本發(fā)明涉及信息系統(tǒng)群的安全防護，具體涉及一種信息系統(tǒng)群的封裝管控安全防護方法。

背景技術(shù)：

在大型企業(yè)中，經(jīng)過近二十年來的信息化建設(shè)，目前擁有數(shù)量龐大的信息化系統(tǒng)，這些系統(tǒng)由于相互關(guān)聯(lián)而形成信息系統(tǒng)群。這些數(shù)量龐大的承載著企業(yè)核心業(yè)務(wù)數(shù)據(jù)、管理數(shù)據(jù)、運營數(shù)據(jù)的核心系統(tǒng)，隨著網(wǎng)絡(luò)和企業(yè)的發(fā)展，已不可避免地直接或間接暴露在互聯(lián)網(wǎng)上。

由于當初信息安全防護意識的不足，這些將安全主要建立在網(wǎng)絡(luò)封閉性上的存量系統(tǒng)，在互聯(lián)網(wǎng)日益普及和信息安全形勢日益嚴峻的環(huán)境下，這些系統(tǒng)群就顯得非常脆弱。

目前傳統(tǒng)的系統(tǒng)防護方法，是從主機層面、網(wǎng)絡(luò)層面等對各個獨立的單系統(tǒng)進行防護。這種防護方法的不足主要體現(xiàn)在：

1、各系統(tǒng)在網(wǎng)絡(luò)、應(yīng)用、管理等各方面手段，各自分散負責(zé)安全管控，無法形成防護合力；

2、由于系統(tǒng)數(shù)量多、關(guān)聯(lián)復(fù)雜，導(dǎo)致安全管理的復(fù)雜度、工作量驚人，可實施可操作性低，因此往往百密一疏，實施效果較差；

3、分散系統(tǒng)的分散管控，由于采取枚舉方法，防護手段的邏輯嚴密性不足，往往難以準確評估真實安全水平。

因而當面臨數(shù)量眾多的存量信息系統(tǒng)群的安全防護問題時，對企業(yè)來說是一個巨大難題。

技術(shù)實現(xiàn)要素：

針對現(xiàn)有技術(shù)的上述缺陷和問題，本發(fā)明所要解決的技術(shù)問題是現(xiàn)有信息系統(tǒng)的安全防護比較復(fù)雜，信息系統(tǒng)的防護效率不高。

為了達到上述目的，本發(fā)明提供如下技術(shù)方案：

一種信息系統(tǒng)群的封裝管控安全防護方法，包括以下步驟：

S1、網(wǎng)絡(luò)安全區(qū)域劃分管理：根據(jù)安全級別和功能，將網(wǎng)絡(luò)從邏輯上分為五種區(qū)域，五種區(qū)域為核心系統(tǒng)區(qū)、安全控制區(qū)、第三方接口區(qū)、公網(wǎng)接入?yún)^(qū)、辦公終端區(qū)，各區(qū)域之間相對獨立，禁止自由訪問，只能通過指定方式和指定端口進行受控訪問；

S2、系統(tǒng)群封裝管理：第一步對各系統(tǒng)及其子系統(tǒng)進行分級，首先按重要性維度進行評估分類，再從系統(tǒng)網(wǎng)絡(luò)環(huán)境要求維度進行分類，第二步對系統(tǒng)群進行封裝，根據(jù)重要性和網(wǎng)絡(luò)暴露要求，將各系統(tǒng)及其子系統(tǒng)分別相應(yīng)部署在上述五種區(qū)域進行封裝；

S3、系統(tǒng)間互聯(lián)管理：對于部署于核心系統(tǒng)區(qū)內(nèi)的系統(tǒng)、子系統(tǒng)、主機間的互聯(lián)，不改變原有的互聯(lián)關(guān)系，自由互聯(lián)，對于核心系統(tǒng)區(qū)與第三方的互聯(lián)，則將接口系統(tǒng)納入第三方接口區(qū)進行管理；

S4、系統(tǒng)群管控：對系統(tǒng)群封裝后的每個邏輯網(wǎng)絡(luò)區(qū)域，定義安全管理標準化基類規(guī)則；

S5、訪問通道封裝：通過部署在安全控制區(qū)的4A系統(tǒng)或類似功能的系統(tǒng)，用堡壘機的方式作為運維人員對核心數(shù)據(jù)和核心系統(tǒng)的訪問通道；

