火电厂信息系统防火墙技术的深化应用.pdf

第3 0卷第4期 湖南电力 H U N A N E L E C T R I C P 0 WE R 2 0 1 0年 8月 d o i 1 0 ． 3 9 6 9 ／ j ． i s s n ． 1 0 0 8 - 0 1 9 8 ． 2 0 1 0 ． 0 4 ． 0 1 5 火电厂信息系统防火墙技术的深化应用 孙智康 ，刘健鸽，谌麟 国电益阳发电有限责任公司，湖南 益阳4 1 3 0 0 0 摘要 叙 述 了火 电厂信 息 系统 防 火墙 的种 类 、 防 火墙技 术 的深化 应 用进 行 了介 绍 。 关键词 信 息 系统 ；防 火墙 ；配置 ；运行 ；维 护 中图分类号 T M 6 2 1 ； T P 3 9 3 文献标识码B 1 信息系统防火墙技术 1 ． 1 包过滤技术 P F ，P a c k e t F i l t e r 。利用专用 软件来查看数据 流的每个包头部信息 ，根据源地 址、目标地址、端 口号 以及 T C P的其他状态来决 定这个包是接收还是丢弃。最大优 点是对用户透 明 ，传输性能高。但对于恶意的拥塞攻击 、内存覆 盖攻击或病毒等高层次的攻击手段 ，则无能为力。 1 ． 2 网络地址转换技术 N A T，N e t w o r k A d d r e s s T r a n s l a t i o n 。利用 N A T技术 的端 口映射功能 ，对 企业信息网所有内部地址作转换 ，使外部网络无法 直接访问企业内部信息 网的设 备 ，同时将 I n t e r n e t 用户对拥有真实地址 的计算机 的某端 口的访 问请 求 ，转到内部网络 中相应 的计算机上 ，实现与外部 网络的联接只能由企业 内部信息网控制 ，从而提高 网络的安全性 。 1 ． 3 应用程序代理技术 A p p l i c a t i o n P r o x y 。将 外部网络和企业信息内网计算机之问应用层的链接 由2个代理服务器上的链接来实现，从而完全隔离 了外部网络和企业 内网的数据流 ，通过应用相关专 门的代理程序， 对过往的数据包进行分析、注册登 记 ，形成报告 ，当发现被攻击 迹象时会发 出警报 ， 实现监控应用层数据流的作用。缺点是速度较路由 器慢 ，设备费用较高。 1 ． 4 状态检测技术 S I ，S t a t e f u lI n s p e c t i o n 。 该技术的核心部分建立状态连接表 ，并在应用层 以 会话为单位来看待每个数据包 ，并映射成数据包的 收稿 日期 2 0 1 0 - 0 4 -0 1 改回 日期 2 0 1 0 -07 - 0 1 配置、运行 、维护及有关注意事项 ，对 文章编号1 0 0 8 - 0 1 9 8 2 0 1 0 0 4 - 0 0 4 9 -0 3 “ 连接” ，利用状态表跟踪每个会话 状态 ，将数据 包的状态 与该 “ 连 接 ” 的状 态 比较 ，如果 不 同， 则丢弃这个数据包。 2某电厂 防火墙配置 该 电厂配置有 2套 防火墙。 2 ． 1 1号 防火 墙 配置 J u n i p e r 网络公 司 S S G设备 ，具有很大的 吞吐量 ，满足大型企业网络中的汇聚性能要求。 1 虚拟化防火墙 。利用 J u n i p e r的内置虚拟 化功能，对其配置了多个虚拟化防火墙。这些防火 墙各有 自己的策略、网络地址和管理机制 ，可以全 面分割不 同的网络分段 。利用 防火墙 中的 N A T技 术透明地对所有内部地址做转换，使得外部网络无 法了解 内部网络的结构 ，同时允许 内部网络使用 自 编的 I P源地址 和专用 网络 ，防火墙能详尽记 录每 个主机的通信 ，确保每个分组送往正确的地址 ] 。 