企业安全架构方法论（共7篇）
企业安全架构方法论 篇1
摘要：作为电力安全防护系统的重要组成部分,完善的信息安全保障体系不可或缺。文章描述了信息安全保障体系组建的基本原则,并结合辽宁电力网络安全体系的组建方法,提出了电力企业安全等级保障构架搭建的技术实现方法。通过建立安全域、访问控制、入侵防范等技术手段,使安全管理和安全技术相结合,实现各类安全产品和安全防护技术之间的有效协作,最终形成一个有效的信息安全保障体系。
关键词：网络安全,安全保障体系,安全等级
0 引言
随着电网信息化建设的日趋成熟和完善,信息系统对信息安全的要求已不仅仅是停留在简单的流量控制、入侵防御、身份认证等独立且单向的安全技术应用。在一个健全、完善的信息安全体系中,应实现安全管理和安全技术实施的结合,各类安全产品和安全防护技术之间的协作,最终形成一个有效的整体,是电力安全防护系统中不可或缺的一部分。为了实现对信息系统的多层保护,达到电力信息系统安全保障的目标,辽宁省电力公司防御体系架构包括安全策略、组织结构、安全技术和安全操作4个要素,强调在安全体系中进行多层保护。
辽宁省电力公司信息系统安全体系横向包含安全管理和安全技术2个方面的要素,在采用各种安全技术控制措施的同时,必须制订层次化的安全策略,完善安全管理组织机构和人员配备,提高安全管理人员的安全意识和技术水平,完善各种安全策略和安全机制,利用多种安全技术实施和安全管理实现对信息系统的多层保护,减小其受到攻击的可能性,防范安全事件的发生,提高对安全事件的反应处理能力,并在计算机安全事件发生时尽量减少事件造成的损失。
1 信息安全保障体系概述
根据电力业务系统的安全相关需求,组建安全保障体系的总体指导思想主要包括以下4个方面。
1)信息安全保障体系应以风险评估和等级保护为指导,深入贯彻和落实相关政策的具体要求和方法。
2)信息安全保障体系应全面落实业务系统的具体安全需求,控制系统所面临的各层面的安全风险。
3)信息安全保障体系应建立不同等级的基础安全域,并在不同安全域上构建不同的安全策略和保护措施。
4)信息安全保障体系应能够全面覆盖信息安全技术和信息安全管理的相关内容。
依据安全保障体系组建方法,对比辽宁电力业务系统网络进行的安全域划分,遵照等级保护要求,以深入风险评估为基础,纵向贯穿安全管理和安全技术,形成企业的整体信息安全保障体系(见图1)。
2 安全等级保障架构的搭建
2.1 保护对象的确认
在图1中,保护对象是一些具有相似业务需求和运行环境,具有相对明确的物理或逻辑边界,可以配置相同安全策略的设备及软件系统的集合。通过划分保护对象的范围,可以很明确地对具有相同安全要求的保护对象制定相应的保护策略。为了更好地制定安全策略,通过工作摸索制定了保护对象的划分原则和方法,可以更加有效地划分保护对象。
保护对象的划分原则为每类保护对象的组成具有一定的相似性,且不同保护对象之间具有一定的差异性。
保护对象的划分方法:(1)按照保护对象属性划分。(2)按照保护对象管理和使用范围划分。(3)按保护对象的主要资产组成划分。(4)按照保护对象的管理机构划分。(5)按照保护对象的使用人员类型及特征划分。(6)按照保护对象的业务功能划分。(7)按照保护对象内包括的主要信息类型划分。
2.2 安全域的规划
安全域的规划过程大致分为2个步骤。(1)“自上而下”的分析:基于辽宁电力业务系统的发展考虑,根据业务系统安全域划分和边界整合的思路,从框架上符合辽宁电力业务系统的安全建设形态,形成业务系统的合理性和整体一致性的网络结构。(2)“自下而上”的分析:从目前业务系统的现状出发,以资产为分析基础,按照信息安全风险分析的方法,相近或相似风险的资产属于一个区域,形成适合于现状的业务系统的网络架构。
2.3 边界整合原则及网络架构分析
边界整合原则如下。(1)整合系统到同一外部网络的所有物理边界。(2)根据威胁分析结果,从逻辑上整合威胁相近的外部逻辑边界。
辽宁电力网络架构分为核心层、汇聚层和接入层,网络架构如图2所示。
辽宁电力当前业务系统划分为数据采集子系统、数据处理子系统、核心应用子系统、数据呈现子系统、数据交换子系统等。
根据安全管理及行政管理的要求,将边界细化为内部边界和外部边界。内部边界指各安全区域之间的边界;外部边界则是指综合数据网络整体与辽宁电力下属三产公司(如分支)、与互联网、与第三方的边界。
业务相关终端包括管理和办公终端,也存在第三方或合作伙伴终端。
2.4 数据流分析及结构安全划分
数据流分为业务数据流和维护数据流。业务数据流一般通过数据采集子系统汇集相关数据,传递给数据处理子系统进行相关处理工作,交由核心系统,最终通过数据呈现子系统呈现,业务数据流通过数据交换同辽宁电力系统或第三方等进行数据交换。维护数据流除管理终端到各网元外,运维人员还可以通过KVM(Keyboard、Video、Mouse)网络维护相关设备,KVM应单独成网。
根据辽宁电力应用功能的不同细化区域的划分,如与地市公司及变电站的数据交换、为其他应用或终端用户提供Web服务的可专门划分一个区域,根据现有系统部署的实际情况进行。
进一步明晰边界,根据模型原则和数据流进一步细分或整合,保证数据流路径的合理和安全,便于在各类型边界根据原则和安全需求实施分等级的访问控制等安全防护手段。
2.5 访问控制及入侵防御
辽宁电力在对设备操作的访问行为控制上,按照”最小特权”的方式进行访问控制。严格按照业务流方向编写相应访问控制列表应用到相应接口的相应方向上。在关键边界部署防火墙等安全设备,通过防火墙等设备可以实现安全隔离、访问控制、地址转换、应用控制、会话监控、会话限制、地址绑定、身份认证、日志审计等策略。
地址分配的基本思想是保持各个区域的子网分配连续,以便核心设备在路由选择表中需要最少的路由数就可以正确地转发流量。除了减少路由器中的路由数,路由汇总还使网络更易于排除故障,安全上更容易实现控制。
区域地址和互联地址尽量分别使用连续的网段,或者互联地址使用单独网段,有利于地址汇总并配合路由策略,在减少路由条目的同时,使访问控制更有效地实施。
除了在内外边界通过防火墙、路由器和交换机进行访问控制,还部署入侵检测设备。适当地配置防火墙,可以将非预期的信息屏蔽在外,然而防火墙为提供一些级别获取权的通道可能被伪装的攻击者所利用,攻击者利用这些通道能获得系统的超级用户权限,防火墙不能制止这种类型的攻击,而入侵检测设备能够检测并终止这种类型的攻击行为。
2.6 恶意代码防范和路由协议
现阶段针对病毒的风险,重点是将病毒消除或封堵在终端及服务器上。通过在业务服务器和终端上部署网络防病毒系统,加强终端主机与服务器系统的病毒防护能力,及时升级恶意代码软件版本和恶意代码库,使终端主机及服务器免受病毒、恶意程序等的侵袭,不让其有机会透过文件和数据的分享进而散布到整个用户的网络环境。
路由协议本身也是一种安全工具。对路由进行梳理,统一边界和核心的路由配置,保证对相关数据路由的合理性,使数据的可用和安全得以保障,并配合网络层次、区域、IP地址等的改造和完善。为保证协议安全,应采用相关安全手段(如使用OSPF需采用MD5认证等),防止对路由协议消息的欺骗和更改。
2.7 网络设备防护和冗余
通过对业务的关键网络、安全设备进行评估,依据评估结果集合进行加固,加固建议主要有几个方面,结合实际需要有选择地进行。
1)各类业务路由器禁用以下功能:全局服务和接口服务、路由安全访问、日志和SNMP设置、从网络启动和自动从网络下载初始配置文件、未使用或空闲的端口、源地址路由检查。
2)在关键设备和链路冗余的基础上,对链路当前流量进行分析,在可用性要求较高的链路上(如系统骨干和边界等),历史流量峰值应不超过该链路设计能力的60%。同时通过与设备自身的冗余特性、相关协议和路由协议的配合,达到设备和链路故障的自动切换。
3 应用效果
电力企业安全等级保障构架搭建完成后,实现了对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录。审计记录包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息。利用业务部署日志服务器收集相关设备信息,同时通过软件或相关技术(如Net Flow)对设备和网络相关情况进行监控和审计。通过在业务中部署网络安全管理系统,监控范围覆盖到整个网络,集中对网络异常、攻击和病毒进行分析和检测。
实现的网络管理功能包括汇聚和减少来自常见网络设备和安全对策的海量网络和安全数据。通过实现网络智能,通过成熟的事件关联和威胁鉴别有效识别网络和应用威胁。验证后的攻击可通过直观而详细的拓扑结构图以图形方式显示,因此可加强事件识别、调查和工作流程。一旦发现攻击,该系统可通过将具体抵御命令上推到网络执法设备,使操作员能实时预防、抑制或阻止攻击。该系统支持以客户为中心的规则创建、威胁通知、事件调查乃至一系列安全状况和趋势报告。
4 结语
文章以辽宁电力实际情况为参考依据,提出了电力企业安全等级保障架构搭建的具体思路、方法及原则。通过一系列的网络优化及改造,以及网络建设的深入、安全产品不断增加,最终形成统一管理,使各种安全策略和安全产品之间建立有效的数据沟通和交互,使得安全信息得到有效整合,避免了信息安全孤岛。
参考文献
[1]GA/T708-2007.信息安全技术-信息系统安全等级保护体系框架[S].2007.
