石油管理局網(wǎng)絡(luò)對(duì)應(yīng)用系統(tǒng)的支持規(guī)范

1、13/14某某石油治理局企業(yè)標(biāo)準(zhǔn)網(wǎng)絡(luò)對(duì)應(yīng)用系統(tǒng)的支持規(guī)范1適用范圍 某某油田各級(jí)單位2規(guī)范解釋權(quán) 本規(guī)定適用于某某油田治理局信息安全治理中心和下屬各單位中心機(jī)房。3網(wǎng)絡(luò)對(duì)應(yīng)用系統(tǒng)支持概述：網(wǎng)絡(luò)為用戶數(shù)據(jù)流的傳輸和獲得用戶信息而提供一種傳輸機(jī)制。網(wǎng)絡(luò)和支持它的基礎(chǔ)設(shè)施必須防止阻礙用戶信息傳輸?shù)木芙^服務(wù)攻擊。支撐性基礎(chǔ)設(shè)施能夠是治理系統(tǒng)或者其他任何支持網(wǎng)絡(luò)運(yùn)行的系統(tǒng)。網(wǎng)絡(luò)支持三種不同的數(shù)據(jù)流：用戶、操縱和治理。用戶通信流確實(shí)是簡單的在網(wǎng)上傳輸用戶信息。網(wǎng)絡(luò)有責(zé)任分割用戶通信流。必須維護(hù)單個(gè)用戶連結(jié)的隔離，以確?？尚刨嚨陌l(fā)出信息。操縱通信流是為了建立用戶連結(jié)而在所必備的網(wǎng)絡(luò)組件之間傳送的任意信息。操

2、縱通信流由一個(gè)信令協(xié)議提供，包括編址、路由信息和發(fā)信令。網(wǎng)絡(luò)基礎(chǔ)設(shè)施的正確編址是用戶通信流的基礎(chǔ)，它確保了數(shù)據(jù)能被傳送到目的地址。治理通信流使用來配置網(wǎng)絡(luò)組件或表明網(wǎng)絡(luò)組件狀態(tài)的信息，與其相關(guān)的協(xié)議包括簡單網(wǎng)絡(luò)治理協(xié)議（SNMP）公共治理信息協(xié)議（CMIP）、超文本傳輸協(xié)議（HTTP）等。網(wǎng)絡(luò)治理通信流關(guān)于確保網(wǎng)絡(luò)組件沒有被非授權(quán)用戶改變特不重要。下面將從兩個(gè)方面講明網(wǎng)絡(luò)在支持應(yīng)用系統(tǒng)安全時(shí)因該注意的地點(diǎn)4油田專有骨干網(wǎng)的可用性這一部分內(nèi)容強(qiáng)調(diào)了改善油田骨干傳輸系統(tǒng)的可用性，使得即使在信息戰(zhàn)的攻擊下仍能夠滿足網(wǎng)絡(luò)的操作需求。骨干網(wǎng)可用性的差不多要求是當(dāng)需要通過骨干網(wǎng)來完成任務(wù)時(shí)它們能夠發(fā)揮作用

3、。以下是我們對(duì)其確定的特不需求：骨干網(wǎng)必須提供得到認(rèn)可級(jí)不的響應(yīng)、服務(wù)連續(xù)性、通信服務(wù)中的抗意外性和抗有意中斷服務(wù)。（認(rèn)但是在網(wǎng)絡(luò)擁有者和網(wǎng)絡(luò)用戶之間達(dá)成的）。骨干網(wǎng)不需要太多的提供用戶數(shù)據(jù)的安全服務(wù)（比如保密性和數(shù)據(jù)完整性），那一般在子網(wǎng)網(wǎng)絡(luò)邊界提供。骨干網(wǎng)必須保證信息不拖延、誤傳遞或不傳遞。作為端到端的信息傳輸系統(tǒng)，骨干網(wǎng)提供的服務(wù)必須對(duì)用戶透明。作為透明需求的一部分，骨干網(wǎng)與其它骨干網(wǎng)或者本地網(wǎng)絡(luò)必須無縫連接。4.1 骨干網(wǎng)安全要求訪問操縱訪問操縱必須能夠區(qū)分用戶對(duì)數(shù)據(jù)傳輸?shù)脑L問和治理員對(duì)網(wǎng)絡(luò)治理和操縱的訪問。比如，用戶對(duì)狀態(tài)信息訪問時(shí)，必須實(shí)施比訪問配置信息更強(qiáng)的訪問操縱。訪問操縱必須

