遠(yuǎn)程監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全測評與整改

梁丹池 馬長峰

（廣西廣播電視技術(shù)中心）

一、引言

廣西整?。▍^(qū)）廣播電視無線發(fā)射臺站運(yùn)行支撐管理系統(tǒng)（下文簡稱“遠(yuǎn)程監(jiān)控系統(tǒng)”）是一套實(shí)時(shí)記錄、查詢、監(jiān)測臺站設(shè)備、環(huán)境信息和自動(dòng)快速報(bào)警的廣播電視管理系統(tǒng)。為提高系統(tǒng)的安全防護(hù)能力，提升信息安全管理水平，需對該系統(tǒng)實(shí)施信息安全等級測評及整改項(xiàng)目。

根據(jù)我國推出的《信息安全等級保護(hù)管理辦法》規(guī)定，遠(yuǎn)程監(jiān)控系統(tǒng)以三級標(biāo)準(zhǔn)開展了等級測評，并對測評結(jié)果和所存在的問題進(jìn)行分析，實(shí)施整改。等級測評中的網(wǎng)絡(luò)安全測評能夠有針對性的對遠(yuǎn)程監(jiān)控系統(tǒng)在網(wǎng)絡(luò)安全方面薄弱之處提出整改意見，使遠(yuǎn)程監(jiān)控系統(tǒng)的安全保護(hù)策略更加合理與規(guī)范，達(dá)到有效保護(hù)，減少網(wǎng)絡(luò)安全風(fēng)險(xiǎn)的目的。本文將結(jié)合對遠(yuǎn)程監(jiān)控系統(tǒng)架構(gòu)的分析，對等級測評工作，特別是其中的網(wǎng)絡(luò)安全測評和網(wǎng)絡(luò)安全整改工作進(jìn)行介紹。

圖1 遠(yuǎn)程監(jiān)控系統(tǒng)網(wǎng)絡(luò)拓?fù)?/p>

二、遠(yuǎn)程監(jiān)控系統(tǒng)網(wǎng)絡(luò)架構(gòu)

（一）網(wǎng)絡(luò)結(jié)構(gòu)分析

遠(yuǎn)程監(jiān)控系統(tǒng)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)如圖1所示。

圖1為遠(yuǎn)程監(jiān)控系統(tǒng)的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖，該系統(tǒng)進(jìn)行了區(qū)域劃分與隔離，在系統(tǒng)邊界采用了隔離手段，使內(nèi)外網(wǎng)業(yè)務(wù)得到防護(hù)。

（二）安全設(shè)備和網(wǎng)絡(luò)安全分析

遠(yuǎn)程監(jiān)控系統(tǒng)中部署了入侵檢測系統(tǒng)、主機(jī)接入控制網(wǎng)關(guān)、安全審計(jì)系統(tǒng)等安全設(shè)備，并且內(nèi)外網(wǎng)交界處設(shè)置了防火墻和網(wǎng)閘，具備了一定的網(wǎng)絡(luò)層面的安全保護(hù)手段。實(shí)施網(wǎng)絡(luò)安全測評時(shí)，將綜合考慮網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)是否全面布防，關(guān)鍵設(shè)施是否進(jìn)行嚴(yán)格隔離，網(wǎng)絡(luò)安全設(shè)備的訪問控制策略、安全策略的配置是否科學(xué)、規(guī)范。

圖2 安全控制測評內(nèi)容

三、信息安全等級測評

信息安全等級測評是通過聘請有資質(zhì)的、獨(dú)立的第三方測評機(jī)構(gòu)，使用檢查、測試、訪談等手段對被測信息系統(tǒng)的安全技術(shù)、安全管理等各個(gè)層面的安全控制項(xiàng)進(jìn)行驗(yàn)證，并分別依據(jù)單項(xiàng)測評結(jié)果判定和系統(tǒng)整體測評分析等，分析信息系統(tǒng)的安全保護(hù)能力與國家等級保護(hù)要求之間的安全等級差距，以明確信息系統(tǒng)所存在的安全隱患，為安全建設(shè)和整改工作提供建議和決策依據(jù)，使信息系統(tǒng)具備相應(yīng)安全保護(hù)等級的基本防護(hù)能力。

等級測評包括以下兩方面內(nèi)容：

（一）安全控制測評

安全控制測評是等級測評的基礎(chǔ)，主要測評信息安全等級保護(hù)要求的基本安全控制在信息系統(tǒng)中的實(shí)施配置情況。安全控制測評分為安全技術(shù)測評和安全管理測評兩大類。安全控制測評內(nèi)容如圖2所示。

（二）系統(tǒng)整體測評

根據(jù)《信息安全等級保護(hù)管理辦法》中的要求，對存在的問題進(jìn)行系統(tǒng)整體測評分析，包括從安全控制點(diǎn)間、層面間、區(qū)域間和系統(tǒng)結(jié)構(gòu)等方面進(jìn)行測評。

四、等級測評中的網(wǎng)絡(luò)安全測評

（一）網(wǎng)絡(luò)安全測評

網(wǎng)絡(luò)安全測評作為等級測評的重要部分，主要是從網(wǎng)絡(luò)安全方面對被測信息系統(tǒng)進(jìn)行安全控制測評，找出網(wǎng)絡(luò)安全隱患，分析可能存在的網(wǎng)絡(luò)信息風(fēng)險(xiǎn)，確定被測信息系統(tǒng)的網(wǎng)絡(luò)安全防護(hù)性能。網(wǎng)絡(luò)安全測評的對象是網(wǎng)絡(luò)全局、關(guān)鍵網(wǎng)絡(luò)設(shè)備和安全設(shè)備，通過訪談、檢查和測試的方式，測評被測信息系統(tǒng)的網(wǎng)絡(luò)安全保障情況。網(wǎng)絡(luò)安全測評方法和內(nèi)容如圖3所示。

