1、 XX电网公司应用安全防护建设可行性研究报告 目 录概述错误!未指定书签。项目现状错误!未指定书签。需求分析错误!未指定书签。项目必要性错误!未指定书签。项目方案错误!未指定书签。项目内容错误!未指定书签。主要项目建设方案错误!未指定书签。应用虚拟化应用安全防护方案错误!未指定书签。内外网数据交换应用安全防护方案错误!未指定书签。部署配置方案错误!未指定书签。实施计划错误!未指定书签。投资估算错误!未指定书签。1 概述根据国家计算机网络应急技术处理协调中心的统计调查显示，年中国的互联网安全状况不容乐观，各种网络安全事件与去年同期相比都有明显增加、被植入木马的主机数量大幅攀升。中心通过技术平台共2、捕获约 万个恶意代码，比去年同期增长；网页篡改事件和网络仿冒事件同比增长分别是和；木马控制端地址总数为个，被控制端地总数个。与此同时，攻击者从技术上针对不同网站所采用了不同的攻击方式以达到攻击目的，在过程中其利益趋势非常明显。对于政府类或安全管理相关网站，攻击者主要采用篡改网页、放置恶意代码等攻击形式，干扰正常业务的开展（如利用网络钓鱼和网址嫁接等对金融机构、网上交易等站点进行网络仿冒）、蓄意破坏政府或企业形象，严重的导致网站被迫停止服务。而电力行业是国民经济的基础产业，是国民经济发展和人民生活极其重要的基础设施之一。近些年来，电力的信息化建设取得了非常显著的成就，信息化建设已经有了一定的规模3、，电力行业的信息系统庞大复杂，系统治理难度大。随着XX电网公司业务的快速发展，业务数据存储量大幅上升，业务应用覆盖范围越来越广，广泛使用了办公自动化系统、电力营销管理系统、生产管理系统等信息系统。目前，信息系统已成为XX电网公司生产和管理的重要支撑平台，整个日常生产经营管理已经离不开信息系统，信息系统安全问题凸显其重要性。同时，针对应用及其后台数据库的应用级入侵已经变得越来越猖獗，如注入、跨站点脚本攻击和未经授权的用户访问等。所有这些入侵都有可能绕过前台安全系统并对数据来源发起攻击。如此的安全状况，给应用系统的稳定运行和带来了前所未有的压力，应用系统的安全已经成为了目前迫切需要解决的问题。因此4、，通过开展应用安全防护建设，强化漏洞扫描措施，加强办公系统的安全审计，部署防篡改系统，预防黑客入侵，落实应用系统传输加密，加强远程接入应用安全控制措施，保障应用系统和数据安全可控，确保信息系统应用稳定。2 项目现状目前，公司的许多关键业务越来越多地依赖于应用，在通过浏览器提供访问的同时，XX电网公司所面临的风险在不断增加。主要表现在三个层面：一是随着应用程序的增多，这些应用程序所带来的安全漏洞越来越多，虽然针对应用系统开展了入网安评，但受限于应用程序被身可被修复的程序和检测人员的水平；二是随着技术发展，被用来进行攻击的黑客工具越来越多、黑客越来越猖獗,组织性和经济利益驱动非常明显，三是目前信息5、安全防御主要集中的网络安全层面，致使面临应用层攻击（如：针对应用的注入攻击、跨站脚本攻击等）发生时。公司针对应用安全防护建设，目前通过统一互联网出口，强化了应用安全访问防护，建立了内外网安全隔离措施，部分单位已安装防篡改系统，详细情况如下图：在整个内外网应用安全防护过程中，网闸负责在网络层进行内外网之间的安全隔离和访问控制，内外网业务代理负责在应用层代理内外网之间的数据交换以及数据交换的访问控制与安全审计。网闸、内外网业务代理应适当综合采用并行处理、多机热备和负载均衡等技术，以加强数据交换的吞吐能力，保证数据交换的可靠性、可用性和扩展性，满足当前和未来业务发展对数据交换性能的需求。内外网应用系6、统在进行数据交换时，必须与内外网业务代理进行双向身份认证。 此外，通过内外网业务代理和集成第三方的安全审计系统，在数据交换过程中，将对数据交换的主体、类型、数据类别及密级、日期和结果等相关信息进行安全审计，及时发现和追踪各类非法数据交换行为。