貴州廣電網絡總體安全規(guī)劃研究論文

2021-04-17 論文

　　貴州省廣播電視信息網絡股份有限公司(以下簡稱貴州廣電網絡于2008年3月27曰正式掛牌成立，建設了覆蓋省內所有市(州)、縣(市、區(qū)、特區(qū))、鄉(xiāng)(鎮(zhèn))的廣電光纜干線傳輸網;完成了全省縣及以上城市的有線電視數字化整體轉換，數字電視用戶已逾350萬戶;全省各級有線電視網絡傳輸節(jié)目總量約250套，提供數字電視基本業(yè)務、數字電視自選業(yè)務、互動電視、高清電視、多屏看業(yè)務、互聯(lián)網接入、虛擬專網、城市安防和媒資業(yè)務等各類服務。

　　為了貫徹國家對信息系統(tǒng)安全保障工作的要求以及等級化保護堅持“積極防御、綜合防范”的方針，需要全面提高信息安全防護能力。貴州廣電網絡信息系統(tǒng)建設需要進行整體安全體系規(guī)劃設計，全面提高信息安全防護能力，創(chuàng)建安全健康的網絡環(huán)境，保護國家利益，促進貴州廣電網絡信息化的深入發(fā)展。

　　1安全規(guī)劃的目標和思路

　　貴州廣電網絡目前運營并管理著兩張網絡：辦公網與業(yè)務網;其中辦公網主要用于貴州廣電網絡各部門在線辦公，重要的辦公系統(tǒng)為OA系統(tǒng)、郵件系統(tǒng)等;業(yè)務網主要提供貴州廣電網絡各業(yè)務部門業(yè)務平臺，其中核心業(yè)務系統(tǒng)為BOSS系統(tǒng)、互動點播系統(tǒng)、安全播出系統(tǒng)、內容集成平臺以及寬帶系統(tǒng)等。

　　基于對貴州廣電網絡信息系統(tǒng)的理解和國家信息安全等級保護制度的認識，我們認為，信息安全體系是貴州廣電網絡信息系統(tǒng)建設的重要組成部分，是貴州廣電網絡業(yè)務開展的重要安全屏障，它是一個包含貴州廣電網絡實體、網絡、系統(tǒng)、應用和管理等五個層面，包括保護、檢測、響應、恢復四個方面，通過技術保障和管理制度建立起來的可靠有效的安全體系。

　　1.1設計目標

　　貴州廣電網絡就安全域劃分已經進行的初步規(guī)劃，在安全域整改中初見成效，然而，安全系統(tǒng)建設不僅需要建立重要資源的安全邊界，而且需要明確邊界上的安全策略，提高對核心信息資源的保護意識。貴州廣電網絡相關安全管理體系的建設還略顯薄弱，管理細則文件亟需補充，安全管理人員亟需培訓。因此，本次規(guī)劃重點在于對安全管理體系以及目前的各個業(yè)務系統(tǒng)進行了全面梳理，針對業(yè)務系統(tǒng)中安全措施進行了重點分析，綜合貴州廣電網絡未來業(yè)務發(fā)展的方向，進行未來五年的信息安全建設規(guī)劃。

　　1.2設計原則

　　1.2.1合規(guī)性原則

　　安全設計要符合國家有關標準、法規(guī)要求，符合廣電總局對信息安全系統(tǒng)的等級保護技術與管理要求。良好的信息安全保障體系必然是分為不同等級的，包括對信息數據保密程度分級，對用戶操作權限分級，對網絡安全程度分級(安全子網和安全區(qū)域),對系統(tǒng)實現(xiàn)結構的分級(應用層、網絡層、鏈路層等)，從而針對不同級別的安全對象，提供全面、可選的安全技術和安全體制，以滿足貴州廣電網絡業(yè)務網、辦公網系統(tǒng)中不同層次的各種實際安全需求。

　　1.2.2技管結合原則

　　信息安全保障體系是一個復雜的系統(tǒng)工程，涉及人、技術、操作等要素，單靠技術或單靠管理都不可能實現(xiàn)。因此，必須將各種安全技術與運行管理機制、人員思想教育與技術培訓、安全規(guī)章制度建設相結合。