4、能夠限制對(duì)網(wǎng)絡(luò)治理中心的訪問。認(rèn)證網(wǎng)絡(luò)設(shè)備必須能認(rèn)證從其它網(wǎng)絡(luò)設(shè)備外發(fā)出的所有通信的來源，比如路由信息。網(wǎng)絡(luò)設(shè)備必須認(rèn)證網(wǎng)絡(luò)治理人員的所有的連接要求。網(wǎng)絡(luò)治理系統(tǒng)必須在同意訪問之前能認(rèn)證網(wǎng)絡(luò)治理人員。網(wǎng)絡(luò)治理中心必須認(rèn)證從外網(wǎng)進(jìn)入網(wǎng)絡(luò)治理中心的所有通信源。網(wǎng)絡(luò)治理中心必須認(rèn)證制造商提供的材料的來源。網(wǎng)絡(luò)治理中心必須認(rèn)證制造商提供的軟件的來源。比如，新版本的操作系統(tǒng)必須經(jīng)相應(yīng)級(jí)不的信息安全機(jī)構(gòu)評(píng)審認(rèn)可后才能在網(wǎng)絡(luò)上使用。在所有撥號(hào)用戶進(jìn)入網(wǎng)絡(luò)治理之前，網(wǎng)絡(luò)治理中心必須認(rèn)證他們?？捎眯杂布蛙浖ū热缬脩舸砗头?wù)器）對(duì)用戶必須是可用的。服務(wù)商必須向用戶提供高層次的系統(tǒng)可用性。保密性必須提供關(guān)鍵材

5、料的保密性。網(wǎng)絡(luò)治理員必須提供路由信息、信令信息、網(wǎng)絡(luò)治理通信流的保密性，以保障它們的安全。完整性必須保證網(wǎng)絡(luò)設(shè)備之間通信的完整性。必須保證網(wǎng)絡(luò)設(shè)備的硬件和軟件的完整性。必須保證網(wǎng)絡(luò)設(shè)備的網(wǎng)絡(luò)治理中心之間的完整性。必須保證制造商提供的硬件和軟件的完整性。必須愛護(hù)向網(wǎng)絡(luò)治理中心的撥號(hào)通信的完整性。不可否認(rèn)性網(wǎng)絡(luò)人員一定不能否認(rèn)對(duì)網(wǎng)絡(luò)設(shè)備的配置所作的改變。制造商一定不能否認(rèn)由他們提供或開發(fā)的軟硬件。4.2骨干網(wǎng)潛在的威脅網(wǎng)絡(luò)可用性的威脅要緊有：可用帶寬損耗：每一個(gè)網(wǎng)絡(luò)都只有有限的帶寬。黑客的攻擊能夠減少可用帶寬，使合法用戶的網(wǎng)絡(luò)資源受到限制，從而降低了網(wǎng)絡(luò)的可用性。網(wǎng)絡(luò)治理通信的破壞：本質(zhì)上，網(wǎng)絡(luò)

6、的功能是通過通信信道將一個(gè)用戶的信息傳遞給另一個(gè)用戶。這種攻擊通過破壞通信信道，從而威脅正常的信息傳輸。網(wǎng)絡(luò)基礎(chǔ)設(shè)施失去治理：表現(xiàn)為網(wǎng)絡(luò)基礎(chǔ)設(shè)施失控。這時(shí)網(wǎng)絡(luò)資源可能被攻擊者利用以達(dá)到它們的目的。4.3為支持應(yīng)用骨干網(wǎng)應(yīng)當(dāng)實(shí)施的防范關(guān)于可用網(wǎng)絡(luò)帶寬的攻擊：對(duì)骨干網(wǎng)來講，網(wǎng)絡(luò)堵塞攻擊最容易檢測(cè)但最難處理。這種攻擊有專門多防備措施，如服務(wù)代理或者介質(zhì)冗余技術(shù)，他們常用于軍事，但在商業(yè)骨干網(wǎng)中較少。實(shí)施此規(guī)范時(shí)能夠依照油田應(yīng)用的實(shí)際情況酌情使用。洪流攻擊能通過消耗網(wǎng)絡(luò)資源來“淹沒”網(wǎng)絡(luò)，使網(wǎng)絡(luò)通信量出現(xiàn)超負(fù)荷。通常有兩種預(yù)防措施，一是給特定的用戶優(yōu)先使用帶寬的權(quán)利，而是給每個(gè)接入點(diǎn)一定的帶寬。服務(wù)與