S6、訪問通道管控：訪問通道封裝之后，在此基礎(chǔ)上實施多種管控策略，以及對各種資源的訪問行為進行審計記錄與分析，所述管控策略包括賬號權(quán)限集中管理、訪問控制管理、敏感操作管理。

上述技術(shù)方案中，在步驟S1中，所述核心系統(tǒng)區(qū)視情況設(shè)立一個或多個。

上述技術(shù)方案中，在步驟S2中，從系統(tǒng)網(wǎng)絡(luò)環(huán)境要求維度進行分類，分為：不暴露、企業(yè)內(nèi)網(wǎng)局部暴露、公共網(wǎng)絡(luò)暴露。

上述技術(shù)方案中，在步驟S2中，根據(jù)重要性和網(wǎng)絡(luò)暴露要求，將承載核心系統(tǒng)數(shù)據(jù)和應(yīng)用的主機、存儲系統(tǒng)部署于網(wǎng)絡(luò)核心系統(tǒng)區(qū)，將4A系統(tǒng)和其他全局性安全產(chǎn)品部署于安全控制區(qū)，將與合作伙伴互聯(lián)的交互接口部署于第三方接口區(qū)，將對公共網(wǎng)絡(luò)開放的應(yīng)用部署于公網(wǎng)接入?yún)^(qū)，將企業(yè)內(nèi)網(wǎng)辦公終端部署于辦公終端區(qū)。

上述技術(shù)方案中，在步驟S4中，所述安全管理標準化基類規(guī)則包括各區(qū)的網(wǎng)絡(luò)規(guī)則、訪問限制規(guī)則、信息受控規(guī)則以及區(qū)間流動規(guī)則。

本發(fā)明提出了對信息系統(tǒng)群進行封裝管控的安全防護方法，本方法通過將信息系統(tǒng)群、訪問通道進行封裝，并施加相應(yīng)的管控策略，實現(xiàn)對系統(tǒng)群立體的精細化的安全防護。

附圖說明

為了更清楚地說明本發(fā)明實施例或現(xiàn)有技術(shù)中的技術(shù)方案，下面將對實施例或現(xiàn)有技術(shù)描述中所需要使用的附圖作簡單地介紹，顯而易見地，下面描述中的附圖僅僅是本發(fā)明的一些實施例，對于本領(lǐng)域普通技術(shù)人員來講，在不付出創(chuàng)造性勞動性的前提下，還可以根據(jù)這些附圖獲得其他的附圖。

圖1為本發(fā)明的系統(tǒng)群封裝與管控示意圖；

圖2為本發(fā)明的訪問通道封裝與管控示意圖。

具體實施方式

下面將結(jié)合本發(fā)明的附圖，對本發(fā)明的技術(shù)方案進行清楚、完整地描述，顯然，所描述的實施例僅僅是本發(fā)明一部分實施例，而不是全部的實施例?；诒景l(fā)明中的實施例，本領(lǐng)域普通技術(shù)人員在沒有作出創(chuàng)造性勞動前提下所獲得的所有其他實施例，都屬于本發(fā)明保護的范圍。

本發(fā)明提出了對信息系統(tǒng)群進行封裝管控的安全防護方法。本方法通過將信息系統(tǒng)群、訪問通道進行封裝，并施加相應(yīng)的管控策略，實現(xiàn)對系統(tǒng)群立體的精細化的安全防護。

本發(fā)明提出的封裝管控方法，包括系統(tǒng)群的封裝與管控、訪問通道的封裝與管控。系統(tǒng)群封裝與管控，是通過各種手段的統(tǒng)籌協(xié)調(diào)，化零為整，大幅度簡化安全防護的對象。具體包括網(wǎng)絡(luò)安全區(qū)域劃分管理、系統(tǒng)群封裝管理、系統(tǒng)間互聯(lián)管理、管控規(guī)則管理；訪問通道的封裝與管控，解決的主要問題是系統(tǒng)后臺運行維護人員如何合法地訪問和維護被封裝的系統(tǒng)群，以及在訪問過程中對他們的行為進行有效的策略管控。

