韓慧穎

（河南省水文水資源中心，河南 鄭州 450003）

1 項目概述

針對河南省水利系統(tǒng)網(wǎng)絡(luò)的現(xiàn)狀和存在的安全問題，河南省水利廳提出了“基礎(chǔ)網(wǎng)絡(luò)和重要信息系統(tǒng)安全可視、可管、可控，重要信息資源安全得到切實保障，用戶的信息得到有效保護”的網(wǎng)絡(luò)安全防護體系建設(shè)目標(biāo)。實現(xiàn)這一目標(biāo)，設(shè)計思路必須轉(zhuǎn)變，要從過去單純強調(diào)防護舊的思維模式轉(zhuǎn)變到注重預(yù)警、監(jiān)測、響應(yīng)上來；要在充分利用和依托已有的網(wǎng)絡(luò)安全設(shè)施、設(shè)備的基礎(chǔ)上，進一步完善技術(shù)、管理、運營三大安全體系。因此，這次設(shè)計是按“四縱三橫”（安全管理、技術(shù)、運營、監(jiān)管、應(yīng)用、平臺）架構(gòu)分層進行。通過項目實施，將建立起網(wǎng)絡(luò)安全聯(lián)動機制，全面提升安全運營能力，最終實現(xiàn)“技術(shù)可落地、管理可執(zhí)行、平臺可擴展、安全可運營”。

2 建設(shè)現(xiàn)狀分析

由于多用戶和分支（主要是下屬單位）的接入、多系統(tǒng)數(shù)據(jù)共享和調(diào)用，帶來整個網(wǎng)絡(luò)的外聯(lián)與訪問關(guān)系及橫向訪問邏輯的復(fù)雜，導(dǎo)致內(nèi)部安全域間和整體網(wǎng)絡(luò)內(nèi)部的諸多安全風(fēng)險，存在著安全隱患，也給不法分子及黑客入侵網(wǎng)絡(luò)提供了條件。如何防止外來入侵，保護重要信息的穩(wěn)定性、可靠性，保證系統(tǒng)的可用性、安全性和完整性等問題即是文章研究的主要內(nèi)容。

3 方案設(shè)計

方案設(shè)計總體安全防護框架設(shè)計如圖1。

圖1 總體安全防護框架圖

3.1 安全技術(shù)體系

3.1.1 安全運營管理中心

①安全監(jiān)測中心：對系統(tǒng)、設(shè)備安全監(jiān)測和報警，提供多層次安全監(jiān)測服務(wù)。②安全防御中心：加強協(xié)調(diào)聯(lián)動，進行主動防御，提升整體的安全防御能力。③安全運維中心：保障網(wǎng)絡(luò)穩(wěn)定運行，通過不斷優(yōu)化系統(tǒng)架構(gòu)和部署的合理性，以提升系統(tǒng)服務(wù)水平。④安全響應(yīng)中心：采用本地服務(wù)+云端服務(wù)+專家新型工作模式，結(jié)合云端的威脅情報、大數(shù)據(jù)及時的技術(shù)保障服務(wù)。

3.1.2 三重防護

①區(qū)域邊界安全：按照等級保護安全區(qū)域邊界控制點、測評項的要求，做好邊界保護、訪問控制、入侵防范、惡意代碼和垃圾郵件防范及安全審計，提高區(qū)域邊界安全性。②計算環(huán)境安全：從身份鑒別、訪問控制、安全審計、入侵防范、可信驗證、數(shù)據(jù)完整性、數(shù)據(jù)保密性及數(shù)據(jù)備份恢復(fù)等方面做好工作，打造一個安全、可信和可靠的計算環(huán)境。③通信網(wǎng)絡(luò)安全：加強物理訪問、防盜竊和防破壞、防水和防潮、溫濕度控制、電力供應(yīng)、網(wǎng)絡(luò)架構(gòu)、集中管控、漏洞和風(fēng)險管理等方面的工作。

3.2 安全管理體系

組建專業(yè)的管理隊伍，搞好人員的定期培訓(xùn)，不斷提高自身的業(yè)務(wù)水平和應(yīng)急能力；建立健全各項管理制度，搞好人員分工，明確職責(zé)范圍，做到規(guī)范操作；加強網(wǎng)絡(luò)設(shè)備的安全管理，防止意外事故的發(fā)生，減小意外事故所引發(fā)的破壞程度。

3.3 安全運營體系

組建專業(yè)運營隊伍，搞好人員培訓(xùn)，不斷提高業(yè)務(wù)水平和運營服務(wù)能力；建立健全各項管理制度，搞好人員分工，明確職責(zé)范圍；做好網(wǎng)絡(luò)設(shè)備的日常維修加固，搞好技術(shù)咨詢和安全評估，提高安全運營服務(wù)水平，確保網(wǎng)絡(luò)系統(tǒng)安全運行。

4 方案部署策略

4.1 物理環(huán)境安全策略

①物理邊界安全：辦公場所區(qū)域須采取安防措施和統(tǒng)一的出入口控制；辦公場所周邊安裝視頻監(jiān)控、紅外入侵監(jiān)測等安防監(jiān)測系統(tǒng)。②物理入口控制：采用門禁，機房區(qū)域的入口安裝監(jiān)控設(shè)備。③設(shè)施的安全保護：機房門上安裝自動閉合裝置。配備煙霧和火苗探測器，安裝自動滅火器；定期進行對各類基礎(chǔ)設(shè)施巡檢。④外部和環(huán)境威脅的安全防護：按照《機房安全環(huán)境管理規(guī)定》執(zhí)行。

