韓慧穎

（河南省水文水資源中心，河南 鄭州 450003）

1 項(xiàng)目概述

針對(duì)河南省水利系統(tǒng)網(wǎng)絡(luò)的現(xiàn)狀和存在的安全問題，河南省水利廳提出了“基礎(chǔ)網(wǎng)絡(luò)和重要信息系統(tǒng)安全可視、可管、可控，重要信息資源安全得到切實(shí)保障，用戶的信息得到有效保護(hù)”的網(wǎng)絡(luò)安全防護(hù)體系建設(shè)目標(biāo)。實(shí)現(xiàn)這一目標(biāo)，設(shè)計(jì)思路必須轉(zhuǎn)變，要從過去單純強(qiáng)調(diào)防護(hù)舊的思維模式轉(zhuǎn)變到注重預(yù)警、監(jiān)測(cè)、響應(yīng)上來；要在充分利用和依托已有的網(wǎng)絡(luò)安全設(shè)施、設(shè)備的基礎(chǔ)上，進(jìn)一步完善技術(shù)、管理、運(yùn)營三大安全體系。因此，這次設(shè)計(jì)是按“四縱三橫”（安全管理、技術(shù)、運(yùn)營、監(jiān)管、應(yīng)用、平臺(tái)）架構(gòu)分層進(jìn)行。通過項(xiàng)目實(shí)施，將建立起網(wǎng)絡(luò)安全聯(lián)動(dòng)機(jī)制，全面提升安全運(yùn)營能力，最終實(shí)現(xiàn)“技術(shù)可落地、管理可執(zhí)行、平臺(tái)可擴(kuò)展、安全可運(yùn)營”。

2 建設(shè)現(xiàn)狀分析

由于多用戶和分支（主要是下屬單位）的接入、多系統(tǒng)數(shù)據(jù)共享和調(diào)用，帶來整個(gè)網(wǎng)絡(luò)的外聯(lián)與訪問關(guān)系及橫向訪問邏輯的復(fù)雜，導(dǎo)致內(nèi)部安全域間和整體網(wǎng)絡(luò)內(nèi)部的諸多安全風(fēng)險(xiǎn)，存在著安全隱患，也給不法分子及黑客入侵網(wǎng)絡(luò)提供了條件。如何防止外來入侵，保護(hù)重要信息的穩(wěn)定性、可靠性，保證系統(tǒng)的可用性、安全性和完整性等問題即是文章研究的主要內(nèi)容。

3 方案設(shè)計(jì)

方案設(shè)計(jì)總體安全防護(hù)框架設(shè)計(jì)如圖1。

圖1 總體安全防護(hù)框架圖

3.1 安全技術(shù)體系

3.1.1 安全運(yùn)營管理中心

①安全監(jiān)測(cè)中心：對(duì)系統(tǒng)、設(shè)備安全監(jiān)測(cè)和報(bào)警，提供多層次安全監(jiān)測(cè)服務(wù)。②安全防御中心：加強(qiáng)協(xié)調(diào)聯(lián)動(dòng)，進(jìn)行主動(dòng)防御，提升整體的安全防御能力。③安全運(yùn)維中心：保障網(wǎng)絡(luò)穩(wěn)定運(yùn)行，通過不斷優(yōu)化系統(tǒng)架構(gòu)和部署的合理性，以提升系統(tǒng)服務(wù)水平。④安全響應(yīng)中心：采用本地服務(wù)+云端服務(wù)+專家新型工作模式，結(jié)合云端的威脅情報(bào)、大數(shù)據(jù)及時(shí)的技術(shù)保障服務(wù)。

3.1.2 三重防護(hù)

①區(qū)域邊界安全：按照等級(jí)保護(hù)安全區(qū)域邊界控制點(diǎn)、測(cè)評(píng)項(xiàng)的要求，做好邊界保護(hù)、訪問控制、入侵防范、惡意代碼和垃圾郵件防范及安全審計(jì)，提高區(qū)域邊界安全性。②計(jì)算環(huán)境安全：從身份鑒別、訪問控制、安全審計(jì)、入侵防范、可信驗(yàn)證、數(shù)據(jù)完整性、數(shù)據(jù)保密性及數(shù)據(jù)備份恢復(fù)等方面做好工作，打造一個(gè)安全、可信和可靠的計(jì)算環(huán)境。③通信網(wǎng)絡(luò)安全：加強(qiáng)物理訪問、防盜竊和防破壞、防水和防潮、溫濕度控制、電力供應(yīng)、網(wǎng)絡(luò)架構(gòu)、集中管控、漏洞和風(fēng)險(xiǎn)管理等方面的工作。

