论文部分内容阅读
摘 要：核电行业作为信息安全高度敏感的行业，但虽然对终端安全重视程度较高，也从多个层面采取的保护措施，但通常这些措施多是基于经验的、离散的，不成体系的。本文结合日常终端管理工作，提出了系统性、体系性的解决终端安全管理工作的框架和模型，为终端安全管理工作提供了良好的工作思路。
关键词：核电信息安全 终端安全
一、终端安全管理的重要性
对于处在当今信息化时代的企业来说，开放的互联网络环境带来了丰富资源和极大便利，但同时也引入了越来越多的安全威胁，越来越多的企业也已经意识到网络安全问题的严重性，花费重金部署防火墙、入侵检测等安全设备，在防范外来攻击保障网络安全方面铸起“千里之堤”，在此基础上，企业管理者往往就认为可高枕无忧了，却忽视了看似最不起眼却对企业安全影响最直接、覆盖面最广的内部终端安全问题，企业终端管理问题已经俨然成为了企业安全“千里大堤”上的“蚁穴”，决不可忽视。
虽然终端资产的重要性级别通常低于网络中的交换机、路由器等核心网络设备以及各种业务主机和服务器，但广大终端数量众多，并且是组织的日常办公和业务运行的载体，如果终端安全受到威胁，即使网络中的核心设备安然无恙，整个网络的业务运行也会受到严重影响甚至瘫痪。
二、终端面临的主要威胁
传统的以组织边界和核心资产为保护对象的安全体系逐渐显示出严重的缺陷，无法有效应对终端安全面临的诸多问题。
终端面临的主要威胁包括：
1.病毒木马攻击。计算机病毒的传播为全球带来数目巨大的经济损失。如2000年爱虫是通过Outlook电子邮件系统传播，全球经济损失超过100亿美元；而2006年的熊猫烧香病毒，造成的直接经济损失也是上亿美元。
据国家计算机病毒应急处理中心统计，2007年，我国接入互联网的计算机被植入病毒木马程序的计算机达到了91.47%，被植入三种以上病毒木马程序的占53.64%，其中87%以上是以网络盗窃或远程控制计算机为目的的木马程序，即我国每10台接入互联网的计算机中有8台计算机曾受到黑客控制。2009年8月1日至31日，CNCERT/CC对当前流行的木马程序的活动状况进行了抽样监测，发现我国大陆地区23398个IP地址对应的主机被其他国家或地区通过木马程序秘密控制，其分布情况下图所示，最多的地区为北京市，高达24.61%。
2.伪造用户登录。现在的操作系统只有用户名和口令的认证方式，口令极易被窃取或破解。网上随处可见“计算机密码破解教程”、“电脑中常用的十二种密码破解方法”等资料。这样，整个系统就完成进入“不设防”状态。非法人员可以登录系统，任意查看或拷贝其想要得到的资料。这也为非法内部人员窃取单位机密、窥探个人隐私提供了可乘之机。
三、终端安全的管控框架模型设计
核电行业作为信息安全高度敏感的行业，也是监管最为关注的行业，因此在设计框架和模型，是充分考虑了与终端安全相关的监管要求，并参考了国内外在终端安全方面的管理经验和实践。
1.与终端安全相关的标准要求。目前国内和国际标准没有制定专门针对PC终端的信息安全标准，但在信息安全管理综合性标准中对PC终端管理提出了相关的管理要求。
《ISO/IEC 27001：2013》中，对PC终端安全管理要求主要包括：（1）A.8资产管理：对资产清单、资产责任人、资产的合理使用、资产的归还提出了安全要求。终端计算机作为一种资产应该符合资产管理的各项要求。（2）A.9访问控制：中要求对信息和信息处理设施的访问制定安全控制措施。所以也需要对终端计算机的访问控制进行相关控制。（3）A.11.2设备管理：对设备安置和保护、支持性设施、设备维护、资产移动、场外设备和资产安全、设备处置等要求制定完备的安全控制措施。
2.建议的终端安全管理框架。在参照国内国际相关信息安全标准，以及多个行业的信息安全管理惯例，并根据核电行业的管理特点，建议最终从责任体制、管理机制等共3个方面，设计符合核电行业管理要求与管理目标的终端安全管理整体框架（如下图所示）：
终端安全管控框架。
3.责任体制。由于核电行业除了内部员工外，还有多种不同类型的外部工作人员或相关方的PC终端可能会接入或访问江核核电的信息系统及信息网络。
因此明确终端安全的相关方管理责任显得十分重要。在实际操作中，基于终端使用和管理人员的复杂性，在内外人员混杂并存的情况下，采用了“三员”分离的管理模式，及实现技术维护人员、安全管理人员和安全审计人员的分离。
（1）安全管理员：在负责组织落实与终端相关的信息安全管理规定，监督检查信息安全保障工作，检查终端的的安全运行状况，发现问题及时通报和预警，并提出整改意见，并定期组织信息安全宣传教育活动，开展信息安全检查、评估与培训工作。
