廣域網的安全模型

申請免費試用、咨詢電話：400-8352-114

計算機信息系統安全是一個動態(tài)過程。美國國際互聯網安全系統公司（ISS）對此提出P2DR模型，其關鍵是Policy（策略）、Protection（防護）、Detection（檢測）和Response（響應）四方面。按照P2DR的觀點，完整的動態(tài)安全體系需要防護措施（如網絡或單機防火墻、文件加密、身份認證、操作系統訪問控制、數據庫系統訪問控制等）、動態(tài)檢測機制（入侵檢測、漏洞掃描等）、先進的資源管理系統（及時發(fā)現問題并做出響應）。

中國石油按照信息安全P2DR模型制定的信息安全系統體系結構包括安全運行中心、網絡邊界管理系統、網絡準入控制、網絡管理系統、病毒監(jiān)控與升級管理系統、系統加固與監(jiān)控管理系統、CA認證中心、密鑰管理與分發(fā)系統、數據庫防護系統、容災系統、內容訪問監(jiān)控系統和電子郵件監(jiān)控系統。

中國石油廣域網安全基礎設施

●  防火墻系統

中國石油廣域網十分龐大，下屬單位很多，遍布全國，連通世界上很多國家的分支企業(yè)。因此需要在網絡各個相連處部署強力防火墻，確保網絡的安全性。另外，在區(qū)域網絡中心的服務器群前，加兩臺防火墻，以負載均衡方式，用千兆光纖連接到區(qū)域網絡中心路由器上。在兩臺防火墻都正常工作情況下，可以提供約兩倍于單臺設備的性能，即約4Gbps的防火墻吞吐量，當一臺防火墻出現故障時，另一臺防火墻保證網絡不間斷運行，保障服務器群的高可用性。

利用防火墻技術，能在內外網之間提供安全保護; 但有如下局限性: 入侵者可尋找防火墻可能敞開的后門進行襲擊; 網絡結構改變有時會造成防火墻安全策略失效，攻擊者可以繞防火墻實施攻擊; 入侵者可能來自防火墻內部; 防火墻可能不能提供實時入侵檢測。

●  入侵檢測系統

入侵檢測系統分為基于網絡和基于主機兩種類型?；诰W絡的入侵檢測系統對所在網段的IP數據包進行分析監(jiān)測，實時發(fā)現和跟蹤有威脅或隱患的網絡行為。基于主機的入侵檢測系統安裝在需要保護的主機上，為關鍵服務提供實時保護。通過監(jiān)視來自網絡的攻擊、非法闖入和異常進程，能實時檢測出攻擊，并做出切斷服務、重啟服務器進程、發(fā)出警報、記錄入侵過程等動作。

入侵檢測在網絡中設置關鍵點，收集信息，并加以分析，查找違反安全策略的行為和遭到襲擊的跡象。它是第二道安全閘門，對內外攻擊和誤操作提供實時保護，又不影響網絡性能。其具體功能如下: 監(jiān)視、分析用戶及系統活動; 系統構造和弱點審計; 識別已知進攻的活動模式并向相關人員報警; 異常行為模式的統計分析; 評估重要系統和數據文件的完整性; 操作系統的審計跟蹤管理，并識別用戶違反安全策略的行為。

中國石油12個區(qū)域網絡中心，均配備入侵檢測系統，監(jiān)控內外網入侵行為。

●  漏洞掃描系統

漏洞掃描是自動檢測遠端或本地主機安全脆弱點的技術。它查詢TCP/IP端口，并記錄目標的響應，收集關于某些特定項目的有用信息，例如正在進行的服務、擁有這些服務的用戶是否支持不記名登錄、是否有某些網絡服務需要鑒別等。