3 需求分析虽然公司统一了互联网出口，强化了对外应用的安全控制，但由于各单位应用建设情况和应用环境有所不同，根据目前应用安全防护现状，大部分单位已基本完成应用安全防护，本次应用安全防护主要在集中在XX电网信息中心、江门供电局、惠州供电局、东莞供电局、佛山供电局、广州供电局、河源供电局、汕尾供电局、清远供电局、珠海供电局、深圳供电局等单位，其主要应用安全防护7、措施需求主要集中在以下几个方面：、虚拟环境下的应用安全防护需求随着公司应用的改变，XX电网公司面临着更为严峻的挑战，包括出于资源利用、系统整合以及绿色的需要，虚拟化已经在企业内部有了大量的应用，对于业务应用等需求，今后会建立私有云计算。这些应用给服务器的安全带来了更大的挑战，传统的安全措施已经不能满足现在系统、服务器系统的安全要求，而现有的防病毒安全系统已经无法承载日新月异的威胁攻击。为了确保公司的业务连续性，避免病毒对企业的数据、应用和网络带来威胁，必须对公司的安全系统进行结构化的完善，实现对虚拟机的防护。、内外网应用数据交换安全防护建设需求公司统一了互联网出口，并建立了内外网数据交换平台，8、在全省统一的应用业务环境下均能正常运行和数据交换，但在针对各个单位建立的网上营业厅等数据进行交换受到路由、数据转换的限制，如果都通过省公司数据交换平台，业务应用将统一部署在省公司，将会形成网络访问的延迟，特别是江门供电局、惠州供电局、东莞供电局、佛山供电局、广州供电局等几个大局的数据应用，同时又为了确保应用数据访问的安全，需要通过数据库逻辑隔离装置以及网闸对应用数据进行过滤和数据转换，保障应用安全。、应用数据加密传输安全防护需求目前，按照等级保护要求，需要对公司内部的应用系统进行加密传输，那么则需要能实现服务转换成安全的服务，这极大的提升了应用系统的安全性；同时确保用户访问信息系统安全，满足信9、息系统等级保护的要求。、对应用安全防篡改需求目前已建设面向互联网的对外网站系统和网上营业厅系统，由于这些系统可以直接从互联网访问，系统可能会遭到来自从世界任何地方的攻击，其所面对的安全威胁远比内部网中的系统所面对的安全威胁要大，因此，面向互联网的对外网站系统和网上营业厅系统安全保障体系的安全强度要求也就远比内网的要求要高。那么则需要采用网络防火墙进行区域隔离和端口过滤，提供系统层面的防护，采用网页防篡改系统对被非法篡改的网页进行自动恢复。4 项目必要性随着网络安全威胁在不断的进化，传统的网络层防火墙、已经无法满足网络安全的需要，同时，操作系统及应用程序的漏洞日新月异，另外，目前的黑客攻击方式模10、式已转为攻击应用程序，应用层的安全威胁已经成为主流。应用程序可以和后台数据库进行通信，提取存储在数据库中的敏感或涉密信息，因此，应用程序中可利用的漏洞成为潜在的攻击媒介，威胁数据库及存储在内的信息的安全，因此，应用安全作为XX电网公司的重要屏障之一，必须能够识别和阻断各种各样的应用攻击，诸如注入、命令注入、 注入、跨站脚本() 、其他变形的应用攻击等等，保护应用系统的安全，提升应用系统运行的可靠性和可用性。通过应用安全防护系统建设，能够提升应用安全防护措施，保障信息系统持续可靠运行，确保内部网系统的安全不会由于互联网应用出现安全问题而受到任何损害，完善应用及后台数据库的安全防护能力，增强接入进11、行身份验证控制措施，形成统一的应用安全防护体系，满足应用系统运行、创先、安全等要求。综上所诉，应用安全防护工作非常重要，目前的网络安全防护功能不足以使企业的网站应用处于完全无忧的状态，而公司现阶段大部分应用都是网站形式的，所以增强应用安全防护的工作非常必要。5 项目方案5.1 项目内容各单位5.2 主要项目建设方案5.2.1 应用虚拟化应用安全防护方案根据XX电网公司的实际情况，需要对虚拟化主机实现全面防护。通过在虚拟机上安装安全防护软件，确保系统能够自我防御，并经过优化，能够帮助保护机密数据并确保应用程序的可用性。）应用虚拟化安全防护要求虚拟化纵深安全防护的基于服务器的安全防护软件主要在服务12、器群上完成以下安全防护：l 基于主机的入侵防御 防护未知漏洞，被未知攻击 防护已知攻击 防护零日攻击，确保未知漏洞不会被利用l 实现应用安全防护 防护应用程序的弱点和漏洞 防护应用程序的历史记录 支持规范。