河南省水利網絡安全防護體系設計

韓慧穎

（河南省水文水資源中心，河南 鄭州 450003）

1 項目概述

針對河南省水利系統網絡的現狀和存在的安全問題，河南省水利廳提出了“基礎網絡和重要信息系統安全可視、可管、可控，重要信息資源安全得到切實保障，用戶的信息得到有效保護”的網絡安全防護體系建設目標。實現這一目標，設計思路必須轉變，要從過去單純強調防護舊的思維模式轉變到注重預警、監測、響應上來；要在充分利用和依托已有的網絡安全設施、設備的基礎上，進一步完善技術、管理、運營三大安全體系。因此，這次設計是按“四縱三橫”（安全管理、技術、運營、監管、應用、平臺）架構分層進行。通過項目實施，將建立起網絡安全聯動機制，全面提升安全運營能力，最終實現“技術可落地、管理可執行、平臺可擴展、安全可運營”。

2 建設現狀分析

由于多用戶和分支（主要是下屬單位）的接入、多系統數據共享和調用，帶來整個網絡的外聯與訪問關系及橫向訪問邏輯的復雜，導致內部安全域間和整體網絡內部的諸多安全風險，存在著安全隱患，也給不法分子及黑客入侵網絡提供了條件。如何防止外來入侵，保護重要信息的穩定性、可靠性，保證系統的可用性、安全性和完整性等問題即是文章研究的主要內容。

3 方案設計

方案設計總體安全防護框架設計如圖1。

圖1 總體安全防護框架圖

3.1 安全技術體系

3.1.1 安全運營管理中心

①安全監測中心：對系統、設備安全監測和報警，提供多層次安全監測服務。②安全防御中心：加強協調聯動，進行主動防御，提升整體的安全防御能力。③安全運維中心：保障網絡穩定運行，通過不斷優化系統架構和部署的合理性，以提升系統服務水平。④安全響應中心：采用本地服務+云端服務+專家新型工作模式，結合云端的威脅情報、大數據及時的技術保障服務。

3.1.2 三重防護

①區域邊界安全：按照等級保護安全區域邊界控制點、測評項的要求，做好邊界保護、訪問控制、入侵防范、惡意代碼和垃圾郵件防范及安全審計，提高區域邊界安全性。②計算環境安全：從身份鑒別、訪問控制、安全審計、入侵防范、可信驗證、數據完整性、數據保密性及數據備份恢復等方面做好工作，打造一個安全、可信和可靠的計算環境。③通信網絡安全：加強物理訪問、防盜竊和防破壞、防水和防潮、溫濕度控制、電力供應、網絡架構、集中管控、漏洞和風險管理等方面的工作。

3.2 安全管理體系

組建專業的管理隊伍，搞好人員的定期培訓，不斷提高自身的業務水平和應急能力；建立健全各項管理制度，搞好人員分工，明確職責范圍，做到規范操作；加強網絡設備的安全管理，防止意外事故的發生，減小意外事故所引發的破壞程度。

3.3 安全運營體系

組建專業運營隊伍，搞好人員培訓，不斷提高業務水平和運營服務能力；建立健全各項管理制度，搞好人員分工，明確職責范圍；做好網絡設備的日常維修加固，搞好技術咨詢和安全評估，提高安全運營服務水平，確保網絡系統安全運行。

4 方案部署策略

4.1 物理環境安全策略

①物理邊界安全：辦公場所區域須采取安防措施和統一的出入口控制；辦公場所周邊安裝視頻監控、紅外入侵監測等安防監測系統。②物理入口控制：采用門禁，機房區域的入口安裝監控設備。③設施的安全保護：機房門上安裝自動閉合裝置。配備煙霧和火苗探測器，安裝自動滅火器；定期進行對各類基礎設施巡檢。④外部和環境威脅的安全防護：按照《機房安全環境管理規定》執行。

