華北電網(wǎng)公司企業(yè)信息網(wǎng)安全管理及解決方案

2013-10-31 10:06:30 EP電力信息化網(wǎng)　點(diǎn)擊量：評(píng)論 (0)

隨著電力工業(yè)的發(fā)展，電力工業(yè)信息系統(tǒng)的電子化建設(shè)取得了快速進(jìn)步，計(jì)算機(jī)技術(shù)在電力工業(yè)的應(yīng)用深度和廣度都得到了巨大的擴(kuò)展，各電力公司及其所屬機(jī)構(gòu)已經(jīng)全部建立了電子化業(yè)務(wù)系統(tǒng)，計(jì)算機(jī)與網(wǎng)絡(luò)通信技術(shù)已經(jīng)成為支撐電力工業(yè)運(yùn)轉(zhuǎn)的關(guān)鍵設(shè)施。然而信息系統(tǒng)的存在及大量而廣泛的應(yīng)用，就必然帶來(lái)一個(gè)我們不得不引起高度重視的問(wèn)題，那就是信息網(wǎng)絡(luò)系統(tǒng)的安全性問(wèn)題。

一、華北電網(wǎng)公司信息網(wǎng)絡(luò)運(yùn)行現(xiàn)狀

    華北電網(wǎng)公司信息網(wǎng)是以集團(tuán)公司局域網(wǎng)為中心，連接天津、山西、內(nèi)蒙各發(fā)供電單位和科研單位的企業(yè)信息網(wǎng)(見(jiàn)圖1)。

    華北電網(wǎng)企業(yè)信息網(wǎng)通過(guò)155M ATM及2M光纖和數(shù)字微波，使用NORTEL公司PASSPORT6480交換機(jī)和AN路由器，與26個(gè)直屬發(fā)供電單位的局域網(wǎng)相連，形成企業(yè)內(nèi)部的Intranet，通過(guò)2M光纖鏈路與國(guó)家電網(wǎng)公司相連，成為國(guó)家電網(wǎng)公司一級(jí)信息網(wǎng)的節(jié)點(diǎn)。華北電網(wǎng)公司本部通過(guò)2OM專(zhuān)線與Internet互聯(lián)，企業(yè)內(nèi)部網(wǎng)的每一個(gè)用戶(hù)都通過(guò)此出口獲取Internet的資源。

    華北電網(wǎng)公司本部局域網(wǎng)主干為155M ATM，全網(wǎng)劃分6個(gè)VLANE，共有30多臺(tái)服務(wù)器和近100O臺(tái)PC機(jī)分布在不同的網(wǎng)段中(見(jiàn)圖2)。(拓?fù)鋱D請(qǐng)到http://tech.chinapower.com.cn查看)

    企業(yè)網(wǎng)中，網(wǎng)絡(luò)設(shè)備產(chǎn)品類(lèi)型包括Intel、Nortel、Cisco,3com等，服務(wù)器硬件平臺(tái)主要為Alpha和 Intel，系統(tǒng)和應(yīng)用平臺(tái)有:Win-dows NT、Digital Unix和Domino/Lotus Notes、MS、Exchange、SQLSERVER、ORACLE、SYBASE等，服務(wù)器用途主要為:NT域管理、防火墻、電子郵件服務(wù)、WEB服務(wù)、數(shù)據(jù)庫(kù)服務(wù)、文件服務(wù)、遠(yuǎn)程訪問(wèn)服務(wù)等。實(shí)現(xiàn)的應(yīng)用系統(tǒng)有生產(chǎn)實(shí)時(shí)信息、辦公自動(dòng)化、財(cái)務(wù)、人勞、安監(jiān)、遠(yuǎn)程數(shù)據(jù)傳輸、WEB服務(wù)、電子郵件服務(wù)、Intranet瀏覽服務(wù)等，為企業(yè)優(yōu)質(zhì)高效運(yùn)營(yíng)提供了信息和網(wǎng)絡(luò)資源。華北電網(wǎng)公司Intranet結(jié)構(gòu)如圖3所示。（拓?fù)鋱D請(qǐng)到http://tech.chinapower.com.cn查看)

