徐嘯宇

(國網(wǎng)重慶綜合能源服務(wù)有限公司，重慶 401121)

隨著國家信息化程度要求的快速提高，企業(yè)的內(nèi)部網(wǎng)絡(luò)與應(yīng)用系統(tǒng)也逐漸發(fā)展[1]。內(nèi)網(wǎng)信息的安全設(shè)計也越來受到關(guān)注，傳統(tǒng)意義上的網(wǎng)絡(luò)安全早已被人們所熟識，即采用防火墻進(jìn)行簡單的阻止[2]。從內(nèi)網(wǎng)安全的本質(zhì)來說，內(nèi)網(wǎng)安全就是阻止外部黑客的攻擊，以及對內(nèi)網(wǎng)系統(tǒng)的控制與監(jiān)控等，從而抵御已知類型的網(wǎng)絡(luò)攻擊探測行為，在客戶端的阻止過程中主要是采用防病毒軟件進(jìn)行識別，并將識別到的可疑對象與病毒庫進(jìn)行一一比對，如果存在相應(yīng)的病毒風(fēng)險并將其全部或者部分消除，如果消除不掉也可以采用隔離技術(shù)進(jìn)行物理隔離，從而進(jìn)一步阻止網(wǎng)絡(luò)之間的相互通信。

根據(jù)國家電網(wǎng)公司“SG186” 工程安全防護(hù)方案要求[3]，在防護(hù)方案中要求實現(xiàn)對服務(wù)器、桌面終端等進(jìn)行接入控制，并建議采取以下幾種方式：

1)采用網(wǎng)絡(luò)準(zhǔn)入控制手段進(jìn)行認(rèn)證后內(nèi)網(wǎng)方可被允許接入網(wǎng)絡(luò)；

2)應(yīng)當(dāng)采用IP與MAC地址綁定等手段以防止網(wǎng)絡(luò)地址欺騙；

3)采用終端準(zhǔn)入控制措施對主機(jī)的安全狀態(tài)進(jìn)行檢查，只有桌面終端的安全狀態(tài)(如是否安裝安全防病毒軟件，病毒特征碼是否更新，是否安裝主機(jī)防火墻)滿足要求，并完成身份認(rèn)證后方允許接入網(wǎng)絡(luò)(有線連接、無線連接、撥號或以及VPN接入)或訪問資源。

本文主要從內(nèi)網(wǎng)安全中的防護(hù)功能與控制處理措施為切入點，并結(jié)合重慶電力信息內(nèi)網(wǎng)安全管理的現(xiàn)狀進(jìn)行需求調(diào)研與挖掘工作，找出目前內(nèi)網(wǎng)安全措施的不足，并根據(jù)國內(nèi)現(xiàn)狀的研究情況進(jìn)行逐一分析，找出解決內(nèi)網(wǎng)安全管理的辦法，從而制訂重慶電力信息內(nèi)網(wǎng)安全接入管控系統(tǒng)的主要研究內(nèi)容。

1 系統(tǒng)的主要研究內(nèi)容

方案建設(shè)：主要制訂內(nèi)網(wǎng)安全管理的技術(shù)路線、解決方案，只有對解決方案進(jìn)行合理的規(guī)劃后，才能保障系統(tǒng)后期的功能模塊、硬件設(shè)備得到整體的集成與應(yīng)用。

系統(tǒng)架構(gòu)設(shè)計：對系統(tǒng)的網(wǎng)絡(luò)架構(gòu)進(jìn)行設(shè)計，對市公司、控投公司、下屬單位的網(wǎng)絡(luò)架構(gòu)進(jìn)行布局，以及完成各個設(shè)備對終端配置情況的分析與計算等，同時也應(yīng)完成對各個直屬單位的功能模塊進(jìn)行權(quán)限分配等。

