對核電行業(yè)終端安全管理工作的探討

摘 要：核電行業(yè)作為信息安全高度敏感的行業(yè)，但雖然對終端安全重視程度較高，也從多個層面采取的保護措施，但通常這些措施多是基于經(jīng)驗的、離散的，不成體系的。本文結(jié)合日常終端管理工作，提出了系統(tǒng)性、體系性的解決終端安全管理工作的框架和模型，為終端安全管理工作提供了良好的工作思路。

關(guān)鍵詞：核電信息安全 終端安全

一、終端安全管理的重要性

對于處在當今信息化時代的企業(yè)來說，開放的互聯(lián)網(wǎng)絡(luò)環(huán)境帶來了豐富資源和極大便利，但同時也引入了越來越多的安全威脅，越來越多的企業(yè)也已經(jīng)意識到網(wǎng)絡(luò)安全問題的嚴重性，花費重金部署防火墻、入侵檢測等安全設(shè)備，在防范外來攻擊保障網(wǎng)絡(luò)安全方面鑄起“千里之堤”，在此基礎(chǔ)上，企業(yè)管理者往往就認為可高枕無憂了，卻忽視了看似最不起眼卻對企業(yè)安全影響最直接、覆蓋面最廣的內(nèi)部終端安全問題，企業(yè)終端管理問題已經(jīng)儼然成為了企業(yè)安全“千里大堤”上的“蟻穴”，決不可忽視。

雖然終端資產(chǎn)的重要性級別通常低于網(wǎng)絡(luò)中的交換機、路由器等核心網(wǎng)絡(luò)設(shè)備以及各種業(yè)務主機和服務器，但廣大終端數(shù)量眾多，并且是組織的日常辦公和業(yè)務運行的載體，如果終端安全受到威脅，即使網(wǎng)絡(luò)中的核心設(shè)備安然無恙，整個網(wǎng)絡(luò)的業(yè)務運行也會受到嚴重影響甚至癱瘓。

二、終端面臨的主要威脅

傳統(tǒng)的以組織邊界和核心資產(chǎn)為保護對象的安全體系逐漸顯示出嚴重的缺陷，無法有效應對終端安全面臨的諸多問題。

終端面臨的主要威脅包括：

1.病毒木馬攻擊。計算機病毒的傳播為全球帶來數(shù)目巨大的經(jīng)濟損失。如2000年愛蟲是通過Outlook電子郵件系統(tǒng)傳播，全球經(jīng)濟損失超過100億美元；而2006年的熊貓燒香病毒，造成的直接經(jīng)濟損失也是上億美元。

據(jù)國家計算機病毒應急處理中心統(tǒng)計，2007年，我國接入互聯(lián)網(wǎng)的計算機被植入病毒木馬程序的計算機達到了91.47%，被植入三種以上病毒木馬程序的占53.64%，其中87%以上是以網(wǎng)絡(luò)盜竊或遠程控制計算機為目的的木馬程序，即我國每10臺接入互聯(lián)網(wǎng)的計算機中有8臺計算機曾受到黑客控制。2009年8月1日至31日，CNCERT/CC對當前流行的木馬程序的活動狀況進行了抽樣監(jiān)測，發(fā)現(xiàn)我國大陸地區(qū)23398個IP地址對應的主機被其他國家或地區(qū)通過木馬程序秘密控制，其分布情況下圖所示，最多的地區(qū)為北京市，高達24.61%。

2.偽造用戶登錄。現(xiàn)在的操作系統(tǒng)只有用戶名和口令的認證方式，口令極易被竊取或破解。網(wǎng)上隨處可見“計算機密碼破解教程”、“電腦中常用的十二種密碼破解方法”等資料。這樣，整個系統(tǒng)就完成進入“不設(shè)防”狀態(tài)。非法人員可以登錄系統(tǒng)，任意查看或拷貝其想要得到的資料。這也為非法內(nèi)部人員竊取單位機密、窺探個人隱私提供了可乘之機。

三、終端安全的管控框架模型設(shè)計

核電行業(yè)作為信息安全高度敏感的行業(yè)，也是監(jiān)管最為關(guān)注的行業(yè)，因此在設(shè)計框架和模型，是充分考慮了與終端安全相關(guān)的監(jiān)管要求，并參考了國內(nèi)外在終端安全方面的管理經(jīng)驗和實踐。

1.與終端安全相關(guān)的標準要求。目前國內(nèi)和國際標準沒有制定專門針對PC終端的信息安全標準，但在信息安全管理綜合性標準中對PC終端管理提出了相關(guān)的管理要求。

《ISO/IEC 27001：2013》中，對PC終端安全管理要求主要包括：（1）A.8資產(chǎn)管理：對資產(chǎn)清單、資產(chǎn)責任人、資產(chǎn)的合理使用、資產(chǎn)的歸還提出了安全要求。終端計算機作為一種資產(chǎn)應該符合資產(chǎn)管理的各項要求。（2）A.9訪問控制：中要求對信息和信息處理設(shè)施的訪問制定安全控制措施。所以也需要對終端計算機的訪問控制進行相關(guān)控制。（3）A.11.2設(shè)備管理：對設(shè)備安置和保護、支持性設(shè)施、設(shè)備維護、資產(chǎn)移動、場外設(shè)備和資產(chǎn)安全、設(shè)備處置等要求制定完備的安全控制措施。

