符合电力市场技术支持系统的网络信息安全解决(2)
2013-04-28 01:19
导读：桶的最大容积取决于最脆弱的一块木板 。网络信息系统是一个复杂的计算机系统, 它自身在物理上、 操作上和管理上的种种漏洞构成了系统的安全脆弱性
桶的最大容积取决于最脆弱的一块木板” 。网络信息系统是一个复杂的计算机系统, 它自身在物理上、 操作上和管理上的种种漏洞构成了系统的安全脆弱性, 尤其是多用户网络系统自身的复杂性、资源共享性使单纯的技术保护防不胜防。攻击者使用的是 “最易渗透原则” , 必然攻击系统中最薄弱的地方。 因此, 需要充分、 全面、 完整地对系统的安全漏洞及安全威胁进行分析、 评估和检测(包括模拟攻击) , 以提高整个系统“安全最低点” 的安全性能。
2 . 5 有的放矢、 各取所需原则
实际上, 因为网络系统的设计受到经费的限制,所以, 在考虑安全问题解决方案时必须考虑性能价格的平衡, 而且不同的网络系统所要求的安全侧重点各不相同。电力部门侧重于身份认证、 安全防护、网络容错、 信息加密和物理隔离等功能。 必须有的放矢, 具体问题具体分析, 把有限的经费花在刀刃上。
2 . 6 权限分割、 互相制约、 最小化原则
在很多系统中都有一个系统超级用户或系统管理员, 拥有对系统全部资源的存取和分配权, 其安全至关重要, 如果不加以限制, 有可能由于超级用户的恶意行为、 口令泄密、 偶然破坏等对系统造成不可估量的损失和破坏。 因此, 有必要对系统超级用户的权限加以限制, 实现特权最小化原则。管理权限交叉,由几个管理用户来动态地控制系统的管理, 实现互相制约。而普通用户, 则实现操作权限最小原则, 不允许其进行非授权以外的操作。
2 . 7 自主和可控性原则
计算机网络安全与保密问题关系着一个国家的主权和安全, 所以计算机网络安全产品不可能完全从国外进口。 因此, 必须解决计算机网络安全产品的自主权和自控权问题, 建立我国自主的计算机网络安全产品和产业。 同时, 为了防止安全技术被不正当的用户使用, 必须采取相应的措施, 例如密钥托管技术等, 对其进行控制。
（转载自http://www.ＮＳＥＡＣ.com中国科教评价网）
2 . 8 信息安全系统的 “动态化” 原则
整个系统内尽可能引入更多的可变因素, 并具有良好的扩展性。如果被加密信息在被破译之前就失去了保密的必要性, 即使加密算法不是牢不可破的, 被保护的信息也是安全的。因此, 被加密信息的生存期越短、 可变因素越多, 系统的安全性能就越高, 如周期性地更换口令和主密钥, 安全传输采用一次性的会话密钥, 动态选择和使用加密算法等。 另一方面, 由于各种密码攻击和破译手段在不断发展, 用于破译运算的资源和设备性能也在迅速提高, 因此,所谓的 “安全” , 也只是相对的和暂时的, 不存在一劳永逸的信息安全系统, 应该根据攻击手段的发展进行相应的更新和升级。
2 . 9 信息安全系统的 “等级性” 原则
良好的信息安全系统必然分为不同级别。 包括:对信息保密程度分级(绝密、 机密、 秘密、 普密) ; 对用户操作权限分级(面向个人或面向群组) ; 对计算机网络安全程度分级(内网、 非军事区或外网) ; 对系统实现结构分级(应用层、 网络层、 链路层等)。针对不同级别的安全对象, 提供全面、 可选的安全算法和安全体制, 以满足网络中各种不同层次的实际需求。
2 . 10 设计为本的原则
安全和保密系统的设计应与网络设计相结合。如果考虑不周, 不仅会造成经济上的巨大损失, 而且也会对系统造成无法挽回的损失。 因此, 必须群策群力搞好设计, 才能保证安全性。
3 电力市场技术支持系统的安全体系
在设计省级电力市场技术支持系统时, 以安全设计原则为指导思想, 采用多种措施, 从调度中心侧、 广域网、 电厂侧3 级进行安全体系设计。
（科教作文网http://zw.nseac.com编辑发布）
3 . 1 调度中心侧网络的安全体系设计
a. 调度中心侧虚拟局域网(VLAN )划分与设计: 将不同的应用逻辑隔离开, 使得不同应用间的通信完全在管理者的控制范围之内, 只有在权限允许范围之内的VLAN 间才能通信。
b . 访问控制列表(ACL ——access control list)的设计: ACL 是控制不同VLAN、 不同网段间进行访问时所采用的一种包过滤技术, 包括标准ACL 技术和扩展ACL 技术2 类。
c . 核心交换机端口与服务器媒体接入控制(MAC)地址的绑定: 只有具备指定MAC 地址的服务器和客户机才能从交换机的指定端口传输数据。d . 在调度中心侧和电厂侧采用北京天融信公司的硬件防火墙: 采用硬件防火墙的目的是将调度中心侧和电厂侧安全隔离。 对于调度中心侧, 对进入内网的数据包进行严格过滤, 并随着应用的需求不断调整防范策略。
e . 基于Cisco ACS 的TACACS+ 安全认证: 考虑到调度中心移动办公系统及电力市场拨号备份安全认证的需要, 在调度中心侧采用Cisco SecureACS软件作为TACACS+ 服务器, 实现口令认证。通过它统一对调度中心侧所有的拨号访问服务进行AAA 认证。 f . 在Catalyst6509 中增加入侵检测系统( I DS)模块: 为进一步保护来自外界对核心系统的黑客攻击, 尤其是透过核心交换机对核心服务器的攻击, 在Catalyst6509 交换机上加装 I DS 模块。它的最大特点是: 对来自任意VLAN 或网段的攻击, 只要 “入侵” 经过Catalyst6509 交换机, 它就能及时报警, 并将警报信息实时反馈到后台的D irector 服务器上。g . 基于网络扫描的Cisco Secure Scanner 系统:选用 Scanner 软件系统, 由系统管理员定期在内网或外网对核心交换机和核心服务器进行安全漏洞扫描, 以便及时发现安全隐患, 及早采用补救措施, 提高系统抵御黑客攻击的能力。
（科教范文网 fw.nseac.com整理）
3 . 2 广域网的安全体系设计
a. IPSec 的网络加密: 在数据传输中采用具备IPSec 功能的Cisco 路由器 I OS 软件版本。IPSec 是一系列加密技术中加密标准定义的集合, IPSec 在IP 层实现安全。所有在广域网传输的数据均可经过IPSec 加密ö 解密。
b . 申请永久虚电路