行為管理模塊建設(shè)：建立日常的行為保護(hù)機(jī)制，實現(xiàn)對電力企業(yè)內(nèi)網(wǎng)系統(tǒng)的安全管理，防止因為行為上的操作而影響整個內(nèi)網(wǎng)系統(tǒng)的安全，在日常的行為管理上實行主動控制，及時發(fā)現(xiàn)外聯(lián)違規(guī)、用戶使用流量越限、占用較高的帶寬以及受到黑客木馬程序的攻擊等，并找出技術(shù)手段來解決日常行為上的缺陷，從而保護(hù)內(nèi)網(wǎng)的安全。

準(zhǔn)入控制管理模塊建設(shè): 實現(xiàn)對主機(jī)終端、企業(yè)客戶端信息安全的建設(shè)與管理，通過準(zhǔn)入控制的有效管理與檢查，保障內(nèi)網(wǎng)數(shù)據(jù)能夠安全傳遞，不被黑客攻擊,按日常應(yīng)用系統(tǒng)劃分可以完成WEB系統(tǒng)、郵件系統(tǒng)、域名解析系統(tǒng)、ISA Proxy等信息的接入控制，其按操作系統(tǒng)劃分可以對Windows及Linux系統(tǒng)進(jìn)行準(zhǔn)入與控制。

終端配置管理建設(shè): 實現(xiàn)終端信息的注冊登錄與信息查看，通過終端信息的查看能及時了解各個供電公司以及下屬部門的終端配置情況與當(dāng)前狀態(tài)，同時通過終端信息的查看能了解各個終端設(shè)備的當(dāng)前運行狀態(tài)，如可以查看設(shè)備的在線信息、終端設(shè)備的服務(wù)信息、終端設(shè)備的進(jìn)程信息、網(wǎng)絡(luò)連接信息以及客戶端通過終端設(shè)備下載與更新的補(bǔ)丁信息。

系統(tǒng)管理建設(shè)：實現(xiàn)系統(tǒng)內(nèi)的數(shù)據(jù)管理，能進(jìn)行自助的單位維護(hù)，完成用戶的注冊登記、權(quán)限分析，也能查看系統(tǒng)的各類相關(guān)日志信息。

2 系統(tǒng)的概要設(shè)計

2.1 面臨的問題和現(xiàn)狀

國網(wǎng)重慶市電力公司目前將網(wǎng)絡(luò)劃分為信息內(nèi)外網(wǎng)多個安全域，通過在網(wǎng)絡(luò)邊界部署隔離裝置、防火墻，來隔離內(nèi)外網(wǎng)。通過執(zhí)行訪問控制策略，將外部威脅隔離在外網(wǎng)之外，保護(hù)內(nèi)部網(wǎng)絡(luò)的安全。

隨著信息網(wǎng)絡(luò)技術(shù)的發(fā)展，網(wǎng)絡(luò)安全的勢態(tài)發(fā)現(xiàn)了變化，一個明顯的特征是，終端成為新的網(wǎng)絡(luò)邊界。

首先，隨著網(wǎng)絡(luò)接入技術(shù)的發(fā)展，終端接入網(wǎng)絡(luò)的方式已經(jīng)不再局限于局域網(wǎng)接口，包括雙網(wǎng)卡、Modem撥號、Wi-Fi、CDMA/GPRS上網(wǎng)卡、紅外、藍(lán)牙……這些接口已經(jīng)成為信息內(nèi)網(wǎng)的另一道邊界[4]，隨時可能出現(xiàn)非法外聯(lián)的情況。內(nèi)部PC通過這些接口上網(wǎng)，若不能對此進(jìn)行管理，就類似在防火墻的城堡下，存在很多沒有安全警衛(wèi)的后門、小道，內(nèi)部網(wǎng)絡(luò)的安全性無法保障。國網(wǎng)在信息安全監(jiān)控工作中對非法外聯(lián)也有嚴(yán)格的考核要求。

