戴 繪

（天津市賽達燃氣有限公司 天津 300385）

0 引 言

誰掌握了互聯(lián)網(wǎng)，誰就把握住了時代主動權。黨的十八大以來，以習近平同志為核心的黨中央重視互聯(lián)網(wǎng)、發(fā)展互聯(lián)網(wǎng)、治理互聯(lián)網(wǎng)，走出了一條中國特色治網(wǎng)之道，形成了網(wǎng)絡強國戰(zhàn)略思想，指引我國網(wǎng)信事業(yè)取得歷史性成就。在這一重大戰(zhàn)略思想的指導下，網(wǎng)絡安全成為“十四五”規(guī)劃中未來中國發(fā)展建設工作的重點之一。如今，網(wǎng)絡安全法制建設取得初步成就，《中華人民共和國數(shù)據(jù)安全法》《中華人民共和國個人信息保護法》《關鍵信息基礎設施安全保護條例》等重量級法律法規(guī)相繼發(fā)布，網(wǎng)絡建設規(guī)劃、安全防護、安全管理、風險評估等方面內(nèi)容在全社會得以重視。

近年來，伴隨著國際國內(nèi)新形勢的不斷變化，我國的網(wǎng)絡安全局勢不容樂觀，特別是疫情以來，安全漏洞、勒索病毒、數(shù)據(jù)泄露、APT 攻擊等網(wǎng)絡安全威脅日趨嚴峻［1］，國內(nèi)外針對基礎設施和重要信息系統(tǒng)的網(wǎng)絡入侵事件頻發(fā)，攻擊手段不斷升級，網(wǎng)絡威脅呈逐年上升趨勢，給民眾生活、經(jīng)濟生產(chǎn)、社會穩(wěn)定、國家安全帶來巨大風險。

1 燃氣企業(yè)信息化安全現(xiàn)狀

燃氣企業(yè)作為國家重要的能源單位之一，其各項基礎設施建設關乎到能源供給穩(wěn)定及用戶敏感信息的安全。由于燃氣行業(yè)準入門檻低，缺乏相應的信息化人才和建設，使得各企業(yè)信息化水平參差不齊，導致業(yè)務系統(tǒng)運行的網(wǎng)絡時刻遭受各種攻擊的威脅。不法分子利用網(wǎng)絡漏洞滲透到燃氣企業(yè)的業(yè)務系統(tǒng)中針對性地展開破壞活動，導致各種運行數(shù)據(jù)和用戶敏感數(shù)據(jù)泄露，進而影響正常生產(chǎn)運行。筆者所在的天津市賽達燃氣有限公司機房承載燃氣運行中的數(shù)據(jù)采集與監(jiān)視控制系統(tǒng)（SCADA）、氣量氣象預警指揮平臺、客戶服務系統(tǒng)、抄表系統(tǒng)、巡檢系統(tǒng)等系統(tǒng)和數(shù)據(jù)［2］，其中燃氣管網(wǎng)管線數(shù)據(jù)和用戶的用氣數(shù)據(jù)是公司的涉密數(shù)據(jù)，但在實際運行過程中用戶基本信息和用氣數(shù)據(jù)需要通過外網(wǎng)進行交互，因此形成了網(wǎng)絡攻擊重災區(qū)，該類服務器和系統(tǒng)近年來多次遭受勒索病毒入侵，影響了公司的正常業(yè)務運行。

2 網(wǎng)絡安全風險分析

2.1 公司內(nèi)部風險

結(jié)合燃氣企業(yè)的實際發(fā)展，燃氣信息化的技術和業(yè)務系統(tǒng)也在持續(xù)不斷的革新中，但由于有些燃氣公司網(wǎng)絡安全意識不強、行業(yè)信息安全標準不統(tǒng)一、燃氣業(yè)務工作人員職業(yè)素養(yǎng)不強、計算機和網(wǎng)絡安全意識水平不高等原因?qū)е掳踩┒串a(chǎn)生，風險得不到有效管理，繼而產(chǎn)生了更大、更多的隱患問題。