3.2 安全管理體系

組建專業(yè)的管理隊(duì)伍，搞好人員的定期培訓(xùn)，不斷提高自身的業(yè)務(wù)水平和應(yīng)急能力；建立健全各項(xiàng)管理制度，搞好人員分工，明確職責(zé)范圍，做到規(guī)范操作；加強(qiáng)網(wǎng)絡(luò)設(shè)備的安全管理，防止意外事故的發(fā)生，減小意外事故所引發(fā)的破壞程度。

3.3 安全運(yùn)營體系

組建專業(yè)運(yùn)營隊(duì)伍，搞好人員培訓(xùn)，不斷提高業(yè)務(wù)水平和運(yùn)營服務(wù)能力；建立健全各項(xiàng)管理制度，搞好人員分工，明確職責(zé)范圍；做好網(wǎng)絡(luò)設(shè)備的日常維修加固，搞好技術(shù)咨詢和安全評(píng)估，提高安全運(yùn)營服務(wù)水平，確保網(wǎng)絡(luò)系統(tǒng)安全運(yùn)行。

4 方案部署策略

4.1 物理環(huán)境安全策略

①物理邊界安全：辦公場(chǎng)所區(qū)域須采取安防措施和統(tǒng)一的出入口控制；辦公場(chǎng)所周邊安裝視頻監(jiān)控、紅外入侵監(jiān)測(cè)等安防監(jiān)測(cè)系統(tǒng)。②物理入口控制：采用門禁，機(jī)房區(qū)域的入口安裝監(jiān)控設(shè)備。③設(shè)施的安全保護(hù)：機(jī)房門上安裝自動(dòng)閉合裝置。配備煙霧和火苗探測(cè)器，安裝自動(dòng)滅火器；定期進(jìn)行對(duì)各類基礎(chǔ)設(shè)施巡檢。④外部和環(huán)境威脅的安全防護(hù)：按照《機(jī)房安全環(huán)境管理規(guī)定》執(zhí)行。

4.2 通信網(wǎng)絡(luò)安全策略

①身份鑒別；通過用戶口令和密碼方式達(dá)到網(wǎng)絡(luò)系統(tǒng)權(quán)限分級(jí)。②網(wǎng)絡(luò)授權(quán)：即向終端發(fā)放訪問許可證書。③數(shù)據(jù)保護(hù)：利用數(shù)據(jù)加密后的數(shù)據(jù)包發(fā)送與訪問的指向性。④收發(fā)確認(rèn)：用發(fā)送確認(rèn)信息的方式表示對(duì)發(fā)送數(shù)據(jù)和收方接收數(shù)據(jù)的承認(rèn)。⑤保證數(shù)據(jù)的完整性：一般是通過數(shù)據(jù)檢查核對(duì)的方式達(dá)成的。⑥業(yè)務(wù)流分析保護(hù)：阻止垃圾信息大量出現(xiàn)。

4.3 區(qū)域邊界安全策略

①邊界防護(hù)：通過有效的技術(shù)措施對(duì)外部設(shè)備的網(wǎng)絡(luò)接入、內(nèi)部設(shè)備的網(wǎng)絡(luò)外連及無線網(wǎng)絡(luò)的使用管控。②訪問控制：在網(wǎng)絡(luò)邊界及各網(wǎng)絡(luò)區(qū)域間布設(shè)訪問控制設(shè)備。③入侵防范：指對(duì)外部或內(nèi)部網(wǎng)絡(luò)發(fā)起的攻擊，以及新型攻擊的防范。④惡意代碼和垃圾郵件防范：在網(wǎng)絡(luò)邊界處設(shè)置防惡意代碼和垃圾郵件的產(chǎn)品或組件，防惡意代碼的特征庫和垃圾郵件的防護(hù)機(jī)制要及時(shí)進(jìn)行升級(jí)和更新，并保持正常開啟，及時(shí)進(jìn)行檢測(cè)和清除。⑤網(wǎng)絡(luò)安全審計(jì)：重點(diǎn)包括對(duì)網(wǎng)絡(luò)流量的監(jiān)測(cè)、對(duì)異常流量的識(shí)別和報(bào)警、對(duì)網(wǎng)絡(luò)設(shè)備運(yùn)行情況的監(jiān)測(cè)等。隨時(shí)對(duì)其日志記錄進(jìn)行分析，發(fā)現(xiàn)異?，F(xiàn)象，及時(shí)采取報(bào)警、阻斷等操作。⑥可信驗(yàn)證：可基于可信根對(duì)通信設(shè)備（交換機(jī)、路由器或其他通信設(shè)備）的系統(tǒng)引導(dǎo)程序、系統(tǒng)程序、重要配置參數(shù)和通信應(yīng)用程序等進(jìn)行完整性驗(yàn)證或檢測(cè)，在檢測(cè)到其可信性受到破壞后進(jìn)行報(bào)警，并將驗(yàn)證結(jié)果形成審計(jì)記錄送至安全管理中心，便于后續(xù)處置。