其次，傳統(tǒng)的企業(yè)網(wǎng)絡(luò)中，終端具有固定的辦公位置，內(nèi)部網(wǎng)絡(luò)相對是靜態(tài)的。然而隨著移動終端的普及，產(chǎn)生了移動辦公方式，內(nèi)部網(wǎng)絡(luò)上接入的終端變得動態(tài)化。一方面，員工的終端可能在多個位置動態(tài)接入內(nèi)部網(wǎng)絡(luò);另一方面，各種非公終端也可能接入內(nèi)網(wǎng)(包括員工個人PC，以及合作伙伴，客戶的PC)。隨著用戶PC的不斷接入，內(nèi)部網(wǎng)絡(luò)的邊界在不斷擴(kuò)充。內(nèi)部網(wǎng)絡(luò)的動態(tài)化，需要我們從另外一個視角來看邊界安全問題。在內(nèi)網(wǎng)邊界動態(tài)變化的過程中，必須在新加入的PC這一新的邊界上，進(jìn)行必要的安全接入管理，配置必要的安全防護(hù)，才能滿足網(wǎng)絡(luò)安全的需要。

2.2 用戶需求分析

通過對國網(wǎng)重慶市電力公司內(nèi)網(wǎng)IT系統(tǒng)現(xiàn)狀和安全問題的分析，歸結(jié)起來，筆者認(rèn)為，國網(wǎng)重慶市電力公司信息內(nèi)網(wǎng)目前迫切需要解決以下幾方面的安全問題：

1)計算機(jī)終端未經(jīng)安全認(rèn)證和授權(quán)即可隨意接入內(nèi)網(wǎng)；

2)個別用戶未安裝VRV客戶端或趨勢等殺毒軟件就直接訪問內(nèi)網(wǎng)；

3)用戶隨意安裝和運行各種軟件，隨意占用有限的帶寬資源；

4)內(nèi)部用戶非法外聯(lián)對本部KPI考核的影響。

綜上所述，在這種嚴(yán)峻形勢下，規(guī)劃和建設(shè)內(nèi)網(wǎng)終端安全管理體系，有效預(yù)防違規(guī)外聯(lián)，加強(qiáng)信息內(nèi)網(wǎng)安全接入管控，進(jìn)行嚴(yán)格訪問控制已刻不容緩[5]。

2.3 系統(tǒng)總體設(shè)計原則

為了解決上述問題，筆者結(jié)合國網(wǎng)重慶市電力公司控股公司信息內(nèi)網(wǎng)和應(yīng)用特點，本著保護(hù)投資、節(jié)約成本和目標(biāo)性能平衡的原則進(jìn)行合理規(guī)劃。對于國網(wǎng)重慶市電力公司21家信息內(nèi)網(wǎng)控股公司終端管理模式和架構(gòu)，系統(tǒng)遵循原則如下。

1)可靠性

國網(wǎng)重慶市電力公司21家控股公司信息內(nèi)網(wǎng)接近9 000個終端。終端安全管理系統(tǒng)與公司的每個用戶都直接相關(guān)，如果系統(tǒng)可靠性差，將產(chǎn)生非常負(fù)面的后果，因此系統(tǒng)的可靠性是最重要的。終端安全管理的客戶端不能因為本身故障影響用戶正常使用電腦，服務(wù)器也不能有任何單點故障影響客戶端的使用。

2)有效性

終端安全管理系統(tǒng)因為要在用戶電腦上安裝客戶端，容易遭到用戶抵制而停用客戶端軟件，甚至卸載客戶端軟件，進(jìn)而導(dǎo)致終端安全管理系統(tǒng)不能充分發(fā)揮作用，降低系統(tǒng)的有效性。終端安全管理應(yīng)該使用準(zhǔn)入控制技術(shù)，一旦發(fā)現(xiàn)沒有安裝運行終端安全管理系統(tǒng)客戶端的電腦，將強(qiáng)制用戶安裝運行。并使用強(qiáng)制手段，確保其他的安全策略可以被有效執(zhí)行。

