供電企業網絡信息安全應用

2013-12-27 15:16:43 電力信息化　點擊量：評論 (0)

　　隨著國網公司SG186工程的實施和信息化建設逐步深入，遼寧電力公司統一信息化平臺進程不斷推進，盤錦供電公司的信息化建設也得到了快速發展。集中化、網絡化已經成為信息建設發展大趨勢，尤其省級數據大集中以

　　隨著國網公司“SG186”工程的實施和信息化建設逐步深入，遼寧電力公司統一信息化平臺進程不斷推進，盤錦供電公司的信息化建設也得到了快速發展。集中化、網絡化已經成為信息建設發展大趨勢，尤其省級數據大集中以后，各種日常工作對信息網絡系統的依賴性日益增強，信息網絡系統運維工作更凸顯重要和急迫。

　　盤錦供電公司（以下簡稱公司）全面貫徹落實國家電網公司、遼寧省電力公司有關信息安全工作規定，結合公司信息系統安全現狀，在風險評估的基礎上精心設計信息安全整體防護體系，堅持“安全第一、預防為主、綜合防治”的信息安全原則，成立信息安全領導小組，優化專業管理流程，按照省公司統一部署，建立兩級三線運維支持體系，實施雙網雙機、分區分域、等級保護、橫向隔離、縱向認證、信息設備安全加固、統一安全策略等防護措施，管控結合，分步實施，有效降低了信息安全面臨的風險，提高信息安全整體防護能力，確保全公司信息系統安全穩定運行，并創造性地提出了“行為管理+策略控制+終端管理”的安全保障體系思想。

行為管理

　　員工是安全的主體，管理是安全的靈魂，技術是安全的手段。只有將有效的安全管理實踐自始至終貫徹落實于全員信息安全當中，網絡安全的長期性和穩定性才能有所保證。

　　堅持不懈地加強信息人員的安全教育，保持信息人員特別是網絡管理人員和安全管理人員的相對穩定，防止網絡機密泄露，尤其要注意人員調離時的網絡機密的泄露。教育員工對各類密碼進行妥善管理，杜絕默認密碼、出廠密碼、無密碼，不使用容易猜測的密碼。在企業網絡中建立集中管理的數據存儲機制，配合以相關安全權限管理制度的嚴格執行，在存儲介質使用的管理上，實行嚴格的管控，定期備份各類工作專用信息數據，專人專用，備份品專門集中存放，由最低限度的經過安全培訓和安全審查的人員負責監護管理。

　　公司網絡安全的最終目標就是建設安全、高效的企業信息網，通過網絡的安全配置，硬件防火墻及IDS、IPS的策略配置，安全漏洞掃描、網上行為審計系統應用，對網絡的出入口進行嚴格控制，對網絡中的服務器、網絡設備進行定期掃描和定期檢測、分析，發現網絡系統漏洞和隱患，并進行整改，有效地防止外部惡意攻擊和內部數據泄露，做到網絡堅強、策略得當、信息保密、數據完整、接入控制。

　　實施信息內外網邊界安全監測系統（SMS），通過部署在信息外網各個Internet出口處的日志采集層軟件，將各種網絡出口以及信息外網各邊界處的各類安全設備的日志進行統一采集，并經過日志預處理上傳到公司總部開展相關分析。同時以網省公司（直屬單位）為基本單元，每個單位部署一套實時展現與分析工具，實現對各種安全日志事件的分層分析即：告警統計、實時監測、事件查詢、統計分析、流量分析、設備管理、系統管理等。

　　通過集中注冊管理平臺,對USB存儲設備作嚴格的設備介質自由身份認證，數據加密等一系列防護操作，避免了工作人員隨意使用USB硬盤、U盤，實現了對內網移動介質的日常安全管理。通過對移動介質的有效管理，完全實現了移動存儲設備全生命周期管理、合法與非法設備的有效區分、設備的訪問機制控制、數據加密保護、設備使用日志審計、分權限管理、通信及日志文件加密、客戶端保護機制等功能。

策略控制
　　在網絡邊界上，信息內網不同安全域之間均部署防火墻，強化訪問控制策略，僅開放必要的服務端口。信息外網與局域網之間完全隔離，互聯網間邊界安全防護措施的部署和策略配置情況是:部署防火墻、客戶端認證系統、內外網均部署補丁分發和防病毒系統如圖1所示。

