电力企业信息系统安全等级保护探究.doc

电力企业信息系统安全等级保护探究摘 要： 电力系统信息化为一项技术及管理高度复杂的大型系统工程，包括信息安全体系结构框架的构建、信息安全技术方案的研究及实施、信息安全运行管理策略及各子系统的安全保障措施等，为确保电网管理信息化建设中的网络安全，各级电力企业建立信息系统等级保护体系，确保电网安全、稳定、优质、高效、经济运行 关键词： 信息系统；等级保护；安全域；桌面域 中图分类号：TP393.08 文献标识码：A 文章编号：1671－7597（2011）1210043－02 0 前言 随着信息化建设不断深入，信息技术应用已渗透到企业的每一项业务，业务对信息系统的依赖程度越来越高，其基础性、全局性、全员性作用日益增强。信息化是一把“双刃剑”，在为企业带来提高工作效率和管理水平、增强竞争能力等益处的同时，也为企业带来了安全风险，安全风险与信息化水平的提高同步增长。提升企业信息系统安全防护能力，保障系统信息安全，同时满足国家等级保护的合规性要求，成为信息化工作的新任务。信息系统安全防护架构设计思路为“分区、分层、分级、分域”的综合防御体系。将信息管理信息网络划分为信息内网和信息外网，根据业务重要和社会影响划分了若干三级保护系统和二级保护系统，三级系统独立分域，其余二级系统统一成域，不同的安全域，从边界安全、网络安全、主机安全、应用安全等方面明确了防护要求。在防护体系中，桌面终端域作为一种特殊的域。“总体防护方案”对桌面终端域提出了“终端安全管理”和“网络准入控制”的要求，需要重点关注和分析 1 独立成域业务之间的横向隔离 从等级保护建设的实际情况来看，三级要求的其他技术手段可以依托于设备和基础方案来实现合规性建设。目前，棘手的问题是如何实现业务系统端到端的安全隔离，以及桌面域用户如何在多个业务域隔离的情况下实现安全有效的互访，既要实现业务隔离，确保业务的端到端访问路径有效隔离，又要充分节省桌面域内终端计算机的复用投资 1.1 隔离的必要性和充分性 从业务访问路径上来看，主要是桌面主机通过网络通道访问应用系统，通过网络隔离措施对不同的应用、业务和群组用户进行安全隔离，提高数据传输的保密性和安全性，为用户业务传输提供端到端的安全保证 现有的网络隔离措施在两个安全区域间的有效控制互访上面较为全面和细致，但是要完成等级保护建设的要求，必须针对访问路径的各个关键节点，都能进行有效的访问控制。网络发展的趋势是资源的集中与基础设施的复用，在此之上虚拟化技术以1台物理设备对应多个逻辑设备的优越特点越来越多地被考虑到，对应到电力等级保护的建设要求，必须针对多种不同业务实现虚拟化技术基础上的多通道隔离，特别是针对现有的数据大集中以后，在数据中心层面，如何实现隔离，也是端到端隔离技术选择上需要重点考虑的问题 1.2 几种隔离技术的对比 虚拟局域网VLAN（Virtual Local Area Net-work）是现有局域网中最常用的隔离技术。VLAN适合小型网络用户逻辑隔离，但VLAN的广播域占用带宽资源，链路利用率低；二层网络不适合大规模应用，网络收敛速度慢，需要配置较多的二层特性，配置管理相对复杂。是一种最基本最常用的隔离方式，广泛应用于网络接入层 分布式访问控制列表ACL（Access ControlList）是另一种常见的隔离技术，适合一些规模不大的组网使用，需要严密地策略控制，配置管理复杂，无法提供端到端的隔离，业务或网络调整时需要更改大量配置，并且严格限制可移动性。常见的防火墙采用的就是这种方式 多协议标签交换MPLS VPN（MultiprotocolLabel Switching Virtual Private Network）是一种在大型园区网和广域网内被普遍使用的隔离技术，支持园区内用户群组互访应用，能够提供安全的端到端业务隔离，接入方式灵活，适合大规模网络应用，可扩展性好，具有良好的可移动性。但其要求设备支持VRF（VPN Routing Forwarding）/MPLS VPN，实际上主要依赖于核心交换机和骨干网路由器实现 还有一些隔离技术本次不会考虑到，比如说，采用网闸进行物理隔离，采用入侵防御系统IPS（Intrusion Prevention System）等进行应用层安全隔离等。上述3种隔离技术在不同的应用场景下，都有不可取代的作用，在选用过程中，需要综合考虑部署位置、部署灵活性以及隔离目标的达成性 1.3 端到端的业务逻辑隔离方案 分析现有业务域划分的特点，可以看到，几个三级域都有跨广域传输，且在局域网内使用过程中接入层角色不区分，数据中心级应用业务角色不区分。这就意味着端到端隔离的可行方案必须是一个综合性的隔离方案，在原有各自为政的隔离基础上，