安全域,让企业更安全

划分安全域,建立基于安全域的信息安全防御体系,可以提高企业的信息安全保障能力,使信息系统更加安全可靠地运行。

社会信息化建设逐步深入,各行各业对信息系统的依赖程度正在不断提高,信息系统对业务的支撑作用更加明显。企业必须保护这些对其发展壮大至关重要的信息资产。由于入侵、破坏信息系统的事件每天都在发生,加上对于Internet危险地带的认知不断加深,企业对信息安全的需求前所未有地高涨起来。对于企业而言,安全问题已经不再遥不可及,而是开始在自己身边出现。安全漏洞会大大降低企业的市场价值,威胁到企业的生存,即使最小的漏洞也能将企业的名誉、客户的隐私信息和知识产权置于危险之中。

如何提高企业的信息安全保障能力,确保信息系统安全且可靠地运行,已经成为企业亟待解决的问题。

划分安全域

当我们面对一个庞大而复杂的信息系统时,单独对每项信息资产确定保护方法是非常复杂的工作,常常由于疏忽或错误导致安全漏洞。但是,将整个系统作为一个安全等级来防护,会出现没有防范层次和防范重点、对内部风险的控制能力不够等问题。因此,人们提出了分域的安全防护思路,即:科学地进行区域的划分,每个区域具有基本相同的安全特性,如安全级别、安全威胁、风险等,依据这些特性,将信息资产归入不同的域中,实施不同的安全保护。这种安全防护思路实际上是基于“同构性简化”的理念提出的,它将复杂的环境归结成若干个简单“单元”的组合,归入同一安全域内的信息系统共享相同的安全防护手段,大规模复杂系统的安全问题转化为若干个较小区域的安全保护问题,最终可以实现对所有信息系统的全方位、分层次的有效保护。

通过对业务系统的分析,可以把安全域划分为安全用户域、安全网络域、业务服务域、基础保障域:

安全用户域是对访问业务服务域的各类客户端和维护终端的划分,是风险子域,需要建立桌面安全标准,加强认证、防病毒与审计;

安全网络域包括安全域的网络设备和网络拓扑,是信息承载子域,需要保障网络性能,进行域间安全隔离与边界防护;

业务服务域是安全域的核心子域,是对业务服务器、数据库等重要应用的划分,需要重点防护病毒攻击、信息窃取与篡改、误操作数据丢失等行为;

基础保障域提供统一的安全服务,包括身份认证、安全管理、策略管理、补丁管理等服务。

建立纵深防御体系

依据安全域划分原则,同一安全域拥有相同的安全等级和属性,域内是相互信任的,安全风险主要来自不同的安全域互访,需要加强安全域边界的安全防护。

相同级别安全域之间的安全等级相同,主要考虑的是域间安全隔离和可信互访。从业务角度出发划分安全域,如在用户支撑网络中将办公管理系统、人力资源管理系统、财务管理系统等划分为不同的安全域。为了防止单点安全事件扩散到整个网络,如人力资源系统出现问题时,应进行安全隔离,避免其对办公管理、财务等系统造成影响。

不同级别安全域之间的互访会带来较大的安全风险,是网络安全防护的重点。安全用户域是风险子域,用户同时访问互联网资源和业务服务域是网络中面临的主要风险。通过认证授权和安全策略的检查,对终端的信息系统访问权限进行控制,只有通过认证和安全策略检测的终端才拥有一定的信息系统访问权限,没有通过的终端无法访问信息系统、甚至不能接入网络,从而将安全风险阻挡在网络接入的边缘,最大限度地保护了业务服务域中核心业务系统的安全(见图1)。

在安全域划分的基础上,根据纵深防御思想,保障安全系统设计的广度和深度,促进建立全面、综合、高效的信息安全保障体系:在广度上要求从网络架构、操作系统、应用系统、数据库系统等各个层面考虑安全系统的建设;在深度上要求分层次地、由外而内地(从网络边界、内部网络,到核心服务器乃至桌面PC)考虑安全体系建设的规划。

基于安全域的纵深防御系统是将安全划分和防护的理念与纵深防御理论结合,构建一个多维、多层的信息安全防御系统。同时,信息系统安全是“三分技术、七分管理”,在加强安全防护技术的前提下,必须得到高级管理层的高度重视和密切配合,必须制定一系列的安全管理制度,并保障其有效落实。信息系统安全建设是一个长期的、不断完善的过程,需要随时研究、评估新的威胁带来的安全风险,并针对安全风险,将控制措施不断地整合到信息安全系统中进行更新,提高信息系统安全。