熱線電話：
? ??400-0351-366
解決方案
SOLUTION
煤礦行業工業控制系統安全防護解決方案
一、背景情況
煤炭工業控制系統是整個煤炭企業安全生產監控系統信息的集成，它需要一個快速、安全、可靠的網絡平臺為大量的信息流動提供支撐，同時要有一個功能全面的安全生產信息應用系統為礦井安全生產提供科學調度、決策的依據。做好煤炭企業工控安全建設是實現生產安全的必要保障。
綜合自動化系統是指在工業生產、管理、經營過程中，通過信息基礎設施，在集成平臺上，實現信息的采集、信息的傳輸、信息的處理以及信息的綜合利用等。將先進和自動控制、通訊、信息技術和現化管理技術結合，將企業的生產過程控制、運行與管理作為一個整體進行控制與管理，提供整體解決方案，以實現企業的優化運行、控制和管理。
二、安全分析
（1）缺乏整體信息安全規劃；
（2）缺乏工控安全管理制度、應急預案、培訓與意識培養；
（3）調度人員有時通過連通互聯網的手機在調度室主機U口上充電，導致生產網絡通過手機被打通，造成邊界模糊。
（4）主機操作系統老舊，從不升級，極易出現安全漏洞和缺陷；新建系統主機雖然會安裝殺毒軟件，但是為保障生產運行，殺毒軟件一般處于關閉狀態，這些都存在安全隱患，無法防御“0-DAY”病毒和勒索病毒。
（5）調度人員或運維人員使用帶有病毒的U盤插入主機中，造成整個網絡感染病毒。
（6）煤炭生產現場PLC多為西門子或AB的產品，而PLC本身存在漏洞，西門子和AB近些年被曝出存在高危漏洞，攻擊者可以利用漏洞控制現場設備，執行錯誤命令，嚴重影響安全生產。
（7）黑客也可通過技術手段潛入生產網絡，獲取關鍵生產數據，牟取利益。
三、煤礦行業工控系統安全防護解決方案
安全防護原則
（1）安全分區
對于生產網絡與辦公網絡、企業集團內網存在互聯互通的現象，首先需要進行網絡優化，明確生產網絡邊界，盡量避免多個生產網絡邊界的現象。
（2）安全審計
對生產網絡內部的日常操作行為進行基于白名單策略監控，及時發現網絡中存在的異常流量、違規操作、非法訪問、惡意程序等異常行為，并要求對生產網絡的運行日志進行記錄保存，至少保留6個月；對于已經發生攻擊事件的情況，要求可以對攻擊事件進行追蹤、溯源，定位網絡攻擊的位置或具體用戶。
（3）邊界防護
根據業務網絡實際情況，在生產網絡外部邊界處部署工業防火墻或單向隔離網閘設備，保證生產網絡向辦公網絡或其他外部網絡數據單向傳輸。工業控制系統上位操作主機（操作站、工程師站、服務器）作為生產網絡的內部邊界，需要對用戶登陸、操作、運行等行為進行安全監控與審計，并對通過上位主機外設接口與生產網絡進行數據通訊的行為進行授權管理。
（4）惡意代碼防范
對于以“白名單”防護策略為主的工控安全防護方案，除了對外部網絡邊界進行有效的訪問控制和威脅監測以外，需要對上位主機的USB接口使用過程進行安全有效管理，對于臨時接入工控網絡的移動存儲設備，必須先進行病毒查殺，才可以使用。
具體方案
? 部署工控安全綜合監管平臺、工業安全防火墻，深度解析工控協議，防范非法訪問，迅速檢測異常網絡節點，及時預警，并監控工業防火墻運行狀態，實時獲取工控網安全事件日志和報警任務；
? 在操作員站和工程師站部署工控主機安全防護系統，防范非法程序和應用以及未經授權的任何行為；
? 部署堡壘機及工控安全綜合審計系統，對違規操作行為進行控制和審計，保障網絡和數據不受外部和內部用戶的入侵和破壞；
? 采用工控安全隔離網閘設備，物理隔離煤礦辦公網和生產網，提供兩網數據交換安全通道，阻止來自上層網絡的非法訪問以及病毒和惡意代碼的傳播。
焦化工業控制系統安全防護解決方案
一、背景情況
焦化企業普遍采用基于信息網、管理網和控制網三層架構的的管控一體化信息模型，焦化企業是典型的資金和技術密集型企業，生產的連續性很強，裝置和重要設備的意外停產都會導致巨大的經濟損失，因此生產過程控制大多采用DCS等先進的控制系統，且以國外廠商為主。經過多年的發展，焦化行業信息化建設已經有了較好的基礎，企業在管理層的指揮、協調和監控能力在實時性、完整性和一致性上都有了很大的提升，相應的網絡安全防護也有了較大提高。隨著焦化企業管控一體化的實現，越來越多的控制網絡系統通過信息網絡連接到互聯上，潛在的威脅就越來越大。
二、安全分析
（1）控制網絡與管理網絡互聯，存在來自上層網絡的安全威脅存在。
（2）存在來自工作站（接入U盤、便攜設備等）的病毒傳染隱患。
（3）網絡中沒有設置安全監控平臺，無法對網絡安全事故進行預警和分析，影響問題識別和系統修復效率。
（4）控制系統缺少分級、分區的安全防護，容易受到信息網絡及相鄰系統的潛在威脅。
（5）對違規操作缺乏控制和審計。
三、焦化行業工控系統安全防護解決方案
防護原則
（1）安全分區
對于生產網絡與辦公網絡、企業集團內網存在互聯互通的現象，首先需要進行網絡優化，明確生產網絡邊界，盡量避免多個生產網絡邊界的現象。
（2）安全審計
對生產網絡內部的日常操作行為進行基于白名單策略監控，及時發現網絡中存在的異常流量、違規操作、非法訪問、惡意程序等異常行為，并要求對生產網絡的運行日志進行記錄保存，至少保留6個月；對于已經發生攻擊事件的情況，要求可以對攻擊事件進行追蹤、溯源，定位網絡攻擊的位置或具體用戶。
（3）邊界防護
根據業務網絡實際情況，在生產網絡外部邊界處部署工業防火墻或單向隔離網閘設備，保證生產網絡向辦公網絡或其他外部網絡數據單向傳輸。工業控制系統上位操作主機（操作站、工程師站、服務器）作為生產網絡的內部邊界，需要對用戶登陸、操作、運行等行為進行安全監控與審計，并對通過上位主機外設接口與生產網絡進行數據通訊的行為進行授權管理。
（4）惡意代碼防范
對于以“白名單”防護策略為主的工控安全防護方案，除了對外部網絡邊界進行有效的訪問控制和威脅監測以外，需要對上位主機的USB接口使用過程進行安全有效管理，對于臨時接入工控網絡的移動存儲設備，必須先進行病毒查殺，才可以使用。
具體方案
（1）根據焦化行業的網絡拓撲圖，結合相關標準及技術規范與要求，將整個網絡劃分為操作管理層、現場監控層、生產控制層和生產執行層四個區域。
（2）在現有網絡架構下，協同部署工控系統安全防護產品，全面防護包括OPC數據采集、控制設備和工程師工作站的安全。
（3）采用工控網絡隔離網關設備隔離內外網，提供內外網數據交換安全通道，阻止來自上層網絡的非法訪問、病毒及惡意代碼的傳播。
（4）部署分布式工業防火墻和工控安全監控平臺，深度解析多種工控協議，防范非法訪問，迅速檢測異常網絡節點，及時預警，并監控工業防火墻工作狀態，實時獲取工控網絡安全事件日志和報警任務。
（5）在工作站應用工控安全主機防護系統，防范非法程序、應用以及未經授權的任何行為，給予終端計算機全生命周期的安全防護。
（6）在操作管理層部署審計平臺和堡壘機，對違規操作行為進行控制和審計，保障網絡和數據不受外部和內部用戶的入侵和破壞。
冶金鋼鐵工業控制系統安全防護解決方案
一、背景情況
