企业互联网综合服务平台安全防护探析.docVIP

企业互联网综合服务平台安全防护探析 　　摘 要：随着供给侧改革的深化，各类生产服务型企业为提升服务能力，依托互联网+技术，建设企业生产服务领域的互联网综合服务平台架构，以客户为中心，实现汇集区域内各类用户群与社会生产的多元数据，更好的满足用户个性化需求。此类平台架构，通常以企业内部的核心生产管理信息系统为基础，通过应用互联网+技术，实现与用户实时的数据交互，进而提供智能化精准服务。该文依据笔者参与的地区电网企业能源互联网综合服务平台的建设，探讨此类互联网综合服务平台的安全防护措施 关键词：互联网 安全防护 网络边界 应用安全 数据安全 中图分类号：TP393.08 文献标识码：A 文章编号：1674-098X（2017）03（b）-0130-02 1 安全防护的概念 随着互联网技术的发展，信息安全问题日益严峻。信息系统的安全防护，实质就是以系统的概念，从信息系统的物理、边界、应用、数据、主机、网络、终端7个层次进行统一的安全设计，最大限度地保障系统的安全、可靠和稳定运行 2 能源互联网综合服务平台概况 笔者参与的能源互联网综合服务平台，采用集中部署、分布式计算模式，平台系统主体：采集服务器、SCADA服务器、历史服务器及交换机等设备部署于信息内网，WEB服务器部署于互联网，同时满足从信息内网采集、提取、分析数据，以及通过互联网与用户进行数据交互的需求 3 平台采取的安全防护措施 3.1 物理安全 能源互?网综合服务平台物理安全，主要是按照A级信息机房标准进行建设，配备UPS电源、精密空调及新风系统、动环监控、门禁、消防等分系统，从机房位置选择、机房出入控制、防盗窃和防破坏、防雷击、防火、防水和防潮、防静电、温度、湿度控制、电力供应、电磁防护等方面开展防护 3.2 网络边界安全 边界防护通常采用部署正反向隔离装置和防火墙，实现网络边界的访问控制和安全隔离，通过网络设备安全防护、网络安全审计、入侵防范、抵御来自外部的攻击的目的，实现入侵事件的审计与追踪 能源互联网综合服务平台存在4类网络边界：信息内网横向域边界、信息内网纵向边界、信息内外网边界、信息外网与第三方网络边界。针对性安全防护措施包括，信息外网第三方边界：网络访问控制、网络入侵检测、日志记录与审计；信息内网横向域边界：网络访问控制、网络入侵检测；信息内外网边界：逻辑强隔离装置、网络入侵检测；信息内网纵向边界：网络访问控制、网络入侵检测、边界流量监测 3.3 应用安全 应用安全通常采用面向应用系统的身份验证、访问权限控制、安全审计等措施，保证应用系统及子系统间通信的完整性和保密性，保障应用的可用性。能源互联网综合服务平台主要从以下10个方面进行安全防护 身份认证：单点登录跳转、高强度密码策略、密码加密存储、cookie不存密码，认证信息及时销毁策略；支持锁定账户、实施登录三次失败锁定账户策略；限制同一账号同时在多个IP登录 授权：基于角色控制访问，细度权限控制{修改、只读、隐藏} 输入输出验证：URL过滤；正则表达式输入验证；sql注入参数验证 配置管理：只允许管理员授权；禁止Web页面直接浏览服务端的目录和文件；账户口令加密保存 会话管理：服务端存储会话认证信息和有效期；会话ID随机；登录信息凭证加密传输，post方式传输会话凭证；网页的头部拥有登出链接；注销即刻清除会话，限制会话时间，超时自动清除 加密技术：基于DES对称加密算法；密钥通过MD5或DES对称加密算法保存在数据库中 参数操作：随机会话id标识用户；基于POST方式提交页面表单；客户端js验证和服务端验证两种方式对客户端的输入值校验 异常管理：统一出错页面，异常出错信息记入日志 日志与审计：关键操作自动审计；审计日志记录在数据库中；敏感数据强制审计，非敏感数据通过配置方式来开启审计功能；审计信息的页面只能浏览和查询 应用交互安全：通过WebService接口与第三方系统集成；基于xml方式与第三方系统交互数据，通过WebService方式传输 3.4 数据安全 数据安全防护主要是采用MD5加密算法处理，实现业务数据在传输过程中的完整性保护。能源互联网综合服务平台数据安全主要从以下3方面进行安全防护 （1）数据存储安全：用户账号及鉴别信息采用MD5加密算法处理后在数据库中加密存储；用户账号及鉴别信息不在客户端存储；设备台账信息通过程序逻辑校验及数据库约束条件实现完整性，避免非法字符；业务信息存储在数据库中；系统配置信息（用户口令等）采用MD5加密算法处理后在配置文件中存储；移动终端业务数据通过程序逻辑校验及数据库约束条件实现完整性，避免非法数据 （2）数据传输安全：用户账号及鉴别信