[2]福罗赞.密码学与网络安全[M].北京:清华大学出版社,2009.
[3]吴钰锋,李泉,李芳敏.网络安全中的密码技术研究及其应用[J].真空电子技术,2004(6):19–21.WU Yu-feng,LIU Quan,LI Fang-min.Research and Application of Cryptogram Technology in Network Security[J].Vacuum Electronics,2004(6):19–21.
[4]杨义先,钮心析.网络安全理论与技术[M].北京:人民邮电出版社,2003.
[5]余少云.通过有效的安全域管理落实等级保护[J].电脑学习,2009(2):90–92.XU Shao-yun.Implementation layer Protection Based on Security Domain Management[J].Computer Study,2009(2):90–92.
企业安全架构方法论 篇2
关键字:安全体系 制度管理 风险防范 电力企业信息化
DOI:10.3969/j.issn.1672-8289.2010.09.024
1 前言
随着电力企业Intranet 与Internet 的互联, 电力企业信息网络系统的安全问题日益尖锐。网络信息安全是一个涉及计算机技术、网络技术、通信技术、密码技术、信息安全技术、应用数学、数论、信息论等多种技术的边缘性综合学科。一般意义上,网络安全是指信息安全和控制安全两部分。国际标准化组织把信息安全定义为“信息的完整性、可用性、保密性和可靠性”;控制安全则指身份认证、不可否认性、授权和访问控制。
2电力网络安全存在的问题
2.1 安全意识淡薄是网络安全的瓶颈
目前,在网络安全问题上还存在不少认知盲区和制约因素。网络是新生事物,许多人一接触就忙着用于学习、工作和娱乐等,对网络信息的安全性无暇顾及,安全意识相当淡薄,对网络信息不安全的事实认识不足。总体上看,网络信息安全处于被动的封堵漏洞状态,从上到下普遍存在侥幸心理,没有形成主动防范、积极应对的全民意识,更无法从根本上提高网络监测、防护、响应、恢复和抗击能力。
2.2 运行管理机制的缺陷和不足制约了安全防范的力度
运行管理是过程管理,是实现全网安全动态管理的关键。有关信息安全的政策、计划和管理手段等最终都会在运行管理机制上体现出来。就目前的运行管理机制来看,有以下几方面的缺陷和不足。
(1)网络安全管理方面人才匮乏
网络安全装置、服务器、PC机等不同种类配置不断出新的发展。信息安全技术管理方面的人才无论是数量还是水平,都无法适应企业信息安全形势的需要。
(2)安全措施不到位
互联网复杂多变,网络用户对此缺乏足够认识,未进入安全就绪状态就急于操作,结果导致敏感数据暴露,使系统遭受风险。操作系统配置不当或者不进行同步升级厂商发布的补丁等都有可能存在入侵者可利用的缺陷,而造成无法发现和及时查堵安全漏洞。原因是管理者未充分意识到网络不安全的风险所在,未引起重视。
(3)缺乏综合性的解决方案
由于大多数用户缺乏综合性的安全管理解决方案,稍有安全意识的用户越来越依赖“银弹”方案(如防火墙和加密技术),使这些用户也就此产生了虚假的安全感,渐渐丧失警惕。其解决方案应是一整套综合性安全管理解决方案,包括风险评估和漏洞检测、入侵检测、防火墙和虚拟专用网、防病毒和内容过滤、企业管理等方面内容。
2.3 缺乏制度化的防范机制
不少单位没有从管理制度上建立相应的安全防范机制,在整个运行过程中,缺乏行之有效的安全检查和应对保护制度。不完善的制度滋长了网络管理者和内部人士自身的违法行为。
3 当前电力网络安全的主要技术手段
3.1 现行网络信息安全的技术手段
一般来讲,当今计算机网络安全的功能主要体现在5个层面上:a.网络b.系统c.用户d.应用程序e.数据。在以上的各个层面上,每个层面都应该有不同的技术来达到相应的安全保护,如表1所示。
表1 不同安全层面上所对应的安全保护技术
随着电力体制改革的不断深化,计算机网络系统网络上将承载着大量的企业生产和经营的重要数据。因此,保障计算机网络信息系统安全、稳定运行至关重要。为了确保网络信息的安全,在实际应用中通常采用的安全技术有如下几种。
(1)防病毒技术
计算机病毒实际上就是一种在计算机系统运行过程中能够实现传染和侵害计算机系统的功能程序。病毒经过系统穿透或违反授权攻击成功后,攻击者通常要在系统中植入木马或逻辑炸弹等程序,为以后攻击系统、网络提供方便条件。病毒在网上的传播极其迅速, 且危害性极大。并且在多任务、多用户、多线程的网络系统工作环境下,病毒的传播具有相当的随机性, 从而大大增加了网络防杀病毒的难度。要求做到对整个网络要集中进行病毒防范、统一管理, 防病毒产品的升级要做到无需人工干预, 在预定时间自动从网站下载最新的升级文件,并自动分发到局域网中所有安装防病毒软件的机器上。
(2)防火墙技术
防火墙是在内部网和外部网之间实施安全防范的系统,是由一个或一组网络设备组成。防火墙技术是一种用来加强网络之间访问控制,防止外部网络用户以非法手段通过外部网络进入内部网络,访问内部网络资源,保护内部网络操作环境的特殊网络互联设备。它对两个或多个网络之间传输的数据包如链接方式按照一定的安全策略来实施检查,以决定网络之间的通信是否被允许,并监视网络运行状态。
图1 防火墙逻辑位置示意图
(3)入侵检测技术
入侵检测(Intrusion Detection)是对入侵行为的发觉,是防火墙的合理补充,帮助系统对付网络攻击,扩展了系统管理员的安全管理能力(包括安全审计、监视、进攻识别和响应),提高了信息安全基础结构的完整性。它从计算机网络系统中的若干关键点收集信息,并分析这些信息,看看网络中是否有违反安全策略的行为和遭到袭击的迹象。入侵检测被认为是防火墙之后的第二道安全闸门,在不影响网络性能的情况下能对网络进行监测,从而提供对内部攻击、外部攻击和误操作的实施保护。Dennying于1987年提出了一个通用的入侵检测模型(如图2所示)。
图2 通用的入侵检测模型
(4)风险评估技术
风险评估(Vulnerability Assessment)是网络安全防御中的一项重要技术,运用系统的方法,根据各种网络安全保护措施、管理机制以及结合所产生的客观效果,对网络系统做出是否安全的结论。其原理是根据已知的安全漏洞知识库,对目标可能存在的安全隐患进行逐项检查。目标可以是工作站、服务器、交换机、数据库应用等各种对象。然后根据扫描结果向系统管理员提供周密可靠的安全性分析报告,为提高网络安全整体水平产生重要依据。网络漏洞扫描系统就是这一技术的实现,它包括了网络模拟攻击,漏洞检测,报告服务进程,提取对象信息,以及评测风险,提供安全建议和改进措施等功能,帮助用户控制可能发生的安全事件,最大可能的消除安全隐患。
风险评估技术基本上也可分为基于主机的和基于网络的两种,前者主要关注软件所在主机上面的风险漏洞,而后者则是通过网络远程探测其它主机的安全风险漏洞。然而风险评估只是一种辅助手段,真正的安全防护工作还是依靠防火墙和入侵检测来完成。
(5)虚拟局域网(VLAN)技术
