【正文】 訪問控制目錄該目錄定義了對(duì) IT 資源（包括網(wǎng)絡(luò)資源、平臺(tái)系統(tǒng)資源、應(yīng)用系統(tǒng)資源、數(shù)據(jù)資源等）進(jìn)行訪問控制的功能服務(wù)組件，它們負(fù)責(zé)企業(yè)范圍內(nèi)的 IT 資源訪問的管理控制。 安全技術(shù)功能服務(wù)組件定義 身份與信任管理目錄身份與信任管理目錄包含以下的安全技術(shù)功能服務(wù)組件。關(guān)鍵服務(wù) 企業(yè)用戶目錄管理服務(wù)應(yīng)該為 XX 電網(wǎng)信息系統(tǒng)提供以下的管理服務(wù)：企業(yè)用戶目錄：實(shí)現(xiàn)將 XX 電網(wǎng)所有用戶信息存儲(chǔ)在企業(yè)用戶目錄，企業(yè)用戶目錄設(shè)計(jì)需要反映出 XX 電網(wǎng)的組織結(jié)構(gòu)；一般來講，企業(yè)用戶目錄的設(shè)計(jì)應(yīng)該具備高效處理的扁平結(jié)構(gòu)。關(guān)鍵服務(wù) 數(shù)字證書系統(tǒng)是加強(qiáng) XX 電網(wǎng)應(yīng)用安全的重要手段，需要采用可靠的方式，實(shí)現(xiàn)聯(lián)網(wǎng)應(yīng)用用戶的強(qiáng)身份鑒別和認(rèn)證，支持網(wǎng)絡(luò)應(yīng)用的信息傳輸保護(hù)，提高業(yè)務(wù)應(yīng)用的抗抵賴性。證書解凍：相對(duì)于證書凍結(jié)操作，此功能將凍結(jié)的證書解凍，使得證書可以重新使用。關(guān)鍵服務(wù) 終端安全準(zhǔn)入服務(wù)提供以下的關(guān)鍵安全服務(wù)：終端合法身份認(rèn)證：對(duì)登錄終端的合法性進(jìn)行確認(rèn)，通過檢查終端的合法唯一標(biāo)識(shí)，以及終端用戶的合法身份檢查，禁止非法終端接入內(nèi)部網(wǎng)絡(luò)，此功能的實(shí)現(xiàn)需要結(jié)合身份與信任管理目錄中的服務(wù)平臺(tái)終端安全合規(guī)檢查：對(duì)接入內(nèi)部網(wǎng)絡(luò)的合法終端的安全合規(guī)進(jìn)行檢驗(yàn)，禁止不合規(guī)的終端接入內(nèi)部網(wǎng)絡(luò)不合規(guī)終端安全修補(bǔ)：對(duì)合法但不合規(guī)的終端，提供安全修補(bǔ)的服務(wù)，此功能需要結(jié)合補(bǔ)丁管理服務(wù)及桌面終端管理服務(wù)。信 息 流 控 制 入 侵 檢 測(cè) /防 御 邊 界 信 息 流 控 制 信 息 流 內(nèi) 容檢 測(cè) 過 濾 服 務(wù) 拒 絕 服 務(wù) 攻 擊 防 護(hù)每個(gè)安全技術(shù)功能服務(wù)組件的說明如下。郵件系統(tǒng)內(nèi)置了防垃圾郵件模塊和防病毒模塊。邊界信息流控制服務(wù)應(yīng)該為 XX 電網(wǎng)提供以下的安全服務(wù)：過濾進(jìn)出的 TCP/IP 數(shù)據(jù)包。當(dāng)前實(shí)施情況 目前，XX 電網(wǎng)統(tǒng)一互聯(lián)網(wǎng)出口平臺(tái)及各局域網(wǎng)都部署了防火墻或者 ACL 機(jī)制來實(shí)現(xiàn)安全隔離。完 整 性 信 息 防 泄 露 防 病 毒 服 務(wù)網(wǎng) 頁 防 篡 改桌 面 終 端 管 理可 用 性 保 障 服 務(wù)每個(gè)安全技術(shù)功能服務(wù)組件的說明如下。