梁丹池 馬長峰

（廣西廣播電視技術(shù)中心）

一、引言

廣西整?。▍^(qū)）廣播電視無線發(fā)射臺站運行支撐管理系統(tǒng)（下文簡稱“遠程監(jiān)控系統(tǒng)”）是一套實時記錄、查詢、監(jiān)測臺站設(shè)備、環(huán)境信息和自動快速報警的廣播電視管理系統(tǒng)。為提高系統(tǒng)的安全防護能力，提升信息安全管理水平，需對該系統(tǒng)實施信息安全等級測評及整改項目。

根據(jù)我國推出的《信息安全等級保護管理辦法》規(guī)定，遠程監(jiān)控系統(tǒng)以三級標準開展了等級測評，并對測評結(jié)果和所存在的問題進行分析，實施整改。等級測評中的網(wǎng)絡(luò)安全測評能夠有針對性的對遠程監(jiān)控系統(tǒng)在網(wǎng)絡(luò)安全方面薄弱之處提出整改意見，使遠程監(jiān)控系統(tǒng)的安全保護策略更加合理與規(guī)范，達到有效保護，減少網(wǎng)絡(luò)安全風(fēng)險的目的。本文將結(jié)合對遠程監(jiān)控系統(tǒng)架構(gòu)的分析，對等級測評工作，特別是其中的網(wǎng)絡(luò)安全測評和網(wǎng)絡(luò)安全整改工作進行介紹。

圖1 遠程監(jiān)控系統(tǒng)網(wǎng)絡(luò)拓撲

二、遠程監(jiān)控系統(tǒng)網(wǎng)絡(luò)架構(gòu)

（一）網(wǎng)絡(luò)結(jié)構(gòu)分析

遠程監(jiān)控系統(tǒng)網(wǎng)絡(luò)拓撲結(jié)構(gòu)如圖1所示。

圖1為遠程監(jiān)控系統(tǒng)的網(wǎng)絡(luò)拓撲結(jié)構(gòu)圖，該系統(tǒng)進行了區(qū)域劃分與隔離，在系統(tǒng)邊界采用了隔離手段，使內(nèi)外網(wǎng)業(yè)務(wù)得到防護。

（二）安全設(shè)備和網(wǎng)絡(luò)安全分析

遠程監(jiān)控系統(tǒng)中部署了入侵檢測系統(tǒng)、主機接入控制網(wǎng)關(guān)、安全審計系統(tǒng)等安全設(shè)備，并且內(nèi)外網(wǎng)交界處設(shè)置了防火墻和網(wǎng)閘，具備了一定的網(wǎng)絡(luò)層面的安全保護手段。實施網(wǎng)絡(luò)安全測評時，將綜合考慮網(wǎng)絡(luò)拓撲結(jié)構(gòu)是否全面布防，關(guān)鍵設(shè)施是否進行嚴格隔離，網(wǎng)絡(luò)安全設(shè)備的訪問控制策略、安全策略的配置是否科學(xué)、規(guī)范。

圖2 安全控制測評內(nèi)容

三、信息安全等級測評

信息安全等級測評是通過聘請有資質(zhì)的、獨立的第三方測評機構(gòu)，使用檢查、測試、訪談等手段對被測信息系統(tǒng)的安全技術(shù)、安全管理等各個層面的安全控制項進行驗證，并分別依據(jù)單項測評結(jié)果判定和系統(tǒng)整體測評分析等，分析信息系統(tǒng)的安全保護能力與國家等級保護要求之間的安全等級差距，以明確信息系統(tǒng)所存在的安全隱患，為安全建設(shè)和整改工作提供建議和決策依據(jù)，使信息系統(tǒng)具備相應(yīng)安全保護等級的基本防護能力。

等級測評包括以下兩方面內(nèi)容：

（一）安全控制測評

安全控制測評是等級測評的基礎(chǔ)，主要測評信息安全等級保護要求的基本安全控制在信息系統(tǒng)中的實施配置情況。安全控制測評分為安全技術(shù)測評和安全管理測評兩大類。安全控制測評內(nèi)容如圖2所示。

（二）系統(tǒng)整體測評

根據(jù)《信息安全等級保護管理辦法》中的要求，對存在的問題進行系統(tǒng)整體測評分析，包括從安全控制點間、層面間、區(qū)域間和系統(tǒng)結(jié)構(gòu)等方面進行測評。

四、等級測評中的網(wǎng)絡(luò)安全測評

（一）網(wǎng)絡(luò)安全測評

網(wǎng)絡(luò)安全測評作為等級測評的重要部分，主要是從網(wǎng)絡(luò)安全方面對被測信息系統(tǒng)進行安全控制測評，找出網(wǎng)絡(luò)安全隱患，分析可能存在的網(wǎng)絡(luò)信息風(fēng)險，確定被測信息系統(tǒng)的網(wǎng)絡(luò)安全防護性能。網(wǎng)絡(luò)安全測評的對象是網(wǎng)絡(luò)全局、關(guān)鍵網(wǎng)絡(luò)設(shè)備和安全設(shè)備，通過訪談、檢查和測試的方式，測評被測信息系統(tǒng)的網(wǎng)絡(luò)安全保障情況。網(wǎng)絡(luò)安全測評方法和內(nèi)容如圖3所示。

