关键词：工控；网络安全；安全建设
1前言
随着工业化与信息化的快速发展以及云、大、物、智、移等新技术的逐步发展和深化实践，制造业工业控制系统的应用越来越多，随之而来的网络安全威胁的问题日益突出。特别是国家重点行业例如能源、水利、交通等的工业控制系统关系到一个国家经济命脉，工业控制系统网络一旦出现特殊情况可能会引发直接的人员伤亡和财产损失。本文主要以轨道交通行业CBTC系统业务的安全建设为例介绍工业信息安全防护思路，系统阐述了工业信息安全的发展背景及重要性，以网络安全法和工业基础设施的相关法规和要求等为依据，并结合传统工业控制系统的现状，从技术设计和管理系统建设两个方面来构建工控系统网络安全。
2工业信息安全概述
2.1工控网络的特点
工业控制系统是指各种自动化组件、过程监控组件共同构成的以完成实时数据采集、工业生产流程监测控制的管控系统，也可以说工业控制系统是控制技术（Control）、计算机技术（Computer）、通信技术（Communication）、图形显示技术（CRT）和网络技术（Network）相结合的产物[1]。工控系统网络安全是指工业自动控制系统网络安全，涉及众多行业例如电力、水利、石油石化、航天、汽车制造等众多工业领域，其中超过60%的涉及国计民生的关键基础设施（如公路、轨道交通等）都依靠工控系统来实现自动化作业。
2.2国内外工业安全典型事件
众所周知，工业控制系统是国家工业基础设施的重要组成部分，近年来由于网络技术的快速发展，使得工控系统正逐渐成为网络战的重点攻击目标，不断涌现的安全事件也暴露出工控系统网络安全正面临着严峻的挑战。（1）美国列车信号灯宕机事件2003年发生在美国佛罗里达州铁路服务公司的计算机遭遇震网病毒感染，导致美国东部海岸的列车信号灯系统瞬间宕机，部分地区的高速环线停运。这次事件主要是由于感染震网病毒引起的，而这种病毒常被用来定向攻击基础（能源）设施，比如国家电网、水坝、核电站等。（2）乌克兰电网攻击事件2015年，乌克兰的首都和西部地区电网突发停电，调查发现这次事故是由于黑客攻击造成的。黑客攻击了多座变电站，在电力公司的主控电脑系统里植入了病毒致使系统瘫痪造成停电事故。（3）旧金山轻轨系统遭勒索病毒攻击事件2016年，黑客攻击美国旧金山轻轨系统，造成上千台服务器和工作站感染勒索病毒，数据全部被加密，售票系统全面瘫痪。其实国内也发生过很多工业控制系统里面的安全事件，主要也是因为感染勒索病毒引起的。勒索病毒感染了重要业务系统里面的一些工作站，例如在轨道交通行业里的典型系统：综合监控系统、通信系统和信号系统等，其中大部分是由于移动接入设备的不合规使用而带来的风险。从以上事件可以看出，攻击者要发动网络攻击只需发送一个普通的病毒就可以达到目的，随着网络攻击事件的频发和各种复杂病毒的出现，让我们的工业系统安全以及公共利益、人民财产安全正遭受着严重的威胁。
2.3工控安全参考标准、规范
作为国家基础设施的工业控制系统，正面临着来自网络攻击等的威胁，为此针对工控网络安全，我国制定和了相关法律法规来指导网络安全建设防护工作。其中有国家标准委在2016年10月的《工业通信网络网络和系统安全建立工业自动化和控制系统安全程序》《工业自动化和控制系统网络安全可编程序控制器（PLC）第1部分：系统要求》等多项国家标准[2]。同年，工信部印发《工业控制系统信息安全防护指南》，该标准以当前我国工业控制系统面临的安全问题为出发点，分别从技术防护和管理设计两方面来对工业控制系统的安全防护提出建设防护要求。2017年6月，《网络安全法》开始实施，网安法从不同的网络层次规定了网络安全的检测、评估以及防护和管理等要求，促进了我国工业控制系统网络安全的发展。
3工业控制系统网络安全分析
轨道交通信号系统（CBTC）是基于通信技术的列车控制系统，该系统依靠通信技术实现“车地通信”并且实时地传递“列车定位”信息[3]。目前CBTC安全建设存在以下问题：（1）网络边界无隔离随着CBTC的集成度越来越高，各个子系统之间的联系和数据通信也越来越密切，根据地域一般划分为控制中心、车站、车辆段和停车场，根据业务又划分为ATO、ATS、CI、DCS等多个子系统，各区域之间没有做好访问控制措施，缺失入侵防范和监测的举措。各个子系统之间一般都是互联互通的，不同的子系统由于承载的业务的重要等级不同也是需要对其边界进行防护的，还有一些安全系统和非安全系统之间也都没有做隔离。（2）网络异常查不到针对CBTC系统的网络入侵行为一般隐蔽性很强，没有专门的设备去检测的话很难发现入侵行为。出现安全事件后没有审计记录和追溯的手段，等下次攻击发生依然没有抵抗的能力。没有对流量进行实时监测和记录，不能及时发现高级持续威胁、不能有效应对攻击、不能及时发现各种异常操作。（3）工作站、服务器无防护CBTC系统工作站、服务器的大部分采用Windows系列的操作系统，还有一部分Linux系列的操作系统，系统建设之初基本不会对工作站和服务器的操作系统进行升级，操作系统在使用过程中不断暴露漏洞，而系统漏洞又无法得到及时的修复，这都会导致工作站和服务器面临风险。没有在系统上线前关闭冗余系统服务，没有加强系统的密码策略。除此之外，运维人员可以在调试过程中在操作站和服务器上安装与业务无关的软件，也可能会开启操作系统的远程功能，上线后也不会关闭此功能，这些操作都会使得系统配置简单，更容易受到攻击。目前在CBTC系统各个区域部分尚未部署桌管软件和杀毒软件，无法对USB等外接设备的接入行为进行管控，随意使用移动存储介质的现象非常普遍，这种行为极易将病毒、木马等威胁带入到生产系统中。（4）运维管理不完善单位内安全组织机构人员职责不完善，缺乏专业的人员。没有针对信号系统成立专门的安全管理部门，未明确相关业务部门的安全职责和职员的技能要求，也缺乏专业安全人才。未形成完整的网络安全管理制度政策来规划安全建设和设计工控系统安全需求。另外将工业控制系统的运维工作外包给第三方人员后并无相关的审计和监控措施，当第三方运维人员进行设备维护时，业务系统的运营人员不能及时了解第三方运维人员是否存在误操作行为，一旦发生事故无法及时准确定位问题原因、影响范围和责任追究。目前CBTC系统的网络采用物理隔离，基本可以保证正常生产经营。但是管理网接入工控系统网络后，工控系统网络内部的安全防护措施无法有效抵御来自外部的攻击和威胁，而且由于与管理网的数据安全交互必须在工控网络边界实现，因此做好边界保护尤为重要。