3)選擇架構(gòu)，而不僅僅是工具

如果僅僅把網(wǎng)絡(luò)管理及終端管理當(dāng)成一個工具，就很難保證管理的有效性。如果管理工具不能充分發(fā)揮作用，只能成為另一個需要專人維護(hù)的軟件，不僅不能幫助IT管理員減輕工作量，反而增加工作負(fù)擔(dān)。只有用獨特的架構(gòu)才能保障管理的有效性。傳統(tǒng)的管理工具一般是CS架構(gòu)，這種架構(gòu)對客戶端的管理沒有強(qiáng)制性，需要用戶“自愿”配合才能進(jìn)行管理。如果用戶沒有安裝客戶端或停用客戶端，將成為管理的盲區(qū)。全新的基于可信任計算的CSC架構(gòu)成為目前最適合做終端管理的系統(tǒng)架構(gòu)。CSC架構(gòu)在傳統(tǒng)的CS架構(gòu)基礎(chǔ)上增加了Check Point(檢查點)組件，Check Point組件強(qiáng)制保證用戶電腦安裝客戶端，并且符合管理員制定的管理策略[6]。

4)其他規(guī)劃考慮

為了提高總體性能和降低總擁有成本(TCO)，還要兼顧以下目標(biāo)：降低資金和運營成本；減少管理投入；盡量降低對總體性能的影響。

2.4 系統(tǒng)架構(gòu)設(shè)計

信息內(nèi)網(wǎng)安全接入管控系統(tǒng)將采用分布式多級多服務(wù)器級聯(lián)管理體系架構(gòu)，可以支持無限級的中心服務(wù)器進(jìn)行級聯(lián)。當(dāng)然，單級服務(wù)器分為中心服務(wù)器和多個本地服務(wù)器，結(jié)合無限級的服務(wù)器級聯(lián)，對終端的管理規(guī)模可以無限擴(kuò)展。分布式多級服務(wù)器級聯(lián)管理架構(gòu)，實現(xiàn)集中管理和分級控制，使系統(tǒng)具有優(yōu)秀的容錯性、可伸縮性。

本項目實施范圍包括國網(wǎng)重慶市電力公司信息內(nèi)網(wǎng)。其中重慶電力信息內(nèi)網(wǎng)21家控股公司總共近9 000臺終端，分布廣且網(wǎng)點分散，為保障終端接入管控系統(tǒng)對所有終端的嚴(yán)密防護(hù)，也方便各級單位對終端的靈活管理，信息接入管控系統(tǒng)采用級屬聯(lián)架構(gòu)，市公司本部為一級管理中心，各直屬單位為二級管理中心。

其中市公司本部信通機(jī)房部署2臺策略服務(wù)器和1臺數(shù)據(jù)庫服務(wù)器，2臺策略服務(wù)器策略互通互備，且在2臺策略服務(wù)器及數(shù)據(jù)庫服務(wù)器之間開放必需的網(wǎng)絡(luò)通信端口，由數(shù)據(jù)庫服務(wù)器存儲各基層單位終端信息及告警數(shù)據(jù)。

為防止違規(guī)外聯(lián)事件發(fā)生，需要在VRV 服務(wù)器前部署USG防火墻或安全網(wǎng)關(guān)，并開啟和中心服務(wù)器聯(lián)動的功能。其中邊界出口防火墻作為策略網(wǎng)關(guān)將檢查訪問市公司的終端是否安裝客戶端，并且檢查其安全狀態(tài)(裝VRV軟件和趨勢殺毒軟件)是否滿足內(nèi)網(wǎng)要求，如果不滿足，則拒絕放行并提示終端修復(fù)該安全狀態(tài)。而服務(wù)器匯聚的安全網(wǎng)關(guān)可防止未安裝客戶端的情況發(fā)生，但已經(jīng)安裝了VRV客戶端的終端會因意外外聯(lián)而報警。安全接入網(wǎng)關(guān)可以利用原來各單位通往市公司的邊界防火墻。但是由于21家控股公司資產(chǎn)情況不盡相同，所以根據(jù)每個單位實際情況需要自行選擇(注：有的單位有服務(wù)器區(qū)和邊界都擁有安全網(wǎng)關(guān)，有的單位只在邊界處有安全網(wǎng)關(guān)，還有的無設(shè)備)。

