網(wǎng)絡(luò)安全評(píng)估及整改方案

杜欣 汪淏

摘? 要：近年來(lái)隨著集團(tuán)公司信息化的高速發(fā)展，組建了覆蓋了省、市、縣、供電所營(yíng)業(yè)廳的信息網(wǎng)，陸續(xù)上線(xiàn)運(yùn)行營(yíng)銷(xiāo)系統(tǒng)、OA系統(tǒng)、財(cái)務(wù)系統(tǒng)等三十多個(gè)應(yīng)用系統(tǒng)。隨著分布式部署的應(yīng)用系統(tǒng)越來(lái)越多，市、縣分公司發(fā)生網(wǎng)絡(luò)安全事件的幾率也越來(lái)越大。本文通過(guò)對(duì)管理網(wǎng)網(wǎng)絡(luò)安全現(xiàn)狀及存在問(wèn)題進(jìn)行了分析，提出了網(wǎng)絡(luò)安全評(píng)估及整改方案，提高網(wǎng)絡(luò)安全性和穩(wěn)定性，減少網(wǎng)絡(luò)安全隱患。

關(guān)鍵詞：管理信息網(wǎng);安全提升;網(wǎng)絡(luò)架構(gòu);信息化系統(tǒng)

中圖分類(lèi)號(hào)：TP393.08? ? 文獻(xiàn)標(biāo)識(shí)碼：A ? ? ? 文章編號(hào)：1671-2064（2019）24-0000-00

0 引言

隨著多元化繳費(fèi)平臺(tái)等互聯(lián)網(wǎng)應(yīng)用的上線(xiàn)和相關(guān)信息系統(tǒng)的深度集成，網(wǎng)絡(luò)安全工作的難度和復(fù)雜度不斷提高，系統(tǒng)安全性、可靠性和可用性風(fēng)險(xiǎn)依然存在，同時(shí)大數(shù)據(jù)安全問(wèn)題開(kāi)始凸顯。此外，隨著分布式部署的應(yīng)用系統(tǒng)越來(lái)越多（調(diào)控、配網(wǎng)自動(dòng)化、GIS系統(tǒng)等），市、縣分公司發(fā)生網(wǎng)絡(luò)安全事件的幾率也越來(lái)越大。因此，根據(jù)集團(tuán)公司的全省統(tǒng)一規(guī)劃，市級(jí)單位管理網(wǎng)的安全評(píng)估及整改已經(jīng)是當(dāng)務(wù)之急。

1 管理網(wǎng)現(xiàn)狀

1.1 通信網(wǎng)絡(luò)現(xiàn)狀

集團(tuán)公司網(wǎng)絡(luò)架構(gòu)由調(diào)度網(wǎng)、管理網(wǎng)和互聯(lián)網(wǎng)“三張網(wǎng)”組成。

管理網(wǎng)采用樹(shù)形結(jié)構(gòu)，覆蓋省、市、縣、供電所營(yíng)業(yè)廳四級(jí)網(wǎng)絡(luò)節(jié)點(diǎn)，與調(diào)度網(wǎng)物理隔離，與互聯(lián)網(wǎng)邏輯隔離。

第一級(jí)（省級(jí)）包括集團(tuán)公司信息數(shù)據(jù)中心，位于西安市。

第二級(jí)（市級(jí)）包括集團(tuán)公司總部機(jī)關(guān)和各市分公司，各發(fā)電、輔業(yè)、多經(jīng)子公司，各直屬中心，分別位于西安、榆林、延安、寶雞、咸陽(yáng)、渭南、漢中、安康、商洛市。

第三級(jí)（縣級(jí)）主要包括各縣分公司，分別位于榆林、延安、寶雞、咸陽(yáng)、西安、渭南、漢中、安康、商洛市全部或部分區(qū)縣。

第四級(jí)（站所）主要包括各縣分公司供電所、運(yùn)維班等，分別位于榆林、延安、寶雞、咸陽(yáng)、西安、渭南、漢中、安康、商洛市全部或部分區(qū)縣。

由于應(yīng)用系統(tǒng)數(shù)據(jù)傳輸需求，建成網(wǎng)絡(luò)拓?fù)洳捎脴?shù)狀結(jié)構(gòu)。該四級(jí)網(wǎng)絡(luò)分三級(jí)匯聚：省級(jí)節(jié)點(diǎn)匯聚市級(jí)網(wǎng)絡(luò)、市級(jí)節(jié)點(diǎn)匯聚縣級(jí)網(wǎng)絡(luò)、縣級(jí)節(jié)點(diǎn)匯聚站所網(wǎng)絡(luò)。

