關(guān)鍵詞：網(wǎng)絡(luò)信息安全；保護系統(tǒng)；建設(shè)

一、引言

（一）我國網(wǎng)絡(luò)發(fā)展現(xiàn)狀

互聯(lián)網(wǎng)的誕生本身就是在安全框架之下所產(chǎn)生的產(chǎn)物，并且從網(wǎng)絡(luò)誕生之初開始網(wǎng)絡(luò)安全問題就一直同步存在，共存于互聯(lián)網(wǎng)發(fā)展的各個階段當中。計算機和網(wǎng)絡(luò)技術(shù)的快速發(fā)展加速了全球信息化的步伐，而信息化也成為我國社會的主流發(fā)展趨勢?；ヂ?lián)網(wǎng)作為面向大眾的信息共享平臺，在現(xiàn)代社會的進程當中起到了非常重要的促進作用。與此同時，我國的互聯(lián)網(wǎng)普及工作已經(jīng)基本完成，在辦公中使用計算機的比例基本已經(jīng)保持在90% 以上[1]。

（二）網(wǎng)絡(luò)安全法與網(wǎng)絡(luò)安全等級保護標準的實施

網(wǎng)絡(luò)安全法是我國第一部用于全面規(guī)范網(wǎng)絡(luò)空間安全管理而制定的基礎(chǔ)性法律，也是我國網(wǎng)絡(luò)空間法治建設(shè)的重要里程碑。值得一提的是，近年來網(wǎng)絡(luò)安全法對一些有效的管理措施進行了制度化改進，目的在于為今后推進的制度創(chuàng)新工作提供原則性規(guī)定，并為網(wǎng)絡(luò)信息安全提供切實有效的法律依據(jù)。相關(guān)部門或監(jiān)察單位在進行各項監(jiān)測工作時可以得到非常有效的參考和幫助。從網(wǎng)絡(luò)安全法的整體框架來看，除了包含基礎(chǔ)的網(wǎng)絡(luò)運行安全和網(wǎng)絡(luò)信息安全監(jiān)測之外，還包含法律責任的有關(guān)模塊。制定網(wǎng)絡(luò)安全法的意義在于確立網(wǎng)絡(luò)安全法律規(guī)范的基本原則和網(wǎng)絡(luò)安全工作的重點，同時網(wǎng)絡(luò)安全戰(zhàn)略的提出也為網(wǎng)絡(luò)空間治理目標的確定提供有效的理論依據(jù)。這不僅能在今后的安全義務(wù)和責任落實方面提供關(guān)鍵支持，同時還將監(jiān)測預(yù)警和各類應(yīng)急措施進行了規(guī)范化和制度化，以避免網(wǎng)絡(luò)意外事故或網(wǎng)絡(luò)惡意破壞問題的發(fā)生。我國網(wǎng)絡(luò)安全等級保護制度正式上升為法律，并且網(wǎng)絡(luò)安全法對等級保護標準的規(guī)定也非常明確。例如，在第38 條中明確規(guī)定，關(guān)鍵信息與基礎(chǔ)設(shè)施單位需要每年對網(wǎng)絡(luò)的安全性和可能存在的風險進行檢查與檢測評估，然后將評估情況和相應(yīng)的改進措施報送給有關(guān)的管理部門。從這一角度來看，網(wǎng)絡(luò)安全等級的保護要求在未來的工作當中將更具可行性和具體性，在明確具體內(nèi)容和法律責任的前提下，能夠做好相應(yīng)的警告或處罰[2]。