　　1.2.3實用原則

　　安全是為了保障業(yè)務的正常運行，不能為了安全而妨礙業(yè)務，同時設計的安全措施要可以落地實現(xiàn)。

　　1.3設計依據

　　1.3.1“原則”符合法規(guī)要求

　　依據《中華人民共和國計算機信息系統(tǒng)安全保護條例K國務院147號令)、《國家信息化領導小組關于加強信息安全保障工作的意見》(中辦發(fā)[20〇3]27號)、《關于信息安全等級保護工作的實施意見》(公通字[2004]66號)、《信息安全等級保護管理辦法》(公通字[2007]43號)和GB/T22240-2009《信息安全技術信息系統(tǒng)安全等級保護定級指南》、GB/T22239-2008《信息安全技術信息系統(tǒng)安全等級保護基本要求》、《廣播電視安全播出管理規(guī)定》(廣電總局62號令)、GDJ038-CATV|有線網絡。

　　2011《廣播電視播出相關信息系統(tǒng)等級保護基本要求》，對貴州省廣播電視相關信息系統(tǒng)安全建設進行規(guī)劃。

　　1.3.2“策略”符合風險管理

　　風險管理是基于“資產-價值-漏洞-風險-保障措施”的思想進行保障的。風險評估與管理的理論與方法已經成為國際信息安全的標準。

　　風險管理是靜態(tài)的防護策略，是在對方攻擊之前的自我鞏固的過程。風險分析的核心是發(fā)現(xiàn)信息系統(tǒng)的漏洞，包括技術上的、管理上的，分析面臨的威脅，從而確定防護需求，設計防護的措施，具體的措施是打補丁，還是調整管理流程，或者是增加、增強某種安全措施，要根據用戶對風險的可接受程度，這樣就可以與安全建設的成本之間做一個平衡。

　　1.3.3“措施”符合P2DR模型

　　美國ISS公司(IntemetSecuritySystem，INC)設計開發(fā)的P2DR模型包括安全策略(Policy)、檢測(Detection)、防護(Protection)和響應(Response)四個主要部分，是一個可以隨著網絡安全環(huán)境的變化而變化的'、動態(tài)的安全防御系統(tǒng)。安全策略是整個P2DR模型的中樞，根據風險分析產生的安全策略描述了系統(tǒng)中哪些資源要得到保護，以及如何實現(xiàn)對它們的保護等，策略是模型的核心，所有的防護、檢測和響應都是依據安全策略實施的。

　　檢測(Detection)、防護(Protection)和響應(Response)三個部分又構成一個變化的、動態(tài)的安全防御體系。P2DR模型是在整體的安全策略的控制和指導下，在綜合運用防護工具(如防火墻、身份認證、加密等)的同時，利用檢測工具(如漏洞評估、入侵檢測等)了解和評估系統(tǒng)的安全狀態(tài)，通過適當的反應將系統(tǒng)調整至“最安全”和“風險最低”的狀態(tài)，在安全策略的指導下保證信息系統(tǒng)的安全[3]。

　　1.4安全規(guī)劃體系架構

　　在進行了規(guī)劃“原則”、“策略”、“措施”探討的基礎上，我們設計貴州廣電網絡的安全保障體系架構為“一個中心、兩種手段”。

　　“一個中心”，以安全管理中心為核心，構建安全計算環(huán)境、安全區(qū)域邊界和安全通信網絡，確保業(yè)務系統(tǒng)能夠在安全管理中心的統(tǒng)一管控下運行，不會進入任何非預期狀態(tài)，從而防止用戶的非授權訪問和越權訪問，確保業(yè)務系統(tǒng)的安全。

　　“兩種手段”，是安全技術與安全管理兩種手段，其中安全技術手段是安全保障的基礎，安全管理手段是安全技術手段真正發(fā)揮效益的關鍵，管理措施的正確實施同時需要有技術手段來監(jiān)管和驗證，兩者相輔相成，缺一不可。

