石化企业信息化安全分析及对策

石化企业信息化安全分析及对策石化企业信息化安全分析及对策 1 石化企业信息化需求石化企业信息化需求 随着我国信息化建设的不断深入 信息化已经成为企业发 展的重要推动力量 国外石化企业信息化建设和应用已经走在 我们前面 加入 wto 更对石化企业提出了新的挑战 就石化企 业而言 信息化是生存和发展的必由之路 信息化是一项系统工程 任何一方面都不能偏废 信息化 安全也是信息化建设的关键环节 如果信息化网络不安全 人 们使用网络的积极性会丧失 开放的网络最终会走向封闭 信 息化就失去意义 随着互联网日益蓬勃的发展和企业集团信息化整合的加强 企业网络应用的范围在不断扩大 如通过互联网获取信息 展 现企业形象 开展电子商务等 通过广域网实现集团内部资源 共享 统一集团管理等 企业信息化网络不再是单纯意义上的 intranet 而更多的则是基于 internet 的网络和应用 网络开放了 安全问题就更加严峻 特别是某些安全问题 如病毒 攻击和入侵等已经引起了人们的高度重视 信息化安 全是一个普遍问题 但是 不同行业信息化有自己的特点 信 息化安全的重点和所采取的对策也不尽相同 因此 针对石化 企业信息化的特点 系统地分析安全问题并提出适合行业特点 的安全对策是有必要的 2 石化企业信息化特点石化企业信息化特点 石化企业信息化当前主要有四个突出特点 信息化重点是 管控一体化 追求高性能和高可靠性 统一信息化平台基本建 成 网络应用日益加强 这四个特点是由石化行业自身的特点 决定的 并具有一定的时代特点 信息化重点是管控一体化 石化企业是典型的资金和技术密集型企业 生产的连续性 很强 装置和重要设备的意外停产都会导致巨大的经济损失 因此生产过程控制大多采用 dcs 等先进的控制系统 生产管理 上也更注重安全和平稳运行 通过加强生产管理 可以实现管 理与生产过程控制的融合 通过优化调度 先进控制和优化控 制等手段 在保证生产平稳的基础上获取更大的经济效益 因 此 石化企业信息化的重点是管控一体化 管控一体化的关键 是生产数据采集 核心是基于实时数据库的生产调度管理 追求高性能和高可靠性 由于石化企业具有雄厚的资金支持 并且信息化建设的投 资一般只占企业的整个投资的一小部分 所以 在信息化建设 资金保证上相对其他一些企业要好 石化企业是连续生产企业 并且信息化建设的规模也比较大 因此对信息化设备和系统的 性能和可靠性要求也很高 信息化设备大多采用国外进口设备 系统应用的开发也更倾向于与国内或国际知名公司合作 统一信息化平台基本建成 随着我国加入 wto 竞争全球化更加激烈 国内三大石油 集团都在不断地加强内部整合 向着成为主业突出 核心竞争 力强的大型跨国企业集团的目标而努力 以增强国际竞争力 为了加强集团内部管理 一个重要举措就是建立统一的信息化 平台 实现集团内部信息无缝流通 资源共享 从而强化对集 团内部各企业的统一管理 目前 国内三大石油集团的信息化 基础网络已经基本建成 中石油有 cnpcnet 石油计算机网 并于去年开始启动了 石油计算机网络二期工程 建设项目 以 打造更加完善的统一的信息化平台 中石化和中海油也都建成 连接下属企业单位的互联网络 网络应用日益加强 随着集团内部统一信息化平台的建成 网络应用也越来越 广泛 中石油的中油财务系统就是最典型的网络应用 它通过 广域网实现总公司对各子公司的财务管理和监督 中石油的 能 源一号 电子商务网站和中石化的电子商务网站都保持了良好的 运营状态 在集团设备和货物的销售与采购中的作用也越来越 大 在石化企业内部 绝大部分应用都已经脱离了单机环境 基于互联网的应用也得到进一步推广 3 信息化安全分析信息化安全分析 信息化安全是一个很广泛的概念 许多安全问题如设备损 坏 病毒危害 恶意攻击和入侵 电子商务安全等都属于信息 化安全范畴 概括地讲 信息化安全问题主要分为四大类 物 理安全 网络安全 信息安全 管理安全 物理安全 物理安全主要指信息化系统 设备 工作环境等在物理上 采取的保护措施 物理安全是信息化安全的基础 典型的物理安全主要包括 以下几方面的问题 设备故障和意外灾难等导致信息化网络暂 