7、竊取攻擊，其危害較輕。典型的預(yù)防措施是用戶在使用該項(xiàng)業(yè)務(wù)時(shí)先進(jìn)行認(rèn)證。另外能夠建立可靠的檢測(cè)技術(shù)。關(guān)于網(wǎng)絡(luò)治理通信破壞攻擊：這種類型的攻擊是專門針對(duì)骨干網(wǎng)的。有兩種預(yù)防方法。一 所有的網(wǎng)絡(luò)治理信息流都產(chǎn)生于本地網(wǎng)絡(luò)之內(nèi)，需要所有的外接設(shè)備都必須對(duì)進(jìn)入網(wǎng)絡(luò)的通信信息進(jìn)行檢測(cè)以防非網(wǎng)絡(luò)治理命令從外部進(jìn)入，這種措施關(guān)鍵在于建立一個(gè)安全接口；二 對(duì)通信的完整性和權(quán)限進(jìn)行認(rèn)證。關(guān)于使網(wǎng)絡(luò)基礎(chǔ)設(shè)施失控的攻擊：針對(duì)網(wǎng)絡(luò)操作員和設(shè)備之間通行的攻擊，最好的對(duì)策是提供盡量多的接入點(diǎn)，同意網(wǎng)絡(luò)治理員和網(wǎng)絡(luò)基礎(chǔ)設(shè)備之間的自由通信。直接針對(duì)網(wǎng)絡(luò)設(shè)備的網(wǎng)絡(luò)操縱攻擊，有兩種可行的對(duì)策，在進(jìn)入網(wǎng)絡(luò)系統(tǒng)之前進(jìn)行嚴(yán)格認(rèn)證或者在網(wǎng)

8、絡(luò)操作員和設(shè)備之間建立一條受愛護(hù)的通道，例如加密的虛擬專用網(wǎng)絡(luò)。針對(duì)網(wǎng)管中心的攻擊，網(wǎng)絡(luò)護(hù)衛(wèi)和防火墻能夠用來監(jiān)測(cè)進(jìn)入網(wǎng)管中心的通道，可防止非通信的訪問、病毒入侵和其它的網(wǎng)絡(luò)威脅。另外是在組織和流程上，實(shí)施有關(guān)的策略或者流程來支持網(wǎng)管中心的恢復(fù)和建立備份網(wǎng)管中心此外關(guān)于內(nèi)部人員的攻擊（網(wǎng)管中心的操作員、網(wǎng)絡(luò)組件的開發(fā)者和程序員惡意的攻擊或者誤操作），最有效的對(duì)策是建立策略機(jī)制和嚴(yán)格的訪問操縱。策略機(jī)制把網(wǎng)絡(luò)訪問權(quán)限分為關(guān)鍵網(wǎng)絡(luò)功能，諸如配置、維護(hù)和提供資源，以及非關(guān)鍵網(wǎng)絡(luò)功能。建立審計(jì)機(jī)制來檢查網(wǎng)絡(luò)操作的執(zhí)行。石油治理局應(yīng)當(dāng)統(tǒng)一治理骨干網(wǎng)絡(luò)，規(guī)定各應(yīng)用單位接入主干網(wǎng)絡(luò)的標(biāo)準(zhǔn)，包括防火墻配置，應(yīng)用