4工业控制系统网络安全防护体系
工控系统信息化建设必须符合国家有关规定，从安全层面来看要符合部级防护的相关要求，全面规划设计网络安全保障体系，使得工控体系符合相关安全标准，确保工控安全保障体系的广度和深度。根据安全需求建立安全防护体系，通过管理和技术实现主被动安全相结合，有效提升了工控业务系统的安全防护能力。根据业务流量和业务功能特点以及工控系统网络安全的基本要求来设计不同的项目技术方案，从技术角度来识别系统的安全风险，依据系统架构来设计安全加固措施，同时还要按照安全管理的相关要求建立完善的网络安全管理制度体系，来确保整体业务系统的安全有效运行。
4.1边界访问控制
考虑到资产的价值、重要性、部署位置、系统功能、控制对象等要素，我们将轨道交通信号系统业务网络划分为多个子安全域，根据CBTC业务的重要性、实时性、关联性、功能范围、资产属性以及对现场受控设备的影响程度等，将工控网络划分成不同的安全防护区域，所有业务子系统都必须置于相应的安全区域内。通过采取基于角色的身份鉴别、权限分配、访问控制等安全措施来实现工业现场中的设备登录控制、应用服务资源访问的身份认证管理，使得只有获得授权的用户才能对现场设备进行数据更新、参数设定，在控制设备及监控设备上运行程序、标识相应的数据集合等操作，防止未经授权的修改或删除等操作。4.2流量监测与审计网络入侵检测主要用于检测网络中的恶意探测和恶意攻击行为，常见有网络蠕虫、间谍和木马软件、高级持续性威胁攻击、口令暴力破解、缓冲区溢出等各种深度攻击行为[4]。可以利用漏洞扫描设备扫描探测操作系统、网络设备、安全设备、应用系统、中间件、数据库等网络资产和应用，及时发现网络中各种设备和应用的安全漏洞，提出修复和整改建议来保障系统和设备自身的安全性。恶意代码防护可以检测、查杀和抵御各种病毒，如蠕虫病毒、文件病毒等木马或恶意软件、灰色软件等。通过安全配置核查设备来及时发现识别系统设备是否存在不合理的策略配置、系统配置、环境参数配置的问题。另外要加强安全审计管理，通常包括日常运维操作安全审计、数据库访问审计以及所有设备和系统的日志审计，主要体现在对各类用户的操作行为进行审计和对重要安全事件进行记录和审计，审计日志的内容需要包括事件发生的确切时间、用户名称、事件的类型、事件执行情况说明等。
4.3建立统一监测管理平台
根据等级保护制度要求规定，重要等级在第二级以上的信息系统需要在网络中建立统一集中管理中心，通过统一安全管理平台能够对网络设备、安全设备、各类操作系统等的运行状况、安全日志、配置策略进行集中监测、采集、日志范化和归并处理，平台可以呈现CBTC系统中各类设备间的访问关系，形成基于网络访问关系、业务操作指令的工业控制环境的行为白名单，从而可以及时识别和发现未定义的行为以及重要的业务操作指令的异常行为。可以设置监控指标告警阈值，触发告警并记录，对各类报警和日志信息进行关联分析和预警通报。
4.4编制网络安全管理制度
设立安全专属职能的管理部门和领导者及管理成员的岗位，制定总体安全方针，指明组织机构的总体目标和工作原则。对于安全管理成员的角色设计需按三权分立的原则来规划并落实，必须配备专职的安全成员来指导和管理安全的各方面工作。指派专人来制定安全管理制度，而且制度要经过上层组织机构评审和正式，保持对下发制度的定期评审和落实情况的核查。由专人来负责单位内人员的招聘录用工作，对人员的专业能力、背景及任职资格进行审核和考察，人员录用时需要跟被录用人签订保密协议和岗位责任书。编制完善的制度规范，编制范围应涵盖信息系统在规划和建设、安全定级与备案、方案设计、开发与实施、验收与测试以及完成系统交付的整个生命周期。针对不同系统建设阶段分别编制软件开发管理规范、代码编写规范、工程监理制度、测试验收制度，在测试和交付阶段记录和收集各类表单、清单。加强安全运维建设，制定包含物理环境管理、资产管理、系统设备介质管理以及漏洞风险管理等方面的规范要求，对于机房等办公区域的人员进出、设备进出进行记录和控制，建立资产管理制度规范系统资质的管理与使用行为，保存相关的资产清单，对各种软硬件资产做好定期维护，对资产采购、领用和发放制定严格的审批流程。针对漏洞做好风险管理，针对发现的安全问题采取相关的应对措施，形成书面记录和总结报告。在第三方外包人员管理方面应该与外包运维服务商签订第三方运维服务协议，协议中应明确外包工作范围和具体职责。
5结束语
由于工控系统安全性能不高和频繁爆发的网络安全攻击的趋势，近年来我国将网络安全建设提升到了国家安全战略的高度，并且制定了相关的标准、政策、技术、程序等来积极应对安全风险，业务主管部门还应进一步强化网络安全意识，开展网络安全评估，制定网络安全策略，提高工控网络安全水平，确保业务的安全稳定运行。
参考文献：
[1]石勇，刘巍伟，刘博.工业控制系统（ICS）的安全研究[J].网络安全技术与应用，2008（4）.
[2]李俊．工业控制系统信息安全管理措施研究[J].自动化与仪器仪表，2014（9）.