2 域名服务器。采用 2种独立 的域名服务 器 内部 D N S服务器 ，主要 处理 内部 网络 和 D N S 信息；外部 D N S服务器，专门用于处理机构内部 向 I n t e me t 提供的部分 D N S信息。为了降低防火墙 在 I n t e r n e t ，We b和远程管理 上的安全风 险，采 用 一 次性使用的 口令系统来作为用户的鉴别手段 ，并 实现了对邮件的加密 。 3 J u n i p e r防火墙 技术。过滤 分别 在分 组、 应用级网关和电路网关这 3级进行 ，能很好地过滤 掉所有 的假 冒 I P地 址 和源路 由分 组 ，并 能利 用 49 第 3 0卷第4期 湖南电力 2 0 1 0年 8月 F T P ，S MT P等各种网关 ，控制和监测 [ n t e me t 提供 的所有通用服务，实现内部主机与外部站点的透明 连接 ，并对服务的通行实行严格控制。 4 内部网络策略。使用集成 V P N技术和远 程控制内部网络策略，使领导和专工在外出差都能 便捷地实现网络管理和信息交汇 ，既充分发挥 了远 程管理的优点 ，又不会造成安全威胁。 2 ． 2 2号防火墙 配置东软公司 N e t E y e F w设备 ，按 “ 一切未 被禁止的就是允许的”准则 ，防火墙转发所有通 过防火墙 的数据流，然后逐渐屏蔽可能有 害的信 息，这种方法能使应用环境更加灵 活。N e t E y e具 有路由和交换 2种模式 ，主要在交换模式下使用代 理路由的形式 ，采用包过滤技术 ，使 S I S区和 D C S 区之间的数据得到安全传输。实现了 I P包过滤、 地址绑定、非 I P包过滤等规则。这些访问控制规 则使得用户实施其安全策略得到保障 】 。 1 相关信息记录。N e t E y e网络 日志文件提 供了记录全部过滤情况、只记录被拒绝的情况、只 记录被 允许 的情 况、不做 记 录 4种方 式，选择 “ 记录全部过滤情况”方式进行设置 ，从而全面了 解网络中不同数据通过情况 。 2 防止非法 I P盗用。为 了防止内部人员进 行非法 I P盗用 ，在 N e t E y e里根据网络数据 I P和 M A C地址的包过滤原理，将内部网络的 I P和 MA C 地址进行绑定，可以方便地进行管理。 3 实时分析。使用关键字方式查看 网络 中 某段时间范围内包含该关键字的数据包的情况 ，可 针对该数据包的一些特性制定相应的措施 。同时可 以记录一些用户的认为不合法的数据包 ，以便过后 追究当事人的责任。 3 防火墙的运行 3 ． 1 日志记录。系统运行时 ， 如果所有的访问都经 过防火墙 ， 防火墙就能记录下这些访 问并作 出 日志 记录， 同时也能提供网络使用情况的统计数据； 当发 生可疑动作时， 防火墙能进行适当的报警 ， 并提供网 络是否受到监测和攻击的详细信息； 另外， 能收集网 络的使用和误用情况， 评估防火墙是否能够抵挡攻 击者的探测和攻击、 防火墙的控制是否充足。 3 ． 2 防止信息 的外泄。通过利用 防火墙对内部 网 络的划分，可实现内部网重点网段的隔离，从而限 5 0 制了局部重点或敏感 网络安全问题对全局网络造成 的影响。防火墙可以隐蔽那些透漏内部细节如 F i n g e r ，D N S等服务。这样 ，l台主机 的域名和 I P地 址就不会被外界所了解，防止了内部信息的外泄。 3 ． 3 安全方案配置。利用 以防火墙为 中心的安全 方案配置 ，将所有安全软件 如 口令、加密、身 份认证、审计等配置在防火墙上。与将 网络安 全问题分散到各个主机上相 比，防火墙的集中安全 管理更经济。例如在网络访问时 ，一次一密 口令系 统和其它的身份认证系统完全可以不必分散在各个 主机上 ，而集中在防火墙上。 