漏洞掃描系統可安裝在便攜機中，在網絡比較空閑時檢測。檢測方式可本地可遠程; 可臨時檢測某網段，也可固定檢測某網段，但是檢測范圍不可跨越防火墻。

●  查殺病毒系統

中國石油網絡上各個局域網普遍設立查殺病毒軟件服務器，不斷更新殺毒軟件，及時向用戶機下推最新版本殺毒軟件。大大減輕了病毒泛濫和造成的損失。

中國石油全網提供統一安全策略，各級分別部署，從而提高全網整體安全。

企業(yè)網絡安全策略分為四個方面:檢測評估、體系結構、管理措施和網絡標準，并構成動態(tài)循環(huán)系統（圖1）。安全檢測與評估隨著安全標準的提高而改進，評估結果是網絡體系結構的完善的依據，安全策略管理必須隨之改進與增強; 技術的進步和網絡安全要求的提高，促使網絡標準的完善與改進。

網絡安全檢測與評估涉及網絡設備、網絡操作系統、應用軟件、專業(yè)軟件、數據庫、電子商務、Web網站、電子郵件等。安全體系結構涉及物理、場地、環(huán)境、訪問控制、數據傳輸與保存、路由控制。安全管理措施涉及網絡設備、軟件、密鑰。

路由器和交換機策略管理是上述安全管理措施中的重要方面。它們的策略維護通過訪問控制列表（ACL）實現。這種工作容易出錯，因而應采用專用工具軟件集中管理。所采用的管理軟件有管理設備ACL的WEB接口，通過這個接口對IP過濾列表進行編輯及下載，簡化了管理工作量，實現了大型網絡路由器和交換機上策略參數的集中管理。

分系統設計

除了上述基礎設施外，還必須有屬于“上層建筑”安全措施。這便是分系統設計。

●  安全運行中心

中國石油信息系統地域分散、規(guī)模龐大，與多個業(yè)務系統耦合性很強，如何將現有安全系統納入統一管理平臺，實現安全事件全局分析和動態(tài)監(jiān)控，是中國石油廣域網面臨的主要問題。

建立安全運行中心，實現對全網安全狀況的集中監(jiān)測、安全策略的統一配置管理、統計分析各類安全事件，并處理各種安全突發(fā)事件。安全運行中心不僅可以將不同類型安全產品實現統一管理，還可以將網絡中不同位置、不同系統中單一安全事件進行收集、過濾、關聯分析，得出網絡全局風險事件集，提供安全趨勢報告，并通過遠程狀態(tài)監(jiān)控、遠程分發(fā)、實現快速響應，有效控制風險事件。

安全運行中心功能模塊包括安全配置模塊、網絡監(jiān)控模塊、內容監(jiān)管模塊、安全事件與預警模塊以及應急響應模塊，具體功能模塊如圖2所示。下邊介紹幾種主要功能。

（1）安全配置管理

包括防火墻、入侵檢測、VPN等安全系統的安全規(guī)則、選項和配置，各種操作系統、數據庫、應用等系統配置的安全設置、加固和優(yōu)化措施?？蓪崿F策略創(chuàng)建、更新、發(fā)布、學習和查詢。

（2）網絡監(jiān)控

模塊可提供對網絡設備、網絡安全設備、網絡拓撲、服務器、應用系統運行情況的可視化監(jiān)控，確定某個安全事件是否會發(fā)生，事件類型、影響程度和范圍。預警: 對網絡設備、安全設備、主機系統、服務器、數據庫系統日志信息的收集、集中存儲、分析、管理，及時發(fā)現安全事件，并做出相應預警。

（3）內容監(jiān)管

內容發(fā)布監(jiān)控、內容訪問監(jiān)控以及內容傳播監(jiān)控。

中國石油信息安全系統安全運行中心由總部、區(qū)域中心、地區(qū)公司三級結構組成。

總部級: 制定統一安全配置，收集所有匯總上來的數據，并對其進行統一分析、管理。通過這種逐級逐層多級化模式管理，達到對信息安全全方位防御的目的。

區(qū)域中心級: 執(zhí)行對管轄范圍內所有地區(qū)公司安全運行中心的監(jiān)控，也可監(jiān)控區(qū)域內的網絡安全、主機安全、數據庫安全、應用系統安全等，并向總部安全運行中心上報相關數據。

地區(qū)公司級: 部署總部的統一安全配置，監(jiān)控地區(qū)公司內部網絡、主機、數據庫、應用系統安全等，收集分析安全事件并做出及時響應，生成分析報告，定期向區(qū)域中心匯總。
●  網絡邊界管理系統