关键词：医院；信息化；网络；安全
中图分类号：TP309.2
随着医改的不断深入，借助信息化提高医院的管理水平和服务质量已成为大势所趋，伴着网络技术的迅猛发展，Web化应用呈现出爆发式增长趋势，一方面，增强了各行业及部门间的协作能力，提高了生产效率，另一方面也不可避免的带来了新的安全威胁。从国家到地方，卫生行政主管部门非常重视医院信息安全，与公安部门联合发文，要求医院完成等级保护工作。
1我院网络安全建设现状
1.1医院信息系统现状
我院的信息信息系统主要有：医院信息管理系统（HIS）、医学影像信息系统（PACS）、临床实验室检验信息系统（LIS）、电子病历系统（EMR）、手术麻醉信息系统（AIMS）、医院办公自动化系统（HOA）等。随着各系统应用的不断深入，以及这些系统与医保、合疗、健康档案、财务、银行一卡通等系统的直连，安全问题已越来越突显，网络安全作为信息安全的基础，变得尤为重要。
1.2网络安全现状与不足
1.2.1网络安全现状
（1）我们采用内外网物理隔离，内网所有U口禁用。对开放的U口通过北信源的桌面管理软件进行管理；（2）内外网都使用了赛门铁克的网络杀毒软件，对网络病毒进行了防范；（3）与外部连接。
内网与省医保是通过思科防火墙、路由器和医保专线连接进行通信；与市医保是通过联想网御的网闸、医保路由器与医保专线连接进行通信；与合疗及虚拟桌面是通过绿盟的下一代防火墙与互联网进行通信；与健康档案是通过天融信的VPN与互联网进行通信的。另外，内网与财务专用软件、一卡通也是通过网闸及防火墙进行通信的。
另外，我们有较完善的网络安全管理制度体系，这里不再赘述。
1.2.2网络安全存在的问题
（1）由于医院信息系统与外部业务连接不断增长，专线与安全设备比较繁杂，运维复杂度较高；（2）通过部署网络杀毒软件及安全设备，虽然提升了网络的安全性，但却带来了系统性能下降的问题，如何在不过多影响整体网络性能的前提下，又可以完善整网的安全策略的部署，是后续网络优化所需要重点关注的；（3）终端用户接入网络后所进行的网络访问行为无法进行审计和追溯。
2医院网络层安全策略部署规划
在等级保护安全策略指导下，我们将整个医院的安全保障体系设计分为安全管理体系建设和安全技术体系建设两个方面，其中安全技术体系建设的内容包括安全基础设施（主要包括安全网关、入侵防护系统、安全审计系统等），安全管理体系建设的内容包括组织、制度、管理手段等。通过建立医院安全技术体系、安全服务体系和安全管理体系，提供身份认证、访问控制、抗抵赖和数据机密性、完整性、可用性、可控性等安全服务，形成集防护、检测、响应于一体的安全防护体系，实现实体安全、应用安全、系统安全、网络安全、管理安全，以满足医院安全的需求[1]。
在这里，我主要从安全技术体系建设方面阐述医院网络层安全策略。
网络层安全主要涉及的方面包括结构安全、访问控制、安全审计、入侵防范、恶意代码防范、网络设备防护几大类安全控制。
2.1安全域划分[2]
2.1.1安全域划分原则
（1）业务保障原则。安全域方法的根本目标是能够更好的保障网络上承载的业务。在保证安全的同时，还要保障业务的正常运行和运行效率；（2）适度安全原则。在安全域划分时会面临有些业务紧密相连，但是根据安全要求（信息密级要求，访问应用要求等）又要将其划分到不同安全域的矛盾。是将业务按安全域的要求强性划分，还是合并安全域以满足业务要求？必须综合考虑业务隔离的难度和合并安全域的风险（会出现有些资产保护级别不够），从而给出合适的安全域划分；（3）结构简化原则。安全域方法的直接目的和效果是要将整个网络变得更加简单，简单的网络结构便于设计防护体系。比如，安全域划分并不是粒度越细越好，安全域数量过多过杂可能导致安全域的管理过于复杂和困难；（4）等级保护原则。安全域的划分要做到每个安全域的信息资产价值相近，具有相同或相近的安全等级安全环境安全策略等；（5）立体协防原则。安全域的主要对象是网络，但是围绕安全域的防护需要考虑在各个层次上立体防守，包括在物理链路网络主机系统应用等层次；同时，在部署安全域防护体系的时候，要综合运用身份鉴别访问控制检测审计链路冗余内容检测等各种安全功能实现协防；（6）生命周期原则。对于安全域的划分和布防不仅仅要考虑静态设计，还要考虑不断的变化；另外，在安全域的建设和调整过程中要考虑工程化的管理。
2.2.2区域划分
业务网内部根据业务类型及安全需求划分为如图1所示的几个个安全区域，也可以根据医院自己的业务实际情况，添加删减相关的安全域，网络规划拓扑图[3]如下：
图1
（1）外联区：主要与医保网、外联单位进行互联，此区域与数据中心核心交换机互联；在外联区接入处部署防火墙、IPS、硬件杀毒墙，也可以部署下一代防火墙产品，添加IPS功能模块、杀毒功能模块，通过防火墙、IPS、杀毒进行访问控制，实现安全隔离；与数据中心核心交换机处部署网闸设备，实现物理隔离；（2）运维管理区：主要负责运维管理医院信息化系统，此区域与数据中心核心交换机互联；在运维管理区与核心交换机之间部署堡垒机（SAS-H），对运维操作进行身份识别与行为管控；部署远程安全评估系统（RSAS），对系统的漏洞进行安全评估；部署安全配置核查系统，对系统的安全配置做定期检查；部署日志管理软件，对网络设备、安全设备、重要服务器的日志做收集整理和报表呈现；部署网络版杀毒系统，与硬件杀毒墙非同一品牌；部署网络审计系统，对全网所有用户行为进行网络审计；部署主机加固系统，对重要服务器定期进行安全加固，以符合等保的安全配置要求；（3）办公接入区：主要负责在住院部大楼、门急诊楼、公寓后勤楼等办公用户的网络接入；接入汇聚交换机旁路部署IDS；与核心交换机接入采用防火墙进行访问控制；重要办公用户安装桌面终端系统控制非法接入问题；（4）核心交换区：主要负责各个安全域的接入与VLAN之间的访问控制；在两台核心交换机上采用防火墙板卡，来实现各个区域的访问控制。