貴州廣電網絡總體安全規劃研究論文

貴州省廣播電視資訊網絡股份有限公司(以下簡稱貴州廣電網絡於2008年3月27曰正式掛牌成立，建設了覆蓋省內所有市(州)、縣(市、區、特區)、鄉(鎮)的廣電光纜幹線傳輸網;完成了全省縣及以上城市的有線電視數字化整體轉換，數字電視用戶已逾350萬戶;全省各級有線電視網絡傳輸節目總量約250套，提供數字電視基本業務、數字電視自選業務、互動電視、高清電視、多屏看業務、互聯網接入、虛擬專網、城市安防和媒資業務等各類服務。

爲了貫徹國家對資訊系統安全保障工作的要求以及等級化保護堅持“積極防禦、綜合防範”的方針，需要全面提高資訊安全防護能力。貴州廣電網絡資訊系統建設需要進行整體安全體系規劃設計，全面提高資訊安全防護能力，創建安全健康的網絡環境，保護國家利益，促進貴州廣電網絡資訊化的深入發展。

1安全規劃的目標和思路

貴州廣電網絡目前運營並管理着兩張網絡：辦公網與業務網;其中辦公網主要用於貴州廣電網絡各部門在線辦公，重要的辦公系統爲OA系統、郵件系統等;業務網主要提供貴州廣電網絡各業務部門業務平臺，其中核心業務系統爲BOSS系統、互動點播系統、安全播出系統、內容集成平臺以及寬帶系統等。

基於對貴州廣電網絡資訊系統的理解和國家資訊安全等級保護制度的認識，我們認爲，資訊安全體系是貴州廣電網絡資訊系統建設的重要組成部分，是貴州廣電網絡業務開展的重要安全屏障，它是一個包含貴州廣電網絡實體、網絡、系統、應用和管理等五個層面，包括保護、檢測、響應、恢復四個方面，透過技術保障和管理制度建立起來的可靠有效的安全體系。

1.1設計目標

貴州廣電網絡就安全域劃分已經進行的初步規劃，在安全域整改中初見成效，然而，安全系統建設不僅需要建立重要資源的安全邊界，而且需要明確邊界上的安全策略，提高對核心資訊資源的保護意識。貴州廣電網絡相關安全管理體系的建設還略顯薄弱，管理細則檔案亟需補充，安全管理人員亟需培訓。因此，本次規劃重點在於對安全管理體系以及目前的各個業務系統進行了全面梳理，針對業務系統中安全措施進行了重點分析，綜合貴州廣電網絡未來業務發展的方向，進行未來五年的資訊安全建設規劃。

1.2設計原則

1.2.1合規性原則

安全設計要符合國家有關標準、法規要求，符合廣電總局對資訊安全系統的等級保護技術與管理要求。良好的資訊安全保障體系必然是分爲不同等級的，包括對資訊數據保密程度分級，對用戶操作權限分級，對網絡安全程度分級(安全子網和安全區域),對系統實現結構的分級(應用層、網絡層、鏈路層等)，從而針對不同級別的安全對象，提供全面、可選的安全技術和安全體制，以滿足貴州廣電網絡業務網、辦公網系統中不同層次的各種實際安全需求。

1.2.2技管結合原則

資訊安全保障體系是一個複雜的系統工程，涉及人、技術、操作等要素，單靠技術或單靠管理都不可能實現。因此，必須將各種安全技術與執行管理機制、人員思想教育與技術培訓、安全規章制度建設相結合。

1.2.3實用原則

安全是爲了保障業務的正常執行，不能爲了安全而妨礙業務，同時設計的安全措施要可以落地實現。

1.3設計依據

1.3.1“原則”符合法規要求

依據《中華人民共和國計算機資訊系統安全保護條例K國務院147號令)、《國家資訊化領導小組關於加強資訊安全保障工作的意見》(中辦發[20〇3]27號)、《關於資訊安全等級保護工作的實施意見》(公通字[2004]66號)、《資訊安全等級保護管理辦法》(公通字[2007]43號)和GB/T22240-2009《資訊安全技術資訊系統安全等級保護定級指南》、GB/T22239-2008《資訊安全技術資訊系統安全等級保護基本要求》、《廣播電視安全播出管理規定》(廣電總局62號令)、GDJ038-CATV|有線網絡。