數(shù)據(jù)存儲(chǔ)加密：采用成熟加密技術(shù)對(duì)敏感數(shù)據(jù)加密存儲(chǔ)，并采用校驗(yàn)措施來防止數(shù)據(jù)非授權(quán)修改數(shù)據(jù)通信加密：數(shù)據(jù)庫訪問采用通信加密，防數(shù)據(jù)重放或篡改訪問授權(quán)：需要對(duì)機(jī)密數(shù)據(jù)的訪問者進(jìn)行身份和授權(quán)驗(yàn)證加密密鑰保護(hù)：對(duì)密鑰提供管理和安全存儲(chǔ)，避免密鑰被非法獲取當(dāng)前實(shí)施情況 目前部分關(guān)鍵系統(tǒng)采用數(shù)據(jù)庫加密方式保護(hù)信息數(shù)據(jù)。在系統(tǒng)層面，對(duì)于系統(tǒng)服務(wù)器和數(shù)據(jù)庫服務(wù)器等，根據(jù)其業(yè)務(wù)重要性，一般均需采取雙機(jī)/多機(jī)熱備份、或部署負(fù)載均衡設(shè)備等機(jī)制，從而實(shí)現(xiàn)系統(tǒng)層重要服務(wù)器的高可用性。補(bǔ)丁管理服務(wù)包括補(bǔ)丁庫升級(jí)、補(bǔ)丁測(cè)試、補(bǔ)丁分發(fā)、補(bǔ)丁安裝等功能；軟件分發(fā)：提供桌面終端的統(tǒng)一軟件分發(fā)，軟件下發(fā)后需要獲取軟件下發(fā)整體情況，用以及時(shí)調(diào)整軟件下發(fā)策略；遠(yuǎn)程維護(hù)和管理：提供管理員遠(yuǎn)程監(jiān)視或者遠(yuǎn)程協(xié)助的功能，管理員能夠?qū)Πl(fā)生問題的桌面終端提供遠(yuǎn)程維護(hù)，協(xié)助終端用戶解決問題。在安全事件發(fā)生后可回放特定用戶在相關(guān)應(yīng)用或設(shè)備指定時(shí)間段內(nèi)的操作。在本項(xiàng)目中，我們針對(duì) XX 電網(wǎng)管理信息大區(qū)進(jìn)行了網(wǎng)絡(luò)安全區(qū)域的劃分，結(jié)合 XX電網(wǎng)目前的安全技術(shù)現(xiàn)狀，基于每個(gè)安全區(qū)域的風(fēng)險(xiǎn)控制要點(diǎn)，給出安全技術(shù)功能服務(wù)組件在網(wǎng)絡(luò)環(huán)境中的部署設(shè)計(jì)。 安全弱點(diǎn)管理服務(wù)名稱 版本 歸屬安全弱點(diǎn)管理服務(wù) 安全審計(jì)管理描述 該服務(wù)組件能夠?qū)崿F(xiàn)對(duì)應(yīng)用系統(tǒng)和平臺(tái)系統(tǒng)（主機(jī)系統(tǒng)、數(shù)據(jù)庫系統(tǒng)、網(wǎng)絡(luò)系統(tǒng)、終端系統(tǒng)等）存在的安全弱點(diǎn)，并對(duì)發(fā)現(xiàn)的弱點(diǎn)進(jìn)行管理。關(guān)鍵服務(wù) 本服務(wù)應(yīng)該為 XX 電網(wǎng)提供以下的安全功能：事件生成與收集：收集從操作系統(tǒng)平臺(tái)、網(wǎng)絡(luò)設(shè)備、應(yīng)用系統(tǒng)以及其它安全服務(wù)產(chǎn)生的審計(jì)事件和數(shù)據(jù)過濾與標(biāo)準(zhǔn)化：定義規(guī)則過濾特定的事件，以及將所獲得數(shù)據(jù)加以標(biāo)準(zhǔn)化，使之符合統(tǒng)一的事件格式規(guī)范事件存儲(chǔ)：將審計(jì)事件加以集中保存，并提供訪問控制和完整性保護(hù)以禁止未經(jīng)授權(quán)的用戶讀取、復(fù)制、修改和刪除審計(jì)事件日志事件分析與告警：實(shí)時(shí)分析所收集的各類事件信息，發(fā)現(xiàn)并通過關(guān)聯(lián)性分析定位各種潛在的可能發(fā)生的真實(shí)安全事件，如入侵、攻擊、蠕蟲爆發(fā)等，產(chǎn)生告警；提供事后審計(jì)分析功能，基于不同審計(jì)需求進(jìn)行分析審計(jì)策略：管理控制審計(jì)報(bào)告和告警產(chǎn)生的策略，定義事件分析所依據(jù)的規(guī)則審計(jì)報(bào)告：依照審計(jì)需求生成各類審計(jì)報(bào)告，提供管理層和/或IT 運(yùn)維人員使用當(dāng)前實(shí)施情況 目前，XX 電網(wǎng)已經(jīng)部署了部分安全事件監(jiān)控平臺(tái)，但未形成 XX電網(wǎng)的安全事件統(tǒng)一監(jiān)控中心。