（2）技术管理员：是指提供办公终端运行维护的内部技术支持人员或外包服务人员。要求技术支持人员在履行日常运行维护职责过程中，不得对外泄漏或引用工作中触及的任何敏感信息。严格权限访问，未经业务主管部门授权不得擅自访问或获取任何数据。主动检查和监控生产系统安全运行状况，发现安全隐患或故障及时报告，并及时响应、处置。
如在終端配发阶段要求：（1）技术部门根据将四个类别定义并实施不同安全策略，如关闭不必要的应用服务，禁用或删除不必要的账号，关闭不必要的共享，关闭不必要的端口，强化网络浏览器的安全配置等；（2）技术部门根据将四个类别分别设置配置串口、并口、PCI、USB、网卡、硬盘等各类I/O接口和设备的启用/禁用状态。（3）技术部门根据将四个类别分别设置终端允许安装的软件；（4）由技术部门统一加装防止恶意代码、网络攻击的防病毒软件并及时升级软件及病毒库；（5）第一类终端、第三类终端设备仅允许通过有线网络访问公司内网，不允许访问互联网。第二类终端、第四类终端仅能接入无线外网，不得接入公司有线网络；
如在终端使用时要求：（1）第一类、第二类、第三类终端设备用户禁止擅自更改计算机初始硬件配置，禁止擅自在终端上安装或卸载任何软件，禁止擅自更改终端的安全策略。（2）所有终端应按照指定方式接入公司内网或者互联网，不得使用双网卡、拨号、无线网卡、3G网络等方式接入其他网络；（3）第二类终端设备的管理责任人在出差时将其放置在饭店房间、会议中心、汽车或其它交通工具等情况下必须置于有物理保护的场所或容器里，以防止丢失、损坏和被盗；（4）严格控制病毒来源，对外来的光盘、U盘以及通过网络传入的文件或数据，使用前必须进行病毒和木马检查，如发现病毒或木马应立即报告本处室计算机管理员采取措施，以防止进一步扩散。
四、结语
目前，核安全已被提升为我国国家安全的重要组成部分，“核电厂信息安全”直接关系到核安全，也关系到核电厂的经济性以及我国实现核电强国和核电走出国门的战略问题。本文结合日常终端管理工作，提出了系统性、体系性的解决终端安全管理工作的框架和模型，是对信息安全纵深防御的初步研究，为终端安全管理工作提供了良好的工作思路。旨在推动建立一个由管理和技术体系所构成的信息安全文化与核安全文化相结合的保障体系，以应对网络信息安全风险挑战，推动我国核电安全、健康发展。
关键词：核电信息安全 终端安全
一、终端安全管理的重要性
对于处在当今信息化时代的企业来说，开放的互联网络环境带来了丰富资源和极大便利，但同时也引入了越来越多的安全威胁，越来越多的企业也已经意识到网络安全问题的严重性，花费重金部署防火墙、入侵检测等安全设备，在防范外来攻击保障网络安全方面铸起“千里之堤”，在此基础上，企业管理者往往就认为可高枕无忧了，却忽视了看似最不起眼却对企业安全影响最直接、覆盖面最广的内部终端安全问题，企业终端管理问题已经俨然成为了企业安全“千里大堤”上的“蚁穴”，决不可忽视。
虽然终端资产的重要性级别通常低于网络中的交换机、路由器等核心网络设备以及各种业务主机和服务器，但广大终端数量众多，并且是组织的日常办公和业务运行的载体，如果终端安全受到威胁，即使网络中的核心设备安然无恙，整个网络的业务运行也会受到严重影响甚至瘫痪。
二、终端面临的主要威胁
传统的以组织边界和核心资产为保护对象的安全体系逐渐显示出严重的缺陷，无法有效应对终端安全面临的诸多问题。
终端面临的主要威胁包括：
1.病毒木马攻击。计算机病毒的传播为全球带来数目巨大的经济损失。如2000年爱虫是通过Outlook电子邮件系统传播，全球经济损失超过100亿美元；而2006年的熊猫烧香病毒，造成的直接经济损失也是上亿美元。
据国家计算机病毒应急处理中心统计，2007年，我国接入互联网的计算机被植入病毒木马程序的计算机达到了91.47%，被植入三种以上病毒木马程序的占53.64%，其中87%以上是以网络盗窃或远程控制计算机为目的的木马程序，即我国每10台接入互联网的计算机中有8台计算机曾受到黑客控制。2009年8月1日至31日，CNCERT/CC对当前流行的木马程序的活动状况进行了抽样监测，发现我国大陆地区23398个IP地址对应的主机被其他国家或地区通过木马程序秘密控制，其分布情况下图所示，最多的地区为北京市，高达24.61%。
