信息安全基线技术在电网企业中的研究与应用.doc

信息安全基线技术在电网企业中的研究与应用 左晓军1陈亮2陈泽1 （1.国网河北省电力公司电力科学研究院，河北石家庄050021； 2.国网天津电力公司电力科学研究院，中国天津300384） 【摘要】本文通过研究信息安全基线技术，提出在信息安全基线理论基础上建立安全配置自动化核查的方法和步骤，制定了统一的安全配置规范，形成了一套针对企业快速、有效的信息系统安全配置核查系统，解决了困扰信息运维人员的难题。 关键词安全；基线；配置；核查 0引言 近年来，随着电力行业飞速发展，以网络、计算机自动控制技术为代表的信息技术已渗透到电力生产、经营的各个方面。随着网络规模日益扩大，重要应用和服务器的数量及种类日益增多，传统的被动式安全防御模式已经很难适应当前信息化发展水平。统计表明，安全事件中19.4%的攻击是于利用系统配置错误，15.3%是利用已知的系统漏洞。事实证明，绝大多数的网络攻击事件都是利用厂商已经公布而用户未及时修补的漏洞和产品不安全的配置1。 国网河北电科院采用专业的信息系统安全漏洞扫描系统，形成了初步的漏洞管理解决方案。但是针对信息系统配置合规性方面，还没有形成统一的标准来规范运维人员和督查人员的操作行为，无法满足企业信息系统上线安全检查、第三方设备入网安全检查、日常安全检查的业务需求。面对不断增加的信息设备，如何完成系统配置合规性检查和修复，成为一个急需解决的问题。 1信息安全基线技术 1.1信息安全基线定义 顾名思义，“信息安全基线”（以下简称安全基线）概念借用了传统的“基线”概念。字典上对“基线”的解释是：一种在测量、计算或定位中的基本参照。如海岸基线，是水位到达的水位线2。安全基线是一个信息技术环境下的一组正式的最小安全需求规格集。 1.2安全木桶理论 “木桶理论”其核心内容为：一只木桶盛水的多少，并不取决于桶壁上最高的那块木块，而恰恰取决于桶壁上最短的那块。在信息安全建设中，“短板”的长度决定了组织整体安全状况，而安全基线正是决定组织整体信息安全程度的那个“木桶中的最短板”。类比于“木桶理论”，可以认为安全基线就是安全木桶的最短板，或者说，是最基本的信息安全要求。 1.3国内安全基线理论的研究 1999年，公安部组织起草了国家强制性标准计算机信息系统安全保护等级划分准则，该标准将计算机信息系统安全保护能力划分为用户自主保护级、系统审计保护级、安全标记保护级、结构化保护级、访问验证保护级5个等级2。该标准的主要目的：一是为了计算机信息系统安全法规的制定和执法部门的监督检查提供依据；二是为安全产品的研制提供技术支持；三是为安全系统的建设和管理提供技术指导。这个标准也成为国内信息安全建设的最基本基线。 1.4国外安全基线理论的研究 美国FISMA（TheFederalInformationSecurityManagementAct，联邦信息安全管理法案）定义了一个广泛的框架来保护政府信息、操作和财产来免于自然以及人为的威胁。FISMA在xx年成为美国电子政府法律的一部分，把责任分配到各种各样的机构上来确保联邦政府的数据安全。其提出了一个包含八个步骤的信息安全生命周期模型，这个模型的执行过程涉及面非常广泛且全面，但实施、落地的难度也非常大3。经过一系列的研究和改进，延伸出SCAP协议（SecurityContentAutomationProtocol），SCAP协议定义了一套安全基线库，得以将FISMA的信息安全生命周期模型进行落地。SCAP的自动化安全基线理念最重要贡献简单总结在于：第一，制定安全基线；第二，通过工具化和自动化的方式落实。 2系统目标 通过研究安全基线理论，开发建立安全基线配置规范和核查系统，实现安全基线配置规范化管理，能够自动识别和扫描信息网络中各类设备和应用系统的配置合规性，在此基础之上对系统进行综合评估，得出安全整改加固建议，提高业务系统的防护能力，提高信息系统的安全性和可用性。 