方案1：在各控股單位的服務(wù)器出口處和邊界出口處分別部署1臺USG防火墻作為接入管控聯(lián)動策略網(wǎng)關(guān)，通過管理服務(wù)器下發(fā)策略后，服務(wù)器區(qū)和通往市公司邊界出口的策略網(wǎng)關(guān)會對所有訪問服務(wù)器區(qū)的終端電腦進(jìn)行安全狀態(tài)檢測。

方案2：只在各控股單位的邊界出口處部署一臺USG防火墻作為接入管控聯(lián)動策略網(wǎng)關(guān)，但是需要把原來位于服務(wù)器區(qū)的VRV服務(wù)器遷移到邊界出口服務(wù)器后面。當(dāng)通過管理服務(wù)器下發(fā)策略后，邊界出口的策略網(wǎng)關(guān)會對所有訪問市公司的終端電腦進(jìn)行安全狀態(tài)檢測。

方案3： 對于沒有安全網(wǎng)關(guān)的控股單位，將由市公司分發(fā)1臺設(shè)備，然后采用方案2的方式進(jìn)行部署。

2.5 系統(tǒng)開發(fā)環(huán)境設(shè)計

2.5.1 硬件環(huán)境

應(yīng)用服務(wù)器(HP DL580G5)：CPU為雙路四核 Intel(R) Xeon E7420 2.13 GHz ，內(nèi)存為16 GB，硬盤為4×300 GB。

數(shù)據(jù)庫服務(wù)器(HP DL580G5)：CPU為雙路四核 Intel(R) Xeon E7420 2.13 GHz ，內(nèi)存為16 GB，硬盤為8×300 GB。

流媒體服務(wù)器(HP DL580G5)：CPU為雙路四核 Intel(R) Xeon E7420 2.13 GHz ，內(nèi)存為32 GB，硬盤為8×300 GB。

2.5.2 軟件環(huán)境

服務(wù)器:操作系統(tǒng)Windows 2000 Server，內(nèi)網(wǎng)安全接入管控系統(tǒng)服務(wù)器軟件、Microsoft SQLServer2000數(shù)據(jù)庫服務(wù)器。

控制臺:操作系統(tǒng)Windows XP，內(nèi)網(wǎng)安全接入管控系統(tǒng)。

受控代理:操作系統(tǒng)Windows 2000 Professional或Windows XP Professional，內(nèi)網(wǎng)安全接入管控系統(tǒng)受控代理軟件系統(tǒng)。

Web服務(wù)器： Apache Tomcat 5.5.12。

運行環(huán)境：JDK1.5版本以上。

瀏覽器：IE6以上各版本。

2.5.3 網(wǎng)絡(luò)環(huán)境

單位內(nèi)網(wǎng)光纖系統(tǒng)作為系統(tǒng)運行的網(wǎng)絡(luò)環(huán)境，在整個電力廣域網(wǎng)范圍內(nèi)均可訪問。

2.6 系統(tǒng)功能模塊設(shè)計

系統(tǒng)功能模塊設(shè)計主要是根據(jù)系統(tǒng)需求分析中的用例分析、流程分析、功能分析等相結(jié)合的方式進(jìn)行全面的功能模塊設(shè)計。

2.7 系統(tǒng)建模設(shè)計

2.7.1 系統(tǒng)功能包圖設(shè)計

根據(jù)模塊化的設(shè)計思想，將重慶電力信息內(nèi)網(wǎng)安全接入管控系統(tǒng)分為多個子系統(tǒng)。系統(tǒng)功能包如圖1所示。

圖1 系統(tǒng)功能包圖

2.7.2 類圖設(shè)計

類圖是最常見的UML圖，它描述了系統(tǒng)的結(jié)構(gòu)化設(shè)計。其中包括類與類之間的關(guān)系以及每個類關(guān)聯(lián)的屬性和行為。本系統(tǒng)中一級模塊中的子模塊相對較多，因此涉及的類圖也多。