2.伪造用户登录。现在的操作系统只有用户名和口令的认证方式，口令极易被窃取或破解。网上随处可见“计算机密码破解教程”、“电脑中常用的十二种密码破解方法”等资料。这样，整个系统就完成进入“不设防”状态。非法人员可以登录系统，任意查看或拷贝其想要得到的资料。这也为非法内部人员窃取单位机密、窥探个人隐私提供了可乘之机。
三、终端安全的管控框架模型设计
核电行业作为信息安全高度敏感的行业，也是监管最为关注的行业，因此在设计框架和模型，是充分考虑了与终端安全相关的监管要求，并参考了国内外在终端安全方面的管理经验和实践。
1.与终端安全相关的标准要求。目前国内和国际标准没有制定专门针对PC终端的信息安全标准，但在信息安全管理综合性标准中对PC终端管理提出了相关的管理要求。
《ISO/IEC 27001：2013》中，对PC终端安全管理要求主要包括：（1）A.8资产管理：对资产清单、资产责任人、资产的合理使用、资产的归还提出了安全要求。终端计算机作为一种资产应该符合资产管理的各项要求。（2）A.9访问控制：中要求对信息和信息处理设施的访问制定安全控制措施。所以也需要对终端计算机的访问控制进行相关控制。（3）A.11.2设备管理：对设备安置和保护、支持性设施、设备维护、资产移动、场外设备和资产安全、设备处置等要求制定完备的安全控制措施。
2.建议的终端安全管理框架。在参照国内国际相关信息安全标准，以及多个行业的信息安全管理惯例，并根据核电行业的管理特点，建议最终从责任体制、管理机制等共3个方面，设计符合核电行业管理要求与管理目标的终端安全管理整体框架（如下图所示）：
终端安全管控框架。
3.责任体制。由于核电行业除了内部员工外，还有多种不同类型的外部工作人员或相关方的PC终端可能会接入或访问江核核电的信息系统及信息网络。
因此明确终端安全的相关方管理责任显得十分重要。在实际操作中，基于终端使用和管理人员的复杂性，在内外人员混杂并存的情况下，采用了“三员”分离的管理模式，及实现技术维护人员、安全管理人员和安全审计人员的分离。
（1）安全管理员：在负责组织落实与终端相关的信息安全管理规定，监督检查信息安全保障工作，检查终端的的安全运行状况，发现问题及时通报和预警，并提出整改意见，并定期组织信息安全宣传教育活动，开展信息安全检查、评估与培训工作。
（2）技术管理员：是指提供办公终端运行维护的内部技术支持人员或外包服务人员。要求技术支持人员在履行日常运行维护职责过程中，不得对外泄漏或引用工作中触及的任何敏感信息。严格权限访问，未经业务主管部门授权不得擅自访问或获取任何数据。主动检查和监控生产系统安全运行状况，发现安全隐患或故障及时报告，并及时响应、处置。
如在終端配发阶段要求：（1）技术部门根据将四个类别定义并实施不同安全策略，如关闭不必要的应用服务，禁用或删除不必要的账号，关闭不必要的共享，关闭不必要的端口，强化网络浏览器的安全配置等；（2）技术部门根据将四个类别分别设置配置串口、并口、PCI、USB、网卡、硬盘等各类I/O接口和设备的启用/禁用状态。（3）技术部门根据将四个类别分别设置终端允许安装的软件；（4）由技术部门统一加装防止恶意代码、网络攻击的防病毒软件并及时升级软件及病毒库；（5）第一类终端、第三类终端设备仅允许通过有线网络访问公司内网，不允许访问互联网。第二类终端、第四类终端仅能接入无线外网，不得接入公司有线网络；
如在终端使用时要求：（1）第一类、第二类、第三类终端设备用户禁止擅自更改计算机初始硬件配置，禁止擅自在终端上安装或卸载任何软件，禁止擅自更改终端的安全策略。（2）所有终端应按照指定方式接入公司内网或者互联网，不得使用双网卡、拨号、无线网卡、3G网络等方式接入其他网络；（3）第二类终端设备的管理责任人在出差时将其放置在饭店房间、会议中心、汽车或其它交通工具等情况下必须置于有物理保护的场所或容器里，以防止丢失、损坏和被盗；（4）严格控制病毒来源，对外来的光盘、U盘以及通过网络传入的文件或数据，使用前必须进行病毒和木马检查，如发现病毒或木马应立即报告本处室计算机管理员采取措施，以防止进一步扩散。
四、结语
目前，核安全已被提升为我国国家安全的重要组成部分，“核电厂信息安全”直接关系到核安全，也关系到核电厂的经济性以及我国实现核电强国和核电走出国门的战略问题。本文结合日常终端管理工作，提出了系统性、体系性的解决终端安全管理工作的框架和模型，是对信息安全纵深防御的初步研究，为终端安全管理工作提供了良好的工作思路。旨在推动建立一个由管理和技术体系所构成的信息安全文化与核安全文化相结合的保障体系，以应对网络信息安全风险挑战，推动我国核电安全、健康发展。