关于网络接入控制系统的研究

金双勇

摘要： 随着信息化在电力系统中应用的不断深入，电力系统对信息网络的依赖程度越来越高，网络内部不安全因素对信息安全的威胁越来越大。为进一步落实国家对电力企业的网络安全要求，确保电力企业信息网络的安全稳定运行，可在信息内网部署网络准入控制系统，强制计算机终端执行安全策略，使终端安全管理措施得到有效、快速落实，达到预防非合规终端接入网络、终端非法访问、违规外联等信息安全违规问题发生的目的，为电网安全生产提供保障。

Abstract： With the deepening of the application of information technology in the power system， the degree of dependence of the power system on the information network becomes higher and higher， and the insecurity factors inside the network are increasing threatening to the information security. In order to further implement the the electric power enterprise network security requirements asked by the state， and to ensure the safe and stable operation of power enterprises information network， in can deploy access control system into the information network， force the computer terminal to carry out the security policy， so as to make the terminal security management measures be effectively， fast implemented. It can prevent non-compliance terminal access network， terminal illegal access， illegal outreach and other information security violations in order to provide protection for the safe production of power grid.

關键词： 网络接入；安全；研究

Key words： network access；safety；research

中图分类号：TN711 文献标识码：A 文章编号：1006-4311（2017）34-0154-021 电力内网信息安全事件原因分析

目前，电力系统的信息网络采用内外网隔离方案，随着信息安全意识的逐步提高，按要求配备了相关的网络安全设备，并制定了相应的网络安全使用制度，然而终端电脑病毒、木马以及信息泄密等事件威胁仍然存在。笔者从根本原因分析，总结出以下几点：

①安全策略未有效执行。针对自身的安全风险，公司制定一系列的安全策略和安全制度来保障网络安全，但随着内网的规模和复杂度急剧上升，这些安全策略被有效执行的难度很大。

②系统未及时打补丁。引发网络安全事件的最主要的因素之一，是未打及时打补丁，修复系统漏洞所造成的。

③缺乏内网接入控制。个别接入内网的终端不按要求及时升级病毒库，或安装未经授权的软件，可能给内网安全造成致命打击。

④终端用户非法外联。由于缺乏有效终端监控技术，个别用户安全意识不高，存在不小心使用即插即用的互联网接入设备的可能，使外部黑客、病毒或木马攻击绕过当前部署的安全保护屏障，导致信息泄露和病毒入侵。

2 网络接入控制方案

电力企业信息系统主要部署在内网，一个规模大一点的县级供电企业，内网计算机就会达到1千台，总体数量庞大。通过分析内网信息安全的影响因素，认为建立一套准入控制机制能够很好的解决此类问题。准入控制机制的建立，可高效地完成内网终端安全策略、系统补丁更新等终端安全措施的检测。如图1控制系统逻辑模型。

网络接入控制主要用于解决公司信息内网安全不达标的终端可能带来的信息网络及信息资源违规占用、病毒木马传播、资料泄密以及越权访问等诸多安全问题，对于安全不达标终端的定义，主要包含以下情况：

①信息网络内部存在风险漏洞的终端，例如未安装杀毒软件、未安装关键补丁；②存在不安全策略配置的终端；③未经身份授权的终端；④外来维护人员未经访问许可的终端；⑤越权访问的终端；⑥……

安全网络接入控制系统采用软硬件结合的方式，以终端验证和终端安全为基础，通过身份认证等手段，从根本上保证接入网络的终端可信程度，并控制可信计算机的访问权限，为信息内网的终端入网安全管理提供强有效的保障，规避来自于网络内部的信息安全风险。

2.1 策略路由准入控制

随着近年来准入控制技术的不断发展，越来越多的准入控制技术都采用了OOB（Out Of Band）模式，即旁路部署模式，准入控制系统的本身出现故障，并不会影响网络业务稳定运行。网络接入控制采用策略路由模式，内网网络的核心设备支持策略路由功能，通过将上行业务请求通过策略路由的控制定向到网络接入控制系统，经由网络接入控制系统针对终端的可信程度进行认证和判定后，采用丢弃或者正常转发到原路由下一跳的方式，对终端入网进行安全可信的筛选，从而达到准入控制的效果。如图2所示。