  華北電網(wǎng)公司信息網(wǎng)絡(luò)投入運(yùn)行幾年中，隨著用戶(hù)數(shù)增加、應(yīng)用水平的提高、業(yè)務(wù)量增加、信息量的擴(kuò)大，人們對(duì)信息網(wǎng)的依賴(lài)越來(lái)越大，網(wǎng)絡(luò)和系統(tǒng)的安全穩(wěn)定運(yùn)行變得越來(lái)越重要，因此建立一套完整的信息網(wǎng)絡(luò)安全體系迫在眉睫。

二、安全隱患和問(wèn)題

    華北電網(wǎng)公司信息網(wǎng)絡(luò)系統(tǒng)自開(kāi)始運(yùn)行以來(lái)就存在大量的安全隱患。
    (1)采用開(kāi)放的網(wǎng)絡(luò)環(huán)境，流行的操作系統(tǒng)和應(yīng)用平臺(tái)，非常容易受到攻擊和破壞，而且沒(méi)有任何的防毒、防攻擊措施。

    (2)硬、軟件平臺(tái)種類(lèi)多管理復(fù)雜、數(shù)據(jù)庫(kù)及業(yè)務(wù)系統(tǒng)開(kāi)發(fā)平臺(tái)不統(tǒng)一，無(wú)法使用統(tǒng)一的安全管理系統(tǒng)。

    (3)與Intranet之間只建立一個(gè)簡(jiǎn)單功能防火墻，對(duì)于來(lái)自外部的干擾和破壞沒(méi)有有利的抵御工具。

    (4)企業(yè)內(nèi)部各局域網(wǎng)之間完全開(kāi)放，沒(méi)有任何防護(hù)措施，無(wú)法抵御來(lái)自不同單位之間的干擾與破壞。

    (5)各局域網(wǎng)建立的撥號(hào)訪問(wèn)系統(tǒng)，均未加任何安全防備，為攻擊者又打開(kāi)了一道門(mén)。

    (6)各單位局域網(wǎng)內(nèi)部無(wú)有效的身份認(rèn)證系統(tǒng)，無(wú)法抵御企業(yè)內(nèi)部的安全威脅。

    (7)系統(tǒng)、應(yīng)用、數(shù)據(jù)沒(méi)有有效的完整的備份措施，一旦發(fā)生硬件和系統(tǒng)故障，造成數(shù)據(jù)丟失，將會(huì)造成不可彌補(bǔ)的巨大損失。

    (8)缺乏有效的管理機(jī)制和穩(wěn)定的技術(shù)人員隊(duì)伍，文檔不規(guī)范，出現(xiàn)問(wèn)題不能及時(shí)解決。

    (9)使用者的安全意識(shí)差，對(duì)將出現(xiàn)甚至已經(jīng)出現(xiàn)的安全問(wèn)題，不采取有效的防護(hù)措施。

    (10)缺乏設(shè)備系統(tǒng)的定期更換和檢修計(jì)劃和資金，系統(tǒng)無(wú)法保證高可靠性運(yùn)行。

    以上問(wèn)題已逐漸在目前的網(wǎng)絡(luò)運(yùn)行中多次暴露出來(lái)，因此建立華北電網(wǎng)公司企業(yè)信息網(wǎng)的安全體系是非常必要的。

三、國(guó)內(nèi)外信息安全技術(shù)

    信息系統(tǒng)的安全指計(jì)算機(jī)網(wǎng)絡(luò)環(huán)境下的信息安全，可分為信息的傳輸安全和計(jì)算機(jī)安全。

    信息的傳輸安全可采用信息加密、信息確認(rèn)和網(wǎng)絡(luò)控制來(lái)實(shí)現(xiàn)。信息加密是保證信息安全最基本最核心的技術(shù)措施，它由各種加密算法完成，以較小的代價(jià)獲得較大的安全保護(hù);信息確認(rèn)技術(shù)是通過(guò)嚴(yán)格的信息共享范圍來(lái)防止非法篡改和假冒，它由消息確認(rèn)、身份認(rèn)證和數(shù)字簽名技術(shù)組成，能確認(rèn)信息的合法使用者;網(wǎng)絡(luò)控制技術(shù)包括防火墻、審計(jì)、訪問(wèn)控制和安全協(xié)議技術(shù)，加強(qiáng)網(wǎng)絡(luò)的安全強(qiáng)度，信息在安全的網(wǎng)絡(luò)中傳遞。