圖3 網(wǎng)絡(luò)安全測評方法和內(nèi)容

圖4 整改后的遠程監(jiān)控系統(tǒng)拓撲圖

（二）網(wǎng)絡(luò)安全測評結(jié)果及問題分析

內(nèi)部初次預(yù)測評顯示，該系統(tǒng)在網(wǎng)絡(luò)安全方面，主要網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力具備冗余空間，滿足業(yè)務(wù)高峰期需要；根據(jù)工作職能、重要性和所涉及信息的重要程度等劃分不同的安全域。針對被測系統(tǒng)的安全防護等措施已基本落實，配置有入侵檢測系統(tǒng)、防火墻、網(wǎng)閘等安全防護設(shè)備，可對進出網(wǎng)絡(luò)邊界的數(shù)據(jù)進行安全防護。但仍存在以下主要問題：

1.系統(tǒng)各區(qū)域采用OSPF路由協(xié)議，沒有OSPF路由認證，存在被路由攻擊的風(fēng)險且網(wǎng)段之間未采取可靠的技術(shù)隔離手段。

2未單獨為系統(tǒng)服務(wù)器劃分網(wǎng)段，不利于網(wǎng)絡(luò)安全訪問控制策略的實施，受到攻擊后容易造成風(fēng)險擴散。

3.系統(tǒng)內(nèi)外網(wǎng)邊界都沒有部署惡意代碼防范設(shè)備，不能在網(wǎng)絡(luò)邊界對惡意代碼進行檢測和清除。

4.訪問控制和入侵防御等安全策略還有待完善，存在一定的被入侵和破壞的風(fēng)險。

5.網(wǎng)絡(luò)邊界處缺少諸如防火墻等訪問控制設(shè)備，存在內(nèi)網(wǎng)用戶向外網(wǎng)外聯(lián)的風(fēng)險。

6.沒有對審計記錄數(shù)據(jù)進行統(tǒng)計、查詢、分析及生成審計報表的功能。

7.已配置的入侵檢測系統(tǒng)不能對攻擊行為進行阻斷。

8.未限制網(wǎng)絡(luò)最大流量數(shù)及網(wǎng)絡(luò)連接數(shù)、口令未定期更換、無多次登錄限制、接入路由器等設(shè)備通過不安全的明文傳輸Telnet進行遠程管理、內(nèi)部用戶旁路邊界訪問控制措施私自連接外部網(wǎng)絡(luò)等常見網(wǎng)絡(luò)安全問題。

五、遠程監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全整改

針對初次預(yù)測評編制報告提出的問題及建議，遠程監(jiān)控系統(tǒng)進行了安全建設(shè)和整改工作，其中網(wǎng)絡(luò)安全層面的整改包括以下主要內(nèi)容：

1.嚴格設(shè)置OSPF路由協(xié)議認證。

2.根據(jù)涉及信息的重要程度為業(yè)務(wù)系統(tǒng)劃分不同子網(wǎng)或網(wǎng)段進行控制。

3.根據(jù)安全域劃分結(jié)果設(shè)置邊界保護措施。

4.調(diào)整現(xiàn)有防火墻部署和對新劃分的安全域邊界部署防火墻并嚴格根據(jù)業(yè)務(wù)應(yīng)用情況設(shè)置訪問控制策略。

5.部署終端管理產(chǎn)品和非法內(nèi)聯(lián)監(jiān)控系統(tǒng)，控制撥號外聯(lián)行為。

6.增加日志審計設(shè)備。

7.部署關(guān)鍵網(wǎng)絡(luò)節(jié)點，包括入侵檢測/防御系統(tǒng)、網(wǎng)關(guān)防病毒系統(tǒng)等。

8.對所有網(wǎng)絡(luò)設(shè)備及安全設(shè)備進行標識，并對管理訪問啟用用戶身份認證，同時根據(jù)要求嚴格配置身份認證策略，設(shè)置好常見的網(wǎng)絡(luò)安全配置。

整改后的遠程監(jiān)控系統(tǒng)拓撲結(jié)構(gòu)如圖4所示。

六、總結(jié)

通過等級測評，各運維單位可以全面掌握本單位系統(tǒng)的架構(gòu)、安全設(shè)備部署情況以及存在的不足，同時等級測評將會有針對性的對各系統(tǒng)的網(wǎng)絡(luò)架構(gòu)、系統(tǒng)區(qū)域劃分和安全設(shè)備的配置等建設(shè)進行檢測和提供安全整改意見，達到提升系統(tǒng)安全防護能力的目的。