XX 電網(wǎng)已經(jīng)啟動(dòng)異地容災(zāi)項(xiàng)目。 可用性保障服務(wù)名稱 版本 歸屬可用性保障服務(wù) 完整性控制描述 可用性保障服務(wù)組件能夠支持應(yīng)用或系統(tǒng)平臺(tái)發(fā)生運(yùn)行失敗和中斷時(shí)能夠及時(shí)修復(fù)，或部分的應(yīng)用或系統(tǒng)平臺(tái)發(fā)生運(yùn)行失敗時(shí)企業(yè)能夠繼續(xù)可靠的提供 IT 系統(tǒng)服務(wù)。 信息防泄露服務(wù)名稱 版本 歸屬信息防泄露服務(wù) 完整性控制描述 機(jī)密文檔防泄露服務(wù)提供對(duì)數(shù)據(jù)庫加密服務(wù)和的電子文檔安全保護(hù)服務(wù)。拒絕服務(wù)攻擊防護(hù)服務(wù)應(yīng)該為 XX 電網(wǎng)提供以下的安全功能：流量檢測(cè)功能：采用基于行為模式異常的檢測(cè)，從背景流量中識(shí)別攻擊流量?；跁?huì)話狀態(tài)檢測(cè)和 TCP/IP 動(dòng)態(tài)端口進(jìn)行數(shù)據(jù)流控制。一旦發(fā)現(xiàn)攻擊行為即通過入侵檢測(cè)控制臺(tái)進(jìn)行報(bào)警，必要時(shí)，阻斷網(wǎng)絡(luò)攻擊連接。記錄用戶應(yīng)用訪問信息，輸出審計(jì)報(bào)告；流量管理：可精確識(shí)別 BT、電驢、迅雷、MSN、 、Yahoo Messenger、PPLive 等近百種 P2P/IM 應(yīng)用，可基于時(shí)間、用戶、區(qū)域、應(yīng)用協(xié)議，通過告警、限速、阻斷等手段進(jìn)行靈活控制，保證網(wǎng)速的正常和業(yè)務(wù)不被影響；流量統(tǒng)計(jì)：基于通用流量統(tǒng)計(jì)模型，提供基于用戶、應(yīng)用、時(shí)間段、源/目的 IP 等豐富的業(yè)務(wù)流量統(tǒng)計(jì)信息日志。 遠(yuǎn)程安全接入服務(wù)名稱 版本 歸屬遠(yuǎn)程安全接入服務(wù) 信息流控制描述 遠(yuǎn)程安全接入服務(wù)是在公共互聯(lián)網(wǎng)絡(luò)上，建立虛擬的安全通道，保證遠(yuǎn)程接入的用戶或分支機(jī)構(gòu)與 XX 電網(wǎng)內(nèi)網(wǎng)之間的安全連接。 集中身份認(rèn)證及單點(diǎn)登陸服務(wù)名稱 版本 歸屬集中身份認(rèn)證及單點(diǎn)登陸服務(wù) 訪問控制描述 集中身份認(rèn)證及單點(diǎn)登錄服務(wù)是以集中的方式，實(shí)現(xiàn)企業(yè)用戶對(duì)應(yīng)用系統(tǒng)和平臺(tái)設(shè)備的訪問進(jìn)行單點(diǎn)登錄和集中身份認(rèn)證。證書驗(yàn)證：向企業(yè)的用戶或者應(yīng)用提供統(tǒng)一的證書有效性驗(yàn)證； 證書撤銷：根據(jù)企業(yè)證書策略，對(duì)不安全的證書實(shí)行撤銷，撤銷后證書將失效。其中目錄整合須建立企業(yè)用戶目錄系統(tǒng)與其他系統(tǒng)間的用戶信息對(duì)應(yīng)關(guān)系；雙方數(shù)據(jù)的同步接口將遵循該對(duì)應(yīng)關(guān)系，實(shí)現(xiàn)一次性或定期的數(shù)據(jù)同步。