二、網(wǎng)絡(luò)安全等級保護三級要求

（一）安全物理環(huán)境

網(wǎng)絡(luò)安全等級保護三級要求，顧名思義就是指對關(guān)鍵信息和其他專有信息在多個層面進行安全保護，并且對信息系統(tǒng)當中所使用的信息安全產(chǎn)品進行等級管理，按照信息安全事件進行分等級的處置。從網(wǎng)絡(luò)安全等級的保護要求來看，應(yīng)該覆蓋網(wǎng)絡(luò)本身、網(wǎng)絡(luò)設(shè)備本身以及相關(guān)的網(wǎng)絡(luò)安全物理環(huán)境，例如拓撲、路由器、交換機、入侵檢測系統(tǒng)等。在確定網(wǎng)絡(luò)結(jié)構(gòu)的安全等級和邊界完整性之后，就需要做好網(wǎng)絡(luò)入侵防范、網(wǎng)絡(luò)設(shè)備防護和網(wǎng)絡(luò)數(shù)據(jù)管理等。從目前的現(xiàn)實安全環(huán)境角度來看，需要調(diào)整的是現(xiàn)階段的網(wǎng)絡(luò)結(jié)構(gòu)，合理劃分網(wǎng)絡(luò)安全域，并加強網(wǎng)絡(luò)各個安全域邊界的綜合防護能力和安全審計能力，提升網(wǎng)絡(luò)設(shè)備自身的防護水準。

（二）安全通信網(wǎng)絡(luò)

從通信傳輸?shù)慕嵌确治觯ㄐ艂鬏斈軌驗榈燃壉Ｗo對象的安全運行提供技術(shù)層面的支持和幫助，并且為了確保各類數(shù)據(jù)不被無故篡改，應(yīng)考慮到分支機構(gòu)和總部之間的通信管理，以及不同等級保護對象之間的安全管理要求。即業(yè)務(wù)終端和應(yīng)用服務(wù)器之間應(yīng)該維持足夠的安全性能。從可信度驗證的分析來看，傳統(tǒng)的通信設(shè)備采用的是緩存或其他形式對固件進行保留，但這種方法的缺陷在于很容易受到惡意攻擊。入侵者可以通過未經(jīng)授權(quán)的方式對固件進行訪問、篡改，甚至直接在其中植入惡意代碼。一旦植入惡意代碼，系統(tǒng)可能會遭受永久性的損壞。因此，在確保設(shè)備啟動和執(zhí)行過程安全的前提條件下，提前做好系統(tǒng)引導(dǎo)程序或其他應(yīng)用程序完整性的檢測工作。

（三）安全區(qū)域邊界

按照等級保護標準，安全區(qū)域邊界層面的核心控制點包含幾個不同方面的工作要求：邊界防護、訪問控制、入侵管理和安全審核。在網(wǎng)絡(luò)邊界區(qū)域，需要有效且可控地進行訪問控制管理?？刂屏?yīng)該進行升級和優(yōu)化，例如判斷是否存在非法邊界或非法外聯(lián)。除此以外，系統(tǒng)當中要采取相應(yīng)的協(xié)議轉(zhuǎn)換和隔離措施，以便發(fā)現(xiàn)和應(yīng)對內(nèi)部或外部的網(wǎng)絡(luò)攻擊。根據(jù)網(wǎng)絡(luò)安全法的要求，必須保留審計日志，以便在必要時進行綜合分析。在確定高風險場景后，應(yīng)設(shè)定數(shù)據(jù)流和跨越邊界訪問過程中的通信保護措施。如果訪問措施配置失效，存在較大安全隱患，則要將其判定為高風險。需要注意的是，邊界訪問的控制設(shè)備不一定是防火墻，只要能夠?qū)崿F(xiàn)訪問控制功能并提供對應(yīng)的檢測信息，都可以視為邊界訪問控制。在通信協(xié)議轉(zhuǎn)換層面，如果可控網(wǎng)絡(luò)環(huán)境和不可控網(wǎng)絡(luò)環(huán)境之間的數(shù)據(jù)傳輸未進行相應(yīng)的通信隔離，那么同樣可以判定為高風險。對于外部網(wǎng)絡(luò)攻擊防御、內(nèi)部網(wǎng)絡(luò)攻擊防御、網(wǎng)絡(luò)層惡意代碼和網(wǎng)絡(luò)安全審計方面的要求也有著不同的對應(yīng)場景，可根據(jù)風險類型的不同作出相應(yīng)的判斷和應(yīng)對。

（四）安全計算環(huán)境

安全計算環(huán)境是由設(shè)備各種節(jié)點進行連接而構(gòu)成的復(fù)雜計算環(huán)境，包括終端設(shè)備、應(yīng)用系統(tǒng)、網(wǎng)絡(luò)設(shè)備、數(shù)據(jù)庫系統(tǒng)、系統(tǒng)軟件和應(yīng)用數(shù)據(jù)對象等。這些節(jié)點和系統(tǒng)組成了整個安全計算環(huán)境的框架，能夠完成信息識別、訪問控制、安全審計和數(shù)據(jù)保密等多個方面的信息保護工作。