2.2 系統(tǒng)軟件風險

目前很多燃氣公司都有客戶服務系統(tǒng)、SCADA、地下管線系統(tǒng)等行業(yè)特色業(yè)務系統(tǒng)［3］，由于這類管理系統(tǒng)一般涉及區(qū)域較大、站點分布較多，需要搭建不同的網(wǎng)絡節(jié)點和子系統(tǒng)，這個過程必然導致系統(tǒng)網(wǎng)絡安全風險增加，形成安全漏洞，對企業(yè)的網(wǎng)絡和信息安全造成威脅。

2.3 系統(tǒng)邊界、節(jié)點風險

各燃氣企業(yè)信息化建設中或多或少會應用到網(wǎng)絡安全軟件，但無論哪種網(wǎng)絡安全保護軟件都難以實現(xiàn)全覆蓋、全檢測和安全漏洞修復，其保護和保證大都僅限于系統(tǒng)設置的特定部分，特定部分之外就會很容易遭受攻擊，尤其是站點節(jié)點位置，許多惡意代碼正是通過這個侵入整個系統(tǒng)。因此，強化系統(tǒng)邊界和節(jié)點的控制是提高安全防護實效的關鍵。

3 網(wǎng)絡安全加固方案設計

按照《中華人民共和國網(wǎng)絡安全法》和《信息安全等級保護管理辦法》等法律法規(guī)要求，在多年的研究和運行實踐基礎上，我們設計以安全組織體系、安全管理體系和安全技術體系為三大體系的網(wǎng)絡安全體系架構(gòu)，如圖1所示。

圖1 網(wǎng)絡安全體系架構(gòu)Fig.1 Network security architecture

3.1 網(wǎng)絡安全組織體系

包含網(wǎng)絡安全小組和人員素質(zhì)提升兩方面內(nèi)容，建立完善組織架構(gòu)、明確責任、提升網(wǎng)絡安全人員素質(zhì)和技能，重視人員在崗的安全，安全指標與人員績效結(jié)合。

3.2 網(wǎng)絡安全管理體系

包含安全制度流程和管理體系建設兩方面內(nèi)容，以安全策略為主線，落實安全制度和流程，強化記錄存檔管理，將網(wǎng)絡安全管理納入到質(zhì)量管理體系和職業(yè)健康安全體系中，實現(xiàn)過程動態(tài)、持續(xù)改進。包括風險識別、評估、工作計劃制定、項目管理、運行維護監(jiān)控、安全審計和改進計劃等，將業(yè)務平臺的安全建設與安全保障結(jié)合。

3.3 網(wǎng)絡安全技術體系

包含運維審計管理和安全檢測防護兩方面內(nèi)容，不斷地更新技術，包含準備、預防、檢測、保護、響應、監(jiān)控評價等，對網(wǎng)絡安全設備及技術保持持續(xù)的更新、協(xié)調(diào)并融合運用到實踐中。運維審計管理主要面對上級主管部門要求的周期主動進行安全檢查工作和內(nèi)網(wǎng)安全審計，對業(yè)務平臺系統(tǒng)配置、漏洞進行規(guī)范和預防性掃描，對業(yè)務系統(tǒng)運維行為、數(shù)據(jù)庫操作行為和第三方人員行為進行審計，全面記錄網(wǎng)絡中的會話，并對安全事件準確定位，做到運維全程管理。安全檢測及防護主要面對業(yè)務系統(tǒng)當前存在的風險和威脅，對核心網(wǎng)和業(yè)務平臺內(nèi)部的網(wǎng)絡入侵行為、木馬病毒等方面實時監(jiān)控，以建立起實時監(jiān)測及防護屏障。

4 網(wǎng)絡安全加固實踐

作為國計民生的重要信息系統(tǒng)，燃氣企業(yè)信息化系統(tǒng)的安全建設需緊跟時代要求及國家相關政策法規(guī)要求。以筆者所在的天津市賽達燃氣有限公司為例，公司核心機房中承載著以客服系統(tǒng)為代表的業(yè)務系統(tǒng)平臺，其居民燃氣表數(shù)據(jù)采集系統(tǒng)服務器曾多次遭到勒索病毒攻擊，給管理運維帶來了挑戰(zhàn)。

