基于安全域划分的网络安全体系设计——保障烟草工业企业安全生产

图1 烟草工业企业网络安全体系
基于安全域划分的网络安全体系设计
——保障烟草工业企业安全生产
樊金健，谢一飞
（南通烟滤嘴有限责任公司信息中心，江苏南通 226001）
摘 要： 以烟草工业企业为研究对象，探索一种基于安全域划分的网络安全体系设计思路。

以优化设计为指导，以安全域划分为基础，制订集物理安全、访问控制、病毒防护、运维审计于一体的安全防护策略。

基于安全基线，构建基线安全模型，对网络系统进行防护评估，表明保障烟草企业安全生产的总体目标得以实现。

关键词： 安全域；烟草工业企业；网络安全体系；运维审计；基线安全模型
中图分类号：TP309 文献标识码：A 文章
编号：2095-8412 (2019) 02-059-07工业技术创新 URL : http: // DOI : 10.14103/j.issn.2095-8412.2019.02.012
引言
烟草工业企业发展需要多品种、多元化，同时生产中需要安全。

无论是加热不燃烧烟草制品，还是鼻烟、嚼烟、电子烟等，都需要企业在了解市场需求后，研发和生产新型烟草制品。

企业创造新的品类、突出产品特色、提高质量，都需要生产过程安全可靠。

随着技术进步，烟草行业的生产消耗有所降低，生产效率和流通速率大幅提升。

近年来，江苏中烟工业有限责任公司（以下简称“江苏中烟”）以保障烟草工业企业安全生产为目标[2]，依托“互联网+”实现提质增效和节能减排，实现企业内部甚至集团内企业之间的互联、互通。

传统烟草工业企业的安全防护重心一般在办公管理区域，但现如今，烟草工业企业的网络通信系统涵盖网络服务器、工作站、业务系统、硬件系统、网络软件等诸多方面[3-5]。

为了建立良好的网络安全体系，需要在优化设计的指导下，以安全域划分为基础，制订相应的安全防护策略。

进一步，基于基线安全模型，对企业网络系统进行安全防护评估，建立安全基线并加以应用。

其中，安全域的划分是关键。

1 优化设计
优化设计是烟草工业企业网络安全体系设计的重要一环。

首先，对烟草工业企业网络安全体系建设进行总体规划；其次，结合企业自身业务与经营
需求，明确网络安全防护的原则；最后，完善企业的架构组织，形成网络安全管理制度。

1.1 总体规划
结合江苏中烟目前的网络安全管理现状，构建健全的网络安全体系，如图1所示。

1.2 防护原则
烟草工业企业在构建网络安全体系时，需要对安全防护的目标、原则加以明确，从而基于防护逻辑层面制定相应的安全防护策略，实现烟草工业企业网络安全防护能力的有效增强。

在设计过程中应遵循如下原则：
（1）分级保护原则；
（2）技术与管理相结合原则；（3）动态发展原则；
（4）标准化与统一性原则；
（5）需求、风险、成本平衡的原则。

2019年第02期
工业技术创新Industrial Technology Innovation 图2 安全域划分的步骤
公管理系统，还具有开放性较高的销售网络以及多样的无线终端接入，因此对安全域的划分应遵循以下原则：
（1）业务保障原则。

