论文部分内容阅读
摘 要：近年来，电网企业信息化建设持续发展，信息系统广泛应用于电网企业生产的各个方面，贯穿于日常业务的各个环节。因此，为保证电网运行的安全、稳定，企业对信息系统安全的需求也越来越迫切。文章对电网企业信息系统安全防护的思路和措施进行了研究与探讨，并结合电网企业信息系统现状提出了安全防护措施。
关键词：信息系统；安全防护；安全域；边界安全
中图分类号：TP393.08
随着电网企业信息化建设的逐步推进，大批信息系统相继投入运行，信息系统几乎贯穿于电网企业的各项工作环节，信息化建设对于提高国家电网公司经营生产管理水平、支撑集团化运作、集约化发展发挥了重要作用。但同时，若信息系统存在信息安全方面的问题，就会影响电力系统的安全、稳定运行，进而影响电网的可靠供电。因此，信息系统安全成为电网企业信息化工作的重中之重。
1 电网企业信息安全防护总体思路
电网企业信息系统安全防护要贯彻国家有关信息安全防护政策，全面落实国家电网公司信息安全相关的各项政策和制度，平衡信息安全风险和防护成本之间的关系，优化资源配置，在有限的成本下，使风险最小化，最大程度地保障信息系统的安全稳定运行，同时根据信息安全等级保护制度的相关要求，着重加强与公司重大利益相关的重要系统的安全防护。电网企业信息安全防护应遵循“分区分域、安全接入、动态感知、精益管理、全面防护”的安全策略，完善防护机制，健全信息安全管理措施和安全技术手段，完善信息安全基础支撑平台，提升信息安全综合治理水平，满足公司智能电网建设和“三集五大”对信息安全的需求。
2 电网企业信息安全防护措施
2.1 安全域划分
2.1.1 安全域的定义
安全域是由一组具有相同安全保障需求、并相互信任的系统组成的逻辑区域，同一安全域的系统共享相同的安全保障策略。安全域是一组具有安全防护共性的系统的逻辑集合，一个安全域可以包括一个或多个物理或逻辑网段。分域防护的目标不仅是为了实现边界防护，而且是一组在网络、主机、应用等多个层次上深层防护措施的体现。
2.1.2 安全域的划分
安全域的划分应依据总体防护方案中定义的“二级系统统一成域，三级系统独立成域”的方法进行，结合某省电力公司的应用系统使用情况，将整个信息系统共计分为8个安全域。
2.1.3 安全域的实现
安全域实现方式以划分逻辑区域为主，旨在实现各安全区域的逻辑划分，明确边界以对各安全域分别防护，并且进行域间边界控制，安全域的实体展现为一个或多个物理网段或逻辑网段的集合。
2.2 信息系统边界安全
边界安全防护是检测出入边界的数据信息，并对其进行有效控制的防护措施。根据边界类型的不同，需采取不同的防护措施。
信息系统边界主要分为信息外网边界和信息内网边界两大类，其中信息外网边界主要包括纵向边界和横向域间边界；信息内网边界主要包括纵向边界、横向域间边界和第三方边界。
2.2.1 信息外网域及边界安全
根据电网企业安全域的划分，外网包含外网桌面终端系统域、外网应用系统域和二级系统域共3个区域，对其防护主要从边界网络访问控制方面考虑。
（1）实施边界网络访问控制：在外网边界部署防火墙，对进出内部网络的数据流制定访问控制策略；在外网系统域的边界处部署防火墙，对进出内部网络的数据流制定访问控制策略；（2）外网桌面终端病毒防护：通过部署杀毒软件，实现对外网桌面终端的防病毒管理；（3）入侵防护系统：在互联网出口处，部署入侵防护系统（Intrusion Prevention System，IPS），同时在IPS上开启针对蠕虫病毒、网络病毒的入侵防护功能，主动发现主要的攻击行为和恶意信息的传输；（4）外网网络、数据库审计：在网络核心处部署网络审计、数据库审计系统，通过网络审计系统可以对信息外网进行监控，分析主机负载，发现网络瓶颈，并绘制出直观的流量曲线图、柱状图，有效发现网上出现的异常流量。
通过数据库审计可以主动收集各类对数据库的访问，进行记录和分析的措施，弥补数据库日志审计对实际活动记录的不足，有效保护重要的数据库系统，审计的结果有助于系统管理人员分析各类服务器被访问的情况，并通过访问还原技术，清楚地看到对数据库系统进行访问的过程情况。
2.2.2 信息内网域及边界安全
信息内网边界安全防护主要从边界网络访问控制、入侵检测、终端安全防护、链路冗余等方面考虑。