9、端口的設(shè)定等；保證應(yīng)用系統(tǒng)之間的透明性。5支持公共網(wǎng)絡(luò)平臺(tái)安全的若干技術(shù)網(wǎng)絡(luò)平臺(tái)安全指利用公共通信基礎(chǔ)設(shè)施構(gòu)造內(nèi)聯(lián)網(wǎng)以及與國際互聯(lián)網(wǎng)和其他網(wǎng)絡(luò)連接的結(jié)構(gòu)安全。利用公共通信基礎(chǔ)設(shè)施進(jìn)行戶外或跨地域連接的安全問題，要緊解決被愛護(hù)網(wǎng)絡(luò)內(nèi)的站點(diǎn)以及子網(wǎng)在與外部網(wǎng)絡(luò)連接、通信和信息交換中的訪問操縱、實(shí)體鑒不和傳輸過程中的機(jī)密性、完整性問題。目前被廣泛看好的虛擬專用網(wǎng)（Virtual Private Network），即VPN，是通過共享公共通信基礎(chǔ)設(shè)施實(shí)現(xiàn)內(nèi)聯(lián)網(wǎng)、外聯(lián)網(wǎng)和遠(yuǎn)程用戶連接的優(yōu)化技術(shù)之一。VPN的構(gòu)建在鏈路層或者網(wǎng)絡(luò)層上進(jìn)行，VPN這種網(wǎng)絡(luò)的“專有”或“私有”是依靠防火墻、網(wǎng)關(guān)設(shè)備或密碼設(shè)備等

10、的配置來維持的。因此，一般來講VPN是一種泛稱技術(shù)，并不等于網(wǎng)絡(luò)安全，為此提出安全VPN的概念。所謂安全的VPN，確實(shí)是解決維持VPN結(jié)構(gòu)期間通行源之間的訪問操縱、鑒不以及加密傳輸?shù)膯栴}，并對(duì)VPN結(jié)構(gòu)的維持具有可治理性?？梢?，解決了VPN的安全問題，實(shí)際上就構(gòu)成了安全的網(wǎng)絡(luò)通信平臺(tái)。5.1 防火墻5.防火墻是位于內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)連接通道處的物理隔離設(shè)備，對(duì)進(jìn)出內(nèi)部網(wǎng)絡(luò)的通信和服務(wù)進(jìn)行基于訪問操縱策略的判決和反應(yīng)，從而同意符合安全策略的信息流淌，而阻斷不合符安全策略的信息流淌。5.防火墻的差不多功能有兩個(gè)：一是隔離 ，使內(nèi)部網(wǎng)絡(luò)不與外部網(wǎng)絡(luò)連接；二是訪問操縱，使進(jìn)出內(nèi)部網(wǎng)絡(luò)的數(shù)據(jù)包按照安全策

11、略有選擇的轉(zhuǎn)發(fā)。圍繞這兩個(gè)差不多功能，大量與安全有關(guān)的網(wǎng)絡(luò)技術(shù)和安全技術(shù)被綜合進(jìn)防火墻中，使防火墻的功能不斷擴(kuò)展，性能不斷提高。概括的講，功能較完善的防火墻一般具有下列特性：基于IP地址、TCP/IP協(xié)議端口號(hào)以及協(xié)議類型的過濾操縱功能，一實(shí)現(xiàn)差不多訪問操縱；基于流狀態(tài)檢測(cè)的過濾操縱功能，以實(shí)現(xiàn)更為細(xì)粒度的訪問操縱；網(wǎng)絡(luò)地址轉(zhuǎn)換能力（NAT），以利用保留IP地址實(shí)現(xiàn)與異地網(wǎng)絡(luò)的連接，并對(duì)外部網(wǎng)絡(luò)隱藏內(nèi)部網(wǎng)絡(luò)拓?fù)湫畔ⅲ蛔灾骺煽夭僮飨到y(tǒng)平臺(tái)，以堵塞通用操作系統(tǒng)的安全漏洞；黑匣子功能，即防火墻不對(duì)除治理器以外的任何用戶和進(jìn)程提供進(jìn)入系統(tǒng)的途徑；較強(qiáng)的審計(jì)信息收集能力，并通過安全通道傳輸審查信息；告警

