關(guān)于網(wǎng)絡(luò)接入控制系統(tǒng)的研究

金雙勇

摘要： 隨著信息化在電力系統(tǒng)中應(yīng)用的不斷深入，電力系統(tǒng)對(duì)信息網(wǎng)絡(luò)的依賴程度越來(lái)越高，網(wǎng)絡(luò)內(nèi)部不安全因素對(duì)信息安全的威脅越來(lái)越大。為進(jìn)一步落實(shí)國(guó)家對(duì)電力企業(yè)的網(wǎng)絡(luò)安全要求，確保電力企業(yè)信息網(wǎng)絡(luò)的安全穩(wěn)定運(yùn)行，可在信息內(nèi)網(wǎng)部署網(wǎng)絡(luò)準(zhǔn)入控制系統(tǒng)，強(qiáng)制計(jì)算機(jī)終端執(zhí)行安全策略，使終端安全管理措施得到有效、快速落實(shí)，達(dá)到預(yù)防非合規(guī)終端接入網(wǎng)絡(luò)、終端非法訪問(wèn)、違規(guī)外聯(lián)等信息安全違規(guī)問(wèn)題發(fā)生的目的，為電網(wǎng)安全生產(chǎn)提供保障。

Abstract： With the deepening of the application of information technology in the power system， the degree of dependence of the power system on the information network becomes higher and higher， and the insecurity factors inside the network are increasing threatening to the information security. In order to further implement the the electric power enterprise network security requirements asked by the state， and to ensure the safe and stable operation of power enterprises information network， in can deploy access control system into the information network， force the computer terminal to carry out the security policy， so as to make the terminal security management measures be effectively， fast implemented. It can prevent non-compliance terminal access network， terminal illegal access， illegal outreach and other information security violations in order to provide protection for the safe production of power grid.

關(guān)鍵詞： 網(wǎng)絡(luò)接入；安全；研究

Key words： network access；safety；research

中圖分類號(hào)：TN711 文獻(xiàn)標(biāo)識(shí)碼：A 文章編號(hào)：1006-4311（2017）34-0154-021 電力內(nèi)網(wǎng)信息安全事件原因分析

目前，電力系統(tǒng)的信息網(wǎng)絡(luò)采用內(nèi)外網(wǎng)隔離方案，隨著信息安全意識(shí)的逐步提高，按要求配備了相關(guān)的網(wǎng)絡(luò)安全設(shè)備，并制定了相應(yīng)的網(wǎng)絡(luò)安全使用制度，然而終端電腦病毒、木馬以及信息泄密等事件威脅仍然存在。筆者從根本原因分析，總結(jié)出以下幾點(diǎn)：

①安全策略未有效執(zhí)行。針對(duì)自身的安全風(fēng)險(xiǎn)，公司制定一系列的安全策略和安全制度來(lái)保障網(wǎng)絡(luò)安全，但隨著內(nèi)網(wǎng)的規(guī)模和復(fù)雜度急劇上升，這些安全策略被有效執(zhí)行的難度很大。

②系統(tǒng)未及時(shí)打補(bǔ)丁。引發(fā)網(wǎng)絡(luò)安全事件的最主要的因素之一，是未打及時(shí)打補(bǔ)丁，修復(fù)系統(tǒng)漏洞所造成的。

③缺乏內(nèi)網(wǎng)接入控制。個(gè)別接入內(nèi)網(wǎng)的終端不按要求及時(shí)升級(jí)病毒庫(kù)，或安裝未經(jīng)授權(quán)的軟件，可能給內(nèi)網(wǎng)安全造成致命打擊。

④終端用戶非法外聯(lián)。由于缺乏有效終端監(jiān)控技術(shù)，個(gè)別用戶安全意識(shí)不高，存在不小心使用即插即用的互聯(lián)網(wǎng)接入設(shè)備的可能，使外部黑客、病毒或木馬攻擊繞過(guò)當(dāng)前部署的安全保護(hù)屏障，導(dǎo)致信息泄露和病毒入侵。

2 網(wǎng)絡(luò)接入控制方案

電力企業(yè)信息系統(tǒng)主要部署在內(nèi)網(wǎng)，一個(gè)規(guī)模大一點(diǎn)的縣級(jí)供電企業(yè)，內(nèi)網(wǎng)計(jì)算機(jī)就會(huì)達(dá)到1千臺(tái)，總體數(shù)量龐大。通過(guò)分析內(nèi)網(wǎng)信息安全的影響因素，認(rèn)為建立一套準(zhǔn)入控制機(jī)制能夠很好的解決此類問(wèn)題。準(zhǔn)入控制機(jī)制的建立，可高效地完成內(nèi)網(wǎng)終端安全策略、系統(tǒng)補(bǔ)丁更新等終端安全措施的檢測(cè)。如圖1控制系統(tǒng)邏輯模型。