基于ATM 和以太网交换技术发展起来的VLAN 技术, 把传统的基于广播的局域网技术发展为面向连接的技术, 从而赋予了网管系统限制虚拟网外的网络节点与网内的通信, 防止了基于网络的监听入侵。例如可以把企业内联网的数据服务器、电子邮件服务器等单独划分为一个VLAN 1, 把企业的外联网划分为另一个VLAN 2。控制VLAN 1 和VLAN 2 间的单向信息流向: VLAN 1 可以访问VLAN 2 相关信息;VLAN 2 不能访问VLAN 1 的信息。这样就保证了企业内部重要数据不被非法访问和利用。
(6)虚拟专用网VPN(Virtual Private Network)技术
虚拟专用网络是企业网在因特网等公用网络上的延伸,通过一个私用的通道来创建一个安全的私有连接。虚拟专用网络通过安全的数据通道将远程用户、公司分支机构、公司的业务合作伙伴等与公司的企业网连接起来,构成一个扩展的公司企业网。VLAN 用来在局域网内实施安全防范技术, 而VPN 则专用于企业内部网与Internet 的安全互联。VPN 不是一个独立的物理网络, 他只是逻辑上的专用网, 属于公网的一部分, 是在一定的通信协议基础上,通过Internet 在远程客户机与企业内网之间, 建立一条秘密的、多协议的虚拟专线, 所以称之为虚拟专用网。
除了以上介绍的几种网络安全技术之外,还有一些被广泛应用的安全技术,如身份验证、存取控制、安全协议等等。网络信息安全是一个系统的工程,它与网络系统的复杂度、运行的位置和层次都有很大的关系,因而一个完整的网络安全体系仅靠单一的技术是难以奏效的。在实际应用中,只有根据实际情况,综合各种安全技术的优点,才能形成一个由具有分布性的多种安全技术构成的网络安全系统。
4电力网络安全的防范机制
做好网络信息安全工作,除了采用上述的技术手段外,还必须建立安全管理与防范机制。因为诸多不安全因素恰恰反映在组织管理等方面。良好的管理有助于增强网络信息的安全性。只有切实提高网络意识,建立完善的管理制度,才能保证网络信息的整体安全性。
(1)网络与信息安全需要制度化、规范化。网络和信息安全管理真正纳入安全生产管理体系,并能够得到有效运作,就必须使这项工作制度化、规范化。要在电力企业网络与信息安全管理工作中融入输变电设备安全管理的思想,就像管“电网”一样管理“信息网络”,制定出相应的管理制度。如建立用户权限管理制度、口令保密制度、密码和密钥管理制度、网络与信息安全管理制度、病毒防范制度、网络设备管理流程、设备运行规程、网络安全防护策略、访问控制、授权管理等一系列的安全管理制度和规定。管理制度具有严肃性、权威性、强制性,管理制度一旦形成,就要严格执行。企业应组织有关人员对管理制度进行学习,保证制度的落实。
(2)明确网络与信息安全保证体系中的四个关键系统,即安全决策指挥系统、安全管理技术系统、安全管理制度系统和安全教育培训系统,实行企业行政正职负责制,明确主管领导职权、部门职责和用户责任。按照统一领导和分级管理的原则,明确安全管理部门是企业安全生产监督部门,行使网络与信息安全监督职能以及安全监督人员职责。
(3)应用“统一的策略管理”思想实现网络信息安全的管理目标。“统一”,就是要提高各项安全技术和措施的协同作战能力;策略,就是为发布、管理和保护信息资源而制定的一组规程、制度和措施的综合,企业内所有员工都必须遵守的规则。电力企业应从以下三个方面,规定各部门和用户要遵守的规范及应负的责任,使得网络与信息安全管理有一套可切实执行的依据。
>用户的统一管理:实现员工档案、访问资源的权限的统一管理。
>资源的统一配置管理:文件系统、网络设备(防火墙、认证系统、入侵检测、漏洞扫描),Intranet、Internet网络资源的统一配置管理。
>管理策略的一致性:防火墙规则的制定、Internet访问控制的管理,内部信息资源的管理应体现一致性。只有管理政策一致,才能避免出现遗漏。
(4)强化企业内部人员安全培训
信息安全培訓是实施信息安全的基础,根据中国国家信息安全测评认证中心提供的调查结果显示,现实的威胁主要为信息泄露和内部人员犯罪,而非病毒和外来黑客引起。据公安部最新统计,70%的泄密犯罪来自于内部;计算机应用单位80%未设立相应的安全管理;58%无严格的管理制度。
要实现“企业安全”就必须对企业内部人员进行安全培训,从而强化从高层到基础员工的安全意识,最终提升企业网络信息安全的“机率”。安全培训计划可阶段性地进行,根据企业性质与人员的职责、业务不同,可以将安全培训分成三个不同的层次,即初级、中级和高级。初级培训的对象包括所有员工,培训的内容主要角色与责任、政策与程序;旨在强化所有员工的安全意识与责任;第二层次为中级培训,对象包括高层领导、(非)技术管理人员、系统所有者、合同管理者、人力资源管理者与法律人员。教育及培训的内容包括安全核心知识、风险管理、资源需求与合同需求等,旨在强化人员的安全能力与安全意识。第三层次为高级安全培训,对象包括信息安全人员、系统管理人员,内容主要包括操作/应用系统、协议、安全工具、技术控制、风险评估、安全计划和认证与评估,旨在提高企业的整体安全管理。
5.结束语
综合上述几方面的论述,企业必须充分重视和了解网络信息系统的安全威胁所在,制定保障网络安全的应对措施,落实严格的安全管理制度,才能使网络信息得以安全运行。由于网络信息安全的多样性和互连性,单一的信息技术往往解决不了信息安全问题,必须综合运用各种高科技手段和信息安全技术、采用多级安全措施才能保证整个信息体系的安全。要做到全面的网络安全,需要综合考虑各个方面,包括系统自身的硬件和软件安全,也包括完善的网络管理制度以及先进的网络安全技术等。
参考文献
[1] I.Slutsker,K.Clements. Real time recursive parameter estimation in energy management systems[J] .IEEE Transactions on Power Systems, 1996, 11 (3) :1393-1399 . [2] Liu W-H E, WuFF, LiuS-M. Estimations of parameter errors form measurement residuals in state estimation .IEEE Trans on Power Systems, 1992, 7(1) :81-89 .
[3] VAN CUTSEM T,QUI NTANA V. Network parameter esti mation using online data with application to transformer tap position esti mation .IEE Proceedings:Generation,Transmission and Distribution, 1988, 135 (1) :31-40 .
[4] 甘德强,胡江溢,韩祯祥.2003年国际若干停电问题思考[J],电力系统自动化,2004,28(3):1-4.
[5] 精英科技.网络协议大全[M].北京:中国电力出版社,2001.
[6] 毛京丽,张丽,李文海.现代通信网[M].北京:.北京邮电大学出版社,1999.
[7] 洪宪平.走向网络化的远动系统.电力系统自动化,2001,25(6):1-3.
