前言：本站為你精心整理了煙草公司網(wǎng)絡(luò)防護(hù)研究范文，希望能為你的創(chuàng)作提供參考價(jià)值，我們的客服老師可以幫助你提供個(gè)性化的參考范文，歡迎咨詢。

本文作者：楊波作者單位：安徽中煙工業(yè)有限公司

安全域劃分方式

1安全域劃分模型。根據(jù)安徽中煙網(wǎng)絡(luò)和業(yè)務(wù)現(xiàn)狀，安徽中煙提出了如下安全域劃分模型，將整個(gè)網(wǎng)絡(luò)劃分為互聯(lián)網(wǎng)接口區(qū)、內(nèi)部網(wǎng)絡(luò)接口區(qū)，核心交換區(qū)，核心生產(chǎn)區(qū)四部分：核心生產(chǎn)區(qū)本區(qū)域僅和該業(yè)務(wù)系統(tǒng)其它安全子域直接互聯(lián)，不與任何外部網(wǎng)絡(luò)直接互聯(lián)。該業(yè)務(wù)系統(tǒng)中資產(chǎn)價(jià)值最高的設(shè)備位于本區(qū)域，如服務(wù)器群、數(shù)據(jù)庫以及重要存儲設(shè)備，外部不能通過互聯(lián)網(wǎng)直接訪問該區(qū)域內(nèi)設(shè)備。內(nèi)部互聯(lián)接口區(qū)本區(qū)域放置的設(shè)備和公司內(nèi)部網(wǎng)絡(luò)，包括與國家局，商煙以及分支煙草連接的網(wǎng)絡(luò)?；ヂ?lián)網(wǎng)接口區(qū)本區(qū)域和互聯(lián)網(wǎng)直接連接，主要放置互聯(lián)網(wǎng)直接訪問的設(shè)備。該區(qū)域的設(shè)備具備實(shí)現(xiàn)互聯(lián)網(wǎng)與內(nèi)部核心生產(chǎn)區(qū)數(shù)據(jù)的轉(zhuǎn)接作用。核心交換區(qū)負(fù)責(zé)連接核心生產(chǎn)區(qū)、內(nèi)部互聯(lián)接口區(qū)和外部互聯(lián)接口區(qū)等安全域。

2安全域邊界整合。1）整合原則。邊界整合原則是主要依據(jù)分等級保護(hù)的原則和同類安全域合并。分等級防護(hù)是安全域方法的基本思想，這自然不必多說，同類安全域合并原則在落實(shí)時(shí)應(yīng)以一下思想為指導(dǎo)：集中化：在具備條件的情況下，同一業(yè)務(wù)系統(tǒng)應(yīng)歸并為一個(gè)大的安全域；次之，在每個(gè)機(jī)房的屬于同一數(shù)據(jù)業(yè)務(wù)系統(tǒng)的節(jié)點(diǎn)應(yīng)歸并為一個(gè)大的安全域?？缦到y(tǒng)整合：不同的數(shù)據(jù)業(yè)務(wù)系統(tǒng)之間的同類安全域應(yīng)在保證域間互聯(lián)安全要求的情況下進(jìn)行整合，以減小邊界和進(jìn)行防護(hù)。最小化：應(yīng)將與外部、內(nèi)部互聯(lián)的接口數(shù)量最小化，以便于集中、重點(diǎn)防護(hù)。2）整合方法。為了指導(dǎo)邊界整合，安徽中煙提出了兩種邊界整合方法、適用場景。這些邊界整合方法都側(cè)重于跨系統(tǒng)或同一系統(tǒng)不同節(jié)點(diǎn)間的邊界整合，側(cè)重于數(shù)據(jù)業(yè)務(wù)系統(tǒng)與互聯(lián)網(wǎng)、外部系統(tǒng)間的接口的整合。（1）單一傳輸出口的邊界整合此種整個(gè)方法適用于：具備傳輸條件和網(wǎng)絡(luò)容災(zāi)能力，將現(xiàn)有數(shù)據(jù)業(yè)務(wù)系統(tǒng)和互聯(lián)網(wǎng)的傳輸接口整合至單一或幾個(gè)互備接口。（2）多個(gè)傳輸出口的邊界整合此種整個(gè)方法適用于：數(shù)據(jù)業(yè)務(wù)系統(tǒng)和互聯(lián)網(wǎng)之間有多個(gè)物理位置不同的接口，并且尚不具備傳輸條件整合各接口。

