发布时间 : 星期一 文章电力信息网络安全防护系统设计方案更新完毕开始阅读
户的正常访问，造成用户感染病毒木马。
渗透测试检查发现，内网网站存在两处高风险漏洞，可以获取所有用户的口令和其它敏感信息。同时还存在暴露系统绝对路径、可以查看任意短消息列表内容。内网网站是公司内部信息发布的主要途径，采用邮件系统的帐号口令进行认证，通过上述漏洞，恶意攻击者可以获取所有用户帐号的口令，登录内网网站、登录邮件系统，造成信息泄密、篡改、破坏等危害。 3.4 终端安全现状
目前XX电力安全方针策略不够清晰明确。由于安全目标方针不明确，导致全员不能清晰领悟安全的重要性，安全思想不能得到有效贯彻落实。各部门执行安全的方向不统一。安全方针不统一，会经常出现安全行动不统一，安全意识不明确的现象。
XX电力没有建立完善的安全管理策略制度。制度不完善导致执行安全工作时不能遵循统一的策略，导致因误操作或因不规范导致的问题发生。可能会出现由于制度流程不完善导致的信息泄密、网络系统瘫痪等管理制度不全面，未能覆盖包括第三方人员管理、桌面系统管理、系统开发等方面，导致相关操作无规范。
当前XX电力成立了信息安全工作领导小组，但小组成员基本以各级领导为主，专业安全人员只有一人，不能满足日常安全管理工作需要。并且系统维护人员同时负责此系统的安全运行，目前的编制已经很难满足日常安全管理的需要，因此信息安全的具体执行工作难以得到有效的开展。
安全岗位职责未设置AB角色，一人负责，一旦发生人员调离或其它意外导致系统全面瘫痪。没有建立完善信息安全考核体系，导致员工不能严格执行各项信息安全规章制度。各级员工普遍信息安全意识不强，导致员工对信息安全的内容、管理目标等没有明确的认识与理解，不能在日常工作中主动地贯彻各项信息安全制度、规范及标准。
XX电力尚未实施针对非专业安全人员的安全培训计划安全培训跟不上导致专业人员和普通员工安全技术缺乏，安全意识薄弱。
当前情况下，备份介质大多存放在机房内或办公区域中。同时没有针对可移动介质的管理制度。没有介质销毁制度。重要软件或其它资产（如密码本）存放在机房内，可能会导致容易使内部较易获取或破坏资产；重要资产存放在办公区域内，很容易被外来人员进行有意或无意的攻击。
目前按部门的划分来保护资产，将资产进行了一些简单分类。软件资产无详细登
12
记，也未将资产划分安全等级。不能对重点资产进行重点保护。
尚未制定相应的访问权限与控制的流程与职责，总部和各分厂在处理第三方访问权限时没有统一的标准与规范；对第三方的监控缺少标准与技术手段，各单位基本没有在第三方访问时实施有效的监控；在第三方合作完成后，不能及时的注销访问权限、修改口令，存在第三方继续访问获得机密信息或者进行非法操作的风险。
当前XX电力缺乏系统规范的应急响应预案。缺乏相应的制度流程，导致系统遭受篡改或无法使用时，对公司的管理运营具有轻微影响。
缺乏系规范的桌面系统安全管理规范，终端人员操作水平不一致，安全意识不足可能会导致桌面系统的病毒蠕虫事件，以至于网络瘫患；移动硬盘的无规范使用，不仅会导致病毒泛滥，而且容易将信息泄露或数据破坏及丢失。
建设过程中没有同步考虑系统功能和安全性。立项管理阶段：项目前期过程中对安全的考虑不够完整，主要包括信息安全目标定义不明确，初步安全控制方案存在控制不足的情况，项目预算调减时导致安全控制被消减；实施管理阶段：缺少统一的安全需求分析方法、基本保护要求以及安全验收测试，导致在建系统的安全控制方案不能有效地实现安全目标，开发过程中对开发人员控制不够，使得项目过程文档和内部敏感信息外流；验收管理阶段：缺乏系统运维计划，包括备份恢复计划、应急预案，有的系统是上线运行后。