等級保護工作2.0 的深化落實使得浪潮信息化將成為安全市場防控的關(guān)鍵點。并且2.0 的發(fā)布，標志著我國網(wǎng)絡(luò)安全等級進入了一個嶄新的時代。與此前的1.0版本相比，2.0 的覆蓋范圍變得更加廣泛，尤其是能夠滿足新時代的技術(shù)發(fā)展趨勢。并且整個覆蓋平臺之上包含了網(wǎng)絡(luò)信息系統(tǒng)、大數(shù)據(jù)和移動互聯(lián)等多個層面的應(yīng)用。值得一提的是新的標準當中更加強調(diào)了可信計算技術(shù)的推廣和應(yīng)用，從一級開始直到四級都提出了相應(yīng)的可信驗證要求。可信度隨著等級的增加而逐漸增加，能夠有效驗證引導(dǎo)程序或系統(tǒng)程序等層面的安全配置。

綜合來看，2.0 標準當中的技術(shù)要求更加強調(diào)外部與內(nèi)部的縱深防御體系，將安全防護從通信網(wǎng)絡(luò)延伸到計算環(huán)境內(nèi)部。內(nèi)部防護成為業(yè)務(wù)系統(tǒng)運行時的關(guān)鍵點，存儲和處理用戶的關(guān)鍵數(shù)據(jù)信息也是等級保護對象的核心，與以前的低級別系統(tǒng)相比，高級別的系統(tǒng)在身份信息和訪問控制方面更加完善[3]。

三、網(wǎng)絡(luò)信息安全問題

（一）網(wǎng)絡(luò)硬件安全問題

在網(wǎng)絡(luò)安全的發(fā)展過程中，安全問題的首要解決方案是以單點防護的形式來進行簡單的硬件安全保護。但考慮到硬件性能的制約以及多種功能整合之后的策略邏輯協(xié)同問題，傳統(tǒng)的網(wǎng)絡(luò)硬件管理在安全解決方案當中的作用受到了一定程度的影響。其中網(wǎng)絡(luò)硬件安全問題在現(xiàn)代信息技術(shù)領(lǐng)域受到了廣泛關(guān)注，因為沒有硬件安全也就沒有軟件安全。在網(wǎng)絡(luò)不發(fā)達的年代，傳統(tǒng)的信息傳輸過程存在許多安全隱患，如病毒傳播和其他不安全信息的漏洞。在當時的技術(shù)環(huán)境下，硬件是信息安全的首要影響條件。假設(shè)一個大型單位的管理層計算機感染了惡意程序，通過USB 口或其他渠道，這些惡意程序的硬件編碼可以直接影響計算機的信息，整個攻擊過程甚至可以做到隱蔽不被察覺。USB 安全是網(wǎng)絡(luò)硬件安全問題的典型組成部分，還包括硬盤等多種計算機硬件模塊。同時網(wǎng)絡(luò)硬件安全問題還表現(xiàn)在通信部分的脆弱性，例如在實施數(shù)據(jù)和信息的交換過程當中，很多移動設(shè)備或輔助設(shè)備的應(yīng)用增加了信息泄露的風險。一旦信息泄露，將嚴重威脅網(wǎng)絡(luò)的安全運行，甚至危及某些單位的私密信息，給網(wǎng)絡(luò)帶來破壞性和不可逆的危害。

（二）網(wǎng)絡(luò)軟件安全漏洞問題

在設(shè)計初期，許多應(yīng)用軟件就存在著一定數(shù)量的漏洞和缺陷。盡管隨著軟件功能的完善和增加，很多軟件具備了自檢和自我修復(fù)能力，但與之對應(yīng)的各類缺陷和漏洞的數(shù)量也在同比增加。導(dǎo)致現(xiàn)階段的網(wǎng)絡(luò)安全問題與應(yīng)用軟件的缺陷緊密相關(guān)，也表明未來相關(guān)單位需要及時處理軟件可能存在的安全隱患。近年來，病毒和木馬已呈現(xiàn)出小眾化的趨勢，專門針對政府或軍工基礎(chǔ)設(shè)施的網(wǎng)絡(luò)定向攻擊與信息竊取模塊的威脅性也日益增加。面對這些新興威脅，傳統(tǒng)的病毒防護手段在安全模型和方法論上已經(jīng)顯得相對落后，因為傳統(tǒng)的病毒防護主要依賴客戶端或軟件系統(tǒng)的主動防御技術(shù)。