　　2安全保陳方案規(guī)劃

　　2.1總體設計

　　貴州廣電網絡的安全體系作為信息安全的技術支撐措施，分為五個方面：

　　邊界防護體系：安全域劃分，邊界訪問控制策略的部署，主要是業(yè)務核心資源的邊界，運維人員的訪問通道。

　　行為審計體系：通過身份鑒別、授權管理、訪問控制、行為曰志等手段，保證用戶行為的合規(guī)性。

　　安全監(jiān)控體系：監(jiān)控網絡中的異常，維護業(yè)務運行的安全基線，包括安全事件與設備故障，也包括系統(tǒng)漏洞與升級管理。

　　公共安全輔助：作為整個網絡信息安全的基礎服務系統(tǒng)，包括身份認證系統(tǒng)、補丁管理系統(tǒng)以及漏洞掃描系統(tǒng)等。

　　IT基礎設施：提供智能化、彈性服務能力的基礎設施，主要的機房的智能化、服務器的虛擬化、存儲的虛擬化等。

　　2.2安全域劃分

　　劃分安全域的方法是首先區(qū)分網絡功能區(qū)域，服務器資源區(qū)、網絡連接區(qū)、用戶接入區(qū)、運維管理區(qū)、對外公共服務區(qū);其次是在每個區(qū)域中，按照不同的安全需求區(qū)分不同的業(yè)務與用戶，進一步劃分子區(qū)域;最后，根據每個業(yè)務應用系統(tǒng)，梳理其用戶到服務器與數據庫的網絡訪問路徑，通過的域邊界或網絡邊界越少越好。

　　Z3邊界防護體系規(guī)劃

　　邊界包括網絡邊界、安全域邊界、用戶接口邊界(終端與服務器)、業(yè)務流邊界，邊界上部署訪問控制措施，是防止非授權的“外部”用戶訪問“里面”的資源，因此分析業(yè)務的訪問流向，是訪問控制策略設計的依據。

　　2.3.1邊界措施選擇

　　在邊界上我們建議四種安全措施：

　　1.網絡邊界：與外部網絡的邊界是安全防護的重點，我們建議采用統(tǒng)一安全網關(UTM),從網絡層到應用層的安全檢測，采用防火墻(FW)部署訪問控制策略，采用入侵防御系統(tǒng)(IPS)部署對hacker入侵的檢測，采用病毒網關(AV)部署對病毒、木馬的防范;為了方便遠程運維工作，與遠程辦公實施，在網絡邊界上部署VPN網關，對遠程訪問用戶身份鑒別后，分配內網地址，給予限制性的訪問授權。Web服務的SQL注入、XSS攻擊等。

　　3.業(yè)務流邊界：安全需求等級相同的業(yè)務應用采用VLAN隔離，采用路由訪問限制策略;不同部門的接入域也采用VLAN隔離，防止二層廣播，通知可以在發(fā)現(xiàn)安全事件時，開啟不同子域的安全隔離。

　　4.終端邊界：重點業(yè)務系統(tǒng)的終端，如運維終端，采用終端安全系統(tǒng)，保證終端上系統(tǒng)的安全，如補丁的管理、黑名單軟件管理、非法外聯(lián)管理、移動介質管理等等。

　　2.3.2策略更新管理

　　邊界是提高入侵者的攻擊“門檻”的，部署安全策略重點有兩個方面：一是有針對性。允許什么，不允許什么，是明確的;二是動態(tài)性。就是策略的定期變化，如訪問者的口令、允許遠程訪問的端口等，變化的周期越短，給入侵者留下的攻擊窗口越小。

　　2.4行為審計體系規(guī)劃

　　行為審計是指對網絡用戶行為進行詳細記錄，直接的好處是可以為事后安全事件取證提供直接證據，間接的好處乇兩方面：對業(yè)務操作的日志記錄，可以在曰后發(fā)現(xiàn)操作錯誤、確定破壞行為恢復時提供操作過程的反向操作，最大程度地減小損失;對系統(tǒng)操作的日志記錄，可以分析攻擊者的行為軌跡，從而判斷安全防御系統(tǒng)的漏洞所在，亡羊補牢，可以彌補入侵者下次入侵的危害。