在核心交换机旁路部署安全审计系统，对全网数据进行内容审计，可以与运维管理区的网络审计使用同一台；（5）互联网接入区：主要负责为办公区用户访问互联网提供服务，以及互联网用户访问门户网站及网上预约等业务提供服务；在互联网出口处，部署负载均衡设备对链路做负载处理；部署下一代防火墙设备（IPS+AV+行为管理），对进出互联网的数据进行安全审计和管控；在门户服务器与汇聚交换机之间部署硬件WEB应用防火墙，对WEB服务器进行安全防护；在门户服务器上安装防篡改软件，来实现对服务器的防篡改的要求；部署网闸系统，实现互联网与业务内网的物理隔离要求；（6）数据中心区：此区域主要为医院信息系统防护的核心，可分为关键业务服务器群和非关键业务服务器群，为整个医院内网业务提供运算平台；在非关键业务服务器群与核心交换区之间部署防火墙和入侵保护系统，对服务器做基础的安全防护；在关键业务服务器群与核心交换机之间部署防火墙、入侵保护系统、WEB应用防护系统，对服务器做安全防护；（7）开发测试区：为软件开发机第三方运维人员提供接入医院内网服务，与核心交换机互联；部署防火墙进行访问控制，所有的开发测试区的用户必须通过堡垒机访问医院内网；（8）存储备份区：此区域主要为医院信息化系统数据做存储备份，与核心交换机互联。
2.2边界访问控制[1]
在网络结构中，需要对各区域的边界进行访问控制，对于医院外网边界、数据交换区边界、应用服务区域边界及核心数据区边界，需采取部署防火墙的方式实现高级别的访问控制，各区域访问控制方式说明如下：
（1）外联区：通过部署高性能防火墙，实现数据中心网络与医院外网之间的访问控制；（2）核心交换区：通过核心交换机的VLAN划分、访问控制列表以及在出口处部署防火墙实现对数据交换区的访问控制；（3）数据中心区：通过核心交换机的VLAN划分、访问控制列表以及在出口处部署防火墙实现对应用服务区的访问控制；（4）运维区：通过核心交换机的VLAN划分、访问控制列表以及在出口处部署防火墙实现对核心数据区的访问控制；（5）互联网区：与内网核心交换区采用网闸系统进行物理隔离；与互联网出口采用防火墙实现访问控制；（6）开发测试区：通过核心交换机的VLAN划分、访问控制列表以及在出口处部署防火墙实现对应用服务区的访问控制；（7）办公网接入区：通过核心交换机的VLAN划分、访问控制列表以及在出口处部署防火墙实现对应用服务区的访问控制；（8）备份存储区：通过核心交换机的VLAN划分、访问控制列表以及在出口处部署防火墙实现对应用服务区的访问控制。
2.3网络审计[1]
网络安全审计系统主要用于监视并记录网络中的各类操作，侦查系统中存在的现有和潜在的威胁，实时地综合分析出网络中发生的安全事件，包括各种外部事件和内部事件。在数据中心核心交换机处旁路部署网络行为监控与审计系统，形成对全网网络数据的流量检测并进行相应安全审计，同时和其他网络安全设备共同为集中安全管理提供监控数据用于分析及检测。
网络行为监控和审计系统将独立的网络传感器硬件组件连接到网络中的数据汇聚点设备上，对网络中的数据包进行分析、匹配、统计，通过特定的协议算法，从而实现入侵检测、信息还原等网络审计功能，根据记录生成详细的审计报表。网络行为监控和审计系统采取旁路技术，不用在目标主机中安装任何组件。同时玩了个审计系统可以与其他网络安全设备进行联动，将各自的监控记录送往安全管理安全域中的安全管理服务器，集中对网络异常、攻击和病毒进行分析和检测。
2.4网络入侵防范[1]
根据数据中心的业务安全需求和等级保护三级对入侵防范的要求，需要在网络中部署入侵防护产品。
入侵防护和产品通过对计算机网络或计算机系统中的若干关键点收集信息并对其进行分析，从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象。入侵检测产品应支持深度内容检测、技术。配合实时更新的入侵攻击特征库，可检测网络攻击行为，包括病毒、蠕虫、木马、间谍软件、可疑代码、探测与扫描等各种网络威胁。当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供报警。
入侵防护产品部署在数据中心与核心交换机之间，继防火墙边界访问控制后的第二道防线。
2.5边界恶意代码防范[1]
根据数据中心业务风险分析和等级保护三级对边界恶意代码防范的要求，需要在互联网边界部署防病毒产品，也可以在下一代防火墙添加防病毒模块来实现此功能；防病毒产品应具备针对HTTP、FTP、SMTP、POP3、IMAP以及MSN协议的内容检查、清除病毒的能力。支持查杀引导区病毒、文件型病毒、宏病毒、蠕虫病毒、特洛伊木马、后门程序、恶意脚本等各种恶意代码，并定期提供对病毒库版本的升级。
2.6网络设备保护[1]
对于网络中关键的交换机、路由器设备，也需要采用一定的安全设置及安全保障手段来实现网络层的控制。主要是根据等级保护基本要求配置网络设备自身的身份鉴别与权限控制，包括：登录地址、标识符、口令复杂度、失败处理、传输加密、特权用户权限分配等方面对网络设备进行安全加固。
由于不同网络设备安全配置的不同、配置维护工作繁杂，且信息安全是动态变化的，因此这里推荐通过自动化的配置核查设备，对网络层面和主机层的安全配置进行定期扫描核查，及时发现不满足基线要求的相关配置，并根据等级保护的安全配置要求提供相对应的安全配置加固指导。
3结束语
通过以上六个方面的安全加固，重点解决了医院当前网络安全环境中面临的主要问题。随着医院数字化进程的不断深入，我们还将重点跟踪网络安全方面出现的新问题、新的技术思路和新的技术解决方案，做好医院的网络安全工作，为医院信息化建设保驾护航。
目前，网络已经深刻影响与改变现有的医疗模式[4]，网络安全已成为医院信息化建设中的重中之重，它是一项复杂而艰巨的系统工程，需全方位入手，切实保障医院各信息系统安全稳定的运行、医院各项工作顺利的开展，真正为广大患者提供优质便捷的服务。
参考文献：
[1]GB/T22239-2008，信息系统安全等级保护基本要求[S].