不過針對目前的網(wǎng)絡(luò)安全漏洞問題，現(xiàn)代信息技術(shù)的高質(zhì)量發(fā)展使得我們有了更多的應(yīng)對方法，包括可信防護技術(shù)、云安全技術(shù)和程序行為判斷模塊等云安全框架應(yīng)運而生，這些模塊不僅能夠在病毒入侵和病毒破壞方面發(fā)揮良好的預(yù)警和對抗功能，同時還能提升整個網(wǎng)絡(luò)信息系統(tǒng)的監(jiān)測能力和追溯能力，對于一些軍工企業(yè)或是高新企業(yè)而言，其內(nèi)部的安全管控效果和漏洞防護效果將因此得到顯著提高。除此之外，還有主機管控技術(shù)、網(wǎng)絡(luò)安全審計技術(shù)、身份認證技術(shù)和入侵檢測技術(shù)，它們各自有著對應(yīng)的使用場合。

四、本單位網(wǎng)絡(luò)規(guī)劃與建設(shè)實踐

（一）整體網(wǎng)絡(luò)架構(gòu)規(guī)劃

從整體網(wǎng)絡(luò)架構(gòu)規(guī)劃的角度來看，可以結(jié)合單位內(nèi)部的網(wǎng)絡(luò)信息安全機制，制定專業(yè)的體系結(jié)構(gòu)。主要的功能模塊包括安全監(jiān)控、安全管理、安全策略制定和應(yīng)急響應(yīng)等模塊。安全監(jiān)控模塊是對信息安全態(tài)勢的數(shù)據(jù)或事件進行整體監(jiān)視，能夠做好關(guān)聯(lián)分析，提供完整的信息內(nèi)容。通過對網(wǎng)絡(luò)流量、日志和系統(tǒng)行為等進行實時監(jiān)控和分析，能夠提前發(fā)現(xiàn)潛在的安全威脅，并及時采取相應(yīng)的措施進行防護。安全管理則指的是集中管控各類設(shè)備的操作和配置，能夠?qū)υO(shè)備的系統(tǒng)資源和設(shè)備的使用情況進行監(jiān)督。通過權(quán)限管理、訪問控制和設(shè)備配置管理等手段，確保設(shè)備和系統(tǒng)的安全性和穩(wěn)定性，防止未經(jīng)授權(quán)的訪問和操作。安全策略制定模塊根據(jù)不同的信息安全管理對象提供安全策略的制定要求和下發(fā)要求。通過合理制定網(wǎng)絡(luò)安全策略和規(guī)則，實現(xiàn)對網(wǎng)絡(luò)的訪問控制、流量限制和數(shù)據(jù)加密等措施，保護網(wǎng)絡(luò)系統(tǒng)的安全性。應(yīng)急響應(yīng)模塊針對的是各類安全事件所提供的應(yīng)急響應(yīng)處理措施[4]。一旦出現(xiàn)安全事件，可以快速響應(yīng)并采取相應(yīng)的措施進行控制和修復(fù)，以減少損失和恢復(fù)系統(tǒng)正常運行。通過實施這些功能模塊，能夠建立一個完善的網(wǎng)絡(luò)安全體系，提高網(wǎng)絡(luò)信息系統(tǒng)的抵御能力和應(yīng)對能力，保障企業(yè)的網(wǎng)絡(luò)安全。

（二）網(wǎng)絡(luò)安全規(guī)劃與建設(shè)

