張都樂 何淼 張洋 王照付

中國石油天然氣管道工程有限公司 河北 065000

0 引言

信息化已作為推進(jìn)全球化的一支重要力量，深刻地改變著人們的生活，信息安全成為影響網(wǎng)絡(luò)空間健康發(fā)展的關(guān)鍵因素。近年來，或者出于商業(yè)利益，或者出于政治和意識形態(tài)的利益，全球范圍內(nèi)的信息安全事件越來越多，以2010年的Aurora事件，Stuxnet事件、2011年的RSA SecurID竊取事件，CSDN泄密事件、Shady RAT攻擊等為代表，攻擊的規(guī)模持續(xù)增加，其復(fù)雜度不斷提高，攻擊者的目標(biāo)選擇、協(xié)作組織和影響范圍均體現(xiàn)出明顯的系統(tǒng)性趨勢，造成的損失和影響逐年增大，已成為一個(gè)不容忽視的現(xiàn)實(shí)問題。

信息安全等級保護(hù)是我國正在大力推行的一項(xiàng)制度，按信息系統(tǒng)的重要程度及危害程度采取分級保護(hù)，以保護(hù)業(yè)務(wù)信息和系統(tǒng)服務(wù)為目標(biāo)，通過有效執(zhí)行管理、技術(shù)、人員、工程等四個(gè)安全保障要素，確保信息系統(tǒng)的保密性、完整性和可用性等信息的安全性從而到達(dá)保障系統(tǒng)安全。在信息安全等級保護(hù)的5個(gè)等級中，4～5級等級保護(hù)主要是針對高等級、涉及國家要害部分和關(guān)鍵信息等，具有較強(qiáng)的針對性，使用面較窄。而1～3級信息安全等級保護(hù)是基礎(chǔ)、適用于大多數(shù)的信息系統(tǒng)，因而具有使用的廣泛性。

在實(shí)際工作中，如何編寫一個(gè)適合本單位實(shí)際情況又符合等級保護(hù)要求的實(shí)施方案，是成功實(shí)現(xiàn)信息系統(tǒng)安全的前提。

1 三級安全系統(tǒng)模型

1.1 安全計(jì)算環(huán)境設(shè)計(jì)

安全計(jì)算環(huán)境是指對定級系統(tǒng)的信息進(jìn)行存儲、處理及實(shí)施安全策略的相關(guān)系統(tǒng)，是一個(gè)信息系統(tǒng)的核心。安全計(jì)算環(huán)境在有效的區(qū)域邊界安全防護(hù)下，可以避免受到來自外部網(wǎng)絡(luò)的攻擊和非授權(quán)訪問。因此，安全計(jì)算環(huán)境的安全防護(hù)主要是防范因系統(tǒng)本身的脆弱性而遭受攻擊。同時(shí)，安全計(jì)算環(huán)境的安全防護(hù)還要實(shí)現(xiàn)對來自系統(tǒng)內(nèi)部的攻擊、非授權(quán)訪問的防范，特別是內(nèi)部人員的違規(guī)操作、誤操作以及各種病毒的攻擊與破壞。作為一個(gè)整體，龐大的桌面用戶計(jì)算環(huán)境的安全設(shè)計(jì)更應(yīng)該予以關(guān)注。

安全計(jì)算環(huán)境安全設(shè)計(jì)包括物理安全、主機(jī)安全、應(yīng)用安全、數(shù)據(jù)安全以及備份恢復(fù)等5個(gè)方面。

1.2 安全網(wǎng)絡(luò)環(huán)境設(shè)計(jì)

網(wǎng)絡(luò)將信息系統(tǒng)的各種計(jì)算機(jī)/計(jì)算域、用戶/用戶域連接在一起，提供各系統(tǒng)之間信息傳輸通道的任務(wù)，包括各種網(wǎng)絡(luò)設(shè)備、網(wǎng)絡(luò)鏈路和通過網(wǎng)絡(luò)傳輸?shù)男畔⒘鳌＞W(wǎng)絡(luò)可能位于系統(tǒng)的邊界內(nèi)部，也可能位于邊界外部，特別是網(wǎng)絡(luò)信息流可能需要通過未知的網(wǎng)絡(luò)環(huán)境傳輸。因此，網(wǎng)絡(luò)的安全防護(hù)既要保證網(wǎng)絡(luò)設(shè)備自身的安全(對各種設(shè)備的操作系統(tǒng)進(jìn)行定期、不定期的加固)，防范其受到攻擊和非授權(quán)訪問，又要保證網(wǎng)絡(luò)信息流的安全，保護(hù)網(wǎng)絡(luò)信息流的可用性、保密性和完整性。對于網(wǎng)絡(luò)的保密要求，采用網(wǎng)絡(luò)加密技術(shù)可以實(shí)現(xiàn)等級保護(hù)三級中的所有要求。