时不可用和数据丢失等 骨干网络采用单独的核心交换设备 核心交换设备的故障会使整个网络的不可用 关键服务器存储 设备的失效导致存储数据的丢失和服务中止 信息化设备运行 环境质量问题引起设备故障 网络安全 网络安全主要是指网络访问 使用 操作的安全 它是信 息化安全中最普遍的内容 网络安全问题主要包括 病毒危害和访问安全 病毒危害 在开放网络环境下 计算机病毒的危害比以往要大得多 特别是近几年 通过互联网进行传播的病毒数量急剧增长 危 害范围也不断扩大 由于计算机病毒带来的经济损失数量是巨 大的 对付计算机病毒的最好的方法是安装防病毒软件 企业用 户需要网络版的防病毒软件 网络版防病毒软件至少应具备以 下特点 实时查杀病毒 智能安装 快速方便地升级 系统兼 容性强 管理方便 系统恢复容易 访问安全 访问安全是指对设备 资源 信息和服务访问权限的安全 控制 访问安全也是最常见的安全问题 它的范围是极为广泛的 在企业中许多敏感的数据如财务数据和人事管理档案等 它的 访问限制应该很严格的 只有部门相关业务人员或部分领导才 有权查看 个人计算机上的文件如果不共享别人也不能查看 企业中生产控制网络与管理网络之间一般也通过防火墙隔离 重要计算设备也只对部分单位和人员公开 网管人员可能会限 制你浏览互联网的权限和时间 有人可能会尝试登录路由器管 理环境等 你的防火墙可能受到外部攻击等等 诸多访问安全 问题常常会呈现在网络管理员面前 信息安全 信息安全主要是指信息交换安全 远程办公和电子商务的发展推动了信息安全需求 远程办 公要求企业局域网具备远程接入设备 一般通过拨号或互联网 实现远程接入 这两种情况都需要对连接者身份进行严格验证 防止非法用户的进入 为了防止传输过程中的信息被窃听 要 求登录用户名和密码以及数据在传输过程中进行有效的加密 电子商务网站的信息安全更加重要 它是能否实现电子商 务的前提 只有保证交易的安全 人们才会有信心去使用它 否则就谈不上电子商务 要做到电子商务的信息安全首先要保 证网站自身的安全 网站必须要有切实有效的安全措施 否则 用户的重要信息一旦丢失或被窃取将会造成不可挽回的损失 交易是双方的事情 所以必须对交易双方进行身份验证 还要 保证交易的不可否认性 避免事后抵赖 交易过程中的所有信 息的传输都要求经过验证和加密 保证数据的完整性和保密性 为了增强信息安全 需要对登录信息和交易信息进行安全 审计记录 从而可以对非法入侵进行跟踪 并分析系统的安全 状况 管理安全 管理安全是指通过加强安全管理来保证物理安全 网络安 全和信息安全措施的实现 信息化安全是一项系统工程 如果 没有有效的安全管理 其他的任何努力都形同虚设 信息化安 全需要一个完善的安全管理体系 从安全管理组织 制度 措 施上都要制定一整套相应的规范 4 信息化安全对策信息化安全对策 信息化安全问题不存在一劳永逸的解决方案 提出的任何 安全对策也只能是更好地预防安全问题 尽量减少安全问题对 正常业务的影响 针对石化企业信息化建设的特点和安全问题的分析 石化 企业信息化安全的对策可以归纳为 三大对策 即建设高可用 性网络 部署安全防护系统和建立安全保障体系 建设高可用性网络 信息化网络的可用性是指网络能长时间连续运行 使用方 便 可靠可信 建设高可用性网络就是要建设具有高性能和高可靠性的信 息化基础网络设施 实现信息化物理安全和网络安全 建设高 可用性网络的主要措施含盖信息化硬件和软件以及需要重点考 虑的灾难恢复 信息化硬件 信息化设备包括网络设备 服务器 布线 机房设备等 要保证信息化网络的高可用性 在设备选择上必须坚持高性能 和高可靠性 在系统设计上也要充分考虑网络和设备的冗余备 份 尽量避免网络单点故障 服务器等关键设备的可靠性也要 给予充分的重视 信息化软件 信系化软件主要包括操作系统 数据库 应用程序等 应尽量选用性能好安全性高的操作系统 个人计算机操作 系统可以选用 windows2000 服务器操作系统应优先选用 unix 系统 数据库主要包括实时数据库和关系数据库 在选型上应尽 量选择知名公司的产品 如中石油在应用 oracle 数据库方面 