網(wǎng)絡(luò)接入控制主要用于解決公司信息內(nèi)網(wǎng)安全不達(dá)標(biāo)的終端可能帶來(lái)的信息網(wǎng)絡(luò)及信息資源違規(guī)占用、病毒木馬傳播、資料泄密以及越權(quán)訪問(wèn)等諸多安全問(wèn)題，對(duì)于安全不達(dá)標(biāo)終端的定義，主要包含以下情況：

①信息網(wǎng)絡(luò)內(nèi)部存在風(fēng)險(xiǎn)漏洞的終端，例如未安裝殺毒軟件、未安裝關(guān)鍵補(bǔ)?。虎诖嬖诓话踩呗耘渲玫慕K端；③未經(jīng)身份授權(quán)的終端；④外來(lái)維護(hù)人員未經(jīng)訪問(wèn)許可的終端；⑤越權(quán)訪問(wèn)的終端；⑥……

安全網(wǎng)絡(luò)接入控制系統(tǒng)采用軟硬件結(jié)合的方式，以終端驗(yàn)證和終端安全為基礎(chǔ)，通過(guò)身份認(rèn)證等手段，從根本上保證接入網(wǎng)絡(luò)的終端可信程度，并控制可信計(jì)算機(jī)的訪問(wèn)權(quán)限，為信息內(nèi)網(wǎng)的終端入網(wǎng)安全管理提供強(qiáng)有效的保障，規(guī)避來(lái)自于網(wǎng)絡(luò)內(nèi)部的信息安全風(fēng)險(xiǎn)。

2.1 策略路由準(zhǔn)入控制

隨著近年來(lái)準(zhǔn)入控制技術(shù)的不斷發(fā)展，越來(lái)越多的準(zhǔn)入控制技術(shù)都采用了OOB（Out Of Band）模式，即旁路部署模式，準(zhǔn)入控制系統(tǒng)的本身出現(xiàn)故障，并不會(huì)影響網(wǎng)絡(luò)業(yè)務(wù)穩(wěn)定運(yùn)行。網(wǎng)絡(luò)接入控制采用策略路由模式，內(nèi)網(wǎng)網(wǎng)絡(luò)的核心設(shè)備支持策略路由功能，通過(guò)將上行業(yè)務(wù)請(qǐng)求通過(guò)策略路由的控制定向到網(wǎng)絡(luò)接入控制系統(tǒng)，經(jīng)由網(wǎng)絡(luò)接入控制系統(tǒng)針對(duì)終端的可信程度進(jìn)行認(rèn)證和判定后，采用丟棄或者正常轉(zhuǎn)發(fā)到原路由下一跳的方式，對(duì)終端入網(wǎng)進(jìn)行安全可信的篩選，從而達(dá)到準(zhǔn)入控制的效果。如圖2所示。

由于策略路由模式只針對(duì)上行業(yè)務(wù)請(qǐng)求進(jìn)行處理，不會(huì)影響下行業(yè)務(wù)返回的正常轉(zhuǎn)發(fā)，也不影響網(wǎng)絡(luò)路由和拓?fù)涞母模浒踩砸驳玫搅烁嗟谋Ｕ?。endprint

另外，網(wǎng)絡(luò)核心設(shè)備支持策略路由同時(shí)也支持逃生模式，核心設(shè)備在確認(rèn)策略路由的下一跳不可達(dá)的情況下，可以按照策略配置自動(dòng)選擇原有默認(rèn)路由，從安全角度來(lái)看，即使準(zhǔn)入控制設(shè)備失去功效，也不會(huì)影響業(yè)務(wù)的正常轉(zhuǎn)發(fā)，從而保證網(wǎng)絡(luò)業(yè)務(wù)的可持續(xù)運(yùn)營(yíng)。因此，策略路由模式的準(zhǔn)入控制模式，更符合當(dāng)前網(wǎng)絡(luò)運(yùn)行現(xiàn)狀，且不影響生產(chǎn)運(yùn)營(yíng)。

2.2 系統(tǒng)監(jiān)控

系統(tǒng)監(jiān)控模塊的功能主要是對(duì)當(dāng)前網(wǎng)絡(luò)中全部活躍的設(shè)備進(jìn)行統(tǒng)計(jì)、查看和控制，對(duì)當(dāng)前未注冊(cè)、未認(rèn)證、接入成功等各個(gè)狀態(tài)下面詳細(xì)信息的查看和控制，以及對(duì)網(wǎng)絡(luò)接口狀況和網(wǎng)關(guān)資源占用情況進(jìn)行的統(tǒng)計(jì)，統(tǒng)計(jì)在線設(shè)備最近一個(gè)小時(shí)內(nèi)接入數(shù)量的統(tǒng)計(jì)趨勢(shì)圖。如圖3所示。

