李洪民
(滨州医学院网络信息中心,山东烟台264003)
经济研究信息化
浅谈网络安全等级保护信息建设方案
李洪民
(滨州医学院网络信息中心,山东烟台264003)
通过具体阐述信息安全保障体系的建设,论述了安全策略的定义、构成,提出了总体规划设计信息安全保障体系的架构,结合安全建设需求,提出完整的安全保障体系框架。
高校;校园网;等级保护;建设
经过多年的发展,高校业务系统基本到位,在充分挖掘业务系统应用的基础上,通过对比等级保护基本要求,初步明晰网络安全存在的差距,基本了解信息系统的风险所在,可以判断出信息系统的安全需求[1]。在充分参考了等级保护基本要求的基础上,同时借鉴其他行业建设案例、行业最佳实践,并在信息化建设安全系统设计的基础上,根据国家网络安全等级保护的要求提出了本建设方案。
网络安全规划遵循以下原则:整体性、合规性、重点保护、针对性、可持续性、可实施性、先进性[2]。
1)在信息化建设时,除满足业务需求外,对网络架构设计需要秉持统一性、整体性原则,需要对网络架构从IP地址规划、网络设备命名、网络架构层次、结构可扩展性、网络的可靠性进行综合分析,进行网络架构的优化。
2)业务系统相对较多,各业务系统之间存在较多的互访行为,需要针对关键业务流程分析,分析关键业务涉及的系统和业务软件、业务逻辑结构、业务模块通信端口、数据调用过程、数据流向,进而明确安全边界,合理划分安全域,为后续安全设备的采购、部署奠定基础。
3)需要加强对外联单位的接入控制,并通过部署防火墙、入侵防御系统等加强边界防护。
4)重点加强核心业务系统服务器区安全防护,严格控制业务系统的细粒度的访问权限。
5)部署漏洞扫描系统,针对全网设备定期扫描,及时发现内网系统存在的漏洞并修复,提升自身安全防护能力。
6)部署数据库审计系统、配置网络审计系统,通过实时的网络数据采集、智能信息处理、审计分析,实时记录网络访问及数据库访问行为,并对违规操作进行报警。
7)部署堡垒机系统,实现对全网安全设备、网络设备、数据库、服务器的统一运维管理,包括统一账号管理、统一身份认证、统一授权、统一审计和单点登录管理。
8)部署日志审计系统,收集全网设备的系统日志,进行归并存储,供日后审计需求。
9)部署终端管理系统,实现全网的终端安全管控。
10)建设安全管控平台,监控、分析和管理信息系统的整体安全态势,并为整个信息系统的安全运营提供决策服务;安全管控平台通过多种技术、手段,收集和整合各类安全事件,并运用实时关联分析技术、智能推理技术和风险管理技术,实现对全网安全事件的深度分析,快速做出智能响应,实现对全网安全风险的统一监控分析和预警处理。
11)建设身份认证与行为审计管理平台,以PKI/CA技术为核心,与应用系统进行深度整合,实现集中的用户管理、证书管理、认证管理、授权管理和审计等功能,为多业务系统提供用户身份、系统资源、权限策略、审计日志等统一、安全、有效的配置和服务。
此外,在管理制度的建设方面各高校虽较为完善,基本符合等级保护的要求,但并未形成有效的管理体系,同时缺乏相关指标,以便对管理制度的执行进行有效性测量,需要围绕现有管理制度进行优化并着手建设信息安全管理体系;流量管理与控制,需要能够准确识别各种应用及流量,而且对流量可进行精细化的管理;运维工作目前依然依赖于信息中心人员的自主能力以及经验传承,缺乏必要的流程、工具,诸如应急响应预案、全网的风险态势实时监控、事件处理流程等,因此亟需建立运维体系[3]。
信息安全保障体系的建设应当凸显顶层设计,设计一个良好的信息安全保障体系架构。能够保证建立一个结构化的安全体系,以结构化的安全体系来应对系统性的安全风险;能够落实信息安全保障工作的长效机制,打造一支专业化的信息安全保障队伍;通过实施动静结合两条线的安全保障,支撑业务的快速稳定发展。
信息安全保障体系架构的设计中参考了如下模型:P2DR动态安全防护体系、IATF信息保障技术框架以及等级保护的标准要求。
1)P2DR模型。策略(Policy):策略是P2DR模型的核心,所有的防护、检测、响应都是依据策略。它描述了系统中哪些资源要得到保护,以及如何实现对它们的保护等。
防护(Protection):防护是主动防御的防御部分,系统的安全最终是依靠防护来实现的。防护的对象涵盖了系统的全部,防护手段也因此多种多样。
检测(Detection):检测是动态响应和加强防护的依据。通过不间断的检测网络和系统,来发现威胁。
