淺談大型企業(yè)網(wǎng)絡(luò)安全防護(hù)體系建設(shè)

賈君君,王文庭,楊揚(yáng),李為衛(wèi)

［摘要］ 企業(yè)信息網(wǎng)絡(luò)面臨的安全威脅與日俱增，如何建設(shè)有效的企業(yè)信息網(wǎng)絡(luò)安全防護(hù)體系一直困擾著企業(yè)信息化人員。通過(guò)分析企業(yè)網(wǎng)絡(luò)面臨的主要安全威脅與風(fēng)險(xiǎn)，以中國(guó)石油網(wǎng)絡(luò)安全域建設(shè)為切入點(diǎn)，總結(jié)企業(yè)網(wǎng)絡(luò)安全防護(hù)建設(shè)。

［關(guān)鍵詞］ 網(wǎng)絡(luò)；安全威脅；中國(guó)石油；網(wǎng)絡(luò)安全域

doi : 10 . 3969 / j . issn . 1673 - 0194 . 2012 . 10. 035

［中圖分類(lèi)號(hào)］TP343.08［文獻(xiàn)標(biāo)識(shí)碼］A［文章編號(hào)］1673 - 0194（2012）10- 0062- 02

１引言

隨著市場(chǎng)競(jìng)爭(zhēng)的日益加劇，業(yè)務(wù)靈活性、成本控制成為企業(yè)經(jīng)營(yíng)者最關(guān)心的問(wèn)題，彈性靈活的業(yè)務(wù)流程需求日益加強(qiáng)，辦公自動(dòng)化、生產(chǎn)上網(wǎng)、業(yè)務(wù)上網(wǎng)、遠(yuǎn)程辦公等業(yè)務(wù)模式不斷出現(xiàn)，促使企業(yè)加快信息網(wǎng)絡(luò)的建設(shè)。越來(lái)越多的企業(yè)核心業(yè)務(wù)、數(shù)據(jù)上網(wǎng)，一個(gè)穩(wěn)定安全的企業(yè)信息網(wǎng)絡(luò)已成為企業(yè)正常運(yùn)營(yíng)的基本條件。同時(shí)為了規(guī)范企業(yè)治理，國(guó)家監(jiān)管部門(mén)對(duì)企業(yè)的內(nèi)控管理提出了多項(xiàng)規(guī)范要求，包括 ＩＴ 數(shù)據(jù)、流程、應(yīng)用和基礎(chǔ)結(jié)構(gòu)的完整性、可用性和準(zhǔn)確性等方面。

然而信息網(wǎng)絡(luò)面臨的安全威脅與日俱增，安全攻擊漸漸向有組織、有目的、趨利化方向發(fā)展，網(wǎng)絡(luò)病毒、漏洞依然泛濫，同時(shí)信息技術(shù)的不斷更新，信息安全面臨的挑戰(zhàn)不斷增加。特別是云的應(yīng)用，云環(huán)境下的數(shù)據(jù)安全、應(yīng)用安全、虛擬化安全是信息安全面臨的主要問(wèn)題。如何構(gòu)建靈活有效的企業(yè)網(wǎng)絡(luò)安全防護(hù)體系，滿(mǎn)足業(yè)務(wù)發(fā)展的需要，已成為企業(yè)信息化建設(shè)、甚至是企業(yè)業(yè)務(wù)發(fā)展必須要考慮的問(wèn)題。

２大型企業(yè)網(wǎng)絡(luò)面臨的安全威脅

賽門(mén)鐵克發(fā)布的《２０１１ 安全狀況調(diào)查報(bào)告》顯示：２９％的企業(yè)定期遭受網(wǎng)絡(luò)攻擊，７１％ 的企業(yè)在過(guò)去的一年里遭受過(guò)網(wǎng)絡(luò)攻擊。大型企業(yè)由于地域跨度大，信息系統(tǒng)多，受攻擊面廣等特點(diǎn)，更是成為被攻擊的首選目標(biāo)。