　　行為審計主要措施包括:一次性口令、運維審計(堡壘機)、曰志審計以及網絡行為審計。

　　2.5安全監(jiān)控體系規(guī)劃

　　監(jiān)控體系不僅是網絡安全態(tài)勢展示平臺，也是安全事件應急處理的指揮平臺。為了管理工作上的方便，在安全監(jiān)控體系上做到幾方面的統(tǒng)一：

　　1.運維與安全管理的統(tǒng)一：業(yè)務運維與安全同平臺管理，提高安全事件的應急處理速度。

　　2.曰常安全運維與應急指揮統(tǒng)一：隨時了解網絡上的設備、系統(tǒng)、流量、業(yè)務等狀態(tài)變化，不僅是日常運維發(fā)現(xiàn)異常的平臺，而且作為安全事件應急指揮的調度平臺，隨時了解安全事件波及的范圍、影響的業(yè)務，同時確定安全措施執(zhí)行的效果。

　　3.管理與考核的統(tǒng)一：安全運維人員的工作考核就是網絡安全管理的曰常工作與緊急事件的處理到位，在安全事件的定位、跟蹤、處理過程中，就體現(xiàn)了安全運維人員服務的質量。因此對安全運維平臺的行為記錄就可以為運維人員的考核提供一線的數據。

　　安全監(jiān)控措施主要包括安全態(tài)勢監(jiān)控以及安全管理平臺，2.6公共安全輔助系統(tǒng)

　　作為整個網絡信息安全的基礎服務系統(tǒng)，需要建設公共安全輔助系統(tǒng)：

　　1.身份認證系統(tǒng)：獨立于所有業(yè)務系統(tǒng)之外，為業(yè)務、運維提供身份認證服務。

　　2.補丁管理系統(tǒng)：對所有系統(tǒng)、應用的補丁進行管理，對于通過測試的補丁、重要的補丁，提供主動推送，或強制執(zhí)行的技術手段，保證網絡安全基線。

　　3.漏洞掃描系統(tǒng)：對于網絡上設備、主機系統(tǒng)、數據庫、業(yè)務系統(tǒng)等的漏洞要及時了解，對于不能打補丁的系統(tǒng)，要確認有其他安全策略進行防護。漏洞掃描分為兩個方面，一是系統(tǒng)本身的漏洞，二是安全域邊界部署了安全措施之后，實際用戶所能訪問到的漏洞(滲透性測試服務)。

　　2.7IT基礎設施規(guī)劃

　　IT基礎設施是所有網絡業(yè)務系統(tǒng)服務的基礎，具備一個優(yōu)秀的基礎架構，不僅可以快速、靈活地支撐各種業(yè)務系統(tǒng)的有效運行，而且可以極大地提高基礎IT資源的利用率，節(jié)省資金投入，達到環(huán)保的要求。

　　IT基礎設施的優(yōu)化主要體現(xiàn)在三個方面：智能機房、服務器虛擬化、存儲虛擬化。

　　3安全筐理體系規(guī)劃

　　在系統(tǒng)安全的各項建設內容中，安全管理體系的建設是關鍵和基礎，建立一套科學的、可靠的、全面而有層次的安全管理體系是貴州省廣播電視信息網絡股份有限公司安全建設的必要條件和基本保證。

　　3_1安全管理標準依據

　　以GBAT22239-2008《信息安全技術信息系統(tǒng)安全等級保護基本要求》中二級、三級安全防護能力為標準，對貴州廣電網絡安全管理體系的建設進行設計。

　　3.2安全管理體系的建設目標

　　通過有效的進行貴州廣電網絡的安全管理體系建設，最終要實現(xiàn)的目標是：采取集中控制模式，建立起貴州廣電網絡完整的安全管理體系并加以實施與保持，實現(xiàn)動態(tài)的、系統(tǒng)的、全員參與的、制度化的、以預防為主的安全管理模式，從而在管理上確保全方位、多層次、快速有效的網絡安全防護。