4.1 網(wǎng)絡現(xiàn)狀

筆者所在公司的核心網(wǎng)絡現(xiàn)狀如圖2所示?；ヂ?lián)網(wǎng)接入后經(jīng)過R-路由器、AF-防火墻、AC上網(wǎng)行為管理串聯(lián)接入三層核心交換機，再通過部署二層交換網(wǎng)絡分別接入服務器和辦公網(wǎng)絡。該網(wǎng)絡架構(gòu)缺乏整體安全感知能力，難以及時發(fā)現(xiàn)黑客入侵，以至于安全技術保障體系和安全治理管理體系脫節(jié)。

圖2 加固前的網(wǎng)絡圖Fig.2 Network diagram before reinforcement

4.2 存在風險

①安全設施建設不夠完善和規(guī)范。目前僅在網(wǎng)絡出口串聯(lián)部署了一臺傳統(tǒng)防火墻，只能進行ACL控制，內(nèi)部網(wǎng)絡各區(qū)域邊界模糊，攻擊威脅從內(nèi)部發(fā)起會對網(wǎng)絡安全產(chǎn)生重大影響，造成網(wǎng)絡癱瘓的風險較大。

②缺少終端對終端安全監(jiān)測和防護措施，無法對安全事件作出迅速響應和處置。終端是網(wǎng)絡攻擊的另一突破口，除了做好網(wǎng)絡邊界的防護外，還應對終端進行安全監(jiān)測及防護。

③缺乏統(tǒng)一分析和統(tǒng)一運營平臺。安全設備相互隔離，不能直觀地展示全網(wǎng)的安全現(xiàn)狀，對安全設備防火墻、全網(wǎng)行為管理和態(tài)勢感知之間無法有效聯(lián)動，導致防御設備互為孤島，整體網(wǎng)絡缺乏立體化防護措施和完整事件處置記錄。

④無審計類安全產(chǎn)品，無法收集和記錄系統(tǒng)的各種日志、事件和流量信息，未對這些信息進行比較分析、檢查用戶或系統(tǒng)是否按照要求正常運行的工作過程，難以保證高效、安全運維。

4.3 加固實踐

結(jié)合以上網(wǎng)絡現(xiàn)狀的分析，擬通過以下方案進行網(wǎng)絡加固，重點關注網(wǎng)絡安全運維管理及審計體系和安全檢測及防護體系兩方面的內(nèi)容，具體如圖3所示。

圖3 加固后的網(wǎng)絡圖Fig.3 Network diagram after reinforcement

將現(xiàn)有網(wǎng)絡結(jié)構(gòu)劃分為互聯(lián)網(wǎng)出口域、核心交換域、運維管理域、核心業(yè)務域和終端接入域 5 個部分，并采取以下措施。

①互聯(lián)網(wǎng)出口域：在現(xiàn)有網(wǎng)絡設備的基礎上，出口雙機部署下一代防火墻和全網(wǎng)行為管理，以解決設備問題造成的單點故障，提高網(wǎng)絡傳輸可靠性，同時在各區(qū)域邊界部署下一代防火墻，為各區(qū)域提供橫向安全防護。

②核心交換域：部署安全潛伏威脅探針 STA，平臺通過人工智能、大數(shù)據(jù)分析技術進行檢測分析，可視化展現(xiàn)全網(wǎng)安全威脅，同時平臺對接上全網(wǎng)行為管理、下一代防火墻、終端檢測響應平臺設備，實現(xiàn)聯(lián)動防御，構(gòu)建檢測、預警和防御的安全閉環(huán)。

③運維管理域：部署安全態(tài)勢感知平臺 SIP，本域用于對整體網(wǎng)絡情況進行管理和維護，增加日志審計系統(tǒng)用于收集、記錄系統(tǒng)內(nèi)的日志、事件和流量信息，對信息進行比較分析。

④核心業(yè)務域：部署下一代防火墻（增強級），用于保障核心業(yè)務數(shù)據(jù)和服務器設備（傳統(tǒng)服務器，超融合服務器核心業(yè)務集群和云桌面集群）。

⑤終端接入域：部署下一代防火墻（基礎級），將終端接入與核心網(wǎng)絡進行隔離，在局域網(wǎng)內(nèi)所有終端及服務器部署檢測響應平臺EDR（Endpoint Detection & Response），即端點檢測與響應，解決終端安全問題。