關(guān)鍵服務(wù) 統(tǒng)一用戶管理服務(wù)應(yīng)該為 XX 電網(wǎng)信息系統(tǒng)提供以下的管理服務(wù)：組織管理，實(shí)現(xiàn)對(duì) XX 電網(wǎng)組織結(jié)構(gòu)的管理，使得企業(yè)能夠按照自身情況以部門或者地域進(jìn)行組織結(jié)構(gòu)的定義，管理內(nèi)部用戶在 XX電網(wǎng)的組織結(jié)構(gòu)的分布；賬號(hào)管理，實(shí)現(xiàn)對(duì) XX 電網(wǎng)所有內(nèi)部用戶自然人身份的主賬號(hào)的管理，包括創(chuàng)建，激活、中止，廢除、修改和刪除，以及主賬號(hào)與用戶在目標(biāo) IT 系統(tǒng)的賬號(hào)的關(guān)聯(lián)同步管理；用戶審批管理，實(shí)現(xiàn)對(duì) XX 電網(wǎng)用戶賬號(hào)建立、變動(dòng)的審批管理；角色管理，定義和管理在 XX 電網(wǎng)企業(yè)用戶的工作崗位/ 角色，提高企業(yè)用戶管理的效率和靈活性。完整性控制目錄該目錄定義了保障 IT 實(shí)體（包括網(wǎng)絡(luò)、平臺(tái)系統(tǒng)、應(yīng)用系統(tǒng)、數(shù)據(jù)等）完整性的功能服務(wù)組件，它們負(fù)責(zé)對(duì)企業(yè)范圍內(nèi) IT 實(shí)體正確、完整、可靠運(yùn)行提供管理控制。身 份 與 信 任 管 理 訪 問 控 制 信 息 流 控 制 完 整 性集 中 用 戶 管 理統(tǒng) 一 用 戶 目 錄數(shù) 字 證 書 服 務(wù)集 中 身 份 認(rèn) 證及 單 點(diǎn) 登 陸訪 問 授 權(quán) 服 務(wù)終 端 準(zhǔn) 入 控 制入 侵 檢 測(cè) 防 護(hù)邊 界 信 息 流 控 制信 息 流 內(nèi) 容檢 測(cè) 過 濾 服 務(wù)拒 絕 服 務(wù) 攻 擊 防 護(hù)安 全 審 計(jì) 管 理統(tǒng) 一 安 全 事 件監(jiān) 控 管 理綜 合 安 全 日 志 審 計(jì)操 作 過 程 管 理遠(yuǎn) 程 訪 問 控 制信 息 防 泄 露防 病 毒 服 務(wù)網(wǎng) 頁 防 篡 改安 全 技 術(shù) 功 能 服 務(wù) 組 件 架 構(gòu)桌 面 終 端 管 理安 全 符 合 性 檢 查安 全 弱 點(diǎn) 管 理可 用 性 保 障 服 務(wù)圖 41 安全技術(shù)功能服務(wù)組件框架 安全技術(shù)功能服務(wù)組件目錄定義與安全架構(gòu)方法模型中的五個(gè)安全域相對(duì)應(yīng)，定義了五個(gè)安全技術(shù)功能服務(wù)組件目錄，分別是身份與信任管理目錄、訪問控制目錄、信息流控制目錄、完整性控制目錄和安全審計(jì)管理目錄。先進(jìn)性具有前瞻性，考慮安全技術(shù)的發(fā)展趨勢(shì)，滿足業(yè)務(wù)未來發(fā)展的需求。 國家等保需求國家等保需求，主要依據(jù)國家有關(guān)部門頒布的信息安全等級(jí)保護(hù)的要求。南方電網(wǎng)為深入貫徹落實(shí)《關(guān)于加強(qiáng)中央企業(yè)信息化工作的指導(dǎo)意見》 ，出臺(tái)了關(guān)于信息化工作評(píng)價(jià)的相關(guān)辦法，其中關(guān)于信息安全防護(hù)水平的評(píng)價(jià)指標(biāo)如下：信息安全防護(hù)水平評(píng)價(jià)指標(biāo) 安全技術(shù)需求(二) 統(tǒng)一的安全管理?