积累了丰富的经验 应用程序可以采用商品化的软件也可以与其他公司合作 合作开发伙伴要选择熟悉行业应用 有丰富经验的知名公司 灾难恢复 灾难恢复是指当信息设备发生灾难时对数据和服务的恢复 完整的灾难恢复策略应包括备份硬件 备份软件 备份制度和 灾难恢复计划等 对企业而言 最珍贵的不是信息化设备或系统 而是存储 的各种文档和数据库信息 随着信息化进程的深入 企业对计 算机设备的依赖也越来越多 网络的可用性也是极为重要的 如果网络总是有问题 谁还有信心去用它 所以灾难恢复是信 息化安全中很重要的一个组成部分 必须想法保证数据存储的 可靠性 保证网络服务和应用在故障时能尽快恢复 对石化企业而言 灾难恢复保护的地方主要是企业关键数 据库和文件服务器 企业关键数据库一般是指存储企业生产管 理数据的基础数据库 文件服务器主要是指办公自动化所依赖 的服务器 它存储企业管理过程中所需的重要文档和资料 先进的典型灾难恢复系统是由集群服务器 存储设备和相 关软件组成 当系统部分设备发生灾难时可以保持服务的连续 性并自动恢复或尽可能恢复最近的数据 典型灾难恢复系统的 一个重要特点就是灾难恢复系统里的设备要做到地理分散 才 能真正应对灾难的发生 采用网络备份来实现灾难恢复也是一种通用的可行方案 成本相对低一些 但是对服务的恢复时间会比较长 数据恢复 的程度也取决于备份策略和采用的设备 所以 网络备份方案 的关键是要制定有效的备份策略并选择良好的备份硬件设备和 备份软件 部署安全防护系统 部署安全防护系统主要指通过操作系统安全使用和部署安 全防护软件 实现信息化网络安全和信息安全 防病毒系统 常见的计算机病毒主要是针对微软的操作系统 如果你使 用其他操作系统如 unix 或 linux 基本可以不用担心受感染 但是仍可能成为病毒传播源和感染对象 企业用户网络节点多 如果采用单机防病毒软件 成本高 维护起来也不方便 防病毒的效果也不理想 所以对企业而言 对付病毒的重要手段是部署网络防病毒系统 网络防病毒系统由防病毒主程序和客户端以及其他辅助应 用组成 它可以通过管理平台监测 分发部署防病毒客户端 这种功能意味着可以统一并实施全企业内的反病毒策略 并封 锁整个系统内病毒的所有入口点 因为计算机病毒是动态发展 的 到目前为止尚未发现 万能 防病毒系统 所以你能做到只 能是及时地更新病毒库 目前 国内和国外的防病毒厂商都有 能力提供企业级防病毒系统 要有效地对付计算机病毒 除了部署防病毒系统外 还要 配合其他手段维护系统安全 做好数据备份是关键 并且要及 时升级杀毒软件的病毒库 还要做好灾难恢复 防火墙 防火墙是目前最重要的信息安全产品 它可以提供实质上 的网络安全 它承担着对外防御来自互联网的各种攻击 对内 辅助企业安全策略实施的重任 是企业保护信息安全的第一道 屏障 在信息化安全中应给予高度重视 防火墙从结构上分为软件防火墙和硬件防火墙 硬件防火 墙基于专门设计的硬件和系统 自身安全有保证 效率高 稳 定性好 但是功能单一 升级困难 软件防火墙基于现有的操 作系统如 windows 功能强大 但是自身安全性受限于操作系 统 大部分软件防火墙基于 windows 平台 也部分基于 linux 平台 基于 linux 平台的防火墙成本低 但是维护使用要相对困 难一些 通过配置安全策略 防火墙主要承担以下作用 禁止外部 网络对企业内部网络的访问 保护企业网络安全 满足内部员 工访问互联网的需求 对员工访问互联网进行审计和限制 现在的防火墙在功能上不断加强 如可以实现流量控制 病毒检测 vpn 功能等 但是防火墙的主要功能仍然是通过包 过滤来实现访问控制 防火墙的使用通常并不能避免来自内部的攻击 而且由于 数据包都要通过防火墙的过滤 增加了网延迟 降低了网络性 能 要想充分发挥防火墙的作用 还要与其他安全产品配合使 用 入侵检测 如果对系统的安全性要求较高 如为了保护电子商务网站 和企业互联网接口等 有必要采用入侵检测产品 对重点主机 或设备加强安全防护 大部分入侵检测系统主要采用基于包特征的检测技术来实 现 它们的基本原理是 对网络上的数据包进行复制 与内部 的攻击特征数据库进行匹配比较 