網(wǎng)絡安全概述

近年來網(wǎng)絡與信息技術高速發(fā)展，移動互聯(lián)網(wǎng)、云計算、大數(shù)據(jù)、區(qū)塊鏈、人工智能、工業(yè)互聯(lián)網(wǎng)、物聯(lián)網(wǎng)、智能制造、智慧城市等新興基礎設施和應用不斷出現(xiàn)，網(wǎng)上購物、無卡支付、自動駕駛、共享經(jīng)濟在網(wǎng)絡與信息技術的發(fā)展驅動之下成為現(xiàn)實并快速普及，人們在享受著網(wǎng)絡與信息技術所創(chuàng)造新經(jīng)濟奇跡的同時已經(jīng)悄然進入了萬物互聯(lián)的IoT時代。

黨和國家領導人歷來重視網(wǎng)絡與信息安全工作，中共中央總書記、國家主席、中央軍委主席、中央網(wǎng)絡安全和信息化委員會組長習近平2014年2月27日下午主持召開中央網(wǎng)絡安全和信息化領導小組第一次會議并發(fā)表重要講話。他強調(diào)：“沒有網(wǎng)絡安全就沒有國家安全，沒有信息化就沒有現(xiàn)代化。網(wǎng)絡安全和信息化是事關國家安全和國家發(fā)展、事關廣大人民群眾工作生活的重大戰(zhàn)略問題，要從國際國內(nèi)大勢出發(fā)，總體布局，統(tǒng)籌各方，創(chuàng)新發(fā)展，努力把我國建設成為網(wǎng)絡強國”。

綜上，現(xiàn)如今網(wǎng)絡安全已經(jīng)是一項有關國家、民生的事項。

 風險分析

根據(jù)生產(chǎn)網(wǎng)絡的現(xiàn)狀和脆弱性，其面臨的風險如下：

  入侵威脅

任何操作系統(tǒng)都不可避免的存在bug，并且新安全漏洞不斷的被發(fā)現(xiàn)，因此系統(tǒng)本身的脆弱性是不可能完全避免的。網(wǎng)站平臺的互聯(lián)網(wǎng)出口處僅由路由器進行基礎網(wǎng)絡控制，不能對應用層的惡意代碼進行檢測。因此來自Internet的惡意入侵者可以通過發(fā)起惡意掃描和遠程溢出等攻擊，滲透或繞過路由器，進入生產(chǎn)網(wǎng)絡，獲取、篡改甚至破壞敏感的數(shù)據(jù)，乃至破壞整個網(wǎng)絡的正常運行。

  數(shù)據(jù)破壞和泄露

由于信息系統(tǒng)平臺作為WEB站點，可以被互聯(lián)網(wǎng)上所有用戶訪問，其公開性也導致了網(wǎng)站服務器極易被入侵者選作第一目標。當入侵者利用網(wǎng)站存在的漏洞（如SQL注入漏洞、跨站腳本漏洞、遠程代碼執(zhí)行漏洞等）控制了WEB服務器之后，很容易以其為跳板，進一步滲透數(shù)據(jù)庫服務器。因此存在包含商品信息、客戶信息、交易信息的敏感數(shù)據(jù)遭到破壞和泄露的風險。

  Web網(wǎng)頁篡改

信息系統(tǒng)網(wǎng)站也是單位展示形象的平臺、宣傳企業(yè)價值的窗口、對外提供企業(yè)信息和服務的通道。如果被入侵者篡改頁面，將會受到諸如形象受損、惡意發(fā)布信息等多種嚴重后果。

從網(wǎng)站頁面被篡改的角度來看，存在兩種攻擊的可能，一種是網(wǎng)站被入侵，也就是說網(wǎng)站頁面確實被篡改了，另外一種是網(wǎng)站被劫持，這種情況下網(wǎng)站的頁面實際上并沒用被篡改，但是攻擊者劫持了網(wǎng)絡訪問并發(fā)送欺騙頁面給來訪者，進而造成頁面被篡改的表象。

