... 护软件导致系统运行缓慢性能下降, 或者出于安全监管的抵触心理, 为逃避监管, 私自卸载或者更改安全防护软件的配置, 造成一定数量的终端长期存在安全漏洞和安全隐患另一方面, 随着桌面安全基线策略的推广实施, 新增的注册表组策略等安全策略都需要借助行政手段推进执行, 并且无法保证终

Size: px

Start display at page:

Download "... 护软件导致系统运行缓慢性能下降, 或者出于安全监管的抵触心理, 为逃避监管, 私自卸载或者更改安全防护软件的配置, 造成一定数量的终端长期存在安全漏洞和安全隐患另一方面, 随着桌面安全基线策略的推广实施, 新增的注册表组策略等安全策略都需要借助行政手段推进执行, 并且无法保证终"

湍顾田
7 years ago
Views:

1 ... 中图分类号 :TP319 文献标志码 :B 文章编号 : X(2014) 电网企业桌面终端体系研究与设计贾楠, 马传国, 张倩红, 焦洋, 鹿一鸣 ( 国网东营供电公司, 山东东营 ) 摘要 : 桌面终端作为信息和业务活动的载体, 已成为电网企业信息安全的薄弱环节文章通过对当前桌面终端安全现状进行分析, 指出了影响终端安全的主要问题, 提出了一种全方位的桌面终端体系, 并从技术体系服务体系管理体系 3 个层面给出了防护体系的建设思路, 对电网企业桌面终端体系的建设有着很强的指导意义关键词 : 电网企业 ; 信息安全 ; 桌面终端 ; 防护体系 0 引言近年来, 桌面终端导致的违规外联信息泄密非授权访问等安全事件呈上升趋势, 终端安全已成为电网企业信息安全的短板大多数电网企业虽然集中部署了防火墙入侵防御系统防病毒系统等软硬件设备, 但信息安全形势仍不乐观究其根源, 企业没有构建以终端管理为核心的信息体系, 缺乏整体的终端管理视图, 导致终端管理工作疲于救火因此, 企业要建立全面立体的信息安全防护体系, 就不能忽视终端管理, 强化针对终端的弱点管理远比解决外部安全威胁问题更为重要建设一个有效的桌面终端体系, 从被动防护寻求主动防御, 通过制定统一的终端管理策略流程和技术手段, 从源头上消除安全威胁和漏洞, 不仅能保障终端的安全可用, 还能提升整个企业信息安全防护能力, 促进电网企业业务应用系统的安全稳定高效运行 [1-3] 1 桌面终端安全问题分析电网企业运行业务多终端数量多且地理位置分散, 用户知识水平参差不齐, 使得终端形势更为复杂严峻目前, 电网企业内部桌面终端主要存在以下几个安全问题 [4] 1.1 终端入网缺乏必要的安全准入机制电网企业内部终端数量众多, 人员流动频繁, 部分外来非授权终端未经任何身份认证和安全认证随意接入企业内部网络并访问核心资源, 很容易导致企业机密信息泄漏, 并且无法对泄密环节进行追溯另外, 对于内网授权终端不及时安装操作系统关键补丁防病毒软件等, 存在较大的安全风险更有少数用户私自卸载防病毒软件非法更改计算机配置等, 使终端计算机长期处于高危状态, 一旦将病毒木马等恶意代码引入企业内网, 就会导致网络其他终端和服务器大面积感染, 发起网络攻击, 以至阻塞正常网络 [5] 1.2 终端运行缺乏有效的安全加固措施电网企业内部终端型号规格配置都不尽相同, 操作系统也涵盖了 Windows 平台的各个产品, 尽管已经通过强制安装进行了部分安全加固措施, 如安装了防病毒软件和北信源桌面系统 [6], 甚至部署了漏洞扫描系统终端配置检查系统定期对桌面终端进行安全扫描, 督促用户及时更新操作系统补丁, 但这些措施往往收效甚微部分用户担心安装安全防 120

