羅安滿，蔡 錚

(中核核電運(yùn)行管理有限公司，浙江 海鹽 314300)

推動(dòng)數(shù)字化轉(zhuǎn)型、推進(jìn)兩化融合、落實(shí)秦山核電網(wǎng)絡(luò)安全和信息化戰(zhàn)略及規(guī)劃工作是新時(shí)期企業(yè)生存和發(fā)展的必然選擇。習(xí)近平總書記強(qiáng)調(diào)，“沒(méi)有網(wǎng)絡(luò)安全就沒(méi)有國(guó)家安全，沒(méi)有信息化就沒(méi)有現(xiàn)代化”，近幾年以來(lái)，中國(guó)核電以習(xí)近平總書記網(wǎng)絡(luò)強(qiáng)國(guó)戰(zhàn)略思想為指引，嚴(yán)格按照能源局、公安部等國(guó)家部委以及集團(tuán)公司相關(guān)要求做好網(wǎng)絡(luò)安全工作。早在2019年，美國(guó)商務(wù)部工業(yè)和安全局把華為公司加入實(shí)體清單，高通、英偉達(dá)、因特爾等公司也陸續(xù)終止與華為的一些商業(yè)往來(lái)業(yè)務(wù)，從芯片到系統(tǒng)到架構(gòu)再到技術(shù)標(biāo)準(zhǔn)，美國(guó)對(duì)華為實(shí)行由淺入深的圍追堵截策略，中美的信息產(chǎn)業(yè)豎起了一道高高的柏林墻，面對(duì)美國(guó)對(duì)中國(guó)發(fā)動(dòng)科技戰(zhàn)的新局勢(shì)，國(guó)產(chǎn)化信息技術(shù)應(yīng)用創(chuàng)新十分必要，創(chuàng)新發(fā)展國(guó)產(chǎn)化軟硬件信息技術(shù)，提升網(wǎng)絡(luò)與信息安全的技術(shù)防護(hù)能力，已經(jīng)成為了核電站數(shù)字化轉(zhuǎn)型的關(guān)鍵。網(wǎng)絡(luò)安全等級(jí)保護(hù)2.0體系確定了網(wǎng)絡(luò)安全保護(hù)的范圍，重點(diǎn)強(qiáng)化計(jì)算機(jī)技術(shù)使用階段的安全性，秦山核電在網(wǎng)絡(luò)信息系統(tǒng)建設(shè)過(guò)程中逐步引入新型技術(shù)，大數(shù)據(jù)、物聯(lián)網(wǎng)、云計(jì)算等新一代信息技術(shù)逐步興起，移動(dòng)互聯(lián)網(wǎng)技術(shù)也運(yùn)用在一些新的信息系統(tǒng)建設(shè)中，并且呈現(xiàn)越來(lái)越廣泛的推廣與應(yīng)用的趨勢(shì)，伴隨新技術(shù)而來(lái)的是越來(lái)越多新型終端接入內(nèi)網(wǎng)的需求，給終端安全監(jiān)督管理工作帶來(lái)了非常大的挑戰(zhàn)，亟需建立貫穿終端資產(chǎn)全生命周期的閉環(huán)智能管控體系，對(duì)企業(yè)內(nèi)網(wǎng)終端進(jìn)行一體化安全管控，形成一套行之有效的終端安全監(jiān)督管理辦法，及時(shí)發(fā)現(xiàn)并主動(dòng)防御各類潛在的或正在發(fā)生的終端安全問(wèn)題，以滿足在登保2.0時(shí)代的終端安全可信計(jì)算要求。