3 系統(tǒng)的詳細(xì)設(shè)計

3.1 行為管理設(shè)計

本模塊主要是建立日常的行為保護(hù)機(jī)制，完成對電力企業(yè)內(nèi)網(wǎng)系統(tǒng)的安全管理，防止因為行為上的操作而影響整個內(nèi)網(wǎng)系統(tǒng)的安全生命，采用一定的技術(shù)手段來解決日常行為上的缺陷，以免影響內(nèi)容的安全，其將采用以下功能來完成行業(yè)管理的控制如下。

1)模板管理設(shè)計

此模塊主要完成對模板的集中統(tǒng)一管理與維護(hù)，可以對主機(jī)訪問控制模板、外聯(lián)控制模板、流量控制模板、攻擊防護(hù)模板等進(jìn)行數(shù)據(jù)管理。在主機(jī)終端的管理過程中選擇此模塊，可引用該模板中的各個子模板的定義規(guī)則執(zhí)行相應(yīng)的內(nèi)網(wǎng)安全的各項控制與阻止功能。

2)主機(jī)訪問控制設(shè)計

主機(jī)訪問控制模塊是完成主機(jī)防火墻的管理，達(dá)到內(nèi)網(wǎng)訪問控制策略的統(tǒng)一管理目的[7]，一次性完成防火墻的管理創(chuàng)建后，下次就可以繼續(xù)使用。

3)外聯(lián)控制設(shè)計

外聯(lián)控制模塊主要是指內(nèi)網(wǎng)計算機(jī)非法連接到外部網(wǎng)絡(luò)或者使用非法未經(jīng)驗證的外部連接信息，通過系統(tǒng)的監(jiān)控，能及時阻止相應(yīng)的非法動作并給后端管理中心做出相應(yīng)的預(yù)警提醒，采用非法外聯(lián)多層防控技術(shù)，提供對非法外聯(lián)的全程監(jiān)視、阻斷、審計和告警全過程的非法外聯(lián)防控，能夠杜絕終端非法外聯(lián)的違規(guī)行為，保證終端始終在允許的網(wǎng)絡(luò)范圍內(nèi)訪問[8]。

4)流量控制設(shè)計

流量控制是現(xiàn)代化技術(shù)管理的需要，其首要工作是建設(shè)流量特征識別分析，能夠主動發(fā)現(xiàn)諸如DDoS攻擊、病毒和木馬等異常流量，較好地彌補(bǔ)其他網(wǎng)絡(luò)安全設(shè)備如防火墻、入侵防護(hù)系統(tǒng)(IPS)和統(tǒng)一威脅管理(UTM)等的不足，提升其主動發(fā)現(xiàn)安全威脅的能力，并能夠及時向其他網(wǎng)絡(luò)安全設(shè)備發(fā)出警告，從安全威脅源頭開始就進(jìn)行主動的防御。此外，具備流量識別能力的流量控制管理還能夠獲取并保存流量控制的網(wǎng)絡(luò)層信息，通過這些信息，網(wǎng)絡(luò)管理者能夠?qū)Π踩{進(jìn)行溯源定位[9]。

5)攻擊防護(hù)設(shè)計

攻擊防護(hù)主要是阻止主機(jī)終端發(fā)送的各種欺騙包和攻擊包以及未知的流量攻擊包，只有通過一系列的技術(shù)手段來阻止傳輸?shù)母鞒坦簦拍鼙ＷC內(nèi)網(wǎng)的安全性與可靠性。其主要有以下幾種攻擊方法。

防ARP欺騙：一種黑客攻擊手段，分為對路由器ARP表的欺騙和對內(nèi)網(wǎng)PC的網(wǎng)關(guān)欺騙，也用于將網(wǎng)絡(luò)層的IP地址解析為數(shù)據(jù)鏈路層的物理地址，其主要完成ARP請求超時拒答、網(wǎng)關(guān)MAC自動綁定、限制隱藏進(jìn)行網(wǎng)絡(luò)訪問、IP防冒限制，以及欺騙的阻止方法。

進(jìn)程限制：主要分為TCP進(jìn)程限制與UDP進(jìn)程限制兩種方式。TCP進(jìn)程限制主要是設(shè)定按照TCP的傳輸方式進(jìn)行相關(guān)的參數(shù)設(shè)置。UDP進(jìn)程限制主要是設(shè)定按數(shù)據(jù)傳輸方式進(jìn)行參數(shù)設(shè)置。