圖3 網(wǎng)絡(luò)安全測評方法和內(nèi)容

圖4 整改后的遠(yuǎn)程監(jiān)控系統(tǒng)拓?fù)鋱D

（二）網(wǎng)絡(luò)安全測評結(jié)果及問題分析

內(nèi)部初次預(yù)測評顯示，該系統(tǒng)在網(wǎng)絡(luò)安全方面，主要網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力具備冗余空間，滿足業(yè)務(wù)高峰期需要；根據(jù)工作職能、重要性和所涉及信息的重要程度等劃分不同的安全域。針對被測系統(tǒng)的安全防護(hù)等措施已基本落實(shí)，配置有入侵檢測系統(tǒng)、防火墻、網(wǎng)閘等安全防護(hù)設(shè)備，可對進(jìn)出網(wǎng)絡(luò)邊界的數(shù)據(jù)進(jìn)行安全防護(hù)。但仍存在以下主要問題：

1.系統(tǒng)各區(qū)域采用OSPF路由協(xié)議，沒有OSPF路由認(rèn)證，存在被路由攻擊的風(fēng)險(xiǎn)且網(wǎng)段之間未采取可靠的技術(shù)隔離手段。

2未單獨(dú)為系統(tǒng)服務(wù)器劃分網(wǎng)段，不利于網(wǎng)絡(luò)安全訪問控制策略的實(shí)施，受到攻擊后容易造成風(fēng)險(xiǎn)擴(kuò)散。

3.系統(tǒng)內(nèi)外網(wǎng)邊界都沒有部署惡意代碼防范設(shè)備，不能在網(wǎng)絡(luò)邊界對惡意代碼進(jìn)行檢測和清除。

4.訪問控制和入侵防御等安全策略還有待完善，存在一定的被入侵和破壞的風(fēng)險(xiǎn)。

5.網(wǎng)絡(luò)邊界處缺少諸如防火墻等訪問控制設(shè)備，存在內(nèi)網(wǎng)用戶向外網(wǎng)外聯(lián)的風(fēng)險(xiǎn)。

6.沒有對審計(jì)記錄數(shù)據(jù)進(jìn)行統(tǒng)計(jì)、查詢、分析及生成審計(jì)報(bào)表的功能。

7.已配置的入侵檢測系統(tǒng)不能對攻擊行為進(jìn)行阻斷。

8.未限制網(wǎng)絡(luò)最大流量數(shù)及網(wǎng)絡(luò)連接數(shù)、口令未定期更換、無多次登錄限制、接入路由器等設(shè)備通過不安全的明文傳輸Telnet進(jìn)行遠(yuǎn)程管理、內(nèi)部用戶旁路邊界訪問控制措施私自連接外部網(wǎng)絡(luò)等常見網(wǎng)絡(luò)安全問題。

五、遠(yuǎn)程監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全整改

針對初次預(yù)測評編制報(bào)告提出的問題及建議，遠(yuǎn)程監(jiān)控系統(tǒng)進(jìn)行了安全建設(shè)和整改工作，其中網(wǎng)絡(luò)安全層面的整改包括以下主要內(nèi)容：

1.嚴(yán)格設(shè)置OSPF路由協(xié)議認(rèn)證。

2.根據(jù)涉及信息的重要程度為業(yè)務(wù)系統(tǒng)劃分不同子網(wǎng)或網(wǎng)段進(jìn)行控制。

3.根據(jù)安全域劃分結(jié)果設(shè)置邊界保護(hù)措施。

4.調(diào)整現(xiàn)有防火墻部署和對新劃分的安全域邊界部署防火墻并嚴(yán)格根據(jù)業(yè)務(wù)應(yīng)用情況設(shè)置訪問控制策略。

5.部署終端管理產(chǎn)品和非法內(nèi)聯(lián)監(jiān)控系統(tǒng)，控制撥號外聯(lián)行為。

6.增加日志審計(jì)設(shè)備。

7.部署關(guān)鍵網(wǎng)絡(luò)節(jié)點(diǎn)，包括入侵檢測/防御系統(tǒng)、網(wǎng)關(guān)防病毒系統(tǒng)等。

8.對所有網(wǎng)絡(luò)設(shè)備及安全設(shè)備進(jìn)行標(biāo)識，并對管理訪問啟用用戶身份認(rèn)證，同時(shí)根據(jù)要求嚴(yán)格配置身份認(rèn)證策略，設(shè)置好常見的網(wǎng)絡(luò)安全配置。

整改后的遠(yuǎn)程監(jiān)控系統(tǒng)拓?fù)浣Y(jié)構(gòu)如圖4所示。

六、總結(jié)

通過等級測評，各運(yùn)維單位可以全面掌握本單位系統(tǒng)的架構(gòu)、安全設(shè)備部署情況以及存在的不足，同時(shí)等級測評將會(huì)有針對性的對各系統(tǒng)的網(wǎng)絡(luò)架構(gòu)、系統(tǒng)區(qū)域劃分和安全設(shè)備的配置等建設(shè)進(jìn)行檢測和提供安全整改意見，達(dá)到提升系統(tǒng)安全防護(hù)能力的目的。