  網(wǎng)頁掛馬

網(wǎng)頁掛馬就是攻擊者入侵了一些網(wǎng)站后，將自己編寫的網(wǎng)頁木馬嵌入被黑網(wǎng)站的主頁中。瀏覽者在打開該頁面的時候，這段代碼被執(zhí)行，然后下載并運行某木馬的服務器端程序，進而控制瀏覽者的主機。利用被黑網(wǎng)站的流量將自己的網(wǎng)頁木馬傳播開去，以達到自己不可告人的目的。

網(wǎng)站被掛馬，被植入后門，這是無法忍受的。網(wǎng)頁掛馬不僅對WEB服務器造成很大影響，還“城門失火殃及池魚”。網(wǎng)站的瀏覽者也不能幸免。網(wǎng)站被掛馬不僅會讓自己的網(wǎng)站失去信譽，也會讓普通用戶陷入黑客設下的陷阱，淪為黑客的肉雞。因此這無論是對電商的信譽，還是對公民的信任度都是沉重的打擊。

  網(wǎng)絡蠕蟲 

蠕蟲是一種通過網(wǎng)絡傳播的惡性病毒，它具有病毒的一些共同特征，如傳播性、隱蔽性和破壞性等。同時具有自己的特殊特征，如不利用文件寄生(如只存在于內(nèi)存中)，引起網(wǎng)絡拒絕服務故障及與黑客技術相結合等。在破壞性上網(wǎng)絡蠕蟲也不是普通病毒所能比擬的，它可以在短短的時間內(nèi)蔓延整個網(wǎng)絡，造成網(wǎng)絡癱瘓。

  內(nèi)部人員和安全審計風險

無數(shù)的安全案例告訴我們，信息安全最薄弱的環(huán)節(jié)是人，而針對網(wǎng)站的重要資料，很多競爭對手會通過高價利誘內(nèi)部信息中心的運維人員竊取相關的機密資料?，F(xiàn)網(wǎng)環(huán)境下，信息系統(tǒng)缺少專業(yè)的安全審計和控制手段，是一個重大的隱患。

設計思路

 安全分區(qū)分域設計

安全域是指同一系統(tǒng)內(nèi)有相同的安全保護需求，相互信任，并具有相同的安全訪問控制和邊界控制策略的子網(wǎng)或網(wǎng)絡，且相同的網(wǎng)絡安全域共享一樣的安全策略。在安全防護領域，對網(wǎng)絡系統(tǒng)進行分區(qū)分域進行防護是常規(guī)的做法。

 安全域的定義

安全域是由在同一工作環(huán)境中、具有相同或相似的安全保護需求和保護策略、相互信任、相互關聯(lián)或相互作用的IT要素的集合。

對安全域的概念應掌握以下要點：

安全域由一組IT要素組成。這些IT要素包括但不限于物理環(huán)境、網(wǎng)絡設備/區(qū)域、主機、終端、系統(tǒng)、數(shù)據(jù)/信息、業(yè)務、流程、策略、人員/組織等等。從技術角度上看，這些IT要素可表現(xiàn)為物理層、網(wǎng)絡層、應用層通信實體，如設備、主機、系統(tǒng)、應用程序、進程等；從管理角度上看，這些IT要素可表現(xiàn)為人員、組織等。

工作環(huán)境是指IT要素所在的內(nèi)部和外部環(huán)境，這一工作環(huán)境可以是但不限于物理環(huán)境、信息系統(tǒng)、具體的業(yè)務數(shù)據(jù)流程、會話、進程等等。

