某石油管理局網(wǎng)絡(luò)對(duì)應(yīng)用系統(tǒng)的支持規(guī)范

PAGEPAGE５某某石油管理局企業(yè)標(biāo)準(zhǔn)網(wǎng)絡(luò)對(duì)應(yīng)用系統(tǒng)的支持標(biāo)準(zhǔn)１適用范圍某某油田各級(jí)單位２標(biāo)準(zhǔn)解釋權(quán)?本規(guī)定適用于某某油田管理局信息平安管理中心和下屬各單位中心機(jī)房。３網(wǎng)絡(luò)對(duì)應(yīng)用系統(tǒng)支持概述：網(wǎng)絡(luò)為用戶數(shù)據(jù)流的傳輸和獲得用戶信息而提供一種傳輸機(jī)制。網(wǎng)絡(luò)和支持它的根底設(shè)施必須防止阻礙用戶信息傳輸?shù)木芙^效勞攻擊。支撐性根底設(shè)施可以是管理系統(tǒng)或者其他任何支持網(wǎng)絡(luò)運(yùn)行的系統(tǒng)。網(wǎng)絡(luò)支持三種不同的數(shù)據(jù)流：用戶、控制和管理。用戶通信流就是簡(jiǎn)單的在網(wǎng)上傳輸用戶信息。網(wǎng)絡(luò)有責(zé)任分割用戶通信流。必須維護(hù)單個(gè)用戶連結(jié)的隔離,以確?？尚刨嚨陌l(fā)出信息?？刂仆ㄐ帕魇菫榱私⒂脩暨B結(jié)而在所必備的網(wǎng)絡(luò)組件之間傳送的任意信息?？刂仆ㄐ帕饔梢粋€(gè)信令協(xié)議提供，包括編址、路由信息和發(fā)信令。網(wǎng)絡(luò)根底設(shè)施的正確編址是用戶通信流的根底,它確保了數(shù)據(jù)能被傳送到目的地址。管理通信流使用來(lái)配置網(wǎng)絡(luò)組件或說(shuō)明網(wǎng)絡(luò)組件狀態(tài)的信息,與其相關(guān)的協(xié)議包括簡(jiǎn)單網(wǎng)絡(luò)管理協(xié)議(SNMＰ)公共管理信息協(xié)議(CMＩP〕、超文本傳輸協(xié)議〔〕等。網(wǎng)絡(luò)管理通信流對(duì)于確保網(wǎng)絡(luò)組件沒有被非授權(quán)用戶改變非常重要。下面將從兩個(gè)方面說(shuō)明網(wǎng)絡(luò)在支持應(yīng)用系統(tǒng)平安時(shí)因該注意的地方４油田專有骨干網(wǎng)的可用性這一局部?jī)?nèi)容強(qiáng)調(diào)了改善油田骨干傳輸系統(tǒng)的可用性，使得即使在信息戰(zhàn)的攻擊下仍能夠滿足網(wǎng)絡(luò)的操作需求。骨干網(wǎng)可用性的根本要求是當(dāng)需要通過(guò)骨干網(wǎng)來(lái)完成任務(wù)時(shí)它們能夠發(fā)揮作用。以下是我們對(duì)其確定的特別需求：骨干網(wǎng)必須提供得到認(rèn)可級(jí)別的響應(yīng)、效勞連續(xù)性、通信效勞中的抗意外性和抗成心中斷效勞?！舱J(rèn)可是在網(wǎng)絡(luò)擁有者和網(wǎng)絡(luò)用戶之間達(dá)成的〕。骨干網(wǎng)不需要太多的提供用戶數(shù)據(jù)的平安效勞(比方保密性和數(shù)據(jù)完整性〕,那一般在子網(wǎng)網(wǎng)絡(luò)邊界提供。骨干網(wǎng)必須保證信息不拖延、誤傳遞或不傳遞。作為端到端的信息傳輸系統(tǒng),骨干網(wǎng)提供的效勞必須對(duì)用戶透明。作為透明需求的一局部,骨干網(wǎng)與其它骨干網(wǎng)或者本地網(wǎng)絡(luò)必須無(wú)縫連接。４.１骨干網(wǎng)平安要求訪問控制訪問控制必須能夠區(qū)分用戶對(duì)數(shù)據(jù)傳輸?shù)脑L問和管理員對(duì)網(wǎng)絡(luò)管理和控制的訪問。