（1）边界网络访问控制：建立各应用系统汇聚层，不同应用系统之间采用VLAN技术逻辑隔离，禁止直接互访，并在汇聚交换机与核心交换机之间部署防火墙，检测经过的所有数据，对进出内部网络的数据流制定访问控制策略。在信息内网纵向向上边界处部署防火墙，对进出内部网络的数据流制定访问控制策略。在信息内网第三方边界处部署防火墙，对进出第三方边界的数据流制定访问控制策略。在信通网络接入边界部署防火墙，对进出信通网络的数据流制定访问控制策略；（2）实施入侵检测：采用入侵检测系统（Intrusion DetectionSystems，IDS）对于流经内网边界和重要信息系统的信息流进行入侵检测，通过入侵检测系统发现主要的攻击行为和各种恶意信息的传输。因此，在安全域的建设中，在核心交换机上旁路和三级系统汇聚层部署入侵检测系统，同时对主、备核心交换机进行检测；（3）外网网络、数据库审计：部署网络审计、数据库审计系统，通过网络审计系统可以对信息外网进行监控，分析主机负载，发现网络瓶颈，并绘制出直观的流量曲线图、柱状图，有效发现网上出现的异常流量。通过数据库审计可以主动收集各类对数据库的访问，进行记录和分析的措施，弥补数据库日志审计对实际活动记录的不足，有效保护重要的数据库系统，审计的结果有助于系统管理人员分析各类服务器被访问的情况，并通过访问还原技术，清楚地看到对数据库系统进行访问的过程情况。
2.3 主机系统安全
（1）主机安全加固：采取调整主机的系统、网络、服务等配置的措施来提升主机的安全性，主要加固措施包括补丁加载、账户及口令的设置、登录控制、关闭无用的服务、文件和目录权限控制等；（2）进行补丁管理：各种操作系统均存在安全漏洞，应定时安装、加载操作系统补丁，避免安全漏洞造成的主机风险。但针对不同的应用系统，安装操作系统补丁可能会对其造成不同程度的影响，因此，应在测试环境中先行测试安装操作系统补丁是否会对应用系统造成不良影响，确保安全无误后，方可应用于正式环境中；（3）加强防病毒管理：实时监控防病毒软件的运行情况，对未安装防病毒软件或未及时升级更新病毒库的主机，确认其位置和未安装或未及时更新的原因，及时解决问题，并采取措施确保不再发生。
3 结束语
信息安全防护是国家电网公司“十二五”期间信息化保障体系的重要组成部分，也是未来信息发展的趋势。本文对信息系统电网企业信息系统安全防护思路及措施开展了研究与探讨，提出了安全域划分、信息系统边界安全、主机系统安全的防护方案和实现方法，能够有效提高电网企业信息系统的可靠性和安全性，具备较好的可行性和应用价值。
参考文献：
[1]王谦.电力企业信息系统安全等级保护的研究[J].硅谷，2011（23）.
[2]郭涛.信息安全技术应用[J].硅谷，2011（16）.
作者单位：国网江西省电力公司赣东北供电分公司，江西乐平 333300
关键词：信息系统；安全防护；安全域；边界安全
中图分类号：TP393.08
随着电网企业信息化建设的逐步推进，大批信息系统相继投入运行，信息系统几乎贯穿于电网企业的各项工作环节，信息化建设对于提高国家电网公司经营生产管理水平、支撑集团化运作、集约化发展发挥了重要作用。但同时，若信息系统存在信息安全方面的问题，就会影响电力系统的安全、稳定运行，进而影响电网的可靠供电。因此，信息系统安全成为电网企业信息化工作的重中之重。
1 电网企业信息安全防护总体思路
电网企业信息系统安全防护要贯彻国家有关信息安全防护政策，全面落实国家电网公司信息安全相关的各项政策和制度，平衡信息安全风险和防护成本之间的关系，优化资源配置，在有限的成本下，使风险最小化，最大程度地保障信息系统的安全稳定运行，同时根据信息安全等级保护制度的相关要求，着重加强与公司重大利益相关的重要系统的安全防护。电网企业信息安全防护应遵循“分区分域、安全接入、动态感知、精益管理、全面防护”的安全策略，完善防护机制，健全信息安全管理措施和安全技术手段，完善信息安全基础支撑平台，提升信息安全综合治理水平，满足公司智能电网建设和“三集五大”对信息安全的需求。
2 电网企业信息安全防护措施
2.1 安全域划分
2.1.1 安全域的定义
安全域是由一组具有相同安全保障需求、并相互信任的系统组成的逻辑区域，同一安全域的系统共享相同的安全保障策略。安全域是一组具有安全防护共性的系统的逻辑集合，一个安全域可以包括一个或多个物理或逻辑网段。分域防护的目标不仅是为了实现边界防护，而且是一组在网络、主机、应用等多个层次上深层防护措施的体现。
2.1.2 安全域的划分
安全域的划分应依据总体防护方案中定义的“二级系统统一成域，三级系统独立成域”的方法进行，结合某省电力公司的应用系统使用情况，将整个信息系统共计分为8个安全域。
2.1.3 安全域的实现
安全域实现方式以划分逻辑区域为主，旨在实现各安全区域的逻辑划分，明确边界以对各安全域分别防护，并且进行域间边界控制，安全域的实体展现为一个或多个物理网段或逻辑网段的集合。
