【正文】 訪問控制目錄該目錄定義了對 IT 資源（包括網絡資源、平臺系統(tǒng)資源、應用系統(tǒng)資源、數據資源等）進行訪問控制的功能服務組件，它們負責企業(yè)范圍內的 IT 資源訪問的管理控制。 安全技術功能服務組件定義 身份與信任管理目錄身份與信任管理目錄包含以下的安全技術功能服務組件。關鍵服務 企業(yè)用戶目錄管理服務應該為 XX 電網信息系統(tǒng)提供以下的管理服務：企業(yè)用戶目錄：實現將 XX 電網所有用戶信息存儲在企業(yè)用戶目錄，企業(yè)用戶目錄設計需要反映出 XX 電網的組織結構；一般來講，企業(yè)用戶目錄的設計應該具備高效處理的扁平結構。關鍵服務 數字證書系統(tǒng)是加強 XX 電網應用安全的重要手段，需要采用可靠的方式，實現聯網應用用戶的強身份鑒別和認證，支持網絡應用的信息傳輸保護，提高業(yè)務應用的抗抵賴性。證書解凍：相對于證書凍結操作，此功能將凍結的證書解凍，使得證書可以重新使用。關鍵服務 終端安全準入服務提供以下的關鍵安全服務：終端合法身份認證：對登錄終端的合法性進行確認，通過檢查終端的合法唯一標識，以及終端用戶的合法身份檢查，禁止非法終端接入內部網絡，此功能的實現需要結合身份與信任管理目錄中的服務平臺終端安全合規(guī)檢查：對接入內部網絡的合法終端的安全合規(guī)進行檢驗，禁止不合規(guī)的終端接入內部網絡不合規(guī)終端安全修補：對合法但不合規(guī)的終端，提供安全修補的服務，此功能需要結合補丁管理服務及桌面終端管理服務。信 息 流 控 制 入 侵 檢 測 /防 御 邊 界 信 息 流 控 制 信 息 流 內 容檢 測 過 濾 服 務 拒 絕 服 務 攻 擊 防 護每個安全技術功能服務組件的說明如下。郵件系統(tǒng)內置了防垃圾郵件模塊和防病毒模塊。邊界信息流控制服務應該為 XX 電網提供以下的安全服務：過濾進出的 TCP/IP 數據包。當前實施情況 目前，XX 電網統(tǒng)一互聯網出口平臺及各局域網都部署了防火墻或者 ACL 機制來實現安全隔離。完 整 性 信 息 防 泄 露 防 病 毒 服 務網 頁 防 篡 改桌 面 終 端 管 理可 用 性 保 障 服 務每個安全技術功能服務組件的說明如下。數據存儲加密：采用成熟加密技術對敏感數據加密存儲，并采用校驗措施來防止數據非授權修改數據通信加密：數據庫訪問采用通信加密，防數據重放或篡改訪問授權：需要對機密數據的訪問者進行身份和授權驗證加密密鑰保護：對密鑰提供管理和安全存儲，避免密鑰被非法獲取當前實施情況 目前部分關鍵系統(tǒng)采用數據庫加密方式保護信息數據。在系統(tǒng)層面，對于系統(tǒng)服務器和數據庫服務器等，根據其業(yè)務重要性，一般均需采取雙機/多機熱備份、或部署負載均衡設備等機制，從而實現系統(tǒng)層重要服務器的高可用性。補丁管理服務包括補丁庫升級、補丁測試、補丁分發(fā)、補丁安裝等功能；軟件分發(fā)：提供桌面終端的統(tǒng)一軟件分發(fā)，軟件下發(fā)后需要獲取軟件下發(fā)整體情況，用以及時調整軟件下發(fā)策略；遠程維護和管理：提供管理員遠程監(jiān)視或者遠程協(xié)助的功能，管理員能夠對發(fā)生問題的桌面終端提供遠程維護，協(xié)助終端用戶解決問題。在安全事件發(fā)生后可回放特定用戶在相關應用或設備指定時間段內的操作。在本項目中，我們針對 XX 電網管理信息大區(qū)進行了網絡安全區(qū)域的劃分，結合 XX電網目前的安全技術現狀，基于每個安全區(qū)域的風險控制要點，給出安全技術功能服務組件在網絡環(huán)境中的部署設計。 