比方,用戶對(duì)狀態(tài)信息訪問時(shí)，必須實(shí)施比訪問配置信息更強(qiáng)的訪問控制。訪問控制必須能夠限制對(duì)網(wǎng)絡(luò)管理中心的訪問。認(rèn)證網(wǎng)絡(luò)設(shè)備必須能認(rèn)證從其它網(wǎng)絡(luò)設(shè)備外發(fā)出的所有通信的來(lái)源，比方路由信息。網(wǎng)絡(luò)設(shè)備必須認(rèn)證網(wǎng)絡(luò)管理人員的所有的連接要求。網(wǎng)絡(luò)管理系統(tǒng)必須在同意訪問之前能認(rèn)證網(wǎng)絡(luò)管理人員。網(wǎng)絡(luò)管理中心必須認(rèn)證從外網(wǎng)進(jìn)入網(wǎng)絡(luò)管理中心的所有通信源。網(wǎng)絡(luò)管理中心必須認(rèn)證制造商提供的材料的來(lái)源。網(wǎng)絡(luò)管理中心必須認(rèn)證制造商提供的軟件的來(lái)源。比方，新版本的操作系統(tǒng)必須經(jīng)相應(yīng)級(jí)別的信息平安機(jī)構(gòu)評(píng)審認(rèn)可后才能在網(wǎng)絡(luò)上使用。在所有撥號(hào)用戶進(jìn)入網(wǎng)絡(luò)管理之前,網(wǎng)絡(luò)管理中心必須認(rèn)證他們?？捎眯杂布蛙浖?比方用戶代理和效勞器)對(duì)用戶必須是可用的。效勞商必須向用戶提供高層次的系統(tǒng)可用性。保密性必須提供關(guān)鍵材料的保密性。網(wǎng)絡(luò)管理員必須提供路由信息、信令信息、網(wǎng)絡(luò)管理通信流的保密性，以保障它們的平安。完整性必須保證網(wǎng)絡(luò)設(shè)備之間通信的完整性。必須保證網(wǎng)絡(luò)設(shè)備的硬件和軟件的完整性。必須保證網(wǎng)絡(luò)設(shè)備的網(wǎng)絡(luò)管理中心之間的完整性。必須保證制造商提供的硬件和軟件的完整性。必須保護(hù)向網(wǎng)絡(luò)管理中心的撥號(hào)通信的完整性。不可否認(rèn)性網(wǎng)絡(luò)人員一定不能否認(rèn)對(duì)網(wǎng)絡(luò)設(shè)備的配置所作的改變。制造商一定不能否認(rèn)由他們提供或開發(fā)的軟硬件。４.２骨干網(wǎng)潛在的威脅網(wǎng)絡(luò)可用性的威脅主要有：可用帶寬損耗：每一個(gè)網(wǎng)絡(luò)都只有有限的帶寬。黑客的攻擊可以減少可用帶寬，使合法用戶的網(wǎng)絡(luò)資源受到限制，從而降低了網(wǎng)絡(luò)的可用性。網(wǎng)絡(luò)管理通信的破壞：本質(zhì)上,網(wǎng)絡(luò)的功能是通過(guò)通信信道將一個(gè)用戶的信息傳遞給另一個(gè)用戶。這種攻擊通過(guò)破壞通信信道,從而威脅正常的信息傳輸。網(wǎng)絡(luò)根底設(shè)施失去管理：表現(xiàn)為網(wǎng)絡(luò)根底設(shè)施失控。這時(shí)網(wǎng)絡(luò)資源可能被攻擊者利用以到達(dá)它們的目的。４.３為支持應(yīng)用骨干網(wǎng)應(yīng)當(dāng)實(shí)施的防范對(duì)于可用網(wǎng)絡(luò)帶寬的攻擊：對(duì)骨干網(wǎng)來(lái)說(shuō)，網(wǎng)絡(luò)阻塞攻擊最容易檢測(cè)但最難處理。這種攻擊有很多防御措施,如效勞代理或者介質(zhì)冗余技術(shù),他們常用于軍事,但在商業(yè)骨干網(wǎng)中較少。實(shí)施此標(biāo)準(zhǔn)時(shí)可以根據(jù)油田應(yīng)用的實(shí)際情況酌情使用。