冶金鋼鐵行業工業以太網一般采用環網結構，為實時控制網，負責控制器、操作站和工程師站之間過程控制數據實時通訊，網絡上所有操作站、數采機和PLC都采用以太網接口，網絡中遠距離傳輸介質為光纜，本地傳輸介質為網線（如PLC與操作站之間）。生產監控主機利用雙網卡結構與管理網互聯。
二、安全分析
（1）鋼鐵冶金企業沒有對其內部生產控制系統及網絡進行分區、分層，無法將惡意軟件、黑客攻擊、非法操作等行為控制在特定區域內，易發生全局性網絡安全風險。
（2）分廠控制網絡采用同網段組網，PLC、DCS等重要控制系統缺乏安全防護和訪問控制措施。
（3）各分廠控制網與骨干環網之間無隔離防護措施。
（4）鋼鐵冶金企業辦公網和生產監控網之間無物理隔離措施，導致病毒、木馬、黑客攻擊等極易以辦公網為跳板對生產控制系統發起攻擊。
（5）由于鋼鐵冶金企業控制流程復雜、設備種類繁多、通信協議多樣，導致采集數據安全性無法得到保障。
（6）鋼鐵冶金企業內部控制系統及網絡缺乏安全監測與審計措施，無法及時發現非法訪問、非法操作、惡意攻擊等行為。
（7）鋼鐵冶金企業內部缺乏統一的安全管理平臺。
三、冶金鋼鐵行業工控系統安全防護解決方案
防護原則
（1）安全分區
對于生產網絡與辦公網絡、企業集團內網存在互聯互通的現象，首先需要進行網絡優化，明確生產網絡邊界，盡量避免多個生產網絡邊界的現象。
（2）安全審計
對生產網絡內部的日常操作行為進行基于白名單策略監控，及時發現網絡中存在的異常流量、違規操作、非法訪問、惡意程序等異常行為，并要求對生產網絡的運行日志進行記錄保存，至少保留6個月；對于已經發生攻擊事件的情況，要求可以對攻擊事件進行追蹤、溯源，定位網絡攻擊的位置或具體用戶。
（3）邊界防護
根據業務網絡實際情況，在生產網絡外部邊界處部署工業防火墻或單向隔離網閘設備，保證生產網絡向辦公網絡或其他外部網絡數據單向傳輸。工業控制系統上位操作主機（操作站、工程師站、服務器）作為生產網絡的內部邊界，需要對用戶登陸、操作、運行等行為進行安全監控與審計，并對通過上位主機外設接口與生產網絡進行數據通訊的行為進行授權管理。
（4）惡意代碼防范
對于以“白名單”防護策略為主的工控安全防護方案，除了對外部網絡邊界進行有效的訪問控制和威脅監測以外，需要對上位主機的USB接口使用過程進行安全有效管理，對于臨時接入工控網絡的移動存儲設備，必須先進行病毒查殺，才可以使用。
具體方案
（1）部署工控安全監控系統和工業防火墻，對工控協議深度解析，防范非法訪問，迅速檢測異常網絡節點，及時預警，并監控工業防火墻工作狀態，實時獲取工控網安全事件日志和報警任務，保障PLC設備和各服務器安全。
（2）在各高爐操作站和工程師站應用工控安全主機防護系統，防范非法程序和應用以及未經授權的任何行為。
（3）部署堡壘機及工控安全綜合審計系統，對違規操作行為進行控制和審計，保障網絡和數據不受外部和內部用戶的入侵和破壞。
（4）采用工控網絡隔離網關設備隔離生產控制網和控制子站環網，提供兩網數據交換安全通道，阻止來自上層網絡的非法訪問以及病毒和惡意代碼的傳播。
火力發電工業控制系統安全防護解決方案
一、背景情況
火電廠工控系統主要由中央控制室和各配電室、電子間等子站組成，系統中布置有數千個開關、數百個模擬測量點以及數個PID調節回路的控制對象。其中，中央控制室設備通常包括建立在以太網連接上的操作員站、工程師站、數據采集服務器、報表打印設備等。中央控制網絡與各子站控制系統采用光纖為通信鏈路，各子站配有光纖收發器和工業交換機。
二、安全分析
（1）中央控制網絡與各控制子站網絡互聯，存在來自上層網絡的安全威脅，缺少重點邊界、區域的安全防護手段；
（2）工控系統及網絡缺乏監測手段，無法感知未知設備、非法應用和軟件的入侵，無法對網絡中傳輸的未知異常流量進行監測；
（3）工控系統缺乏對用戶操作行為的監控和審計，針對用戶操作行為缺乏有效可靠的審計手段；
（4）工業控制系統缺乏分區邊界防護，容易受到來自信息網絡和相鄰系統的安全影響。
三、火力發電行業工控系統安全防護解決方案
安全防護原則
（1）安全分區
按照《電力監控系統安全防護規定》，原則上將基于計算機及網絡技術的業務系統劃分為生產控制大區和管理信息大區，并根據業務系統的重要性和對一次系統的影響程度將生產控制大區劃分為控制區（安全區Ⅰ）及非控制區（安全區Ⅱ），重點保護生產控制以及直接影響電力生產（機組運行）的系統。
（2）網絡專用
電力調度數據網是與生產控制大區相連接的專用網絡，承載電力實時控制、在線交易等業務。生產控制大區的電力調度數據網應當在專用通道上使用獨立的網絡設備組網，在物理層面上實現與電力企業其他數據網及外部公共信息網的安全隔離。生產控制大區的電力調度數據網應當劃分為邏輯隔離的實時子網和非實時子網，分別連接控制區和非控制區。
（3）橫向隔離 縱向認證
橫向隔離是電力監控系統安全防護體系的橫向防線。應當采用不同強度的安全設備隔離各安全區，在生產控制大區與管理信息大區之間必須部署經國家指定部門檢測認證的電力專用橫向單向安全隔離裝置，隔離強度應當接近或達到物理隔離。生產控制大區內部的安全區之間應當采用具有訪問控制功能的網絡設備、安全可靠的硬件防火墻或者相當功能的設施，實現邏輯隔離。防火墻的功能性能電磁兼容性必須經過國家相關部門的認證和測試。
縱向加密認證是電力監控系統安全防護體系的縱向防線。生產控制大區與調度數據網的縱向連接處應當設置經過國家指定部門檢測認證的電力專用縱向加密認證裝置，實現雙向身份認證、數據加密和訪問控制。
（4）綜合防護
綜合防護是結合國家信息安全等級保護工作的相關要求對電力監控系統從主機、網絡設備、惡意代碼防范、應用安全控制、審計、備份及容災等多個層面進行信息安全防護的過程。
生產控制大區可以統一部署一套網絡入侵檢測系統，應當合理設置檢測規則，檢測發現隱藏于流經網絡邊界正常信息流中的入侵行為，分析潛在威脅并進行安全審計。
非控制區的網絡設備與安全設備應當進行身份鑒別、訪問權限控制、會話控制等安全配置加固。可以應用電力調度輸子證書，在網絡設備和安全設備實現支持HTTPS的縱向安全WEB服務，能夠對瀏覽器客戶端訪問進行身份認證及加密傳輸。
生產控制大區的監控系統應當具備安全審計功能，能能夠對操作系統、數據庫、業務應用的重要操作盡心記錄、分析，及時發現各種違規行為以及病毒和黑客的攻擊行為。對于遠程用戶登陸到本地系統中的操作行為，應當進行嚴格的安全審計。
具體方案
部署工控安全綜合監管平臺、工業安全防火墻，深度解析工控協議，防范非法訪問，迅速檢測異常網絡節點，及時預警，并監控工業防火墻運行狀態，實時獲取工控網安全事件日志和報警任務；
在操作員站和工程師站部署工控主機安全防護系統，防范非法程序和應用以及未經授權的任何行為；
部署堡壘機及工控安全綜合審計系統，對違規操作行為進行控制和審計，保障網絡和數據不受外部和內部用戶的入侵和破壞；
采用工控安全隔離網閘設備，物理隔離中央控制室和各子站網，提供兩網數據交換安全通道，阻止來自上層網絡的非法訪問以及病毒和惡意代碼的傳播。
1-智慧城市數據溯源保密安全解決方案(an)
