电力安全配置核查服务解决方案2013 年 月目录一. 背景 3二. 需求分析 3三. 安全基线研究 4四. 安全基线的建立和应用 7五. 项目概述 8六. 解决方案建议 96.1 组网部署 106.2 产品特色功能 11七. 支持型安全服务 137.1 安全预警 147.2 安全加固 147.3 安全职守 147.4 安全培训 14八. 方案总结和展望 15背景近年来，从中央到地方各级政府的日常政务、以及各行业企业的业务开展对IT系统依赖 度的不断增强，信息系统运维人员的安全意识和安全技能也在逐步提高。最直接的体现为 传统以安全事件和新兴安全技术为主要驱动的安全建设模式，已经逐渐演进为以业务安全 需求为主要驱动的主动式安全建设模式。从典型的信息安全建设过程来看，是由业务需求导 出的安全需求在驱动着安全建设的全过程。而如何获取准确全面的安全需求以指导未来的安全建设并为业务发展服务，如何建立一 套行之有效的风险控制与管理手段，是每一个信息化主管所面临的共同挑战。随着电力行业科技创新能力的日益提高，业务应用的日趋丰富，电力行业业务的开拓越 来越依托于IT技术的进步；电力的发展对信息系统的依赖程度不断增强，对电力信息系统安 全建设模式提出了更高更多的要求，信息安全建设工作已经是电力信息化建设中的重要内容 安全基线建设就是电力信息安全建设中一项新的举措和尝试。在电力行业里，各类通信和IT设备采用通用操作系统、数据库，及各类设备间越来越多 的使用 IP 协议进行通信，其网络安全问题更为凸出。为了维持电力的通信网、业务系统和支 撑系统设备安全，必须从入网测试、工程验收和运行维护等，设备全生命周期各个阶段加强 和落实安全要求。需要有一种方式进行风险的控制和管理。本技术方案将以安全基线建设为 例，系统介绍安全基线建设在电力信息安全建设工作中的设计与应用二. 需求分析传统的安全建设模式逐渐向新兴的安全建设模式转变，传统的安全建设模式主要是以安 全事件和新兴的安全技术为主要驱动，在安全建设的过程中处于被动的状态。而随着信息安 全建设工作的不断深入，信息安全建设模式已经逐渐演变为以业务安全需求为主要驱动的主 动式安全建设模式，目前，新兴的信息系统安全基线建设工作就是以业务需求为核心，制定 针对不同系统的详细检查表格和操作指南，建立统一的服务器、网络设备、数据库和应用系 统安全配置规范的一种新兴的安全建设模式。随着“SG186系统工程和国家电网等级保护建设的开展，使电力系统的信息化建设更加迅 速。同时在电力信息网络安全等方面做了大量工作，采取了许多有效措施防止网络安全事件。 确保公司信息安全工作的系统性、安全性、实用性、创新性和全面性。SG186系统工程要求 制定合适的安全管理规范，电力企业需要密切跟踪国内外安全标准化领域内的最新工作成果， 并结合国内技术和相关的发展状况，建立起完整的电力系统安全业务规范，标准的框架体系， 制定安全目标和安全实施过程。为进一步提升信息安全管理规范，加固安全管理防线，*供电 公司开展业务网安全基线建设工作，对服务器、网络设备和安全产品等建立统一的安全基线 配置策略和建议规范。通过对安全事件的分析，发现安全事件主要由3 个方面引起，安全漏洞方面、安全配置 方面，以及异常事件等方面。安全配置通常都是由于人为的疏忽造成，主要包括了账号、口 令、授权、日志、IP通信等方面内容，反映了系统自身的安全脆弱性。由安全配置的不足可 能带来非常多的安全隐患，因此对安全配置进行有效的检查和加固成为整体安全体系建设中 的重要一环。（安全漏洞和异常事件方面本文不做讨论）三. 安全基线研究针对用户需求，可以采用安全基线的思想进行风险的控制和管理。顾名思义，“安全基线”概念借用了传统的“基线”概念。字典上对“基线”的解释是： 一种在测量、计算或定位中的基本参照。