中國石油網絡按照其應用性質的不同和安全要求的不同，劃分為不同的安全域。整個網絡安全符合木桶原則: 最低木板決定木桶裝水量; 網絡安全最薄弱環(huán)節(jié)決定整個網絡的安全性。

由于網絡中不可控制的接入點比較多，導致全網受攻擊點明顯增多。通過網絡邊界管理系統可以最大限度保護內部業(yè)務數據的安全，其中重點保護與Internet直接連接的區(qū)域。

按照業(yè)務不同的安全程度要求，中國石油各個企業(yè)網絡劃分若干安全區(qū)域:

（1）業(yè)務區(qū)域: 企業(yè)重要信息集中在此，這里有核心數據庫，可與相關單位交換信息。

（2）生產區(qū)域: 主要指各煉化企業(yè)的生產網絡，實現生產在線監(jiān)控和管理信息的傳遞。

（3）辦公區(qū)域: 各單位的辦公網，用戶訪問企業(yè)業(yè)務系統與互聯網、收發(fā)電子郵件等。

（4）對外服務區(qū): 通過因特網對外發(fā)布信息和進行電子商務的區(qū)域，該區(qū)域日趨重要。

（5）因特網接入區(qū): 因特網瀏覽信息、對外交流的窗口，最易受攻擊，要重點保護。

通過邊界管理系統在中國石油各局域網邊界實施邊界管理，在內部部署入侵檢測系統實施全面安全保護，并在對外連接處和必要的部位部署防火墻進行隔離。

通過入侵檢測系統和防火墻聯動，可以對攻擊行為實時阻斷，提高安全防護的有效性。

●  網絡準入控制系統

中國石油網絡準入控制系統分四部分: 策略服務器、客戶端平臺、聯動設備和第三方服務器（圖3）。

（1）安全策略服務器: 它是網絡準入控制系統的管理與控制中心，實現用戶管理、安全策略管理、安全狀態(tài)評估、安全聯動控制以及安全事件審計等功能。

（2）安全客戶端平臺: 它是安裝在用戶終端系統上的軟件，可集成各種安全產品插件，對用戶終端進行身份認證、安全狀態(tài)評估以及實施網絡安全策略。

（3）安全聯動設備: 它是企業(yè)網絡中安全策略的實施點，起到強制用戶準入認證、隔離不合格終端、為合法用戶提供網絡服務的作用。安全管理系統管理平臺作為安全策略服務器，提供標準協議接口，支持同交換機、路由器等各類網絡設備的安全聯動。

（4）第三方服務器: 為病毒服務器、補丁服務器等第三方網絡安全產品，通過安全策略的設置實施，實現安全產品功能的整合。

鏈接

中國石油廣域網安全設計原則

在中石油廣域網絡安全系統的設計中應遵循以下設計原則:

●  高度安全與良好性能兼顧: 安全與性能相互矛盾，安全程度越高，性能越受影響。任何事物沒有絕對安全，也不總是越安全越好。安全以投資、性能、效率的付出為代價。在安全系統設計中，對不同安全程度要求，采用不同安全措施，從而保證系統既有高度安全保障，又有良好系統性能。所謂高度安全，指實現的安全措施達到信息安全級別的要求，對關鍵信息可以再高一個級別。

●  全方位、均衡性和層次性: 全方位、均衡性安全設計保證消除網絡中的漏洞、后門或薄弱環(huán)節(jié); 層次性設計保證當網絡中某個安全屏障（如防火墻）被突破后，網絡仍受到其他安全措施（如第二道防火墻）的保護。

●  主動和被動相結合: 主動對系統中安全漏洞進行檢測，及時消除安全隱患; 被動實施安全策略，如防火墻措施、ACL措施等等。兩者完美結合，有效實現安全。

●  切合實際: 有的放矢、行之有效，避免措施過度導致性能不應有的下降。

●  易于實施、管理與維護。

●  可伸縮性: 系統必須留有多余接口，以適應拓展需要。

●  對產品和技術選擇系統六原則: 先進性、標準性、簡易性、實用性、集成性和擴展性。(ccw)