4．建设目标
本期信息网安全建设达到以下目标：
? 通过防火墙和入侵检测/防护系统的部署，构建网络边界防护，将内部网络与其他网络进行隔离，避免与外部网络的直接通讯，保证网络结构信息不外泄；
? 对各条链路上的服务请求做必要的限制，使非法访问不能到达主机； ? 通过防病毒系统的部署，建立完整的系统防病毒体系，防止病毒的侵害； ? 通过客户端管理系统的部署，建立客户端资源、行为的必要控制，以及补丁及时分发，减少内网用户的不安全因素；
? 通过省公司本部安全监管平台的部署，初步实现安全事件集中监视和分析，为下一步建设全省信息安全体系打下基础。
13
5．安全区域的划分方案 5.1网络安全域划分原则
安全域是指网络系统内包含相同的安全要求，达到相同的安全防护等级的区域。网络安全域设计遵循以下原则：
1、 2、 3、
内部网络结构层次分明，便于网络隔离和安全规划。 网络结构具备高可靠性和高可用性。
不同的网段在交换机上划分不同虚拟局域网（VLAN），不同虚拟局
域网（VLAN）之间的路由设置访问控制表（ACL）。
4、
地址规划应便于路由汇总以方便路由管理、提高路由广播效率以及
简化ACL配置。
5、
边界和内部的动态路由协议应尽量启用认证，用来防止路由欺骗，
否则高明的黑
客可以通过发送恶意的路由更新广播包，使得路由器更新路由表，造成网络瘫痪和路由旁路。
6、 7、 8、
所有对网络设备的维护管理启用更可靠的认证。
交换机的第三层模块（L3模块）或防火墙配置访问控制表（ACL）。 路由器设置反地址欺骗检查。对于路由器，外出（Outbound）接收
包的源地址只
可能是外部地址，不可能是内部地址，同样进入（Inbound）接收包的源地址只可能是内部地址，不可能是外部地址，这样能防止黑客利用策略允许的内部或外部地址进入网络。
9、
启用路由反向解析验证，这在某种程度上牺牲了一定的网络性能，
但能有效阻止
随机源地址类型的攻击，如同步攻击等（SyncFlood）。
10、 11、
路由器过滤所有来自外部网络的源地址为保留地址的数据包。 所有提供简单网络管理协议（SNMP）服务的设备（路由器、交换
机、计算机设备等）的共用组名（Community Name）不能使用缺省，要足够复杂，并且统一管理。
全省按如下网络安全域进行划分：
14
1、
整个省公司划分为四个大的安全域：内部办公区，DMZ（对外业务
区），电力信
息网区（对内业务区），若干外联网区域（Internet，第三方接入等）；
2、
各安全域之间通过防火墙进行隔离，在防火墙上按照网络应用的需
求进行访问策 略的设置；
3、
外网服务器区（DMZ）的网站、邮件、应用（Web，Mail，
Application）服务器
通过网络地址转换（NAT）等，对Internet提供服务；
4、
电力信息网区的服务器通过防火墙与内部办公区，DMZ区进行通信，
对内提供系 统应用；
内部办公区视需求进行虚拟局域网（VLAN）的进一步划分，由交换机的第三层模块（L3模块）进行虚拟局域网（VLAN）划分和访问控制表（ACL）控制或通过防火墙模块进行各虚拟局域网（VLAN）之间的安全控制。
5.2网络区域边界访问控制需求
根据目前公司系统的实际网络状况，在公司系统网络环境中，区域边界主要有以下几个：互联网与电力信息网的连接边界，电力信息网内各本地局域网与广域网的连接边界，电力信息网与华东电网的连接边界，电力信息网与国家电网的连接边界，各地市公司与县公司的连接边界，各地市公司与银行的连接边界。
15