　　3.3安全管理建設指導思想

　　各種標準體系文件為信息安全管理建設僅僅提供一些原則性的建議，要真正構建符合貴州廣電網絡自身狀況的信息安全管理體系，在建設過程中應當以以下思想作為指導：“信CATV丨有線網絡息安全技術、信息安全產品是信息安全管理的基礎，信息安全管理是信息安全的關鍵，人員管理是信息安全管理的核心,信息安全政策是進行信息安全管理的指導原則，信息安全管理體系是實現(xiàn)信息安全管理最為有效的手段。”

　　3.4安全管理體系的建設具體內容

　　GB/T22239-2008《信息安全技術信息系統(tǒng)安全等級保護基本要求》(以下簡稱《基本要求》)對信息系統(tǒng)的安全管理體系提出了明確的指導和要求。我們應以《基本要求》為標準，結合目前貴州廣電網絡安全管理體系的現(xiàn)狀，對廣電系統(tǒng)的管理機構、管理制度、人員管理、技術手段四個方面進行建設和加強。同時，由于信息安全是一個動態(tài)的系統(tǒng)工程，所以，貴州廣電網絡還必須對信息安全管理措施不斷的加以校驗和調整，以使管理體系始終適應和滿足實際情況的需要，使貴州廣電網絡的信息資產得到有效、經濟、合理的保護。

　　貴州廣電網絡的安全管理體系主要包括安全管理機構、安全管理制度、安全標準規(guī)范和安全教育培訓等方面。

　　通過組建完整的信息網絡安全管理機構，設置安全管理人員，規(guī)劃安全策略、確定安全管理機制、明確安全管理原則和完善安全管理措施，制定嚴格的安全管理制度，合理地協(xié)調法律、技術和管理三種因素，實現(xiàn)對系統(tǒng)安全管理的科學化、系統(tǒng)化、法制化和規(guī)范化，達到保障貴州廣電網絡信息系統(tǒng)安全的目的。

　　3.5曰常安全運維3.5.1安全風險評估

　　安全風險評估是建立主動防御安全體系的重要和關鍵環(huán)節(jié)，這環(huán)的工作做好了可以減少大量的安全威脅，提升整個信息系統(tǒng)的對網絡災難的免疫能力;風險評估是信息安全管理體系建立的基礎，是組織平衡安全風險和安全投入的依據，也是信息安全管理體系測量業(yè)績、發(fā)現(xiàn)改進機會的最重要途徑。

　　3.5.2網絡管理與安全管理

　　網絡管理與安全管理的主要措施包括：出入控制、場地與設施安全管理、網絡運行狀態(tài)監(jiān)控、安全設備監(jiān)控、安全事件監(jiān)控與分析、提出預防措施。

　　3.5.3備份與容災管理

　　貴州廣電網絡主要關鍵業(yè)務系統(tǒng)需要雙機本地熱備、數據離線備份措施;其他相關業(yè)務應用系統(tǒng)需要數據離線備份措施。

　　3.5.4應急響應計劃

　　通過建立應急相應機構，制定應急響應預案，通過建立專家資源庫、廠商資源庫等人力資源措施，通過對應急響應有線網絡ICATV預案不低于一年兩次的演練，可以在發(fā)生緊急事件時，做到規(guī)范化操作，更快的恢復應用和數據，并最大可能的減少損失

　　3.6安全人員管理

　　信息系統(tǒng)的運行是依靠在各級黨政機構工作的人員來具體實施的，他們既是信息系統(tǒng)安全的主體，也是系統(tǒng)安全管理的對象。所以，要確保信息系統(tǒng)的安全，首先應加強人事安全管理。

　　安全人員應包括：系統(tǒng)安全管理員、系統(tǒng)管理員、辦公自動化操作人員、安全設備操作員、軟硬件維修人員和警衛(wèi)人員。

　　其中系統(tǒng)管理員、系統(tǒng)安全管理員必須由不同人員擔當。3.7技術安全管理

　　主要措施包括：軟件管理、設備管理、備份管理以及技術文檔管理。

　　4安全規(guī)劃分期建設路線