4.2 通信網絡安全策略

①身份鑒別；通過用戶口令和密碼方式達到網絡系統權限分級。②網絡授權：即向終端發放訪問許可證書。③數據保護：利用數據加密后的數據包發送與訪問的指向性。④收發確認：用發送確認信息的方式表示對發送數據和收方接收數據的承認。⑤保證數據的完整性：一般是通過數據檢查核對的方式達成的。⑥業務流分析保護：阻止垃圾信息大量出現。

4.3 區域邊界安全策略

①邊界防護：通過有效的技術措施對外部設備的網絡接入、內部設備的網絡外連及無線網絡的使用管控。②訪問控制：在網絡邊界及各網絡區域間布設訪問控制設備。③入侵防范：指對外部或內部網絡發起的攻擊，以及新型攻擊的防范。④惡意代碼和垃圾郵件防范：在網絡邊界處設置防惡意代碼和垃圾郵件的產品或組件，防惡意代碼的特征庫和垃圾郵件的防護機制要及時進行升級和更新，并保持正常開啟，及時進行檢測和清除。⑤網絡安全審計：重點包括對網絡流量的監測、對異常流量的識別和報警、對網絡設備運行情況的監測等。隨時對其日志記錄進行分析，發現異常現象，及時采取報警、阻斷等操作。⑥可信驗證：可基于可信根對通信設備（交換機、路由器或其他通信設備）的系統引導程序、系統程序、重要配置參數和通信應用程序等進行完整性驗證或檢測，在檢測到其可信性受到破壞后進行報警，并將驗證結果形成審計記錄送至安全管理中心，便于后續處置。

4.4 計算環境安全策略

①身份鑒別：一般采用口令、密碼技術、生物技術等兩種或兩種以上組合的鑒別技術對用戶進行身份鑒別，至少應使用密碼技術來實現。當進行遠程管理時，應采取必要措施防止鑒別信息在傳輸中被竊聽。②訪問控制：對登錄的用戶分配賬戶和權限，避免共享賬戶存在，實現管理用戶權限分離，規定主體對客體的訪問規則，訪問控制的粒度應達到主體為用戶級或進程級，客體為文件、數據庫表級，控制主體對有安全標記信息資源的訪問。③安全審計：啟用安全審計功能，覆蓋到每個用戶，對重要的用戶行為和重要安全事件進行審計；對審計記錄進行保護，定期備份；注意審計進程中的保護，防止未經授權的中斷。④入侵防范：遵循最小安裝的原則，僅安裝需要的組件和應用程序；關閉不需要的端口；限制通過網絡進行管理的管理終端；設置數據有效性檢驗功能，保證通過接口輸入的內容符合要求；發現可能存在的漏洞及時修補；檢測到對重要節點進行入侵的行為及時報警。⑤可信驗證：可基于可信根對計算設備的系統引導程序、系統程序、重要配置參數和應用程序等進行可信驗證，在檢測到其可信性受到破壞后報警，并將驗證結果形成審計記錄送至安全管理中心。⑥數據完整性：采用校驗技術或密碼技術保證重要數據在傳輸或存儲過程中的完整性。⑦數據保密性：采用密碼技術保證重要數據在傳輸或存儲過程中的保密性。⑧數據備份恢復：提供重要數據的本地數據備份與恢復功能、異地實時備份功能及處理系統的熱冗余，保證系統高可用性。

4.5 安全管理策略

完善組織人員、資產、系統建設、系統運維管理、應急響應等多方面機制，安全管理應與日常運維緊密結合，加強網絡安全監測預警和應急處置，定期演練應急預案，形成安全管理保障體系。

5 結語

項目實施將建成區域邊界、計算環境、通信網絡三維一體的技術防御體系，對系統、產品、設備、策略、信息安全事件、操作流程等統一高效管理。實現“基礎網絡和重要信息系統安全可視、可管、可控，重要信息資源安全得到切實保障，用戶的信息得到有效保護”的建設目標。