如海岸基线，是水位到达的水位线。类比于“木桶理 论”，可以认为安全基线是安全木桶的最短板，或者说，是最基本的安全要求。假如我们将企业信息系统建立安全基线，如对每个网元、应用系统都定义安全基准点， 即设定满足最基本安全要求的条件，并在设备入网测试、工程验收和运行维护等设备全生命 周期各个阶段加强和落实安全基线要求，则可以进行风险的度量，做到风险可控可管。如何设计一整套适合政企自身业务特点的安全基线模型呢？我们可参考国内外的成功经 验，同时结合一些行业的风险控制手段，就可以设计出针对业务系统的基线安全模型。在这 些参考内容中，最值得借鉴的是美国 FISMA （The Federal In formation Security Man ageme nt Act，联邦信息安全管理法案）的实施和落地过程。FISMA定义了一个广泛的框架来保护政府信息、操作和财产来免于自然以及人为的威胁。 FISMA在2002年成为美国电子政府法律的一部分，把责任分配到各种各样的机构上来确保 联邦政府的数据安全。其提出了一个包含八个步骤的信息安全生命周期模型，这个模型的执 行过程涉及面非常广泛且全面，但实施、落地的难度也非常大。而后由NIST （美国国家标准 技术研究院）牵头针对其中的技术安全问题提出了一套自动化的计划称为ISAP （Information security automatio n program）来促进 FISMA 的执行,ISAP 出来后延伸出 SCAP 协议（Security Content Automation Protocol），该协议通过明确的、标准化的模式使得漏洞管理、安全监测 和政策符合性与FISMA要求一致。SCAP协议由CVE、CCE、CPE、XCCDF、OVAL、CVSS 等 6 个支撑标准构成，即定义了一套安全基线库。由此 SCAP 框架就实现了标准化和自动化形成了一套针对系统的安全检查基线，得以将FISMA的信息安全生命周期模型进行落地。h Level G eneralizedL 1m#o rmaiii&Mi S-eeuriiy Recju iremglnris规范涉辰KT标准和处酮雜FIPS 199; InfornriBtien System Se*CMrity Cale90rization FIPS 200: JM iiini m in I忤m电ioE 呂皀=口討幻 口包 m mireiiriwc*与管理层画I 技术层面 运雉层面SESiJOE I礎讎融I 礎控制措施信息就安全月瑁NlSTr NSA,DliAr Venders. Third Parties (e.g.r 討 Checklists m門d Implemeraiatiera Guidance图 1 FISMA 遵从模型简言之SCAP体现了三个方面的特性：1. 可操作性：通过SCAP明确的提出了应该贯穿风险管理的要求和方法，通过技术与 管理两方面的手段，将体系化的指导思想进行落地。2. 标准化：在NVD、NCP的基础上，构建了一套针对桌面系统的安全基线（检查项）， 这些检查项由安全漏洞、安全配置等有关检查内容构成，为标准化的技术安全操作 提供了框架。3. 自动化：针对桌面系统的特性，采用标准化的检查内容和检查方法，通过自动化的 工具来执行，为自动化的技术安全操作提供支持。借鉴FISMA的实施和落地过程，在基于业务的安全评估的基础上，构建出基于业务系统 的安全基线模型。该模型围绕承载业务及数据的安全需求，建立一个覆盖企业的业务体系、 应用体系和 IT 基础设施的多层次的安全系统架构，从而指导企业的风险控制与管理。图 2 安全基线模型安全基线模型以业务系统为核心，分为业务层、功能架构层、系统实现层三层架构：1. 第一层是业务层，这个层面中主要是根据不同业务系统的特性，定义不同安全防护 的要求，是一个比较宏观的要求。