4.4 計(jì)算環(huán)境安全策略

①身份鑒別：一般采用口令、密碼技術(shù)、生物技術(shù)等兩種或兩種以上組合的鑒別技術(shù)對(duì)用戶進(jìn)行身份鑒別，至少應(yīng)使用密碼技術(shù)來實(shí)現(xiàn)。當(dāng)進(jìn)行遠(yuǎn)程管理時(shí)，應(yīng)采取必要措施防止鑒別信息在傳輸中被竊聽。②訪問控制：對(duì)登錄的用戶分配賬戶和權(quán)限，避免共享賬戶存在，實(shí)現(xiàn)管理用戶權(quán)限分離，規(guī)定主體對(duì)客體的訪問規(guī)則，訪問控制的粒度應(yīng)達(dá)到主體為用戶級(jí)或進(jìn)程級(jí)，客體為文件、數(shù)據(jù)庫表級(jí)，控制主體對(duì)有安全標(biāo)記信息資源的訪問。③安全審計(jì)：?jiǎn)⒂冒踩珜徲?jì)功能，覆蓋到每個(gè)用戶，對(duì)重要的用戶行為和重要安全事件進(jìn)行審計(jì)；對(duì)審計(jì)記錄進(jìn)行保護(hù)，定期備份；注意審計(jì)進(jìn)程中的保護(hù)，防止未經(jīng)授權(quán)的中斷。④入侵防范：遵循最小安裝的原則，僅安裝需要的組件和應(yīng)用程序；關(guān)閉不需要的端口；限制通過網(wǎng)絡(luò)進(jìn)行管理的管理終端；設(shè)置數(shù)據(jù)有效性檢驗(yàn)功能，保證通過接口輸入的內(nèi)容符合要求；發(fā)現(xiàn)可能存在的漏洞及時(shí)修補(bǔ)；檢測(cè)到對(duì)重要節(jié)點(diǎn)進(jìn)行入侵的行為及時(shí)報(bào)警。⑤可信驗(yàn)證：可基于可信根對(duì)計(jì)算設(shè)備的系統(tǒng)引導(dǎo)程序、系統(tǒng)程序、重要配置參數(shù)和應(yīng)用程序等進(jìn)行可信驗(yàn)證，在檢測(cè)到其可信性受到破壞后報(bào)警，并將驗(yàn)證結(jié)果形成審計(jì)記錄送至安全管理中心。⑥數(shù)據(jù)完整性：采用校驗(yàn)技術(shù)或密碼技術(shù)保證重要數(shù)據(jù)在傳輸或存儲(chǔ)過程中的完整性。⑦數(shù)據(jù)保密性：采用密碼技術(shù)保證重要數(shù)據(jù)在傳輸或存儲(chǔ)過程中的保密性。⑧數(shù)據(jù)備份恢復(fù)：提供重要數(shù)據(jù)的本地?cái)?shù)據(jù)備份與恢復(fù)功能、異地實(shí)時(shí)備份功能及處理系統(tǒng)的熱冗余，保證系統(tǒng)高可用性。

4.5 安全管理策略

完善組織人員、資產(chǎn)、系統(tǒng)建設(shè)、系統(tǒng)運(yùn)維管理、應(yīng)急響應(yīng)等多方面機(jī)制，安全管理應(yīng)與日常運(yùn)維緊密結(jié)合，加強(qiáng)網(wǎng)絡(luò)安全監(jiān)測(cè)預(yù)警和應(yīng)急處置，定期演練應(yīng)急預(yù)案，形成安全管理保障體系。

5 結(jié)語

項(xiàng)目實(shí)施將建成區(qū)域邊界、計(jì)算環(huán)境、通信網(wǎng)絡(luò)三維一體的技術(shù)防御體系，對(duì)系統(tǒng)、產(chǎn)品、設(shè)備、策略、信息安全事件、操作流程等統(tǒng)一高效管理。實(shí)現(xiàn)“基礎(chǔ)網(wǎng)絡(luò)和重要信息系統(tǒng)安全可視、可管、可控，重要信息資源安全得到切實(shí)保障，用戶的信息得到有效保護(hù)”的建設(shè)目標(biāo)。