水利信息化網(wǎng)絡(luò)安全防護(hù)體系淺議

趙 慧，周紅娟

（1.中水北方勘測(cè)設(shè)計(jì)研究有限責(zé)任公司，天津 300222；2.中國(guó)水利水電建設(shè)工程咨詢渤海有限公司，天津 300222）

水利工程是我國(guó)國(guó)民經(jīng)濟(jì)和社會(huì)發(fā)展的重要物質(zhì)基礎(chǔ), 在水資源利用、防洪排澇、生態(tài)環(huán)境保護(hù)、防災(zāi)減災(zāi)等方面對(duì)推動(dòng)國(guó)民經(jīng)濟(jì)發(fā)展做出了重大的貢獻(xiàn)，同時(shí)也在農(nóng)業(yè)、工業(yè)、居民生活、生態(tài)環(huán)境等生產(chǎn)管理過(guò)程中發(fā)揮了極其重要的作用。隨著信息技術(shù)的不斷發(fā)展，物聯(lián)網(wǎng)、云計(jì)算、大數(shù)據(jù)、人工智能等概念相繼提出，而水利技術(shù)的發(fā)展階段也逐漸由自動(dòng)化向信息化、智慧化方向轉(zhuǎn)變。信息化利用多種技術(shù)手段，盡可能多地感知水資源、水環(huán)境及各種水利要素相關(guān)數(shù)據(jù)，通過(guò)信息傳輸、存儲(chǔ)、處理等步驟，依托建模和預(yù)測(cè)做出相應(yīng)決策，有助于有效解決水利行業(yè)的各種問(wèn)題，提高水資源利用率和水利工程規(guī)劃、設(shè)計(jì)、建設(shè)和運(yùn)行維護(hù)的效率和效益，有效保護(hù)水資源與水環(huán)境和防災(zāi)減災(zāi)，實(shí)現(xiàn)人水和諧。

在水利行業(yè)技術(shù)發(fā)展大趨勢(shì)以及國(guó)家方針政策的引領(lǐng)下，水利信息化的建設(shè)已經(jīng)越來(lái)越重要，信息化已滲透到水利工作每一個(gè)環(huán)節(jié)。隨著新時(shí)期以水利信息化帶動(dòng)水利現(xiàn)代化的發(fā)展戰(zhàn)略的確立，全面推進(jìn)水利信息化發(fā)展，安全體系是水利信息化體系的重要組成部分，通信網(wǎng)絡(luò)也成為整個(gè)水利工作的神經(jīng)系統(tǒng)，水利信息在數(shù)據(jù)量上日益龐大，在數(shù)據(jù)類型上也呈現(xiàn)多樣性，因此在數(shù)據(jù)采集、系統(tǒng)運(yùn)行過(guò)程中易出現(xiàn)較多的安全問(wèn)題，不利于系統(tǒng)的安全運(yùn)轉(zhuǎn)。網(wǎng)絡(luò)安全防護(hù)是信息化系統(tǒng)的重要支撐和保障，對(duì)信息化系統(tǒng)建設(shè)、實(shí)施意義重大，信息化發(fā)展的速度越快，信息化面臨的安全問(wèn)題也就會(huì)越多越復(fù)雜，這就需要水利信息化相關(guān)建設(shè)單位、設(shè)計(jì)單位及管理單位，不斷強(qiáng)化網(wǎng)絡(luò)及信息安全設(shè)施、安全管理和有關(guān)制度標(biāo)準(zhǔn)建設(shè)，搭建合理可靠的網(wǎng)絡(luò)安全防護(hù)體系，為水利信息化發(fā)展提供強(qiáng)有力的保障，確保水利信息化的健康發(fā)展。本文對(duì)照新的網(wǎng)絡(luò)等級(jí)保護(hù)要求，對(duì)系統(tǒng)設(shè)備配置及方案研究的差異進(jìn)行簡(jiǎn)要分析。