網(wǎng)絡(luò)安全域應(yīng)該具有安全的網(wǎng)絡(luò)結(jié)構(gòu)，同時(shí)應(yīng)該具備諸如網(wǎng)絡(luò)訪問控制、安全審計(jì)、邊界完整性、入侵防范、惡意代碼防范、網(wǎng)絡(luò)設(shè)備防護(hù)、可信接入保護(hù)等安全功能。

1.3 安全區(qū)域邊界設(shè)計(jì)

邊界安全防護(hù)是從各個(gè)信息安全系統(tǒng)的業(yè)務(wù)流程的完整性上進(jìn)行區(qū)分，是不同安全域的邊界，一般而言，邊界安全防護(hù)邊界防御是利用隔離裝置或技術(shù)(比如防火墻、入侵檢測、MPLS VPN、VPN、VRF、VLAN、ACL等安全設(shè)備或技術(shù))來保護(hù)進(jìn)入安全域的入口點(diǎn)，邊界防護(hù)一般具備網(wǎng)絡(luò)強(qiáng)隔離、地址綁定、訪問控制、抵御SQL注入攻擊以及針對DDoS和APT攻擊等功能。其目標(biāo)是保護(hù)邊界內(nèi)的信息系統(tǒng)不會受到來自邊界外部的攻擊，同時(shí)也可以防止內(nèi)部惡意人員跨越邊界對外部的信息系統(tǒng)進(jìn)行攻擊以及信息的泄露。并且當(dāng)發(fā)生安全事件后，邊界防護(hù)設(shè)備日志信息符合相關(guān)等級的規(guī)定，管理人員可以通過審核日志發(fā)現(xiàn)違規(guī)事件記錄以進(jìn)行審計(jì)追蹤。

1.4 安全管理中心設(shè)計(jì)

安全管理中心作為信息系統(tǒng)的核心安全管理平臺，是對信息系統(tǒng)的各種安全機(jī)制進(jìn)行管理使其發(fā)揮應(yīng)有安全作用的重要環(huán)節(jié)。通過安全管理中心，將系統(tǒng)中地域上分散的安全機(jī)制進(jìn)行系統(tǒng)化設(shè)計(jì)和集中管理，構(gòu)成以安全管理中心為核心的安全技術(shù)體系，使安全機(jī)制發(fā)揮更好的作用。可以作為對整個(gè)企業(yè)信息系統(tǒng)及其各個(gè)系統(tǒng)域的安全計(jì)算域、安全用戶域、區(qū)域邊界、網(wǎng)絡(luò)安全域等環(huán)節(jié)的安全保護(hù)措施，進(jìn)行統(tǒng)一的協(xié)調(diào)和調(diào)度，從而實(shí)現(xiàn)包含用戶身份、授權(quán)、訪問控制、操作審計(jì)等全過程的安全管理措施，并實(shí)現(xiàn)集中事件和風(fēng)險(xiǎn)管理，發(fā)揮出整體安全防護(hù)系統(tǒng)的作用。

2 三級安全系統(tǒng)的實(shí)現(xiàn)

公司信息系統(tǒng)等級保護(hù)的實(shí)施過程五個(gè)步驟：系統(tǒng)定級、總體安全規(guī)劃、安全設(shè)計(jì)與實(shí)施、安全運(yùn)行與維護(hù)、信息系統(tǒng)終止。

(1) 系統(tǒng)定級

系統(tǒng)定級主要包括系統(tǒng)識別與描述；通過風(fēng)險(xiǎn)評估，根據(jù)相關(guān)標(biāo)準(zhǔn)確定信息系統(tǒng)的等級標(biāo)準(zhǔn)，經(jīng)相關(guān)部門批準(zhǔn)后形成定級報(bào)告，完成信息系統(tǒng)的劃分與定級。