1 秦山核電內(nèi)網(wǎng)終端存在的安全問(wèn)題與分析

秦山核電從2014年開始一體化改革，內(nèi)網(wǎng)辦公終端安全的管理向統(tǒng)一管理過(guò)渡，由于建設(shè)時(shí)間和業(yè)務(wù)管理模式不同，合并前各單位的網(wǎng)絡(luò)架構(gòu)存在很大差異，開始統(tǒng)一管理之后，內(nèi)網(wǎng)終端的一些安全問(wèn)題也逐漸顯現(xiàn)出來(lái)，主要體現(xiàn)在以下方面：1)接入內(nèi)網(wǎng)的終端設(shè)備臺(tái)賬不清晰；2)終端操作系統(tǒng)補(bǔ)丁分發(fā)與修復(fù)遇到技術(shù)難題；3)未授權(quán)的終端設(shè)備接入內(nèi)網(wǎng)的時(shí)候遇到管理問(wèn)題；4)員工在內(nèi)網(wǎng)終端上使用U盤帶來(lái)安全風(fēng)險(xiǎn)；5)內(nèi)網(wǎng)終端設(shè)備非法外聯(lián)的問(wèn)題；6)內(nèi)網(wǎng)終端頻繁感染勒索病毒的問(wèn)題;7)內(nèi)網(wǎng)終端設(shè)備安裝非標(biāo)準(zhǔn)軟件造成的惡意網(wǎng)址訪問(wèn)；8)部分終端不能準(zhǔn)確定位所在的位置；9)日常監(jiān)督和管理技術(shù)手段不能覆蓋到所有的內(nèi)網(wǎng)終端；10)各種物聯(lián)網(wǎng)終端和智能移動(dòng)終端接入帶來(lái)的合規(guī)性管理問(wèn)題。存在的問(wèn)題與原因歸納如圖1所示。

圖1 存在的問(wèn)題與原因分析Fig.1 Problem and cause analysis

分析問(wèn)題產(chǎn)生的根本原因，一方面存在管理執(zhí)行力不夠的因素，另一方面也歸咎于現(xiàn)有的技術(shù)措施不足以滿足管理上的信息化水平。以接入內(nèi)網(wǎng)的終端設(shè)備臺(tái)賬不清晰來(lái)說(shuō)，秦山核電改革前，三個(gè)電廠各自負(fù)責(zé)終端發(fā)放，終端臺(tái)賬記錄的字段各不一樣，臺(tái)賬信息完整程度也標(biāo)準(zhǔn)不一，合并之后難免存在實(shí)物與臺(tái)賬不一致的情況，這樣就導(dǎo)致了通過(guò)臺(tái)賬來(lái)跟蹤內(nèi)網(wǎng)終端的方法在實(shí)際工作中行不通；雖然內(nèi)網(wǎng)部署了準(zhǔn)入控制系統(tǒng)，終端需要在準(zhǔn)入控制系統(tǒng)中注冊(cè)后才允許入網(wǎng)，但是注冊(cè)的信息比較少，無(wú)法滿足精細(xì)化管理的要求。沒(méi)有完整的內(nèi)網(wǎng)終端臺(tái)賬，在分發(fā)操作系統(tǒng)補(bǔ)丁的時(shí)候無(wú)法指定準(zhǔn)確的策略，導(dǎo)致很多漏洞不能按時(shí)修復(fù)。沒(méi)有完整的內(nèi)網(wǎng)終端臺(tái)賬，當(dāng)有未授權(quán)的終端設(shè)備接入內(nèi)網(wǎng)時(shí)，終端安全監(jiān)督管理人員無(wú)法及時(shí)進(jìn)行分辨和阻止，這樣會(huì)帶來(lái)一些安全風(fēng)險(xiǎn)，比如在一些重要時(shí)期網(wǎng)絡(luò)安全保障期間，社會(huì)工程攻擊人員潛入廠區(qū)把攻擊電腦接入內(nèi)網(wǎng)開展近源滲透測(cè)試活動(dòng)，如果不及時(shí)發(fā)現(xiàn)攻擊源，極大的增加了網(wǎng)絡(luò)被攻擊的危險(xiǎn)程度。秦山核電廠區(qū)面積大，網(wǎng)絡(luò)四通八達(dá)，終端設(shè)備覆蓋面寬廣且終端類型比較復(fù)雜，員工在終端安全意識(shí)方面的認(rèn)識(shí)還有待加強(qiáng)，與終端相關(guān)的業(yè)務(wù)辦理流程不能較好的支撐用戶的需求，諸多原因疊加在一起，使得內(nèi)網(wǎng)終端安全監(jiān)督管理成了一項(xiàng)比較難的工作。

2 秦山核電終端安全監(jiān)督管理工作主要做法

終端安全監(jiān)督管理作為內(nèi)網(wǎng)網(wǎng)絡(luò)安全監(jiān)督管理工作的重要組成部分，秦山核電圍繞內(nèi)網(wǎng)終端安全治理工作方面進(jìn)行了大量的改進(jìn)，通過(guò)開展管理制度升版、標(biāo)準(zhǔn)化業(yè)務(wù)流程以及終端安全監(jiān)督與管理常態(tài)化等一系列行動(dòng)，以不影響用戶使用終端辦公的正常需求同時(shí)實(shí)現(xiàn)有效避免終端發(fā)生網(wǎng)絡(luò)安全問(wèn)題為目標(biāo)，取得了比較好的效果。