1 建立水利信息化網(wǎng)絡(luò)安全防護(hù)體系的必要性分析

1.1 技術(shù)發(fā)展趨勢(shì)要求

隨著移動(dòng)互聯(lián)網(wǎng)、云計(jì)算、大數(shù)據(jù)、物聯(lián)網(wǎng)等一系列新興IT 技術(shù)的發(fā)展，各個(gè)水利信息化建設(shè)面臨著新的發(fā)展機(jī)遇，新技術(shù)的發(fā)展為水利信息化的迅速發(fā)展提供了技術(shù)支撐，促使水利行業(yè)迎來(lái)全面升級(jí)的“2.0 時(shí)代”，網(wǎng)絡(luò)逐步邁向萬(wàn)物互聯(lián)，使得世界萬(wàn)物聯(lián)結(jié)更加緊密，同樣也對(duì)信息安全造成一定的隱患。近年來(lái)，針對(duì)水利系統(tǒng)的試探攻擊急劇上升，水利數(shù)據(jù)中心網(wǎng)絡(luò)和應(yīng)用系統(tǒng)能否穩(wěn)定和安全運(yùn)行，將直接影響水利工程控制管理、防汛抗災(zāi)、水資源管理、水環(huán)境、水生態(tài)保護(hù)等各項(xiàng)工作的順利開(kāi)展，因此網(wǎng)絡(luò)安全作為水利信息化發(fā)展的安全保障，未來(lái)勢(shì)必越來(lái)越重要。

1.2 政策要求

近年來(lái)，《中華人民共和國(guó)網(wǎng)絡(luò)安全法》《網(wǎng)絡(luò)安全等級(jí)保護(hù)條例》等一系列法律法規(guī)的相繼實(shí)施，加速推進(jìn)了網(wǎng)絡(luò)安全的建設(shè)和發(fā)展，同時(shí)國(guó)家明確了信息化及網(wǎng)絡(luò)安全的建設(shè)在國(guó)家建設(shè)發(fā)展過(guò)程中的重要作用?！度珖?guó)水利信息化發(fā)展“十三五”規(guī)劃》提出了“立體化監(jiān)測(cè)、精細(xì)化管理、智能化決策和便捷化服務(wù)，數(shù)字水利向智慧水利轉(zhuǎn)變”的水利信息化建設(shè)思路，水利部先后印發(fā)的《加快推進(jìn)智慧水利指導(dǎo)意見(jiàn)》《智慧水利總體方案》《水利網(wǎng)信水平提升三年行動(dòng)方案（2019—2021 年》《水利網(wǎng)絡(luò)安全管理辦法》等要求持續(xù)推進(jìn)水利信息化建設(shè)工作。在新時(shí)代“水利工程補(bǔ)短板、水利行業(yè)強(qiáng)監(jiān)管”的水利改革發(fā)展總基調(diào)中，明確提出網(wǎng)絡(luò)安全與信息化為水利工程四大短板之一，同時(shí)也是水利行業(yè)強(qiáng)監(jiān)管的重要支撐。由上可見(jiàn)，國(guó)家政策層面及行業(yè)發(fā)展層面均明確了信息化網(wǎng)絡(luò)安全防護(hù)的必要性以及迫切性。合理可靠的網(wǎng)絡(luò)安全防護(hù)配置在水利工程規(guī)劃、設(shè)計(jì)、建設(shè)及運(yùn)行過(guò)程中均具有不可替代的地位，在整個(gè)信息化系統(tǒng)運(yùn)行中發(fā)揮著極其重要的作用。

1.3 水利信息化網(wǎng)絡(luò)安全防護(hù)體系現(xiàn)狀及存在的問(wèn)題

目前，水利信息系統(tǒng)主要依靠通用系統(tǒng)和硬件構(gòu)建基礎(chǔ)網(wǎng)絡(luò)，水利工程水利信息專網(wǎng)的安全設(shè)計(jì)主要是從網(wǎng)絡(luò)架構(gòu)、物理鏈路及機(jī)房安全、網(wǎng)絡(luò)安全傳輸、數(shù)據(jù)監(jiān)測(cè)、安全審計(jì)等方面搭建安全體系[1]。

信息安全風(fēng)險(xiǎn)方向主要有攻擊方法、系統(tǒng)漏洞、自動(dòng)化攻擊工具等，主要體現(xiàn)在主機(jī)系統(tǒng)方面、網(wǎng)絡(luò)通信方面、應(yīng)用系統(tǒng)方面及安全管理方面。

