河南省水利网络安全防护体系设计

2023-05-25韩慧颖

河南水利与南水北调 2023年4期

韩慧颖

（河南省水文水资源中心，河南郑州 450003）

1 项目概述

针对河南省水利系统网络的现状和存在的安全问题，河南省水利厅提出了“基础网络和重要信息系统安全可视、可管、可控，重要信息资源安全得到切实保障，用户的信息得到有效保护”的网络安全防护体系建设目标。实现这一目标，设计思路必须转变，要从过去单纯强调防护旧的思维模式转变到注重预警、监测、响应上来；要在充分利用和依托已有的网络安全设施、设备的基础上，进一步完善技术、管理、运营三大安全体系。因此，这次设计是按“四纵三横”（安全管理、技术、运营、监管、应用、平台）架构分层进行。通过项目实施，将建立起网络安全联动机制，全面提升安全运营能力，最终实现“技术可落地、管理可执行、平台可扩展、安全可运营”。

2 建设现状分析

由于多用户和分支（主要是下属单位）的接入、多系统数据共享和调用，带来整个网络的外联与访问关系及横向访问逻辑的复杂，导致内部安全域间和整体网络内部的诸多安全风险，存在着安全隐患，也给不法分子及黑客入侵网络提供了条件。如何防止外来入侵，保护重要信息的稳定性、可靠性，保证系统的可用性、安全性和完整性等问题即是文章研究的主要内容。

3 方案设计

方案设计总体安全防护框架设计如图1。

图1 总体安全防护框架图

3.1 安全技术体系

3.1.1 安全运营管理中心

①安全监测中心：对系统、设备安全监测和报警，提供多层次安全监测服务。②安全防御中心：加强协调联动，进行主动防御，提升整体的安全防御能力。③安全运维中心：保障网络稳定运行，通过不断优化系统架构和部署的合理性，以提升系统服务水平。④安全响应中心：采用本地服务+云端服务+专家新型工作模式，结合云端的威胁情报、大数据及时的技术保障服务。

3.1.2 三重防护

①区域边界安全：按照等级保护安全区域边界控制点、测评项的要求，做好边界保护、访问控制、入侵防范、恶意代码和垃圾邮件防范及安全审计，提高区域边界安全性。②计算环境安全：从身份鉴别、访问控制、安全审计、入侵防范、可信验证、数据完整性、数据保密性及数据备份恢复等方面做好工作，打造一个安全、可信和可靠的计算环境。③通信网络安全：加强物理访问、防盗窃和防破坏、防水和防潮、温湿度控制、电力供应、网络架构、集中管控、漏洞和风险管理等方面的工作。

3.2 安全管理体系

组建专业的管理队伍，搞好人员的定期培训，不断提高自身的业务水平和应急能力；建立健全各项管理制度，搞好人员分工，明确职责范围，做到规范操作；加强网络设备的安全管理，防止意外事故的发生，减小意外事故所引发的破坏程度。

3.3 安全运营体系

组建专业运营队伍，搞好人员培训，不断提高业务水平和运营服务能力；建立健全各项管理制度，搞好人员分工，明确职责范围；做好网络设备的日常维修加固，搞好技术咨询和安全评估，提高安全运营服务水平，确保网络系统安全运行。

4 方案部署策略

4.1 物理环境安全策略

①物理边界安全：办公场所区域须采取安防措施和统一的出入口控制；办公场所周边安装视频监控、红外入侵监测等安防监测系统。②物理入口控制：采用门禁，机房区域的入口安装监控设备。③设施的安全保护：机房门上安装自动闭合装置。配备烟雾和火苗探测器，安装自动灭火器；定期进行对各类基础设施巡检。④外部和环境威胁的安全防护：按照《机房安全环境管理规定》执行。

4.2 通信网络安全策略

①身份鉴别；通过用户口令和密码方式达到网络系统权限分级。②网络授权：即向终端发放访问许可证书。③数据保护：利用数据加密后的数据包发送与访问的指向性。④收发确认：用发送确认信息的方式表示对发送数据和收方接收数据的承认。⑤保证数据的完整性：一般是通过数据检查核对的方式达成的。⑥业务流分析保护：阻止垃圾信息大量出现。

4.3 区域边界安全策略

①边界防护：通过有效的技术措施对外部设备的网络接入、内部设备的网络外连及无线网络的使用管控。②访问控制：在网络边界及各网络区域间布设访问控制设备。③入侵防范：指对外部或内部网络发起的攻击，以及新型攻击的防范。④恶意代码和垃圾邮件防范：在网络边界处设置防恶意代码和垃圾邮件的产品或组件，防恶意代码的特征库和垃圾邮件的防护机制要及时进行升级和更新，并保持正常开启，及时进行检测和清除。⑤网络安全审计：重点包括对网络流量的监测、对异常流量的识别和报警、对网络设备运行情况的监测等。随时对其日志记录进行分析，发现异常现象，及时采取报警、阻断等操作。⑥可信验证：可基于可信根对通信设备（交换机、路由器或其他通信设备）的系统引导程序、系统程序、重要配置参数和通信应用程序等进行完整性验证或检测，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心，便于后续处置。

4.4 计算环境安全策略

①身份鉴别：一般采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，至少应使用密码技术来实现。当进行远程管理时，应采取必要措施防止鉴别信息在传输中被窃听。②访问控制：对登录的用户分配账户和权限，避免共享账户存在，实现管理用户权限分离，规定主体对客体的访问规则，访问控制的粒度应达到主体为用户级或进程级，客体为文件、数据库表级，控制主体对有安全标记信息资源的访问。③安全审计：启用安全审计功能，覆盖到每个用户，对重要的用户行为和重要安全事件进行审计；对审计记录进行保护，定期备份；注意审计进程中的保护，防止未经授权的中断。④入侵防范：遵循最小安装的原则，仅安装需要的组件和应用程序；关闭不需要的端口；限制通过网络进行管理的管理终端；设置数据有效性检验功能，保证通过接口输入的内容符合要求；发现可能存在的漏洞及时修补；检测到对重要节点进行入侵的行为及时报警。⑤可信验证：可基于可信根对计算设备的系统引导程序、系统程序、重要配置参数和应用程序等进行可信验证，在检测到其可信性受到破坏后报警，并将验证结果形成审计记录送至安全管理中心。⑥数据完整性：采用校验技术或密码技术保证重要数据在传输或存储过程中的完整性。⑦数据保密性：采用密码技术保证重要数据在传输或存储过程中的保密性。⑧数据备份恢复：提供重要数据的本地数据备份与恢复功能、异地实时备份功能及处理系统的热冗余，保证系统高可用性。