安全弱點管理服務名稱 版本 歸屬安全弱點管理服務 安全審計管理描述 該服務組件能夠實現對應用系統(tǒng)和平臺系統(tǒng)（主機系統(tǒng)、數據庫系統(tǒng)、網絡系統(tǒng)、終端系統(tǒng)等）存在的安全弱點，并對發(fā)現的弱點進行管理。關鍵服務 本服務應該為 XX 電網提供以下的安全功能：事件生成與收集：收集從操作系統(tǒng)平臺、網絡設備、應用系統(tǒng)以及其它安全服務產生的審計事件和數據過濾與標準化：定義規(guī)則過濾特定的事件，以及將所獲得數據加以標準化，使之符合統(tǒng)一的事件格式規(guī)范事件存儲：將審計事件加以集中保存，并提供訪問控制和完整性保護以禁止未經授權的用戶讀取、復制、修改和刪除審計事件日志事件分析與告警：實時分析所收集的各類事件信息，發(fā)現并通過關聯性分析定位各種潛在的可能發(fā)生的真實安全事件，如入侵、攻擊、蠕蟲爆發(fā)等，產生告警；提供事后審計分析功能，基于不同審計需求進行分析審計策略：管理控制審計報告和告警產生的策略，定義事件分析所依據的規(guī)則審計報告：依照審計需求生成各類審計報告，提供管理層和/或IT 運維人員使用當前實施情況 目前，XX 電網已經部署了部分安全事件監(jiān)控平臺，但未形成 XX電網的安全事件統(tǒng)一監(jiān)控中心。XX 電網已經啟動異地容災項目。 可用性保障服務名稱 版本 歸屬可用性保障服務 完整性控制描述 可用性保障服務組件能夠支持應用或系統(tǒng)平臺發(fā)生運行失敗和中斷時能夠及時修復，或部分的應用或系統(tǒng)平臺發(fā)生運行失敗時企業(yè)能夠繼續(xù)可靠的提供 IT 系統(tǒng)服務。 信息防泄露服務名稱 版本 歸屬信息防泄露服務 完整性控制描述 機密文檔防泄露服務提供對數據庫加密服務和的電子文檔安全保護服務。拒絕服務攻擊防護服務應該為 XX 電網提供以下的安全功能：流量檢測功能：采用基于行為模式異常的檢測，從背景流量中識別攻擊流量?；跁挔顟B(tài)檢測和 TCP/IP 動態(tài)端口進行數據流控制。一旦發(fā)現攻擊行為即通過入侵檢測控制臺進行報警，必要時，阻斷網絡攻擊連接。記錄用戶應用訪問信息，輸出審計報告；流量管理：可精確識別 BT、電驢、迅雷、MSN、 、Yahoo Messenger、PPLive 等近百種 P2P/IM 應用，可基于時間、用戶、區(qū)域、應用協(xié)議，通過告警、限速、阻斷等手段進行靈活控制，保證網速的正常和業(yè)務不被影響；流量統(tǒng)計：基于通用流量統(tǒng)計模型，提供基于用戶、應用、時間段、源/目的 IP 等豐富的業(yè)務流量統(tǒng)計信息日志。 遠程安全接入服務名稱 版本 歸屬遠程安全接入服務 信息流控制描述 遠程安全接入服務是在公共互聯網絡上，建立虛擬的安全通道，保證遠程接入的用戶或分支機構與 XX 電網內網之間的安全連接。 集中身份認證及單點登陸服務名稱 版本 歸屬集中身份認證及單點登陸服務 訪問控制描述 集中身份認證及單點登錄服務是以集中的方式，實現企業(yè)用戶對應用系統(tǒng)和平臺設備的訪問進行單點登錄和集中身份認證。證書驗證：向企業(yè)的用戶或者應用提供統(tǒng)一的證書有效性驗證； 證書撤銷：根據企業(yè)證書策略，對不安全的證書實行撤銷，撤銷后證書將失效。其中目錄整合須建立企業(yè)用戶目錄系統(tǒng)與其他系統(tǒng)間的用戶信息對應關系；雙方數據的同步接口將遵循該對應關系，實現一次性或定期的數據同步。