4.3.1 安全運維管理及審計體系建設

針對業(yè)務系統(tǒng)平臺提供安全運維管理技術手段，在核心交換域部署安全態(tài)勢感知平臺 SIP 和安全潛伏威脅探針 STA，在保證系統(tǒng)正常訪問的前提下實現(xiàn)對網(wǎng)絡中各服務器、網(wǎng)絡設備、終端進行的監(jiān)測、漏洞管理和配置規(guī)范檢查工作，在業(yè)務運行過程中提前發(fā)現(xiàn)系統(tǒng)配置缺陷及系統(tǒng)漏洞，以避免網(wǎng)絡存在安全隱患。

在管理運維域增加日志審計系統(tǒng)，利用流量鏡像方式將網(wǎng)路流量發(fā)送到審計系統(tǒng)中，由審計系統(tǒng)對數(shù)據(jù)庫操作行為、第三方人員網(wǎng)絡行為等進行檢測、記錄及警示上報工作。

4.3.2 安全檢測及防護體系建設

在核心交換域部署安全潛伏威脅探針 SAT，對緩沖區(qū)溢出、SQL 注入、暴力破解、DDOS 攻擊、掃描探測等常見入侵行為進行檢測和上報，加固邊界防護。

在互聯(lián)網(wǎng)出口域、核心業(yè)務域部署下一代防火墻（增強級），實現(xiàn)入口和業(yè)務服務器的貼身式安全防護，有效阻止惡意攻擊手段獲取系統(tǒng)權限、竊取機密敏感數(shù)據(jù)、傳播木馬病毒等行為。而對于數(shù)量眾多且配置標準不一的終端接入域部署下一代防火墻（基礎級），將終端用戶端的安全隱患進行隔離。

4.4 加固效果部分展示

經(jīng)過 4 個月的運行，一共發(fā)生了 561 個安全事件，網(wǎng)絡中被檢測出風險主機 12 個，主要風險包括kasidet木馬遠控、主機對內(nèi)網(wǎng)發(fā)起賬號暴破攻擊、chindo木馬遠控、內(nèi)網(wǎng)主機遭受互聯(lián)網(wǎng)主機發(fā)起的Web賬號暴力破解攻擊、主機對內(nèi)網(wǎng)發(fā)起 tcp 端口掃描等，每天發(fā)生的事件個數(shù)如圖4所示，在11月23日達到最高峰13個。

圖4 安全事件統(tǒng)計圖Fig.4 Statistical chart of safety events

安全事件處置如圖5所示，安全事件逐步減少，有效降低了安全事件發(fā)生的概率，成功削減了安全風險的發(fā)生，保護了組織信息的機密性、完整性和可用性。

圖5 安全事件處置Fig.5 Safety incident handling diagram

經(jīng)過以上加固方案的部署和實施，分別針對互聯(lián)網(wǎng)出口域、核心交換域、運維管理域、核心業(yè)務域和終端接入域5個部分進行加固，建立起了安全檢測及防護體系，使企業(yè)整體具備深度防御、持續(xù)檢測、快速響應、全天候安全運營特質(zhì)，構(gòu)建基于網(wǎng)絡、端點、云端的系統(tǒng)化智能協(xié)同聯(lián)動防護體系，有效保障了系統(tǒng)運行安全［4］。

5 結(jié) 語

①自加固實踐后，公司服務器再未發(fā)生勒索病毒的情況，加固效果明顯。加固后能實時全面掌握整個網(wǎng)絡運行情況，出現(xiàn)威脅第一時間響應并處理，保障了業(yè)務的連續(xù)和穩(wěn)定。

②為燃氣企業(yè)信息化在數(shù)據(jù)交互、采集和存儲中提供了有力的技術保障，也為保障燃氣供應系統(tǒng)的安全、可靠運行提供了有力的網(wǎng)絡基礎支撐。

③通過本網(wǎng)絡安全加固實踐，替代傳統(tǒng)架構(gòu)網(wǎng)絡，引入平臺，建立了可視化的網(wǎng)絡安全威脅監(jiān)控及追查跟蹤機制，輔助以后臺人工分析，保障了業(yè)務系統(tǒng)穩(wěn)定運行，為同行業(yè)網(wǎng)絡提供了實踐參考。