從網(wǎng)絡(luò)安全規(guī)劃和建設(shè)的角度來看，未來的網(wǎng)絡(luò)信息安全等級保護系統(tǒng)建設(shè)工作當中要關(guān)注幾個方面的重點要求。首先是防病毒和病毒預(yù)警系統(tǒng)，因為隨著未來計算機終端數(shù)量的增加，即使是小規(guī)模的病毒感染事件也會引發(fā)非常嚴重的安全風險。所以防病毒和防漏洞工作任重道遠。傳統(tǒng)的防病毒軟件模塊已經(jīng)無法滿足現(xiàn)實需求，需要基于先進模型的防護產(chǎn)品和云安全系統(tǒng)作為技術(shù)保障，在自動分析和識別威脅之后，將對應(yīng)的處置方案下發(fā)給其他的節(jié)點。其次是網(wǎng)絡(luò)安全審計系統(tǒng)，其中包含網(wǎng)絡(luò)體系結(jié)構(gòu)和對應(yīng)的區(qū)域業(yè)務(wù)模塊?？筛鶕?jù)指定條件獲取關(guān)鍵信息，展開多維度分析，根據(jù)分析結(jié)果給探針平臺下發(fā)特征。然后是網(wǎng)絡(luò)攻擊應(yīng)對策略，包括入侵檢測和統(tǒng)一的安全管控。目前很多單位都配置了相應(yīng)的主機管控系統(tǒng)安全準入策略，設(shè)置終端安裝私有云軟件，確保整個網(wǎng)絡(luò)信息系統(tǒng)的信息輸入終端具有攻擊防護能力。此外，這類統(tǒng)一的安全系統(tǒng)能夠直接掌握攻擊行為或入侵行為，進行關(guān)聯(lián)之后生成圖形或報表，迅速通知責任人查看計算機運行狀態(tài)，協(xié)助分析安全問題。針對惡意代碼，需執(zhí)行攔截機制，采取不同的經(jīng)驗特征值來制定仿真行為的攔截策略。具體而言，可以從操作系統(tǒng)的權(quán)限管理入手，縱向劃分為系統(tǒng)級策略和用戶級策略，制定基于攻擊鏈的仿真模塊采取以安全假定為基礎(chǔ)的排除方法，對各類仿冒對象的入侵采取權(quán)限管理與級別防護。尤其是針對那些帶有木馬后門性質(zhì)且容易破壞系統(tǒng)機密性的攻擊行為，會被進行統(tǒng)一的攔截和處理。最后是統(tǒng)一的安全管理系統(tǒng)和入侵檢測系統(tǒng)，能夠根據(jù)對應(yīng)的體系結(jié)構(gòu)和用戶層面的實際需求，做好信息管理和入侵檢測。無論是流量數(shù)據(jù)還是攻擊事件，檢測傳感器在獲取到這些關(guān)鍵信息后，可以按照設(shè)定的條件要求進行分類整合，形成報表信息并展開綜合分析[5]。

（三）管理制度建設(shè)

現(xiàn)代信息化技術(shù)的不斷發(fā)展使得資源共享和數(shù)據(jù)交互成為網(wǎng)絡(luò)安全的重要方面，并且隨著大量的設(shè)備聯(lián)網(wǎng)，網(wǎng)絡(luò)邊界保護變得尤為關(guān)鍵。按照縱深防御思想，首先要考慮的是網(wǎng)絡(luò)邊界外部通過廣域網(wǎng)通信的安全性，其次是內(nèi)部局域網(wǎng)網(wǎng)絡(luò)架構(gòu)的合理性，這直接關(guān)系到內(nèi)部傳輸數(shù)據(jù)的安全性。因此，建立有效的管理制度是業(yè)務(wù)運行過程中最為關(guān)鍵的部分。如何根據(jù)業(yè)務(wù)系統(tǒng)的特點來構(gòu)建相應(yīng)的網(wǎng)絡(luò)架構(gòu)成為今后需要密切關(guān)注的問題。只有整個架構(gòu)保證安全的基礎(chǔ)上，才能實現(xiàn)各類技術(shù)功能，達到保護通信網(wǎng)絡(luò)的最終目的。

五、結(jié)束語

網(wǎng)絡(luò)安全風險的來源是多方面和多層次的，而網(wǎng)絡(luò)風險評估的發(fā)展也經(jīng)歷了從局部到整體的綜合分析過程。未來的網(wǎng)絡(luò)發(fā)展趨勢決定了各類新的安全管理思想和安全等級保護系統(tǒng)建設(shè)工作也應(yīng)該與時俱進，不斷提煉信息安全需求分析能力，通過需求分析過程來深化網(wǎng)絡(luò)信息安全處理方案，從整體角度提升系統(tǒng)運行特性。

作者單位：周凌偉 麗水市第二人民醫(yī)院