（1）主機(jī)系統(tǒng)方面。水利控制網(wǎng)絡(luò)相對(duì)封閉，一直以來(lái)都依賴于隔離方式，如物理上的控制網(wǎng)絡(luò)孤島、密碼、口令等，正是由于這種獨(dú)立性及封閉性，一些基于病毒庫(kù)的殺毒軟件無(wú)法適用于工業(yè)環(huán)境，導(dǎo)致主機(jī)防護(hù)失效。另外，傳統(tǒng)殺毒軟件在工業(yè)環(huán)境中也存在誤殺、誤報(bào)、兼容性差、占用資源高、升級(jí)頻繁、病毒庫(kù)更新滯后等問(wèn)題。

（2）網(wǎng)絡(luò)通信方面。傳統(tǒng)水利工業(yè)網(wǎng)絡(luò)邊界無(wú)有效防護(hù)措施，導(dǎo)致網(wǎng)絡(luò)威脅可直接穿過(guò)不同網(wǎng)絡(luò)層級(jí)，直達(dá)底層工控系統(tǒng)。工業(yè)網(wǎng)絡(luò)缺乏審計(jì)監(jiān)測(cè)措施，網(wǎng)絡(luò)傳輸處于黑盒狀態(tài)，無(wú)法及時(shí)發(fā)現(xiàn)病毒攻擊和誤操作等行為。隨著水利工程數(shù)據(jù)需求的提高，采用了多種類型的傳輸方式，部分采用租用公共網(wǎng)絡(luò)的情況，相應(yīng)增加了數(shù)據(jù)及指令傳輸過(guò)程中被分析、竊取及篡改的機(jī)會(huì)。而在未來(lái)，越來(lái)越多的數(shù)據(jù)將會(huì)被更廣泛地開(kāi)放及利用，部分水利系統(tǒng)將會(huì)更廣泛地暴露在互聯(lián)網(wǎng)環(huán)境下，且會(huì)繼續(xù)擴(kuò)大，從而不可避免地帶來(lái)更多的網(wǎng)絡(luò)通信安全問(wèn)題。

（3）應(yīng)用系統(tǒng)方面。水利信息系統(tǒng)各業(yè)務(wù)應(yīng)用模塊的開(kāi)發(fā)多為定制開(kāi)發(fā)，應(yīng)用系統(tǒng)在對(duì)外服務(wù)中存在安全隱患。常見(jiàn)的應(yīng)用安全威脅有網(wǎng)頁(yè)非法篡改、跨站腳本攻擊、緩沖區(qū)溢出、非法輸入、強(qiáng)制訪問(wèn)等。

（4）安全管理方面。近年來(lái)，各水利管理部門逐步提高安全管理水平，通過(guò)設(shè)置專門的運(yùn)維管理人員、制定安全管理制度等方式切實(shí)減少了安全管理方面的問(wèn)題，但是仍有些管理部門還存在制度落實(shí)不到位、制度缺乏針對(duì)性和制度執(zhí)行不嚴(yán)格等問(wèn)題。一些常規(guī)問(wèn)題依然存在，如U 盤濫用、私搭網(wǎng)絡(luò)、安裝非法軟件等行為。另外，對(duì)于有的工程或管理部門外委或購(gòu)買服務(wù)的第三方運(yùn)維者存在運(yùn)維操作不透明、運(yùn)維過(guò)程管控不到位等問(wèn)題。

2 水利信息化網(wǎng)絡(luò)安全防護(hù)體系差異

2.1 網(wǎng)絡(luò)安全防護(hù)體系選擇依據(jù)

水利網(wǎng)絡(luò)安全是國(guó)家網(wǎng)絡(luò)安全的重要組成部分，構(gòu)建水利信息系統(tǒng)網(wǎng)絡(luò)安全保障體系主要依據(jù)國(guó)家和行業(yè)標(biāo)準(zhǔn)以及各地區(qū)各單位的網(wǎng)絡(luò)安全辦法[2]?！缎畔踩夹g(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求》（GB∕T 22239-2019 ）《信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)要求》（GB∕T 28448-2019）《信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求》（GB ∕T 25070-2019 ）等標(biāo)準(zhǔn)規(guī)范的實(shí)施，標(biāo)志著網(wǎng)絡(luò)安全等級(jí)保護(hù)2.0系列標(biāo)準(zhǔn)的正式實(shí)施。