　　在網絡內部，按照等級保護的原則根據業務系統的重要程度化分成若干個安全域，并有選擇性地進行深度防護。電力二次系統分為生產控制I區、II區和管理信息大區III區。管理大區分為內網和外網，內外系統物理隔離。其中，信息內網有財務（資金）管理系統域、營銷管理系統域、辦公自動化系統域、ERP系統域、二級系統域、內網桌面終端域；信息外網有外網桌面終端域。從邊界、網絡、主機及應用四個層次設計安全防護，制訂了《盤錦供電公司信息安全總體防護方案》。財務系統通過前置防火墻進行安全防護；互聯網出口配置防火墻進行邊界防護；業務系統通過VLAN，訪問控制策略進行防護；生產控制大區的I區、II區與管理信息大區的III區間用物理隔離；管理信息系統的調度邊界部署防火墻如圖2所示。

　　公司針對內部Intranet特點，選用企業級防火墻NetScreen100建立網絡防火墻系統。在公司的網絡中通過設置交換機或路由策略劃分VLAN技術建立服務區、非服務區、辦公區及生活區，同時使用網絡地址轉換（NAT）技術將受保護區域的網絡和IP地址進行屏蔽。

　　公司選用Symantec企業級防毒軟件Norton AntiVirus2011建立了網絡防毒系統。通過多平臺工作站和服務器的病毒碼信息集中部署和產品更新，大幅度降低了部署更新的成本，并簡化了企業服務器層次規劃和創建。在該系統中，管理員從一個集中控制臺設置管理策略，對基于Windows 2000和Windows XP的工作站以及基于Windows NT/Windows 2000 Server和NetWare服務器進行更新和配置。所有客戶機均可鎖定設置以防用戶修改，也可在管理平臺上對客戶機進行配置并進行監控。一旦檢測到病毒，該系統將自動修復并通過控制臺向管理員發出報警。在該系統中，管理員只需在NAV2011的安裝過程中運行Live并設置好其自動運行的時間。在以后的運行過程中，當滿足設定的時間條件時，Live會自動運行并進行病毒碼信息更新如圖3所示。

終端管理
　　根據國網公司、省市公司要求公司做好桌面終端管理系統及移動存儲介質管理系統的推廣實施工作。截至2010年6月，計算機內網終端的560臺，安裝率達到100%。2011年3月開始在信息外網部署桌面終端標準化，計算機外網終端的325臺，安裝率達到100%。桌面終端標準化系統在公司的部署和實施，使公司的信息資源得到了更高效的利用，提高了企業局域網的安全管理，減輕了桌面終端運行維護人員的工作負擔。

　　員工通過注冊軟件，填寫本機信息，注冊程序自動探測系統硬件信息，連同用戶填寫的信息一同上報區域管理器。用戶將本機注冊信息發送到區域管理器后，區域管理器自動將客戶端駐留程序應用策略發送給用戶，并自動更新。在推廣應用桌面計算機安全管理系統后，可以實現本機硬件屬性信息變化監視；對本機IP、MAC地址變化審計；本機系統補丁、軟件安裝、運行進程狀況監測；探測本機是否有違規聯網行為，在內網管理中心或外網報警平臺報警；接受Web管理平臺的管理命令；阻斷本機違規外聯行為；執行Web管理平臺下發的各種策略操作如圖4所示。

　　IMS信息監管平臺采集網絡設備、服務器、數據庫、中間件等網元的實時運行狀態信息進行統一匯總、整理、存放在網絡管理數據庫中，為系統運行分析模塊提供數據支持。網管數據展示系統從數據庫中讀取數據進行展示，并將網管系統中產生的事件統一存放在事件管理數據庫中。現共有60臺網絡設備、20臺主機系統納入統一監管平臺如圖5所示。

　　通過上述一系列信息安全理論和技術的運用、信息安全項目建設與實踐，使公司信息安全防護能力和運行水平得到進一步提高。

　　建立企業信息系統安全長效機制不僅需要等級保護、風險控制、縱深防御等技術上的支持，同時也需要組織結構、人員、業務邏輯、法律規章等管理上的支持。公司強化運行管理，鞏固安全成果，完善并應用信息運維綜合監管系統，使管理與技術結合，有效地保護了內網信息資源，從根本上杜絕了來自外網的安全威脅，提高了網絡的安全防護能力，對保障企業運營安全、降低企業運營風險、提升企業核心競爭力發揮了十分重大的作用。

點評
　　信息安全不為獨行而創新，不為取寵而嘩眾，讓安全設備、體系發揮實效，難在持久，貴在堅決，重在細節。而一切都要圍繞業務需求之中心，管好人，用對策，把住關，這就是“行為管理+策略控制+終端管理”的要旨，萬綠叢中一點紅。