洪流攻擊能通過(guò)消耗網(wǎng)絡(luò)資源來(lái)“淹沒〞網(wǎng)絡(luò),使網(wǎng)絡(luò)通信量出現(xiàn)超負(fù)荷。通常有兩種預(yù)防措施，一是給特定的用戶優(yōu)先使用帶寬的權(quán)利,而是給每個(gè)接入點(diǎn)一定的帶寬。效勞與竊取攻擊,其危害較輕。典型的預(yù)防措施是用戶在使用該項(xiàng)業(yè)務(wù)時(shí)先進(jìn)展認(rèn)證。另外可以建立可靠的檢測(cè)技術(shù)。對(duì)于網(wǎng)絡(luò)管理通信破壞攻擊：這種類型的攻擊是專門針對(duì)骨干網(wǎng)的。有兩種預(yù)防方法。一所有的網(wǎng)絡(luò)管理信息流都產(chǎn)生于本地網(wǎng)絡(luò)之內(nèi),需要所有的外接設(shè)備都必須對(duì)進(jìn)入網(wǎng)絡(luò)的通信信息進(jìn)展檢測(cè)以防非網(wǎng)絡(luò)管理命令從外部進(jìn)入，這種措施關(guān)鍵在于建立一個(gè)平安接口；二對(duì)通信的完整性和權(quán)限進(jìn)展認(rèn)證。對(duì)于使網(wǎng)絡(luò)根底設(shè)施失控的攻擊：針對(duì)網(wǎng)絡(luò)操作員和設(shè)備之間通行的攻擊，最好的對(duì)策是提供盡量多的接入點(diǎn),允許網(wǎng)絡(luò)管理員和網(wǎng)絡(luò)根底設(shè)備之間的自由通信。直接針對(duì)網(wǎng)絡(luò)設(shè)備的網(wǎng)絡(luò)控制攻擊，有兩種可行的對(duì)策,在進(jìn)入網(wǎng)絡(luò)系統(tǒng)之前進(jìn)展嚴(yán)格認(rèn)證或者在網(wǎng)絡(luò)操作員和設(shè)備之間建立一條受保護(hù)的通道,例如加密的虛擬專用網(wǎng)絡(luò)。針對(duì)網(wǎng)管中心的攻擊,網(wǎng)絡(luò)護(hù)衛(wèi)和防火墻可以用來(lái)監(jiān)測(cè)進(jìn)入網(wǎng)管中心的通道，可防止非通信的訪問、病毒入侵和其它的網(wǎng)絡(luò)威脅。另外是在組織和流程上，實(shí)施有關(guān)的策略或者流程來(lái)支持網(wǎng)管中心的恢復(fù)和建立備份網(wǎng)管中心此外對(duì)于內(nèi)部人員的攻擊(網(wǎng)管中心的操作員、網(wǎng)絡(luò)組件的開發(fā)者和程序員惡意的攻擊或者誤操作)，最有效的對(duì)策是建立策略機(jī)制和嚴(yán)格的訪問控制。策略機(jī)制把網(wǎng)絡(luò)訪問權(quán)限分為關(guān)鍵網(wǎng)絡(luò)功能,諸如配置、維護(hù)和提供資源，以及非關(guān)鍵網(wǎng)絡(luò)功能。建立審計(jì)機(jī)制來(lái)檢查網(wǎng)絡(luò)操作的執(zhí)行。石油管理局應(yīng)當(dāng)統(tǒng)一管理骨干網(wǎng)絡(luò)，規(guī)定各應(yīng)用單位接入主干網(wǎng)絡(luò)的標(biāo)準(zhǔn)，包括防火墻配置,應(yīng)用端口的設(shè)定等；保證應(yīng)用系統(tǒng)之間的透明性。５支持公共網(wǎng)絡(luò)平臺(tái)平安的假設(shè)干技術(shù)網(wǎng)絡(luò)平臺(tái)平安指利用公共通信根底設(shè)施構(gòu)造內(nèi)聯(lián)網(wǎng)以及與國(guó)際互聯(lián)網(wǎng)和其他網(wǎng)絡(luò)連接的構(gòu)造平安。