2.2 信息系统边界安全
边界安全防护是检测出入边界的数据信息，并对其进行有效控制的防护措施。根据边界类型的不同，需采取不同的防护措施。
信息系统边界主要分为信息外网边界和信息内网边界两大类，其中信息外网边界主要包括纵向边界和横向域间边界；信息内网边界主要包括纵向边界、横向域间边界和第三方边界。
2.2.1 信息外网域及边界安全
根据电网企业安全域的划分，外网包含外网桌面终端系统域、外网应用系统域和二级系统域共3个区域，对其防护主要从边界网络访问控制方面考虑。
（1）实施边界网络访问控制：在外网边界部署防火墙，对进出内部网络的数据流制定访问控制策略；在外网系统域的边界处部署防火墙，对进出内部网络的数据流制定访问控制策略；（2）外网桌面终端病毒防护：通过部署杀毒软件，实现对外网桌面终端的防病毒管理；（3）入侵防护系统：在互联网出口处，部署入侵防护系统（Intrusion Prevention System，IPS），同时在IPS上开启针对蠕虫病毒、网络病毒的入侵防护功能，主动发现主要的攻击行为和恶意信息的传输；（4）外网网络、数据库审计：在网络核心处部署网络审计、数据库审计系统，通过网络审计系统可以对信息外网进行监控，分析主机负载，发现网络瓶颈，并绘制出直观的流量曲线图、柱状图，有效发现网上出现的异常流量。
通过数据库审计可以主动收集各类对数据库的访问，进行记录和分析的措施，弥补数据库日志审计对实际活动记录的不足，有效保护重要的数据库系统，审计的结果有助于系统管理人员分析各类服务器被访问的情况，并通过访问还原技术，清楚地看到对数据库系统进行访问的过程情况。
2.2.2 信息内网域及边界安全
信息内网边界安全防护主要从边界网络访问控制、入侵检测、终端安全防护、链路冗余等方面考虑。
（1）边界网络访问控制：建立各应用系统汇聚层，不同应用系统之间采用VLAN技术逻辑隔离，禁止直接互访，并在汇聚交换机与核心交换机之间部署防火墙，检测经过的所有数据，对进出内部网络的数据流制定访问控制策略。在信息内网纵向向上边界处部署防火墙，对进出内部网络的数据流制定访问控制策略。在信息内网第三方边界处部署防火墙，对进出第三方边界的数据流制定访问控制策略。在信通网络接入边界部署防火墙，对进出信通网络的数据流制定访问控制策略；（2）实施入侵检测：采用入侵检测系统（Intrusion DetectionSystems，IDS）对于流经内网边界和重要信息系统的信息流进行入侵检测，通过入侵检测系统发现主要的攻击行为和各种恶意信息的传输。因此，在安全域的建设中，在核心交换机上旁路和三级系统汇聚层部署入侵检测系统，同时对主、备核心交换机进行检测；（3）外网网络、数据库审计：部署网络审计、数据库审计系统，通过网络审计系统可以对信息外网进行监控，分析主机负载，发现网络瓶颈，并绘制出直观的流量曲线图、柱状图，有效发现网上出现的异常流量。通过数据库审计可以主动收集各类对数据库的访问，进行记录和分析的措施，弥补数据库日志审计对实际活动记录的不足，有效保护重要的数据库系统，审计的结果有助于系统管理人员分析各类服务器被访问的情况，并通过访问还原技术，清楚地看到对数据库系统进行访问的过程情况。
2.3 主机系统安全
（1）主机安全加固：采取调整主机的系统、网络、服务等配置的措施来提升主机的安全性，主要加固措施包括补丁加载、账户及口令的设置、登录控制、关闭无用的服务、文件和目录权限控制等；（2）进行补丁管理：各种操作系统均存在安全漏洞，应定时安装、加载操作系统补丁，避免安全漏洞造成的主机风险。但针对不同的应用系统，安装操作系统补丁可能会对其造成不同程度的影响，因此，应在测试环境中先行测试安装操作系统补丁是否会对应用系统造成不良影响，确保安全无误后，方可应用于正式环境中；（3）加强防病毒管理：实时监控防病毒软件的运行情况，对未安装防病毒软件或未及时升级更新病毒库的主机，确认其位置和未安装或未及时更新的原因，及时解决问题，并采取措施确保不再发生。
3 结束语
信息安全防护是国家电网公司“十二五”期间信息化保障体系的重要组成部分，也是未来信息发展的趋势。本文对信息系统电网企业信息系统安全防护思路及措施开展了研究与探讨，提出了安全域划分、信息系统边界安全、主机系统安全的防护方案和实现方法，能够有效提高电网企业信息系统的可靠性和安全性，具备较好的可行性和应用价值。
参考文献：
[1]王谦.电力企业信息系统安全等级保护的研究[J].硅谷，2011（23）.
[2]郭涛.信息安全技术应用[J].硅谷，2011（16）.
作者单位：国网江西省电力公司赣东北供电分公司，江西乐平 333300