[2]GB/T9387.2-1995，开放系统互连基本参考模型第2部分：安全体系结构《医疗机构》，P14-P18：安全服务与安全机制的配置[S].
[3]ISO10181：1996信息技术开放系统互连开放系统安全框架[S].
[4]陈理兵，陈起燕.论医院网络应用系统的安全设计[J].福建电脑，2013（11）.
关键词：企业计算机信息网络安全风险控制方法
中图分类号：TP393文献标识码：A文章编号：1007-9416(2012)08-0217-01
随着计算机技术的不断发展，越来越多的企业运用计算机信息技术建立起自己的信息网络，以此来实现对各种资源的有效利用。但是由于计算机网络的联结形式具有多样性，而且终端分布不均匀，使得企业的计算机信息网络很容易受到黑客、恶意软件以及其他不法行为的供给，所以使得计算机信息网络系统的安全问题也受到了越来越多的重视。
1、企业计算机信息网路系统的安全风险
由于不同的企业在生产和经营方式上有着一定的差异，所以不同的企业在计算机信息网络系统的选择和使用方面，也存在着一些区别。无论是企业内部的局域网，还是外部的广域网，都存在着由于自然因素和人为因素所造成的潜在风险。因此，企业计算机信息网络系统所面临的安全风险，可以归纳为以下两个主要方面：
1.1外部风险
外部风险主要是指企业的计算机信息网络系统中，由于受到自然灾害或者是非法攻击等外部因素所造成的安全风险。在通常情况下，火灾、水灾、盗窃以及等因素都可以称之为外部风险因素，这也是造成计算机信息网络系统遭到破坏的一个主要原因，其主要的破坏层面以硬件系统的破坏为主。同时，由于使用人员非法建立的文件或者是记录，并且通过某种手段企图将他们作为有效的文件或记录，也会对企业的计算机信息网络系统造成潜在的风险。有的操作人员为了获得更多的信息，通过非法手段进入到企业的信息系统中，希望以此来达到对数据的分析和程序的利用。在计算机信息网络系统中面临的最大的威胁，主要是来自黑客的攻击，黑客的攻击主要有两种途径：第一是网络攻击，通过各种非法手段进入到企业的计算机信息系统中，企图破坏相关数据和信息的完整性。第二则是网络侦查的方式，他们不会对企业计算机信息网络系统的正常运行造成影响，而是通过窃取、破译等方式来获得机密信息。无论是使用哪种方式，都会对企业的网络安全造成重大的危害。
1.2内部风险
内部风险一般只是指计算机信息网络系统在正常运行过程中所存在的风险，这往往是由系统本身的特性所决定的。一般常见的内部风险主要有：操作人员的安全意识不强，登陆系统的账号和口令等随意转接给他人，没有访问权限的人员进入到企业计算机系统中会造成网络安全风险的产生；由于计算机软件本身不可避免的存在着一些漏洞，这些漏洞的存在也会成为黑客攻击的首选目标。有的软件中留有“后门”，通常都是由软件开发公司留下的，一般不为外人所知。一旦后门遇到攻击，将会造成无法估量的后果。另外，防火墙等产品自身的安全等级如果达到不到信息安全的等级要求，也会对系统的安全产生一定的威胁。
2、企业信息网络系统的风险控制方法
只有对企业计算机网络系统的安全风险进行科学的分析，才能够采取有针对性的措施，对于不同的风险类型采取相对应的风险控制方法。为了有效的保证计算机信息网络系统的安全性，就要从信息的产生到消亡的整个过程进行严密的监控，形成完整的数据控制方法，达到对系统安全风险的控制。
2.1数据信息的输入和传输
在企业进行信息系统的输入阶段，为了保证数据的正确性和合法性，一般可以通过加密技术对要传输的数据进行加密，然后再通过网络进行传输，这样则能够避免信息在传输的过程中遭到篡改或者是窃取，从而保证企业信息的安全性，当前常用的加密方法有很多，可以根据实际的情况采用文件加密或者是文件夹加密等方式。
2.2数据信息的接收与处理
当企业受到由外部传输而获得的需要处理的订单信息时，需要利用预编程序质量对于该信息进行处理和控制，处理完成后的信息再次输出时，便可以将信息输出到企业所运用的如磁盘、交卷等信息媒介，这时惬意应当关注的是对获得的信息数据的安全性进行控制。如果需要对信息使用过程中产生的数据进行存储，则需要控制用户对数据的使用情况，同时也应当掌握用户对数据的存储状况，这也是对计算机信息网络风险控制十分必要的一环。
2.3结果数据信息的保存和处理
这是风险控制的最后一环．即对数据使用过后的处置，如存储的方法和地址、保存的时间和清除等。有些用户不再使用的数据应妥善处理．防止被一些人当做“废物”加以利用，即对这些被废弃的信息加以研究，获得有用信息，这对系统的安全构成一种威胁。
2.4网络管理和安全管理
上述风险控制方法在计算机风险控制中起着重要的作用，与此同时，我们也需要一个良好的管理平台，确保计算机设备的各项功能获得有充分的发挥。网络管理对于网络资源的最优化、监控和有效利用是至关重要的。
3、结语
随着计算机网络在现代企业中的应用越来越广泛，计算机信息网络安全问题也受到了更多的重视。企业计算机信息系统共安全保护是一项复杂的工作，不仅要保护计算机本身的设备安全，同时更要注重对计算机内部信息和数据的保护，因此，我们应当从多个方面对企业计算机信息系统的安全风险进行客观的分析，并且采取有针对性的控制措施，以此来保证企业计算机信息网络安全系统的安全性，保证企业信息和数据的安全性。
参考文献
[1]祝峰.如何构建安全的企业信息网络[J].网络安全技术与应用,2010(04).
[2]张希武,陈宇.全面提升企业信息网络整体安全防护水平[J].网络与信息,2011(10).
[3]王旭东,王萍韵.谈如何建立企业计算机信息网络运行管理体系[A].2002安徽省电力工业计算机应用学术会议[C],2002.