如果相符即产生报警或响应 检测到入侵事件后 产生报警 并把报警事件计入日志 日后 可以通过日志分析确定网络的安全状态 发现系统漏洞等 如 果它与防火墙等其他安全产品配合使用 可以在入侵发生时 使防火墙联动 暂时阻断非法连接 保护网络不受侵害 在部署此类产品时要注意进行性能优化 尽量避免屏蔽没 有价值的检测规则 认证加密 应用系统的安全同样是不可缺少的 在企业内部 可以通 过部署认证加密系统保障办公自动化流程 控制敏感信息的访 问 特别是对电子商务 如何确认交易各方的身份 确保交易 信息的保密性 完整性和不可否认性是交易正常进行的基本保 证 认证加密是保证应用安全的有效手段 它主要是通过数字 证书来实现的 数字证书是一个经证书授权中心数字签名并包 含客户的公钥等与客户身份相关的信息数字证书 是网络通讯 中标志通讯各方身份信息的数据 它提供了一种公开承认的在 互联网上验证身份的方式 一般由权威机构 ca certificate authority 中心发行 数字证书可以存储在 ic 卡 硬盘或磁盘等介质中 在基于 数字证书的通过过程中 数字证书是合法身份的凭证 是建立 保密通讯的基础 操作系统安全使用 在信息化网络中 操作系统的安全使用是保证网络安全的 重要环节 试想如果你打算与同事共享一个文件夹 可是你又 没有加密码 共享的文件就会变成公开的文件 操作系统安全使用主要包括以下几方面内容 用户密码管 理 系统漏洞检测 信息加密等 用户密码管理无论是对个人还是企业都是很重要的 用户 密码管理有许多的原则要遵守 最重要的就是不要使用空密码 如当你使用 windows nt 2000 时 如果不幸你使用空密码 局 域网中的任何人都可以随意访问你的计算机资源 如果你是系 统管理员 制定严谨的用户密码策略是首要任务之一 漏洞检测对关键服务器的操作系统是极为重要的 特别是 对电子商务网站 任何操作系统都不可避免地存在安全漏洞 操作系统的漏洞总是不断地被发现并公布在互联网上 争取在 黑客没有攻击你的主机之前及时发现并修补漏洞是极为关键的 另外一种类型的漏洞并不是系统固有的 而是由于系统安装配 置缺陷造成的 同样应引起足够重视 对服务器而言 关闭不 需要的服务或端口也是必要的 即使网络很安全了 需要保密的信息在存储介质上的加密 仍然是必要的 因为任何网络不能保证百分之百的安全 使用 windowsnt 2000 等操作系统时 尽量使用 ntfs 分区 对重要 信息起用加密保护功能 这样就是信息意外泄露 也无法破解 操作系统的易用性和安全总是难以兼得 安装操作系统时 尽量不要使用默认值 在微软尚未做出策略性调整之前 根据 微软现在的理念 系统的易用性仍然是首先考虑的 所以默认 安装会自动安全一些你并不熟悉且根本无用的服务和应用 并 打开了许多特殊端口 这些服务 应用和端口很可能成为别人 入侵你的跳板 采用 vpn 虚拟专用网 vpn 是当前实现远程办公和电子商务合作伙伴间通讯的重 要方法 它可以有效地降低广域网通讯费用 并实现从任何位 置安全地访问企业内部网络 它也可以作为企业内部重要资源 访问控制的一种手段 vpn 通过 internet 或其他公用 ip 网络实现 可以满足远程 通讯安全的基本需求 它将通讯信息进行加密和认证传输 从 而保证了信息传输的保密性 数据完整性和信息源的可靠性 实现安全的远程端到端连接 vpn 的实现主要基于以下技术 ipsec ietf internet 工程师任务组 制定的 ip 安全标准 通过认证机构发放数字证书和进行第三方认证 使用共享密钥认证用于小规模的 vpn 网络 vpn 一般采用专用的设备实现 在选用 vpn 产品时应主要 考虑几点 可管理性 可扩展性 可靠性 兼容性和价格 建立安全保障体系 安全保障体系主要是指 对信息化安全管理的整套体制 包括管理组织 制度 措施等 通过安全管理 保证物理安全 网络安全和信息安全措施的实现 建立安全管理组织 建立安全管理组织是安全保障体系的关键 对企业而言 应成立以主管领导 网络管理员 安全操作员 安全专家等人 员组成的多级安全管理体系 主管领导负责安全体系的建设和 实施以及部门间协调工作 网