电力客户网上服务中心内外网安全隔离技术

《电力客户网上服务中心内外网安全隔离技术》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、电力客户网上服务中心内外网安全隔离技摘要由于电力企业的特殊性，信息安全尤为重要，如何保障电力客户网上服务中心内外网数据安全、如何保证网上营业厅功能涉及的网上交易安全至关重要，本文着重从内外网安全隔离角度提出解决方案。关键词信息安全；电力客户网上服务中心；内外网安全隔离中图分类号TP39文献标识码A文章编号1674-6708(2012)81-0210-020引言电力客户网上服务中心(即95598互动网站)作为营销服务手段的延伸，在为客户提供营业柜台、电话/传真接入服务等的基础上，增加了Internet服务的功能，使客

2、户能够通过Internet对企业各项业务进行查询和办理、与客户代表进行联系沟通，丰富客户营销服务的手段。由于网站开放于互联网，而网站的基础业务数据则基于内部营销业务系统，因此在网站运行过程中将会产生大量内外网数据的交互。由于电力企业的特殊性，信息内网的安全不容出错，因此，如何依靠现有的技术条件在95598互动网站正常运行的基础上保证内网数据的安全隔离将成为一个难点。而目前提供的强隔离装置只能针对ORACLE数据库进行部署，所提供的参数也不够全面，而且没有实际运行的有效验证数据，该装置是否满足网站业务服务的需求也将是

3、的一个难点。1内外网隔离方案1.1内外网穿透95598互动网站信息内外网数据访问传输遵循了《国家电网公司智能电网信息安全防护总体方案》（征求意见稿）有关要求，采用安全隔离设备进行数据访问和传输。1.1.1网站数据访问穿透网站数据库访问（账户信息检索、停电信息查询等）内外网数据穿透如图1所示：图1内外网数据穿透图1.1.2服务调用请求穿透网站需调用信息内网其它应用服务通过数据库中转方式完成，即用户通过'‘用户电脑-95598互动网站（web服务器）-安全隔离设备-95598互动网站（数据库）-95598互动网站（应用

4、服务器）-接口前置服务器-营销业务应用系统”进行查询与检索，再通过"营销业务应用系统-接口前置服务器-95598互动网站（应用服务器）-95598互动网站（数据库）-安全隔离设备-95598互动网站（web服务器）-用户电脑”显示查询结果。1.2边界安全防护设计边界安全防护设计包括：信息外网第三方边界、信息内外网边界、总部与网省（直辖市）信息内网边界。1.2.1信息外网第三边界描述：与互联网之间的边界。控制措施：部署两道防火墙（互联网边界防火墙和信息外网边界防火墙），有效阻挡来自互联网的安全威胁；采用入侵检测系统和

5、漏洞扫描系统，对来自互联网的非法访问和攻击进行检测和过滤；部署外网安全接入平台，进行用户身份认证和网站业务访问控制。1.2.2信息内外网边界描述：Web服务器与内网应用服务器、数据库之间的边界。控制措施：部署隔离装置，保证信息外网不直接连接信息内网；采用正向隔离与逻辑强隔离组合方式，实现信息的安全交互；相关措施按照《国家电网公司“SG186”工程安全防护总体方案》，采用防火墙进行第三方业务的访问控制。1.2.3总部与网省（直辖市）描述：网省信息内网与总部信息内网数据库之间的边界。控制措施：部署采用防火墙进行的访问控

6、制。1.3专用信息网隔离装置信息网隔离主要用于信息内网和信息外网边界安全防护，采用国家电网公司专用信息网隔离装置。基于代理的信息安全网络隔离装置（SGI-NDS200）采用接口代理的技术架构，客户端部署自主研发的安全JDBC驱动软件，实现基于自学习的SQL智能过滤模块，全面支持OracleSqlServer>DB2等数据库的安全隔离。主要功能如下：1.2.1基本功能信息安全网络隔离装置具备了通用防火墙产品的基本功能。具体包括：1）访问控制。提供基于状态检测技术的IP地址、端口的管理控制；防止非法的机器接入的IP与M

7、AC地址绑定；2）防御功能。隔离装置可以检测到对网络或内部主机的所有TCP/UDP扫描，日志中提供防御审计等功能；3）安全管理。操作系统一是提供管理员和审计员分权管理的安全机制，保证安全产品的安全管理；二是提供丰富完整的审计机制，有对系统管理体系的分类日志（管理日志、通信事件日志），也有按日期的运行日志。日志内容包括事件时间及事件摘要等。三是提供日志查询功能，这为用户进行日志的审计和分析提供了方便；4）双机热备份。双机热备份功能，提高应用系统可靠性和操作性能。热备份通过多种方式触发工作模式切换，模式切换时间短；5）

8、操作管理。提供灵活的本地管理方式。1.3.2增强的安全功能1）加固的安全操作系统。采用安全LINUX操作系统,根据最小特权原则对装置的软件，硬件制定MAC（强制访问控制）策略；取消ROOT特权用户，保证重要数据不被轻易修改;2）裁减网络协议栈。装置无TCP/IP协议栈，可以抵御一切从网络发起对装置的攻击行为;3）严格的访问控制策略。只有特定的TCP链路才能通