根據(jù)圖1、圖2所示，作為實施例所示的一種信息系統(tǒng)群的封裝管控安全防護方法包括以下步驟：

S1、網(wǎng)絡(luò)安全區(qū)域劃分管理：根據(jù)安全級別和功能，將網(wǎng)絡(luò)從邏輯上分為五種區(qū)域，五種區(qū)域為核心系統(tǒng)區(qū)、安全控制區(qū)、第三方接口區(qū)、公網(wǎng)接入?yún)^(qū)、辦公終端區(qū)，核心系統(tǒng)區(qū)視情況設(shè)立一個或多個，各區(qū)域之間相對獨立，禁止自由訪問，只能通過指定方式和指定端口進行受控訪問。網(wǎng)絡(luò)分區(qū)的目的，一是為系統(tǒng)群封裝做準備，二是大大簡化網(wǎng)絡(luò)層安全的管理模式和難度。

S2、系統(tǒng)群封裝管理：第一步對各系統(tǒng)及其子系統(tǒng)進行分級，首先按重要性維度(一般為高、中、低)進行評估分類，再從系統(tǒng)網(wǎng)絡(luò)環(huán)境要求維度進行分類，分為：不暴露、企業(yè)內(nèi)網(wǎng)局部暴露、公共網(wǎng)絡(luò)暴露；第二步對系統(tǒng)群進行封裝，根據(jù)重要性和網(wǎng)絡(luò)暴露要求，將各系統(tǒng)及其子系統(tǒng)分別相應(yīng)部署在上述五種區(qū)域進行封裝。根據(jù)重要性和網(wǎng)絡(luò)暴露要求，將承載核心系統(tǒng)數(shù)據(jù)和應(yīng)用的主機、存儲系統(tǒng)，部署于網(wǎng)絡(luò)核心系統(tǒng)區(qū)；將4A(4A是指：認證Authentication、賬號Account、授權(quán)Authorization、審計Audit，中文名稱為統(tǒng)一安全管理平臺解決方案。即將身份認證、授權(quán)、審計和賬號定義為網(wǎng)絡(luò)安全的四大組成部分，從而確立了身份認證在整個網(wǎng)絡(luò)安全系統(tǒng)中的地位與作用)等全局性安全產(chǎn)品，部署于安全控制區(qū)；將與合作伙伴互聯(lián)的交互接口，部署于第三方接口區(qū)；將對公共網(wǎng)絡(luò)開放的應(yīng)用，部署于公網(wǎng)接入?yún)^(qū)；將企業(yè)內(nèi)網(wǎng)辦公終端部署于辦公終端區(qū)。這樣部署后，核心系統(tǒng)的數(shù)據(jù)與應(yīng)用，被封裝于核心系統(tǒng)區(qū)，除固定的應(yīng)用界面對應(yīng)的端口外，即使對于內(nèi)網(wǎng)其他區(qū)域也是不可見的。

S3、系統(tǒng)間互聯(lián)管理：企業(yè)內(nèi)部系統(tǒng)間、各子系統(tǒng)間、系統(tǒng)各主機間，會存在大量的互聯(lián)需求，甚至可以說，沒有互聯(lián)很多系統(tǒng)就不復(fù)存在。這些互聯(lián)往往因歷史原因存續(xù)很長時間，關(guān)系復(fù)雜。對于部署于核心系統(tǒng)區(qū)內(nèi)的系統(tǒng)、子系統(tǒng)、主機間的互聯(lián)，由于都處于對外不可見的封閉狀態(tài)，可以不改變原有的互聯(lián)關(guān)系，自由互聯(lián)。對于與第三方的互聯(lián)，則需要將接口系統(tǒng)納入第三方接口區(qū)進行管理，這涉及一些調(diào)整工作。如果新建系統(tǒng)，第三方接口在應(yīng)用層，需自定義專用接口并采取防護措施，以提升接口自身安全性。