分层架构企业网络安全的研究 篇3
网络的最大价值, 在于信息化的应用。由于企业信息化与企业生产经营已经逐渐成为一个共同的载体, 企业对网络安全保护的要求日益提高。当前利用结构化的观点和方法来看待企业网络安全系统是主流思想, 通过各层的弱点及攻击的可能性对各层进行分析及防护, 对可能发生的攻击事件或漏洞做到事前防护, 合理地利用各种硬件设备, 通过完善的管理手段来建设一个稳定、安全、可靠的企业信息网络平台。
二、企业网络安全架构
企业网络管理的核心是网络应用, 如何架构一个安全、可靠的网络环境是网络管理的一大课题。在网络安全隐患无处不在的今天, 安全需求格外重要。当企业在架构网络前, 应当全面的分析相应网络中可能存在的安全隐患, 以及网络应用中必要的安全需求。
1、网络安全威胁
从目前的企业网络使用情况及日后的应用发展来看, 主要存在以下几种安全威胁: (1) 、病毒感染。病毒感染是危害面最广的安全隐患, 威胁整体网络运行。组建企业网络时选择部署整个网络系统的病毒防御系统。 (2) 、黑客入侵和攻击。黑客攻击的危害性很大, 入侵途径和攻击方式多样化, 难以预防。目前防御措施主要是通过部署防火墙系统、入侵检测系统、网络隔离技术等防御黑客攻击, 还应辅以系统漏洞和补丁升级系统。 (3) 、非法访问。非法用户访问企业网络时可能携带、放置病毒或其它恶意程序, 也可能删除服务器系统文件和数据以及窃取企业机密信息等。防御措施除了防火墙系统、入侵检测系统和网络隔离技术外, 还应注意在网络管理中引入安全机制, 如对关键部门划分子网隔离保护, 对重要的数据和文件进行加密以及对于需要进行远程访问的用户, 注意权限配置工作。 (4) 、数据损坏或丢失。网络数据对于企业来说是非常重要的。数据的备份是一切安全措施中最彻底有效, 也是最后一项保护措施。
2、网络架构概念
企业网络安全是系统结构本身的安全, 应利用结构化的观点和方法来看待企业安全系统。全方位的、整体的信息安全防范体系应是分层次的, 不同层次反映了不同的安全问题。根据搭建网络的应用现状和结构, 从物理层安全、系统层安全、网络层安全、应用层安全及安全管理五个方面来考虑网络的安全架构。
三、学院网络安全系统分析
结合本学院网络建设的实际情况, 在此对分层架构安全体系进行具体阐述并对网络层的安全进行重点研究。
1、物理层安全
物理层的安全主要就是对设备和链路及其物理环境的安全保护。
这里着重考虑学院信息中心的建设。信息中心作为学院的数据中心, 承载所有的应用服务器的运行, 所以信息中心的安全是最基础的安全保障。信息中心的建设除了要保证温度、湿度、防雷、防火以及不间断供电以外, 还应注重信息中心的综合布线布局, 做好整体规划及标记, 力争布线的简洁、有序, 便于日后维护及故障排查。
2、系统层安全
主要包括操作系统安全和应用系统安全。系统层的安全, 主要考虑操作系统的漏洞补丁。利用内网架设的补丁升级中心 (wsus) , 对于微软发布的系统补丁, 进行补丁下载和安装, 提高操作系统的安全性, 有效降低系统的安全风险。我们还可以采用绿盟的极光远程安全评估系统扫描出整个网络中所有设备上的漏洞, 并且与wsus服务联动, 仅在绿盟的设备上就可以对这些漏洞进行修补。对于应用系统服务器来说, 除了加强登陆的身份认证权限, 还应该尽量开放最少的端口, 保证服务器的正常使用。
3、网络层安全
网络层安全是我们考虑最多, 也是防范要求最多的一个层面。这里从以下几个方面进行阐述:
(1) 确定安全域的划分
安全域的划分就是制定安全边界。根据资源位置进行划分的目标是将同一网络安全等级的资源, 根据对学院的重要性、面临的外来攻击风险、内在的运行风险不同, 划分成多个网络安全区域。划分的原则是将同一网络安全层次内客户端之间的连接控制在相同的安全域内, 尽量消除不同安全层次之间的联系, 实施相互逻辑或物理隔离。
从目前情况分析, 学院内部的财务处和人事处因业务及数据的保密性和敏感度, 需要阻止任何的外部访问。所以这两个位置与网络中其它处室在逻辑上应是隔离状态。这里主要使用交换机利用vlan对各个不同的功能区域进行划分。除了保证物理位置及逻辑位置的隔离以外, 划分vlan的另一个好处就是减小广播包的数量, 控制网络流量, 避免广播风暴的产生。在实际工作中曾经遇到财务处网段被其他网段访问的安全问题。此问题涉及财务的机密文件和重要报表数据, 所以问题较严重。在这之前财务处是被独立划分为一个网段, 与其它网段用ACL列表进行隔离。但是在客户端统一纳入学院域之后, 之前做的ACL列表不起任何作用。经分析, 我们发现在域内pc之间的通讯协议发生了变化, 于是将所有的TCP、UDP协议进行拦截, 只对部分可以互访的终端服务器进行允许控制。对于需要外网进行访问的服务器, 比如web服务器、ftp服务器、邮件服务器等需要把它们分离出来, 不需要进入内网进行保护。其它服务器则放置于内网保护区域内, 独立划分为一个vlan。
(2) 攻击阻断
这里主要采用防火墙、入侵防护、防病毒系统进行外部阻断。
首先, 为了保护内部网络, 在Internet出口部署防火墙, 将内部网络与因特网隔离, 只在内部网与外部网之间设立唯一的通道, 将攻击危险阻断在外, 并限制网络互访从而保护企业内部网络。另外, 利用防火墙的端口, 设置LAN区、SSN区以及外网区。LAN区是不对外开放区, 所有的客户端及需要保护的服务器放置在这个区域里。SSN区域里放置需要外部访问的服务器, 如web服务器、ftp服务器及邮件服务器。
由于防火墙处于网关的位置, 不可能对进出攻击做出太多判断, 否则会严重影响网络性能。所以这里需要部署入侵保护系统 (Ips) 作为防火墙的有力补充。将Ips串联在主干线路中, 是网络安全的第二道屏障, 可构成完整的网络安全解决方案。除此之外, 我们还可以进行恰当的设置, 使防火墙、Ips联动起来。当Ips检测到入侵和攻击后, 会通过联动接口部件, 将入侵特征和事件报告给防火墙, 防火墙接到入侵信息后会动态地修改自己的安全访问控制策略, 在下一次防火墙不需要Ips也可以将入侵流量屏蔽掉。这样防火墙和Ips联动起来后, 防火墙的访问控制规则和Ips的规则链会随着网络安全状况的变化而不断调整, 这样不仅能提高安全性, 而且不必要的访问控制规则和规则链会被及时地删除掉, 对网络性能造成的影响也会降到最低。
防病毒系统应该是网络安全的第三道屏障。在网络技术日新月异的今天, 即使网络部署了防火墙和入侵保护系统后, 仍然会存在漏洞。学院网络应该建立立体防毒体系, 就是指在网络的边界处部署硬件防毒墙, 然后再在整个网络内部部署网络版杀毒软件。这样防病毒系统不仅部署在每一个客户端上, 能够对源于内部网络的攻击或者是防火墙无法隔离的攻击行为、恶意代码进行阻拦, 而且防病毒系统也部署在服务器上和网络边界处。这样从边界到内部, 整个网络进行立体地防护, 极大地提高了全网的防毒能力, 是防火墙及入侵保护系统的有力补充。
(3) 远程接入控制
对于学院的三个分院以及外出办公人员, 需要通过Internet访问学院本部, 这里考虑vpn (虚拟私有网络) 技术来实现。现有vpn技术有Ipsec vpn以及ssl vpn。从学院目前网络使用情况并考虑日后发展状况, 将以Ipsec vpn作为点对点连结, 再配以ssl vpn的远程访问方案。在交通分院、建设分院、卫生分院三地之间架设防火墙, 利用防火墙的网关对网关的Ipsec vpn满足三地办公的需要, 再选购ssl vpn来满足移动办公人员访问学院内网高安全性及可靠性的需求。我们目前一直使用天融信防火墙自带的ipsec vpn, 除了因为网络问题带来的故障以外, 可以说vpn功能基本达到了我们的需求。但是对于它的移动vpn, 因为客户端的产品型号、操作系统及应用软件的差异, 有必要另选用一套ssl vpn满足移动办公访问学院内网的需求。
(4) 身份认证
对于不同的应用, 访问者的操作权限应该通过身份认证系统来实现。身份认证有利于保证被访问资源的安全, 也是对远程接入安全控制的有益补充。
4、应用层安全
主要包括网页防篡改、数据库的漏洞修补、数据的完整性检验以及数据的备份和恢复。这里将注意力大部分集中在数据库的安全上。主要的工作应该是登陆的身份验证管理、数据库的使用权限管理和数据库中对象的使用权限管理。对于网页防篡改可以在web服务器前部署web应用防火墙。对于数据库来说, 为了提高用户访问数据库的速度和数据库中数据的安全性, 我们可以采取磁盘阵列来代替普通的存储设备, 极大地扩展了存储容量, 在性能和安全性上也有了大幅度的提高。考虑到以后我们的应用不断增多, 数据量不断加大, 为了保证性能和安全性, 我们可以着手建设SAN或NAS, 甚至可以做异地容灾备份, 即使发生自然灾害, 我们也可以在最短的时间内恢复我们的数据和我们的应用。
5、网络安全管理体系的建立
实现网络安全的过程是复杂的。这个复杂的过程需要严格有效的管理才能保证整个过程的有效性, 才能保证安全控制措施有效地发挥其效能, 从而确保实现预期的安全目标。因此, 建立有组织的安全管理体系是网络安全的核心。其过程如下: (1) 、安全需求分析。明确目前及未来几年的安全需求, 即我们需要建设什么样的网络, 网络状况如何, 未来发展如何等等, 有针对性地构建适用的安全体系结构, 从而有效地保证网络系统的安全; (2) 、制定安全策略。根据不同部门的应用及安全需求, 分别制定部门的计算机网络安全策略, 做到资源最优化; (3) 、外部支持。通过专业的安全服务机构的支持, 将使网络安全体系更加完善, 并可以得到更新的安全资讯, 为计算机网络安全提供预警。定期进行巡检, 保证所有网络设备和安全系统的运转正常, 提早发现隐患, 将网络故障对学院整体的影响降至最低。
6、计算机网络安全管理
安全管理是计算机网络安全的重要环节之一, 也是计算机网络安全体系结构的基础性组成部分。通过恰当的管理活动, 规范组织的各项业务活动, 使网络有序地运行, 这是获取安全的一个重要条件。安全管理是构建安全架构的核心。网络安全所要达到的目的是保证网络应用在需要时可以被随时使用。在安全方面, 我们倡导“三分技术, 七分管理”, 指的是通过管理手段和技术手段来实现更高的安全性。信息安全管理包括安全技术和设备的管理、安全管理制度、部门与人员的组织规则等。管理措施的另外一个方面, 就是加强网络安全宣传, 提高学院职工对网络安全的认识和保护网络安全的自觉性, 从每个网络用户开始进行“主动防护”, 防止“病从口入”。
四、总结
任何一种单一的技术或产品都无法满足我们对网络安全的要求, 只有将技术和管理有机的结合起来, 合理分析需求, 按照体系架构进行安全方案的部署, 从控制网络安全建设、运行和维护的全过程入手, 才能提高整个网络的安全水平。
摘要：随着网络的普及化, 企业信息化建设对网络安全的要求日益加剧。本文讨论了分层架构企业网络安全的概念, 提出结构化的网络安全系统解决方案, 并结合职业学院的网络安全实例进行具体阐述。
关键词：网络安全,分层架构,安全管理
参考文献
[1]李卫.计算机网络安全与管理[M].北京:清华大学出版社, 2004.
