网络安全多层面联动主动防御体系的研究与应用*

李倩

网络安全多层面联动主动防御体系的研究与应用*

李倩

（工业和信息化部电子第五研究所）

针对我国当前网络安全面临的严峻形势和现有网络安全等级保护标准体系测评存在的共性安全问题，提出基于网络安全等级保护标准的网络安全多层面联动主动防御体系。该体系基于主动防御的思想，旨在实现网络不同层面和不同安全设备在安全防护策略上相互增强，相互补充和联动防御。该体系应用于医疗行业，取得了较好的安全防护效果。

网络安全；等级保护；多层面联动；主动防御体系

0　引言

网络与信息技术已渗透到经济生活的方方面面，极大地提高了工作和生活效率。网络安全对经济发展和民生有着重要作用[1]，已成为信息时代国家安全的战略基石。目前我国网络安全形势较为严峻。

2017年6月1日《中华人民共和国网络安全法》正式实施，明确指出国家实施网络安全等级保护制度。信息系统的安全保护等级有五级（第一到第五级），级别越高信息系统的重要程度越高。其中第二级及以上等级的信息系统纳入公安机关监管；第三级及以上信息系统涉及损害国家利益。目前测评工作所涉及的信息系统基本上是第二级和第三级。

在网络安全等级保护测评工作中，发现被测系统存在很多共性安全问题。为解决这些共性安全问题，本文提出一套网络安全多层面联动主动防御体系。

1　网络安全等级保护体系结构

网络安全等级保护基本要求如图1所示，主要包含安全技术和安全管理2方面[1]。

安全技术主要包含物理安全、网络安全、主机安全、应用安全和数据安全及备份恢复。

1）物理安全从设备/设施和技术管理措施2方面保障信息系统所涉及的主机房、辅助机房和办公环境等物理环境安全。

2）网络安全主要包含网络全局安全（结构安全、访问控制、边界完整性检查，入侵防范以及恶意代码防范）和网络安全设备安全防护[2]。

3）主机安全主要考察操作系统和数据库的安全策略配置情况。

4）应用安全对应用系统所涉及应用平台、中间件进行安全防护。防护内容包括身份鉴别、访问控制、安全审计、剩余信息保护、通信传输的完整性和保密性、抗抵赖、软件容错及资源控制等。

5）数据安全及备份恢复主要考察数据的完整性、保密性以及备份恢复情况。

安全管理主要包含：安全管理制度、安全管理机构、人员安全管理、系统建设管理和系统运维管理等五个层面[3-4]。

2 被测系统存在的共性安全问题

1）技术层面存在明显的漏洞和缺陷，具体表现：a) 安全设备，网络设备的配置策略与应用场景不符，如防火墙未配置任何访问控制策略，仅配置NAT地址转换策略；b) 设备（网路设备，安全设备，服务器）管理员权限配置不当，未实现特权用户的权限分离[5]；c) 系统软件和应用软件无法通过技术机制保证其软件版本和安全补丁及时更新，导致系统在通过测评后，又引入新的安全漏洞。

图1　网络安全等级保护基本要求结构图

2）层面间设备联动效果差，网络层面的各种安全设备、网络设备的策略配置不合理，没有设计和配置网络安全设备联动防御的安全策略体系。

3）不同层面间联动效果差，如一台服务器感染恶意代码，由于网络设备策略未实现动态修改，恶意代码在网络中迅速扩散，导致所有设备全部感染恶意代码[6]。

3　网络安全多层面联动防御体系的实现

网络安全多层面联动主动防御体系架构如图2所示，包括物理安全层面、网络安全层面、主机安全层面、应用安全层面、数据安全及备份恢复层面以及安全管理体系涉及的5个安全层面，共10个安全层面。主动防御思想的核心就是通过主动安全服务让10个安全层面相互联系、补充和增强。

网络安全多层面主动防御体系主要包括基于应用场景指导多层面联动、主动防御+多层面联动、网络层面的多设备联动、技术体系和管理体系相互支撑、基于网络攻击态势动态调整其他技术层面的安全防御策略[7]。

3.1 基于应用场景指导多层面联动

根据应用场景和环境定制应用程序，对主机层面（操作系统、数据库、中间件等）进行针对性的安全策略加固[8-10]，并以此为基础做好网络层面的总体安全策略建设及具体到每个安全设备的策略配置和启用。如针对可以互联网访问的Web系统，首先需要在应用防火墙启用XSS漏洞防御、SQL注入漏洞防御、上传漏洞防御等常见Web漏洞防御策略，配置与应用场景相宜的入侵防御策略，并在防火墙等具备访问控制功能的设备设置访问控制策略，控制用户对受保护资源的访问；其次根据Web的安全特性，在应用系统源代码实现严格的身份鉴别技术措施（强制限制密码复杂度，提供登录失败处理功能）、访问控制措施（严格对不同用户访问资源进行控制，避免同级用户以及不同级别用户之间的越权）、安全审计措施（对用户登录和重要操作进行安全审计，并保证审计日志不被修改删除或覆盖）、通信完整性和保密性措施（采用加密的通信协议，如https协议）、资源控制措施（提供空闲会话结束功能、源代码和中间件均限制最大并发会话连接数、限制多点登录的用户数量等）；最后结合上述措施对服务器和数据库进行针对性的安全加固，实现强制密码限制、账户锁定、双因子鉴别、强制访问控制、安全审计、恶意代码防御、主机入侵防御以及资源控制等。