势必需要针对隔离业务的整体难度，以及合并划分安全域的风险问题综合考虑，从而科学合理划分业务安全域。

（2）等级保护原则。

依照业务支撑系统内的关键性及重要程度，综合考虑系统安全需求、安全风险问题以及安全成本等多个关键要因，划分不同安全保护等级，实现最大化等级保护原则。

（3）深度防御原则。

依照网络系统的应用访问安全需求顺序，逐层防护，妥善保护核心设备的安全。

2.3 安全域划分的步骤
安全域划分的步骤如图2所示。

1.3 管理制度
建构与烟草工业企业实际情况相符，且具备较高适用性的安全防护管理制度，作为网络安全体系设计的关键。

具有规范性与创新性的管理制度能够保证流程有序和效率提升，能够在很大程度上影响烟草工业企业的网络安全管理质量[6]。

组织架构方面，推行分管领导责任机制。

为信息化领导小组设置信息中心，负责网络安全管理方面的相关事务。

设置兼职管理专员以及安全防护系统管理员，确保安全防护体系的有效执行。

2 安全域划分
烟草工业企业网络安全体系设计的重点是安全防护策略设计，而安全防护策略的制订以安全域的划分为基础。

安全域只有划分得足够精确，才能实现安全防护策略效果的最大化，并且尽量减少安全防护策略对当前域的生产、管理的影响。

2.1 安全域划分的目标
安全域，主要指在网络安全系统内，多网络之间的安全防护需求是等同的，彼此之间能够互相信任，且安全访问控制、边界控制策略也是等同的，达到网络安全策略的统一。

基于广义层面，即存在相同安全防护需求及业务需求的IT系统要素的集合层面，主要包括如下内容（但不限于此）：物流环境、策略和流程、业务和使命、人和组织、网络区域、主机和系统等[7,8]。

划分安全域工作的目标在于：
（1）降低整体风险。

控制网络风险的关键点，即各域边界，通过设置纵深防御体系，对各域的网络安全风险问题实现更好的控制和更有效的降低。

（2）简化复杂度。

由于处于同一安全域内的信息资产所具备的IT要素也是等同的，那么安全域作为拓展业务部署以及安全技术的关键依据，需要更好地实现网络安全系统的设计、规划、入网以及最终验收。

（3）增强IT内控时效性。

通过制定清晰、细化的网络安全威胁防护对策，更好地制定网络安全防护的落实策略，全面地发挥网络安全设备的防护利用率。

（4）监控评价网络安全状况。

为不同安全域的部署策略形成体系，监控维护系统运行中的全局风险，作为系统风险审核检查的基础依据。

2.2 安全域划分的原则
烟草工业企业生产经营的特点是，既具有用于生产的工业控制设备，又具备高度信息化的办
2.4 安全域划分的维度
根据安全域的设计理念，从横向和纵向两个维度对烟草工业企业网络的安全域进行划分。

2.4.1 横向划分
将安全域划分为业务支撑域、网管支撑域、运维支撑域、生产支撑域四个部分。

（1）业务支撑域。

是各个业务系统的集合，用于企业的业务经营，例如销售系统、订单系统、采购系统等可划至该域。

（2）网管支撑域。

是企业办公系统的集合，服务于员工和公司运转，例如财务信息系统、考勤管理系统、办公信息系统等可划至该域。

（3）运维支撑域。

是企业运转系统的集合，服务于公司日常活动，例如安全监控系统、防火防盗系统、能源管控系统等可划至该域。

（4）生产支撑域。

是工业自动化控制区域，区
樊金健，等：基于安全域划分的网络安全体系设计——保障烟草工业企业安全生产
图3 横向划分
别于前三者的传统信息安全区域，主要利用工业控制协议实现自动化生产，例如自动化物流控制系统等即属于该域。

图3所示是一种横向划分。

2.4.2 纵向划分
将安全域划分为五块区域：核心域、接入域、服务域、终端域和交换域。

（1）核心域。

也就是核心业务系统，能够依据支撑系统内主要实现的业务功能、安全防护需求等级，科学合理划分安全域，对业务领域进一步细化。

（2）接入域。

主要依照支撑系统的网络整体构架，划分为四个接口子域：外部网、无线网、专线网、内部网。

外部网接口子域指互联网的逻辑接口分区；无线网接口子域指通过无线网络接入承载网的逻辑接口分区；专线网接口子域指专线网络或VPN与承载网的逻辑接口分区；内部网接口子域主要指内部网络的逻辑接口分区。