根據智慧城(cheng)市數(shu)據交(jiao)換(huan)平(ping)臺的需求(qiu)情況，提出采用自主(zhu)可(ke)控數(shu)據共享(xiang)與(yu)溯源綜合管理(li)平(ping)臺（以(yi)下(xia)簡稱數(shu)據溯源系統）來實現智慧城(cheng)市信息數(shu)據交(jiao)換(huan)共享(xiang)中的數(shu)據脫敏及溯源追(zhui)蹤保密安(an)全的痛(tong)點(dian)問題。
系(xi)(xi)統(tong)部署于智(zhi)慧城市數(shu)(shu)據(ju)交(jiao)換共(gong)享中(zhong)(zhong)心(xin)內部網絡當(dang)中(zhong)(zhong)（不同(tong)安全域(yu)之(zhi)間），當(dang)智(zhi)慧城市數(shu)(shu)據(ju)共(gong)享交(jiao)換系(xi)(xi)統(tong)通過RestAPI獲取到DB數(shu)(shu)據(ju)提供者(zhe)提供的相(xiang)關數(shu)(shu)據(ju)后，該系(xi)(xi)統(tong)會將這些數(shu)(shu)據(ju)及其(qi)相(xiang)應的數(shu)(shu)據(ju)屬性信息(xi)提交(jiao)到數(shu)(shu)據(ju)交(jiao)換安全處理中(zhong)(zhong)心(xin)，該中(zhong)(zhong)心(xin)安全域(yu)內部署了兩種數(shu)(shu)據(ju)安全處理系(xi)(xi)統(tong)，一為(wei)數(shu)(shu)據(ju)脫敏系(xi)(xi)統(tong)，第二為(wei)數(shu)(shu)據(ju)溯(su)源交(jiao)換系(xi)(xi)統(tong)。在該安全處理中(zhong)(zhong)心(xin)會對相(xiang)關的數(shu)(shu)據(ju)進(jin)行數(shu)(shu)據(ju)脫敏操(cao)作和數(shu)(shu)據(ju)溯(su)源標(biao)識操(cao)作。
1) ;數據溯(su)源(yuan)種子(zi)植(zhi)入(ru)。該操作步驟會按(an)照溯(su)源(yuan)種子(zi)植(zhi)入(ru)策(ce)略(lve)進(jin)行敏(min)感數據的(de)(de)溯(su)源(yuan)種子(zi)植(zhi)入(ru)，處(chu)理(li)完成(cheng)后(hou)的(de)(de)數據將提(ti)交給(gei)智慧(hui)城市數據共享(xiang)交換(huan)系統轉(zhuan)發給(gei)具體的(de)(de)數據使(shi)用者。
2) 數(shu)(shu)(shu)(shu)據(ju)(ju)溯源標(biao)識。相應(ying)的(de)DB數(shu)(shu)(shu)(shu)據(ju)(ju)提供者的(de)數(shu)(shu)(shu)(shu)據(ju)(ju)將會被打上知(zhi)識產權標(biao)簽(qian)，相關的(de)宿主(zhu)屬(shu)性會無(wu)縫地嵌入(ru)到現有的(de)數(shu)(shu)(shu)(shu)據(ju)(ju)之上，并且不改(gai)變現有數(shu)(shu)(shu)(shu)據(ju)(ju)的(de)任何結構(gou)，當(dang)這種數(shu)(shu)(shu)(shu)據(ju)(ju)進入(ru)數(shu)(shu)(shu)(shu)據(ju)(ju)使用者的(de)時候，不會影響數(shu)(shu)(shu)(shu)據(ju)(ju)使用者的(de)使用，但是如果數(shu)(shu)(shu)(shu)據(ju)(ju)使用者將該數(shu)(shu)(shu)(shu)據(ju)(ju)泄露(lu)給其他(ta)公(gong)司或個人，智(zhi)慧(hui)城市交(jiao)換(huan)中心可(ke)以借助于該溯源追蹤平臺進行審計和跟蹤，從而實(shi)現數(shu)(shu)(shu)(shu)據(ju)(ju)的(de)非(fei)授權擴散(san)監管(guan)問題。
2-大數據安全脫敏系統解決方案
數(shu)(shu)(shu)(shu)(shu)據(ju)安全(quan)脫敏(min)系統采用(yong)(yong)大數(shu)(shu)(shu)(shu)(shu)據(ju)分析技術來實(shi)(shi)現隱私(si)數(shu)(shu)(shu)(shu)(shu)據(ju)發現、數(shu)(shu)(shu)(shu)(shu)據(ju)提取、數(shu)(shu)(shu)(shu)(shu)據(ju)漂(piao)白、測試數(shu)(shu)(shu)(shu)(shu)據(ju)管理、數(shu)(shu)(shu)(shu)(shu)據(ju)裝載等功能于一體的高性(xing)能數(shu)(shu)(shu)(shu)(shu)據(ju)脫敏(min)設備。系統采用(yong)(yong)專(zhuan)用(yong)(yong)的脫敏(min)處理算法對敏(min)感(gan)數(shu)(shu)(shu)(shu)(shu)據(ju)進行變形、屏蔽(bi)、替換(huan)、加(jia)(jia)密(mi)(mi)（格(ge)式保留(liu)(liu)加(jia)(jia)密(mi)(mi)處理和高強度(du)加(jia)(jia)密(mi)(mi)處理），將敏(min)感(gan)數(shu)(shu)(shu)(shu)(shu)據(ju)進行處理后屏蔽(bi)了(le)原有數(shu)(shu)(shu)(shu)(shu)據(ju)的敏(min)感(gan)性(xing)，實(shi)(shi)現了(le)數(shu)(shu)(shu)(shu)(shu)據(ju)的隱私(si)性(xing)保護。同時脫敏(min)后的數(shu)(shu)(shu)(shu)(shu)據(ju)保留(liu)(liu)了(le)原有數(shu)(shu)(shu)(shu)(shu)據(ju)的數(shu)(shu)(shu)(shu)(shu)據(ju)結(jie)構(gou)和數(shu)(shu)(shu)(shu)(shu)據(ju)的業(ye)務邏輯一致(zhi)，也能維持(chi)脫敏(min)前后的數(shu)(shu)(shu)(shu)(shu)據(ju)唯一性(xing)，如：身(shen)份證、銀(yin)行卡、手(shou)機號、IMSI等。使得(de)上層(ceng)應用(yong)(yong)無需改變相應的業(ye)務邏輯。
系統具(ju)有流程化(hua)、自動化(hua)和作(zuo)業復用等(deng)(deng)特點(dian)。作(zuo)為軟硬一體化(hua)的設備，它擁有強(qiang)(qiang)大的功能、易(yi)于部署和使用等(deng)(deng)特點(dian)，開箱即用式(shi)的優(you)勢能夠極(ji)大減輕工(gong)作(zuo)人(ren)員的工(gong)作(zuo)強(qiang)(qiang)度以及項目周期(qi)。