由于策略路由模式只针对上行业务请求进行处理，不会影响下行业务返回的正常转发，也不影响网络路由和拓扑的更改，其安全性也得到了更多的保障。endprint

另外，网络核心设备支持策略路由同时也支持逃生模式，核心设备在确认策略路由的下一跳不可达的情况下，可以按照策略配置自动选择原有默认路由，从安全角度来看，即使准入控制设备失去功效，也不会影响业务的正常转发，从而保证网络业务的可持续运营。因此，策略路由模式的准入控制模式，更符合当前网络运行现状，且不影响生产运营。

2.2 系统监控

系统监控模块的功能主要是对当前网络中全部活跃的设备进行统计、查看和控制，对当前未注册、未认证、接入成功等各个状态下面详细信息的查看和控制，以及对网络接口状况和网关资源占用情况进行的统计，统计在线设备最近一个小时内接入数量的统计趋势图。如图3所示。

2.3 流程化入网规范

网络接入控制系统，采用“注册->身份认证->安全检查->安全隔离/允许入网”的统一入网规范流程，当网络出现扩容、改造的时候，不会影响用户终端的入网习惯。尤其是采用标准的入网规范，可以从根本上解决终端身份的可信认证、终端使用用户的可信认证以及终端安全层面可信认证的问题，通过统一入网规范，杜绝来自内部的信息泄密。

2.4 安全隔离

网络接入控制系统遵循终端“注册->身份认证->安全检查->安全隔离/允许入网”的控制流程，对于未通过安全检查的终端，可以采用安全隔离手段将终端进行隔离，被隔离的终端只能访问指定的安全控制域，避免因为不安全的终端接入网络而造成未知风险。

2.5 来宾入网管理

外来厂家调试人员原则上使用公司的内网终端设备，特殊情况下可能会要求自带的设备临时性接入网络，为了安全目的，需要对外来设备进行检测、临时授权，并控制外来设备的访问权限。网络接入控制系统针对外来访客的入网需求，制定了整套上网流程，支持外来厂家调试人员自助在线申请上网码、管理员在线授权以及访客认证等功能。

2.6 安全域控制

安全域主要是用来控制不同用户不同角色的访问控制域，针对来宾用户不允许访问关键业务服务器，安全域控制采用IP机制，支持IP地址、IP段以及IP范围设置与文件目录地址设定。如图4所示。

2.7 入网认证日志

网络接入控制系统支持对全网用户的认证情况进行记录，可以详细记录用户认证的时间、用户名、认证类型、IP以及认证动作等，并且提供查询接口，便于查询特定用户在特定时间段内的网络使用情况。

2 结束语

基于网络准入控制的内网安全防护方案在终端接入受控网络前重点查验主机的安全性，保证公司提出的终端安全策略得到有效执行，全力防控病毒传播、黑客入侵及其他非授权访问，从而确保内网安全稳定。此外，统一的策略管理中心和灵活的準入控制方式也有助于提高信息安全的运维效率，为运维部门减负。网络准入控制技术从网络接入端点的安全控制入手，通过准入控制与终端网络用户实现对接，强制实施安全监控策略，使现行相对被动的、分散的网络安全管理方式转为主动地安全防控，力求从源头对入网的终端全面布控，但在应用网络准入控制技术加强终端安全管控的实施方面，仍需要相应的管理制度配合。

参考文献：

[1]聂元铭，董建锋，周小平.网络准入控制概论[M].北京：科学出版社，2012.

[2]贺文华，陈志刚.网络安全现状分析与发展趋势[J].通信技术，2007（10）.

[3]沈昌祥.大力发展我国可信计算技术和产业[J].信息安全与通信保密，2007（09）.endprint