    計(jì)算機(jī)安全涉及計(jì)算機(jī)硬件、軟件和數(shù)據(jù)的安全。可采用容錯(cuò)計(jì)算機(jī)，機(jī)群技術(shù)增加計(jì)算機(jī)運(yùn)行的可靠性，采用安全操作系統(tǒng)和計(jì)算機(jī)反病毒技術(shù)使系統(tǒng)免受破壞，采用完整可靠的備份防止數(shù)據(jù)意外丟失。

    計(jì)算機(jī)系統(tǒng)的安全要防止系統(tǒng)遭受攻擊，攻擊可分為超距攻擊、近距攻擊、遠(yuǎn)距攻擊。超距攻擊指不接觸的攻擊，如:截取計(jì)算機(jī)工作時(shí)的電子輻射;近距攻擊指對(duì)計(jì)算機(jī)操作人員和直接對(duì)計(jì)算機(jī)的攻擊;遠(yuǎn)距攻擊主要通過(guò)與計(jì)算機(jī)相連的介質(zhì)進(jìn)行攻擊，如通過(guò)網(wǎng)絡(luò)進(jìn)行，"黑客"就是這樣一種攻擊。

    目前國(guó)外針對(duì)上述計(jì)算機(jī)安全技術(shù)問(wèn)題，制定了相應(yīng)的標(biāo)準(zhǔn)和規(guī)范，如美國(guó)新的聯(lián)邦評(píng)測(cè)標(biāo)準(zhǔn)(FC)、歐洲信息技術(shù)安全標(biāo)準(zhǔn)(ITSEC)、加拿大的計(jì)算機(jī)產(chǎn)品評(píng)測(cè)標(biāo)準(zhǔn)(CTCPEC)等，并研制出有效的安全防護(hù)產(chǎn)品。

    國(guó)內(nèi)也建立了信息安全評(píng)測(cè)中心，頒布了相應(yīng)的標(biāo)準(zhǔn)和法規(guī)，如:計(jì)算機(jī)信息系統(tǒng)安全保護(hù)條例，計(jì)算機(jī)信息網(wǎng)絡(luò)國(guó)際聯(lián)網(wǎng)安全保護(hù)管理辦法等等。可作為我們建立信息網(wǎng)絡(luò)安全體系的依據(jù)。

四、安全體系結(jié)構(gòu)和解決方案

    根據(jù)華北電網(wǎng)公司信息網(wǎng)絡(luò)運(yùn)行現(xiàn)狀和存在的問(wèn)題，結(jié)合國(guó)內(nèi)外計(jì)算機(jī)信息安全技術(shù)，應(yīng)建立完善的信息網(wǎng)絡(luò)安全防護(hù)體系。這是由信息網(wǎng)絡(luò)基本安全要求和整體解決方案組成。

4.1 基本安全需求及解決方案

    華北電網(wǎng)公司信息網(wǎng)絡(luò)的基本安全需求就是要保證信息網(wǎng)絡(luò)安全穩(wěn)定運(yùn)行，各業(yè)務(wù)系統(tǒng)工作正常，數(shù)據(jù)安全可靠。其中可分為硬件系統(tǒng)的安全、系統(tǒng)平臺(tái)的安全、數(shù)據(jù)安全和業(yè)務(wù)系統(tǒng)的安全。

    建立基本的安全系統(tǒng)應(yīng)達(dá)到以下目的:

    (1)網(wǎng)絡(luò)及服務(wù)器硬件在發(fā)生故障或受到攻擊時(shí)能及時(shí)恢復(fù)不影響業(yè)務(wù)的正常運(yùn)轉(zhuǎn)。

    (2)信息網(wǎng)絡(luò)受到攻擊或感染病毒后能及時(shí)發(fā)現(xiàn)和清除，不會(huì)對(duì)系統(tǒng)造成嚴(yán)重傷害。

    (3)各類(lèi)應(yīng)用平臺(tái)的穩(wěn)定運(yùn)行，各業(yè)務(wù)的數(shù)據(jù)不會(huì)被竊取和破壞。

    (4)有效的內(nèi)外網(wǎng)的隔離措施，保證各種Internet應(yīng)用正常運(yùn)行。

    為達(dá)到以上目的，應(yīng)完成以下工作:

    (1)制定合理完善的網(wǎng)絡(luò)服務(wù)器的安全檢修計(jì)劃，配備故障快速恢復(fù)的技術(shù)力量和備件。

    (2)建立完整的企業(yè)級(jí)信息網(wǎng)防攻擊、防病毒和安全監(jiān)測(cè)系統(tǒng)。

    (3)建立完備的系統(tǒng)和數(shù)據(jù)備份，有系統(tǒng)和數(shù)據(jù)快速恢復(fù)的手段。

4.2 整體解決方案

    華北電網(wǎng)公司信息網(wǎng)絡(luò)在電力系統(tǒng)的生產(chǎn)經(jīng)營(yíng)中已越來(lái)越重要，應(yīng)有一套嚴(yán)格完整的安全體系來(lái)保證信息網(wǎng)高效穩(wěn)定地運(yùn)行。它由以下幾方面組成:

    (1)管理制度和管理手段上的安全策略。

    確定信息網(wǎng)絡(luò)的安全等級(jí)，并依此建立全方位的華北電網(wǎng)公司企業(yè)信息網(wǎng)絡(luò)的管理制度和管理辦法。

    確定安全管理范圍，包括機(jī)房、硬件、軟件、數(shù)據(jù)的操作規(guī)程和責(zé)任制。

    建立完善的維護(hù)保養(yǎng)制度。制定緊急情況下的應(yīng)急措施。

    建立完善的技術(shù)人員使用制度，加強(qiáng)技術(shù)文檔的規(guī)范與管理。

    (2)網(wǎng)絡(luò)系統(tǒng)的技術(shù)安全策略

    建立具有安全拓?fù)浣Y(jié)構(gòu)的信息網(wǎng)絡(luò)，新建系統(tǒng)一定要滿(mǎn)足安全網(wǎng)絡(luò)的技術(shù)標(biāo)準(zhǔn)。

    建立與企業(yè)外部網(wǎng)絡(luò)，特別是與Internet的有效隔離。

    建立各局域網(wǎng)之間，網(wǎng)段之間的安全隔離措施。

    網(wǎng)絡(luò)內(nèi)部應(yīng)建立有效的安全檢測(cè)掃描系統(tǒng)，防止黑客的入侵和攻擊，定期發(fā)現(xiàn)網(wǎng)絡(luò)系統(tǒng)安全漏洞，及時(shí)修補(bǔ)。

    建立企業(yè)級(jí)從網(wǎng)絡(luò)、服務(wù)器、應(yīng)用平臺(tái)到桌面的多級(jí)完整防病毒系統(tǒng)，建立中央防病毒檢測(cè)控制服務(wù)系統(tǒng)。

    建立郵件過(guò)濾系統(tǒng)。

    建立系統(tǒng)管理平臺(tái)，有效監(jiān)控網(wǎng)絡(luò)運(yùn)行狀況。

    (3)業(yè)務(wù)系統(tǒng)和數(shù)據(jù)的安全策略

    建立實(shí)用有效的身份認(rèn)證系統(tǒng)。

    根據(jù)業(yè)務(wù)系統(tǒng)和應(yīng)用要求，建立嚴(yán)格的訪問(wèn)控制權(quán)限。

    建立可靠完整的數(shù)據(jù)備份和恢復(fù)系統(tǒng)。

五、安全體系實(shí)施原則

    應(yīng)考慮以下幾個(gè)方面的技術(shù)問(wèn)題:

    (1)以滿(mǎn)足安全需求為標(biāo)準(zhǔn)。

    (2)技術(shù)和產(chǎn)品的先進(jìn)性、成熟性。

    (3)技術(shù)和產(chǎn)品的可擴(kuò)展性和可升級(jí)性。

    (4)技術(shù)和產(chǎn)品的易用性和易管理性。

    (5)跨平臺(tái)跨系統(tǒng)的可用性。

    通過(guò)以上安全策略的實(shí)施和落實(shí)，將建立一個(gè)安全穩(wěn)定的華北電力集團(tuán)公司企業(yè)信息網(wǎng)。

責(zé)任編輯：何健

免責(zé)聲明：本文僅代表作者個(gè)人觀點(diǎn)，與本站無(wú)關(guān)。其原創(chuàng)性以及文中陳述文字和內(nèi)容未經(jīng)本站證實(shí)，對(duì)本文以及其中全部或者部分內(nèi)容、文字的真實(shí)性、完整性、及時(shí)性本站不作任何保證或承諾，請(qǐng)讀者僅作參考，并請(qǐng)自行核實(shí)相關(guān)內(nèi)容。

我要收藏

個(gè)贊