制定總體安全防護(hù)體系框架，作為信息安全工作開展的總體指導(dǎo)，并根據(jù)總體要求開展信息安全工作。網(wǎng)絡(luò)安全建設(shè)需實(shí)現(xiàn)網(wǎng)絡(luò)信息安全事件的全方面控制。在本項(xiàng)目中，利用這些安全域?yàn)?XX 電網(wǎng)搭建安全架構(gòu)。? 步驟六 安全技術(shù)建設(shè)階段規(guī)劃，在每個(gè)安全技術(shù)項(xiàng)目定義明確的基礎(chǔ)上，分析每個(gè)項(xiàng)目建設(shè)的輕重緩急，整理出符合 XX 電網(wǎng)實(shí)際的安全建設(shè)階段劃分，為今后 5 年的信息安全技術(shù)建設(shè)規(guī)劃提供建議。 圖 22 信息安全技術(shù)體系架構(gòu)規(guī)劃方法圖如圖 23 所示，本項(xiàng)目工作流程由六個(gè)步驟組成，分別是安全需求梳理，安全技術(shù)架構(gòu)功能服務(wù)組件框架確定，網(wǎng)絡(luò)安全域確定，安全技術(shù)功能服務(wù)組件運(yùn)行部署，安全技術(shù)建設(shè)項(xiàng)目規(guī)劃和安全技術(shù)建設(shè)階段規(guī)劃。隨著業(yè)務(wù)對(duì)信息系統(tǒng)的依賴性越來越高，XX 電網(wǎng) IT 的有序管理與運(yùn)維將成為業(yè)務(wù)有序運(yùn)行的前提。因此，XX 電網(wǎng)信息安全著眼于：? 確保國民經(jīng)濟(jì)發(fā)展? 確保社會(huì)和諧穩(wěn)定? 確保南方電網(wǎng)的“對(duì)中央負(fù)責(zé)、為南方五省區(qū)服務(wù)”宗旨的實(shí)現(xiàn)? 確保 XX 電網(wǎng)信息化對(duì)公司生產(chǎn)、經(jīng)營、服務(wù)及企業(yè)管理與決策的支撐為實(shí)現(xiàn)上述目標(biāo)，在技術(shù)建設(shè)方面，項(xiàng)目組參考 ISO15408（CC） 、等保等相關(guān)標(biāo)準(zhǔn)，以及 IBM 的企業(yè)信息安全框架模型（ESA） 、企業(yè)安全技術(shù)架構(gòu)方法（MASS ） ，制定 XX 電網(wǎng)信息安全技術(shù)體系規(guī)劃，滿足未來 5 年 XX 電網(wǎng)信息安全技術(shù)需求。圖 23 工作方法流程圖? 步驟一 安全需求梳理，在本項(xiàng)目中，我們將從近期 XX 電網(wǎng)信息安全技術(shù)風(fēng)險(xiǎn)需求、安全管理策略需求、南方電網(wǎng)公司考核需求、國家等保需求等角度來總結(jié)和梳理信息安全技術(shù)建設(shè)的要求，并在此基礎(chǔ)上總結(jié)安全技術(shù)目標(biāo)和安全技術(shù)架構(gòu)設(shè)計(jì)原則。 參考標(biāo)準(zhǔn)ISO/IEC 15408：“信息技術(shù) 安全技術(shù) 信息技術(shù)安全性評(píng)估準(zhǔn)則（簡(jiǎn)稱 CC） ，國際標(biāo)準(zhǔn)化組織在現(xiàn)有多種評(píng)估準(zhǔn)則的基礎(chǔ)上，統(tǒng)一形成的。這五個(gè)安全域是身份與信任管理、訪問控制、信息流控制、完整性管理、安全審計(jì)管理。3．應(yīng)用系統(tǒng)安全需求：應(yīng)用系統(tǒng)用戶賬號(hào)管理、認(rèn)證、授權(quán)、審計(jì)等均缺乏相應(yīng)的技術(shù)支持，同時(shí)，通過風(fēng)險(xiǎn)評(píng)估與滲透測(cè)試發(fā)現(xiàn)部分應(yīng)用系統(tǒng)存在漏洞，并能成功入侵，應(yīng)用安全需解決當(dāng)前各應(yīng)用系統(tǒng)存在的安全問題，并為應(yīng)用系統(tǒng)運(yùn)行與管理提供方便，結(jié)合南方電網(wǎng)要求，逐步實(shí)現(xiàn)應(yīng)用系統(tǒng)的集中用戶、身份認(rèn)證和授權(quán)管理，為應(yīng)用系統(tǒng)統(tǒng)一、集中管理提供基礎(chǔ)。