新的標(biāo)準(zhǔn)規(guī)范除了嚴(yán)格執(zhí)行《中華人民共和國(guó)網(wǎng)絡(luò)安全法》、針對(duì)共性安全保護(hù)目標(biāo)提出通用安全設(shè)計(jì)技術(shù)要求外，同時(shí)針對(duì)云計(jì)算、移動(dòng)互聯(lián)、物聯(lián)網(wǎng)、工業(yè)控制和大數(shù)據(jù)等新技術(shù)、新應(yīng)用領(lǐng)域的特殊安全保護(hù)目標(biāo)制定了特殊的技術(shù)要求。隨著人工智能、區(qū)塊鏈、5G、工業(yè)互聯(lián)網(wǎng)、大數(shù)據(jù)、云計(jì)算、物聯(lián)網(wǎng)等具有顛覆性的戰(zhàn)略性新技術(shù)突飛猛進(jìn)，網(wǎng)絡(luò)安全面臨的問(wèn)題日趨多樣化，新技術(shù)的發(fā)展為網(wǎng)絡(luò)安全攻防手段和管理技術(shù)提出了新的更高的要求[3]。

2.2 網(wǎng)絡(luò)安全防護(hù)體系對(duì)比

等級(jí)保護(hù)1.0 相關(guān)標(biāo)準(zhǔn)規(guī)范中以信息系統(tǒng)安全為主體，等級(jí)保護(hù)對(duì)象為信息系統(tǒng)，從整體出發(fā)，對(duì)信息系統(tǒng)包含的各個(gè)系統(tǒng)明確相關(guān)技術(shù)要求。在等級(jí)保護(hù)2.0相關(guān)標(biāo)準(zhǔn)規(guī)范中，等級(jí)保護(hù)對(duì)象對(duì)信息系統(tǒng)進(jìn)行細(xì)分，除安全通用要求外，還針對(duì)云計(jì)算、移動(dòng)互聯(lián)、物聯(lián)網(wǎng)、工業(yè)控制和大數(shù)據(jù)等新技術(shù)、新應(yīng)用領(lǐng)域的特殊要求統(tǒng)一制定安全擴(kuò)展要求，便于對(duì)各類型安全保護(hù)目標(biāo)明確網(wǎng)絡(luò)安全保護(hù)策略。依照“三個(gè)體系、一個(gè)中心、三重防護(hù)”的安全保護(hù)架構(gòu)，通過(guò)對(duì)計(jì)算環(huán)境、安全區(qū)域邊界和網(wǎng)絡(luò)通信域進(jìn)行分別防護(hù)，設(shè)置相應(yīng)的防護(hù)策略，達(dá)到部分與整體的有機(jī)結(jié)合，保障計(jì)算環(huán)境、區(qū)域邊界及網(wǎng)絡(luò)通信傳輸?shù)目尚判裕沟闷湓谡麄€(gè)生命周期中都建立有完整的信任鏈，確保它們始終都在安全管理中心的統(tǒng)一管控下有序的運(yùn)行，實(shí)現(xiàn)“積極防御、主動(dòng)防護(hù)”，實(shí)現(xiàn)各類水利項(xiàng)目機(jī)密性、完整性、可用性、可控性和不可否認(rèn)性的安全目標(biāo)[4]。