市公司信息數(shù)據(jù)中心承載著本單位多個(gè)應(yīng)用系統(tǒng)，并作為管理網(wǎng)二級(jí)節(jié)點(diǎn)，向下管理三級(jí)和四級(jí)節(jié)點(diǎn)。

1.2信息化安全現(xiàn)狀

經(jīng)過(guò)近幾年的管理網(wǎng)建設(shè)，目前市級(jí)公司具有如下的基本網(wǎng)絡(luò)安全措施：

（1）在物理安全上，有單獨(dú)的專(zhuān)用機(jī)房。采用了UPS、防靜電、雷擊接地、空調(diào)，已滿(mǎn)足物理環(huán)境安全需求。

（2）在網(wǎng)絡(luò)安全上，在互聯(lián)網(wǎng)出口主要部署了防火墻、上網(wǎng)行為管理作為訪(fǎng)問(wèn)控制手段，隔離完全不可信的互聯(lián)網(wǎng)威脅。

（3）在系統(tǒng)安全上，信息系統(tǒng)的各服務(wù)器上操作系統(tǒng)已經(jīng)做了初步的安全規(guī)劃設(shè)置;管理員會(huì)定期給系統(tǒng)升級(jí)和打補(bǔ)丁，系統(tǒng)的一些常見(jiàn)漏洞問(wèn)題已經(jīng)得到了解決。但目前缺乏安全檢測(cè)機(jī)制，主要靠人為判斷安全漏洞及缺陷。

（4）在病毒防范方面，辦公平臺(tái)上統(tǒng)一安裝360企業(yè)版網(wǎng)絡(luò)防病毒客戶(hù)端，可在一定程度上解決病毒問(wèn)題。

（5）客戶(hù)端終端已經(jīng)部署了獨(dú)立開(kāi)發(fā)的基于加密U盤(pán)的身份認(rèn)證與雙網(wǎng)隔離客戶(hù)端，實(shí)現(xiàn)了管理網(wǎng)與辦公網(wǎng)絡(luò)的邏輯隔離及對(duì)人員、終端的認(rèn)證。

（6）在應(yīng)用安全上，已經(jīng)開(kāi)通使用的營(yíng)銷(xiāo)、OA、財(cái)務(wù)等系統(tǒng)均采用用戶(hù)名和密碼方式的身份認(rèn)證，初步實(shí)現(xiàn)用戶(hù)身份的認(rèn)證識(shí)別。

（7）在管理安全上，制訂了相關(guān)的管理制度，協(xié)助市級(jí)單位初步形成了公司信息安全管理體系。

1.3存在問(wèn)題

當(dāng)前市級(jí)單位信息化安全主要突出問(wèn)題來(lái)自?xún)煞矫妫阂环矫鎭?lái)自現(xiàn)有市級(jí)單位網(wǎng)絡(luò)架構(gòu)層面;另一方面來(lái)自信息化系統(tǒng)層面。

市級(jí)單位管理網(wǎng)二期初步實(shí)現(xiàn)了管理網(wǎng)與辦公互聯(lián)網(wǎng)的邏輯安全隔離，以及辦公局域網(wǎng)與互聯(lián)網(wǎng)的安全防護(hù)?？紤]到當(dāng)時(shí)市級(jí)單位和縣級(jí)單位部分自建業(yè)務(wù)系統(tǒng)及局域網(wǎng)現(xiàn)狀，并沒(méi)有采取更多的安全措施。

當(dāng)前市級(jí)單位管理網(wǎng)網(wǎng)絡(luò)結(jié)構(gòu)中，主要有以下幾點(diǎn)已知的安全風(fēng)險(xiǎn)問(wèn)題：

（1）市級(jí)及縣級(jí)部分自建業(yè)務(wù)系統(tǒng)仍部署在辦公局域網(wǎng)內(nèi)，其與互聯(lián)網(wǎng)連通。

（2）縣級(jí)單位管理網(wǎng)專(zhuān)線(xiàn)直接接入到市級(jí)單位的管理網(wǎng)骨干路由中，沒(méi)有進(jìn)行必須的安全分區(qū)分域防護(hù)。