2.建議的終端安全管理框架。在參照國內(nèi)國際相關(guān)信息安全標準，以及多個行業(yè)的信息安全管理慣例，并根據(jù)核電行業(yè)的管理特點，建議最終從責任體制、管理機制等共3個方面，設(shè)計符合核電行業(yè)管理要求與管理目標的終端安全管理整體框架（如下圖所示）：

終端安全管控框架。

3.責任體制。由于核電行業(yè)除了內(nèi)部員工外，還有多種不同類型的外部工作人員或相關(guān)方的PC終端可能會接入或訪問江核核電的信息系統(tǒng)及信息網(wǎng)絡(luò)。

因此明確終端安全的相關(guān)方管理責任顯得十分重要。在實際操作中，基于終端使用和管理人員的復雜性，在內(nèi)外人員混雜并存的情況下，采用了“三員”分離的管理模式，及實現(xiàn)技術(shù)維護人員、安全管理人員和安全審計人員的分離。

（1）安全管理員：在負責組織落實與終端相關(guān)的信息安全管理規(guī)定，監(jiān)督檢查信息安全保障工作，檢查終端的的安全運行狀況，發(fā)現(xiàn)問題及時通報和預警，并提出整改意見，并定期組織信息安全宣傳教育活動，開展信息安全檢查、評估與培訓工作。

（2）技術(shù)管理員：是指提供辦公終端運行維護的內(nèi)部技術(shù)支持人員或外包服務人員。要求技術(shù)支持人員在履行日常運行維護職責過程中，不得對外泄漏或引用工作中觸及的任何敏感信息。嚴格權(quán)限訪問，未經(jīng)業(yè)務主管部門授權(quán)不得擅自訪問或獲取任何數(shù)據(jù)。主動檢查和監(jiān)控生產(chǎn)系統(tǒng)安全運行狀況，發(fā)現(xiàn)安全隱患或故障及時報告，并及時響應、處置。

如在終端配發(fā)階段要求：（1）技術(shù)部門根據(jù)將四個類別定義并實施不同安全策略，如關(guān)閉不必要的應用服務，禁用或刪除不必要的賬號，關(guān)閉不必要的共享，關(guān)閉不必要的端口，強化網(wǎng)絡(luò)瀏覽器的安全配置等；（2）技術(shù)部門根據(jù)將四個類別分別設(shè)置配置串口、并口、PCI、USB、網(wǎng)卡、硬盤等各類I/O接口和設(shè)備的啟用/禁用狀態(tài)。（3）技術(shù)部門根據(jù)將四個類別分別設(shè)置終端允許安裝的軟件；（4）由技術(shù)部門統(tǒng)一加裝防止惡意代碼、網(wǎng)絡(luò)攻擊的防病毒軟件并及時升級軟件及病毒庫；（5）第一類終端、第三類終端設(shè)備僅允許通過有線網(wǎng)絡(luò)訪問公司內(nèi)網(wǎng)，不允許訪問互聯(lián)網(wǎng)。第二類終端、第四類終端僅能接入無線外網(wǎng)，不得接入公司有線網(wǎng)絡(luò)；

如在終端使用時要求：（1）第一類、第二類、第三類終端設(shè)備用戶禁止擅自更改計算機初始硬件配置，禁止擅自在終端上安裝或卸載任何軟件，禁止擅自更改終端的安全策略。（2）所有終端應按照指定方式接入公司內(nèi)網(wǎng)或者互聯(lián)網(wǎng)，不得使用雙網(wǎng)卡、撥號、無線網(wǎng)卡、3G網(wǎng)絡(luò)等方式接入其他網(wǎng)絡(luò)；（3）第二類終端設(shè)備的管理責任人在出差時將其放置在飯店房間、會議中心、汽車或其它交通工具等情況下必須置于有物理保護的場所或容器里，以防止丟失、損壞和被盜；（4）嚴格控制病毒來源，對外來的光盤、U盤以及通過網(wǎng)絡(luò)傳入的文件或數(shù)據(jù)，使用前必須進行病毒和木馬檢查，如發(fā)現(xiàn)病毒或木馬應立即報告本處室計算機管理員采取措施，以防止進一步擴散。

四、結(jié)語

目前，核安全已被提升為我國國家安全的重要組成部分，“核電廠信息安全”直接關(guān)系到核安全，也關(guān)系到核電廠的經(jīng)濟性以及我國實現(xiàn)核電強國和核電走出國門的戰(zhàn)略問題。本文結(jié)合日常終端管理工作，提出了系統(tǒng)性、體系性的解決終端安全管理工作的框架和模型，是對信息安全縱深防御的初步研究，為終端安全管理工作提供了良好的工作思路。旨在推動建立一個由管理和技術(shù)體系所構(gòu)成的信息安全文化與核安全文化相結(jié)合的保障體系，以應對網(wǎng)絡(luò)信息安全風險挑戰(zhàn)，推動我國核電安全、健康發(fā)展。