建立 XX 電網(wǎng)信息安全技術(shù)框架，從技術(shù)方面規(guī)范與指導(dǎo) XX 電網(wǎng)信息安全建設(shè)。2022 年， 《國家信息化領(lǐng)導(dǎo)小組關(guān)于加強(qiáng)信息安全保障工作的意見》 （中辦發(fā)[2022]27 號(hào)）明確指出“實(shí)行信息安全等級(jí)保護(hù)” ， “抓緊建立信息安全等級(jí)保護(hù)制度，制定信息安全等級(jí)保護(hù)的管理辦法和技術(shù)指南” ； 2022 年 9 月公安部會(huì)同國家保密局、國家密碼管理局和國務(wù)院信息辦聯(lián)合出臺(tái)了《關(guān)于信息安全等級(jí)保護(hù)工作的實(shí)施意見》 （公通字[2022]66 號(hào)） ，明確了信息安全等級(jí)保護(hù)制度的原則和基本內(nèi)容，以及信息安全等級(jí)保護(hù)工作的職責(zé)分工、工作實(shí)施的要求等；電監(jiān)信息〔2022〕34 號(hào)《關(guān)于開展電力行業(yè)信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)工作的通知》明確 為貫徹落實(shí)公安部、國家保密局、國家密碼管理局、國務(wù)院信息化工作辦公室《關(guān)于印發(fā) 信息安全等級(jí)保護(hù)管理辦法 的通知》 （公通字 〔2022〕43 號(hào)）和《關(guān)于開展全國重要信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)工作的通知》 （公信安〔2022〕861 號(hào)）要求，提高電力行業(yè)網(wǎng)絡(luò)和信息系統(tǒng)的信息安全保護(hù)能力和水平，對(duì)在電力行業(yè)組織開展信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)工作。? 合規(guī)性符合國家信息安全保障體系的總體要求，符合電監(jiān)會(huì)、南方電網(wǎng)公司等上級(jí)部門的相關(guān)管理要求。以下是每個(gè)安全服務(wù)組件目錄的定義。在本目錄中包含的安全服務(wù)組件有網(wǎng)頁防篡改、信息防泄露、防病毒服務(wù)、桌面終端管理、可用性保障。通過角色定義，可以將某類角色和不同目標(biāo)系統(tǒng)上的賬號(hào)進(jìn)行對(duì)應(yīng)，實(shí)現(xiàn)基于角色的企業(yè)用戶管理；基于角色的訪問管理：通過角色定義，可以將某類角色和目標(biāo)系統(tǒng)上的資源進(jìn)行對(duì)應(yīng)，支持基于角色的訪問授權(quán)。目錄復(fù)制與恢復(fù)：實(shí)現(xiàn)企業(yè)用戶目錄的復(fù)制與恢復(fù)，有效保障用戶目錄信息的高可用性。證書更新：根據(jù)企業(yè)證書策略，對(duì)正在使用中的證書進(jìn)行有效期等更新。關(guān)鍵服務(wù) 集中身份認(rèn)證及單點(diǎn)登錄服務(wù)應(yīng)該為 XX 電網(wǎng)信息系統(tǒng)提供以下的管理服務(wù)：訪問集中認(rèn)證：通過對(duì)訪問者的身份信任憑證的集中檢驗(yàn)來核實(shí)身份的正確性；支持多種認(rèn)證機(jī)制：能夠支持多種信任憑證認(rèn)證機(jī)制，例如