安全防護(hù)策略

1安全防護(hù)原則

集中防護(hù)。通過安全域劃分及邊界整合后，可以形成所謂的“大院”，減少了邊界，進(jìn)而可以在安全域的邊界和內(nèi)部部署防火墻、入侵檢測系統(tǒng)的網(wǎng)絡(luò)探頭、異常流量檢測和過濾設(shè)備、網(wǎng)絡(luò)安全管控平臺的采集設(shè)備、防病毒系統(tǒng)的客戶端等基礎(chǔ)安全技術(shù)防護(hù)手段，集中部署基礎(chǔ)安全服務(wù)設(shè)施，對不同業(yè)務(wù)系統(tǒng)、不同的安全子域進(jìn)行防護(hù)，共享其提供的安全服務(wù)。分等級防護(hù)。根據(jù)煙草行業(yè)信息安全等級保護(hù)要求，對不同的數(shù)據(jù)業(yè)務(wù)系統(tǒng)、不同的安全子域，按照其保護(hù)等級進(jìn)行相應(yīng)的防護(hù)。對于各系統(tǒng)共享的邊界按“就高不就低”的原則進(jìn)行防護(hù)?？v深防護(hù)。從外部網(wǎng)絡(luò)到核心生產(chǎn)域，以及沿用戶（或其他系統(tǒng)）訪問（或入侵）系統(tǒng)的數(shù)據(jù)流形成縱深的安全防護(hù)體系，對關(guān)鍵的信息資產(chǎn)進(jìn)行有效保護(hù)。

2系統(tǒng)安全防護(hù)

為適應(yīng)安全防護(hù)需求，統(tǒng)一、規(guī)范和提升網(wǎng)絡(luò)和業(yè)務(wù)的安全防護(hù)水平，安徽中煙制定了由安全域劃分和邊界整合、設(shè)備自身安全、基礎(chǔ)安全技術(shù)防護(hù)手段、安全運(yùn)行管理平臺四層構(gòu)成的安全技術(shù)防護(hù)體系架構(gòu)。其中，安全域劃分和邊界整合是防護(hù)體系架構(gòu)的基礎(chǔ)。

1）設(shè)備自身安全功能和配置。一旦確定了設(shè)備所在的安全域，就可以根據(jù)其落入的安全域防護(hù)策略對設(shè)備進(jìn)行安全功能設(shè)置和策略部署。針對設(shè)備的安全配置，安徽中煙后期會制定《安徽中煙設(shè)備安全功能和配置系列規(guī)范》提供指導(dǎo)。