3系统设计 国网河北电科院信息系统安全配置核查系统建设充分吸收了安全基线技术理论经验，严格遵循PDCA管理理念，分三个阶段进行系统开发和实践： 1）安全基线配置规范的建立：根据国家等级保护和国家电网公司信息安全管理要求以及业务系统防护需要，建立了符合企业实际需求的安全基线配置规范。规范包括AIX系统、Windows系统、Juniper防火墙、H3C网络设备、Oracle数据库、WebLogic中间件等20多种主流系统的安全配置检查点、检查标准和整改建议，形成了Checklist表格。 2）自动化检查工具的开发：在安全基线配置规范的基础上，开展了信息系统安全配置核查系统的开发，将规范中定义的检查点和检查方法以系统的形式加以体现，使得信息系统安全基线配置合规性检查从手工检查演进为自动化检查的方式，可以同时进行多个设备和系统的配置检查。 3）实践和完善：在系统使用过程中，不断总结使用经验，发现系统存在的不足，进行系统完善。同时紧跟国家和国家电网公司新的安全管理要求，完善基线配置规范和核查系统。 4系统功能框架 在研究和业务安全相结合的基准安全标准的基础上，参考国内外的标准、规范，充分考虑了电网行业的现状和最佳实践，继承和吸收了国家等级保护、风险评估的经验成果，形成了一套基于业务系统的基线安全模型4，参见图1： 基线安全模型以业务系统为核心，分为业务层、功能架构层、系统实现层等3层架构： 1）第一层是业务层，这个层面中主要是根据不同业务系统的特性，定义不同安全防护的要求，是一个比较宏观的要求。 2）第二层是功能架构层，将业务系统分解为相对应的应用系统、数据库、操作系统、网络设备、安全设备等不同的设备/系统模块，这些模块针对业务层定义的安全防护要求细化为此层不同模块应该具备的要求。 3）第三层是系统实现层，将第二层的模块根据业务系统的特性进一步分解，将操作系统分解为Windows、Solaris等系统模块，网络设备分解为华为路由器、Cisco路由器等系统模块。这些模块把第二层的安全防护要求细化到可执行和实现的要求，称为Windows安全基线，华为路由器安全基线等。 5系统主要功能 开发的信息系统安全配置核查系统基于WEB管理方式，用户使用浏览器通过SSL加密通道和系统进行信息交互，不仅方便用户使用，安全性也得到提高。系统采用模块化设计思想，将整个系统分为基础平台层、系统服务层、系统核心层、系统接入层。 5.1基础平台层功能 基础平台层包含专用硬件平台和基础软件平台。专用硬件平台采用经过优化的专用安全系统平台，具有高安全性和稳定性。基础软件平台采用定制的操作系统、硬盘加密解密、应用程序加密解密、输入输出加密解密、内置数据库、Web服务、程序运行环境等。 5.2系统服务层功能 系统服务层主要包含数据处理引擎和系统服务引擎。数据处理引擎是系统内部的数据接口，提供了数据库访问、数据缓存、数据同步等功能。系统服务引擎是系统内部的功能接口，提供了系统还原点备份与恢复、任务数据导入导出等功能。 5.3系统核心层功能 系统核心层是产品的核心，包含了基线配置常用的功能模板，具有较强的可扩展功能，主要包括调度引擎、状态引擎、报表引擎等。调度引擎是扫描工作的协调中心，根据用户选择的立即执行的任务、定时执行的任务、周期执行的任务等。状态引擎是系统状态的协调中心，包含系统资源状态、任务执行进度、升级进度信息等。报表引擎主要用于处理报表展示，能够提供HTML、WORD、EXCEL、PDF等多种报表格式。 5.4系统接入层功能 系统接入层主要用于与用户的信息交流，包含了用户访问的Web页面、系统访问控制台、数据接口等。 6结束语 通过安全基线技术研究与应用建设，很好地解决了国网河北电科院信息在信息系统安全配置方面的薄弱环节，系统投入使用后，效果明显，查找出了应用系统配置存在的问题，并参考信息系统安全配置核查系统提供的整改建议在被恶意用户攻击造成损失之前主动发现应用系统的漏洞并完成修补；形成了安全基线配置规范，统一了运维人员操作标准，提升了运维人员工作效率和工作水平，从而提高了信息系统的整体的安全性。安全配置核查系统的应用是一个逐步完善提升的过程，需要依据业务系统安全防护需求的变化不断完善配置核查标准，使之适应不断变化的信息安全形势。