摘要：随着信息的发展，网络安全问题已经引起越来越多人的关注。而校园网作为学校重要的基础设施，担当着学校教学、科研、管理和对外交流等许多角色。随着校园网应用的深入，校园网上各种数据急剧增加，结构性不断提高，用户对网络性能要求的不断提高，网络安全也逐步成为网络技术发展中一个极为关键的任务。从分析校园网信息安全需求入手，就校园网络系统控制安全措施提出笔者的几点浅见。
关键词：网络安全安全需求措施
1校园网的概念
简单地说，校园网络是“校校通”项目的基础，是为学院教师和学生提供教学，科研等综合信息服务的宽带多媒体。根据上述要求，校园网必须是一个宽带，互动功能和高度专业化的局域网络。
2校园网的特点
校园网的设计应具备以下特点：
1）提供高速网络连接；2）满足复杂的信息结构；3）强大的可靠性和安全性保证；4）操作方便，易于管理；5）提供可运营的特性；6）经济实用。
3校园网络系统信息安全需求
3.1用户安全
用户安全分成两个层次即管理员用户安全和业务用户安全。
1）管理员用户拥有校园网的最高执行权限，因此对信息系统的安全负有最大的执行责任。应该制定相应的管理制度，例如对管理员的政治素质和网络信息安全技术管理的业务素质，对于涉及到某大学的网络安全策略配置、调整、审计信息调阅等重要操作，应实行多人参与措施等等。
2）业务用户必须在管理员分配的权限内使用校园网资源和进行操作，严禁超越权限使用资源和泄露、转让合法权限，需要对业务人员进行岗前安全培训。
3.2网络硬环境安全
通过调研分析，初步定为有以下需求：
1）校园网与教育网的网络连接安全二需要在连接处，对进/出的数据包进行访问控制与隔离，重点对源地址为教育网，而目的地址为某大学的数据包进行严格的控制。2）校园网中，教师/学生宿舍网络与其他网络连接的网络安全。3）校园网中，教学单位网络与其他网络的网络连接安全。4）校园网中，行政办公网络与其他网络的网络连接安全。5）校园网中，网络管理中心网络与其他网络的网络连接安全。6）校园网中，公众服务器所在的网络与其他网络的网络连接安全。7）各个专用的业务子网的安全，即按信息的敏感程度，将各教学单位的网络和行政办公网络划分为多个子网，例如：专用业务子网（财务处、教务处、人事部等）和普通子网，对这些专用业务子网提供网络连接控制。
3.3网络软环境安全
网络软环境安全即校园网的应用环境安全。对于一些涉及到有敏感信息的业务专用网，如：财务处、教务处、人事处等等，必须确保这些子网的信息安全，包括：防病毒、数据备份与灾难恢复、规范网络通信秩序、对保存有敏感信息的重要服务器软/硬件资源进行层次化监控，防止敏感信息被窃取。
3.4传输安全
数据的传输安全，主要是指校园网内部的传输安全、校园网与教育网之间的数据传输安全以及校园网与老校区之间的数据传输安全。
4校园网络系统控制安全措施
4.1通过使用访问控制及内外网的隔离
访问控制体现在如下几个方面：
1）要制订严格的规章管理制度：可制定的相应：《用户授权实施细则》、《口令字及账户管理规范》、《权限管埋制度》。例如在内网办公系统中使用的用户登录及管理模块就是基于这些制度创建。
关键词：电子档案；网络安全；档案管理
1电子档案网络安全及存在的问题
1.1网络安全
网络安全包括物理层安全、网络层安全、操作系统安全，以及应用平台安全。物理层安全主要是防止对物理通路的窃听、损坏、干扰和攻击；链路层安全则是要保证信息在传输过程中不被窃听；网络层安全强调严格按权限为使用者服务、保证网络路由正确，并能有效抵御拦截和监听。操作系统安全是为保证用户资料、操作系统访问控制的安全，对操作系统上的应用进行审计；应用平台安全是保证应用软件服务器、数据库服务器、电子邮件服务器、WEB服务器等设备和软件环境的安全；而应用系统安全，即是面向应用平台提供的安全服务。
1.2电子档案网络安全存在的问题
按照带来安全隐患行为的目的性，网络安全隐患可以分为两类，无意识行为和有意识行为。前者包括计算机管理员对计算机的安全配置不当造成的安全漏洞，或是由于安全意识不够引发的用户口令选择不慎等。后者带有很强的反向目的性，是计算机网络所面临的最大威胁。电子档案安全威胁形式包含：计算机病毒、黑客攻击、系统或软件的漏洞和“后门程序”以及由于网络自身缺乏相应的安全机制而对电子档案信息的真实性、完备性、安全性的潜在威胁。
2电子档案网络安全管理体系
2.1一般安全管理体系
包括物理安全措施和计算机及网络访问控制措施，前者主要是验证用户的身份和使用权限、防止用户越权操作，从而确保计算机系统有一个良好的电磁兼容工作环境。后者可以保证网络资源不被非法使用和访问。它也是维护网络系统安全、保护网络资源的重要手段，该措施又包含三个层级。
2.1.1第一层级控制
（1）入网访问控制。通过用户名、用户口令的识别和验证、用户账号的缺省限制检查控制能够登录到服务器并获取网络资源的用户，控制准许用户入网的时间和工作站，只有通过合法验证用户才能进入，否则被拒绝。
（2）网络权限控制。用户和用户组被赋予一定的权限，网络控制用户和用户组可以访问哪些目录、子目录、文件和其他资源，也可以指定用户对这些文件、目录、设备能够执行哪些操作。
2.1.2第二层级控制
（1）属性控制。网络系统管理员应给文件、目录及网络设备等指定访问属性。属性安全控制可以将给定的属性、网络服务器的文件、目录和网络设备联系起来。网络上的资源都应预先标出一组安全属性，用户对网络资源的访问权限对应一张访问控制表，用以表明用户对网络资源的访问能力。
（2）目录级控制。允许控制用户对目录、文件、设备的访问。用户在目录一级指定权限，包括读写、修改、删除、查找、存取等权力，也可以进一步指定对目录下的子目录和文件的权限。
2.1.3第三层级控制
（1）网络服务器控制。允许在服务器控制台上执行一系列操作，比如：装载和卸载模块，安装和删除软件等。网络服务器的安全控制主要表现为设置口令锁定服务器控制台，以防止非法用户修改、删除重要信息或破坏数据。
（2）网络监测和锁定控制。网络管理员应对网络实施监控，服务器记录用户对网络资源的访问，对非法的网络访问，以图形或文字或声音等形式报警，以引起网络管理员的注意；当非法访问的次数达到设定数值，自动锁定该账户用户。
（3）网络端口控制。对服务器端和用户端采取控制，对用户的身份进行验证之后，才允许其进入用户端。然后，用户端和服务器端再进行相互验证，以充分保证安全。
2.2网络安全管理体系
2.2.1第一层级控制
主要是指档案信息管理系统防火墙。最常采用的技术是数据包过滤，即根据数据包的源地址、目的地址、TCP端口令或其组合来综合判断，在满足逻辑条件下予以通过，从而阻止对信息资源的非法访问。
2.2.2第二层级控制
（1）档案共享、交换信息加密。要在发收两端用软件进行加、解密工作。在指定的用户或网络通过密钥支持解除密码而获得原始数据。具体来说，通信双方交换彼此密钥，并存放在安全处，需给对方发信息时，用密钥进行加密，在收到数据后，用对方的密钥解密。
（2）档案共享、交换身份认证。通过密码体系认证、人体生理特征认证、智能粉认证等对用户身份进行认证，从而确认合法用户的身份，以使具有合法授权的用户使用档案共享、交换信息系统。
（3）档案共享、交换信息数字签名。通过密码算法对数据进行加密、解密来实现，它能提供一种安全方法，确定信息的发送者及信息本身的真实性。
参考文献
[1]米士刚.加强档案信息的网络安全保护工作[J].中国档案，2006,(7)：59.