2 ... 护软件导致系统运行缓慢性能下降, 或者出于安全监管的抵触心理, 为逃避监管, 私自卸载或者更改安全防护软件的配置, 造成一定数量的终端长期存在安全漏洞和安全隐患另一方面, 随着桌面安全基线策略的推广实施, 新增的注册表组策略等安全策略都需要借助行政手段推进执行, 并且无法保证终端用户的有效执行, 使得整个企业内部存在安全隐患 1.3 终端管控缺乏有效的行为审计手段针对电网企业内部用户上网行为, 目前还没有有效的安全监控和日志审计手段, 部分用户随意安装运行与工作无关的软件, 而这些软件很有可能携带病毒木马等恶意代码 ; 或者随意拷贝修改传输涉密文件, 违规使用涉密移动存储设备, 造成信息涉密事件的发生 ; 或者故意在终端运行不良软件, 传播病毒等恶意代码, 实施破坏和泄密由于缺少有效的行为监控风险预警和事后审计手段, 对于用户的违法行为, 事后不能有效追究 2 桌面终端体系建设电网企业桌面终端体系建设可以从技术体系管理体系和服务体系 3 个层面统筹考虑 [7] 三分技术, 七分管理, 管理体系的作用不言而喻, 其中, 管理体系构建了以终端全生命周期为核心的安全管理策略合集 ; 技术体系涵盖了终端管理的方方面面的关键技术 ; 而服务体系贯穿整个过程, 以服务的方式面向用户和终端资产 2 个层面落实企业终端管理策略, 确保终端安全管理策略的有效执行 [8-9] 桌面终端体系如图 1 所示图 1 桌面终端体系 Fig.1 Desktop terminal security system 2.1 服务体系终端安全服务体系主要由服务制度服务流程服务队伍服务平台等组成, 涉及制度人终端 3 个因素, 其中制度是规范终端安全管理工作的基本保障, 也是流程建立的基础服务队伍中的相关人员遵照制度要求和标准化流程, 依托国家电网公司统推的信息运维监管系统 (IMS) 对各类终端对象进行规范化管理和服务支持 [10] 1) 服务制度和流程为确保终端安全管理服务工作正常有序高效协调地进行, 根据国家电网公司信息安全管理内容和要求制定一系列管理制度, 覆盖各类终端对象, 包括从终端准入维保下线安全管理以及应急处理的各个方面此外, 为实现终端管理服务工作流程的规范化和标准化, 应制定流程服务规范, 确定各流程中的岗位设置职责分工以及流程执行过程中约束关系 2) 服务队伍电网企业应根据岗位设置和职责分工, 配备终端安全管理一线二线服务支持人员, 组成高效协作的服务队伍, 集中处理终端安全问题 3) 服务平台依托 IMS 系统的 IT 服务管理模块, 通过系统手段固化标准化流程, 积累和管理知识库并开展终端安全管理工作, 包括事件管理问题管理变更管理和配置管理等 2.2 技术体系终端安全技术体系主要由活动目录域 (AD 域 ) 终端准入软件分发和补丁管理终端安全管理资产和配置管理组成, 覆盖桌面终端生命周期安全管控的所有关键技术 [11] 1)AD 域技术 AD 域是实施终端管理的基础, 也是构建安全技术体系的基础所有企业内部网络资源 ( 包括用户信息 ) 都可以在活动目录域上进行维护, 有利于资源的集中管理终端管理安全人员通过限制终端用户安装高风险软件, 增强桌面终端的安全性 ; 分发指定软件和系统漏洞补丁, 实现软件部署的统一性, 便于对缺陷故障的分析和处理, 从而提高终端运维工作的效率 2) 终端准入技术终端准入是一种主动式网络安全管理技术, 体现了主动防护的理念, 能有效增强网络的安全性目前比较流行准入控制技术有 RADIUS 认证 Portal 认证 802.1x 认证等, 其基本原理是在终端接入网络前, 必须先接受身份认证和安全度量, 只有可信并且符合安全策略的终端才获 121

