武鋼信息系統(tǒng)整體安全防御體系的研究與應用

　　1 引言

　　武漢鋼鐵集團是新中國成立后由國家投資建設的第一個特大型鋼鐵聯(lián)合企業(yè)，如何通過信息化建設提高企業(yè)核心競爭力，具備可持續(xù)發(fā)展的動力源泉，成為近年來集團上下不斷思考的問題，信息化戰(zhàn)略已經(jīng)成為武鋼發(fā)展戰(zhàn)略的重要組成部分。

　　武鋼整體產(chǎn)銷資訊系統(tǒng)一期、二期工程均已竣工投產(chǎn)，系統(tǒng)的安全性和穩(wěn)定性是保證產(chǎn)銷系統(tǒng)順利運行的重要因素，隨著武鋼信息化的不斷深入，信息化涉及的部門越來越多，對信息系統(tǒng)的依賴程度也越來越高，冶金自動化程度不斷提高,工廠過程控制系統(tǒng)與工廠管理信息系統(tǒng)越來越緊密,針對管控網(wǎng)絡一體化程度的提高，過程控制系統(tǒng)與管理信息系統(tǒng)的網(wǎng)絡安全問題顯得越來越突出，由于管理信息系統(tǒng)的安全問題導致過程控制系統(tǒng)停機，從而直接影響生產(chǎn)的現(xiàn)象時有發(fā)生，但未引起重視，全球因信息安全造成的損失每年在成幾何級數(shù)的增長，2005 年超過千億，因此，信息系統(tǒng)安全可靠的運行已成為各企業(yè)信息化成功的關鍵因素之一。因此，在規(guī)劃下一步信息化發(fā)展的時候，在重點考慮如何充分利用信息系統(tǒng)優(yōu)勢的同時，盡可能降低各類安全事件帶來的不利影響以保障信息化的成果是各企業(yè)必須考慮的因素，在新建、改擴建項目中必須要進行信息安全審計。

　　意識到信息系統(tǒng)安全對于武鋼正常生產(chǎn)運行的重要意義之后，如何在武鋼這樣一個復雜的環(huán)境下把信息安全搞好的問題擺在了面前。俗話說“隔行如隔山”，在信息安全這塊領域武鋼還基本上處于空白階段，無論是在實踐方面還是在理論方面。武鋼產(chǎn)銷系統(tǒng)一期是由臺灣中鋼咨詢設計，借鑒武鋼產(chǎn)銷的經(jīng)驗，武鋼信息安全決定通過借助“外腦”，聘請在信息安全領域擁有豐富實踐經(jīng)驗的專業(yè)公司為咨詢公司，以達到少走彎路，事半功倍之效，事后證明這一步是非常正確的。

　　武鋼信息安全管理體系的建立依次從以下三個方面展開：

　　（1）信息安全調研分析、風險評估；
　?。?）信息安全規(guī)劃；
　?。?）信息安全管理制度建設（ISMS）。

　　2 信息安全調研分析、風險評估

　　保障信息安全，從概念到行動，首先要明確安全目標，界定安全邊界，進而建立信息安全保障的管理和運行體系，達到融安全管理于日常工作的效果。因此，首先與專業(yè)機構一起以公司產(chǎn)銷系統(tǒng)和骨干網(wǎng)為分析對象，對其進行信息安全調研分析。

　　通過人員的訪談、配置分析等手段，弄清了武鋼產(chǎn)銷系統(tǒng)和骨干網(wǎng)信息系統(tǒng)資產(chǎn)的具體類型、數(shù)量以及武鋼組織結構、人員職責劃分等情況，從而識別出對生產(chǎn)具有重大意義的關鍵資產(chǎn)、對安全產(chǎn)生影響的組織和人員。然后在安全調研的基礎上進行風險評估，以識別出關鍵資產(chǎn)存在什么脆弱點，什么樣的威脅通過什么樣的途徑可以利用到系統(tǒng)存在的脆弱點，一旦系統(tǒng)的脆弱點被利用，又會造成多大程度的風險。組織目前已經(jīng)采取什么樣的控制措施防止這些安全事件的發(fā)生。

　　通過風險評估，從系統(tǒng)角度識別出的產(chǎn)銷系統(tǒng)和骨干網(wǎng)的主要脆弱點如下：

　?。?）存在多個互聯(lián)網(wǎng)接口；
　　（2）VPN接入沒有控制措施；
　?。?）對網(wǎng)絡接入設備沒有控制；
　?。?）網(wǎng)絡間沒有進行訪問控制；
　?。?）關鍵服務器沒有進行安全加固，存在系統(tǒng)漏洞；
　?。?）服務器沒有進行安全配置，有多個端口打開；
　　（7）防病毒系統(tǒng)不統(tǒng)一，病毒庫更新不及時；
　?。?）缺少網(wǎng)絡異常流量監(jiān)控措施；
　?。?）缺少對入侵行為的檢測措施等。