（3）辦公局域網(wǎng)內(nèi)訪(fǎng)問(wèn)互聯(lián)網(wǎng)缺乏必要的審計(jì)系統(tǒng)。

（4）辦公局域網(wǎng)與管理網(wǎng)安全區(qū)域隔離設(shè)備存在單點(diǎn)故障。

（5）市、縣級(jí)已經(jīng)部署的準(zhǔn)入設(shè)備及防火墻設(shè)備等，缺乏統(tǒng)一的安全管理平臺(tái)，市級(jí)單位無(wú)法集中統(tǒng)一管理。

在信息化系統(tǒng)層面，由于市級(jí)單位管理網(wǎng)建設(shè)周期長(zhǎng)、市縣單位小系統(tǒng)部署時(shí)間久，亟需對(duì)以下存在重大安全隱患方面進(jìn)行安全評(píng)估和整改：

（1）網(wǎng)絡(luò)設(shè)備：未采取加密登錄方式、軟件版本低、動(dòng)態(tài)路由協(xié)議未加認(rèn)證、密碼弱口令、密碼嘗試次數(shù)等策略為設(shè)置、管理權(quán)限未劃分。

（2）Windows主機(jī)：系統(tǒng)補(bǔ)丁未更新、弱口令、未關(guān)閉未使用的服務(wù)、賬戶(hù)密碼及多訂策略、審計(jì)策略、默認(rèn)遠(yuǎn)程管理需調(diào)整及安全相關(guān)的策略、防火墻、防病毒等。

（3）Linux主機(jī)：弱口令、密碼策略、未優(yōu)化不使用的服務(wù)、審計(jì)策略、系統(tǒng)補(bǔ)丁等相關(guān)整改。

（4）數(shù)據(jù)庫(kù)：包括Oracle、Mysql、MSSQl等數(shù)據(jù)庫(kù)軟件。涉及到弱口令、密碼策略、審計(jì)策略、默認(rèn)用戶(hù)、權(quán)限分配、補(bǔ)丁集升級(jí)等。

（5）中間件：包括Weblogic、Tomcat、WAS、IIS等。涉及到弱口令、補(bǔ)丁集、權(quán)限分配等。

（6）業(yè)務(wù)系統(tǒng)：主要涉及到數(shù)據(jù)庫(kù)SQL注入等。

2 解決方案

針對(duì)現(xiàn)有安全風(fēng)險(xiǎn)，分別從網(wǎng)絡(luò)架構(gòu)及信息化系統(tǒng)層面著手進(jìn)行安全整改和加固。

2.1架構(gòu)安全提升方案

2.1.1架構(gòu)安全實(shí)現(xiàn)目標(biāo)

（1）分區(qū)分域隔離。根據(jù)網(wǎng)絡(luò)物理區(qū)域、網(wǎng)絡(luò)訪(fǎng)問(wèn)安全級(jí)別的不同，新增兩臺(tái)安全隔離網(wǎng)關(guān)將業(yè)務(wù)系統(tǒng)、業(yè)務(wù)系統(tǒng)訪(fǎng)問(wèn)者劃分在不同的安全域，通過(guò)邏輯隔離對(duì)訪(fǎng)問(wèn)業(yè)務(wù)系統(tǒng)的網(wǎng)絡(luò)行為進(jìn)行控制，針對(duì)不同權(quán)限對(duì)象設(shè)置不同的訪(fǎng)問(wèn)控制策略。

（2）網(wǎng)絡(luò)入侵防護(hù)。在管理網(wǎng)和互聯(lián)網(wǎng)出口新增入侵防御系統(tǒng)，實(shí)現(xiàn)對(duì)訪(fǎng)問(wèn)業(yè)務(wù)服務(wù)器的數(shù)據(jù)進(jìn)行惡意病毒代碼和網(wǎng)絡(luò)入侵分析檢測(cè)，對(duì)發(fā)現(xiàn)的病毒和入侵行為需要具備實(shí)時(shí)阻斷的能力，保護(hù)業(yè)務(wù)系統(tǒng)安全穩(wěn)定運(yùn)行和業(yè)務(wù)數(shù)據(jù)的安全可靠。

（3）安全設(shè)備統(tǒng)一管理。集團(tuán)公司管理網(wǎng)部署了統(tǒng)一的安全管理平臺(tái)，市公司區(qū)域隔離安全網(wǎng)關(guān)等設(shè)備需進(jìn)行集中管理，實(shí)現(xiàn)統(tǒng)一下發(fā)安全策略、備份配置、防御安全風(fēng)險(xiǎn)等。