2011《廣播電視播出相關資訊系統等級保護基本要求》，對貴州省廣播電視相關資訊系統安全建設進行規劃。

1.3.2“策略”符合風險管理

風險管理是基於“資產-價值-漏洞-風險-保障措施”的思想進行保障的。風險評估與管理的理論與方法已經成爲國際資訊安全的標準。

風險管理是靜態的防護策略，是在對方攻擊之前的自我鞏固的過程。風險分析的核心是發現資訊系統的漏洞，包括技術上的、管理上的，分析面臨的威脅，從而確定防護需求，設計防護的措施，具體的措施是打補丁，還是調整管理流程，或者是增加、增強某種安全措施，要根據用戶對風險的可接受程度，這樣就可以與安全建設的成本之間做一個平衡。

1.3.3“措施”符合P2DR模型

美國ISS公司(IntemetSecuritySystem，INC)設計開發的P2DR模型包括安全策略(Policy)、檢測(Detection)、防護(Protection)和響應(Response)四個主要部分，是一個可以隨着網絡安全環境的變化而變化的、動態的安全防禦系統。安全策略是整個P2DR模型的中樞，根據風險分析產生的安全策略描述了系統中哪些資源要得到保護，以及如何實現對它們的保護等，策略是模型的核心，所有的防護、檢測和響應都是依據安全策略實施的。

檢測(Detection)、防護(Protection)和響應(Response)三個部分又構成一個變化的、動態的安全防禦體系。P2DR模型是在整體的安全策略的控制和指導下，在綜合運用防護工具(如防火牆、身份認證、加密等)的同時，利用檢測工具(如漏洞評估、入侵檢測等)瞭解和評估系統的安全狀態，透過適當的反應將系統調整至“最安全”和“風險最低”的狀態，在安全策略的指導下保證資訊系統的安全[3]。

1.4安全規劃體系架構

在進行了規劃“原則”、“策略”、“措施”探討的基礎上，我們設計貴州廣電網絡的安全保障體系架構爲“一箇中心、兩種手段”。

“一箇中心”，以安全管理中心爲核心，構建安全計算環境、安全區域邊界和安全通信網絡，確保業務系統能夠在安全管理中心的統一管控下執行，不會進入任何非預期狀態，從而防止用戶的非授權訪問和越權訪問，確保業務系統的安全。

“兩種手段”，是安全技術與安全管理兩種手段，其中安全技術手段是安全保障的基礎，安全管理手段是安全技術手段真正發揮效益的關鍵，管理措施的正確實施同時需要有技術手段來監管和驗證，兩者相輔相成，缺一不可。

2安全保陳方案規劃

2.1總體設計

貴州廣電網絡的安全體系作爲資訊安全的技術支撐措施，分爲五個方面：

邊界防護體系：安全域劃分，邊界訪問控制策略的部署，主要是業務核心資源的邊界，運維人員的訪問通道。

行爲審計體系：透過身份鑑別、授權管理、訪問控制、行爲曰志等手段，保證用戶行爲的合規性。

安全監控體系：監控網絡中的異常，維護業務執行的安全基線，包括安全事件與設備故障，也包括系統漏洞與升級管理。

公共安全輔助：作爲整個網絡資訊安全的基礎服務系統，包括身份認證系統、補丁管理系統以及漏洞掃描系統等。

IT基礎設施：提供智能化、彈性服務能力的基礎設施，主要的機房的智能化、服務器的虛擬化、存儲的虛擬化等。

2.2安全域劃分

劃分安全域的方法是首先區分網絡功能區域，服務器資源區、網絡連接區、用戶接入區、運維管理區、對外公共服務區;其次是在每個區域中，按照不同的安全需求區分不同的業務與用戶，進一步劃分子區域;最後，根據每個業務應用系統，梳理其用戶到服務器與數據庫的網絡訪問路徑，透過的域邊界或網絡邊界越少越好。