關鍵服務 統(tǒng)一用戶管理服務應該為 XX 電網信息系統(tǒng)提供以下的管理服務：組織管理，實現對 XX 電網組織結構的管理，使得企業(yè)能夠按照自身情況以部門或者地域進行組織結構的定義，管理內部用戶在 XX電網的組織結構的分布；賬號管理，實現對 XX 電網所有內部用戶自然人身份的主賬號的管理，包括創(chuàng)建，激活、中止，廢除、修改和刪除，以及主賬號與用戶在目標 IT 系統(tǒng)的賬號的關聯同步管理；用戶審批管理，實現對 XX 電網用戶賬號建立、變動的審批管理；角色管理，定義和管理在 XX 電網企業(yè)用戶的工作崗位/ 角色，提高企業(yè)用戶管理的效率和靈活性。完整性控制目錄該目錄定義了保障 IT 實體（包括網絡、平臺系統(tǒng)、應用系統(tǒng)、數據等）完整性的功能服務組件，它們負責對企業(yè)范圍內 IT 實體正確、完整、可靠運行提供管理控制。身 份 與 信 任 管 理 訪 問 控 制 信 息 流 控 制 完 整 性集 中 用 戶 管 理統(tǒng) 一 用 戶 目 錄數 字 證 書 服 務集 中 身 份 認 證及 單 點 登 陸訪 問 授 權 服 務終 端 準 入 控 制入 侵 檢 測 防 護邊 界 信 息 流 控 制信 息 流 內 容檢 測 過 濾 服 務拒 絕 服 務 攻 擊 防 護安 全 審 計 管 理統(tǒng) 一 安 全 事 件監(jiān) 控 管 理綜 合 安 全 日 志 審 計操 作 過 程 管 理遠 程 訪 問 控 制信 息 防 泄 露防 病 毒 服 務網 頁 防 篡 改安 全 技 術 功 能 服 務 組 件 架 構桌 面 終 端 管 理安 全 符 合 性 檢 查安 全 弱 點 管 理可 用 性 保 障 服 務圖 41 安全技術功能服務組件框架 安全技術功能服務組件目錄定義與安全架構方法模型中的五個安全域相對應，定義了五個安全技術功能服務組件目錄，分別是身份與信任管理目錄、訪問控制目錄、信息流控制目錄、完整性控制目錄和安全審計管理目錄。先進性具有前瞻性，考慮安全技術的發(fā)展趨勢，滿足業(yè)務未來發(fā)展的需求。 國家等保需求國家等保需求，主要依據國家有關部門頒布的信息安全等級保護的要求。南方電網為深入貫徹落實《關于加強中央企業(yè)信息化工作的指導意見》 ，出臺了關于信息化工作評價的相關辦法，其中關于信息安全防護水平的評價指標如下：信息安全防護水平評價指標 安全技術需求(二) 統(tǒng)一的安全管理?制定總體安全防護體系框架，作為信息安全工作開展的總體指導，并根據總體要求開展信息安全工作。網絡安全建設需實現網絡信息安全事件的全方面控制。在本項目中，利用這些安全域為 XX 電網搭建安全架構。? 步驟六 安全技術建設階段規(guī)劃，在每個安全技術項目定義明確的基礎上，分析每個項目建設的輕重緩急，整理出符合 XX 電網實際的安全建設階段劃分，為今后 5 年的信息安全技術建設規(guī)劃提供建議。 圖 22 信息安全技術體系架構規(guī)劃方法圖如圖 23 所示，本項目工作流程由六個步驟組成，分別是安全需求梳理，安全技術架構功能服務組件框架確定，網絡安全域確定，安全技術功能服務組件運行部署，安全技術建設項目規(guī)劃和安全技術建設階段規(guī)劃。隨著業(yè)務對信息系統(tǒng)的依賴性越來越高，XX 電網 IT 的有序管理與運維將成為業(yè)務有序運行的前提。因此，XX 電網信息安全著眼于：? 確保國民經濟發(fā)展? 確保社會和諧穩(wěn)定? 確保南方電網的“對中央負責、為南方五省區(qū)服務”宗旨的實現? 