3 ... 准接入网络, 拒绝未授权和不符合安全策略的终端设备接入, 或将其放入隔离区加以修复, 或仅允许其访问限定网络资源 [12] 3) 软件分发和补丁管理技术软件分发和补丁管理技术可以通过软件分发功能将软件或者补丁手工或按计划分发给相应桌面终端, 终端也可以自动检查补丁状况, 识别需要更新的补丁, 自动下载并安装, 简化终端的维护工作量 4) 终端安全管理技术终端安全管理包括终端系统配置检查用户行为监控网络应用监控等安全管控技术, 企业可以根据自身特点定制安全策略, 针对不同点控制点可以采取不同策略, 通过安全策略强制所有终端执行公司的管理制度, 并且通过用户行为和网络应用监控技术, 实时动态监测网络行为和网络流量, 发现和捕获各种敏感信息违规行为, 实时报警响应, 全面记录终端安全管理中的各种会话和事件, 实现对终端信息的智能关联分析评估及安全事件的准确全程跟踪定位, 为终端安全策略的制定提供权威可靠的支持 5) 资产和配置管理技术利用资产和配置管理技术可以有效收集桌面终端的运行参数和配置状况, 涵盖终端的 CPU 内存硬盘等硬件信息和操作系统版本注册表系统进程等系统参数, 方便终端安全管理人员排查终端安全隐患, 及时发现告警阻断用户的潜在违规行为, 并远程协助用户进行安全加固 2.3 管理体系管理体系是桌面终端体系建设的重点, 构建以终端全生命周期为核心的安全管理策略集合, 涵盖终端标准化管理终端安全准入管理终端安全管理终端行为管理终端资产和配置管理等方面, 能够实现对桌面终端信息资产和人员的全面实时联动防护, 以消除各种系统漏洞和人员意识疏漏所产生的终端安全问题桌面终端安全管理体系如图 2 所示 1) 终端标准化管理电网企业应综合考虑终端硬件现状和信息化发展要求, 依据从实际出发, 满足工作需要的原则, 规范新购置终端的硬件配置标准, 其内容包括规范内部终端硬件使用的最小配置要求和新购置主机的配置范围硬件配置标准的制定将参照各个岗位所使用的业务系统资源和配置最低需求, 并充分考虑未来几年的发展趋势同时根图 2 桌面终端安全管理体系 Fig.2 Desktop terminal security management system 据具体业务要求, 确定统一的终端软件配置标准, 其内容包括正版化操作系统办公系统软件防病毒软件北信源桌面系统软件等多种允许在终端上安装和使用的软件, 并随公司业务发展和软件需求的变化, 每年更新终端配置标准中的内容 2) 终端安全准入管理借助 H3C 公司的 EAD 终端准入控制系统, 提供完整的终端安全准入管理通过提供的多种身份认证方式, 如用户名 / 口令 IP/ MAC 地址 AD 域等, 保护企业核心资源不被外来非授权终端访问, 并且检测终端的安全状态, 包括北信源桌面系统防病毒软件中高危系统漏洞补丁的安装情况等, 根据安全状态的检查结果实施接入控制策略, 使安全的终端接入网络, 不安全的终端放在隔离区强制进行病毒库或补丁升级, 从而使入网的用户和设备有较高的健康度和可信度 3) 终端安全管理利用北信源桌面终端系统, 管理终端计算机的软硬件资源, 监控终端计算机的运行状态和违规外联行为, 完成对终端计算机的软件与进程管理安全加固外设管理运行异常监控, 确保经过认证授权的用户能够按照授权许可的安全策略正确地使用和操作, 避免因终端计算机的非受控使用而引起的敏感信息泄漏行为 4) 终端行为管理利用北信源桌面终端系统对终端用户的网络应用控制收发邮件下载控制带宽使用控制等各种网络访问和使用行为, 以及对终端用户对终端操作系统和文件的操作访问行为进行管理和控制通过对终端用户的网络访问行为和终端操作行为的统一管控, 实现对终端用户各种行为的可管可控, 保障网络访问网络流量网站访问的安全与顺畅, 避免终端用户的非授权访问而引发的 122

