【導讀】襖羈蕆薁螀羈膆蒄蚆羀艿蠆羅罿莁蒂袀羈蒃蚇螆肇膃蒀螞肆芅蚆薈肅莇蒈羇肅膇螄袃肄艿薇蝿肅莂螂蚅肂蒄薅羄肁膄莈袀膀芆薃螆腿莈莆螞腿肈薂薈膈芀莄羆膇莃蝕袂膆蒅蒃螈膅膅蚈蚄膄芇蒁羃芃荿蚆衿芃蒂葿螅節(jié)膁蚅蟻袈莃蒈蚇袇蒆螃羅袇膅薆袁袆羋螁螇裊莀薄蚃羄蒂莇羃膂薂袈芄蒞襖羈蕆薁螀羈膆蒄蚆羀艿蠆羅罿莁蒂袀羈蒃蚇螆肇膃蒀螞肆芅蚆薈肅莇蒈羇肅膇螄袃肄艿薇蝿肅莂螂蚅肂蒄薅羄肁膄莈袀膀芆薃螆腿莈莆螞腿肈薂薈膈芀莄羆膇莃蝕袂膆蒅蒃螈膅膅蚈蚄膄芇蒁羃芃荿蚆衿芃蒂葿螅節(jié)膁蚅蟻袈莃蒈蚇袇蒆螃羅袇膅薆袁袆羋螁螇裊莀薄蚃羄蒂莇羃膂薂袈芄蒞襖羈蕆薁螀羈膆蒄蚆羀艿蠆羅罿莁蒂袀羈蒃蚇螆肇膃蒀螞肆芅蚆薈肅莇蒈羇肅膇螄袃肄艿薇蝿肅莂螂蚅肂蒄薅羄肁膄莈袀膀芆薃螆腿莈莆螞腿肈薂薈膈芀莄羆膇莃蝕袂膆蒅蒃螈膅膅蚈蚄膄芇蒁羃芃荿蚆衿芃蒂葿螅節(jié)膁蚅蟻袈莃蒈蚇袇蒆螃羅袇膅薆袁袆羋螁螇裊莀薄蚃羄蒂莇羃膂薂袈芄蒞襖羈蕆薁螀羈膆蒄蚆羀艿蠆羅罿莁蒂袀羈蒃蚇螆肇

　　

【正文】 缺省拒絕 ‖的方式制定防護策略。防護策略在身份鑒別的基礎上，只授權(quán)開放必要的訪問權(quán)限，并保證數(shù)據(jù)安全的完整性、機密性、可用性。 業(yè)務相關(guān)性原則 對安全子域的安全防護要充分考慮該子域的業(yè)務特點，在保證業(yè)務正常運行、保證效率的情況下分別設置相應的安全防護策略。 如果子域之間的業(yè)務關(guān)聯(lián)性、互訪信任度、數(shù)據(jù)流量、訪問頻度等較低，通常情況下沒有數(shù)據(jù)互訪的業(yè)務需求，因此安全防護 策略非常嚴格，原則上不允許數(shù)據(jù)互訪。如果子域之間互訪信任度、數(shù)據(jù)流量、訪問頻度等比較高，通常情況下業(yè)務關(guān)系比較緊密，安全防護策略可以較為寬松，通常允許受限的信任互訪。 16 自治區(qū)煙草安全規(guī)劃方案建議書 策略最大化原則 安全域理論 安全域劃分以及基于安全域的整體安全工作，對自治區(qū)煙草公司具有很大的意義和實際作用： 安全域劃分基于網(wǎng)絡和系統(tǒng)進行，是下一步安全建設的部署依據(jù)，可以 指導系統(tǒng)的安全規(guī)劃、設計、入網(wǎng)和驗收工作； 可以更好的利用系統(tǒng)安全措施，發(fā)揮安全設備的利用率； 基于網(wǎng)絡和系統(tǒng)進行安全檢查和評估的基礎，可以在運行維護階段降低 系統(tǒng)風險，提供檢查審核依據(jù)； 安全域可以更好的控制網(wǎng)絡安全風險，降低系統(tǒng)風險； 安全域的分割是出現(xiàn)問題時的預防，能夠防止有害行為的滲透； 安全域邊界是災難發(fā)生時的抑制點，能夠防止影響的擴散。 早期在進行安全域的劃分時，完全從一個業(yè)務單元或者行政機構(gòu)的角度考慮。將自己的網(wǎng)絡和系統(tǒng)看成內(nèi)部網(wǎng)絡，將所有的其他網(wǎng)絡都作為不可信的網(wǎng)絡來看待；將自己看成中心，然后基于這個觀點進 行整個系統(tǒng)的分析和安全部署。隨著安全區(qū)域方法的發(fā)展，發(fā)現(xiàn)這樣的方法難于構(gòu)建全局的安全體系，局部的設計和實施經(jīng)驗也難于推廣到全局，也難于借鑒。 ―同構(gòu)性簡化 ‖的安全域劃分方法，其基本思路是認為一個復雜的網(wǎng)絡應當是由一些相通的網(wǎng)絡結(jié)構(gòu)元所組成，這些進行拼接、遞歸等方式構(gòu)造出一個大的網(wǎng)絡。 ―3+1同構(gòu)性簡化 ‖的安全域方法是用一種 3+1的網(wǎng)絡結(jié)構(gòu)元來分析自治 17 自治區(qū)煙草安全規(guī)劃方案建議書 區(qū)煙草公司網(wǎng)絡的系統(tǒng)。（注：除了3+1 構(gòu)造之外，還存在其他形式的構(gòu)造。）具體來說 自治區(qū)煙草公司的承載網(wǎng)絡和支撐系統(tǒng)按照其維護數(shù)據(jù)的分類可以分為安全服務域、安全接入域、安全互聯(lián)域以及安全支撐域四類。在此基礎上確定不同區(qū)域的信息系統(tǒng)安全保護等級。同一區(qū)域安全互聯(lián)域 連接傳輸共同數(shù)據(jù)的安全服務域和安全接入域組成的互聯(lián)基礎設施構(gòu)成了安全互聯(lián)域。安全互聯(lián)域的安全等級的確定與網(wǎng)絡所連接的安全接入域和安全服務域的安全等級有關(guān)。 當一個網(wǎng)絡所連接的安全服務域和安全接入域具有單一安全級別時，該安全互聯(lián)域的安全等級應與該安全等級相同； 當一個網(wǎng)絡所連接的安全服務域和安全接入域具有多安全級別時，應盡量 組成不同安全等級的安全互聯(lián)域，為這些安全服務域和安全接入域中的不同安全級別提供不同的支持；如果確實無法分別提供支持，則應按這些安全服務域和安全接入域中的最高安全級別提供安全支持，組成與最高安全級別相同安全等級的安全互聯(lián)域。 主要需要解決的安全問題包括：網(wǎng)絡設備的強壯性，防止被非法訪問；防止網(wǎng)絡的擁塞；防止線路的嗅探；防止成為惡意代碼傳播和擴散的載體等等。 安全互聯(lián)域有時會將其他域的邊界融合在本域中，因此，可能會以一種平臺的方式存在。安全互聯(lián)域由于主要起到承載作用，應當以通為主、以隔為輔。基于這樣的防護原 則，其中主要采用的安全措施包括：路由器本身的路由和過濾功能；交換機的 ACL 功能；線路的監(jiān)測功能。在骨干上建議只監(jiān)控流量，在接入端可以考慮監(jiān)控入侵行為等等。 安全接入域 由訪問同類數(shù)據(jù)的用戶終端構(gòu)成安全接入域，安全接入域的劃分應以用戶所 18 自治區(qū)煙草安全規(guī)劃方案建議書 能訪問的安全服務域中的數(shù)據(jù)類和用戶計算機所處的物理位置來確定。 安全接入域的安全防護等級與其所能訪問的安全服務域的安全等級有關(guān)。當一個安全接入域中的終端能訪問多個安全服務域時， 該安全接入域的安全防護等級應與這些安全服務域的最高安全等級相同。 安全接入域應有明確的邊界，以便于進行保護。 主要需要解決的安全問題包括：用戶主體的信任問題，也就是對于用戶的身份認證；客戶端主機的信任問題，也就是客戶端是否被感染和侵占；安全接入域內(nèi)，主機（包括客戶端）之間的互相感染和影響；安全接入域內(nèi)，一個客戶端對于另外一些客戶端的攻擊和嗅探；安全接入域內(nèi)，各個用戶之間的混淆，導致非授權(quán)操作；安全接入域內(nèi)的用戶和客戶端突破域的邊界安全規(guī)則等等。 