安全保護需求和保護策略是安全域劃分的基礎。IT要素的安全保護需求泛指保持IT要素的機密性、完整性、可用性等等安全屬性的要求，保障IT要素關聯(lián)行為可控性、可稽核性、可用性、機密性、完整性等等安全屬性的要求。安全保護需求的內(nèi)容可來自標準規(guī)范、法律法規(guī)、業(yè)務要求、安全風險評估等方面，且服從于信息系統(tǒng)的安全保護目的和目標。IT要素的安全保護需求會因其在信息系統(tǒng)或者安全體系架構中的位置、承擔的業(yè)務功能、作用的不同而有所區(qū)別。保護策略是指為降低和控制IT要素及其關聯(lián)行為所面臨的信息安全風險所采取的風險處置方法、控制要求、控制目標、控制措施等綜合體。單位組織對風險的控制包括多個方面，如物理訪問、網(wǎng)絡訪問、系統(tǒng)管理維護、系統(tǒng)開發(fā)、測量評價、監(jiān)控審計等等。屬于同一個安全域的IT要素具有相同或相似的安全保護需求和安全保護策略。從安全域的角度可以將保護策略分為安全域的內(nèi)部保護策略和邊界保護策略。

在同一安全域內(nèi)的IT要素應是互相信任的。信任指IT要素相互作用并保持其應有的（根據(jù)IT要素的安全要求和安全保護策略而應具備的）機密性、完整性、可用性、可控性、可稽核性等安全屬性的能力。如果具有相同安全要求和安全保護策略，并能夠保持各IT要素完整性、機密性、可用性、可控性、可稽核性等安全屬性的能力，則這些IT要素應屬于同一個安全域。

在同一安全域內(nèi)的IT要素是相互作用、相互關聯(lián)的，是具有內(nèi)部本質聯(lián)系的，是結構化，而不是松散地結合在一起的。

  劃分原則

在按照安全域設計指導思想和安全域的設計原理進行安全域劃分時，為了保證安全域劃分的簡單、實用、實效，應遵循以下原則：

l 基于并優(yōu)化系統(tǒng)結構原則

安全域的劃分應基于系統(tǒng)結構，與系統(tǒng)的系統(tǒng)架構、應用結構、網(wǎng)絡結構相適應、相匹配，但又不局限于系統(tǒng)結構，是系統(tǒng)結構現(xiàn)狀的基礎上對系統(tǒng)架構、應用結構、網(wǎng)絡結構的簡化、優(yōu)化和規(guī)范。

l 保障性能和有效隔離原則

安全域劃分應以不影響或損害業(yè)務信息系統(tǒng)的業(yè)務功能、性能為首先原則，在保證業(yè)務的性能的基礎上對系統(tǒng)進行安全域劃分、進行有效地隔離和安全防護。

l 簡潔并規(guī)范原則

安全域劃分的簡潔把握三個方面：一個安全域功能和邊界通信的簡潔，二是安全域之間關系（相連互通或隔離）的間接，三是系統(tǒng)安全域整體結構的簡潔。這就要求安全域不可分的太細，也不可分的太粗，要適度，要保持整體上的簡潔。

同時，安全域的劃分應科學、規(guī)范，不僅要方法和過程規(guī)范，而且要結果規(guī)范。

l 最小影響原則

在安全域設計和劃分時，應做到業(yè)務、性能、安全兼顧，要基于系統(tǒng)的現(xiàn)狀并避免對系統(tǒng)的網(wǎng)絡、應用進行大量的改動，最小化對系統(tǒng)的影響。

l 系統(tǒng)性和整體性原則

對于安全域劃分，不僅要關注本系統(tǒng)自身，而且要關注系統(tǒng)地外部環(huán)境，采用系統(tǒng)性、整體性的觀點的看待本系統(tǒng)與外部環(huán)境。即關注本系統(tǒng)內(nèi)部的數(shù)據(jù)流和數(shù)據(jù)處理活動的安全，又關注系統(tǒng)的外部用戶、公共用戶及跨越系統(tǒng)邊界的數(shù)據(jù)流和數(shù)據(jù)處理活動的安全。

