浅析洪门水电厂信息系统网络安全（副本）.pdf

中幽水力发电工程学会信息化专委会2007年学．术交流会论文集 浅析洪门水电厂信息系统网络安全 吴建刚 (江西水电检修公司洪门分公司江西省鹰潭市南站洪电新村邮编：335000) 摘要：文中论述了江西洪门水电厂信息系统网络构成及安全部署，并就防火墙、VPN、防病毒及 内网安全作以分析，针对洪门水电厂的网络，论述了其安全体系的构成。 关键词：信息系统网络安全防火墙防病毒VPN技术 1．网络系统概况 1．1网络概况 洪门水电厂的网络是由生产厂区和生活基地两个千兆局域网组成，两地相距一 百多公里，两地通过租用电信局2M数据链路连接。洪门电厂整个网络是一个信息 点较为密集的千兆局域网络系统，它所联接的现有二百多个信息点为在整个企业内 办公的各部门提供了一个快速、方便的信息交流平台。不仅如此，通过专线与Intemet 的连接，打通了一扇通向外部世界的窗户。高速交换技术的采用、灵活的网络互连 方案设计为用户提供快速、方便、灵活通信平台的同时，也为网络的安全带来了更 大的风险。因此，在原有网络上实施一套完整、可操作的安全解决方案不仅是可行 的，而且是必需的。 1．1．1网络概述 洪门水电厂的网络，物理跨度较大，由两个相隔100多公里的局域网组成，两 个局域网分别通过千兆交换机在主干网络上提供1000M的独享带宽，通过下级交换 机与各部门的工作站和服务器连结，并为之提供100M的独享带宽。利用与中心交 换机连结的Ciseo路由器，所有用户可直接访问Intemet。 1．1．2网络结构 洪门水电厂的网络按访问区域可以划分为二个主要的区域：Internet区域、内部 网络。内部网络又划分了生产子网(生产厂区)和办公子网(生活基地)，整个网络 的拓扑结构图如下所示： 江西洪门班电厂信鸟糸诧网络拓补结构示意圃 r图1：江晒社J、fJ水电厂信息系统喇络拓朴结构Hi意蹦) 12荆络应用 整个企业的局域网为_f1}j，、提供如下主要应用： 1 2l管理信息系统(MIS)、办公自动化、财务系统、【。业电视监控系统、水情自动 测报系统； 1 22义件燕享、Www服务、电子邮件服务； 1．23义件数掘的统一存储： 1 2．4提供与Internet的访问； I 2．5通过公开服务器列外发布企业信息、发送电子邮件等： 1 3州编结构的特点 f}：分析洪门水电厂局域删的安全风险时．土要考虑了网络们如IJLt、特点： 】3 访问等。 1 3．2哺可络中存彳午公开服务器fwww服务器)，由于公开服乎}嚣列外必须开放部q,?qE 务，巨|此在进行安全方窠殴}mf应该考虑采用安全服务器刚络．避免公开服务器的 斗·国水力发电工程学会信息化专委会2007年学术交流会论文集 安全风险扩散到内部。 1．3．3内部网络中存在两个子网，不同的子网有不同的安全性，因此在进行安全方案 设计时，应考虑将不同子网的应用及权限分割开。 1．3．4网络中的应用服务器，在应用程序开发时就应考虑加强用户登录验证，防止非 授权的访问。 1．3．5生产厂区的网络安全性能要求非常高，考虑在单节点故障时网络能够保持畅通。 总而言之，在进行网络方案设计时，综合考虑到了整个企业局域网的特点，根 据产品的性能、价格、潜在的安全风险进行综合考虑。 2．防止外网攻击 随着Intemet网络急剧扩大和上网用户迅速增加，风险变得更加严重和复杂。原 来由单个计算机安全事故引起的损害可能传播到其他系统，引起大范围的瘫痪和损 失；另外加上缺乏安全控制机制和对Interact安全政策的认识不足，这些风险正日益 严重。因此在进行安全方案设计时考虑了与Intemet连接的有关风险，包括可能通过 Intemet传播进来病毒，黑客攻击，来自Intemet的非授权访问等，分别采用了网络 防病毒技术、防火墙技术和VPN技术。 2．1防火墙技术 网络防火墙技术是一种用来加强网络之间访问控制，防止外部网络用户以非法 手段通过外部网络进入内部网络，访问内部网络资源，保护内部网络操作环境的特 殊网络互联设备。它对两个或多个网络之间传输的数据包如链接方式按照一定的安 全策略来实施检查，以决定网络之间的通信是否被允许，并监视网络运行状态。 洪门电厂采用了占市场份额较