4.2 通信網(wǎng)絡(luò)安全策略

①身份鑒別；通過用戶口令和密碼方式達(dá)到網(wǎng)絡(luò)系統(tǒng)權(quán)限分級。②網(wǎng)絡(luò)授權(quán)：即向終端發(fā)放訪問許可證書。③數(shù)據(jù)保護：利用數(shù)據(jù)加密后的數(shù)據(jù)包發(fā)送與訪問的指向性。④收發(fā)確認(rèn)：用發(fā)送確認(rèn)信息的方式表示對發(fā)送數(shù)據(jù)和收方接收數(shù)據(jù)的承認(rèn)。⑤保證數(shù)據(jù)的完整性：一般是通過數(shù)據(jù)檢查核對的方式達(dá)成的。⑥業(yè)務(wù)流分析保護：阻止垃圾信息大量出現(xiàn)。

4.3 區(qū)域邊界安全策略

①邊界防護：通過有效的技術(shù)措施對外部設(shè)備的網(wǎng)絡(luò)接入、內(nèi)部設(shè)備的網(wǎng)絡(luò)外連及無線網(wǎng)絡(luò)的使用管控。②訪問控制：在網(wǎng)絡(luò)邊界及各網(wǎng)絡(luò)區(qū)域間布設(shè)訪問控制設(shè)備。③入侵防范：指對外部或內(nèi)部網(wǎng)絡(luò)發(fā)起的攻擊，以及新型攻擊的防范。④惡意代碼和垃圾郵件防范：在網(wǎng)絡(luò)邊界處設(shè)置防惡意代碼和垃圾郵件的產(chǎn)品或組件，防惡意代碼的特征庫和垃圾郵件的防護機制要及時進行升級和更新，并保持正常開啟，及時進行檢測和清除。⑤網(wǎng)絡(luò)安全審計：重點包括對網(wǎng)絡(luò)流量的監(jiān)測、對異常流量的識別和報警、對網(wǎng)絡(luò)設(shè)備運行情況的監(jiān)測等。隨時對其日志記錄進行分析，發(fā)現(xiàn)異常現(xiàn)象，及時采取報警、阻斷等操作。⑥可信驗證：可基于可信根對通信設(shè)備（交換機、路由器或其他通信設(shè)備）的系統(tǒng)引導(dǎo)程序、系統(tǒng)程序、重要配置參數(shù)和通信應(yīng)用程序等進行完整性驗證或檢測，在檢測到其可信性受到破壞后進行報警，并將驗證結(jié)果形成審計記錄送至安全管理中心，便于后續(xù)處置。

4.4 計算環(huán)境安全策略

①身份鑒別：一般采用口令、密碼技術(shù)、生物技術(shù)等兩種或兩種以上組合的鑒別技術(shù)對用戶進行身份鑒別，至少應(yīng)使用密碼技術(shù)來實現(xiàn)。當(dāng)進行遠(yuǎn)程管理時，應(yīng)采取必要措施防止鑒別信息在傳輸中被竊聽。②訪問控制：對登錄的用戶分配賬戶和權(quán)限，避免共享賬戶存在，實現(xiàn)管理用戶權(quán)限分離，規(guī)定主體對客體的訪問規(guī)則，訪問控制的粒度應(yīng)達(dá)到主體為用戶級或進程級，客體為文件、數(shù)據(jù)庫表級，控制主體對有安全標(biāo)記信息資源的訪問。③安全審計：啟用安全審計功能，覆蓋到每個用戶，對重要的用戶行為和重要安全事件進行審計；對審計記錄進行保護，定期備份；注意審計進程中的保護，防止未經(jīng)授權(quán)的中斷。④入侵防范：遵循最小安裝的原則，僅安裝需要的組件和應(yīng)用程序；關(guān)閉不需要的端口；限制通過網(wǎng)絡(luò)進行管理的管理終端；設(shè)置數(shù)據(jù)有效性檢驗功能，保證通過接口輸入的內(nèi)容符合要求；發(fā)現(xiàn)可能存在的漏洞及時修補；檢測到對重要節(jié)點進行入侵的行為及時報警。⑤可信驗證：可基于可信根對計算設(shè)備的系統(tǒng)引導(dǎo)程序、系統(tǒng)程序、重要配置參數(shù)和應(yīng)用程序等進行可信驗證，在檢測到其可信性受到破壞后報警，并將驗證結(jié)果形成審計記錄送至安全管理中心。⑥數(shù)據(jù)完整性：采用校驗技術(shù)或密碼技術(shù)保證重要數(shù)據(jù)在傳輸或存儲過程中的完整性。⑦數(shù)據(jù)保密性：采用密碼技術(shù)保證重要數(shù)據(jù)在傳輸或存儲過程中的保密性。⑧數(shù)據(jù)備份恢復(fù)：提供重要數(shù)據(jù)的本地數(shù)據(jù)備份與恢復(fù)功能、異地實時備份功能及處理系統(tǒng)的熱冗余，保證系統(tǒng)高可用性。

4.5 安全管理策略

完善組織人員、資產(chǎn)、系統(tǒng)建設(shè)、系統(tǒng)運維管理、應(yīng)急響應(yīng)等多方面機制，安全管理應(yīng)與日常運維緊密結(jié)合，加強網(wǎng)絡(luò)安全監(jiān)測預(yù)警和應(yīng)急處置，定期演練應(yīng)急預(yù)案，形成安全管理保障體系。

5 結(jié)語

項目實施將建成區(qū)域邊界、計算環(huán)境、通信網(wǎng)絡(luò)三維一體的技術(shù)防御體系，對系統(tǒng)、產(chǎn)品、設(shè)備、策略、信息安全事件、操作流程等統(tǒng)一高效管理。實現(xiàn)“基礎(chǔ)網(wǎng)絡(luò)和重要信息系統(tǒng)安全可視、可管、可控，重要信息資源安全得到切實保障，用戶的信息得到有效保護”的建設(shè)目標(biāo)。