响应(Response):响应是主动防御的实现。根据策略以及检测到的情况动态地调整防护,达到主动防御的目的。
信息系统的安全是基于时间特性的,P2DR安全模型的特点就在于动态性和基于时间的特性。
2)IATF信息保障技术框架。当信息安全发展到信息保障阶段之后,人们越发认为,构建信息安全保障体系必须从安全的各个方面进行综合考虑,只有将技术、管理、策略、工程过程等方面紧密结合,安全保障体系才能真正成为指导安全方案设计和建设的有力依据。信息保障技术框架(Information Assurance Technical Framework,IATF)就是在这种背景下诞生的。
3)等级保护模型。等级保护工作作为我国信息安全保障工作中的一项基本制度,对提高基础网络和重要信息系统安全防护水平有着重要作用,而在《信息系统安全等级保护基本要求》中对信息安全管理和信息安全技术也提出了要求。
安全策略是信息安全保障体系的核心,是信息安全管理工作、技术工作和运维工作的目标和依据。安全策略由总体策略和分项策略组成,具有分层结构的完整体系,包含了从宏观到微观,从原则方向到具体措施等多方面的内容。信息安全保障的总体策略应该是:安全保障体系建设与信息系统建设“同步规划、同步建设、同步运行”;动态和静态保障相结合(即建设与运维的有效结合)。
信息安全保障的分项策略分别对应技术体系、管理体系、运维体系,为网络与信息系统的安全管理工作提供参照,以支撑安全策略实现,提高信息安全保障水平,确保安全控制措施落实到位,保障网络通信畅通和业务系统的正常运营。
信息安全保障体系的建设必须站在全局的角度,对信息安全的整体进行完整的构想和实施。通过借鉴信息保障技术框架IATF、国际信息安全纵深防御架构并参照P2DR模型(策略、防护、检测、响应),以技术与管理同步,动态和静态保障相结合的思想,总体规划设计信息安全保障体系架构。
综合考虑安全建设需求,提出完整的安全保障体系框架,从安全技术体系、管理体系、运维体系三个角度出发,从而构建一套完整的信息安全保障体系,实现信息系统的业务安全保障。
5.1安全技术体系
1)在主机房服务器区域出口处部署防火墙,提供内网各个安全域横向边界的访问控制,实现核心应用系统的安全隔离。在外网互联网边界接入区域部署防火墙为互联网边界提供访问控制。
2)在服务器区域旁路部署入侵检测系统,提供内网中所有对服务器区域访问行为的入侵行为检测。
3)在互联网边界接入区域部署入侵防护系统,为互联网边界提供边界入侵防护、恶意代码过滤。
4)在内网核心区域旁路部署网络审计系统,实现全网行为审计。
5)在外网互联网边界部署流量控制系统,实现全员的上网行为管理与控制。
6)在安全运维区域部署主机监控与审计系统以及准入控制系统,能够有效探测终端的非法外联、非法内联行为,实现区域边界的完整性保护。在外网部分,通过IPMAC绑定措施,实现外来人员接入外网的行为控制,实现边界完整性保护。
7)在核心区域旁路部署网络审计系统,收集、记录通信网络的相关安全事件,上报安全管理中心。
8)在外网部署VPN设备,对于移动办公的远程访问行为进行安全加密,提供完整性保护。
9)部署统一身份认证管理系统,实现应用系统的4A(账号、认证、授权、审计)整合。
10)数据库审计系统(含网络审计功能)。
11)在服务器区域旁路部署数据库审计系统(含网络审计功能),实现应用区行为审计、实现数据存储区数据访问记录审计。
12)在安全运维区域部署日志审计系统,收集全网计算环境中产生的日志信息,包括服务器的操作系统和应用系统,数据库服务器以及部分网络设备和安全设备。
13)在安全运维区域部署漏洞扫描系统实现全网网络设备、服务器等漏洞扫描,并提供安全建议和改进措施等功能,帮助用户控制可能发生的安全事件,最大可能消除安全隐患。
14)在安全运维区域部署内控堡垒主机,在系统运维人员和信息系统(网络、主机、数据库、应用等)之间搭建一个唯一的入口和统一的交互的界面,针对信息系统中关键软硬件设备运维的行为进行管控及审计。
15)核心业务数据就是生命线,当故障或灾难发生时,能否有一份可用的数据,是决定其存亡的关键。因此,必须有异地冗灾数据备份和恢复系统,保障数据不丢失。
5.2安全管理体系
在安全运维区域部署安全管理平台,实现全网重要资源的运行状态、安全事件相关数据进行集中采集、统一分析、可视化展现,发现异常时可实时告警响应,并可依据保存的历史数据进行审计等,另外,系统提供了相应的接口,以便与第三方系统实现整合。