（3）服务域，主要是服务于支撑系统安全防护技术的领域，具体服务包括认证审计、日志审计、防病毒、补丁升级、IDS监控等。

所有的安全服务均基于分级管理模式逐一实现。

为不同支撑系统内部构建二级安全服务领域，再基于运维系统构建一级安全服务领域，即形成了安全管理中心域。

（4）终端域，也就是用户运用领域，其依照用户对系统应用需求的不同，划分不同的安全用户域，实现网络数据访问安全防护级别的等同。

终端
域包括外部、业务、管理三大用户子域。

其中外部用户子域包括三大终端：开发测试、合作伙伴、远程接入；业务用户子域指访问系统应用的业务终端域；管理用户子域指对系统主机、数据库、网络、存储以及应用系统等实现日常管理维护的终端。

（5）交换域，主要实现上述各个域之间的数据交换。

图4所示是一种纵向划分。

2.5 安全域边界的调整
（1）物理调整合并。

通过行之有效的物理层面调整合并，确保能够有效提升整个安全防护体系的安全等级，同时保证能够更加方便地进行体系管理，基于根本层面，对网络危害的发生进行有效防止。

在实际安全防护工作中，通常会出现资源浪费的情况，且此种情况绝非有利于系统整体安全，因此需要及时合并物理层面的端口，并统一之，确保系统设备的整体对应[9]。

通过进一步整合，合并不同系统的同类安全域，从而行之有效地减少端口建设的成本投资力度，有效集中工作者及防护力量，从而有效提升防护等级。

（2）逻辑调整合并。

主要实现现行安全防护系统逻辑边界的有效整合，并通过有效的调整合并，确保系统边界具备较高的条理性及安全性。

与此同时，系统内还存在特定安全域，依照同一区域内的具体需求，及时处理各边界，从而真正有效地形成统一。

（3）其他边界整合。

在安全域边界整合的基础
2019年第02期工业技术创新Industrial Technology Innovation
之上，在安全域之间也需要对对应边界进行整合，其中包括计算域、服务域、维护域的整合。

2.6 安全域的防护
2.6.1 安全域隔离措施
在安全域界限处布设交换机及防火墙，实现访问控制功能，加强认证、审计、限制权限，以严格遵守配置标准的技术手段为主，采取安全防护工具，依照不同安全域所需要面临的不同风险特点，部署更加专业化的安全防护技术系统，包括DNS防护、异常流量分析、反垃圾邮件系统以及反恶意代码等。

此外，还应特别关注工控网所在安全域，应当为它们配置流量监控、态势感知装置，以及单向隔离摆渡装置，以保护工控设备；对于无线网，应当设置VPN接入，并通过数据交换装置，过滤应用层的恶意攻击。

2.6.2 安全域策略设计
将关键信息系统的安全防护等级和网络系统的具体适用情况相结合，根据系统安全防护的增强需求，制定针对性的防护策略，禁止非授权访问网络，限制低级域向高级域的访问。

3 安全防护策略
安全防护是网络安全体系设计的重点，其制订方案依赖于防护方式与防护技术的选择。

在基于安全域划分的防护策略中，根据企业网络现状，结合安全域划分的特点，进行以下设计。

3.1 物理安全策略
（1）保护安全领域内的不可移动设备安全；
（2）保护可移动设备以及PC终端安全；
（3）监控网络运行环境是否安全；
（4）终端、网络安全设备及存储介质应当具有身份标识。

3.2 访问控制策略
（1）识别不同安全域的访问接入方式，对于防护要求高的域或通讯协议开放性高的域，要特别注意访问控制与身份鉴别；
（2）实现安全域、部门、业务之间流量的精确访问控制；
（3）区别业务的重要性，实现流量大小限制，保证重要业务的优先带宽；
（4）对具体业务进行协议、端口、应用上的精
确控制；图4 纵向划分
樊金健，等：基于安全域划分的网络安全体系设计——保障烟草工业企业安全生产
3.3 病毒防护策略
（1）控制病毒、蠕虫、木马等入侵途径，安装可靠的防病毒木马软件，还应在必要的域部署流量清洗和数据隔离装置，对系统进行实时检测和过滤；
（2）定期对服务器、终端、网络设备等进行杀毒，并及时更新最新的病毒库；
（3）针对工控环境，还应当进行流量监测，以防止工控蠕虫的传播。