[2]袁德明, 乔月圆.计算机IT技术[M].北京:电子工业出版社, 2007.
大中型企业信息网络安全架构分析 篇4
1.1 策略模型
根据网络的特点, 以保障网络可用性和可控性为目的, 结合TMF策略与IETF的策略的各自优点提出了一个基于策略的网络设备多层管理模型。
从管理角度看, 模型基于TMF策略“统一体”的分层思想, 把策略分为五层, 简化策略包含的内容, 商务视点在此模型中为校园网管理需求, 为一个自然语言的子集;系统视点接受自然语言并进行分解, 得到语言包含的具体信息;网络视点把具体信息组成一组与设备无关的规则集合来管理设备;设备视点把这些规则集合与特定的管理设备相对应;实例视点生成一些自动执行的程序把这些规则部署到被管理的网络设备中去。
从技术角度看, 各个视点之间的转换采用IETF的结构来实现, 将管理角度划分为各层策略关联起来。实现技术与技术无关的策略要求转换成与技术相关的描述, 进而转化成与具体实现无关的策略命令。
从具体实现的角度看, 虽然网络视点和设备视点在逻辑上是相分离的, 在实现中都是由策略管理服务器来实现。网络管理主要是对网络设备的管理, 需要对策略转换做到层次清楚, 使得各层功能相独立, 以便于修改和移植。
1.2 策略描述
作为商务视点的用户需求, 其表达形式是一些自然语言的子集, 这个子集应能够充分表达用户的需求, 并被一般用户所理解, 即商务视点来看策略描述了明确的商业目标。这是一个最高层次的抽象, 也是需要达到的最终目标。通过商务视点的决策对上例的自然语言进行分解重组。
在系统视点中, 对商务视点的策略做进一步的分解, 获得在系统视点的策略。系统视点策略需要一个知识库的支持, 通过这个知识库, 可以得到一些具体信息。对于系统视点和商务视点的策略生成, 可以利用机器学习、专家系统等方法进行实现。
从网络视点来看, 策略是一组规则的集合, 用来管理、控制对网络资源的访问, 改变网络的运行状态, 消除或减弱异常网络行为。策略操作包括使用ACL控制、关闭使用的端口、或对端口限制速度等方法。所使用的方法, 既要独立于设备实现, 还要支持在各种网络设备中实现, 便于设备视点做进一步操作。
设备视点的策略必须解决与设备无关的策略规则到和设备相关的规则的转换, 根据网络设备的不同, 将策略规则转换成具体网络设备的控制命令。不同厂商, 不同类型的设备, 其操作控制命令不一样。
实例视点中, 实现策略的自动应用, 需要精简并实现Telnet、SSH协议, 把Telnet、SSH与策略控制命令整合, 将最终的控制命令分发到校园网络的各网络设备, 即实例视点中实现策略的部署和应用。
2一种基于超维空间的网络视点策略冲突检测研究
策略冲突检测是基于策略的网络管理中关键技术之一, 也是基于策略的校园网网络管理体系结构中的关键技术。在校园网网络环境中, 通过对ACL控制、关闭使用的端口两种策略的提炼, 制定了网络视点的策略规则。本文对网络视点的策略规则用基于简化策略的冲突检测方法进行冲突检测, 并对网络视点的策略规则用XML语言进行表示, 它是网络视点策略规则能够跨平台执行的基础, 通过XML转换技术对跨平台实现, 并使得生成的网络视点策略规则易于用户编辑和修改。
ACL技术可以有效的在三层上控制网络用户对网络资源的访问, 它可以具体到两台网络设备间的网络应用, 也可以按照网段进行大范围的访问控制管理, 为网络应用提供了一个有效的安全手段。
ACL由设备如路由器, 交换机等提供支持, 设备可直接执行ACL语句所包含的访问控制信息;ACL语句形式符合策略框架描述语言 (PFDL) “IF
目前为了对网络中的设备进行集中管理, 很多人对此做了大量的研究, 但是具有很大的局限性在于某一厂商产品线集中管理, 比如Cisco的CPSM, 能用与整合Cisco推出的系列安全产品。同样ACL语句在不同网络设备上的表示方式也不一样。
一条ACL策略规则的内容包含四个方面:策略规则编号 (policyID) 、目标设备的信息 (TargetDeviceInformation) 、策略规则动作 (Actions) 、策略规则内容 (SourceInformation) 。ACL策略规则的编号, 即policyID表示是该条策略规则的编号, 在策略规则生存周期中一直存在, 而且不能改变。一个ACL策略组中, 所有的策略规则具有相同的policyID。目标设备的信息, 即TargetDeviceInformation是指ACL策略应用的目标, 也就是策略执行点网络设备的信息, 包含被管理设备IP、策略应用的网络设备接口, 策略应用的方向, 一个ACL策略组中, 所有策略规则的目标设备的信息相同。ACL策略规则动作, 即Actions定义了策略执行的动作, 例如:Permit、Deny、Shutdown。ACL策略规则内容, 即SourceInformation包含ACL策略规则的执行内容, 它可以为空, 一般包含协议、源IP地址、源IP地址掩码, 源端口, 目的IP地址, 目的IP地址掩码, 目的端口。
3企业网络舆情现行管理机制存在的问题
(1) 企业中舆情管理观念单一滞后。
目前很多企业中舆情信息分析基本停留于救火式的常态工作模式, 对危机发生后的信息处理比较及时和重视, 对日常危机预警中的信息收集、分析等管理相对比较薄弱和滞后。
(2) 企业中舆情管理部门合力不够。
企业中与网络相关的部门较多, 如开发部、网络中心、销售部等, 易造成多头管理的问题。各部门往往组建了各自的网络舆情管理队伍, 在碰到重大或紧急舆情时, 几支队伍之间并没有形成工作合力, 具体工作中配合极少, 没有形成一套自发、自动的工作机制连贯配合进行管理工作。
(3) 企业中舆情管理制度不够完善。
从平日具体探索实践来看, 目前只有部分企业对网络舆情管理有明确的制度规范。缺乏完善的制度就不能够对相关责任人进行奖惩等规范化管理, 就易出现互相推诿、延误时机甚至隐瞒不报等问题。
(4) 学校对学生媒介素养的培养力度不大。
媒介素养是听说读写能力的延伸, 是现代社会个体必须学习和具备的一种能力, 在大众传播时代, 通过媒介素养教育, 可以帮助人们提高对媒介的认识, 正确理解媒介的性质和功能, 学会批判地看待媒介信息, 提高对不良信息的免疫力, 学会有效地利用媒介信息为个人成长服务。对学生进行全方位、系统、长期的网络素养教育, 使之树立网络环境中自由与责任、权利与义务关系的准则, 认识到网络上不良行为危害的严重性和破坏性, 做到自我约束和自觉抵制各种违法行为。
4完善企业网信息安全管理机制的对策和措施
(1) 网络共享与恶意代码防控。
网络共享方便了不同用户、不同部门、不同单位等之间的信息交换, 但是, 恶意代码利用信息共享、网络环境扩散等漏洞, 影响越来越大。如果对恶意信息交换不加限制, 将导致网络的QoS下降, 甚至系统瘫痪不可用。
(2) 信息化建设超速与安全规范不协调。
网络安全建设缺乏规范操作, 常常采取“亡羊补牢”之策, 导致信息安全共享难度递增, 也留下安全隐患。
(3) 信息产品国外引进与安全自主控制。
国内信息化技术严重依赖国外, 从硬件到软件都不同程度地受制于人。目前, 国外厂商的操作系统、数据库、中间件、办公文字处理软件、浏览器等基础性软件都大量地部署在国内的关键信息系统中, 但是这些软件或多或少存在一些安全漏洞, 使得恶意攻击者有机可乘。目前, 我们国家的大型网络信息系统许多关键信息产品长期依赖于国外, 一旦出现特殊情况, 后果就不堪设想。
