng)絡(luò)安全防護(hù)流程的最后階段是產(chǎn)生或輸出。網(wǎng)絡(luò)安全防護(hù)結(jié)構(gòu)圖也是一種防御工具[16]，可以有效阻止來自企業(yè)內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)的攻擊，與企業(yè)信息訪問記錄聯(lián)合，成為企業(yè)信息網(wǎng)絡(luò)安全防護(hù)控制的模范記錄。

3 實(shí)驗(yàn)研究

為了驗(yàn)證該文建立的基于堡壘機(jī)技術(shù)的企業(yè)信息網(wǎng)絡(luò)安全防護(hù)模型的防護(hù)效果，通過實(shí)驗(yàn)與其他網(wǎng)絡(luò)安全防護(hù)模型進(jìn)行對比。該文建立的網(wǎng)絡(luò)安全防護(hù)模型從訪問控制、訪問權(quán)限、安全風(fēng)險(xiǎn)分析和預(yù)處理4 個方面進(jìn)行分析，采用堡壘機(jī)技術(shù)下的網(wǎng)絡(luò)安全防護(hù)方法，分析企業(yè)內(nèi)部網(wǎng)絡(luò)存在的安全隱患以及安全隱患的來源。

該文建立的網(wǎng)絡(luò)安全防護(hù)模型能夠很好地應(yīng)對企業(yè)網(wǎng)絡(luò)內(nèi)部出現(xiàn)的安全隱患，遠(yuǎn)端用戶訪問企業(yè)內(nèi)部信息子網(wǎng)的行為可由網(wǎng)絡(luò)安全授權(quán)控制器控制，減少遠(yuǎn)端用戶對企業(yè)內(nèi)部網(wǎng)絡(luò)造成的威脅，保證企業(yè)網(wǎng)絡(luò)安全、穩(wěn)定運(yùn)行，對企業(yè)漏洞防護(hù)數(shù)據(jù)、企業(yè)信息保密數(shù)據(jù)、企業(yè)內(nèi)部資源數(shù)據(jù)進(jìn)行大數(shù)據(jù)分析，能夠更快速地篩選出對企業(yè)網(wǎng)絡(luò)安全造成威脅的數(shù)據(jù)，與其他網(wǎng)絡(luò)安全防護(hù)模型相比[17-18]，篩選效率更高，準(zhǔn)確性更好。與此同時，企業(yè)外部資源數(shù)據(jù)庫采集海量的原始信息輸入、輸出潛在威脅參數(shù)，并優(yōu)先對這些潛在的威脅參數(shù)進(jìn)行可行化分析和處理。

面對企業(yè)網(wǎng)站遭受攻擊量大、安全漏洞多、攻擊強(qiáng)度大等問題，其他的網(wǎng)絡(luò)安全模型只分析攻擊類型和尋找網(wǎng)絡(luò)安全隱患，不能有效解決攻擊量和漏洞量大的問題。設(shè)攻擊漏洞為25 個，為了有效減少漏洞量，降低外界攻擊強(qiáng)度，綜合分析時間維度訪問量、攻擊量、信息業(yè)務(wù)訪問量、空間維度訪問量，得出企業(yè)網(wǎng)絡(luò)系統(tǒng)漏洞防護(hù)分析實(shí)驗(yàn)結(jié)果，如表2 所示。

表2 系統(tǒng)漏洞防護(hù)分析實(shí)驗(yàn)結(jié)果

由表2 可知，基于該文建立的網(wǎng)絡(luò)安全防護(hù)模型，漏洞量非常小，遠(yuǎn)遠(yuǎn)小于其他企業(yè)網(wǎng)站的漏洞量，說明該文設(shè)計(jì)的網(wǎng)絡(luò)安全防護(hù)模型防護(hù)等級高，有效阻止了外界的攻擊和入侵，提高了企業(yè)內(nèi)部網(wǎng)絡(luò)安全防護(hù)能力，有效整合了各類企業(yè)信息系統(tǒng)，擴(kuò)展了網(wǎng)絡(luò)安全分析的維度，增強(qiáng)了對大量威脅事件的檢測能力、取證能力和處理能力。產(chǎn)生這一結(jié)果的原因在于該文建立的基于堡壘機(jī)技術(shù)的企業(yè)信息網(wǎng)絡(luò)安全防護(hù)模型具有較強(qiáng)的網(wǎng)絡(luò)安全防護(hù)能力，其防護(hù)效果均優(yōu)于其他網(wǎng)絡(luò)安全防護(hù)模型，能夠有效減少漏洞量，阻止外界攻擊企業(yè)內(nèi)部網(wǎng)絡(luò)，具有更高的有效性和可行性。

4 結(jié)束語

該文針對企業(yè)安全漏洞多、網(wǎng)絡(luò)安全防護(hù)能力差等問題，建立了基于堡壘機(jī)技術(shù)的企業(yè)信息網(wǎng)絡(luò)安全防護(hù)模型，實(shí)驗(yàn)結(jié)果表明，該模型提升了防護(hù)效果和應(yīng)對安全事件的主動性，具有較高的有效性和可行性。