2.1 升版秦山核電內(nèi)網(wǎng)終端使用安全相關(guān)的管理程序

管理程序以及工作細(xì)則有助于規(guī)范相應(yīng)工作程序和提升工作效率，秦山核電有專門的管理程序來(lái)規(guī)范員工合理、安全使用秦山核電的信息資產(chǎn)，避免和預(yù)防網(wǎng)絡(luò)安全違規(guī)行為的發(fā)生。對(duì)相關(guān)管理程序的內(nèi)容進(jìn)行升版，范圍包括信息交換與移動(dòng)存儲(chǔ)介質(zhì)使用、系統(tǒng)賬號(hào)安全要求、終端使用安全要求、數(shù)據(jù)和文件安全要求、終端報(bào)廢安全要求以及網(wǎng)絡(luò)安全事件管理等，能夠覆蓋終端使用的全生命周期過(guò)程。員工在日常使用終端的工程中，習(xí)慣性的會(huì)出現(xiàn)不符合管理程序要求的操作行為，為了預(yù)防終端相關(guān)習(xí)慣性違章行為，提煉了12條網(wǎng)絡(luò)安全違章行為以及制定網(wǎng)絡(luò)安全違章行為處罰辦法，違章處罰辦法納入到安全質(zhì)量環(huán)?？己伺c問(wèn)責(zé)管理，形成完整的制度管理文件，依據(jù)管理程序，終端安全監(jiān)督管理過(guò)程形成完整的閉環(huán)管理。

2.2 標(biāo)準(zhǔn)化終端相關(guān)網(wǎng)絡(luò)安全業(yè)務(wù)流程

根據(jù)秦山核電的工作特點(diǎn)，全體員工在使用辦公終端過(guò)程中，主要涉及的業(yè)務(wù)流程包括終端設(shè)備申請(qǐng)、終端入網(wǎng)申請(qǐng)、移動(dòng)存儲(chǔ)介質(zhì)使用申請(qǐng)、病毒監(jiān)測(cè)申請(qǐng)、終端安全策略調(diào)整申請(qǐng)、特殊軟件安裝申請(qǐng)、終端問(wèn)題報(bào)修以及終端報(bào)廢申請(qǐng)流程，在2020年積極踐行“五個(gè)一助推新速度”理念執(zhí)行力提升專項(xiàng)工作中，完成了各業(yè)務(wù)流程標(biāo)準(zhǔn)化梳理，整合在同一個(gè)電子化流程平臺(tái)，簡(jiǎn)化業(yè)務(wù)流程的審批過(guò)程。電子流程能夠覆蓋用戶的各種終端相關(guān)業(yè)務(wù)需求，保障用戶在使用終端過(guò)程中不會(huì)遇到困難，終端授權(quán)接入、移動(dòng)存儲(chǔ)介質(zhì)使用以及軟件安裝等一些關(guān)鍵的監(jiān)督點(diǎn)能夠通過(guò)標(biāo)準(zhǔn)流程進(jìn)行控制，通過(guò)合規(guī)性流程管控手段將潛在的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)點(diǎn)進(jìn)行化解，大大增加了用戶滿意度和監(jiān)督管理工作配合程度。

2.3 建立責(zé)任人制度和入網(wǎng)許可證制度

借鑒電信行業(yè)手機(jī)入網(wǎng)許可證辦法和安徽省規(guī)范化管理電工進(jìn)網(wǎng)作業(yè)實(shí)行電力許可證管理的經(jīng)驗(yàn)，秦山核電對(duì)需要接入內(nèi)網(wǎng)的終端創(chuàng)新性建立了入網(wǎng)許可證制度，申請(qǐng)接入內(nèi)網(wǎng)的終端設(shè)備，經(jīng)過(guò)核查符合入網(wǎng)條件的，按照準(zhǔn)入流程，完成終端設(shè)備實(shí)名登記，頒發(fā)一張入網(wǎng)許可證，粘貼在終端設(shè)備機(jī)身明顯位置。入網(wǎng)許可證賦予了特殊管理含義，并且針對(duì)于內(nèi)網(wǎng)終端和外網(wǎng)終端進(jìn)行了區(qū)分，在日常進(jìn)行終端現(xiàn)場(chǎng)核查時(shí)，根據(jù)入網(wǎng)許可證即可初步判定該終端是否為合規(guī)接入內(nèi)網(wǎng)網(wǎng)絡(luò)；入網(wǎng)許可證同時(shí)具備終端安全提醒的功能，通過(guò)文字方式提醒終端使用需要注意的事項(xiàng)，發(fā)揮終端安全提醒的功能。參考核電站設(shè)備管理工作經(jīng)驗(yàn)，在終端安全監(jiān)督管理中強(qiáng)化了責(zé)任人的概念，員工申請(qǐng)辦公終端后，在使用過(guò)程中出現(xiàn)網(wǎng)絡(luò)安全違章行為或網(wǎng)絡(luò)安全事件，需要承擔(dān)相應(yīng)的責(zé)任，負(fù)責(zé)確保終端是按照管理程序要求規(guī)范使用。