形成基于某业务系统的风险管理系统。2. 第二层是功能架构层，将业务系统分解为相对应的应用系统、数据库、操作系统、 网络设备、安全设备等不同的设备和系统类型，这些设备类型针对业务层定义的安 全防护要求细化为此层不同模块应该具备的要求。即在技术手段上实现脆弱性、安 全策略以及重要信息的监控。3. 第三层是系统实现层，将第二层模块根据业务系统的特性进一步分解，找到基准安 全配置项和重要策略文件等，即建立安全基线弱点库。如将操作系统可分解为 Windows、Linux 等具体系统模块。这些模块中又具体的把第二层的安全防护要求细 化到可执行和实现的要求，称为该业务系统的Windows安全基线、Linux安全基线 等网元的安全基线。下面以近期关注度比较高的WEB网站安全为例对模型的应用进行说明：首先WEB网站要对公众用户提供服务，存在互联网的接口，那么就会受到互联网中各种 攻击威胁，造成例如网页内容篡改、网站挂马等结果。在第一层业务需求中就定义需要防范 网页内容篡改、网站挂马的要求。而这些防护要求对于功能架构层的WEB Server、操作系统、 安全设备等都存在可能的影响，因此在这些不同的模块中需要定义相对应的防范要求。而针 对这些防范要求，如何来实现呢？这就需要定义全面、有效的第三层模块要求了。第三层中 就是依据WEB应用的承载系统，针对各种安全威胁在不同的模块定义不同的防护要求，这些 不同模块的防护要求就统一称为该WEB网站的安全基线。针对该WEB网站安全基线的检查， 就可以转化为针对WEB Server、承载系统等的脆弱性检查上面。首先根据企业状况，建立一套本组织在当前时期的“理想化安全水平基准点”，即“安 全基线”。这个“安全基线”可以同时包含政策合规性的需求、自身的安全建设发展需求、 特殊时期的安全保障需求等，然后通过一些手段（比如自动化的评估工具）对组织现有的安 全水平进行分析。通过对比“理想化安全水平基准点”，就形成了一套差距分析结论。企业 自身针对这个差距进行适时监测、确认和跟踪即可，对任何违规情况进行预警或通报，提出 “补足差距”的建议方案；而这个“理想安全水平基准点”就是该组织的最优安全状态。追 求规避全部风险也是不现实的，信息系统在达到基线水平之后，部分风险自然会被转移或降 低。这样便可以实现持续定义安全基线，持续监管和持续改进，可以使每一时期每一阶段的 安全水平都是可控的。同时，收集完数据后，根据企业安全状况进行风险的度量，输出结合 政策法规要求的风险报表。系统上线设备入网周期性检测系统下线图3 安全基线控制图安全配置人疏惣 错误的配置安全漏洞/自身问题 漏洞，BUG等图 4 基线安全的应用应用第三层面安全基线的要求，可以对目标业务系统展开合规性安全检查，以找出不符 合的项，并选择和实施安全措施来控制安全风险。1. 安全配置：通常都是由于人为的疏忽造成，主要包括了账号、口令、授权、日志、IP 通信等方面内容，反映了系统自身的安全脆弱性。安全配置方面与系统的相关性非 常大，同一个配置项在不同业务环境中的安全配置要求是不一样的，如在WEB系统 边界防火墙中需要开启HTTP通信，但一个WAP网关边界就没有这样的需求，因此 在设计业务系统安全基线的时候，安全配置是一个关注的重点。2. 安全漏洞：通常是系统自身的问题引起的安全风险，一般包括了登录漏洞、拒绝服 务漏洞、缓冲区溢出、信息泄漏、蠕虫后门、意外情况处置错误等，反映了系统自 身的安全脆弱性。业务系统的安全基线建立起来之后，将形成针对不同系统的详细Checklist表格和操作指 南，为标准化的技术安全操作提供了框架和标准。其应用范围非常广泛，主要包括新业务系 统的上线安全检查、第三方入网安全检查、合规安全检查（上级检查）、日常安全检查等。五. 项目概述现