確保 XX 電網信息化對公司生產、經營、服務及企業(yè)管理與決策的支撐為實現上述目標，在技術建設方面，項目組參考 ISO15408（CC） 、等保等相關標準，以及 IBM 的企業(yè)信息安全框架模型（ESA） 、企業(yè)安全技術架構方法（MASS ） ，制定 XX 電網信息安全技術體系規(guī)劃，滿足未來 5 年 XX 電網信息安全技術需求。圖 23 工作方法流程圖? 步驟一 安全需求梳理，在本項目中，我們將從近期 XX 電網信息安全技術風險需求、安全管理策略需求、南方電網公司考核需求、國家等保需求等角度來總結和梳理信息安全技術建設的要求，并在此基礎上總結安全技術目標和安全技術架構設計原則。 參考標準ISO/IEC 15408：“信息技術 安全技術 信息技術安全性評估準則（簡稱 CC） ，國際標準化組織在現有多種評估準則的基礎上，統(tǒng)一形成的。這五個安全域是身份與信任管理、訪問控制、信息流控制、完整性管理、安全審計管理。3．應用系統(tǒng)安全需求：應用系統(tǒng)用戶賬號管理、認證、授權、審計等均缺乏相應的技術支持，同時，通過風險評估與滲透測試發(fā)現部分應用系統(tǒng)存在漏洞，并能成功入侵，應用安全需解決當前各應用系統(tǒng)存在的安全問題，并為應用系統(tǒng)運行與管理提供方便，結合南方電網要求，逐步實現應用系統(tǒng)的集中用戶、身份認證和授權管理，為應用系統(tǒng)統(tǒng)一、集中管理提供基礎。建立 XX 電網信息安全技術框架，從技術方面規(guī)范與指導 XX 電網信息安全建設。2022 年， 《國家信息化領導小組關于加強信息安全保障工作的意見》 （中辦發(fā)[2022]27 號）明確指出“實行信息安全等級保護” ， “抓緊建立信息安全等級保護制度，制定信息安全等級保護的管理辦法和技術指南” ； 2022 年 9 月公安部會同國家保密局、國家密碼管理局和國務院信息辦聯合出臺了《關于信息安全等級保護工作的實施意見》 （公通字[2022]66 號） ，明確了信息安全等級保護制度的原則和基本內容，以及信息安全等級保護工作的職責分工、工作實施的要求等；電監(jiān)信息〔2022〕34 號《關于開展電力行業(yè)信息系統(tǒng)安全等級保護定級工作的通知》明確 為貫徹落實公安部、國家保密局、國家密碼管理局、國務院信息化工作辦公室《關于印發(fā) 信息安全等級保護管理辦法 的通知》 （公通字 〔2022〕43 號）和《關于開展全國重要信息系統(tǒng)安全等級保護定級工作的通知》 （公信安〔2022〕861 號）要求，提高電力行業(yè)網絡和信息系統(tǒng)的信息安全保護能力和水平，對在電力行業(yè)組織開展信息系統(tǒng)安全等級保護定級工作。? 合規(guī)性符合國家信息安全保障體系的總體要求，符合電監(jiān)會、南方電網公司等上級部門的相關管理要求。以下是每個安全服務組件目錄的定義。在本目錄中包含的安全服務組件有網頁防篡改、信息防泄露、防病毒服務、桌面終端管理、可用性保障。通過角色定義，可以將某類角色和不同目標系統(tǒng)上的賬號進行對應，實現基于角色的企業(yè)用戶管理；基于角色的訪問管理：通過角色定義，可以將某類角色和目標系統(tǒng)上的資源進行對應，支持基于角色的訪問授權。目錄復制與恢復：實現企業(yè)用戶目錄的復制與恢復，有效保障用戶目錄信息的高可用性。證書更新：根據企業(yè)證書策略，對正在使用中的證書進行有效期等更新。關鍵服務 集中身份認證及單點登錄服務應該為 XX 電網信息系統(tǒng)提供以下的管理服務：訪問集中認證：通過對訪問者的身份信任憑證的集中檢驗來核實身份的正確性；支持多種認證機制：能夠支持多種信任憑證認證機制，例如