浅析烟草商业企业互联网接入安全与风险控制

赵刚 孙全建 张云霞

摘 要：文章以作者所在企业山东泰安烟草有限公司为例，从企业互联网接入风险入手，通过现有和今后可能建立的接入方式和管控技术分析。根据互联网接入风险的重要程度、控制难度等因素，提出控制的思路和措施。通过关键控制点进行安全管理。探讨较为科学合理的互联网接入安全管理模式。

关键词：互联网；接入安全；风险；控制

随着互联网的快速发展，为企业运行和发展提供了越来越多的便利，通常情况下，企业局域网中存有大量的单位内部的敏感信息，具有极高的商务和政治价值。因此其安全保密是至关重要的，要保证内域网不被非法入侵和破坏，网中的敏感信息不被非法窃取和篡改，同时还要保证网内用户和网外用户之间正常连通，向他们提供应有的服务。这些安全业务都需要完善的安全管理作为支撑。文章以作者所在企业山东泰安烟草有限公司为例，从企业互联网接入风险入手，通过现有和今后可能建立的接入方式的脆弱性和潜在的威胁分析。根据互联网接入风险的重要程度、控制难度等因素，提出控制的思路和措施。通过风险控制措施的成本和有效性分析。探讨较为科学合理的互联网接入安全管理模式。

1 意义与背景

1.1 行业需求方面

随着山东烟草信息化建设的深入开展，一线工作对于网上信息的完整性、及时性、准确性的要求日趋强烈。通过山东烟草内部网络更广泛地采集社会信息，并向有关单位提供信息资源和服务已逐渐成为烟草行业信息化发展的必然趋势。同时，烟草内部业务网也将面临来自其他网络的攻击、入侵、病毒、木马、探头等各种类型的安全威胁，存在很大的安全风险。

烟草行业越来越多的业务系统需要通过互联网进行访问和发布，不论是企业网站邮件系统还是新商盟系统，在烟草行业地位愈来愈重要。企业用户接入互联网也成为必然需求，互联网已成为烟草行业中最重要的基础设施，但是当前的互联网设计并不安全，网络空间开始无边界，安全孤岛将不复存在，脆弱的技术、网络匿名等容易被一些非法组织和个人为所欲为的利用，由此将给企业带来诸多安全威胁。

1.2 政策及法规要求方面

在互联网安全接入研究方面，要落实国家及有关部门政策要求，积极响应主管单位及其监管部门关于互联网安全相关规定，内容包括：

（1）《全国人民代表大会常务委员会关于维护互联网安全的决定》；（2）《计算机信息网络国际互联网安全保护管理办法》第十条；（3）《互联网信息服务管理办法》；（4）《互联网安全保护技术措施规定》第七条、第八条。

2 国内外相关研究现状

随着Internet的快速发展，Intranet作为因特网技术运用于单位、部门和企业专用网的产物，也得到迅速普及发展。Intranet并非是地域上的概念，而是在信息空间上的虚拟网络概念，如一个国家外交系统的内域网用户可能分布全球。它在原有专用网的基础上增加了服务器、服务器软件、Web内容制作工具和浏览器，与因特网连通，从而使内域网充满了生机和活力。内域网为公司和单位信息的散播和利用提供了极为便利的条件。浏览器为网上用户提供信息，服务器对网络进行管理、组织和存储信息，并提供必要的安全服务。通常情况下，Intranet中则存有大量的单位内部的敏感信息，具有极高的商务、政治和军事价值。因此，Intranet是一种半封闭甚至是全封闭的集中式可控网，其安全保密是至关重要的，要保证内域网不被非法入侵和破坏，网中的敏感信息不被非法窃取和篡改，同时还要保证网内用户和网外用户之间正常连通，向他们提供应有的服务。这些安全业务都需要一个完善的接入控制机制。

2013年9月中国互联网安全大会就互联网时代的企业安全趋势撰写了此《互联網时代的企业安全发展趋势》。针对目前如此严峻的企业内部与外部安全形势，报告建议，企业内部安全应该加强边界防御、云端防御、终端防御和APT攻击检测防御，形成一个真正的立体防御体系。在云端安全使用分布式存储、分布式计算/并行计算、机器学习技术、准实时处理；边界方案中通过信息采集，进行协议还原对通信进行准入管理，阻断攻击；终端安全中实现网络准入控制、程序准入控制、硬件准入控制。

2013年12月中国和韩国互联网圆桌会议在韩国首尔举行，会议的主题是“互联网的发展与安全”倡导共同维护网络空间安全：一是共同维护网络主权安全，将互联网纳入到联合国多边治理框架下，构建和平共处、互利共赢的网络主权安全新秩序；二是共同维护信息安全，加强网络信息安全合作，打击网络不法行为，让信息安全有序流动；三是共同维护隐私安全，加大个人信息保护力度，让互联网成为安全网、放心网；四是共同维护技术安全，希望加强与韩方合作，推动核心技术、关键设备、移动终端等方面攻关，为互联网保驾护。