l 确保应用程序安全控制 侦测通过非标准端口进行通讯相关协议 限制和设定哪些应用程序能通过网络被访问 侦测和阻断恶意软件通过网络进行访问l 恶意软件防护l 基于主机的防火墙l 一致性检查和监控 重要的操作系统和应用程序文件控制（文件，目录，注册表以及键值等等） 监控制定的目录 灵活并且主动实用的监控 审计日志和报表l 日志检查和审计 搜集操作系统和应用程序的日志，便于安全检查和审计 可疑行为13、侦测 搜集安全行为相关的管理员设定）应用虚拟化安全防护技术架构虚拟化纵深安全防护架构包含安全代理、安全管理器、安全中心等三个组件。如下图：安全代理：为客户端软件，部署在受保护的服务器或虚拟机上，接受安全配置文件，实现对虚拟主机安全防护。安全管理器：提供集中式策略管理、发布安全更新并通过警报和报告进行监控。安全中心：对新出现的威胁通过该门户开发规则更新，然后由安全管理器定期发布这些更新。）应用虚拟化安全防护部署根据XX电网公司的实际情况，在虚拟主机上安装安全代理程序，同时在虚拟主机管理控制器上安装虚拟化安全应用程序，保障虚拟主机和虚拟主机管理控制器安全，通过配置部署一套两台服务器安装安全管理器对14、代理程序和安全应用程序进行集中管理，详细部署如下图：各组件的部署情况如下：序号虚拟化纵深安全防护系统组件组件说明部署安全管理器（）服务器安全防护系统的管理控制端，负责管理和维护整个系统为虚拟化安全防护核心。安全代理（）虚拟化纵深安全防护的客户端，提供四大安全防护功能直接安装在服务器的操作系统上虚拟化安全应用程序（）虚拟化纵深安全防护独创的新技术，用来防护虚拟服务器直接安装在的 上，并且能够和服务器做联动安全中心（界面）虚拟化纵深安全防护的安全策略更新服务器。会定期的去下载最新的安全更新用于补丁更新和安全策略制定。5.2.2 内外网数据交换应用安全防护方案为防止通过外网应用脆弱点进入公司内网，进15、而控制公司整个网络和获得所有信息数据，那么在保障外网应用安全接入的同时，通过安全隔离系统进行信息数据的交换，确保公司内网信息数据和网络的安全。外网应用安全接入平台安全保护示意图如下：内外网数据交换，则需要满足如下条件：l 应用系统的应严格区分内外网用户和内外网数据库，外网用户不得访问公司内网应用系统，内网用户不得访问外网应用系统；l 外网应用系统需通过外网集中用户管理和认证系统进行登陆认证、授权、审计；l 只允许部署在外网应用区的指定应用服务器向指定的外网应用数据区的数据库服务器发起连接，禁止其他应用服务器访问数据库；l 应用系统的数据库设计应充分考虑内外网数据同步，不得直接采用全库模式同步，16、能够采用增量的方式进行数据同步，同时将同步后的内外网数据给予标识和标记；l 应用系统的数据库必须采用 、数据库；l 应用服务器连接数据库时必须使用数据库自带的标准驱动（常见为 或者）；l 应用服务器链接数据库时必须选择协议，即数据库连接字符串必须以“”开头。不支持通过走协议以及非协议通过，不允许文件传输、交互或者数据总线通过装置；l 原则上应用系统的数据库应规避通过系统表访问语句，并禁止用户表名称与系统表名相同或相近，含有对攻击所利用的若干数据库系统表访问的语句将被视为越权访问，典型的如：“*”、“*”、“.*”；l 原则上应用系统不得对所有表的、等进行语句操作，应尽量避免使用；l 应用系统不17、得包含有注入攻击特征的语句，典型的如： ，等； 等； 、等； 、 、 等；l 应用系统不得调用以下存储过程：、等；5.3 部署配置方案各单位配置部署内容如下：5.4 实施计划在项目建设过程中，实施是一个极其关键也是最容易被忽视的环节。因为，实施的成败最终决定着设备效益的充分发挥。信息安全项目只有在一定科学方法的指导下，才能够成功实现企业的应用目标。项目实施是项目成功的保证。从项目的组织、系统模型的建立、设备的部署安装、设备初始化，一直到人员的培训及系统后续的支持，都应在一定的原则和方法的指导下进行。同时，管理员和项目经理、技术支持人员必须建立良好的合作关系。只有得到有关各方各级领导和具体操作人员的大力支持和配合，才能确保项目实施的成功。