2013年以来，重钢集团作为重庆市的大型重工业企业工控信息安全试点，进行了积极的探索和实践。研究工控系统信息安全问题，制定工控系统信息安全实施指南，建立重钢ICS工控信息安全的模拟试验中心，进行控制系统信息安全的模拟试验，采取措施提高重钢控制系统的安全防御能力，以保证重钢集团控制系统的信息安全和安全生产，尽到自己的社会责任。
1工控系统信息安全问题的由来
工业控制系统（industrycontrolsystem，以下简称ICS）信息安全问题的核心是通信协议缺陷问题。工控协议安全问题可分为两类：
1.1ICS设计时固有的安全缺失
传统的ICS采用专用的硬件、软件和通信协议，设计上注重效率、实时性、可靠性，为此放弃了诸如认证、授权和加密等需要附加开销的安全特征和功能，一般采用封闭式的网络架构来保证系统安全。工业控制网的防护功能都很弱，几乎没有隔离功能。由于ICS的相对封闭性，一直不是网络攻防研究关注的重点。
1.2ICS开放发展而继承的安全缺失
目前，几乎所有的ICS厂商都提出了企业全自动化的解决方案，ICS通信协议已经演化为在通用计算机\操作系统上实现，并运行在工业以太网上，TCP/IP协议自身存在的安全问题不可避免地会影响到相应的应用层工控协议。潜在地将这些有漏洞的协议暴露给攻击者。随着工业信息化及物联网技术的高速发展，企业自动化、信息化联网融合，以往相对封闭的ICS逐渐采用通用的通信协议、硬软件系统，甚至可以通过实时数据采集网、MES、ERP网络连接到企业OA及互联网等公共网络。传统信息网络所面临的病毒、木马、入侵攻击、拒绝服务等安全威胁也正在向ICS扩散。因此在ICS对企业信息化系统开放，使企业生产经营获取巨大好处的同时，也减弱了ICS与外界的隔离，“两化融合”使ICS信息安全隐患问题日益严峻。
2重钢ICS信息安全问题的探索
2.1重钢企业系统架构
重钢新区的建设是以大幅提升工艺技术和控制、管理水平，以科技创新和装备大型化推进流程再造为依据，降本增效、节能减排为目的来完成的。各主要工艺环节、生产线都实现了全流程智能化管控。依据“产销一体化”的思想，重钢在各产线上集成,实现“两化”深度融合，形成了一个庞大而复杂的网络拓扑结构。
2.2生产管控系统分级
管控系统按控制功能和逻辑分为4级网络：L4（企业资源计划ERP）、L3（生产管理级MES）、L2（过程控制级PCS）、L1（基础自动化级BAS）。重钢新区L1控制系统有：浙大中控、新华DCS、西门子PLC、GEPLC、MOX、施耐德和罗克威尔控制系统等。各主要生产环节L1独立，L2互联，L3和ERP是全流程整体构建。
2.3重钢企业网络架
重钢新区网络系统共分为4个层次：Internet和专线区，主干网区域，服务器区域，L2/L3通信专网区。
（1）主干网区域包括全厂无线覆盖（用于各网络点的补充接入备用）和办公终端接入，主干网区域与Internet和专线区之间通过防火墙隔离，并部署行为管理系统；
（2）主干网区域与服务器区域之间通过防火墙隔离；
（3）L2与L3之间由布置在L2网络的防火墙和L3侧的数据交换平台隔离；
（4）L2和L1之间通过L2级主机双网卡方式进行逻辑隔离，各生产线L2和L1遍布整个新区，有多种控制系统。
（5）OA与ERP和MES服务器之间没有隔离。在L2以下没有防火墙，现有的安全措施不能保证ICS的安全。
2.4ICS安全漏洞
经过分析讨论，我们认为重钢管控系统ICS可能存在以下安全问题：
（1）通信协议漏洞基于TCP/IP的工业以太网、PROIBUS,MODBUS等总线通信协议，L1级与L2级之间通信采用的OPC协议，都有明显的安全漏洞。
（2）操作系统漏洞：ICS的HMI上Windows操作系统补丁问题。
（3）安全策略和管理流程问题：安全策略与管理流程、人员信息安全意识缺乏，移动设备的使用及不严格的访问控制策略。
（4）杀毒软件问题：由于杀毒软件可能查杀ICS的部分软件，且其病毒库需要不定期的更新，故此，ICS操作站\工程师站基本未安装杀毒软件。
3重钢工控系统信息安全措施
对重钢来说，ICS信息安全性研究是一个新领域，对此，需要重点研究ICS自身的脆弱性（漏洞）情况及系统间通信规约的安全性问题，对ICS系统进行安全测试，同时制定ICS的设备安全管理措施。
3.1制定ICS信息安全实施指南
根据国际行业标准ANSI/ISA-99及IT安防等级，重钢与重庆邮电大学合作，制定出适合国内实际的《工业控制系统信息安全实施指南》（草案）。指南就ICS和IT系统的差异，ICS系统潜在的脆弱性，风险因素，ICS网络隔离技术，安全事故缘由，ICS系统安全程序开发与部署，管理控制，运维控制，技术控制等多方面进行具体的规范，并提出ICS的纵深防御战略的主要规则。并提出ICS的纵深防御战略的主要规则。ICS的纵深防御战略：
（1）在ICS从应用设计开始的整个生命周期内解决安全问题；
（2）实施多层的网络拓扑结构；
（3）提供企业网和ICS的网络逻辑隔离；
（4）ICS设备测试后封锁未使用过的端口和服务，确保其不会影响ICS的运行；