2.4 部署終端安全管理軟件和防病毒軟件

終端感染病毒和信息泄露給內(nèi)網(wǎng)網(wǎng)絡(luò)安全帶來(lái)了嚴(yán)重的危害，在內(nèi)網(wǎng)終端部署終端安全管理軟件，統(tǒng)一按照終端安全基線下發(fā)終端策略進(jìn)行終端安全加固，在線收集終端的軟件及硬件信息，實(shí)現(xiàn)終端在接入內(nèi)網(wǎng)時(shí)的安全準(zhǔn)入控制，監(jiān)控和中斷非法外聯(lián)網(wǎng)絡(luò)行為，對(duì)移動(dòng)存儲(chǔ)介質(zhì)使用進(jìn)行監(jiān)督管理，防止數(shù)據(jù)泄露，記錄和審計(jì)終端上的網(wǎng)絡(luò)行為以及遠(yuǎn)程控制桌面，通過(guò)技術(shù)手段實(shí)現(xiàn)對(duì)終端的遠(yuǎn)程控制管理的目的；內(nèi)網(wǎng)Windows操作系統(tǒng)終端需要安裝防病毒軟件，這是一項(xiàng)強(qiáng)制策略，定期自動(dòng)更新病毒庫(kù)和防病毒軟件，確保病毒庫(kù)與殺毒組件都是最新版本，及時(shí)對(duì)終端進(jìn)行病毒查殺與漏洞的修復(fù)，提供安全保護(hù)及防御功能，全面為用戶提供網(wǎng)絡(luò)安全保障，構(gòu)建立體防護(hù)網(wǎng)，在內(nèi)網(wǎng)打造安全的計(jì)算環(huán)境。

2.5 開發(fā)信息化網(wǎng)絡(luò)安全監(jiān)督管理平臺(tái)

信息化是推動(dòng)安全監(jiān)督管理精細(xì)化、規(guī)范化、標(biāo)準(zhǔn)化的技術(shù)保障，信息化管理方式能夠很大程度上提高網(wǎng)絡(luò)安全監(jiān)督管理的工作效率。秦山核電結(jié)合日常網(wǎng)絡(luò)安全監(jiān)督管理工作需求與事件處置程序，開發(fā)了一套網(wǎng)絡(luò)安全監(jiān)督管理系統(tǒng)，如圖2所示，融合日常網(wǎng)絡(luò)安全監(jiān)督管理工作方法，設(shè)置基礎(chǔ)數(shù)據(jù)、數(shù)據(jù)填報(bào)、工作管理、指標(biāo)管理等模塊。將終端信息納入到基礎(chǔ)數(shù)據(jù)進(jìn)行管理，建立終端信息數(shù)據(jù)填報(bào)與采集規(guī)范，逐步的完善臺(tái)賬數(shù)據(jù)。使用數(shù)據(jù)填報(bào)模塊記錄終端監(jiān)督管理工作中的一些關(guān)鍵數(shù)據(jù)，通過(guò)指標(biāo)管理模塊形成可視化的指標(biāo)報(bào)表，實(shí)時(shí)了解當(dāng)前內(nèi)網(wǎng)終端的網(wǎng)絡(luò)安全指標(biāo)趨勢(shì)，及時(shí)研判并采取響應(yīng)措施，變被動(dòng)監(jiān)管為主動(dòng)監(jiān)管。

2.6 部署開展日常終端安全監(jiān)督計(jì)劃與員工網(wǎng)絡(luò)安全意識(shí)培訓(xùn)