2.0標(biāo)準(zhǔn)規(guī)范與1.0標(biāo)準(zhǔn)規(guī)范相比，在名稱、內(nèi)容及控制措施分類結(jié)構(gòu)上均有調(diào)整，將基本要求內(nèi)容調(diào)整為安全通用要求和安全擴(kuò)展要求（含云計(jì)算、移動(dòng)互聯(lián)、物聯(lián)網(wǎng)、工業(yè)控制系統(tǒng)），相當(dāng)于在橫向上拓展了對(duì)于云計(jì)算、移動(dòng)互聯(lián)網(wǎng)、物聯(lián)網(wǎng)、工業(yè)控制系統(tǒng)的安全要求，突出了“一個(gè)中心、三重防護(hù)”，打造了縱深防御和精細(xì)化防御體系，同時(shí)強(qiáng)化了密碼技術(shù)+可信計(jì)算技術(shù)，從算法上形成了主動(dòng)防御態(tài)勢(shì)[5]?？刂拼胧┑姆诸悘募夹g(shù)部分及管理部分，由之前的10 個(gè)分類調(diào)整為8 個(gè)分類。其中，技術(shù)層面上調(diào)整為物理環(huán)境安全、網(wǎng)絡(luò)和通信安全、設(shè)備和計(jì)算安全、應(yīng)用和數(shù)據(jù)安全；管理部分明確為安全策略和管理制度、安全管理機(jī)構(gòu)和人員、安全建設(shè)管理和安全運(yùn)維管理，在技術(shù)要求及管理要求方面更強(qiáng)調(diào)“安全”2個(gè)字。

網(wǎng)絡(luò)安全防護(hù)技術(shù)主要層面及重點(diǎn)方向，詳見(jiàn)表1。

表1 網(wǎng)絡(luò)安全防護(hù)技術(shù)主要層面及重點(diǎn)方向

3 水利信息化網(wǎng)絡(luò)安全防護(hù)體系設(shè)計(jì)建議

網(wǎng)絡(luò)安全防護(hù)設(shè)計(jì)需要更多關(guān)注差異點(diǎn)，突出關(guān)注點(diǎn)，以原則定方案，以方案優(yōu)化設(shè)備配置，確保方案合理和設(shè)備配置最優(yōu)。

物理環(huán)境是一個(gè)比較容易忽略的因素，因此在設(shè)計(jì)過(guò)程中要重視機(jī)房環(huán)境的建設(shè)，尤其是根據(jù)不同系統(tǒng)重要程度，對(duì)數(shù)據(jù)機(jī)房的等級(jí)制定比較明確的要求，在設(shè)計(jì)階段需提高相應(yīng)要求，盡可能地以智能監(jiān)測(cè)方式輔助提高環(huán)境監(jiān)測(cè)水平，提高數(shù)據(jù)機(jī)房的安全可靠，同時(shí)也要考慮水利工程管理機(jī)構(gòu)設(shè)置特點(diǎn)。

根據(jù)業(yè)務(wù)功能不同，安全通信網(wǎng)絡(luò)對(duì)水利工程控制網(wǎng)與管理網(wǎng)分別組網(wǎng)，從物理上保證網(wǎng)絡(luò)的完全隔離，避免網(wǎng)絡(luò)交叉；同時(shí)，為保證不同網(wǎng)絡(luò)間信息可靠傳輸，在信息交互處配置可靠的隔離設(shè)備，對(duì)照工控網(wǎng)絡(luò)安全要求，在控制區(qū)域配置所需的網(wǎng)絡(luò)防護(hù)設(shè)備。對(duì)于管理信息網(wǎng)可劃分不同VLAN，構(gòu)建各子網(wǎng)絡(luò)，保證不同信息的獨(dú)立傳輸，各網(wǎng)絡(luò)接口及信息傳輸點(diǎn)均考慮所對(duì)應(yīng)的防護(hù)設(shè)備。

根據(jù)網(wǎng)絡(luò)結(jié)構(gòu)，不同網(wǎng)絡(luò)區(qū)域統(tǒng)籌考慮區(qū)域邊界設(shè)備配置，保證邊界防護(hù)設(shè)備配置明確、功能劃分清晰。針對(duì)較分散的采用無(wú)線傳輸網(wǎng)絡(luò)的數(shù)據(jù)采集點(diǎn)應(yīng)對(duì)標(biāo)移動(dòng)互聯(lián)及物聯(lián)網(wǎng)安全擴(kuò)展要求，加強(qiáng)邊界防護(hù)意識(shí)。