(2) 總體安全規(guī)劃

總體安全規(guī)劃階段根據(jù)信息系統(tǒng)的劃分、定級、承載業(yè)務(wù)情況，通過分析明確信息系統(tǒng)安全需求，并根據(jù)風(fēng)險(xiǎn)評估的結(jié)果，綜合平衡安全風(fēng)險(xiǎn)和成本，以及各系統(tǒng)特定安全要求，設(shè)計(jì)合理的、滿足等級保護(hù)要求的總體安全方案，并制定出安全實(shí)施計(jì)劃，以指導(dǎo)后續(xù)的信息系統(tǒng)安全建設(shè)工程實(shí)施。對于己運(yùn)營(運(yùn)行)的信息系統(tǒng)，需求分析應(yīng)當(dāng)首先分析判斷信息系統(tǒng)的安全保護(hù)現(xiàn)狀與等級保護(hù)要求之間的差距。

(3) 安全設(shè)計(jì)與實(shí)施

本階段按照信息系統(tǒng)安全總體方案的要求，結(jié)合信息系統(tǒng)安全建設(shè)項(xiàng)目計(jì)劃，分期分步落實(shí)安全措施，并按照等級保護(hù)的要求，選擇相應(yīng)的方式來評估系統(tǒng)是否滿足相應(yīng)的等級保護(hù)要求，并對等級保護(hù)建設(shè)的最終結(jié)果進(jìn)行驗(yàn)收。

(4) 運(yùn)行與維護(hù)

在系統(tǒng)的運(yùn)行期間，監(jiān)控系統(tǒng)和系統(tǒng)安全風(fēng)險(xiǎn)的變化，評估系統(tǒng)的安全狀況。根據(jù)評估結(jié)果決定系統(tǒng)的改進(jìn)：重新定級或改進(jìn)相應(yīng)的安全措施滿足新的情況。

(5) 信息系統(tǒng)終止

信息系統(tǒng)在終止處理過程中應(yīng)確保信息轉(zhuǎn)移、設(shè)備遷移和介質(zhì)銷毀等方面的安全。

3 關(guān)鍵問題

等級保護(hù)建設(shè)從根本意義上是合規(guī)性建設(shè)，一方面既要根據(jù)要求對現(xiàn)有系統(tǒng)進(jìn)行合規(guī)性整改，同時(shí)應(yīng)將新系統(tǒng)建設(shè)的整個(gè)生命周期與等級保護(hù)過程進(jìn)行無縫連接，使得安全成為信息系統(tǒng)的一部分，確保等級保護(hù)的各項(xiàng)要求確實(shí)落地；另一方面，等級保護(hù)出發(fā)點(diǎn)是適度保護(hù)，促進(jìn)信息安全共享，因此等級保護(hù)建設(shè)時(shí)應(yīng)該充分考慮不同安全域之間互相操作的問題；這兩個(gè)問題關(guān)系到等級保護(hù)的建設(shè)成功的能否成功的問題。

3.1 信息系統(tǒng)全生命周期的安全保護(hù)

新建信息系統(tǒng)的等級保護(hù)工作與已經(jīng)建成的信息系統(tǒng)之間，在等級保護(hù)工作的切入點(diǎn)方面是不相同的，它們各自的切入點(diǎn)及其對應(yīng)關(guān)系如圖1所示。

圖1 等級保護(hù)過程與系統(tǒng)生命周期對應(yīng)關(guān)系

(1) 組織規(guī)劃階段，應(yīng)分析并確定所建信息系統(tǒng)的安全等級，并在項(xiàng)目建議書中對系統(tǒng)的安全等級進(jìn)行論證。

(2) 開發(fā)采購階段，要根據(jù)所確定的系統(tǒng)安全等級，設(shè)計(jì)系統(tǒng)的安全保護(hù)措施，并在可行性分析中論證安全保護(hù)措施。

(3) 實(shí)施交付階段，要與信息系統(tǒng)建設(shè)同步進(jìn)行信息安全等級保護(hù)體系的實(shí)施，之后進(jìn)行等級評估和驗(yàn)收。

(4) 運(yùn)行維護(hù)階段，要按照所建立的等級保護(hù)體系的要求，進(jìn)行安全維護(hù)與安全管理。

(5) 廢棄階段，要按照所建立的等級保護(hù)體系的要求，對廢棄過程進(jìn)行有效的安全管理。

對于已建的信息系統(tǒng)，由于在系統(tǒng)規(guī)劃、設(shè)計(jì)和實(shí)施階段沒有考慮等級保護(hù)的要求，因此等級保護(hù)工作的切入點(diǎn)是系統(tǒng)運(yùn)行維護(hù)階段。