中国网络安全大会（NSC2013）研究到移动终端安全接入问题，移动/BYOD设备打开了一个全新的攻击层面，黑客能够利用这些可寻漏洞进入到企业网络中，从而获取到所需的数据。黑客使用不同的技术对移动/BYOD设备发动恶意攻击，通过种种感染方式（例如MMS、SMS、email、蓝牙、WiFi、用户安装、自安装、内存卡分配和USB）和拒绝服务的攻击方式（例如蓝牙劫持、SMS拒绝、不完整的OEBX信息、不完整的格式字符串和SMS信息）来部署恶意软件（例如病毒、蠕虫、特诺伊木马和间谍程序），还有发动移动消息攻击（例如短信诈骗、短信垃圾、恶意短信内容、SMS/MMS漏洞利用）。

3 烟草商业企业网络结构和互联网接入方式的分析

就全烟草行业而言，由于互联网的接入形式多种多样，因此项目在设计过程中要考虑多个方面比如企业本地互联网接入、虚拟专用网接入VPN、虚拟化互联网接入、来宾访客接入等等。接入的终端类型包括计算机PC终端、笔记本、瘦客户机、智能手机、平板电脑等等。接入过程中我们要综合考虑，以便能够适应以上接入形式和终端类型。

3.1 本地光纤接入

光纤是宽带网络中多种传输媒介中最理想的一种，它的特点是传输容量大、传输质量好、损耗小、中继距离长等。

3.2 无线接入

无线接入技术（也称空中接口）是无线通信的关键问题。它是指通过无线介质将用户终端与网络节点连接起来，以实现用户与网络间的信息传递。无线信道传输的信号应遵循一定的协议，这些协议即构成无线接入技术的主要内容。无线接入技术与有线接入技术的一个重要区别在于可以向用户提供移动接入业务。

3.3 VPN接入

虚拟专用网络（Virtual Private Network，简称VPN）指的是在公用网络上建立专用网络的技术。其之所以称为虚拟网，主要是因为整个VPN网络的任意两个节点之间的连接并没有传统专网所需的端到端的物理链路，而是架构在公用网络服务商所提供的网络平台。

3.4 移动互联网技术

随着智能手机、平板电脑等移动设备的出现，移动平台开始进入大众市场，为移动电子商务、移动电子政务的发展提供了极大的成长空间，移动应用已成为企业创新管理模式的一种趋势。

目前移动互联网的三种商业模式都源自于门户模式的成功实践：一是“平台+服务”模式，定位于价值链控制力；二是“终端+应用”模式，定位于用户需求整体解决方案；三是“软件+门户”模式，定位于最佳产品服务。门户模式已成为运营商、终端厂商、信息服务提供商的战略选择。不同领域的企业均在基于自身业务体系和竞争优势构建具有主导权的商业模式，以应对网络融合趋势给移动互联网发展带来的不确定性和竞争。

3.5 虚拟化模式

虚拟化，原本是指资源的抽象化，也就是单一物理资源的多个逻辑表示，或者多个物理资源的单一逻辑表示，是对真实计算环境的抽象和模拟。①

4 关键控制环节

通过各种接入方式的脆弱性和潜在的威胁分析；得出风险列表和各风险的重要程度、控制難度等。风险控制和管理主要指用户接入网络和接入互联网两个部分。接入过程的安全风险包括非法用户访问、网络蠕虫攻击、携带病毒不安全状态电脑接入、数据泄露等的呢；在接入互联网过程中安全风险包括非授权访问互联网、访问非法网站、非法占用企业互联网资源、非法下载、行为未记录审计等等。

针对以上安全风险，必须要实现风险控制和管理，风险控制机管理主要集中的两个环节，第一环节为网络接入环节，第二环节为互联网接入环节。

第一环节网络接入控制环节：

移动用户接入及其身份认证：网络准入管理；网络IP-MAC管理；终端安全管理；MDM安全管理。

第二环节互联网接入控制环节：

上网行为身份管理；上网行为访问管理；流量控制与管理；行为安全审计。

5 目前可用的接入安全管理技术

5.1 网络IP-MAC地址管理技术

支持DHCP+边界准入和访客授权控制功能。系统原理是在终端通过DHCP请求分配地址时，进行准入控制，适用于任何通过DHCP分配IP地址的网络，易于安装和配置。

通过对MAC动态授权操作，进行接入控制。可以将接入客户端，按安全级别分为永久授权客户端（分配固定IP地址）、永久授权客户端（分配动态IP地址）、临时授权客户端、未授权客户端。

5.2 网络接入认证控制技术

网络接入控制管理能够强制提升企业网络终端的接入安全，保证企业网络保护机制不被间断，使网络安全得到更有效提升。与此同时基于设备接入控制网关，还可以对于远程接入企业内部网络的计算机进行身份、唯一性及安全认证。