系統(tong)對主(zhu)流(liu)(liu)數據(ju)類(lei)型(xing)(xing)(xing)均(jun)能友好支持。包括支持國(guo)產關(guan)系型(xing)(xing)(xing)主(zhu)流(liu)(liu)數據(ju)庫系統(tong)Oracle、Informix、SQL Server、DB2、MySQL。國(guo)產主(zhu)流(liu)(liu)數據(ju)庫南大通用(yong)GBase、人大金(jin)倉、虛谷等(deng)、非關(guan)系型(xing)(xing)(xing)主(zhu)流(liu)(liu)數據(ju)庫Hive、MongoDB、Redis、Hbase等(deng)。
3-數據庫保密檢查解決方案
1. 需求
需要用(yong)新(xin)的技(ji)術手段實現對數據庫(ku)進(jin)行(xing)高效涉密(mi)數據檢(jian)查(cha)。具體需求(qiu)如下。
1)檢查范圍廣。包括結構(gou)化數據(ju)庫、非結構(gou)化數據(ju)庫、云計算(suan)的虛(xu)擬機和壓(ya)縮文件、大數據(ju)集群系(xi)統、服(fu)務器系(xi)統等
2)檢查效率高。需要快(kuai)速對高達(da)100T的數據(ju)庫進行保密檢查，檢查效率是傳統方(fang)式的100-1000倍
3)檢查類型多。需要對數(shu)據庫中涉及到的(de)多種(zhong)文(wen)本(ben)文(wen)件（Word、PDF等）、圖片文(wen)件中的(de)數(shu)據進行數(shu)據敏感性檢查
4)檢查(cha)精(jing)度高。需要能(neng)在海(hai)量(liang)數據(ju)庫內容(rong)中精(jing)準定位(wei)涉密信(xin)息(xi)或數據(ju)，誤報率(lv)低(di)
5)多種檢(jian)查方(fang)法。需(xu)要提供(gong)多種檢(jian)查算法，能(neng)從多維度定位目(mu)標數據系統。
2. 功能概(gai)述
系統采用大數據技(ji)術創新性地用于(yu)數據庫涉密信息檢查，能有效達到以(yi)下目標。
1)高效采集(ji)。大數據Sqoop技術實現數據的分布式采集(ji)。
2)高效(xiao)分(fen)析。大數(shu)據MapReduce技術實現對數(shu)據庫內容(rong)的快(kuai)速分(fen)析和檢查(cha)
3)精準定(ding)位。結合檢查專家庫，快速對政(zheng)務敏感(gan)信息定(ding)位，并能生成(cheng)詳盡的分析報告
數據庫保密(mi)檢查系統安裝(zhuang)部署方便，只需要保證與被檢查數據庫網絡可(ke)達即可(ke)；出于檢查效率的考(kao)慮，建議(yi)采用千兆(zhao)及以上網絡環境。
資料更新中...
一、背景情況
校(xiao)(xiao)(xiao)園網(wang)絡(luo)是(shi)學(xue)(xue)校(xiao)(xiao)(xiao)為教(jiao)職員工(gong)和(he)學(xue)(xue)生提供網(wang)絡(luo)接入，滿足教(jiao)學(xue)(xue)、科研(yan)、管理服務(wu)需求(qiu)的(de)信(xin)(xin)息化基(ji)礎(chu)設施，包括(kuo)有線寬帶網(wang)絡(luo)、無線局(ju)域網(wang)絡(luo)和(he)移動通信(xin)(xin)網(wang)絡(luo)，因此提高(gao)高(gao)等學(xue)(xue)校(xiao)(xiao)(xiao)網(wang)絡(luo)管理和(he)服務(wu)質量，提升校(xiao)(xiao)(xiao)園網(wang)絡(luo)用戶上(shang)網(wang)體(ti)驗，保(bao)障(zhang)校(xiao)(xiao)(xiao)園網(wang)絡(luo)安全(quan)是(shi)當前教(jiao)育行業(ye)的(de)重要(yao)工(gong)作(zuo)。對于學(xue)(xue)校(xiao)(xiao)(xiao)而言(yan)，維護校(xiao)(xiao)(xiao)園網(wang)絡(luo)安全(quan)，是(shi)保(bao)障(zhang)教(jiao)育教(jiao)學(xue)(xue)正常開展的(de)基(ji)礎(chu)性工(gong)作(zuo)，也是(shi)構建新時(shi)代育人環境的(de)重要(yao)工(gong)作(zuo)。
二、安全分析
1.校園各類信息服務系統的數據安全。由于校園內各種二級、三級域名系統管理相對分散，針對各類漏洞風險可能會存在安全維護不及時等問題。這會導致部分網站或信息系統存在被拖庫、竄改等風險，從而導致師生的各類敏感信息泄露。
2.校園網絡、移動通信網無線接入安全。由于校園網絡中WiFi（行動熱點）接入點眾多且大多采用802.1x（一種訪問控制和認證協議）方式，人員密集使其成為具有較高價值的攻擊目標，因此存在大量的偽熱點、基站試圖竊取用戶敏感賬號信息，進行釣魚欺詐等。
3.校園信息系統中輿情內容安全（不良信息及言論的傳播）。由于大學生初步掌握了各種獲取信息的工具，可以輕易接觸到色情、暴力、反動等不良信息，這會影響其人生觀、世界觀的形成和發展。
4.學(xue)(xue)校(xiao)網(wang)絡(luo)安(an)全管(guan)理(li)制度(du)存在(zai)不足(zu)。學(xue)(xue)校(xiao)內計算機和網(wang)絡(luo)已經普及，需要(yao)學(xue)(xue)校(xiao)對(dui)網(wang)絡(luo)安(an)全加以(yi)重(zhong)(zhong)視，并建立完善的管(guan)理(li)制度(du)。但是，學(xue)(xue)校(xiao)還沒有(you)(you)認(ren)識到網(wang)絡(luo)安(an)全的重(zhong)(zhong)要(yao)性，且考慮(lv)不全面，建立的管(guan)理(li)制度(du)存在(zai)不足(zu)；同時，沒有(you)(you)對(dui)管(guan)理(li)人員(yuan)進行專(zhuan)業技術和職業素(su)養方面的培(pei)訓(xun)，影(ying)響網(wang)絡(luo)安(an)全管(guan)理(li)效率(lv)與質(zhi)量。
三、教育行業系統安全防護解決方案
網絡層面：關注安全域劃分、訪問控制、抗拒絕服務攻擊，針對區域邊界采取隔離手段，并在隔離后的各個安全區域邊界執行嚴格的訪問控制，防止非法訪問，利用漏洞管理系統、網絡安全審計等網絡安全產品，為客戶構建嚴密、專業的網絡安全保障體系。