4 防火墙的维护 4 ． 1 账号管理 。在防火墙上 正确地增加新账号、 迅速地删除旧账号以及适时地变更密码 ，以提高入 侵者的进入门槛 。系统运行时，通常会把密码期限 功能打开，并选择稍微长的期限，确保在安全防护 上得到真正的收益。 4 ． 2 数据备份和磁盘管理。在备份防火墙的数据 时，使用了一种定期的、自动的备份系统为一般用 途的机器做备份。当这个系统正常做完备份之后 ， 会发送确定信到用户的邮箱里 ，而当它发现错误的 时候 ，也会发出一个出错提示信息。 在防火墙中打开了 T r i m l o n程序 ，以让它 自动 处理好 日志记录、磁盘空间和数据压缩的问题。 4 ． 3 硬件及相关维护。防火墙很 多计算工作 由专 用 A S I C芯片完成 ，正常工作状态下防火墙 C P U使 用率应保持在 5 0 ％ 以下，不过偶尔会出现 C P U利 用率过高的问题 ，这时就会检查 S e s s i o n的使用情 况和各类告警信息，并检查网络中是否存在攻击流 量。通常情况下 C P U利用率过高往往与攻击有关， 这样可通过设置 S c r e e n i n g来对其进行防范。防火 墙对内存的使用也把握得十分准确，采用 “ 预分 配”机制，即使空载时内存使用率也为约5 0 ％ ～ 6 0 ％ ，随着流量不断增长，内存的使用率也会保持 稳定。如果出现内存使用率高达 9 0 ％时，就需要 检查网络中是否存在攻击流量了，并察看为 d e b u g 分配的内存空间是否过大。 5 防火墙技术的实际应用 5 ． 1 防攻击举例。网络中经常遇到 S Y N A tt a c k S Y N攻击 ，当网络中充满了 S Y N的封包时 ，会 第3 O卷第4期 孙智康等 火电厂信息系统防火墙技术的深化应用 2 0 1 0年8月 不停地发送大量半连接请求 ，以至网络无法处理合 法的连接请求，消耗了 C P U和 内存资源 ，从 而导 致拒绝服务 D o S ，造成 S Y N的泛滥攻击。利用 J u n i p e r 防火墙 的 S Y N P r o x y和 S Y N C o o k i e这 2种 机制进行防御 ，让 S Y N P r o x y机制对数据包进行策 略匹配 ，如果通过的 S Y N包每秒超过 了阈值 ，则 开启 防御机制 ，新 的 S Y N包就 由防火墙 做应答 ， 等待应答 a c k是否超时 ，超时则丢弃。S Y N C o o k i e 机制则是完全无 连接状态 的，每秒 的 S Y N包 超过 阈值就开启防御机制 ，防火墙做 S Y N的应答 S Y N ／ a c k ，并在里面嵌入 了加密 的 C ook i e ，如果接 收到 的 a c k里面有该 C ook i e 则是正常连接 ，从而解决 了 S Y N A t t a c k攻击的问题 。 5 ． 2 电信和网通同网同时使用 问题。2 0 0 8年前一 直使用电信专线，后来增加 了网通专线。为了能使 用网通专线 ，运行时整个网络需要在电信和网通之 间切换 服务 器与 内部 网络 进行 隔离 ，很不 方 便 。2 0 0 9年 5月 ，运用 J u n i p e r 防火墙技术 ，解决 了这个问题 ，方法如下 在 J u n i p e r 防火墙 中有 4个千兆以太 网口接 口， 所有的安全域默认全部工作在 t r u s t v r 中的，首先 ， 将 4个以太网 口连接不 同的网络 ，让 1口 e t h l连 接内部办公网络 ，安全域 为 t r u n s t ；2口 e t h 2连接 服务器所在网络 ，安全域为 D MZ ；3口e t h 3和4口 e t h 4分别连接电信和网通的专线，安全域为 u n ． t r u s t 。