3.2 準(zhǔn)入控制管理設(shè)計

準(zhǔn)入控制管理模塊主要完成對主機(jī)終端、企業(yè)客戶端信息安全的建設(shè)與管理，只有通過準(zhǔn)入控制進(jìn)行有效管理與檢查后，才能保障內(nèi)網(wǎng)數(shù)據(jù)的安全傳遞，不被黑客所攻擊,按日常應(yīng)用系統(tǒng)劃分可以完成WEB系統(tǒng)、郵件系統(tǒng)、域名解析系統(tǒng)、ISA Proxy等信息的接入控制，其按操作系統(tǒng)劃分可以對Windows及Linux系統(tǒng)進(jìn)行準(zhǔn)入與控制。

內(nèi)網(wǎng)安全的應(yīng)用準(zhǔn)入控制，其操作過程是由企業(yè)客戶端終端計算機(jī)訪問應(yīng)用服務(wù)器上的各種服務(wù)，服務(wù)包括應(yīng)用系統(tǒng)的功能操作、企業(yè)級的數(shù)據(jù)庫服務(wù)以及第三方軟件功能操作。應(yīng)用服務(wù)器根據(jù)客戶終端的請求數(shù)據(jù)檢查是否能正常訪問客戶端、能否彈出修復(fù)、能否彈出安裝客戶端的界面。如果檢驗出安裝狀態(tài)合規(guī)，則允許系統(tǒng)的正常訪問；如果檢驗出安全狀態(tài)不合規(guī)，則彈出相應(yīng)的修改提示，指引各客戶終端完成軟件的修改操作；如果檢驗出沒有安裝客戶端，則給予客戶進(jìn)行快速安裝的信息提醒。

準(zhǔn)入控制管理一般分為應(yīng)用準(zhǔn)入、網(wǎng)絡(luò)準(zhǔn)入、客戶端準(zhǔn)入。應(yīng)用準(zhǔn)入主要是指應(yīng)用程序的訪問權(quán)限；網(wǎng)絡(luò)準(zhǔn)入主要是指能否連接到相應(yīng)的IP網(wǎng)絡(luò)計算機(jī)中，只有網(wǎng)絡(luò)準(zhǔn)入后，才能完成應(yīng)用準(zhǔn)入的操作；客戶端準(zhǔn)入主要是指是否提供相應(yīng)的客戶端程序。

2.3 配置終端管理設(shè)計

配置終端管理模塊主要完成主機(jī)終端的注冊登記與終端設(shè)備的信息查看，通過此模塊的建設(shè)能實時了解到各個終端設(shè)備的當(dāng)前狀態(tài)以及在運行中的各種情況。其詳細(xì)的功能模塊如圖2所示。

圖2 配置管理主要功能

1)終端設(shè)備管理

主要是完成終端設(shè)備的采購登記、入庫、出庫，以及對終端設(shè)備的全生命周期管理，通過此模塊能完成對終端設(shè)備的全過程跟蹤與記錄。

終端設(shè)備管理的操作流程過程主要由招標(biāo)前的準(zhǔn)備工作、設(shè)備采購、入庫登記、終端領(lǐng)用、全過程跟蹤等主要步驟構(gòu)成，其各個步驟的詳細(xì)功能如下所示。

招標(biāo)前的準(zhǔn)備工作：主要是招標(biāo)工作，如技術(shù)規(guī)范的編制、商務(wù)招標(biāo)文件編制、競爭性談判或者比選等大量的商務(wù)與招標(biāo)過程管理等。

設(shè)備采購：主要是完成主機(jī)終端的采購工作，在設(shè)備采購前及時了解各個單位上報的終端需求量，并做出詳細(xì)的供貨清單，以便于物資管理部門完成設(shè)備的采購工作。