應用層面：WEB應用防火墻能夠對WEB應用漏洞進行預先掃描，同時具備對SQL注入、跨站腳本等通過應用層的入侵動作實時阻斷，并結合網頁防篡改子系統，真正達到雙重層面的“網頁防篡改”效果。
數(shu)據(ju)(ju)(ju)層面：數(shu)據(ju)(ju)(ju)庫將被隱藏(zang)在安全(quan)(quan)區(qu)域，同(tong)時通過專(zhuan)業的(de)(de)安全(quan)(quan)加固服務對(dui)數(shu)據(ju)(ju)(ju)庫進行安全(quan)(quan)評(ping)估和配置，對(dui)數(shu)據(ju)(ju)(ju)庫的(de)(de)訪問權限進行嚴格設定，最大(da)限度保證(zheng)數(shu)據(ju)(ju)(ju)庫安全(quan)(quan)。同(tong)時，有(you)效保護重要(yao)數(shu)據(ju)(ju)(ju)信息的(de)(de)健康度。
一、背景情況
醫(yi)療衛生行(xing)(xing)業的健(jian)康發展(zhan)，直(zhi)接(jie)關(guan)系到(dao)民生問題。隨著醫(yi)院信息(xi)(xi)化(hua)建設(she)(she)的逐(zhu)步(bu)深入，網(wang)上業務由單一到(dao)多元化(hua)，各類應用(yong)系統(tong)數十個，信息(xi)(xi)系統(tong)承受的壓力日益增長，醫(yi)院信息(xi)(xi)系統(tong)已經(jing)成為醫(yi)院正常運行(xing)(xing)不可或(huo)缺的支(zhi)撐環境和工作平臺。醫(yi)院業務系統(tong)作為我(wo)國重(zhong)(zhong)要的關(guan)鍵(jian)信息(xi)(xi)基礎設(she)(she)施(shi)，是黑客(ke)的重(zhong)(zhong)點攻擊對象(xiang)，醫(yi)療行(xing)(xing)業網(wang)絡攻擊事件(jian)層(ceng)出不窮。因此，建設(she)(she)完善的網(wang)絡安全防御體(ti)系，落實醫(yi)院網(wang)絡安全等級化(hua)建設(she)(she)工作勢(shi)在必(bi)行(xing)(xing)。
二、安全分析
近年來，各類勒索病毒、挖礦病毒、黑客木馬等自動化攻擊程序的出現和持續增加，如何快速有效的解決醫院資產全生命周期閉環管理，完成安全合規的落地化工作并盡量少地影響醫院核心臨床應用，也成為當前醫院面臨的嚴峻安全挑戰之一。
三、醫療行業安全防護解決方案
●安全物理環境
依據《信息安全技術-網絡安全等級保護基本要求》中的“安全物理環境”要求對對機房進行整改建設。
●安全通信網絡
安全通信網絡從網絡架構、通信傳輸和可信驗證三個方面進行設計和安全防護。
保證網絡設備的業務處理能力滿足業務高峰期需要；
關鍵業務區和管理區采取可靠的技術手段與其他區域進行隔離；
重要數據的通信傳輸采取加密措施；
●安全區邊界
根據業務網絡實際情況，在內網區和外網區的邊界部署安全隔離設備，保證HIS、LIS等系統面臨的APT攻擊、非法外聯/違規接入網絡等安全威脅進行有針對性的安全控制。
針對數據的傳輸、使用和存儲等過程，使用數據加密傳輸、數據脫敏等措施，保護醫院重要數據資產的安全。
●安全計算環境
安全計算環境(jing)防(fang)護建設(she)主(zhu)要(yao)通過主(zhu)機加固(gu)、入(ru)侵防(fang)范、漏洞掃描、惡(e)意代(dai)碼防(fang)護等多(duo)種安全機制實現。
解決方案
SOLUTION
煤礦行業工業控制系統安全防護解決方案
一、背景情況
煤炭工業控制系統是整個煤炭企業安全生產監控系統信息的集成，它需要一個快速、安全、可靠的網絡平臺為大量的信息流動提供支撐，同時要有一個功能全面的安全生產信息應用系統為礦井安全生產提供科學調度、決策的依據。做好煤炭企業工控安全建設是實現生產安全的必要保障。
綜合自動化系統是指在工業生產、管理、經營過程中，通過信息基礎設施，在集成平臺上，實現信息的采集、信息的傳輸、信息的處理以及信息的綜合利用等。將先進和自動控制、通訊、信息技術和現化管理技術結合，將企業的生產過程控制、運行與管理作為一個整體進行控制與管理，提供整體解決方案，以實現企業的優化運行、控制和管理。
二、安全分析
（1）缺乏整體信息安全規劃；
（2）缺乏工控安全管理制度、應急預案、培訓與意識培養；
（3）調度人員有時通過連通互聯網的手機在調度室主機U口上充電，導致生產網絡通過手機被打通，造成邊界模糊。
（4）主機操作系統老舊，從不升級，極易出現安全漏洞和缺陷；新建系統主機雖然會安裝殺毒軟件，但是為保障生產運行，殺毒軟件一般處于關閉狀態，這些都存在安全隱患，無法防御“0-DAY”病毒和勒索病毒。
（5）調度人員或運維人員使用帶有病毒的U盤插入主機中，造成整個網絡感染病毒。
（6）煤炭生產現場PLC多為西門子或AB的產品，而PLC本身存在漏洞，西門子和AB近些年被曝出存在高危漏洞，攻擊者可以利用漏洞控制現場設備，執行錯誤命令，嚴重影響安全生產。
（7）黑客也可通過技術手段潛入生產網絡，獲取關鍵生產數據，牟取利益。
三、煤礦行業工控系統安全防護解決方案
安全防護原則
（1）安全分區
對于生產網絡與辦公網絡、企業集團內網存在互聯互通的現象，首先需要進行網絡優化，明確生產網絡邊界，盡量避免多個生產網絡邊界的現象。
（2）安全審計
對生產網絡內部的日常操作行為進行基于白名單策略監控，及時發現網絡中存在的異常流量、違規操作、非法訪問、惡意程序等異常行為，并要求對生產網絡的運行日志進行記錄保存，至少保留6個月；對于已經發生攻擊事件的情況，要求可以對攻擊事件進行追蹤、溯源，定位網絡攻擊的位置或具體用戶。
（3）邊界防護
根據業務網絡實際情況，在生產網絡外部邊界處部署工業防火墻或單向隔離網閘設備，保證生產網絡向辦公網絡或其他外部網絡數據單向傳輸。工業控制系統上位操作主機（操作站、工程師站、服務器）作為生產網絡的內部邊界，需要對用戶登陸、操作、運行等行為進行安全監控與審計，并對通過上位主機外設接口與生產網絡進行數據通訊的行為進行授權管理。
（4）惡意代碼防范
對于以“白名單”防護策略為主的工控安全防護方案，除了對外部網絡邊界進行有效的訪問控制和威脅監測以外，需要對上位主機的USB接口使用過程進行安全有效管理，對于臨時接入工控網絡的移動存儲設備，必須先進行病毒查殺，才可以使用。
具體方案
? 部署工控安全綜合監管平臺、工業安全防火墻，深度解析工控協議，防范非法訪問，迅速檢測異常網絡節點，及時預警，并監控工業防火墻運行狀態，實時獲取工控網安全事件日志和報警任務；
? 在操作員站和工程師站部署工控主機安全防護系統，防范非法程序和應用以及未經授權的任何行為；
? 部署堡壘機及工控安全綜合審計系統，對違規操作行為進行控制和審計，保障網絡和數據不受外部和內部用戶的入侵和破壞；