大型企業(yè)網(wǎng)絡(luò)應(yīng)用存在的安全威脅主要包括：（１）內(nèi)網(wǎng)應(yīng)用不規(guī)范。企業(yè)網(wǎng)絡(luò)行為不加限制，Ｐ２Ｐ下載等信息占據(jù)大量的網(wǎng)絡(luò)帶寬，同時(shí)也不可避免地將互聯(lián)網(wǎng)中的大量病毒、木馬等有害信息傳播到內(nèi)網(wǎng)，對(duì)內(nèi)網(wǎng)應(yīng)用系統(tǒng)安全構(gòu)成威脅。（２）網(wǎng)絡(luò)接入控制不嚴(yán)。網(wǎng)絡(luò)準(zhǔn)入設(shè)施及制度的缺失，任何人都可以隨時(shí)、隨地插線(xiàn)上網(wǎng)，極易帶來(lái)病毒、木馬等，也很容易造成身份假冒、信息竊取、信息丟失等事件。（３）ＶＰＮ系統(tǒng)安全措施不全。企業(yè)中的ＶＰＮ系統(tǒng)，特別是二級(jí)單位自建的ＶＰＮ系統(tǒng)，安全防護(hù)與審計(jì)能力不高，存在管理和控制不完善，且存在非系統(tǒng)員工用戶(hù)，行為難以監(jiān)管和約束。（４）衛(wèi)星信號(hào)易泄密。衛(wèi)星通信方便靈活，通信范圍廣，不受距離和地域限制，許多在僻遠(yuǎn)地區(qū)作業(yè)的一線(xiàn)生產(chǎn)單位，通過(guò)衛(wèi)星系統(tǒng)傳遞生產(chǎn)、現(xiàn)場(chǎng)視頻等信息。但由于無(wú)線(xiàn)信號(hào)在自由空間中傳輸，容易被截獲。（５）無(wú)線(xiàn)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)較大。無(wú)線(xiàn)接入由于靈活方便，常在局域網(wǎng)絡(luò)中使用，但是存在容易侵入、未經(jīng)授權(quán)使用服務(wù)、地址欺騙和會(huì)話(huà)攔截、流量偵聽(tīng)等安全風(fēng)險(xiǎn)。（６）生產(chǎn)網(wǎng)隔離不徹底。企業(yè)中生產(chǎn)網(wǎng)絡(luò)與管理網(wǎng)絡(luò)尚沒(méi)有明確的隔離規(guī)范，大多數(shù)二級(jí)單位采用防火墻邏輯隔離，有些單位防護(hù)策略制定不嚴(yán)格，導(dǎo)致生產(chǎn)網(wǎng)被來(lái)自管理網(wǎng)絡(luò)的病毒感染。

３大型企業(yè)網(wǎng)絡(luò)安全防護(hù)體系建設(shè)

中國(guó)石油信息化建設(shè)處于我國(guó)大型企業(yè)領(lǐng)先地位，在國(guó)資委歷年信息化評(píng)比中，都名列前茅，“十一五”期間，將企業(yè)信息安全保障體系建設(shè)列為信息化整體規(guī)劃中，并逐步實(shí)施。其中涉及管理類(lèi)項(xiàng)目３個(gè)，控制類(lèi)項(xiàng)目３個(gè)，技術(shù)類(lèi)項(xiàng)目５個(gè)。中國(guó)石油網(wǎng)絡(luò)安全域建設(shè)是其重要建設(shè)內(nèi)容。

中國(guó)石油網(wǎng)絡(luò)分為專(zhuān)網(wǎng)、內(nèi)網(wǎng)與外網(wǎng)3類(lèi)。其中專(zhuān)網(wǎng)承載與實(shí)時(shí)生產(chǎn)或決策相關(guān)的信息系統(tǒng)，是相對(duì)封閉、有隔離的專(zhuān)用網(wǎng)絡(luò)。內(nèi)網(wǎng)是通過(guò)租用國(guó)內(nèi)數(shù)據(jù)鏈路，承載對(duì)內(nèi)服務(wù)業(yè)務(wù)信息系統(tǒng)的網(wǎng)絡(luò)，與外網(wǎng)邏輯隔離。外網(wǎng)是實(shí)現(xiàn)對(duì)外提供服務(wù)和應(yīng)用的網(wǎng)絡(luò)，與互聯(lián)網(wǎng)相連（見(jiàn)圖1）。

為了構(gòu)建安全可靠的中國(guó)石油網(wǎng)絡(luò)安全架構(gòu)，中國(guó)石油通過(guò)劃分中國(guó)石油網(wǎng)絡(luò)安全域，明確安全責(zé)任和防護(hù)標(biāo)準(zhǔn)，采取分層的防護(hù)措施來(lái)提高整體網(wǎng)絡(luò)的安全性，同時(shí)，為安全事件追溯提供必要的技術(shù)手段。網(wǎng)絡(luò)安全域?qū)嵤╉?xiàng)目按照先邊界安全加固、后深入內(nèi)部防護(hù)的指導(dǎo)思想，將項(xiàng)目分為：廣域網(wǎng)邊界防護(hù)、廣域網(wǎng)域間與數(shù)據(jù)中心防護(hù)、廣域網(wǎng)域內(nèi)防護(hù)3部分。