3.4 运维审计策略
（1）需要按照每次3个月为安全域网络审计工作开展间隔，针对重要区域则需要按照1月1次的网络审计最少间隔期限，最终形成网络安全审计文档书面报告；
（2）建设网络运维审计系统，及时针对重大变更进行前期风险评估。

4 安全基线的建立和应用
4.1 安全基线建立
精准识别、细化梳理烟草工业企业的不同业务系统，与基线安全模型相结合，对业务系统的主要功能需求加以细化分析，再将开展不同业务所需的功能架构移植至不同的系统模块内。

同时，还需要分析业务系统的不同特性，探索其中所可能存在的安全威胁，及时制定有针对性的安全威胁应对举措，将安全防护从系统实现层即落实。

该层的主要安全基线需求，即安全漏洞防护、安全配置检查等，均是安全基线建立的关键。

忽，包括了口令、账号、日志、授权以及IP通信多层面，均证实了人为运用系统中的潜在不安全性。

安全配置密切相关系统操作安全，能够基于不同业务环境中达到不同的差异化安全配置需求。

譬如可以基于Web系统边界防火墙技术中，开启HTTP通信协议。

但是WAP网关边界并无此种需求，所以需要重视安全配置在设计业务系统安全基线中的重要性。

4.2.2 安全漏洞检查
通常安全漏洞指的是由于系统本身所致产生的安全风险问题，主要漏洞情况出现在登录、拒绝服务、信息、蠕虫、意外情况以及缓冲区溢出等错误漏洞等，而这均证实了系统原本的安全脆弱。

通过构建安全基线之后即可形成不同系统的详细操作指南及Checklist表格，从而针对技术安全制定了严格框架及操作标准。

包括多种安全检查方式：新业务系统上线、第三方入网、合规以及日常等安全检查。

4.3 人员培训
网络安全工作的开展成效，在于从事网络安全的工作者所具备的专业素养。

假若烟草工业企业的网络安全防护工作人员的素养水平较差，那么即使构建了完善的网络安全防护体系，同样无法真正确保企业信息安全[10]。

考虑到烟草工业企业的网络安全防护存在较大的特殊性，网络安全防护工作人员不仅需要具有专业化的、深厚的网络安全素养，还需要深入了解烟草行业的销售、管理、专卖等环节。

因此，必须增强网络安全防护工作人员的专业程度，为构建优秀网络安全防护体系打好基础。

人员培训可通过以下措施实施：
（1）定期举办教育培训以及技能培训，通过体系化的技术学习提升能力；
（2）组建红蓝队进行模拟攻防演练，提升实战能力；
（3）建立应急响应处置机制，归档形成成熟方案，提升企业的整体危机处置能力；
（4）建立奖惩制度，提高员工积极性。

5 基于基线安全模型的防护评估
安全工作“三分靠技术、七分靠管理”。

除了必要的安全保障措施外，还需加强安全管理，其措施包括建立动态评估制度等。

虽然上文依据安全域划分方法，对烟草工业企业的网络信息系统进行了改造，并辅以管理制度和防护策略的跟进，形成了一套基于安全域划分的体系结构，但是，真正优秀的体系结构中不能缺乏对
图5 安全基线要素
4.2 安全基线应用
针对第三层安全基线需求通过合理划分安全防护目标，并针对性开展安全检查，以寻找不到风险项为目标，从而合理全面的控制安全风险。

4.2.1 安全配置
通常工作人员在运用系统过程中存在人为疏
2019年第02期
工业技术创新Industrial Technology Innovation 防护能力的评估。