? 采用工控安全隔離網閘設備，物理隔離煤礦辦公網和生產網，提供兩網數據交換安全通道，阻止來自上層網絡的非法訪問以及病毒和惡意代碼的傳播。
焦化工業控制系統安全防護解決方案
一、背景情況
焦化企業普遍采用基于信息網、管理網和控制網三層架構的的管控一體化信息模型，焦化企業是典型的資金和技術密集型企業，生產的連續性很強，裝置和重要設備的意外停產都會導致巨大的經濟損失，因此生產過程控制大多采用DCS等先進的控制系統，且以國外廠商為主。經過多年的發展，焦化行業信息化建設已經有了較好的基礎，企業在管理層的指揮、協調和監控能力在實時性、完整性和一致性上都有了很大的提升，相應的網絡安全防護也有了較大提高。隨著焦化企業管控一體化的實現，越來越多的控制網絡系統通過信息網絡連接到互聯上，潛在的威脅就越來越大。
二、安全分析
（1）控制網絡與管理網絡互聯，存在來自上層網絡的安全威脅存在。
（2）存在來自工作站（接入U盤、便攜設備等）的病毒傳染隱患。
（3）網絡中沒有設置安全監控平臺，無法對網絡安全事故進行預警和分析，影響問題識別和系統修復效率。
（4）控制系統缺少分級、分區的安全防護，容易受到信息網絡及相鄰系統的潛在威脅。
（5）對違規操作缺乏控制和審計。
三、焦化行業工控系統安全防護解決方案
防護原則
（1）安全分區
對于生產網絡與辦公網絡、企業集團內網存在互聯互通的現象，首先需要進行網絡優化，明確生產網絡邊界，盡量避免多個生產網絡邊界的現象。
（2）安全審計
對生產網絡內部的日常操作行為進行基于白名單策略監控，及時發現網絡中存在的異常流量、違規操作、非法訪問、惡意程序等異常行為，并要求對生產網絡的運行日志進行記錄保存，至少保留6個月；對于已經發生攻擊事件的情況，要求可以對攻擊事件進行追蹤、溯源，定位網絡攻擊的位置或具體用戶。
（3）邊界防護
根據業務網絡實際情況，在生產網絡外部邊界處部署工業防火墻或單向隔離網閘設備，保證生產網絡向辦公網絡或其他外部網絡數據單向傳輸。工業控制系統上位操作主機（操作站、工程師站、服務器）作為生產網絡的內部邊界，需要對用戶登陸、操作、運行等行為進行安全監控與審計，并對通過上位主機外設接口與生產網絡進行數據通訊的行為進行授權管理。
（4）惡意代碼防范
對于以“白名單”防護策略為主的工控安全防護方案，除了對外部網絡邊界進行有效的訪問控制和威脅監測以外，需要對上位主機的USB接口使用過程進行安全有效管理，對于臨時接入工控網絡的移動存儲設備，必須先進行病毒查殺，才可以使用。
具體方案
（1）根據焦化行業的網絡拓撲圖，結合相關標準及技術規范與要求，將整個網絡劃分為操作管理層、現場監控層、生產控制層和生產執行層四個區域。
（2）在現有網絡架構下，協同部署工控系統安全防護產品，全面防護包括OPC數據采集、控制設備和工程師工作站的安全。
（3）采用工控網絡隔離網關設備隔離內外網，提供內外網數據交換安全通道，阻止來自上層網絡的非法訪問、病毒及惡意代碼的傳播。
（4）部署分布式工業防火墻和工控安全監控平臺，深度解析多種工控協議，防范非法訪問，迅速檢測異常網絡節點，及時預警，并監控工業防火墻工作狀態，實時獲取工控網絡安全事件日志和報警任務。
（5）在工作站應用工控安全主機防護系統，防范非法程序、應用以及未經授權的任何行為，給予終端計算機全生命周期的安全防護。
（6）在操作管理層部署審計平臺和堡壘機，對違規操作行為進行控制和審計，保障網絡和數據不受外部和內部用戶的入侵和破壞。
冶金鋼鐵工業控制系統安全防護解決方案
一、背景情況
冶金鋼鐵行業工業以太網一般采用環網結構，為實時控制網，負責控制器、操作站和工程師站之間過程控制數據實時通訊，網絡上所有操作站、數采機和PLC都采用以太網接口，網絡中遠距離傳輸介質為光纜，本地傳輸介質為網線（如PLC與操作站之間）。生產監控主機利用雙網卡結構與管理網互聯。
二、安全分析
（1）鋼鐵冶金企業沒有對其內部生產控制系統及網絡進行分區、分層，無法將惡意軟件、黑客攻擊、非法操作等行為控制在特定區域內，易發生全局性網絡安全風險。
（2）分廠控制網絡采用同網段組網，PLC、DCS等重要控制系統缺乏安全防護和訪問控制措施。
（3）各分廠控制網與骨干環網之間無隔離防護措施。
（4）鋼鐵冶金企業辦公網和生產監控網之間無物理隔離措施，導致病毒、木馬、黑客攻擊等極易以辦公網為跳板對生產控制系統發起攻擊。
（5）由于鋼鐵冶金企業控制流程復雜、設備種類繁多、通信協議多樣，導致采集數據安全性無法得到保障。
（6）鋼鐵冶金企業內部控制系統及網絡缺乏安全監測與審計措施，無法及時發現非法訪問、非法操作、惡意攻擊等行為。
（7）鋼鐵冶金企業內部缺乏統一的安全管理平臺。
三、冶金鋼鐵行業工控系統安全防護解決方案
防護原則
（1）安全分區
對于生產網絡與辦公網絡、企業集團內網存在互聯互通的現象，首先需要進行網絡優化，明確生產網絡邊界，盡量避免多個生產網絡邊界的現象。
（2）安全審計
對生產網絡內部的日常操作行為進行基于白名單策略監控，及時發現網絡中存在的異常流量、違規操作、非法訪問、惡意程序等異常行為，并要求對生產網絡的運行日志進行記錄保存，至少保留6個月；對于已經發生攻擊事件的情況，要求可以對攻擊事件進行追蹤、溯源，定位網絡攻擊的位置或具體用戶。
（3）邊界防護
根據業務網絡實際情況，在生產網絡外部邊界處部署工業防火墻或單向隔離網閘設備，保證生產網絡向辦公網絡或其他外部網絡數據單向傳輸。工業控制系統上位操作主機（操作站、工程師站、服務器）作為生產網絡的內部邊界，需要對用戶登陸、操作、運行等行為進行安全監控與審計，并對通過上位主機外設接口與生產網絡進行數據通訊的行為進行授權管理。
（4）惡意代碼防范
對于以“白名單”防護策略為主的工控安全防護方案，除了對外部網絡邊界進行有效的訪問控制和威脅監測以外，需要對上位主機的USB接口使用過程進行安全有效管理，對于臨時接入工控網絡的移動存儲設備，必須先進行病毒查殺，才可以使用。
具體方案
（1）部署工控安全監控系統和工業防火墻，對工控協議深度解析，防范非法訪問，迅速檢測異常網絡節點，及時預警，并監控工業防火墻工作狀態，實時獲取工控網安全事件日志和報警任務，保障PLC設備和各服務器安全。
（2）在各高爐操作站和工程師站應用工控安全主機防護系統，防范非法程序和應用以及未經授權的任何行為。
（3）部署堡壘機及工控安全綜合審計系統，對違規操作行為進行控制和審計，保障網絡和數據不受外部和內部用戶的入侵和破壞。
（4）采用工控網絡隔離網關設備隔離生產控制網和控制子站環網，提供兩網數據交換安全通道，阻止來自上層網絡的非法訪問以及病毒和惡意代碼的傳播。
火力發電工業控制系統安全防護解決方案
一、背景情況
火電廠工控系統主要由中央控制室和各配電室、電子間等子站組成，系統中布置有數千個開關、數百個模擬測量點以及數個PID調節回路的控制對象。其中，中央控制室設備通常包括建立在以太網連接上的操作員站、工程師站、數據采集服務器、報表打印設備等。中央控制網絡與各子站控制系統采用光纖為通信鏈路，各子站配有光纖收發器和工業交換機。
二、安全分析
