电网监控及其它信息系统的网络隔离..
点击数：7293 次 录入时间：03-04 11:48:27 整理：http://www.55dianzi.com 电工基础
2.2 网络隔离 国家保密局颁布的“计算机信息系统国际联网保密管理规定”确定，涉及国家秘密的计算机信息系统，不得直接或间接地与国际互联网或其它公共信息网络相联接，必须实行物理隔离。电力生产事关国计民生，电力系统的安全非常重要，监控系统要求可靠、安全、实时，而其它信息系统要求完整、保密。两种业务应该有效安全隔离。 目前各级电力信息系统通常在企业Internet出口侧设普通防火墙，承担的是普通的网络隔断任务。在此基础上对网络进行分层，能增强系统的可靠性，具体实施是在监控系统与其它信息系统唯一接入点设置专用隔离装置，从物理上分为两级，以保证监控系统的安全，结构如图1所示。图1 电力系统专用网络隔离防火墙接入配置 专用隔离装置提供了2个网络接口。除了监控系统LAN接口、其它信息系统LAN接口，还专门有一个控制口用来连接一台专用管理机，用于对装置进行配置、管理。 监控系统LAN区是不对外开放的区域，它只对其它信息系统LAN区提供部分服务，所以外部Internet用户检测不到它的IP地址，无法对它进行攻击。 其它信息系统LAN区可以对外提供服务，系统开放的信息都放在该区，由于它的开放性，就有可能成为黑客攻击的对象，但由于与监控系统是隔离开的，即使受到了攻击也不会危及监控系统。 3 技术平台 网络隔离装置的安全等级应高于防火墙，因此应选用目前国内通用的Linux为基础进行大幅整改的专用网络安全操作系统。 通用的Linux操作系统尽管能提供多种多样的功能，但由于其开放性和本身含有安全漏洞,因此极易受到攻击,直接导致了受其保护的网络的安全危机，而且这种通用操作系统的漏洞是不断被发现的，一经发现网上就会公布，相应的攻击办法也跟着公布，致使最终用户和制造厂商无法应付。因此对通用Linux应作如下方面的修改： 取消危险的系统调用或者截获系统调用,限制命令执行权限,取消IP转发功能,检查每个分组的接口,采用随机连接序号,驻留分组过滤模块,取消动态路由功能,采用多个安全内核等。 通过以上设计方法和实现技术，基于独立开发的专用网络安全操作系统之上，网络隔离装置的运行效率很高，安全性能优越。 4 应用介绍 网络隔离装置软件包含如下模块：内核模块，隔离模块(含状态检测模块),NAT模块,带宽管理模块,通信协议模块,图形用户界面模块(或者Web界面模块),透明代理模块(属于NAT模块),透明模式模块(包括ARP代理子模块、路由转发子模块等),各电力系统应用代理模块(包括过滤模块),流量统计模块, 审计模块, 其它模块(如MAC、IP地址绑定模块、简单的IDS、自我保护)等。 网络联接要求：监控网中主机(地址为10.43.*.*)可以单方向对其它信息系统DMIS前置主机(地址为192.*.3*.*)传输层按TCP协议、端口为9000、应用层为用户自定义的通讯规约提供服务，而从管理角度其它所有的服务均不提供。 根据上述要求拟定网络隔离规则，对单个非特权端口、协议、单方向、监视定义帧头等联合安全策略控制，实现网络隔离。隔离装置将监控系统的安全性统一到其本身，网络安全性是在隔离装置系统上得到加固，而不是分布在监控系统网络的所有节点上，简化了监控系统安全管理。从而实现网络隔离装置的基本目标即作为一个中心“遏制点”，将监控系统的安全管理集中起来，屏蔽非法请求，防止跨权限访问，并产生安全报警。上一页 [1] [2] [3] 下一页
本文关键字：网络 隔离 信息 监控 电工基础，电工技术 - 电工基础