　　從管理角度識別出的脆弱點如下：

　　（1）接入單位終端缺乏統(tǒng)一管理與安全控制，接入單位外協(xié)開發(fā)、維護不規(guī)范，各單位的外聯(lián)控制不到位；
　?。?）缺少對軟盤、光盤等介質的管理規(guī)范；
　　（3）缺乏對軟件開發(fā)、安裝、使用的管理，統(tǒng)一的系統(tǒng)上線安全審核機制沒有落實；
　　（4）人員安全意識不強；
　　（5）缺乏安全培訓；
　?。?）應用系統(tǒng)操作缺乏規(guī)范培訓；
　?。?）缺乏針對病毒與黑客的應急預案等。

　　通過上述分析，識別出目前對武鋼產(chǎn)銷系統(tǒng)和骨干網(wǎng)影響最大的三個信息安全威脅是：混合型病毒和惡意代碼、外部人員通過網(wǎng)絡實施對信息系統(tǒng)的入侵攻擊、內部人員通過網(wǎng)絡的直接入侵和不規(guī)范操作。

　　這次評估是武鋼在遭受2003 年沖擊波病毒、2004 年震蕩波病毒及MS－SQL 數(shù)據(jù)庫蠕蟲王病毒后進行的首次全面的信息安全狀況摸底，領導的重視和大力支持使得本次工作順利進行，取得了預計的成效，同時也是一次很好的信息安全意識和知識的普及教育。為進一步的安全規(guī)劃和安全加固實施奠定了良好的基礎，形成了良好的信息安全氛圍。

　　3 信息安全規(guī)劃

　　在制定安全規(guī)劃時本著“集中安管、縱深防御、統(tǒng)一規(guī)劃、分步實施”的設計思想，根據(jù)風險評估結論，同時結合武鋼信息系統(tǒng)實際情況，參考國家相關標準，提出一套適合武鋼公司發(fā)展的、先進的安全技術體系結構。規(guī)劃設計時遵循安全策略中“深度防御戰(zhàn)略”的多層防護原則，覆蓋武鋼信息系統(tǒng)中的主干網(wǎng)、公司級應用、接入單位系統(tǒng)等。

　　安全規(guī)劃的成果是提出了安全整體策略規(guī)劃、運行安全規(guī)劃、技術安全規(guī)劃三份完整詳盡的報告，提出了切實可行的信息安全整體規(guī)劃。

　　針對武鋼主干網(wǎng)面臨的主要安全風險因素，主要參考信息技術保障框架（IATF）采取安全措施，制定的武鋼主干網(wǎng)整體安全防御體系構建及系統(tǒng)優(yōu)化總體安全框架如圖1所示。

圖1 總體安全技術框架

　　根據(jù)安全技術框架，制定的技術安全規(guī)劃具體內容如下：

　　（1）調整公司級服務器部署，提高安全性，增強網(wǎng)絡安全保護；
　?。?）INTERNET入口防護；
　?。?）利用現(xiàn)有設備和新增防火墻進行網(wǎng)絡安全域劃分與加強訪問控制，保護重要單位；
　　（4）現(xiàn)有NORTON防病毒軟件的功能擴展；
　　（5）網(wǎng)絡綜合監(jiān)管平臺構建（網(wǎng)絡設備日志，流量等）；
　?。?）微軟操作系統(tǒng)補丁分發(fā)與更新，漏洞檢查；
　　（7）公司重要服務器審計；
　　（8）公司級重要服務器的安全加固；
　　（9）各接入單位重要產(chǎn)線服務器的保護；
　?。?0）終端配置管理、接入管理。

　　根據(jù)技術規(guī)劃方案，制定了武鋼主干網(wǎng)整體安全防御體系（圖2），該體系覆蓋武鋼信息系統(tǒng)的信息邊界、網(wǎng)絡路由及交換、硬件和軟件、防病毒、主機及審計等各方面，只有整體的安全考慮，才能真正保證安全。公司于2005 年1 月份正式按照技術安全規(guī)劃投巨資按照武鋼主干網(wǎng)整體安全防御體系進行了武鋼產(chǎn)銷系統(tǒng)和主干網(wǎng)的信息安全加固工程，至2005 年底各項工作均達到設計目標，目前運行效果良好；系統(tǒng)整體安全水平大大提高。