（1）中央控制網絡與各控制子站網絡互聯，存在來自上層網絡的安全威脅，缺少重點邊界、區域的安全防護手段；
（2）工控系統及網絡缺乏監測手段，無法感知未知設備、非法應用和軟件的入侵，無法對網絡中傳輸的未知異常流量進行監測；
（3）工控系統缺乏對用戶操作行為的監控和審計，針對用戶操作行為缺乏有效可靠的審計手段；
（4）工業控制系統缺乏分區邊界防護，容易受到來自信息網絡和相鄰系統的安全影響。
三、火力發電行業工控系統安全防護解決方案
安全防護原則
（1）安全分區
按照《電力監控系統安全防護規定》，原則上將基于計算機及網絡技術的業務系統劃分為生產控制大區和管理信息大區，并根據業務系統的重要性和對一次系統的影響程度將生產控制大區劃分為控制區（安全區Ⅰ）及非控制區（安全區Ⅱ），重點保護生產控制以及直接影響電力生產（機組運行）的系統。
（2）網絡專用
電力調度數據網是與生產控制大區相連接的專用網絡，承載電力實時控制、在線交易等業務。生產控制大區的電力調度數據網應當在專用通道上使用獨立的網絡設備組網，在物理層面上實現與電力企業其他數據網及外部公共信息網的安全隔離。生產控制大區的電力調度數據網應當劃分為邏輯隔離的實時子網和非實時子網，分別連接控制區和非控制區。
（3）橫向隔離 縱向認證
橫向隔離是電力監控系統安全防護體系的橫向防線。應當采用不同強度的安全設備隔離各安全區，在生產控制大區與管理信息大區之間必須部署經國家指定部門檢測認證的電力專用橫向單向安全隔離裝置，隔離強度應當接近或達到物理隔離。生產控制大區內部的安全區之間應當采用具有訪問控制功能的網絡設備、安全可靠的硬件防火墻或者相當功能的設施，實現邏輯隔離。防火墻的功能性能電磁兼容性必須經過國家相關部門的認證和測試。
縱向加密認證是電力監控系統安全防護體系的縱向防線。生產控制大區與調度數據網的縱向連接處應當設置經過國家指定部門檢測認證的電力專用縱向加密認證裝置，實現雙向身份認證、數據加密和訪問控制。
（4）綜合防護
綜合防護是結合國家信息安全等級保護工作的相關要求對電力監控系統從主機、網絡設備、惡意代碼防范、應用安全控制、審計、備份及容災等多個層面進行信息安全防護的過程。
生產控制大區可以統一部署一套網絡入侵檢測系統，應當合理設置檢測規則，檢測發現隱藏于流經網絡邊界正常信息流中的入侵行為，分析潛在威脅并進行安全審計。
非控制區的網絡設備與安全設備應當進行身份鑒別、訪問權限控制、會話控制等安全配置加固。可以應用電力調度輸子證書，在網絡設備和安全設備實現支持HTTPS的縱向安全WEB服務，能夠對瀏覽器客戶端訪問進行身份認證及加密傳輸。
生產控制大區的監控系統應當具備安全審計功能，能能夠對操作系統、數據庫、業務應用的重要操作盡心記錄、分析，及時發現各種違規行為以及病毒和黑客的攻擊行為。對于遠程用戶登陸到本地系統中的操作行為，應當進行嚴格的安全審計。
具體方案
部署工控安全綜合監管平臺、工業安全防火墻，深度解析工控協議，防范非法訪問，迅速檢測異常網絡節點，及時預警，并監控工業防火墻運行狀態，實時獲取工控網安全事件日志和報警任務；
在操作員站和工程師站部署工控主機安全防護系統，防范非法程序和應用以及未經授權的任何行為；
部署堡壘機及工控安全綜合審計系統，對違規操作行為進行控制和審計，保障網絡和數據不受外部和內部用戶的入侵和破壞；
采用工控安全隔離網閘設備，物理隔離中央控制室和各子站網，提供兩網數據交換安全通道，阻止來自上層網絡的非法訪問以及病毒和惡意代碼的傳播。
1-智慧城市數據(ju)溯源保密(mi)安全(quan)解決(jue)方案
根據(ju)智慧城市數(shu)(shu)(shu)據(ju)交換平(ping)(ping)臺的需(xu)求情況(kuang)，提出采用(yong)自主可控(kong)數(shu)(shu)(shu)據(ju)共享(xiang)與溯源(yuan)綜合管理平(ping)(ping)臺（以(yi)下簡稱(cheng)數(shu)(shu)(shu)據(ju)溯源(yuan)系(xi)統）來實現智慧城市信息數(shu)(shu)(shu)據(ju)交換共享(xiang)中(zhong)的數(shu)(shu)(shu)據(ju)脫敏及溯源(yuan)追蹤保(bao)密(mi)安(an)全的痛點問題(ti)。
系(xi)統部署于智(zhi)慧城市數(shu)據(ju)(ju)交(jiao)(jiao)換共(gong)享(xiang)(xiang)中心(xin)內部網(wang)絡當中（不同安(an)全(quan)域(yu)(yu)之間），當智(zhi)慧城市數(shu)據(ju)(ju)共(gong)享(xiang)(xiang)交(jiao)(jiao)換系(xi)統通過RestAPI獲(huo)取到DB數(shu)據(ju)(ju)提供者提供的相關數(shu)據(ju)(ju)后，該系(xi)統會將(jiang)這些數(shu)據(ju)(ju)及(ji)其相應的數(shu)據(ju)(ju)屬性(xing)信息提交(jiao)(jiao)到數(shu)據(ju)(ju)交(jiao)(jiao)換安(an)全(quan)處(chu)(chu)理(li)中心(xin)，該中心(xin)安(an)全(quan)域(yu)(yu)內部署了兩種數(shu)據(ju)(ju)安(an)全(quan)處(chu)(chu)理(li)系(xi)統，一為(wei)數(shu)據(ju)(ju)脫敏系(xi)統，第二為(wei)數(shu)據(ju)(ju)溯(su)源交(jiao)(jiao)換系(xi)統。在該安(an)全(quan)處(chu)(chu)理(li)中心(xin)會對(dui)相關的數(shu)據(ju)(ju)進行數(shu)據(ju)(ju)脫敏操作和數(shu)據(ju)(ju)溯(su)源標識操作。
1) 數(shu)據溯(su)源(yuan)種子(zi)植入(ru)(ru)。該操作步驟(zou)會按照溯(su)源(yuan)種子(zi)植入(ru)(ru)策略進(jin)行敏感(gan)數(shu)據的(de)(de)溯(su)源(yuan)種子(zi)植入(ru)(ru)，處理完成(cheng)后的(de)(de)數(shu)據將(jiang)提交(jiao)給智慧城(cheng)市數(shu)據共享交(jiao)換系統轉發給具體的(de)(de)數(shu)據使用者。