(4) IT产品单一性和大规模攻击问题。
信息系统中软硬件产品单一性, 如同一版本的操作系统、同一版本的数据库软件等, 这样一来攻击者可以通过软件编程, 实现攻击过程的自动化, 从而常导致大规模网络安全事件的发生, 例如网络蠕虫、计算机病毒、“零日”攻击等安全事件。
(5) IT产品类型繁多和安全管理滞后矛盾。
目前, 信息系统部署了众多的IT产品, 包括操作系统、数据库平台、应用系统。但是不同类型的信息产品之间缺乏协同, 特别是不同厂商的产品, 不仅产品之间安全管理数据缺乏共享, 而且各种安全机制缺乏协同, 各产品缺乏统一的服务接口, 从而造成信息安全工程建设困难, 系统中安全功能重复开发, 安全产品难以管理, 也给信息系统管理留下安全隐患。
(6) IT系统复杂性和漏洞管理。
多协议、多系统、多应用、多用户组成的网络环境, 复杂性高, 存在难以避免的安全漏洞。据SecurityFocus公司的漏洞统计数据表明, 绝大部分操作系统存在安全漏洞。由于管理、软件工程难度等问题, 新的漏洞不断地引入到网络环境中, 所有这些漏洞都将可能成为攻击切入点, 攻击者可以利用这些漏洞入侵系统, 窃取信息。1998年2月份, 黑客利用Solar Sunrise漏洞入侵美国国防部网络, 受害的计算机数超过500台, 而攻击者只是采用了中等复杂工具。当前安全漏洞时刻威胁着网络信息系统的安全。
为了解决来自漏洞的攻击, 一般通过打补丁的方式来增强系统安全。但是, 由于系统运行不可间断性及漏洞修补风险不可确定性, 即使发现网络系统存在安全漏洞, 系统管理员也不敢轻易地安装补丁。特别是, 大型的信息系统, 漏洞修补是一件极为困难的事。因为漏洞既要做到修补, 又要能够保证在线系统正常运行。
工业控制网络的体系结构正向着高性能、全开放的网络体系发展。本文通过对管理与控制网络之问的安全数据接口模型的研究和其可能受到威胁的分析, 根据工业企业的实际情况, 建立了两种安全需求的数据接口模型, 并在MES系统的框架设计中得到了有效的应用。根据安全需求配置策略, 模型可以保护管理网络和控制网络的信息机密性、系统的可用性和数据的完整性, 从而保障工业控制网络和管理网络基础设施的安全。
参考文献
[1]姜胜洪.网络舆情的内涵及主要特点[J].媒体与传播, 2010, (5) .
企业安全架构方法论 篇5
SOA是工业界的一个热点主题。它是一个策略、实践和框架的集合, 能够为提供跨域注册、动态发现和自动机制提供内建的基础设施。并且提供的服务封装, 通过消息协议提供可由双方共同操作的服务。SOA也为服务质量控制和资源管理及其它的监控服务和异常处理机制准备了基础设施。作为一个agility-pursued体系结构, SOA将企业逻辑从技术实现分离, 从而使围绕SOA体系结构建立的应用能够满足企业和技术领域持续变化的需求。它也将有益于可复用性和系统集成, 以及可扩展性、分布性和跨域注册。
1 问题发现
我们在SOA安全体系结构上的研究发现了以下几个问题。
(1) 缺少企业信息安全集成体系结构, 引入了不同的、相互独立的信息安全系统和解决方案, 这会导致整个系统的不兼容性, 导致无法达到期望的风险管理控制。
(2) 由于在信息风险管理系统的信息采集还处于半自动化阶段, 人工的信息采集过程会导致人为造成的错误。
(3) ISO/IEC 27002系统为企业信息安全管理提供非常好的方法和指南, 但由于缺乏合适的工具进行管理, 无法很好解决企业信息安全。
(4) 我们需要注意SOA自身的可靠性和安全性问题。
2 信息安全体系结构的设计
根据上述问题, 提出本文的基于SOA的信息安全体系的设计。
通过研究, 我们提出了一个面向服务架构的企业信息安全体系结构, 它是底层基于数据仓库/数据集市技术, 并以安全服务总线作为hub, 为企业信息安全活动提供集成信息安全的管理和有效的控制, 使用BPM (企业过程管理) 、规则引擎 (Rule Engine, RE) 和, 企业智能 (Business Intelligence, BI) 技术。它有益于企业公司达到需要的信息安全管理级别。并且建立一个PDCA (Plan-Do-Check-Act) 适配器, 以确保信息安全管理和风险控制活动, 能够进行自我优化。
2.1 体系结构的结构
参考七层OSI设计, 我们设计了五层的智能企业信息安全体系结构。自下向上为安全数据库层、安全应用层、安全服务总线、集成和智能层、信息安全框架。
(图1) 说明了智能企业信息安全体系结构的结构。
(1) 安全数据层。体系结构的底层是整个体系结构的基础层。这是因为安全数据易于被其它应用和服务使用。这一层的数据被分为两个部分:操作数据和分析数据。
(2) 安全应用层。应用层包括所有的信息安全系统, 如防火墙、入侵防御系统、反病毒系统, 以及被防护的设备, 如网络设备、服务器和桌面环境等。它也包括这些系统上的各种各样的操作系统。
(3) 安全服务总线。是基于SOA的信息安全体系结构的中枢。我们在这一层定义SOA服务总线的结构和需要的各种各样的信息安全服务。在面向服务的信息安全体系结构中, 我们能够将当前和未来的安全需求定义为安全服务, 但这些服务的实现是隐藏的。
(4) 集成&智能层。体系结构中数据、过程和应用都是在这一层进行处理实现的解决一个企业各种业务问题, 满足快速变化的环境。集成层具有“应用之间”和“过程之间”进行通信的能力, 通过适配器, 它还能够与其他企业过程、服务提供者或数据提供者通信。
(5) 信息安全辅助设计。这是信息安全对外的接口, 主要是由匀衡器、关键风险指示仪以及监控接口。
企业智能模型提供各种各样的服务例如报告、查询、OLAP、数据挖掘和多维分析。规则引擎, 作为工作流的一部分, 可以结合到BPM模型。因为有了规则引擎, 我们能够更加有效地执行信息安全管理和风险控制。PDCA适配器是一个特殊的工具, 它利用人工智能能够帮助公司达到信息安全管理中持续提高和自我优化的目标。
2.2 特点和优势
本文提出的企业信息安全体系结构具有以下特点。
(1) 集成。它也能够将信息安全管理和风险控制联合起来作为一个集成的框架。
(2) 可复用。体系结构是比较独立的, 适合于企业和小型组织。服务的封装使得可复用, 与其他服务联合使用。
(3) 面向服务的体系结构。SOA体系机构的采用提供了服务的独立性、自我管理和自我弹性。
(4) 集成的数据环境。集成的数据结构使之适合于各种数据库进行对接。
(5) 企业智能。这个体系结构将企业智能应用到信息安全管理, 信息安全管理主要使用了数据挖掘和模式识别技术。这可以大大减少由于人工误操作引起的损失, 增强信息安全管理和风险控制操作。
(6) 开放的体系结构。体系结构开放设计, 以满足整个企业的安全需求;面向服务的特征使得体系结构式开放的, 允许多个接口与外部应用通信。
3 结论
与传统的信息安全体系结构设计相比, 本文提出的体系结构设计具有几个优势, 包括开放、集成、可复用、面向服务、集成数据平台和商业智能。信息安全管理人员可以自由地执行重要的任务, 如风险分析等。最后, 这个体系结构式我们建立集成和智能企业信息安全体系结构的开端, 以后会有更多的、更好的产品出现。
参考文献
[1]魏东, 陈晓江, 房鼎益, 等.基于SO A体系结构的软件开发方法研究[J].微电子学与计算机, 2005, 22 (6) :73-76.