安全域的劃分結果應是結構化的，應是有機聯(lián)系的一個整體，易于構成縱深的安全防護技術體系，保障系統(tǒng)整體業(yè)務的安全。

l 與組織管理架構相適應的原則

安全域的劃分應與信息系統(tǒng)的管理組織架構相適應，原則由一個機構管理的信息系統(tǒng)部分應為一個或幾個安全域。另外，一個安全域應由一個部門來管理，而不應涉及兩個部門。

l 與系統(tǒng)發(fā)展相適應的原則

安全域的劃分應考慮到業(yè)務未來發(fā)展需要，在保持系統(tǒng)安全域模型相對穩(wěn)定的前提下，能夠順利地進行調(diào)整、擴展和提升。

 建設方案

  出口邊界：下一代防火墻

建議在網(wǎng)絡出口部署下一代防火墻，增強邊界防護能力，實現(xiàn)對各種應用的訪問控制，有效保護整個網(wǎng)絡系統(tǒng)。

  DMZ區(qū)：WAF應用防火墻

建議在web應用服務器前部署web防護系統(tǒng)，通過串聯(lián)部署的方式，有效攔截針對網(wǎng)頁應用的攻擊，從而避免遭受資料泄露和網(wǎng)頁篡改的入侵危害。

 運維區(qū)：堡壘機

建議在運維管理區(qū)，旁路部署堡壘機，對運維人員的所有操作行為進行控制和審計，有效地避免內(nèi)網(wǎng)入侵的可能。

  運維區(qū)：日志審計系統(tǒng)

建議在運維管理區(qū)，旁路部署日志審計系統(tǒng)，對安全設備日志的統(tǒng)一收集以及分析，幫助管理員快速排出定位故障以及攻擊行為。

 安全漏洞掃描

漏洞的危害越來越嚴重，發(fā)展的趨勢的形式也是日益嚴峻。歸根結底，就是系統(tǒng)漏洞的存在并被攻擊者惡意利用。軟件由于在設計初期考慮不周導致的漏洞造成的問題仍然沒有得到很好的解決，人們依然用著“亡羊補牢”的方法來度過每一次攻擊，利用漏洞的攻擊成為管理員始終非常關注的問題。

統(tǒng)計表明其中19.4%來自于利用管理配置錯誤，而利用已知的一個系統(tǒng)漏洞入侵成功的占到了15.3%。事實證明，絕大多數(shù)的網(wǎng)絡攻擊事件都是利用廠商已經(jīng)公布的、用戶未及時修補的漏洞。已經(jīng)公布的漏洞未得到及時的修補和用戶的安全意識有很大的關系，一個漏洞從廠商公布到漏洞被大規(guī)模利用之間的時間雖然在逐漸的縮短，但是最短的也有18天之久，18天對于一些安全意識高的用戶來說修補一個安全漏洞應該沒有任何問題。

通過漏洞掃描系統(tǒng)服務，并啟動定時掃描選項，可以方便的發(fā)現(xiàn)應用系統(tǒng)中路由器、防火墻、交換機特別是重要服務器的漏洞情況，根據(jù)掃描設備提供的解決方法進行漏洞修補，可以有效的解決漏洞帶來的危害。

通過旁路方式在交換機上部署機架式漏洞掃描服務工具對WEB服務器、數(shù)據(jù)庫服務器以及其他應用服務器定期進行漏洞掃描，可以有效評估各個系統(tǒng)的安全狀況。通過漏洞掃描服務工具，實現(xiàn)第一時間主動對網(wǎng)絡中的資產(chǎn)進行細致深入的漏洞檢測、分析，并提供專業(yè)、有效的漏洞防護建議與相關廠商的補丁超鏈接地址。

 安全配置核查

隨著應用內(nèi)容不斷豐富，網(wǎng)絡規(guī)模日益擴大，其生產(chǎn)、業(yè)務支撐系統(tǒng)的網(wǎng)絡結構也變得越來越復雜。其中，重要應用和服務器的數(shù)量及種類日益增多，一旦發(fā)生維護人員誤操作，或者采用一成不變的初始系統(tǒng)設置而忽略了對于安全控制的要求，就可能會極大的影響系統(tǒng)的正常運轉。為了維持WEB應用系統(tǒng)設備安全，必須從入網(wǎng)測試、工程驗收和運行維護等設備全生命周期各個階段加強和落實各項基本安全要求。