2) 數(shu)(shu)(shu)(shu)(shu)(shu)(shu)據(ju)溯(su)源標識。相應的(de)DB數(shu)(shu)(shu)(shu)(shu)(shu)(shu)據(ju)提供者(zhe)的(de)數(shu)(shu)(shu)(shu)(shu)(shu)(shu)據(ju)將會(hui)被打(da)上知識產權標簽，相關的(de)宿主屬性會(hui)無縫地嵌入到現(xian)有的(de)數(shu)(shu)(shu)(shu)(shu)(shu)(shu)據(ju)之上，并且不(bu)改(gai)變現(xian)有數(shu)(shu)(shu)(shu)(shu)(shu)(shu)據(ju)的(de)任何結構(gou)，當這種(zhong)數(shu)(shu)(shu)(shu)(shu)(shu)(shu)據(ju)進入數(shu)(shu)(shu)(shu)(shu)(shu)(shu)據(ju)使(shi)(shi)用(yong)(yong)者(zhe)的(de)時候，不(bu)會(hui)影響數(shu)(shu)(shu)(shu)(shu)(shu)(shu)據(ju)使(shi)(shi)用(yong)(yong)者(zhe)的(de)使(shi)(shi)用(yong)(yong)，但是如(ru)果數(shu)(shu)(shu)(shu)(shu)(shu)(shu)據(ju)使(shi)(shi)用(yong)(yong)者(zhe)將該數(shu)(shu)(shu)(shu)(shu)(shu)(shu)據(ju)泄露(lu)給其他公司或個人，智慧城市交換中心可以借助于(yu)該溯(su)源追蹤(zong)平臺進行審計(ji)和(he)跟(gen)蹤(zong)，從而實現(xian)數(shu)(shu)(shu)(shu)(shu)(shu)(shu)據(ju)的(de)非(fei)授權擴散監管問(wen)題。
2-大數據安全脫敏系統解決方案
數據(ju)(ju)(ju)安全脫(tuo)敏(min)(min)系統(tong)采用(yong)大(da)數據(ju)(ju)(ju)分析(xi)技(ji)術來實(shi)現(xian)(xian)隱(yin)私(si)數據(ju)(ju)(ju)發現(xian)(xian)、數據(ju)(ju)(ju)提取、數據(ju)(ju)(ju)漂白、測(ce)試數據(ju)(ju)(ju)管理(li)、數據(ju)(ju)(ju)裝載等功(gong)能于一(yi)體的(de)高(gao)性能數據(ju)(ju)(ju)脫(tuo)敏(min)(min)設(she)備。系統(tong)采用(yong)專用(yong)的(de)脫(tuo)敏(min)(min)處(chu)理(li)算法對敏(min)(min)感(gan)(gan)數據(ju)(ju)(ju)進行(xing)變形、屏蔽(bi)、替換、加密(mi)（格式保留加密(mi)處(chu)理(li)和(he)高(gao)強度加密(mi)處(chu)理(li)），將敏(min)(min)感(gan)(gan)數據(ju)(ju)(ju)進行(xing)處(chu)理(li)后(hou)(hou)屏蔽(bi)了原(yuan)有(you)數據(ju)(ju)(ju)的(de)敏(min)(min)感(gan)(gan)性，實(shi)現(xian)(xian)了數據(ju)(ju)(ju)的(de)隱(yin)私(si)性保護。同時(shi)脫(tuo)敏(min)(min)后(hou)(hou)的(de)數據(ju)(ju)(ju)保留了原(yuan)有(you)數據(ju)(ju)(ju)的(de)數據(ju)(ju)(ju)結構(gou)和(he)數據(ju)(ju)(ju)的(de)業(ye)務(wu)(wu)邏(luo)(luo)輯一(yi)致，也能維(wei)持(chi)脫(tuo)敏(min)(min)前后(hou)(hou)的(de)數據(ju)(ju)(ju)唯一(yi)性，如：身份證、銀行(xing)卡、手機號、IMSI等。使得上層應用(yong)無需(xu)改變相應的(de)業(ye)務(wu)(wu)邏(luo)(luo)輯。
系統具有流程(cheng)化(hua)、自動化(hua)和作業復用等(deng)特(te)點。作為軟硬一體化(hua)的設備，它擁(yong)有強大的功能(neng)、易于部署(shu)和使用等(deng)特(te)點，開(kai)箱(xiang)即(ji)用式的優(you)勢(shi)能(neng)夠極(ji)大減輕工作人員的工作強度以(yi)及項目(mu)周期。
系(xi)統對主流(liu)數據類型(xing)均能友好(hao)支持(chi)。包括支持(chi)國(guo)產關(guan)系(xi)型(xing)主流(liu)數據庫系(xi)統Oracle、Informix、SQL Server、DB2、MySQL。國(guo)產主流(liu)數據庫南(nan)大(da)通用GBase、人大(da)金倉、虛谷等、非(fei)關(guan)系(xi)型(xing)主流(liu)數據庫Hive、MongoDB、Redis、Hbase等。
3-數據庫保密檢查解決方案
1. 需求
需要用新的技術(shu)手段實現對數據庫(ku)進行高(gao)效(xiao)涉密數據檢查。具體(ti)需求如下。
1)檢查范圍廣。包括(kuo)結構化數據(ju)庫、非結構化數據(ju)庫、云(yun)計算的(de)虛擬(ni)機和壓縮(suo)文件、大(da)數據(ju)集群系(xi)統(tong)、服(fu)務器系(xi)統(tong)等
2)檢查(cha)(cha)效(xiao)率(lv)高。需要快速對(dui)高達100T的數據庫進行保密(mi)檢查(cha)(cha)，檢查(cha)(cha)效(xiao)率(lv)是傳統(tong)方式的100-1000倍
3)檢(jian)(jian)查類型多。需要(yao)對數(shu)據(ju)庫(ku)中涉及到的多種文本文件(jian)（Word、PDF等）、圖片文件(jian)中的數(shu)據(ju)進行數(shu)據(ju)敏感性檢(jian)(jian)查
4)檢查精度高。需要能在海量數據(ju)(ju)庫(ku)內容中精準定位涉(she)密信息或(huo)數據(ju)(ju)，誤報率(lv)低
5)多種檢查(cha)方法。需要提供(gong)多種檢查(cha)算法，能從多維(wei)度定位目(mu)標數據系(xi)統。
2. 功能(neng)概述
系(xi)統采用大數據技術創新性地用于數據庫涉密信息(xi)檢查，能有效達(da)到以下目標。
1)高效采集(ji)。大數據Sqoop技術實現數據的分布式采集(ji)。
2)高效分(fen)析(xi)(xi)。大數據(ju)MapReduce技術實現對數據(ju)庫內容的快速分(fen)析(xi)(xi)和(he)檢查
3)精準定位。結合(he)檢查專(zhuan)家庫，快速對政務敏感信(xin)息定位，并能生成詳盡的分析報告
數據庫保密檢(jian)查(cha)(cha)系(xi)統(tong)安裝部署方便，只需要保證與被檢(jian)查(cha)(cha)數據庫網(wang)絡(luo)可達(da)即(ji)可；出于檢(jian)查(cha)(cha)效(xiao)率的考慮，建議采用(yong)千兆及以(yi)上網(wang)絡(luo)環境。
資料更新中...