在日常網(wǎng)絡(luò)安全監(jiān)督工作中，針對(duì)于終端安全分別按照每天、每月、每季度為頻度制定了相應(yīng)的安全監(jiān)督管理計(jì)劃。其中按天為頻度進(jìn)行的監(jiān)督項(xiàng)目包括系統(tǒng)漏洞、異常流量、病毒感染、移動(dòng)U盤、違規(guī)外聯(lián)以及信息泄露，如果發(fā)現(xiàn)異常情況，則通過(guò)開發(fā)網(wǎng)絡(luò)安全監(jiān)測(cè)預(yù)警處置單的形式啟動(dòng)處置流程，根據(jù)異常的嚴(yán)重和緊急程度制定行動(dòng)項(xiàng)，以最快的速度盡早進(jìn)入干預(yù)，減弱異常帶來(lái)的影響；按月為頻度開展的工作主要有移動(dòng)存儲(chǔ)介質(zhì)使用情況抽檢和終端現(xiàn)場(chǎng)核查，對(duì)秦山核電所有處室逐個(gè)進(jìn)行檢查，一方面通過(guò)這種形式的網(wǎng)絡(luò)安全監(jiān)督管理工作及時(shí)發(fā)現(xiàn)終端的異常問(wèn)題，另一方面也能起到提醒廣大員工的作用，讓員工知道秦山核電有終端安全檢查這樣的一件工作，日常要注意終端安全；而員工網(wǎng)絡(luò)安全意識(shí)培訓(xùn)則是按季度進(jìn)行，通過(guò)滾動(dòng)培訓(xùn)達(dá)到提供全體員工網(wǎng)絡(luò)安全意識(shí)水平的效果。

2.7 開發(fā)病毒檢測(cè)工作臺(tái)，常態(tài)化開展計(jì)算機(jī)病毒檢測(cè)

網(wǎng)絡(luò)木馬病毒樣本數(shù)量和破壞力都呈迅速上漲趨勢(shì)，隨著各種類型的移動(dòng)存儲(chǔ)介質(zhì)被廣泛使用，移動(dòng)存儲(chǔ)介質(zhì)逐漸成為了病毒傳播的主要渠道。通過(guò)移動(dòng)存儲(chǔ)介質(zhì)傳播病毒程序，造成信息泄露和經(jīng)濟(jì)損失的案例屢屢發(fā)生，造成的后果觸目驚心。尤其各種勒索病毒變種層出不窮，企業(yè)內(nèi)網(wǎng)終端安全防護(hù)形勢(shì)日益嚴(yán)重。秦山核電常年接入管理網(wǎng)的電腦在8000臺(tái)左右，因?yàn)闃I(yè)務(wù)需要使用移動(dòng)介質(zhì)的情況無(wú)法避免，因此，專門開發(fā)了用于移動(dòng)存儲(chǔ)介質(zhì)病毒檢測(cè)工作臺(tái)，為業(yè)務(wù)用戶提供移動(dòng)存儲(chǔ)介質(zhì)病毒檢測(cè)服務(wù)和病毒檢測(cè)技術(shù)支持，提前識(shí)別移動(dòng)存儲(chǔ)介質(zhì)中的病毒程序，將移動(dòng)存儲(chǔ)介質(zhì)潛在的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)降到足夠低，為業(yè)務(wù)用戶順利開展工作提高保駕護(hù)航，即節(jié)約了檢測(cè)成本，同時(shí)也提高了病毒檢測(cè)工作的效率。

3 實(shí)施效果

在秦山核電范圍開展企業(yè)內(nèi)網(wǎng)計(jì)算機(jī)及智能終端安全治理工作，秦山核電整體終端安全態(tài)勢(shì)有極大的好轉(zhuǎn)，采用管理措施與技術(shù)措施相結(jié)合的方式，總結(jié)出了一套適合于企業(yè)自身工作特點(diǎn)的終端安全監(jiān)督管理辦法，既能夠?qū)崿F(xiàn)用戶關(guān)于終端的使用需求，滿足相應(yīng)的工作場(chǎng)景，又能夠完成公司規(guī)定的網(wǎng)絡(luò)安全監(jiān)督管理目標(biāo)，員工終端安全意識(shí)普遍有所提高，員工愿意配合開展網(wǎng)絡(luò)安全監(jiān)督工作，網(wǎng)絡(luò)安全監(jiān)督工作的氛圍極大改善，秦山核電網(wǎng)絡(luò)安全指標(biāo)平穩(wěn)運(yùn)行，杜絕了終端感染勒索病毒等網(wǎng)絡(luò)安全事件，在制度、流程、指標(biāo)以及各種工具的配合下，目前秦山核電基本實(shí)現(xiàn)了有序的引導(dǎo)終端入網(wǎng)以及逐步形成了從采購(gòu)、配發(fā)、使用到退回等各個(gè)環(huán)節(jié)的終端安全全方位管控，維護(hù)秦山核電整體終端安全。