2）基礎(chǔ)安全技術(shù)防護(hù)手段。業(yè)務(wù)系統(tǒng)的安全防護(hù)應(yīng)以安全域劃分和邊界整合為基礎(chǔ)，通過部署防火墻、入侵檢測、防病毒、異常流量檢測和過濾、網(wǎng)絡(luò)安全管控平臺等5類通用的基礎(chǔ)安全技術(shù)防護(hù)手段進(jìn)行防護(hù)。在通用手段的基礎(chǔ)上，還可根據(jù)業(yè)務(wù)系統(tǒng)面臨的威脅種類和特點(diǎn)部署專用的基礎(chǔ)安全技術(shù)防護(hù)手段，如網(wǎng)頁防篡改、垃圾郵件過濾手段等。防火墻部署防火墻要部署在各種互聯(lián)邊界之處：在互聯(lián)網(wǎng)接口區(qū)和互聯(lián)網(wǎng)的邊界必須部署防火墻；在核心交換區(qū)部署防火墻防護(hù)互聯(lián)網(wǎng)接口區(qū)、內(nèi)部互聯(lián)接口區(qū)和核心生產(chǎn)區(qū)的邊界；在內(nèi)部互聯(lián)接口區(qū)和內(nèi)部網(wǎng)絡(luò)的邊界也需部署防火墻?？紤]到內(nèi)部互聯(lián)風(fēng)險(xiǎn)較互聯(lián)網(wǎng)低，內(nèi)部互聯(lián)接口區(qū)防火墻可復(fù)用核心交換區(qū)部署的防火墻。另外，對于同一安全域內(nèi)的不同安全子域，可采用路由或交換設(shè)備進(jìn)行隔離和部署訪問控制策略，或者采用防火墻進(jìn)行隔離并設(shè)置訪問控制策略。入侵檢測設(shè)備的部署應(yīng)在互聯(lián)網(wǎng)接口區(qū)、內(nèi)部互聯(lián)接口區(qū)必須部署入侵檢測探頭，并統(tǒng)一接受網(wǎng)管網(wǎng)集中部署的入侵檢測中央服務(wù)器的控制。在經(jīng)濟(jì)許可或相應(yīng)合理要求下，也可在核心交換區(qū)部署入侵檢測探頭，實(shí)現(xiàn)對系統(tǒng)間互訪的監(jiān)控。防病毒系統(tǒng)的部署運(yùn)行Windows操作系統(tǒng)的設(shè)備必須安裝防病毒客戶端，并統(tǒng)一接受網(wǎng)管網(wǎng)集中部署的防病毒中央控制服務(wù)器的統(tǒng)一管理。同時(shí)，為了提高可用性和便于防護(hù)，可在內(nèi)部互聯(lián)接口區(qū)部署二級防病毒服務(wù)器。異常流量檢測和過濾可在數(shù)據(jù)業(yè)務(wù)系統(tǒng)互聯(lián)網(wǎng)接口子域的互聯(lián)網(wǎng)邊界防火墻外側(cè)部署異常流量檢測和過濾設(shè)備，防范和過濾來自互聯(lián)網(wǎng)的各類異常流量。網(wǎng)絡(luò)安全管控平臺網(wǎng)絡(luò)安全管控平臺應(yīng)部署在網(wǎng)管網(wǎng)側(cè)，但為了簡化邊界和便于防護(hù)，建議：在內(nèi)部互聯(lián)接口區(qū)部署帳號口令采集設(shè)備以實(shí)現(xiàn)帳號同步等功能。在內(nèi)部互聯(lián)接口區(qū)必須部署日志采集設(shè)備，采集業(yè)務(wù)系統(tǒng)各設(shè)備的操作日志。

3）應(yīng)用層安全防護(hù)。數(shù)據(jù)業(yè)務(wù)系統(tǒng)應(yīng)用安全防護(hù)主要是防范因業(yè)務(wù)流程、協(xié)議在設(shè)計(jì)或?qū)崿F(xiàn)方面存在的漏洞而發(fā)生安全事件。其安全防護(hù)與系統(tǒng)架構(gòu)、業(yè)務(wù)邏輯及其實(shí)現(xiàn)等系統(tǒng)自身的特點(diǎn)密切相關(guān)。安徽中煙通過參考IAARC模型，提出鑒別和認(rèn)證、授權(quán)與訪問控制、內(nèi)容安全、審計(jì)、代碼安全五個(gè)防護(hù)方面。

4）安全域的管理。除了實(shí)施必要的安全保障措施控制外，加強(qiáng)安全管理也是不可缺少的一個(gè)重要環(huán)節(jié)。安全域管理主要包括：從安全域邊界的角度考慮，應(yīng)提高維護(hù)、加強(qiáng)對邊界的監(jiān)控，對業(yè)務(wù)系統(tǒng)進(jìn)行定期或不定期的風(fēng)險(xiǎn)評估及實(shí)施安全加固；從系統(tǒng)的角度考慮，應(yīng)規(guī)范帳號口令的分配，對服務(wù)器應(yīng)嚴(yán)格帳號口令管理，加強(qiáng)補(bǔ)丁的管理等；人員安全培訓(xùn)。