可通过UAC代理或UAC无代理模式来收集用户权限、端点安全状态和设备位置数据，以便制订动态接入和安全策略并且指挥整个网络中的执行点去执行这些策略。②

5.3 VPN技术

SSL VPN是解决远程用户访问敏感公司数据最简单最安全的解决技术。SSL协议可分为两层：SSL记录协议（SSL Record Protocol）：它建立在可靠的传输协议（如TCP）之上，为高层协议提供数据封装、压缩、加密等基本功能的支持。SSL握手协议（SSL Handshake Protocol）：它建立在SSL记录协议之上，用于在实际的数据传输开始前，通讯双方进行身份认证、协商加密算法、交换加密密钥等。

5.4 终端安全检查

终端安全管理包括两部分，第一是普通计算机终端安全检查（台式机、笔记本、瘦客户端等），第二类是移动终端安全检查（智能手机、IPAD等）。计算机终端安全管理至少应当实现终端安全修复、终端访问控制、桌面管理、安全审计、移动存储管理一体化管理、简单易维护。

内容包括：.终端安全控制、桌面合规管理、终端泄密控制、终端审计、设备注册与分组管理、设备管理以及应用管理等。

5.5 上网行为管理技术

对企业内访问互联网用户进行行为控制与管理。提供专业的用户管理、应用控制、网页过滤、内容审计、流量管理和行为分析等功能。实现上网行为可视、减少安全风险，减少信息泄密、遵从法律法规、提升工作效率、优化带宽资源。

对移动上网实现管理，必须基于人、应用、内容、终端、位置五个维度进行有效识别和控制。在行为管理领域完整引入终端、区域信息，并可针对访客进行有效的准入和管控。

5.6 流量控制与管理

基于网络的流量现状和流量管控策略，对数据流进行识别分类，并实施流量控制、优化和对关键IT应用进行保障的相关技术。包括：应用封堵、流量限速、每用户带宽上限、流量限额和连接控制等手段。

6 有效的风险管控模式

通过“统一认证、统一策略、统一管理、统一网络”的思路管控实现较为有效的风险管控模式。

6.1 统一认证

统一认证主要采用相同的用户认证数据库，在企业建立互联网接入的认证数据库，数据库内涵盖移动用户、本地企业用户的所有认证信息，当一个用户采用多种终端访问互联网时，保持身份认证的唯一性。

身份认证一般与授权控制策略是相互联系的，授权控制是指一旦用户的身份通过认证以后，确定哪些资源该用户可以访问、可以进行何种方式的访问操作等问题。

（1）用户使用在统一认证服务注册的用户名和密码登陆统一认证服务；（2）统一认证服务创建了一个会话，同时将与该会话关联的访问认证令牌返回给用户；（3）用户使用这个访问认证令牌访问某个支持统一身份认证服务的应用系统；（4）该应用系统将访问认证令牌传入统一身份认证服务，认证访问认证令牌的有效性；（5）统一身份认证服务确认认证令牌的有效性；（6）应用系统接收访问，并返回访问结果，如果需要提高访问效率的话，应用系统可选择返回其自身的认证令牌已使得用户之后可以使用这个私有令牌持续访问。

6.2 统一策略

统一策略平台和分布式实施，其特点包括：（1）覆盖有线.无线和 VPN的单一业务策略，托管和自带设备资产，以及MDM集成；（2）基于情景的控制（包括何时、何处、何人、何事），应用可视性与控制，以及高级分段；（3）特定于用户的服务，包括自助入网.访客处理和基于位置的服务等。

6.3 统一管理

一种统一接入管理平台，同时适用于网络和移动性，其特点包括：（1）全面的可视性：采用单一平台.以用户和设备为中心的视角，且涵盖了用户、设备、位置和状态等多方面；（2）运营高效性：构建于自动设置和可编程网络的基础之上；（3）更低的TCO：通过直观的故障排除，服务保证和能源管理节省时间。

注释

①从数据中心的 XenServer（微软的Hyper-V和VMware 的ESXi）服务器虚拟化到XenDesktop桌面虚拟化（Vmware VDI和微软MED-V），再到XenAPP应用程序虚拟化（微软APP-V）。

②这些执行点可以是厂商中立的、基于802.1X的任何接入点和交换机（如EX系列以太网交换机）；也可以是网络防火墙平台。

参考文献

[1]袁浩.Internet接入·网络安全[M].电子工业出版社，2011.

[2]赵洪林.浅析计算机网络安全[J].林业科技情报，2010（1）.

[3]付婧一.现阶段我国网络问政存在的问题及其对策思考[D].东北师范大学，2013.

[4]李楠.内网安全管理系统中安全评估技术的研究与实现[D].北京邮电大学，2011.

[5]向波.某涉密企业内网安全管理策略的研究[D].电子科技大学，2010.

[6]洪跃强.内网终端数据安全防护解决方案[J].海峡科学，2010（10）.

[7]张贤坤.基于案例推理的应急决策方法研究[D].天津大学，2012.

[8]馬林.例述网络接入安全[J].科技信息，2014（1）.