不同業(yè)務系統(tǒng)安全檢測基準的建立和行之有效的檢測手段是安全管理人員面臨的最為重要和迫切的問題。

安全配置核查是檢查和核實已有設備和應用軟件的安全配置是否達到安全要求的重要手段，是進行基礎安全建設的一個重要方面，也是進行主動安全防御的重要組成部分。

可根據(jù)應用安全的實際情況制定《應用通用安全功能和配置規(guī)范》，將管理層面、技術層面和運營層面的安全控制措施落實到信息系統(tǒng)的安全配置上，提出明確的典型網(wǎng)絡設備、主機、數(shù)據(jù)庫、操作系統(tǒng)等的安全配置要求，建立基于業(yè)務系統(tǒng)的安全基線?！杜渲靡?guī)范》的出臺，采用了統(tǒng)一的安全配置標準來規(guī)范技術人員在各類系統(tǒng)上的日常操作，讓運維人員有了檢查默認風險的標桿。

由于應用安全維護人員有限，可根據(jù)《配置規(guī)范》的要求進行相關自動化安全檢查工具的設計和部署，以便快速、有效的完成檢查，自動生成風險審核報告，識別與安全規(guī)范不符合的項目，以達到整改合規(guī)的要求。同時自動化安全檢查工具的使用也大大提高檢查結果的準確性和客觀性。

通過《配置規(guī)范》的下發(fā)以及相關配套工具的應用，使應用的安全運維工作做到有章可循。

 安全加固服務

網(wǎng)絡安全是動態(tài)的，需要時刻關注最新漏洞和安全動態(tài)，制定更新的安全策略以應付外來入侵和蠕蟲病毒等威脅。針對各臺服務器的漏洞和脆弱性，定期的進行安全加固，可以使系統(tǒng)有效的抵御外來的入侵和蠕蟲病毒的襲擊，使系統(tǒng)可以長期保持在高度可信的狀態(tài)。

安全加固是針對進行評估后的主機的漏洞和脆弱性采取的一種有效的安全手段，可以幫助系統(tǒng)抵御外來的入侵和蠕蟲病毒的襲擊，使系統(tǒng)可以長期保持在高度可信的狀態(tài)。通常對系統(tǒng)和應用服務的安全加固包括如下方面：

u 安裝最新補丁

u 帳號、口令策略調(diào)整

u 網(wǎng)絡與服務加固

u 文件系統(tǒng)權限增強

u 日志審核功能增強

u 安全性增強

常規(guī)加固工作流程如下：

 安全培訓服務

根據(jù)信息安全技術的發(fā)展和不同層面的信息安全人才需求，本方案建議為應用系統(tǒng)相關人員提供如下三類的信息安全培訓課程：

u 信息安全意識培訓：

面向非技術類用戶。目的是通過大量的當前典型安全事件導入，從感性認知層面對目前的信息安全威脅給予直觀、形象的描述，使用戶能對當前的信息安全威脅有一個深刻的認識。同時通過案例介紹的方式對用戶日常工作、生活中經(jīng)常用到的一些客戶端應用工具、系統(tǒng)的安全威脅進行分析，并闡明具體的防范措施，最終協(xié)助建立起適合個人、企業(yè)的用戶行為基準。

u 信息安全技術培訓：

面向信息安全技術類用戶，例如系統(tǒng)管理員、安全技術員等。目的是通過培訓讓其在系統(tǒng)及應用層面上了解常見通用操作系統(tǒng)架構以及其安全性，掌握相關系統(tǒng)的安全配置和管理能力；在網(wǎng)絡層面上了解常見的網(wǎng)絡安全協(xié)議掌握網(wǎng)絡安全協(xié)議以及路由交換常見安全配置；同時通過實驗了解常見的網(wǎng)絡攻擊技術原理，掌握常見的攻擊防護方法。

u 信息安全產(chǎn)品培訓：

通過詳細介紹系列安全產(chǎn)品的工作原理、安裝部署和調(diào)參排錯方法，同時結合一些產(chǎn)品實驗加強對產(chǎn)品的了解，使相關人員能靈活利用這些安全產(chǎn)品解決組織的實際安全問題。