S4、系統(tǒng)群管控：對系統(tǒng)群封裝后的每個邏輯網(wǎng)絡(luò)區(qū)域，定義安全管理標準化基類規(guī)則。安全管理標準化基類規(guī)則包括各區(qū)的網(wǎng)絡(luò)規(guī)則、訪問限制規(guī)則、信息受控規(guī)則以及區(qū)間流動規(guī)則。實際中各分區(qū)的安全管理規(guī)則和直接引用基類，也可以在其基礎(chǔ)上進行擴展，但不能違反基類中的基本原則。這樣，通過分區(qū)的標準化規(guī)則基類設(shè)定，一方面為不同分區(qū)設(shè)定了安全原則邊界，為同類分區(qū)提供了標準統(tǒng)一的安全管理標準；另一方面也可以為各分區(qū)的安全管理提供簡化的、統(tǒng)一的模式。

例如，核心系統(tǒng)區(qū)，可以定義這樣的基類規(guī)則：對區(qū)外限制訪問，在網(wǎng)絡(luò)層對外關(guān)閉所有端口，阻斷所有協(xié)議通過；對區(qū)內(nèi)，系統(tǒng)之間自由互聯(lián)。這樣，在缺省情況下，核心系統(tǒng)區(qū)在網(wǎng)絡(luò)層面就會自我封閉成一個信息孤島。有訪問需求時，則需要通過訪問通道的封裝管控進行策略管理。

S5、訪問通道封裝：在分區(qū)封裝的基礎(chǔ)上，核心數(shù)據(jù)、核心應(yīng)用處于核心系統(tǒng)區(qū)，由于這種封裝區(qū)隔，核心系統(tǒng)區(qū)資源除個別固化界面的端口外，對企業(yè)內(nèi)網(wǎng)及外網(wǎng)均不可見。但日常運行維護人員、數(shù)據(jù)分析人員均工作在辦公終端區(qū)，需要對核心系統(tǒng)區(qū)內(nèi)的系統(tǒng)和數(shù)據(jù)進行維護或訪問。因此，需要提供一種訪問手段給運行維護或分析人員，這時需要對這些訪問通道進行封裝集成，集中管控。實踐中，可以通過部署在安全控制區(qū)的4A系統(tǒng)(或類似功能的系統(tǒng))，用堡壘機的方式作為運維人員提供對核心數(shù)據(jù)和核心系統(tǒng)的訪問通道。

S6、訪問通道管控：訪問通道封裝之后，在此基礎(chǔ)上實施多種管控策略，以及對各種資源的訪問行為進行審計記錄與分析，管控策略包括賬號權(quán)限集中管理、訪問控制管理、敏感操作管理。

本方法的基礎(chǔ)是封裝，核心是管控，通過封裝帶來簡化、可行性，通過管控帶來事中的安全控制力和事后的安全追溯能力。通過本發(fā)明，將復(fù)雜的系統(tǒng)群封裝成一個整體，并將訪問通道進行封裝，集中進行管控，可極大地降低信息系統(tǒng)的安全防護的復(fù)雜度，極大地提升信息系統(tǒng)的防護效率效果，并且可以使系統(tǒng)群的防護達成一種邏輯上的嚴密性。

本發(fā)明提出的基于封裝管控的系統(tǒng)群防護方法，通過對信息系統(tǒng)群進行封裝、對訪問通道進行封裝，并在封裝的基礎(chǔ)上施以控管策略，實現(xiàn)了將信息系統(tǒng)群合零為整，成數(shù)量級地將管理對象的數(shù)量減少到屈指可數(shù)的范圍，極大地減少了管理難度，極大地減少了安全風(fēng)險點，可操作性強，實現(xiàn)難度相對較小。本方法可對信息系統(tǒng)群形成一種立體的安全防護體系，從而達成一種邏輯上可預(yù)見的安全效果。

以上所述，僅為本發(fā)明的具體實施方式，但本發(fā)明的保護范圍并不局限于此，任何熟悉本技術(shù)領(lǐng)域的技術(shù)人員在本發(fā)明揭露的技術(shù)范圍內(nèi)，可輕易想到變化或替換，都應(yīng)涵蓋在本發(fā)明的保護范圍之內(nèi)。因此，本發(fā)明的保護范圍應(yīng)所述以權(quán)利要求的保護范圍為準。