浅谈大型企业网络安全防护体系建设

《浅谈大型企业网络安全防护体系建设》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、浅谈大型企业网络安全防护体系建设１引言　　随着市场竞争的日益加剧，业务灵活性、成本控制成为企业经营者最关心的问题，弹性灵活的业务流程需求日益加强，办公自动化、生产上X、业务上X、远程办公等业务模式不断出现，促使企业加快信息X络的建设。越来越多的企业核心业务、数据上X，一个稳定安全的企业信息X络已成为企业正常运营的基本条件。同时为了规范企业治理，国家监管部门对企业的内控管理提出了多项规范要求，包括ＩＴ数据、流程、应用和基础结构的完整性、可用性和准确性等方面。　　然而信息X络面临的安全威胁与日俱增，安全攻击渐渐向有组织、有目的、趋利化方向发展，X络病

2、毒、漏洞依然泛滥，同时信息技术的不断更新，信息安全面临的挑战不断增加。特别是云的应用，云环境下的数据安全、应用安全、虚拟化安全是信息安全面临的主要问题。如何构建灵活有效的企业X络安全防护体系，满足业务发展的需要，已成为企业信息化建设、甚至是企业业务发展必须要考虑的问题。　　２大型企业X络面临的安全威胁　　赛门铁克发布的《２０１１安全状况调查报告》显示：２９％的企业定期遭受X络攻击，７１％的企业在过去的一年里遭受过X络攻击。大型企业由于地域跨度大，信息系统多，受攻击面广等特点，更是成为被攻击的首选目标。　　大型企业X络应用存在的安全威胁主要包括：（

3、１）内X应用不规范。企业X络行为不加限制，Ｐ２Ｐ下载等信息占据大量的X络带宽，同时也不可避免地将互联X中的大量病毒、木马等有害信息传播到内X，对内X应用系统安全构成威胁。（２）X络接入控制不严。X络准入设施及制度的缺失，任何人都可以随时、随地插线上X，极易带来病毒、木马等，也很容易造成身份假冒、信息窃取、信息丢失等事件。（３）ＶＰＮ系统安全措施不全。企业中的ＶＰＮ系统，特别是二级单位自建的ＶＰＮ系统，安全防护与审计能力不高，存在管理和控制不完善，且存在非系统员工用户，行为难以监管和约束。（４）卫星信号易泄密。卫星通信方便灵活，通信范围广，不受距离

4、和地域限制，许多在僻远地区作业的一线生产单位，通过卫星系统传递生产、现场视频等信息。但由于无线信号在自由空间中传输，容易被截获。（５）无线X络安全风险较大。无线接入由于灵活方便，常在局域X络中使用，但是存在容易侵入、未经授权使用服务、地址欺骗和会话拦截、流量侦听等安全风险。（６）生产X隔离不彻底。企业中生产X络与管理X络尚没有明确的隔离规范，大多数二级单位采用防火墙逻辑隔离，有些单位防护策略制定不严格，导致生产X被来自管理X络的病毒感染。　　３大型企业X络安全防护体系建设　　中国石油信息化建设处于我国大型企业领先地位，在国资委历年信息化评比中，都

5、名列前茅，“十一五”期间，将企业信息安全保障体系建设列为信息化整体规划中，并逐步实施。其中涉及管理类项目３个，控制类项目３个，技术类项目５个。中国石油X络安全域建设是其重要建设内容。　　中国石油X络分为专X、内X与外X3类。其中专X承载与实时生产或决策相关的信息系统，是相对封闭、有隔离的专用X络。内X是通过租用国内数据链路，承载对内服务业务信息系统的X络，与外X逻辑隔离。外X是实现对外提供服务和应用的X络，与互联X相连（见图1）。　　为了构建安全可靠的中国石油X络安全架构，中国石油通过划分中国石油X络安全域，明确安全责任和防护标准，采取分层的防护

6、措施来提高整体X络的安全性，同时，为安全事件追溯提供必要的技术手段。X络安全域实施项目按照先边界安全加固、后深入内部防护的指导思想，将项目分为：广域X边界防护、广域X域间与数据中心防护、广域X域内防护3部分。　　广域X边界防护子项目主要包括数据中心边界防护和区域X络中心边界防护。数据中心边界防护设计主要是保障集团公司统一规划应用系统的安全、可靠运行。区域X络中心边界安全防护在保障各区域内员工访问互联X的同时，还需保障部分自建应用系统的正常运行。现中石油在全国范围内建立和完善１６个互联X出口的安全防护，所有单位均通过１６个互联X出口对外联系，规划Ｄ

7、ＭＺ，制定统一的策略，对外服务应用统一部署ＤＭＺ，内X与外X逻辑隔离，内X员工能正常收发邮件、浏览X页，部分功能受限。　　域间防护方案主要遵循“纵深防护，保护核心”主体思想，安全防护针对各专X与内X接入点进行部署，并根据其在X络层面由下至上的分布，保护策略强度依次由弱至强。数据中心安全防护按照数据中心业务系统的现状和定级情况，将数据中心划分为4个安全区域，分别是核心X络、二级系统区、三级系统区、X络管理区；通过完善数据中心核心X络与广域X边界，二级系统、三级系统、X络管理区与核心区边界，二、三级系统区内部各信息系统间的边界防护，构成数据中心纵深防

8、御的体系，提升整体安全防护水平。　　域内防护是指分离其他X络并制定访问策略，完善域内安全监控手段和技术，规范域内防护标准，实现实名制上X