市級(jí)單位網(wǎng)絡(luò)安全設(shè)備部署圖如圖1所示：

2.1.2架構(gòu)安全具體解決方案

（1）部署安全網(wǎng)關(guān)。業(yè)務(wù)系統(tǒng)前端部署綜合安全網(wǎng)關(guān)，建議雙機(jī)熱備部署。設(shè)備部署在管理網(wǎng)業(yè)務(wù)服務(wù)器前端，部署訪(fǎng)問(wèn)控制策略，實(shí)現(xiàn)IP+端口的訪(fǎng)問(wèn)控制，阻擋非法訪(fǎng)問(wèn)，同時(shí)對(duì)接入的縣區(qū)實(shí)現(xiàn)訪(fǎng)問(wèn)控制。通過(guò)安全網(wǎng)關(guān)將地市分公司本地辦公區(qū)、業(yè)務(wù)服務(wù)器、縣公司和集團(tuán)公司分別劃分為不同的安全域，通過(guò)安全策略控制不通安全域之間的網(wǎng)絡(luò)互訪(fǎng)行為，實(shí)現(xiàn)分區(qū)分域需求。

（2）部署入侵防護(hù)系統(tǒng)。旁路部署在交換機(jī)上，需要通過(guò)交換機(jī)鏡像流量進(jìn)行安全分析，入侵防護(hù)系統(tǒng)部署針對(duì)應(yīng)用協(xié)議漏洞的攻擊，如http協(xié)議、FTP協(xié)議、telnet暴力破解等協(xié)議漏洞攻擊。入侵防護(hù)系統(tǒng)與區(qū)域隔離網(wǎng)關(guān)進(jìn)行聯(lián)動(dòng)，檢測(cè)到入侵攻擊IP時(shí)，下發(fā)策略到安全網(wǎng)關(guān)，通過(guò)安全網(wǎng)關(guān)的安全策略進(jìn)行控制。

2.2 系統(tǒng)性安全提升方案

2.2.1 系統(tǒng)性安全實(shí)現(xiàn)目標(biāo)

對(duì)網(wǎng)絡(luò)、主機(jī)、操作系統(tǒng)、數(shù)據(jù)庫(kù)、中間件及業(yè)務(wù)系統(tǒng)在安全評(píng)測(cè)的基礎(chǔ)上，進(jìn)行系統(tǒng)的安全加固，達(dá)到如下工作目標(biāo)：

（1）消除或規(guī)避信息系統(tǒng)存在的安全隱患;（2）提高信息系統(tǒng)安全防護(hù)能力;（3）提高維護(hù)人員的技術(shù)水平，為信息系統(tǒng)維護(hù)提供技術(shù)支持。

2.2.2 系統(tǒng)性安全提升方案

系統(tǒng)性安全整改主要工作內(nèi)容：

（1）網(wǎng)絡(luò)設(shè)備：設(shè)備登錄弱口令;VLAN間訪(fǎng)問(wèn)策略配置;啟用設(shè)備日志;軟件內(nèi)核版本升級(jí);遠(yuǎn)程管理關(guān)閉telnet，采用ssh方式;配置OSPF驗(yàn)證密碼等。

（2）Windows主機(jī)：修改操作系統(tǒng)登錄弱口令;更新系統(tǒng)安全補(bǔ)丁;設(shè)置密碼復(fù)雜性策略;設(shè)置密碼更新策略;設(shè)置賬戶(hù)鎖定策略;開(kāi)啟審核策略并增加登錄、特權(quán)使用等策略;關(guān)閉默認(rèn)共享等。

（3）安全設(shè)備：修改弱口令;啟用密碼復(fù)雜度及更新策略;調(diào)整高風(fēng)險(xiǎn)互聯(lián)網(wǎng)安全策略;調(diào)整管理網(wǎng)與辦公局域網(wǎng)安全策略，避免安全風(fēng)險(xiǎn)等。

（4）Linux主機(jī)：修改操作系統(tǒng)登錄弱口令;更新系統(tǒng)安全補(bǔ)丁;設(shè)置密碼復(fù)雜性策略;設(shè)置密碼更改策略;設(shè)置賬戶(hù)鎖定策略;修改FTP、samba等服務(wù)弱口令;配置審計(jì)策略;遠(yuǎn)程管理關(guān)閉telnet，采用ssh方式等。