針對上述主要問題，在安全接入域內(nèi)需要考慮如下一些防護要點 ，包括安全接入域內(nèi)和安全接入域的邊界。 安全接入域內(nèi)的防護要點： 安全接入域內(nèi)節(jié)點的加固，包括主機操作系統(tǒng)的補丁、主機和網(wǎng)絡設備的安全配置等；進而可以部署補丁管理等強制系統(tǒng)。 安全接入域內(nèi)節(jié)點的訪問控制，主要是主機和網(wǎng)絡設備管理的訪問控制等；如果需要加強，還可以部署集中身份認證系統(tǒng)、一次登錄系統(tǒng) (SSO)等，可以基于 CA證書、或者口令卡等； 安全接入域內(nèi)節(jié)點的防病毒；安全域內(nèi)的主機都應當部署防病毒系統(tǒng)，可以考慮部署對于客戶端的強制防病毒軟件安裝和強制升級和更新。 安全接入域內(nèi)節(jié)點的防入侵；可以在客 戶端部署單機防入侵系統(tǒng)。 安全接入域內(nèi)可以根據(jù)用戶主體的分類，分成子域。對于非常不可信的用戶和客戶端，可以重點部署流量監(jiān)控，以便能夠最快地發(fā)現(xiàn)可能出現(xiàn)的蠕蟲傳播和拒絕服務攻擊。 安全接入域內(nèi)如果根據(jù)用戶所操作業(yè)務分類進行子域劃分，可以針對不同的子域進行應用的監(jiān)控和審計； 19 自治區(qū)煙草安全規(guī)劃方案建議書 安全接入域安全服務域 在局域范圍內(nèi)存儲，傳輸、處理同類數(shù)據(jù)，具有相同安全等級保護的單一計算機（主機 /服務器）或多個計算機組成了安全服務域，不同數(shù)據(jù)在計算機的 上分布情況，是確定安全服務域的基本依據(jù)。 根據(jù)數(shù)據(jù)分布，可以有以下安全服務域：單一計算機單一安全級別服務域，多計算機單一安全級別服務域，單一計算機多安全級別綜合服務域，多計算機多安全級別綜合服務域。 20 自治區(qū)煙草安全規(guī)劃方案建議書 主要需要解決的安全問題包括：服務器被入侵，完整性受到破壞；服務器被拒絕服務攻擊；服務器成為惡意代碼的傳播載體；服務器成為垃圾的傳播載體等等。 防護要點：安全服務域安全支撐域 為整個 IT 架構(gòu)提供集中的安全服務，進行集中的安全管理和 監(jiān)控以及響應。具體來說可能包括如下內(nèi)容：病毒監(jiān)控中心、認證中心、安全管理中心等。 主要需要解決的安全問題包括：安全支撐域要能夠?qū)τ谄渌踩蛱峁┍匾陌踩危话踩斡蜃陨聿荒軒硇碌陌踩L險，要做好自身的防護。 安全支撐域不同于其他系統(tǒng)的獨特性在于，安全支撐域會以代理 Agent的方式或者提供調(diào)用服務的方式，插入（ pluginto）到被監(jiān)管的系統(tǒng)中。代理方式比如：業(yè)務支撐系統(tǒng)會放置計費前端服務器在業(yè)務系統(tǒng)中，安全監(jiān)控系統(tǒng)會將 IDS 等檢測引擎放置在被監(jiān)控的網(wǎng)絡中等等；調(diào)用服務方式比如：認證中心提供證書 服務或者其他認證服務。 為了能夠保證這種插入機制的正確和安全，要確保插入的功能對于被監(jiān)管的 21 自治區(qū)煙草安全規(guī)劃方案建議書