利用公共通信根底設(shè)施進(jìn)展戶外或跨地域連接的平安問題，主要解決被保護(hù)網(wǎng)絡(luò)內(nèi)的站點(diǎn)以及子網(wǎng)在與外部網(wǎng)絡(luò)連接、通信和信息交換中的訪問控制、實(shí)體鑒別和傳輸過(guò)程中的機(jī)密性、完整性問題。目前被廣泛看好的虛擬專用網(wǎng)〔ＶｉrｔuａlPrｉｖateＮetwoｒｋ〕，即VPＮ,是通過(guò)共享公共通信根底設(shè)施實(shí)現(xiàn)內(nèi)聯(lián)網(wǎng)、外聯(lián)網(wǎng)和遠(yuǎn)程用戶連接的優(yōu)化技術(shù)之一。ＶＰN的構(gòu)建在鏈路層或者網(wǎng)絡(luò)層上進(jìn)展，VＰN這種網(wǎng)絡(luò)的“專有〞或“私有〞是依靠防火墻、網(wǎng)關(guān)設(shè)備或密碼設(shè)備等的配置來(lái)維持的。因此，一般來(lái)說(shuō)VPN是一種泛稱技術(shù)，并不等于網(wǎng)絡(luò)平安，為此提出平安VＰN的概念。所謂平安的ＶPN，就是解決維持ＶＰN構(gòu)造期間通行源之間的訪問控制、鑒別以及加密傳輸?shù)膯栴},并對(duì)ＶPＮ構(gòu)造的維持具有可管理性。可見,解決了VPN的平安問題，實(shí)際上就構(gòu)成了平安的網(wǎng)絡(luò)通信平臺(tái)。５．１防火墻５．防火墻是位于內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)連接通道處的物理隔離設(shè)備，對(duì)進(jìn)出內(nèi)部網(wǎng)絡(luò)的通信和效勞進(jìn)展基于訪問控制策略的判決和反響，從而允許符合平安策略的信息流動(dòng)，而阻斷不合符平安策略的信息流動(dòng)。５.防火墻的根本功能有兩個(gè)：一是隔離，使內(nèi)部網(wǎng)絡(luò)不與外部網(wǎng)絡(luò)連接；二是訪問控制，使進(jìn)出內(nèi)部網(wǎng)絡(luò)的數(shù)據(jù)包按照平安策略有選擇的轉(zhuǎn)發(fā)。圍繞這兩個(gè)根本功能，大量與平安有關(guān)的網(wǎng)絡(luò)技術(shù)和平安技術(shù)被綜合進(jìn)防火墻中，使防火墻的功能不斷擴(kuò)展，性能不斷提高。概括的說(shuō)，功能較完善的防火墻一般具有以下特性：基于IＰ地址、TCP／IＰ協(xié)議端口號(hào)以及協(xié)議類型的過(guò)濾控制功能,一實(shí)現(xiàn)根本訪問控制；基于流狀態(tài)檢測(cè)的過(guò)濾控制功能,以實(shí)現(xiàn)更為細(xì)粒度的訪問控制；網(wǎng)絡(luò)地址轉(zhuǎn)換能力〔NＡT〕,以利用保存ＩP地址實(shí)現(xiàn)與異地網(wǎng)絡(luò)的連接,并對(duì)外部網(wǎng)絡(luò)隱藏內(nèi)部網(wǎng)絡(luò)拓?fù)湫畔?；自主可控操作系統(tǒng)平臺(tái)，以阻塞通用操作系統(tǒng)的平安漏洞；黑匣子功能,即防火墻不對(duì)除管理器以外的任何用戶和進(jìn)程提供進(jìn)入系統(tǒng)的途徑；較強(qiáng)的審計(jì)信息收集能力,并通過(guò)平安通道傳輸審查信息；告警和緊急狀態(tài)下的應(yīng)急處理能力。此外，某些針對(duì)內(nèi)部網(wǎng)絡(luò)與國(guó)際互聯(lián)網(wǎng)連接平安而專門設(shè)計(jì)的防火墻，還將用戶鑒別、應(yīng)用代理等功能集成到防火墻設(shè)備中。５.２鏈路層加密５.鏈路加密是在ＯＳI參考模型的第二層實(shí)現(xiàn)的,信息在同一鏈路的兩節(jié)點(diǎn)之間進(jìn)展雙向加/解密，當(dāng)源信息需要通過(guò)不同鏈路才能到達(dá)終點(diǎn)時(shí)，必須使用不同的鏈路密碼設(shè)備完成加／解密。