（5）Oracle數(shù)據(jù)庫(kù)：修改弱口令;更新數(shù)據(jù)庫(kù)補(bǔ)丁;設(shè)置密碼更新周期策略;設(shè)置密碼復(fù)雜度;禁用不需要的public權(quán)限包;限制遠(yuǎn)程訪(fǎng)問(wèn)地址等。

（6）Mysql數(shù)據(jù)庫(kù)：修改弱口令;更新數(shù)據(jù)庫(kù)補(bǔ)丁或數(shù)據(jù)庫(kù)版本;設(shè)置密碼更新周期策略;設(shè)置密碼復(fù)雜度;對(duì)數(shù)據(jù)庫(kù)用戶(hù)權(quán)限合理劃分;重命名root用戶(hù);根據(jù)需要禁止遠(yuǎn)程登錄;限制用戶(hù)最大連接數(shù)。

（7）MSSQL數(shù)據(jù)庫(kù)：修改弱口令;更新數(shù)據(jù)庫(kù)補(bǔ)丁或數(shù)據(jù)庫(kù)版本;啟用登錄審核;啟用數(shù)據(jù)庫(kù)審核審計(jì)功能;對(duì)數(shù)據(jù)庫(kù)用戶(hù)權(quán)限合理劃分;重命名sa用戶(hù)。

（8）中間件（WAS、Weblogic、IIS、Tomcat等）：根據(jù)需要更新有重大漏洞的版本;

強(qiáng)化web管理方式及弱口令;禁用示例頁(yè)面或應(yīng)用。

2.3 方案實(shí)施

商洛網(wǎng)絡(luò)安全評(píng)估及整改實(shí)施方案已經(jīng)完成，正在進(jìn)行網(wǎng)絡(luò)安全相關(guān)硬件設(shè)備安裝、服務(wù)器軟件升級(jí)和漏洞修復(fù)的工作。

架構(gòu)安全方面：通過(guò)防控設(shè)備提升信息系統(tǒng)抵御網(wǎng)絡(luò)入侵和攻擊的能力。新增兩臺(tái)安全隔離網(wǎng)關(guān)將業(yè)務(wù)系統(tǒng)、業(yè)務(wù)系統(tǒng)訪(fǎng)問(wèn)者劃分在不同的安全域;在管理網(wǎng)和互聯(lián)網(wǎng)出口分別部署一套入侵防御系統(tǒng)，實(shí)現(xiàn)對(duì)訪(fǎng)問(wèn)業(yè)務(wù)服務(wù)器的數(shù)據(jù)進(jìn)行惡意病毒代碼和網(wǎng)絡(luò)入侵分析檢測(cè)，對(duì)發(fā)現(xiàn)的病毒和入侵行為需要具備實(shí)時(shí)阻斷的能力。

系統(tǒng)性方面：按照《網(wǎng)絡(luò)安全攻防演練評(píng)估報(bào)告》內(nèi)的詳細(xì)問(wèn)題列表，按照應(yīng)用系統(tǒng)分類(lèi)逐一進(jìn)行整改，責(zé)任到人，提高各應(yīng)用系統(tǒng)的安全性。

3 結(jié)語(yǔ)

管理信息網(wǎng)絡(luò)通過(guò)本次網(wǎng)絡(luò)安全評(píng)估及整改，通過(guò)安全域劃分統(tǒng)一信息系統(tǒng)內(nèi)各部分的安全策略，保障市公司、外部接入單位、INTERNET用戶(hù)之間能進(jìn)行安全可靠的連接、數(shù)據(jù)交換和信息共享，達(dá)到“橫向隔離、縱向加密”的信息安全整體架構(gòu)，實(shí)現(xiàn)事前可預(yù)防、事中能阻擋、事后可追溯的目標(biāo)，以安全保業(yè)務(wù)，用安全促業(yè)務(wù)，全面提高事務(wù)處理的效率和質(zhì)量，為信息化建設(shè)的深入發(fā)展奠定了基礎(chǔ)。

參考文獻(xiàn)

[1] GB/17859-1999.計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則[S].

[2] GB/T18336.信息技術(shù)安全技術(shù)信息技術(shù)安全性評(píng)估準(zhǔn)則[S].

收稿日期：2019-11-16

作者簡(jiǎn)介：杜欣（1987—），女，陜西鎮(zhèn)安人，本科，科員，研究方向：電力調(diào)度通信及網(wǎng)絡(luò)安全。