入庫登記：主要是指設(shè)備采購并到貨后應(yīng)立即完成設(shè)備的入庫登記操作，為了方便設(shè)備的快速登記，可以通過同類型的設(shè)備進(jìn)行分批入庫，在入庫的過程中應(yīng)詳細(xì)記錄終端設(shè)備的供應(yīng)商、設(shè)備名稱、設(shè)備類型、規(guī)則、設(shè)備等級、出廠編號等相關(guān)信息，同時也應(yīng)記錄設(shè)備的入庫人員與入庫日期等相關(guān)信息。

終端領(lǐng)用：主要是指根據(jù)各個供電單位或者各部門上報的終端需求量進(jìn)行領(lǐng)用工作，在領(lǐng)用的過程中應(yīng)詳細(xì)記錄終端設(shè)備的領(lǐng)用單位、領(lǐng)用日期、領(lǐng)用人員等相關(guān)信息。

全過程跟蹤：主要是對終端設(shè)備的全生命周期管理，如終端設(shè)備的更換、終端設(shè)備的報廢、終端設(shè)備的維修等相關(guān)過程的記錄與修復(fù)信息。

2)查看在線信息

本模塊主要是查看終端設(shè)備上運行的應(yīng)用服務(wù)情況，可以詳細(xì)了解服務(wù)的名稱、安裝路徑，并顯示名稱等相關(guān)信息的獲取。

查看在線信息管理模塊的設(shè)計過程有以下幾個主要步驟，其詳細(xì)說明如下。

功能菜單進(jìn)入：主要指由系統(tǒng)的功能菜單進(jìn)入到本模塊，只有進(jìn)入本模塊后，才能完成后面的功能操作，本系統(tǒng)主要設(shè)計為-配置終端管理-查看在線信息。

設(shè)計搜索條件：在主要元素中進(jìn)行關(guān)鍵字的篩選，通過篩選能快速查看到所有終端的在線信息，本系統(tǒng)主要有IP地址、策略模塊、安裝狀態(tài)等3個主要關(guān)鍵字。

關(guān)鍵數(shù)據(jù)統(tǒng)計：主要對較為重要的數(shù)據(jù)完成統(tǒng)計的相關(guān)工作，通過數(shù)據(jù)的快速統(tǒng)計，能直觀了解到主要數(shù)據(jù)的條件、合格數(shù)，如模塊的關(guān)鍵數(shù)據(jù)總條目數(shù)量、符合安全狀態(tài)的條目數(shù)、不符合安全狀態(tài)的條目數(shù)。

列表顯示：主要是根據(jù)在線信息的重要元素進(jìn)行快速的篩選，由于重要元素較多，可以只顯示重要的元素信息，若要看到全部的元素信息可以通過查看詳情進(jìn)行全部的獲取。

操作按鈕設(shè)計：主要設(shè)計在線信息查看模塊的主要功能，如平常的新增、修改、刪除、審核、審批、移交、導(dǎo)出、統(tǒng)計等相關(guān)功能的設(shè)計操作。

4 結(jié)論

本文旨在建設(shè)一套內(nèi)網(wǎng)安全接入管控系統(tǒng)。在系統(tǒng)的建設(shè)初期主要從系統(tǒng)的建設(shè)背景以及國內(nèi)網(wǎng)的研究現(xiàn)狀進(jìn)行了大量的資料查閱與搜索。為了獲取用戶的需求，主要是根據(jù)電力企業(yè)用戶現(xiàn)在的內(nèi)網(wǎng)安全管理進(jìn)行一一的比對與了解，詳細(xì)地分析現(xiàn)有內(nèi)網(wǎng)安全管理的解決辦法與不足之處，通過系統(tǒng)的設(shè)計并提出系統(tǒng)的網(wǎng)絡(luò)拓?fù)浼軜?gòu)與終端主機(jī)的配置情況。在系統(tǒng)上線運行過程中應(yīng)及時跟蹤系統(tǒng)的缺陷漏洞，以便于及時修改，使系統(tǒng)真正發(fā)揮作用，進(jìn)而提高電力企業(yè)內(nèi)網(wǎng)數(shù)據(jù)安全。