2.3 流程化入網(wǎng)規(guī)范

網(wǎng)絡(luò)接入控制系統(tǒng)，采用“注冊(cè)->身份認(rèn)證->安全檢查->安全隔離/允許入網(wǎng)”的統(tǒng)一入網(wǎng)規(guī)范流程，當(dāng)網(wǎng)絡(luò)出現(xiàn)擴(kuò)容、改造的時(shí)候，不會(huì)影響用戶終端的入網(wǎng)習(xí)慣。尤其是采用標(biāo)準(zhǔn)的入網(wǎng)規(guī)范，可以從根本上解決終端身份的可信認(rèn)證、終端使用用戶的可信認(rèn)證以及終端安全層面可信認(rèn)證的問(wèn)題，通過(guò)統(tǒng)一入網(wǎng)規(guī)范，杜絕來(lái)自內(nèi)部的信息泄密。

2.4 安全隔離

網(wǎng)絡(luò)接入控制系統(tǒng)遵循終端“注冊(cè)->身份認(rèn)證->安全檢查->安全隔離/允許入網(wǎng)”的控制流程，對(duì)于未通過(guò)安全檢查的終端，可以采用安全隔離手段將終端進(jìn)行隔離，被隔離的終端只能訪問(wèn)指定的安全控制域，避免因?yàn)椴话踩慕K端接入網(wǎng)絡(luò)而造成未知風(fēng)險(xiǎn)。

2.5 來(lái)賓入網(wǎng)管理

外來(lái)廠家調(diào)試人員原則上使用公司的內(nèi)網(wǎng)終端設(shè)備，特殊情況下可能會(huì)要求自帶的設(shè)備臨時(shí)性接入網(wǎng)絡(luò)，為了安全目的，需要對(duì)外來(lái)設(shè)備進(jìn)行檢測(cè)、臨時(shí)授權(quán)，并控制外來(lái)設(shè)備的訪問(wèn)權(quán)限。網(wǎng)絡(luò)接入控制系統(tǒng)針對(duì)外來(lái)訪客的入網(wǎng)需求，制定了整套上網(wǎng)流程，支持外來(lái)廠家調(diào)試人員自助在線申請(qǐng)上網(wǎng)碼、管理員在線授權(quán)以及訪客認(rèn)證等功能。

2.6 安全域控制

安全域主要是用來(lái)控制不同用戶不同角色的訪問(wèn)控制域，針對(duì)來(lái)賓用戶不允許訪問(wèn)關(guān)鍵業(yè)務(wù)服務(wù)器，安全域控制采用IP機(jī)制，支持IP地址、IP段以及IP范圍設(shè)置與文件目錄地址設(shè)定。如圖4所示。

2.7 入網(wǎng)認(rèn)證日志

網(wǎng)絡(luò)接入控制系統(tǒng)支持對(duì)全網(wǎng)用戶的認(rèn)證情況進(jìn)行記錄，可以詳細(xì)記錄用戶認(rèn)證的時(shí)間、用戶名、認(rèn)證類型、IP以及認(rèn)證動(dòng)作等，并且提供查詢接口，便于查詢特定用戶在特定時(shí)間段內(nèi)的網(wǎng)絡(luò)使用情況。

2 結(jié)束語(yǔ)

基于網(wǎng)絡(luò)準(zhǔn)入控制的內(nèi)網(wǎng)安全防護(hù)方案在終端接入受控網(wǎng)絡(luò)前重點(diǎn)查驗(yàn)主機(jī)的安全性，保證公司提出的終端安全策略得到有效執(zhí)行，全力防控病毒傳播、黑客入侵及其他非授權(quán)訪問(wèn)，從而確保內(nèi)網(wǎng)安全穩(wěn)定。此外，統(tǒng)一的策略管理中心和靈活的準(zhǔn)入控制方式也有助于提高信息安全的運(yùn)維效率，為運(yùn)維部門減負(fù)。網(wǎng)絡(luò)準(zhǔn)入控制技術(shù)從網(wǎng)絡(luò)接入端點(diǎn)的安全控制入手，通過(guò)準(zhǔn)入控制與終端網(wǎng)絡(luò)用戶實(shí)現(xiàn)對(duì)接，強(qiáng)制實(shí)施安全監(jiān)控策略，使現(xiàn)行相對(duì)被動(dòng)的、分散的網(wǎng)絡(luò)安全管理方式轉(zhuǎn)為主動(dòng)地安全防控，力求從源頭對(duì)入網(wǎng)的終端全面布控，但在應(yīng)用網(wǎng)絡(luò)準(zhǔn)入控制技術(shù)加強(qiáng)終端安全管控的實(shí)施方面，仍需要相應(yīng)的管理制度配合。

參考文獻(xiàn)：

[1]聶元銘，董建鋒，周小平.網(wǎng)絡(luò)準(zhǔn)入控制概論[M].北京：科學(xué)出版社，2012.

[2]賀文華，陳志剛.網(wǎng)絡(luò)安全現(xiàn)狀分析與發(fā)展趨勢(shì)[J].通信技術(shù)，2007（10）.

[3]沈昌祥.大力發(fā)展我國(guó)可信計(jì)算技術(shù)和產(chǎn)業(yè)[J].信息安全與通信保密，2007（09）.endprint