图2　网络安全多层面联动主动防御体系架构

3.2 主动防御+多层面联动

采购权威第三方的安全服务（主机漏洞扫描、应用漏洞扫描、渗透测试、源代码审计、风险评估和安全加固等）。针对安全服务发现的问题，指导应用层面。如在渗透测试和源代码审计中发现系统存在大量的注入型安全漏洞，可通过在服务器端代码进行基于白名单的字符过滤，以避免这些安全漏洞；同时根据发现的问题对服务器入侵防御策略以及恶意代码防御进行强化，并对服务器的恶意代码进行全面排查。

3.3 网络层面的多设备联动

网络层面设备间的策略可以相互补充，实现策略的多维冗余和多重防护。如：1）防火墙和交换机都可以配置访问控制策略，实现重点访问控制策略的冗余，即使防火墙故障或者防火墙被黑客攻破后，核心交换机依然具有访问控制作用，禁止黑客对受控资源访问；2）接入地址限制，安全设备自身可以限制，交换机也可以做ACL限制，如果安全设备故障或者被攻破，交换机的ACL依旧可以限制非授权地址访问；3）入侵防御策略，IPS或IDS可以配置入侵防御策略，很多防火墙也具备基本的入侵防御功能，可以开启作为补充或备用，由于IPS或IDS一般是旁路部署，即使IPS故障，系统依然具备基本的入侵防御功能。

3.4 技术体系和管理体系相互支撑

技术体系的调整和更新需要遵循管理体系的要求，技术体系中发现的问题经过统计分析指导管理体系的优化。如应用层面引入APP、微信公众号等新的应用形式，需要对运维管理制度及系统建设管理制度进行修订，以适应新的应用形式。

3.5 基于网络攻击态势动态调整其他技术层面的安全防御策略

根据网络层面各个安全设备发现的攻击事件，通过数据采集分析，得出最新的网络攻击态势，对主机安全层面和应用安全层面进行针对性的策略调整和安全提升。如在网络层面发现勒索病毒后，应该对服务器的相关端口进行及时关闭，并升级服务器操作系统官方提供的安全补丁。

4　联动防御体系在医疗行业的应用

2017年6月，该网络安全多层面联动防御体系应用于某医院，体系应用前后的效果对比如表1、表2所示。

表1　应用网络安全多层面联动主动防御体系前（2017年6月前）

表2　应用网络安全多层面联动主动防御体系后（2018年5月后）

5　总结

本文基于我国当前网络安全的严峻性和重要性，介绍网络安全等级保护体系，并指出当前网络安全的共性问题。针对这些问题提出基于网络安全等级保护标准的网络安全多层面联动主动防御体系。该体系应用于某医院，取得了较好安全防护的效果。后续将以该体系作为框架，对主动防御思想在各个安全层面的应用技术进行深入研究。

[1] 中华人民共和国国家质量监督检验检疫总局,中国国家标准化管理委员会.GB/T 22239-2008 信息安全技术信息系统安全等级保护基本要求[S].北京:中国标准出版社,2008.

[2] 王令朝.创建铁路信息安全管理及其标准体系的探讨[J].铁道技术监督,2010,38(7):1-5.

[3] 高磊,李晨旸,赵章界.基于等级保护的信息安全管理体系研究[J].信息安全与通信保密,2015(5): 95-98,101.

[4] 王亚东,吕丽萍,汤永利,等.信息安全管理体系与等级保护的关系研究[J].北京电子科技学院学报,2012,20(2):26-31.

[5] 李克潮.医院信息系统安全等级保护测评方案的设计[J].大众科技,2016,18(7):23-25.

[6] 戎如如.面向信息安全等级测评的数据库安全配置核查系统[D].青岛:中国海洋大学,2015.

[7] 邹玉林.面向信息安全等级测评的安全配置核查系统[D].青岛:中国海洋大学,2013.

[8] 韦湘,宋好好.信息安全等级保护综合管理平台的设计与实现[J].信息安全与技术,2014(11):22-25.

[9] 靳英伯.信息安全等级保护模型评测平台的设计与实现[D].青岛:山东大学,2015.

[10] 中华人民共和国公安部.信息安全技术信息系统安全等级保护基本模型[S].北京:中国标准出版社,2007.

Research and Application of Network Security Multi-Level Linkage Active Defense System

Li Qian

（The Fifth Research Institute of MIIT）

Firstly, this paper makes a brief analysis of the current situation of network security in China, then summarizes the existing standard system of network security grade protection, and puts forward the common security issues found in the current evaluation. Based on the author's experience in frontline security evaluation over the years, this paper proposes a network security multi-level linkage active defense system for solving these common problems, which is derived from the existing network security level protection standards. We designed a set of multi-level network security linkage active defense system based on active defense thinking, aimed at achieving different levels of network security equipment to enhance safety and different from each other on security policy, complementarity and joint defense.. The system was applied to the medical industry, and achieved preferable security effects.

Network Security; Hierarchical Protection; Multi-level Linkage; Active Defense System

国家重点研发计划项目（2018YFF0214703）

李倩，女，1983年生，硕士，工程师，高级安全测评师，主要研究方向：信息安全，自动驾驶。E-mail: 1795618991@qq.com