（5）限制物理访问ICS网络和设备；
（6）限制ICS用户使用特权，(权、责、人对应）；
（7）在ICS网络和企业网络分别使用单独的身份验证机制；
（8）使用入侵检测软件、防病毒软件等，实现防御工控系统中的入侵及破坏；
（9）在工控系统的数据存储和通信中使用安全技术，例如加密技术；
（10）在安装ICS之前，利用测试系统测试完所有补丁并尽快部署安全补丁；
（11）在工控系统的关键区域跟踪和监测审计踪迹。
3.2建立重钢ICS信息安全模拟试验中心
由于重钢新区企业网络架构异常复杂，要解决信息安全问题，必须对企业网络及ICS进行信息安全测试，在此基础上对系统进行加固。为避免攻击等测试手段对正在生产运行的系统产生不可控制的恶劣影响，必须建立一个ICS信息安全的模拟试验中心。为此，采用模拟在线运行的重钢企业网络的方式，构建重钢ICS信息安全的模拟试验中心。这个中心也是重钢电子的软件开发模拟平台和信息安全攻防演练平台。
3.3模拟系统信息安全的测试诊断
重钢模拟系统安全测试，主要进行漏洞检测和渗透测试，形成ICS安全评估报告。重钢ICS安全问题主要集中在安全管理、ICS与网络系统三个方面，高危漏洞占很大比重。
（1）骨干网作为内外网数据交换的节点，抗病毒能力弱、有明显的攻击路径；
（2）生产管理系统中因为网络架构、程序设计和安全管理等方面的因素，存在诸多高风险安全漏洞；
（3）L1的PLC与监控层之间无安全隔离，ICS与L2之间仅有双网卡逻辑隔离，OA和ERP、MES的网络拓扑没有分级和隔离。对外部攻击没有防御手段。虽然各部分ICS(L1）相对独立，但整个系统还是存在诸多不安全风险因素，主要有系统层缺陷、渗透攻击、缓冲区溢出、口令破解及接口、企业网内部威胁五个方面。通过对安全测试结果进行分析，我们认为攻击者最容易采用的攻击途径是：现场无线网络、办公网—HMI远程网页—HMI服务器、U盘或笔记本电脑在ICS接入。病毒最容易侵入地方是：外网、所有操作终端、调试接入的笔记本电脑。
3.4提高重钢管控系统安防能力的措施
在原有网络安全防御的基础上根据ICS信息安全的要求和模拟测试的结果，我们采取一系列措施来提高重钢管控系统的措施。
3.5安全管理措施
参照《工业控制系统信息安全实施指南》（草案），修订《重钢股份公司计算机信息网络管理制度》，针对内部网络容易出现的安全问题提出具体要求，重点突出网络安全接入控制和资源共享规范；检查所有ICS操作员\工程师站，封锁USB口，重新清理所有终端，建立完整的操作权限和密码体系。封锁大部分骨干网区的无线接入，增加现场无线设备的加密级别。
3.6系统加固措施
3.6.1互联网出口安全防护第一层：防火墙——在原来配置的防火墙上，清理端口，精确开放内部服务器服务端口，限制主要网络木马病毒入侵端口通讯；第二层：行为管理系统——对内外通讯的流量进行整形和带宽控制，控制互联网访问权限，减少非法的互联网资源访问，同时对敏感信息进行控制和记录；第三层：防病毒系统——部署瑞星防毒墙对进出内网的网络流量进行扫描过滤，查杀占据绝大部分的HTTP、FTP、SMTP等协议流量，净化内网网络环境；
3.6.2内网（以太网）安全部署企业版杀毒系统、EAD准入控制系统(终端安装)，进行交换机加固，增加DHCP嗅探功能，拒绝非法DHCP服务器分配IP地址，广播风暴抑制。
3.6.3工业以太网安全L1级安全隔离应考虑ICS的特点：
（1）PLC与监控层及过程控制级一般采用OPC通讯，端口不固定。因此，安全隔离设备应能进行动态端口监控和防御。
（2）工控系统实时性高，要求通信速度快。因此，为保证所处理的流量较少，网络延时小，实时性好，安全隔离设备应布置在被保护设备的上游和控制网络的边缘。图3安全防御技术措施实施简图经过多方比较，现采用数据采集隔离平台和智能保护平台。在PLC采用终端保护，在L1监控层实现L1区域保护，在PCS与MES、ERP和OA之间形成边界保护。接着考虑增加L1外挂监测审计平台和漏洞挖掘检测平台。
3.6.4数据采集隔离平台在L1的OPC服务器和实时数据库采集站之间实现数据隔离，采用数据隔离网关+综合管理平台实现：动态端口控制，白名单主动防御，实时深度解析采集数据，实时报警阻断。
3.6.5智能保护平台快速识别ICS系统中的非法操作、异常事件及外部攻击并及时告警和阻断非法数据包。多重防御机制：将IP地址与MAC地址绑定，防止内部IP地址被非法盗用；白名单防御机制：对网络中所有不符合白名单的安全数据和行为特征进行阻断和告警，消除未知漏洞危害；黑名单防御机制：根据已知漏洞库，对网络中所有异常数据和行为进行阻断和告警，消除已知漏洞危害。边界保护：布置在L1边界，监控L1网络中的保护节点和网络结构，配置信息以及安全事件。区域保护：布置在L1级ICS内部边界，防御来自工业以太网以外及ICS内部其他区域的威胁。终端保护：布置在终端节点，防御来自外部、内部其他区域及终端的威胁。综合管理平台：通过对所在工控网络环境的分析，自动组合一套规则与策略的部署方案；可将合适的白名单规则与漏洞防护策略下发部署到不同的智能保护平台。
4结束语