网络安全评估及整改方案

来源:用户上传      作者:

　　摘  要：近年来随着集团公司信息化的高速发展，组建了覆盖了省、市、县、供电所营业厅的信息网，陆续上线运行营销系统、OA系统、财务系统等三十多个应用系统。随着分布式部署的应用系统越来越多，市、县分公司发生网络安全事件的几率也越来越大。本文通过对管理网网络安全现状及存在问题进行了分析，提出了网络安全评估及整改方案，提高网络安全性和稳定性，减少网络安全隐患。
　　关键词：管理信息网;安全提升;网络架构;信息化系统
　　中图分类号：TP393.08    文献标识码：A       文章编号：1671-2064（2019）24-0000-00
　　0 引言
　　 随着多元化缴费平台等互联网应用的上线和相关信息系统的深度集成，网络安全工作的难度和复杂度不断提高，系统安全性、可靠性和可用性风险依然存在，同时大数据安全问题开始凸显。此外，随着分布式部署的应用系统越来越多（调控、配网自动化、GIS系统等），市、县分公司发生网络安全事件的几率也越来越大。因此，根据集团公司的全省统一规划，市级单位管理网的安全评估及整改已经是当务之急。
　　
　　1 管理网现状
　　1.1 通信网络现状
　　 集团公司网络架构由调度网、管理网和互联网“三张网”组成。
　　 管理网采用树形结构，覆盖省、市、县、供电所营业厅四级网络节点，与调度网物理隔离，与互联网逻辑隔离。
　　 第一级（省级）包括集团公司信息数据中心，位于西安市。
　　 第二级（市级）包括集团公司总部机关和各市分公司，各发电、辅业、多经子公司，各直属中心，分别位于西安、榆林、延安、宝鸡、咸阳、渭南、汉中、安康、商洛市。
　　 第三级（县级）主要包括各县分公司，分别位于榆林、延安、宝鸡、咸阳、西安、渭南、汉中、安康、商洛市全部或部分区县。
　　 第四级（站所）主要包括各县分公司供电所、运维班等，分别位于榆林、延安、宝鸡、咸阳、西安、渭南、汉中、安康、商洛市全部或部分区县。
　　 由于应用系统数据传输需求，建成网络拓扑采用树状结构。该四级网络分三级汇聚：省级节点汇聚市级网络、市级节点汇聚县级网络、县级节点汇聚站所网络。
　　 市公司信息數据中心承载着本单位多个应用系统，并作为管理网二级节点，向下管理三级和四级节点。
　　1.2信息化安全现状
　　经过近几年的管理网建设，目前市级公司具有如下的基本网络安全措施：
　　 （1）在物理安全上，有单独的专用机房。采用了UPS、防静电、雷击接地、空调，已满足物理环境安全需求。
　　 （2）在网络安全上，在互联网出口主要部署了防火墙、上网行为管理作为访问控制手段，隔离完全不可信的互联网威胁。
　　 （3）在系统安全上，信息系统的各服务器上操作系统已经做了初步的安全规划设置;管理员会定期给系统升级和打补丁，系统的一些常见漏洞问题已经得到了解决。但目前缺乏安全检测机制，主要靠人为判断安全漏洞及缺陷。
　　 （4）在病毒防范方面，办公平台上统一安装360企业版网络防病毒客户端，可在一定程度上解决病毒问题。
　　 （5）客户端终端已经部署了独立开发的基于加密U盘的身份认证与双网隔离客户端，实现了管理网与办公网络的逻辑隔离及对人员、终端的认证。
　　 （6）在应用安全上，已经开通使用的营销、OA、财务等系统均采用用户名和密码方式的身份认证，初步实现用户身份的认证识别。
　　 （7）在管理安全上，制订了相关的管理制度，协助市级单位初步形成了公司信息安全管理体系。
　　1.3存在问题
　　 当前市级单位信息化安全主要突出问题来自两方面：一方面来自现有市级单位网络架构层面;另一方面来自信息化系统层面。