Z3邊界防護體系規劃

邊界包括網絡邊界、安全域邊界、用戶接口邊界(終端與服務器)、業務流邊界，邊界上部署訪問控制措施，是防止非授權的“外部”用戶訪問“裏面”的資源，因此分析業務的訪問流向，是訪問控制策略設計的依據。

2.3.1邊界措施選擇

在邊界上我們建議四種安全措施：

1.網絡邊界：與外部網絡的邊界是安全防護的重點，我們建議採用統一安全網關(UTM),從網絡層到應用層的安全檢測，採用防火牆(FW)部署訪問控制策略，採用入侵防禦系統(IPS)部署對hacker入侵的檢測，採用病毒網關(AV)部署對病毒、木馬的防範;爲了方便遠程運維工作，與遠程辦公實施，在網絡邊界上部署VPN網關，對遠程訪問用戶身份鑑別後，分配內網地址，給予限制性的訪問授權。Web服務的SQL注入、XSS攻擊等。

3.業務流邊界：安全需求等級相同的業務應用採用VLAN隔離，採用路由訪問限制策略;不同部門的接入域也採用VLAN隔離，防止二層廣播，通知可以在發現安全事件時，開啓不同子域的安全隔離。

4.終端邊界：重點業務系統的終端，如運維終端，採用終端安全系統，保證終端上系統的安全，如補丁的管理、黑名單軟件管理、非法外聯管理、移動介質管理等等。

2.3.2策略更新管理

邊界是提高入侵者的攻擊“門檻”的，部署安全策略重點有兩個方面：一是有針對性。允許什麼，不允許什麼，是明確的;二是動態性。就是策略的定期變化，如訪問者的口令、允許遠程訪問的端口等，變化的週期越短，給入侵者留下的攻擊視窗越小。

2.4行爲審計體系規劃

行爲審計是指對網絡用戶行爲進行詳細記錄，直接的好處是可以爲事後安全事件取證提供直接證據，間接的好處乇兩方面：對業務操作的日誌記錄，可以在曰後發現操作錯誤、確定破壞行爲恢復時提供操作過程的反向操作，最大程度地減小損失;對系統操作的日誌記錄，可以分析攻擊者的行爲軌跡，從而判斷安全防禦系統的漏洞所在，亡羊補牢，可以彌補入侵者下次入侵的危害。

行爲審計主要措施包括:一次性口令、運維審計(堡壘機)、曰志審計以及網絡行爲審計。

2.5安全監控體系規劃

監控體系不僅是網絡安全態勢展示平臺，也是安全事件應急處理的指揮平臺。爲了管理工作上的方便，在安全監控體系上做到幾方面的統一：

1.運維與安全管理的統一：業務運維與安全同平臺管理，提高安全事件的應急處理速度。

2.曰常安全運維與應急指揮統一：隨時瞭解網絡上的設備、系統、流量、業務等狀態變化，不僅是日常運維發現異常的平臺，而且作爲安全事件應急指揮的調度平臺，隨時瞭解安全事件波及的範圍、影響的業務，同時確定安全措施執行的效果。

3.管理與考覈的統一：安全運維人員的工作考覈就是網絡安全管理的曰常工作與緊急事件的處理到位，在安全事件的定位、跟蹤、處理過程中，就體現了安全運維人員服務的質量。因此對安全運維平臺的行爲記錄就可以爲運維人員的考覈提供一線的數據。