4 ... 信息泄密事故 5) 终端资产和配置管理通过北信源桌面终端系统和 H3C 的 EAD 系统联动, 收集和上报终端的软硬件资产信息, 提供丰富的资产统计报表和资产变更报表, 实现了对终端资产全方位的监控和管理, 可以对终端软硬件使用变更情况进行监控, 同时还支持对终端资产的配置管理和软件的统一下发, 统一管理企业终端资产, 提高工作效率, 降低维护成本 3 结语桌面终端管理工作点多面广, 已成为信息安全管理工作的重点和难点本文充分考虑国家电网公司终端的业务需求, 尝试给出了电网企业桌面终端体系的建设思路, 为各单位终端管理工作提供指导意见同时, 要做好此项工作, 还须各单位结合实际, 建立和完善终端信息体系, 管理措施和技术手段并用, 不断探索和实践, 常抓不懈, 才能从源头上消除安全漏洞与威胁缺口, 变被动防护为主动防御, 全面提升整个企业的终端安全防御水平参考文献 : [1] 刘丽. 电力企业计算机桌面终端管理系统应用探讨 [J]. 宁夏电力, 2010(S1): [2] 董立勉, 胡立兰, 侯波涛, 等. 电网企业桌面终端信息安全管理实践 [J]. 广东电力, 2012, 25(6): DONG Li-mian, HU Li-lan, HOU Bo-tao, et al. Practice of PC s information security management in power grid enterprise[j]. Guangdong Electric Power, 2012, 25(6): [3] 杨庆明, 杜保东. 桌面终端技术企业网管理中的应用研究 [J]. 计算机安全, 2010(10): YANG Qing-ming, DU Bao-dong. Application and research of endpoint protection in enterprise network administration[j]. Computer Security, 2010(10): [4] 尚高峰. 行业信息网络系统终端安全管理体系建设研究 [J]. 计算机安全, 2011(9): SHANG Gao-feng. The research of industry information system terminal-security management system[j]. Computer Security, 2011(9): [5] 彭斌. 网络准入与终端安全立体保障电力信息安全 [J]. 电力信息化, 2009,7(10): [6] 徐沛沛. 桌面终端远程运维管理系统研究与设计 [J]. 电力信息化, 2012, 10(6): XU Pei-pei. Research and design of remote operation and maintenance management system for desktop terminal[j]. Electric Power Information Technology, 2012, 10(6): [7] GA/T 信息系统安全等级保护体系框架 [S] [8] 赖劲松. 商业银行终端桌面安全解决方案的构建 [J]. 中国金融电脑, 2009(4): LAI Jin-song.Construction of the terminal desktop security solution in commercial banks[j]. Financial Computer of China, 2009(4): [9] 张红旗. 企业桌面安全系统应用与研究 [J]. 信息系统工程, 2012(3): [10] 王锐. 构筑企业级终端安全管理平台 [J]. 电子技术与软件工程, 2013(15): [11] 贾君君, 王文庭, 杨扬. 关于大型企业桌面安全管理建设探索 [J]. 中国管理信息化, 2012, 15(14): [12] 杨小宁, 李晓娥. 桌面终端管理系统深化应用探析 [J]. 电力信息化, 2011, 9(12): YANG Xiao-ning, LI Xiao-e. Analysis of deepening the application of desktop terminal management system[j]. Electric Power Information Technology, 2011, 9(12): 编辑邹海彬收稿日期 : 作者简介 : 贾楠 (1984 ), 男, 山东东营人, 工程师, 从事桌面终端运维工作 ; 马传国 (1982 ), 男, 山东青州人, 工程师, 从事信息运维管理工作 ; 张倩红 (1969 ), 女, 宁夏银川人, 高级工程师, 从事信息运维工作 ; 焦洋 (1986 ), 男, 山东东阿人, 工程师, 从事信息运维工作 ; 鹿一鸣 (1989 ), 男, 山东莱西人, 助理工程师, 从事信息运维工作 123