3.2 安全域之間互操作的安全保護(hù)

不同安全域之間互操作的安全保護(hù)包括相同安全保護(hù)等級和不同安全保護(hù)等級的安全域之間互操作的安全保護(hù)，以及獨(dú)立用戶/用戶群對安全域的訪問操作的安全保護(hù)，主要涉及到安全通信與多角色主機(jī)，文獻(xiàn)[6]中對此進(jìn)行了詳細(xì)討論。

在企業(yè)網(wǎng)內(nèi)，選擇用戶名結(jié)合域名拼接的方式進(jìn)行認(rèn)證，由認(rèn)證服務(wù)器配合進(jìn)行用戶名和域名的獨(dú)立解析，然后下發(fā)動態(tài)的設(shè)備配置到主機(jī)所接入的交換機(jī)的對應(yīng)端口，用戶認(rèn)證通過后，根據(jù)后綴屬性實(shí)現(xiàn)同一賬號在各個(gè)業(yè)務(wù)域內(nèi)安全接入，通過身份實(shí)現(xiàn)控制權(quán)限動態(tài)下發(fā)ACL(Access Control List)或VALN(Virtual Local Area Network)，以不同的VLAN號區(qū)分不同的業(yè)務(wù)，完成服務(wù)器資源的訪問。

在跨廣域傳輸中，通過MPLS VPN訪問內(nèi)部資源，以VRF(VPN Routing Forwarding)來區(qū)別不同業(yè)務(wù)，在數(shù)據(jù)中心前端，通過多實(shí)例用戶網(wǎng)絡(luò)邊界設(shè)備MCE(Multi-VPNInstance Customer Edge)連接技術(shù)，實(shí)現(xiàn)對不同來自VRF業(yè)務(wù)的安全策略控制，再以映射VLAN的方式訪問服務(wù)器資源。

4 結(jié)論

等級保護(hù)是國家信息安全的基本制度，它以計(jì)算環(huán)境保護(hù)為基礎(chǔ)，以訪問控制為主線，逐級增強(qiáng)，等級保護(hù)建設(shè)是一個(gè)動態(tài)的、持續(xù)性的過程，不可能通過一次建設(shè)從根本上解決公司的信息系統(tǒng)的安全，一方面，隨著業(yè)務(wù)的發(fā)展和安全需求的變化，原有安全防護(hù)等級也會隨之進(jìn)行相應(yīng)的調(diào)整；另一方面，隨著網(wǎng)絡(luò)信息技術(shù)的快速發(fā)展，各類新的攻擊手段和威脅形式將會不斷出現(xiàn)，信息系統(tǒng)面臨的風(fēng)險(xiǎn)也將不斷地發(fā)生變化，原有安全防護(hù)等級采用產(chǎn)品、模式也應(yīng)隨之進(jìn)行相應(yīng)的調(diào)整與優(yōu)化。

同時(shí)應(yīng)該意識到，采用等級保護(hù)體系的安全系統(tǒng)的高度標(biāo)準(zhǔn)化特征，使其具備更高的穩(wěn)定性和安全性，但同時(shí)由于其標(biāo)準(zhǔn)化的特性攻擊者更容易得到相關(guān)的技術(shù)資料以及尋找類似系統(tǒng)進(jìn)行試驗(yàn)，因此也容易受到攻擊，因此加強(qiáng)動態(tài)監(jiān)控、持續(xù)性的周期評審，對其進(jìn)行動態(tài)更新是確保信息系統(tǒng)安全的重要保障。

[1] 齊瑩素. 三級信息系統(tǒng)等級保護(hù)實(shí)施方案的研究與應(yīng)用[D].北京工業(yè)大學(xué).2007.

[2] 何新華.淺談企業(yè)等保建設(shè)總體規(guī)劃[J].信息安全與通信保密.2011.

[3] 李廣.等級保護(hù)三級系統(tǒng)建設(shè)實(shí)踐[J].計(jì)算機(jī)安全.2010.

[4] GB/T20271-2006信息安全技術(shù) 信息系統(tǒng)通用安全技術(shù)要求[S].

[5] GB/T25058-2010 信息安全技術(shù) 信息系統(tǒng)安全等級保護(hù)實(shí)施指南[S].

[6] 景峰.信息系統(tǒng)等級保護(hù)安全域隔離技術(shù)的探討[J].山西電力.2010.