安全監控措施主要包括安全態勢監控以及安全管理平臺，2.6公共安全輔助系統

作爲整個網絡資訊安全的基礎服務系統，需要建設公共安全輔助系統：

1.身份認證系統：獨立於所有業務系統之外，爲業務、運維提供身份認證服務。

2.補丁管理系統：對所有系統、應用的補丁進行管理，對於透過測試的補丁、重要的補丁，提供主動推送，或強制執行的技術手段，保證網絡安全基線。

3.漏洞掃描系統：對於網絡上設備、主機系統、數據庫、業務系統等的漏洞要及時瞭解，對於不能打補丁的系統，要確認有其他安全策略進行防護。漏洞掃描分爲兩個方面，一是系統本身的漏洞，二是安全域邊界部署了安全措施之後，實際用戶所能訪問到的漏洞(滲透性測試服務)。

2.7IT基礎設施規劃

IT基礎設施是所有網絡業務系統服務的基礎，具備一個優秀的基礎架構，不僅可以快速、靈活地支撐各種業務系統的有效執行，而且可以極大地提高基礎IT資源的利用率，節省資金投入，達到環保的要求。

IT基礎設施的優化主要體現在三個方面：智能機房、服務器虛擬化、存儲虛擬化。

3安全筐理體系規劃

在系統安全的各項建設內容中，安全管理體系的建設是關鍵和基礎，建立一套科學的、可靠的、全面而有層次的安全管理體系是貴州省廣播電視資訊網絡股份有限公司安全建設的必要條件和基本保證。

3_1安全管理標準依據

以GBAT22239-2008《資訊安全技術資訊系統安全等級保護基本要求》中二級、三級安全防護能力爲標準，對貴州廣電網絡安全管理體系的建設進行設計。

3.2安全管理體系的建設目標

透過有效的進行貴州廣電網絡的安全管理體系建設，最終要實現的目標是：採取集中控制模式，建立起貴州廣電網絡完整的安全管理體系並加以實施與保持，實現動態的、系統的.、全員參與的、制度化的、以預防爲主的安全管理模式，從而在管理上確保全方位、多層次、快速有效的網絡安全防護。

3.3安全管理建設指導思想

各種標準體系檔案爲資訊安全管理建設僅僅提供一些原則性的建議，要真正構建符合貴州廣電網絡自身狀況的資訊安全管理體系，在建設過程中應當以以下思想作爲指導：“信CATV丨有線網絡息安全技術、資訊安全產品是資訊安全管理的基礎，資訊安全管理是資訊安全的關鍵，人員管理是資訊安全管理的核心,資訊安全政策是進行資訊安全管理的指導原則，資訊安全管理體系是實現資訊安全管理最爲有效的手段。”

3.4安全管理體系的建設具體內容

GB/T22239-2008《資訊安全技術資訊系統安全等級保護基本要求》(以下簡稱《基本要求》)對資訊系統的安全管理體系提出了明確的指導和要求。我們應以《基本要求》爲標準，結合目前貴州廣電網絡安全管理體系的現狀，對廣電系統的管理機構、管理制度、人員管理、技術手段四個方面進行建設和加強。同時，由於資訊安全是一個動態的系統工程，所以，貴州廣電網絡還必須對資訊安全管理措施不斷的加以校驗和調整，以使管理體系始終適應和滿足實際情況的需要，使貴州廣電網絡的資訊資產得到有效、經濟、合理的保護。

貴州廣電網絡的安全管理體系主要包括安全管理機構、安全管理制度、安全標準規範和安全教育培訓等方面。

透過組建完整的資訊網絡安全管理機構，設定安全管理人員，規劃安全策略、確定安全管理機制、明確安全管理原則和完善安全管理措施，制定嚴格的安全管理制度，合理地協調法律、技術和管理三種因素，實現對系統安全管理的科學化、系統化、法制化和規範化，達到保障貴州廣電網絡資訊系統安全的目的。