评估手段主要为基线安全模型，如图6所示。

基线安全模型的核心是业务系统，主要包括三层：业务层、功能架构层、系统实现层。

（1）业务层。

主要根据不同的业务需求，针对性地设定不同的安全防护需求。

（2）功能架构层。

将业务层细化为不同的子系统模块，包括操作系统、网络设备、数据库等，根据模块的不同，安全防护的需求也需要差异化设定。

（3）系统实现层。

进一步将功能架构层细化为操作系统的主要实现层，包括Windows、Solaris等系统模块；此外，将网络设备细化为各种路由器模块，以实现安全防护需求。

外，建立安全维护管理队伍，是安全策略体系实施的重要保障。

此次实践，成功实现了保障烟草工业企业安全生产的总体目标。

参考文献
[1] Douglas Jacobson. 网络安全基础: 网络攻防、协议与安全[M].
北京: 电子工业出版社, 2011.
[2] 匡建华. 烟草企业网络安全防护体系建设[J/OL]. 电子技术与
软件工程, 2017(18): 205.
[3] 宋杨. 网络安全域划分及边界整合研究与规划[J]. 科技展望,
2017, 27(5): 147-148.
[4] 李晨, 王伟. 安全基线控制在风险管理过程中的应用[J]. 网络
安全技术与应用, 2009(9): 4-7.
[5] 任远望. 电信运营企业支撑系统网络安全域划分方案研究[D].
呼和浩特: 内蒙古大学, 2014.[6] 绿盟安全配置核查系统产品白皮书[Z]. [7] 安全配置核查系统[Z].
[8] 张德顺, 朱丽娜, 孙维. 数据信息时代网络安全浅析[J]. 网络安
全技术与应用, 2018(1): 7, 15.
[9] 姜迅. 贯彻新发展理念 迎接网信新时代[J]. 网络传播,
2017(10): 29.
[10] 曾峰, 高岩. YB45型卷烟包装机石蜡涂抹智能控制改造[J]. 工
业技术创新, 2018, 5(2): 40-46.
樊金健（1978-），通信作者，男，江苏通州人，南通市烟滤嘴有限责任公司工程师，南京航空航天大学工程硕士。

研究方向：网络建设。

E-mail: 785370316@
（收稿日期：2019-01-11）
作者简介：
6 结束语
本文提出了一种基于安全域划分的烟草工业企业网络安全体系设计思路，其中特别给出了优化设计方案和安全域划分的相关实现方案。

然后，通过安全基线的建立和应用，对防护体系进行评估。

可以看到，安全域划分后，网络结构清晰化，相应的安全防护策略及安全基线配置更有利于企业安全防护部署及日常操作维护。

烟草工业企业应当积极进行以安全域划分为基础，逐步将安全策略体系的管理和技术规范落实到网络安全运行维护的实际工作中，并通过数据分析和经验积累，实现安全策略体系的持续完善。

另
图6 基线安全模型图
樊金健，等：基于安全域划分的网络安全体系设计——保障烟草工业企业安全生产Design of Network Security System Based on Security Domain Division ——To Guarantee Safety Production of Tobacco Industry Enterprises
FAN Ji n-jia n, XIE Yi-fe i
(Nantong Cigarette Filter Co., Ltd., Information Center, Nantong 226001, China)
Abstract: By taking the tobacco industry enterprises as the research object, explored is a design idea of network security system based on the security domain division. Guided by the optimization design and based on the security domain division, a security protection strategy integrating physical security, access control, virus protection and operation and maintenance audit is formulated. Based on the security baseline, the baseline security model is constructed, and the protection evaluation of the network system is carried out. It shows that the overall goal of guaranteeing the safety production of tobacco industry enterprises can be achieved.
Key words: Security Domain; Tobacco Industry Enterprise; Network Security System; Operation and Maintenance Audit; Baseline Security Model。