　　 市级单位管理网二期初步实现了管理网与办公互联网的逻辑安全隔离，以及办公局域网与互联网的安全防护。考虑到当时市级单位和县级单位部分自建业务系统及局域网现状，并没有采取更多的安全措施。
　　 当前市级单位管理网网络结构中，主要有以下几点已知的安全风险问题：
　　（1）市级及县级部分自建业务系统仍部署在办公局域网内，其与互联网连通。
　　（2）县级单位管理网专线直接接入到市级单位的管理网骨干路由中，没有进行必须的安全分区分域防护。
　　（3）办公局域网内访问互联网缺乏必要的审计系统。
　　（4）办公局域网与管理网安全区域隔离设备存在单点故障。
　　（5）市、县级已经部署的准入设备及防火墙设备等，缺乏统一的安全管理平台，市级单位无法集中统一管理。
　　在信息化系统层面，由于市级单位管理网建设周期长、市县单位小系统部署时间久，亟需对以下存在重大安全隐患方面进行安全评估和整改：
　　（1）网络设备：未采取加密登录方式、软件版本低、动态路由协议未加认证、密码弱口令、密码尝试次数等策略为设置、管理权限未划分。
　　（2）Windows主机：系统补丁未更新、弱口令、未关闭未使用的服务、账户密码及多订策略、审计策略、默认远程管理需调整及安全相关的策略、防火墙、防病毒等。
　　（3）Linux主机：弱口令、密码策略、未优化不使用的服务、审计策略、系统补丁等相关整改。
　　（4）数据库：包括Oracle、Mysql、MSSQl等数据库软件。涉及到弱口令、密码策略、审计策略、默认用户、权限分配、补丁集升级等。
　　（5）中间件：包括Weblogic、Tomcat、WAS、IIS等。涉及到弱口令、补丁集、权限分配等。 　　 （6）业务系统：主要涉及到数据库SQL注入等。
　　
　　2 解决方案
　　 针对现有安全风险，分别从网络架构及信息化系统层面着手进行安全整改和加固。
　　2.1架构安全提升方案
　　2.1.1架构安全实现目标
　　 （1）分区分域隔离。根据网络物理区域、网络访问安全级别的不同，新增两台安全隔离网关将业务系统、业务系统访问者划分在不同的安全域，通过逻辑隔离对访问业务系统的网络行为进行控制，针对不同权限对象设置不同的访问控制策略。
　　 （2）网络入侵防护。在管理网和互联网出口新增入侵防御系统，实现对访问业务服务器的数据进行恶意病毒代码和网络入侵分析检测，对发现的病毒和入侵行为需要具备实时阻断的能力，保护业务系统安全稳定运行和业务数据的安全可靠。
　　 （3）安全设备统一管理。集团公司管理网部署了统一的安全管理平台，市公司区域隔离安全网关等设备需进行集中管理，实现统一下发安全策略、备份配置、防御安全风险等。
　　 市级单位网络安全设备部署图如图1所示：
　　
　　2.1.2架构安全具体解决方案
　　 （1）部署安全网关。业务系统前端部署综合安全网关，建议双机热备部署。设备部署在管理网业务服务器前端，部署访问控制策略，实现IP+端口的访问控制，阻挡非法访问，同时对接入的县区实现访问控制。通过安全网关将地市分公司本地办公区、业务服务器、县公司和集团公司分别划分为不同的安全域，通过安全策略控制不通安全域之间的网络互访行为，实现分区分域需求。
　　 （2）部署入侵防护系统。旁路部署在交换机上，需要通过交换机镜像流量进行安全分析，入侵防护系统部署针对应用协议漏洞的攻击，如http协议、FTP协议、telnet暴力破解等协议漏洞攻击。入侵防护系统与区域隔离网关进行联动，检测到入侵攻击IP时，下发策略到安全网关，通过安全网关的安全策略进行控制。
　　2.2 系统性安全提升方案
　　2.2.1 系统性安全实现目标