将 u n t r u s t由 t r u s t v r中修 改至 0 u n t r u s t 一 、 r r中， 这样保证内部网络和外部网络在路 由列表 中就是独 立的关系了。然后将各 自安全域绑定设置到防火墙 的各个物理端 口上 ，配置各个端 口的 I P地址 ，并 在 u n t r u n s t v r中配置访问互联网的默认路 由。T r u s t 和 D M Z安全域则工作在 t r u s t - v r中，因为 tr u s t _ v r 和 u n t r u s t v r 之间还没有路 由关 系，所 以它们之 间 还无法进行数据交换 ，因此 ，在 t r u s t 一 、 r r中配置 1 条默认外出路由指向 u n tr u s t ． v r 。最后，策略路由 也必须工作在相对应的路 由列表 中，因此 ，将策略 路 由定义在 u n t r u s t v r 路 由表中 ，这样 就实现 了指 定的部分 I P地址走电信线路，其它部分 I P地址走 网通线路 ，同时内部办公网络可以不受策略路 由的 影响 ，可正常地访问 D MS区的服务器资源 。 6 结束语 6 ． 1 防火墙作为一种网络信息安全技术，可以在 不改动原 网络应用 系统 的情况下达 到一定 的安全 度 ，但是不能全部解决信息安全的问题。防火墙应 着力配置成界 面友好、调试方便 、不易出错 的系 统 ，为管理人员提供有效 、直观的人机对话方式。 6 ． 2 防火墙安全性越高，其配置越复杂，设备费 用和维护费用相应就越高。所 以，企业要根据 自身 信息系统的特点 ，平衡信息安全需求与资金投入间 的关系 ，确定各安全区防火墙的体系架构 ，在合理 的资金投入下 ，有一个 良好的信息安全环境。 6 ． 3 某 电厂 2 0 0 3年 6月组建企业信息系统 以来 ， 先后遭到黑客 、 尼姆达病毒 、 木马病毒、 冲击波病毒 的攻击 ， 严重干扰 了企业的安全生产， 给经营 日常管 理工作带来了诸多不便。2 0 0 9年 5月信息系统安 装 J u n i p e r 网络公司和东软公司 N e t E y e的2套防火 墙 ， 投运 1 年多来 ， 阻挡 了多次黑客、 病毒的攻击 ， 其 安全多样灵 活的管理方式给维护和管理带来 了便 捷 ， 整个信息 网络系统一直都在安全稳定地运行。 参考文献 [ 1 ]吴子勤 ，曾双平 ，冯帅．探 讨防火 墙维 护与管 理、技术 发展 趋势 [ J ] ．计算机与信息技术．2 0 0 7 ． [ 2 ]西安交大博通资讯股份公司 ． J u n i p e r实施技术报告 [ R ] ． 2 0 09 ． 作者简介 孙智康 1 9 8 4 一男 ，湖南 人 ，毕业于 长沙理工大学 ，软件工程 师 ，从事计算机网络研究工作。 上接第 2 0页 [ 7 ]张岳，王凤翔．直驱式永磁同步风力发电机性能研究 [ J ] ． 电机 与控制学报 ，2 0 0 9 ， 1 7 9 - 8 2 ． [ 8 ]雷亚洲，等．基于机会约束规划的风电穿透功率极 限计算 [ J ] ． 中国电机工程 学报 ，2 0 0 2，2 2 5 3 2 - 3 5 ． [ 9 ]申洪，梁军，戴慧珠．基于电力系统暂态稳定分析的风电场 穿透功率极限计算 J ] ， 电网技术 ，2 0 0 2 ， 2 6 8 8 - 1 1 ． [ 1 0 3 刘洪．乌鲁木 齐电网允许风 电比例的初步探讨 [ J ] ．风力发 电 ，1 9 9 9，8 1 5 0 - 5 4 ． 作者简介 徐超 1 9 8 3 一，男 ，硕 士研究生 ，主要从事 电力系 统规划 工 作 。 51