安全計(jì)算環(huán)境重點(diǎn)針對(duì)數(shù)據(jù)計(jì)算主機(jī)、服務(wù)器及各應(yīng)用系統(tǒng)，通過(guò)主機(jī)加固或主機(jī)衛(wèi)士等設(shè)備，保證設(shè)備的運(yùn)行安全。

安全管理中心在保證各類防護(hù)設(shè)備配置的同時(shí)，需要配置統(tǒng)一的平臺(tái)管理設(shè)備，保證各主要防護(hù)設(shè)備都在中心設(shè)備的監(jiān)視管理范圍內(nèi)。

在各個(gè)層面配置完成后，同時(shí)考慮等級(jí)保護(hù)測(cè)評(píng)相關(guān)事項(xiàng)，確保系統(tǒng)能正常通過(guò)相對(duì)應(yīng)定級(jí)標(biāo)準(zhǔn)的測(cè)評(píng)，避免測(cè)評(píng)過(guò)程中產(chǎn)生過(guò)多扣分項(xiàng)而對(duì)技術(shù)方案進(jìn)行調(diào)整的情況出現(xiàn)。

在水利信息化網(wǎng)絡(luò)安全防護(hù)體系構(gòu)建過(guò)程中，要從規(guī)劃設(shè)計(jì)階段入手，首先從技術(shù)層面上確保安全防護(hù)體系的完整性及可靠性，要緊跟水利工程信息化系統(tǒng)發(fā)展趨勢(shì)，適當(dāng)調(diào)整相應(yīng)設(shè)備配置，并要有整體謀劃意識(shí)，參照網(wǎng)絡(luò)安全設(shè)備算法及策略中由被動(dòng)預(yù)防轉(zhuǎn)變?yōu)橹鲃?dòng)防御的發(fā)展態(tài)勢(shì)，選擇合理的配置方案，確保在工程建設(shè)階段嚴(yán)格落實(shí)相應(yīng)的設(shè)計(jì)方案，助力運(yùn)維階段水利工程信息系統(tǒng)的安全可靠運(yùn)行，以技術(shù)為支撐，鋪路搭橋，為網(wǎng)絡(luò)安全防護(hù)管理部分要求提供條件，同時(shí)也為水利信息化的發(fā)展提供安全保障。

4 結(jié)語(yǔ)

面對(duì)當(dāng)前相對(duì)嚴(yán)峻的網(wǎng)絡(luò)安全形勢(shì)，對(duì)水利行業(yè)而言，要保障水利信息系統(tǒng)可靠運(yùn)行，就需要建設(shè)可靠先進(jìn)的網(wǎng)絡(luò)安全防護(hù)體系，以一套完善的安全防護(hù)體系抵御可能出現(xiàn)的各種安全漏洞及風(fēng)險(xiǎn)攻擊，體系的建立需要技術(shù)層面與管理層面的雙管齊下、互相協(xié)同配合才能完成。在水利

信息化實(shí)施過(guò)程中，技術(shù)層面上應(yīng)充分依據(jù)國(guó)家最新的規(guī)程規(guī)范及地方要求，結(jié)合水利主要建設(shè)任務(wù)，根據(jù)信息系統(tǒng)類型制定合理可行的網(wǎng)絡(luò)安全等級(jí)保護(hù)方案，提前謀劃，力求從方案選擇及設(shè)備配置上避免或減少后續(xù)系統(tǒng)運(yùn)行過(guò)程中可能發(fā)生的網(wǎng)絡(luò)安全問(wèn)題，通過(guò)明確不同防護(hù)等級(jí)對(duì)應(yīng)的的網(wǎng)絡(luò)安全系統(tǒng)設(shè)備配置，提高系統(tǒng)的安全性以及可靠性；同時(shí)，管理層面上從制度、機(jī)構(gòu)、人員、建設(shè)管理及運(yùn)維等多個(gè)維度上統(tǒng)一要求，在技術(shù)防護(hù)完備的情況下，封堵人為漏洞，強(qiáng)化制度落實(shí)、人員管理，打造完備的安全防護(hù)體系，為水利事業(yè)發(fā)揮出更大的經(jīng)濟(jì)效益及社會(huì)效益保駕護(hù)航。