12、和緊急狀態(tài)下的應(yīng)急處理能力。此外，某些針對(duì)內(nèi)部網(wǎng)絡(luò)與國際互聯(lián)網(wǎng)連接安全而專門設(shè)計(jì)的防火墻，還將用戶鑒不、應(yīng)用代理等功能集成到防火墻設(shè)備中。5.2 鏈路層加密5.鏈路加密是在OSI參考模型的第二層實(shí)現(xiàn)的，信息在同一鏈路的兩節(jié)點(diǎn)之間進(jìn)行雙向加/解密，當(dāng)源信息需要通過不同鏈路才能到達(dá)終點(diǎn)時(shí)，必須使用不同的鏈路密碼設(shè)備完成加/解密。5.鏈路加密在采納適當(dāng)密碼算法并在規(guī)定限期內(nèi)，可保證信息傳輸?shù)臋C(jī)密性和完整性。鏈路加密能夠通過一對(duì)N的方式完成與多個(gè)節(jié)點(diǎn)的保密通信。通過鏈路加密設(shè)備，一個(gè)組織機(jī)構(gòu)或一個(gè)行業(yè)系統(tǒng)能夠利用公共網(wǎng)絡(luò)將分散在各地點(diǎn)的網(wǎng)絡(luò)安全的連接起來形成安全VPN。從安全VPN的角度講，當(dāng)兩個(gè)節(jié)點(diǎn)

13、需要通過多個(gè)鏈路時(shí)，鏈路之間會(huì)出現(xiàn)明文；進(jìn)一步，多種鏈路設(shè)備的治理和配置參數(shù)的一致性和集中治理會(huì)存在一定難度。因此，鏈路加密設(shè)備最適合于通過單一類型網(wǎng)絡(luò)構(gòu)成安全的VPN。5.3 基于Ipsec的網(wǎng)絡(luò)加密5.那個(gè)地點(diǎn)所講的網(wǎng)絡(luò)加密是指運(yùn)行在OSI參考模型的第三層或TCP/IP模型的IP層上的密碼技術(shù)。就目前廣泛采納的互聯(lián)網(wǎng)技術(shù)而言，幾乎所有公共通信基礎(chǔ)設(shè)施和服務(wù)供應(yīng)商都支持TCP/IP有關(guān)協(xié)議標(biāo)準(zhǔn)。針對(duì)IP層的密碼技術(shù)運(yùn)用，國際上普遍采納事實(shí)上的工業(yè)標(biāo)準(zhǔn)基于Ipsec機(jī)制的隧道模式。當(dāng)其設(shè)計(jì)網(wǎng)絡(luò)愛護(hù)而不是主機(jī)愛護(hù)時(shí)，均采納基于Ipsec的ESP（封裝安全載荷）隧道模式。這種工作模式采納ESP模式

14、在網(wǎng)關(guān)處對(duì)原IP包或其它協(xié)議數(shù)據(jù)包進(jìn)行加密封裝后再附上ESP安全相關(guān)報(bào)頭，然后以網(wǎng)關(guān)的IP地址作為新的源地址通過公共網(wǎng)絡(luò)送到接收端網(wǎng)關(guān)。接收端網(wǎng)關(guān)收到該IP包后，利用ESP安全相關(guān)信息進(jìn)行解密還原處理后將數(shù)據(jù)包遞交給目的地。專門顯然，由于那個(gè)地點(diǎn)采納了與網(wǎng)絡(luò)接口層無關(guān)的IP協(xié)議，因此通過支持IP協(xié)議的多個(gè)互聯(lián)網(wǎng)網(wǎng)關(guān)時(shí)，只需按路由遞交即可，而無需與密碼技術(shù)相關(guān)的其它轉(zhuǎn)換。5.基于Ipsec的網(wǎng)絡(luò)加密具有如下功能：網(wǎng)絡(luò)層加密設(shè)備具有一對(duì)N的通信能力，因此一個(gè)加密設(shè)備可與多個(gè)加密設(shè)備互連；由于加密設(shè)備處于網(wǎng)關(guān)的位置，因此能夠利用訪問操縱策略對(duì)明/密文傳輸要求進(jìn)行判決，從而使一些子網(wǎng)或站點(diǎn)信息通過加密隧道傳輸，而另一些內(nèi)部子網(wǎng)絡(luò)或站點(diǎn)信息不通過加密隧道傳輸，以提高網(wǎng)絡(luò)傳輸效率并幸免濫用密碼技術(shù)；基于Ipsec的密碼設(shè)備，可通過公共網(wǎng)絡(luò)方便的構(gòu)建治理信息的安全通道，以實(shí)現(xiàn)密鑰分發(fā)、治理以及審