3.5曰常安全運維3.5.1安全風險評估

安全風險評估是建立主動防禦安全體系的重要和關鍵環節，這環的工作做好了可以減少大量的安全威脅，提升整個資訊系統的對網絡災難的免疫能力;風險評估是資訊安全管理體系建立的基礎，是組織平衡安全風險和安全投入的依據，也是資訊安全管理體系測量業績、發現改進機會的最重要途徑。

3.5.2網絡管理與安全管理

網絡管理與安全管理的主要措施包括：出入控制、場地與設施安全管理、網絡執行狀態監控、安全設備監控、安全事件監控與分析、提出預防措施。

3.5.3備份與容災管理

貴州廣電網絡主要關鍵業務系統需要雙機本地熱備、數據離線備份措施;其他相關業務應用系統需要數據離線備份措施。

3.5.4應急響應計劃

透過建立應急相應機構，制定應急響應預案，透過建立專家資源庫、廠商資源庫等人力資源措施，透過對應急響應有線網絡ICATV預案不低於一年兩次的演練，可以在發生緊急事件時，做到規範化操作，更快的恢復應用和數據，並最大可能的減少損失

3.6安全人員管理

資訊系統的執行是依靠在各級黨政機構工作的人員來具體實施的，他們既是資訊系統安全的主體，也是系統安全管理的對象。所以，要確保資訊系統的安全，首先應加強人事安全管理。

安全人員應包括：系統安全管理員、系統管理員、辦公自動化操作人員、安全設備操作員、軟硬件維修人員和警衛人員。

其中系統管理員、系統安全管理員必須由不同人員擔當。3.7技術安全管理

主要措施包括：軟件管理、設備管理、備份管理以及技術文檔管理。

4安全規劃分期建設路線

資訊安全保障重要的是過程，而不一定是結果，重要的是安全意識的提高，而不一定是安全措施的多少。因此，資訊安全建設也應該從保障業務運營爲目標，提高用戶自身的安全意識爲思路，根據業務應用的模式與規模逐步、分階段建設，同時還要符合國家與廣電總局關於等級保護的技術與管理要求。

4.1主要的工作內容

根據安全保障方案規劃的設計，貴州廣電網絡的資訊安全建設分爲如下幾個方面的內容：

1.網絡優化改造:主要是安全域的劃分，網絡結構的改造。

2.安全措施部署:邊界隔離措施部署，行爲審計系統部署、安全監控體系部署。

3.基礎設施改造：主要是數據大集中、服務器虛擬化、存儲虛擬化。

4.安全運維管理:資訊安全管理規範、日常安全運維考覈、安全檢查與審計流程、安全應急演練、曰常安全服務等。

4.2分期建設規劃

4_2.1達標階段(2015-2017)

1.等保建設

2.信任體系：網絡審計、運維審計、日誌審計

3.身份鑑別(一次口令)

4.監控平臺：入侵檢測、流量監測、木馬監測

5.安全管理平臺建設

6.等保測評透過(2級3級系統)

7.安全服務：建立定期模式

8.滲透性測試服務(外部+內部)

9.安全加固服務，建立服務器安全底線

10.資訊安全管理

11.落實安全管理細則檔案制定

12.落實安全運維與應急處理流程

13.完善IT服務流程，建設安全運維管理平臺

14.定期安全演練與培訓

4.2.2持續改進階段(2018?2019)

1.等保建設

2.完善資訊安全防護體系

3.提升整體防護能力

4.深度安全服務

5.有針對性安全演練，協調改進管理與技術措施

6.原始碼安全審計服務(新上線業務)

7.資訊安全管理

8.持續改進運維與應急流程與制度，提高應急反應能力

9.提高運維效率，開拓運維增值模式

5結東語

本文對貴州廣電網絡資訊系統建設進行了整體安全體系規劃研究，透過技術保障和管理制度兩方面建立起可靠有效的安全體系，對廣播電視系統的資訊安全建設具有重要的參考意義。