[2]叶宇风.基于SOA的企业应用集成研究[J].微电子学与计算机, 2006, 23 (5) :211-213.
[3]雷冬艳.SOA环境下的数字图书馆信息安全研究[J].科教文汇, 2010 (33) :189-190.
[4]李益文.基于SOA的商业系统的信息安全技术探讨[J].电脑编程技巧与维护, 20 10 (20) :114-115, 154.
[5]霍林.基于SOA架构的信息管理系统的设计实现[D].华中科技大学, 2006.
企业安全架构方法论 篇6
钢铁行业面对新的生产经营形势, 对成本管理提出了更高的要求, 如下:
第一, 成本核算对象发生变化, 如从传统的品种延伸到客户、订单、品种、成本中心, 要求成本核算方法更加优化。第二, 产品品种多, 品种间的同质程度降低, 更多的是产品和相关服务绑定, 间接成本和管理成本比重增加, 如何归集准确、合理, 对于当前钢铁企业狭小的利润空间, 能够准确核算品种成本至关重要。第三, 成本管理的基础是产品成本信息的真实性。
二、SAP系统的成本管理方法
钢铁行业普遍的将ERP理念的引入到企业管理, 而SAP系统是这个理念中比较优秀的支撑软件, 其最突出特点是整个系统的整合性, 系统中各个模组紧密联系在一起, 信息全面集成, 共用一套总账, 企业各级管理人员能够及时掌握相关的信息, 满足分析、管理和决策的要求。通过系统的集成将企业的物流, 资金流和信息流做到科学完整的同步, 使企业的管理人员能够及时的掌握企业生产经营的各种数据, 并通过对这些数据分析, 据以提出优化措施, 从而降低企业内耗, 削减产品生产成本, 提高企业产品在成本方面的竞争力。
SAP系统中的成本控制部件可用来核算工厂成本, 同时使用物料账自动追踪、分摊原料的采购差异和产品的生产差异, 最终还原出产品实际成本。
SAP系统成本管理主要分为三大部分:产品成本计划、成本对象控制和实际成本核算。第一、产品成本计划。第二、成本对象控制, 是用于归集企业内生产成本的成本对象, 目的归集实际成本, 实现成本差异分析。实施SAP系统的钢铁企业普遍采用MES和物流管理系统作为成本归集的三级支撑系统, 通过三级系统与SAP后勤模块的紧密结合, 实现物流、信息流、资金流的协调同步, 通过SAP系统模块间数据集成, 实现了成本数据的自动归集。同时通过SAP成本对象控制功能, 可实现采购价格差异、生产改进差异、材料使用差异、库存数量差异、库存价值重估差异、生产定单差异、工厂供货价差、制造费用支出差异、产量变动引起的制造费用等差异的动态分析, 找到企业问题的根源, 得出控制的关键。第三、实际成本核算, 期末成本结算包括实际作业成本重估、在制品计算、差异分析和成本结算。钢铁企业通常制定相应的产品计产原则, 不考虑在制品, 启用SAP系统物料分类账后, 可分析差异来源, 分摊差异, 还原产品实际成本。
三、采用SAP套装ERP软件的优势
第一, 以成本促管理, 成本管理作为企业的一项必要的管理手段, 其数据的准确性是企业发展的一个重要基础, SAP系统提供了一套建立基于企业自身的设备能力、人员技术水平、工艺路线、生产管理控制水平之下的产品标准成本。
第二, 成本管理的逐渐向前延伸, 对日常成本数据监控与分析, 可以增强对各分厂成本管理、监控与分析准确性、明晰性及实效性。
四、结论
钢铁企业的信息化建设为企业生产经营、战略转型和提高成本控制起到了重要的支撑和保障作用, 只有依靠基于ERP架构下整体信息化管理信息系统, 确保三流同步, 才能有效进行成本管理, 利用SAP系统自身系统功能, 并辅以报表和功能的定制开发, 为钢铁企业实施成本管理提供了一条解决方案。
摘要：本文通过对钢铁企业成本管理活动的问题分析和基于SAP系统技术研究, 结合作者实施信息化工作的经验, 认为大力推进企业信息化建设, 创新企业成本管理手段, 将是推动钢铁企业实现科学发展的必然选择。
关键词：成本管理,SAP
参考文献
[1]王雅君.面向订单的钢铁企业生产成本管理方法研究[D].大连:大连理工大学, 2009.
企业安全架构方法论 篇7
关键词：EAI,Web Services,认证,授权,SSO,RBAC
0 前 言
电子商务和信息技术的迅速发展对不同企业级的应用系统之间的开放性和互操作性提出了更高的要求,为了使这些系统之间能够无缝地进行协作,企业应用系统集成(Enterprise Application Integration,简称EAI)应运而生。
传统的EAI解决方案由于缺少统一的标准,在集成系统之间的互操作性上存在很多无法克服的问题。基于XML技术的Web Services的出现,极大地提高了企业级的应用系统之间的互操作性。Web Services提供了一个分布式的计算技术,用于在Internet或者Intranet上通过使用标准的XML协议统一的封装行为和数据来展现商业应用服务。但是基于Web Services的解决方案还缺少有效的方法在集成环境中保证合法用户访问授权资源。本文介绍了一种基于Web Services的应用系统集成的安全体系结构WSSA-EAI(Web Services Security Architecture For EAI),它结合了SSO的认证机制和RBAC的授权机制,提供了一种统一的且便于维护的EAI安全机制。
1 EAI及其需要解决的主要问题
1.1 EAI
EAI通过硬件、软件、标准和业务过程的结合,实现两个或多个企业系统之间的无缝集成,使它们能够统一运作[1]。EAI解决方案可以分为五个层次[2]:用户交互、应用连接、业务流程整合、构建整合和信息集成。本文中所讨论的问题属于应用连接层EAI的范畴。
建立高效的EAI需要面对两个主要问题[3,4]:
(1) 不同应用系统之间的互操作性 不同业务系统所在主机和应用平台的差异性、实现技术的差异性、数据访问的差异性等,导致不同业务系统之间或不同数据访问之间的接口多样化。EAI需要一种统一的方法处理不同应用系统之间的访问。
(2) 一体化的安全问题 应用系统的安全策略主要包括认证和授权两个方面,不同业务系统都有自己对信息和功能访问的安全策略,因此用户在访问集成系统的时候需要多次认证和授权。EAI需要一个统一的安全访问机制支持不同的安全策略。
1.2 互操作性问题的考虑
在传统的EAI解决方案中,由于应用系统的互操作性实现上的限制,导致了要成功实施一些好的集成策略往往显得力不从心[5]。传统的EAI解决方案采用开发、使用消息中间件来实现没有互操作性系统之间的通信,但基于分布式对象技术的消息中间件,如CORBA、DCOM、EJB等,无论是开发还是发布实现起来都相当复杂,并且缺少灵活性和普遍适用性[6]。
基于XML技术的Web Services是使用标准的Internet协议执行分布式计算的软件组件[7],基于它的EAI解决方案使用标准的XML消息实现异构系统之间的通信,这种宽松的通信机制有助于消除许多传统的EAI解决方案难以克服的互操作性问题。另外,Web Service 采用面向服务的体系结构SOA(Service Oriented Architecture),如图1所示。该架构主要由三个参与者(服务提供者、请求者和服务注册库)和三个基本操作(发布、查找、绑定)构成。Web Services是自包含、自描述、模块化的应用,它可以在Web中被快速地描述、发布、查找以及通过Web来调用。
1.3 安全问题的考虑
近年来,企业级应用系统内部的安全问题已经讨论得十分广泛,各种成熟的认证和授权机制也已经得到了大量的应用,但是如何将这些安全机制作用于企业级应用系统之上,保证集成系统之间的数据访问的安全性,仍然缺少明确的结论,需要进一步的研究[8,9]。