... Research and Design of Desktop Terminal Security Protection System for Power Grid Enterprise JIA Nan, MA Chuan-guo, ZHANG Qian-hong, JIAO Yang, LU Yi-ming (State Grid Dongying Power Supply

5 ... Research and Design of Desktop Terminal Security Protection System for Power Grid Enterprise JIA Nan, MA Chuan-guo, ZHANG Qian-hong, JIAO Yang, LU Yi-ming (State Grid Dongying Power Supply Company, Dongying , China) Abstract: Desktop terminal as carrier of information and business activities in power grid enterprise has become a weak point in the information security of power grid enterprises. A comprehensive desktop security protection system is proposed after the status and problem analysis of current desktop terminal security. The construction idea of protection system is presented at three levels of technical system, service system and management system, which provides guidance for the construction of desktop terminal security protection system in power grid enterprise. Key words: power grid enterprise; information security; desktop terminal; protection system 5 分部信息通信系统纳入国网信通分公司一体化调控运行 2014 年 7 月 11 日, 国家电网公司信息通信分公司与国网华北分部完成信息通信调控业务交接至此, 国网华北华东华中西北东北 5 个分部信息通信调度值班运行监视故障受理故障处置指挥调度指挥工作已全部纳入国网信通分公司一体化调控运行总部分部一体化信息通信运维服务工作是三集五大体系建设的重要内容, 是总部分部一体化运作的重要组成部分 2013 年 10 月, 国家电网公司党组会议要求逐步实现总部分部信息通信统一调度监视和运维集中管理, 构建国网信通分公司和属地运维单位高效协同的一体化信息通信运维服务体系总部分部一体化信息通信运维体系建成后, 总部分部信息通信运维业务由原来的 1+5 分级承担, 转变为总部分部信息系统国家电网公司一二级通信网由国网信通分公司集中调度管理, 跨省通信电路统一由国网信通分公司承担调度任务, 实现信息通信调度层级精减和统一, 有力促进信息通信调度体系的集约化发展 5 个分部通信光缆总长度达到 5.3 万 km, 业务数量设备数量和涉及的输电线路分别是国网信通分公司原有规模的 8.17 倍 2.3 倍和 22.7 倍目前 5 个分部的 7 24 h 调度值班工作, 仅由国网信通分公司 2 名调度值班员集中监控就可完成, 实现了人员精简和复用分部复杂的网络结构和庞大的业务量对调度员的应急处置能力和调度指挥能力提出更高要求, 调度人员工作能力的培养和提升是核心和关键, 总部分部一体化信息通信调控业务的推进为实现信息通信调度人员的复合型培养和互济使用探索了新路当前,5 分部信息通信系统纳入国网信通分公司一体化调控运行只是总部分部一体化信息通信运维服务体系建设的第一步下一步, 在实现总部分部信息通信运维工作流程管理制度支撑平台统一的基础上, 总部分部信息通信网络资源将在更大范围内进行优化配置, 运维管理和运维队伍资源将有望进一步整合共享, 实现总部分部国网信通分公司属地运维单位高效协同, 提高信息通信系统运营整体效益, 更有力支撑国家电网公司三集五大体系建设深化运作 124

... ELECTRIC POWER IT Business Strategic PlanningBSP ITSP IS IT 2 传统 IT 规划方法分析 IT IT 20 IT IBM [2] 2 IT IT 20 80 [4] John Handerson 1994 IT 3 特

... ELECTRIC POWER IT Business Strategic PlanningBSP ITSP IS IT 2 传统 IT 规划方法分析 IT IT 20 IT IBM [2] 2 IT IT 20 80 [4] John Handerson 1994 IT 3 特电网企业信息化规划方法与应用 1 2 2 1 4500522 453002 0 引言 IT 1 IT 规划相关概念介绍 IT IT planning IT [1] IT IS Information System Strategic Planning ISSPIT Information Technology Strategic Planning ITSP