廣域網(wǎng)邊界防護(hù)子項(xiàng)目主要包括數(shù)據(jù)中心邊界防護(hù)和區(qū)域網(wǎng)絡(luò)中心邊界防護(hù)。數(shù)據(jù)中心邊界防護(hù)設(shè)計(jì)主要是保障集團(tuán)公司統(tǒng)一規(guī)劃應(yīng)用系統(tǒng)的安全、可靠運(yùn)行。區(qū)域網(wǎng)絡(luò)中心邊界安全防護(hù)在保障各區(qū)域內(nèi)員工訪問(wèn)互聯(lián)網(wǎng)的同時(shí)，還需保障部分自建應(yīng)用系統(tǒng)的正常運(yùn)行?，F(xiàn)中石油在全國(guó)范圍內(nèi)建立和完善１６個(gè)互聯(lián)網(wǎng)出口的安全防護(hù)，所有單位均通過(guò)１６個(gè)互聯(lián)網(wǎng)出口對(duì)外聯(lián)系，規(guī)劃ＤＭＺ，制定統(tǒng)一的策略，對(duì)外服務(wù)應(yīng)用統(tǒng)一部署ＤＭＺ，內(nèi)網(wǎng)與外網(wǎng)邏輯隔離，內(nèi)網(wǎng)員工能正常收發(fā)郵件、瀏覽網(wǎng)頁(yè)，部分功能受限。

域間防護(hù)方案主要遵循 “縱深防護(hù)，保護(hù)核心”主體思想，安全防護(hù)針對(duì)各專(zhuān)網(wǎng)與內(nèi)網(wǎng)接入點(diǎn)進(jìn)行部署，并根據(jù)其在網(wǎng)絡(luò)層面由下至上的分布，保護(hù)策略強(qiáng)度依次由弱至強(qiáng)。數(shù)據(jù)中心安全防護(hù)按照數(shù)據(jù)中心業(yè)務(wù)系統(tǒng)的現(xiàn)狀和定級(jí)情況，將數(shù)據(jù)中心劃分為4個(gè)安全區(qū)域，分別是核心網(wǎng)絡(luò)、二級(jí)系統(tǒng)區(qū)、三級(jí)系統(tǒng)區(qū)、網(wǎng)絡(luò)管理區(qū)；通過(guò)完善數(shù)據(jù)中心核心網(wǎng)絡(luò)與廣域網(wǎng)邊界，二級(jí)系統(tǒng)、三級(jí)系統(tǒng)、網(wǎng)絡(luò)管理區(qū)與核心區(qū)邊界，二、三級(jí)系統(tǒng)區(qū)內(nèi)部各信息系統(tǒng)間的邊界防護(hù)，構(gòu)成數(shù)據(jù)中心縱深防御的體系，提升整體安全防護(hù)水平。

域內(nèi)防護(hù)是指分離其他網(wǎng)絡(luò)并制定訪問(wèn)策略，完善域內(nèi)安全監(jiān)控手段和技術(shù)，規(guī)范域內(nèi)防護(hù)標(biāo)準(zhǔn)，實(shí)現(xiàn)實(shí)名制上網(wǎng)。中國(guó)石油以現(xiàn)有遠(yuǎn)程接入控制系統(tǒng)用戶(hù)管理模式為基礎(chǔ)，并通過(guò)完善現(xiàn)有ＳＳＬ ＶＰＮ系統(tǒng)、增加ＩＰＳＥＣ遠(yuǎn)程接入方式，為出差員工、分支機(jī)構(gòu)接入提供安全的接入環(huán)境。實(shí)名制訪問(wèn)互聯(lián)網(wǎng)主要以用戶(hù)身份與自然人一一對(duì)應(yīng)關(guān)系為基礎(chǔ)，實(shí)現(xiàn)用戶(hù)互聯(lián)網(wǎng)訪問(wèn)、安全設(shè)備管理準(zhǔn)入及授權(quán)控制、實(shí)名審計(jì)；以部署設(shè)備證書(shū)為基礎(chǔ)，實(shí)現(xiàn)數(shù)據(jù)中心對(duì)外提供服務(wù)的信息系統(tǒng)服務(wù)器網(wǎng)絡(luò)身份真實(shí)可靠，從而確保區(qū)域網(wǎng)絡(luò)中心、數(shù)據(jù)中心互聯(lián)網(wǎng)接入的安全性。

4結(jié)束語(yǔ)

一個(gè)穩(wěn)定安全的企業(yè)信息網(wǎng)絡(luò)已成為企業(yè)正常運(yùn)營(yíng)的基本條件，然而信息網(wǎng)絡(luò)的安全威脅日益加劇，企業(yè)網(wǎng)絡(luò)安全防護(hù)體系是否合理有效一直困擾著信息化主管部門(mén)。通過(guò)借鑒中國(guó)石油網(wǎng)絡(luò)安全域建設(shè)，系統(tǒng)地解決網(wǎng)絡(luò)安全問(wèn)題，供其他企業(yè)參考。

主要參考文獻(xiàn)

［１］王擁軍. 淺談企業(yè)網(wǎng)絡(luò)安全防護(hù)體系的建設(shè) ［Ｊ］． 信息安全與通信保密，２０１１（１２）.

［２］劉希儉．中國(guó)石油信息化管理［M］．北京：石油工業(yè)出版社，２００８：２１０－２５０.

［３］賈君君.關(guān)于中央企業(yè)信息化管理的探討［Ｊ］．信息技術(shù)，２０１０（１２）.