５.鏈路加密在采用適當(dāng)密碼算法并在規(guī)定限期內(nèi)，可保證信息傳輸?shù)臋C(jī)密性和完整性。鏈路加密可以通過(guò)一對(duì)N的方式完成與多個(gè)節(jié)點(diǎn)的保密通信。通過(guò)鏈路加密設(shè)備，一個(gè)組織機(jī)構(gòu)或一個(gè)行業(yè)系統(tǒng)可以利用公共網(wǎng)絡(luò)將分散在各地方的網(wǎng)絡(luò)平安的連接起來(lái)形成平安ＶＰＮ。從平安ＶＰＮ的角度講，當(dāng)兩個(gè)節(jié)點(diǎn)需要通過(guò)多個(gè)鏈路時(shí)，鏈路之間會(huì)出現(xiàn)明文；進(jìn)一步,多種鏈路設(shè)備的管理和配置參數(shù)的一致性和集中管理會(huì)存在一定難度。因此，鏈路加密設(shè)備最適合于通過(guò)單一類型網(wǎng)絡(luò)構(gòu)成平安的VPN。５.３基于Ｉpseｃ的網(wǎng)絡(luò)加密５.這里所說(shuō)的網(wǎng)絡(luò)加密是指運(yùn)行在OSＩ參考模型的第三層或TＣＰ/IP模型的ＩP層上的密碼技術(shù)。就目前廣泛采用的互聯(lián)網(wǎng)技術(shù)而言,幾乎所有公共通信根底設(shè)施和效勞供給商都支持TＣP/IP有關(guān)協(xié)議標(biāo)準(zhǔn)。針對(duì)ＩP層的密碼技術(shù)運(yùn)用，國(guó)際上普遍采用事實(shí)上的工業(yè)標(biāo)準(zhǔn)——基于Ipseｃ機(jī)制的隧道模式。當(dāng)其設(shè)計(jì)網(wǎng)絡(luò)保護(hù)而不是主機(jī)保護(hù)時(shí)，均采用基于Ipｓec的ＥSP(封裝平安載荷〕隧道模式。這種工作模式采用ESP模式在網(wǎng)關(guān)處對(duì)原ＩP包或其它協(xié)議數(shù)據(jù)包進(jìn)展加密封裝后再附上ESP平安相關(guān)報(bào)頭，然后以網(wǎng)關(guān)的IＰ地址作為新的源地址通過(guò)公共網(wǎng)絡(luò)送到接收端網(wǎng)關(guān)。接收端網(wǎng)關(guān)收到該IP包后,利用EＳP平安相關(guān)信息進(jìn)展解密復(fù)原處理后將數(shù)據(jù)包遞交給目的地。很顯然，由于這里采用了與網(wǎng)絡(luò)接口層無(wú)關(guān)的IP協(xié)議，因此通過(guò)支持ＩP協(xié)議的多個(gè)互聯(lián)網(wǎng)網(wǎng)關(guān)時(shí),只需按路由遞交即可,而無(wú)需與密碼技術(shù)相關(guān)的其它轉(zhuǎn)換。５.基于Ｉpsec的網(wǎng)絡(luò)加密具有如下功能：網(wǎng)絡(luò)層加密設(shè)備具有一對(duì)N的通信能力,因此一個(gè)加密設(shè)備可與多個(gè)加密設(shè)備互連；由于加密設(shè)備處于網(wǎng)關(guān)的位置，因此可以利用訪問控制策略對(duì)明／密文傳輸要求進(jìn)展判決，從而使一些子網(wǎng)或站點(diǎn)信息通過(guò)加密隧道傳輸，而另一些內(nèi)部子網(wǎng)絡(luò)或站點(diǎn)信息不通過(guò)加密隧道傳輸,以提高網(wǎng)絡(luò)傳輸效率并防止濫用密碼技術(shù)；基于Ｉpsec的密碼設(shè)備，可通過(guò)公共網(wǎng)絡(luò)方便的構(gòu)建管理信息的平安通道，以實(shí)現(xiàn)密鑰分發(fā)、管理以及