SSO(Single Sign On)指的是网络用户访问应用服务时作一次身份认证,随后就可以对所有被授权的网络资源进行无缝的访问。SSO可以让用户更加简单地访问集成系统,并且提高用户访问的安全性[10]。现实中人们提出了多种具体的SSO解决方案,如Broker-Based SSO方案、Agent-Based SSO方案、Token-Based SSO方案、Agent and Broker-Based SSO方案和基于网关的 SSO 方案等等[11]。Broker-Based SSO是应用最为广泛的方案之一,它有一个集中的认证和账号管理,Broker负责维护用户访问控制的权限。
RBAC是当前企业级应用系统内部非常流行的授权机制,它被证明优于传统的自由决定的和强制的访问控制机制[12],如图2所示。它的基本思想是将权限授予角色而不是直接授予用户,用户通过角色分派来得到操作权限从而实现授权。由于角色在系统中具有相对于用户的稳定性,并具有更为直观的理解,从而大大减少系统安全管理员的工作复杂性和工作量。
在WSSA-EAI中部署基于SSO和RBAC机制的全局的认证和授权服务,不仅达到了对EAI的访问控制目的,并且简化了用户访问集成系统的认证操作。这些基于Web Services的安全服务维护起来也十分方便。
2 WSSA-EAI
WSSA-EAI本身专注于构建EAI的安全框架。其中,完整的传输通道和数据传输本身的安全性问题可以通过采用诸如SSL和PKI[13,14]等技术来解决。
2.1 体系结构
如图3所示,在WSSA-EAI的集成环境EVE(EAI Virtual Environment)中提供了三种类型的服务:业务服务、安全服务和信息共享服务。业务服务则是将各种集成系统的功能通过Web Services封装并提供使用;安全服务主要负责访问集成系统的认证和授权;信息共享服务提供前面两种服务的发布、查找和绑定。EVE主要由WSP、AES(Authentication Server)、AOS(Authorization Server)和UDDI Server几种类型的结点构成。
(1) WSP(Web Services Provider)
WSP代表集成到EVE中的应用系统。WSP提供应用系统的Web Services的访问接口,应用系统的各种功能必须按照EVE的要求用Web Services进行封装。登录到EVE的合法用户通过WSP提供的接口访问应用系统。EVE的业务服务由WSP结点提供。
(2) UDDI Server
UDDI Server是EVE环境的集成信息的发布和检索中心。应用系统以Web Services的方式集成在EVE环境中,UDDI Server提供这些Web Services的描述信息的发布和查找。用户在访问WSP之前,可以通过UDDI Server查找需要的访问信息。UDDI Server负责提供EVE的信息共享服务。
(3) AES
AES是EVE中提供安全机制的核心结点之一。它提供集中的用户认证,为合法用户分配一个身份令牌。用户只需要登录一次就可以使用身份令牌访问多个WSP。AES负责提供EVE的安全认证服务。
(4) AOS
AOS是EVE中提供安全机制的另外一种核心结点。用户在使用身份令牌访问WSP之前,必须经过AOS检查该用户是否具有访问某个WSP的权限。EVE的安全授权服务由AOS提供。
2.2 工作机制
下面介绍WSSA-EAI的几个关键结点的工作机制:
(1) AES
AES不仅提供了用户认证的功能,它还提供了登录用户的Session管理的功能,Session用来保存认证登录用户的信息。
图4描述了用户认证的工作机制,用户向AES发送认证请求,通过认证后AES为用户分配一个身份令牌并且将用户信息保存在Session中。
由于用户可能需要访问多个应用系统,仅仅用传统的借助HTTP和HTTP cookies的Session管理是不够的。所以AES需要实现一个自己的Session管理,提供简单的信息保存和超时功能。
(2) AOS
AOS提供授权功能,它的授权机制使用角色来映射应用系统的访问权限。基于角色的访问控制方法把对用户的授权分成两部份,用角色来充当用户行使权限的中介。这样,用户与角色之间以及角色与权限之间就形成了两个多对多的关系。角色是一组访问权限的集合,一个用户可以是很多角色的成员,一个角色也可以有很多个权限,而一个权限也可以重复配置于多个角色。
在WSP的发布过程中,一方面WSP需要在AOS上配置授权用户和角色之间的映射关系,另一方面WSP需要为它提供的访问接口分配角色,然后用户才可以在WSSA-EAI的环境中访问WSP。
图5描述了角色检查的工作机制,登录用户使用身份令牌访问WSP,WSP将身份令牌和访问接口的角色作为参数发送给AOS进行权限检查,AOS先从AES获取身份令牌对应的用户信息,然后通过角色管理来检查用户是否拥有访问接口的角色,即用户是否有权访问WSP的接口,最后将检查结果返回给WSP。
实际上,WSSA-EAI有两种角色管理策略:一种是由AOS来集中管理角色;另一种由每个WSP自己管理,即WSP自己维护用户和权限之间的关系,直接从AES获取身份令牌对应的用户信息。前者的主要优点是可以提供多个系统的角色集成,减少由于角色的重复定义带来的额外操作;后者的主要优点是对于每个独立的WSP,角色管理非常灵活,可以随时由WSP自己控制访问权限,还可以集成不支持RBAC的系统。这两种方式对于具体的WSSA-EAI的实现来说都是十分重要的,可以优势互补,具体使用哪种方式应该由WSP来决定。
(3) WSP
WSP在用Web Services对应用系统的访问接口进行封装的时候,需要将用户的身份令牌添加到原有访问接口的参数列表中,这样用户登录后只需要使用身份令牌访问WSP。在发布的时候WSP还需要配置访问权限。
图6描述了用户访问集成系统的整个流程。
· 用户向UDDI Server发送查找请求,查找需要访问的应用系统的Web Services的描述信息。
· UDDI Server向用户返回查找结果。
· 用户向AES发送认证请求。
· AES向用户返回一个用户的身份令牌并且将认证用户的登录信息保存起来。
· 用户向WSP发送应用系统的访问请求,访问请求中包括用户经过认证后的身份令牌。
· WSP向AOS发送验证授权的请求,验证请求中包括被访问接口的角色信息和用户的身份令牌。
· AOS向AES发送获取用户令牌对应的用户信息的请求。
· AES返回用户信息给AOS。
· AOS验证用户是否有权访问应用系统,然后将验证结果返回给WSP。
· WSP检查验证授权的结果,如果用户没有权限访问应用系统,WSP将会拒绝用户的访问,如果用户是合法访问者,WSP将应用系统的访问结果返回给用户。
可见,用户访问EVE环境中的应用系统不仅仅是用户访问WSP结点的简单过程,而是WSP、AES、AOS和UDDI Server多个结点间相互协作的复杂过程。
3 结束语
本文介绍了一种新型的基于Web Services的EAI安全体系架构WSSA-EAI,它不但有助于解决异构系统的互操作性问题,并且将原来作用于系统内部的访问控制机制提高到系统集成的高度,为EAI的安全问题提供了一些借鉴。基于WSSA-EAI的方案比较适用于类似于学校、企业内部等具有统一的用户管理的内部集成,这样可以保证多个WSP所涉及到的用户的一致性,便于集成的实施。
WSSA-EAI在安全性上具备以下几个特点:
· SSO认证机制减少了用户安全信息的数量和操作的次数,有助于减少安全信息由于频繁操作导致丢失的可能性。
· 在用户访问集成系统的过程中,在EVE中仅仅传递用户的身份令牌,减少了伪造安全信息的可能性。
· Session管理机制确保了所有的身份令牌都是在EVE中产生的。
【企业安全架构方法论】推荐阅读：
企业安全管理架构08-13
化工企业安全管理方法08-20
企业架构05-24
企业IT架构08-31
企业文化架构行业精神08-15
企业消防安全07-02
网络架构安全08-11
安全体系架构09-14
企业的网络架构与管理05-22
企业安全教育制度07-06