5.3安全运维体系
安全运维体系是支撑和保障,建立标准化的运维管理流程,能够有效提升运行管理能力。明确安全运维岗位职责,通过成熟完善的管理工具辅助运行维护管理,使运行维护工作流程化、标准化、自动化、体系化,建立规范的变更流程;制定日常运维计划,日常运维管理服务主要通过驻场工程师提供现场安全职守服务。主要实现对信息系统实时监控与分析,并及时处理信息系统运行中存在的安全问题,确保系统的正常运行。包括但不限于:人员驻场服务、安全事件汇总报告、各系统、设备定时巡检,提供巡检报告、监控分析报告、对安全事件进行应急响应;定期进行安全评估,完善信息系统的信息安全突发事件应急预案、应急队伍、应急演练等;全面实现安全事件管理和响应服务,驻场工程师配合完成。服务内容包括但不限于:安全事件响应分析、灾难恢复、入侵追踪和取证、安全应急响应和灾难恢复、进行入侵追踪和犯罪取证工作,对入侵者给予法律的惩罚、处理应急安全事件之后,会依据信息系统的安全性和威胁,提供相应的事后安全分析和可行性安全建议,并进行事后安全加固。最终建立对安全运维工作的考核机制,把运维成果和绩效相结合。
安全运维防护作为动态安全防护,建设过程中主要以信息安全事件为主线,具体建设内容可以分解为安全监控、态势分析、响应机制和应急保障四个环节。
安全监控是事前防御的重要措施,主要从系统应用、设备状态和安全事件三个方面进行监控,全面感知网络和信息系统运行情况。
态势分析是综合风险隐患、信息安全事件、设备运行状况和用户行为等因素进行全面及时研判,是建立主动预警机制的基础。
响应机制是对影响信息系统运行的设备故障、安全事故和安全事件进行分类,制订处置原则和方法,控制和减少事件影响,预防同类情况反复发生。
应急保障是在系统发生故障、事故或事件时能及时相应、及时处置,将影响或损失控制在预知的程度内。包括组建应急队伍、制订应急预案和日常应急演练。
信息安全体系建设包含策划与准备阶段、安全现状调研阶段、差距分析与风险评估阶段、方案(体系模型、安全策略、体系架构、技术方案)论证阶段、技术体系的建设实施阶段、管理体系建立阶段、应急体系建立、运维体系建立与运行。本方案作为信息安全等级保护整改方案暨信息安全规划方案,主要针对建设阶段进行详细的任务分解,对于其他阶段不再细述。
[1]范红,邵华,李程远,等.安全管理中心技术实现方法研究[J].信息安全与技术,2010(6):66-67.
[2]李浩.高校校园网网络安全分析及对策研究[J].电脑学习,2009(5): 87-89.
[3]胡建龙.校园网络安全问题及防护措施[J].科技信息,2010(23): 15-16.
(编辑:贾娟)
Information and Network Security Rank Protection Construction Plan
Li Hongmin
(Bmedical Network Information Center,Yantai Shandong 264003)
This paper elaborates on the construction of information security guarantee system,discusses the security policy definition,composition,and puts forward the overall planning and design of information security guarantee system architecture,combined with safety construction requirements,complete security system framework is put forward.
colleges and universities;campus network;level of protection;construction
TP391.41
A
2095-0748(2016)13-0085-03
10.16525/j.cnki.14-1362/n.2016.13.32
2016-05-19
李洪民(1964—),男,山东滨州人,本科,毕业于上海理工大学,高级实验师,主要研究方向:网络规划与管理。