　　 对网络、主机、操作系统、数据库、中间件及业务系统在安全评测的基础上，进行系统的安全加固，达到如下工作目标：
　　 （1）消除或规避信息系统存在的安全隐患;（2）提高信息系统安全防护能力;（3）提高维护人员的技术水平，为信息系统维护提供技术支持。
　　2.2.2 系統性安全提升方案
　　 系统性安全整改主要工作内容：
　　 （1）网络设备：设备登录弱口令;VLAN间访问策略配置;启用设备日志;软件内核版本升级;远程管理关闭telnet，采用ssh方式;配置OSPF验证密码等。
　　 （2）Windows主机：修改操作系统登录弱口令;更新系统安全补丁;设置密码复杂性策略;设置密码更新策略;设置账户锁定策略;开启审核策略并增加登录、特权使用等策略;关闭默认共享等。
　　 （3）安全设备：修改弱口令;启用密码复杂度及更新策略;调整高风险互联网安全策略;调整管理网与办公局域网安全策略，避免安全风险等。
　　 （4）Linux主机：修改操作系统登录弱口令;更新系统安全补丁;设置密码复杂性策略;设置密码更改策略;设置账户锁定策略;修改FTP、samba等服务弱口令;配置审计策略;远程管理关闭telnet，采用ssh方式等。
　　 （5）Oracle数据库：修改弱口令;更新数据库补丁;设置密码更新周期策略;设置密码复杂度;禁用不需要的public权限包;限制远程访问地址等。
　　 （6）Mysql数据库：修改弱口令;更新数据库补丁或数据库版本;设置密码更新周期策略;设置密码复杂度;对数据库用户权限合理划分;重命名root用户;根据需要禁止远程登录;限制用户最大连接数。
　　 （7）MSSQL数据库：修改弱口令;更新数据库补丁或数据库版本;启用登录审核;启用数据库审核审计功能;对数据库用户权限合理划分;重命名sa用户。
　　 （8）中间件（WAS、Weblogic、IIS、Tomcat等）：根据需要更新有重大漏洞的版本;
　　强化web管理方式及弱口令;禁用示例页面或应用。
　　2.3 方案实施
　　 商洛网络安全评估及整改实施方案已经完成，正在进行网络安全相关硬件设备安装、服务器软件升级和漏洞修复的工作。
　　 架构安全方面：通过防控设备提升信息系统抵御网络入侵和攻击的能力。新增两台安全隔离网关将业务系统、业务系统访问者划分在不同的安全域;在管理网和互联网出口分别部署一套入侵防御系统，实现对访问业务服务器的数据进行恶意病毒代码和网络入侵分析检测，对发现的病毒和入侵行为需要具备实时阻断的能力。
　　 系统性方面：按照《网络安全攻防演练评估报告》内的详细问题列表，按照应用系统分类逐一进行整改，责任到人，提高各应用系统的安全性。
　　
　　3 结语
　　 管理信息网络通过本次网络安全评估及整改，通过安全域划分统一信息系统内各部分的安全策略，保障市公司、外部接入单位、INTERNET用户之间能进行安全可靠的连接、数据交换和信息共享，达到“横向隔离、纵向加密”的信息安全整体架构，实现事前可预防、事中能阻挡、事后可追溯的目标，以安全保业务，用安全促业务，全面提高事务处理的效率和质量，为信息化建设的深入发展奠定了基础。
　　
　　参考文献
　　[1] GB/17859-1999.计算机信息系统安全保护等级划分准则[S].
　　[2] GB/T18336.信息技术安全技术信息技术安全性评估准则[S].
　　收稿日期：2019-11-16
　　作者简介：杜欣（1987—），女，陕西镇安人，本科，科员，研究方向：电力调度通信及网络安全。
转载注明来源:https://www.xzbu.com/8/view-15217306.htm