基于堡垒机技术的企业信息网络安全防护模型

林志达，张华兵，曹小明，卢伟开

（1.中国南方电网有限责任公司数字化部，广东广州 510700；2.南方电网数字电网研究院有限公司平台安全分公司，广东 广州 510700）

随着互联网技术的飞速发展，网络在各个行业中发挥着重要的作用，企业信息的日常维护、安全生产、人事管理等越来越依赖互联网，给企业带来经济效益的同时也带来了更多的网络安全问题，如果网络出现安全风险，企业信息将会遭到泄露，其生产和办公将无法正常运行[1]。

目前，企业网络出现的安全问题包括：企业网络受到黑客、病毒、拒绝服务攻击，黑客以非法手段获取企业操作系统的口令[2]，强行闯入企业网络系统，以此窃取企业信息，而病毒则将非法数据写入到企业的操作系统中，从而拷贝企业网络系统中磁盘上的企业信息。除此之外，企业网络自身存在安全漏洞，安全漏洞来源于企业的操作系统、网络协议与网络服务[3]。面对这些安全风险，企业把优势资源只投入到安全漏洞方面，关注保护性控制，不重视对企业信息网络安全的日常防护，从而不能有效防护来自企业内部网络系统与外部网络的共同威胁[4]。

基于此，该文构建了一种基于堡垒机技术的企业信息网络安全防护模型，在企业网络系统和外部网络之间设置堡垒机，将企业信息网络安全防护方案与风险因素进行整合，从而得出针对企业信息网络安全的防护流程，最后通过实验验证该文设计的基于堡垒机技术的企业信息网络安全防护模型的网络安全防护能力。

1 安全防护模型结构

针对企业网络目前存在的一些安全风险，结合堡垒机技术[5]，得到企业信息网络安全防护模型结构，如图1 所示。

图1 企业信息网络安全防护模型结构

防火墙将网络系统中企业信息数据进行打包操作，并按照网络安全协议进行过滤，可以保障企业内部网络和堡垒机免受外界入侵。企业内部网络在其与互联网连通的端口处安装防火墙[6]，企业内部网络内所有的原始信息和企业计算机发送的信息都要经过防火墙，它可以帮助企业内部网络过滤所有进、出网络的信息数据，能够阻止黑客对企业网络系统进行攻击，可以有效控制进、出企业网络系统的访问次数，并管理其访问行为。如果互联网存在对企业信息不利的业务，防火墙可以对其进行封堵，禁止其访问企业内部网络[7]。除此之外，防火墙可以实时记录进、出企业内部网络系统的信息内容和访问地址，通过与堡垒机技术有机结合，对外界攻击进行实时监测并发出入侵报警，关闭互联网和企业内部网络连接的端口，以便进行网络安全防护工作。信息网络收集逻辑架构如图2 所示。

图2 信息网络收集逻辑架构

信息网络收集逻辑架构中的VPN 也叫作虚拟专用网络，是一种先进的网络技术，采用堡垒机技术在互联网上构建企业网络，通过身份认证方式对企业信息进行加密，并对网络客户端进行密码检查。VPN 可以在堡垒机与堡垒机或服务器之间，对向企业网络发送的信息内容进行身份认证。通过虚拟传输接口，让两个处于不同客户端的用户感觉是在同一个客户端上，安全、没有限制地进行网络信息传输，企业的合作伙伴、员工、领导等可以安全地登录企业局域网，浏览企业信息[8]。采集的数据类型与数量如表1 所示。

表1 采集的数据类型与数量

为保护企业信息中的私有信息不遭到泄密，在企业局域网内设有专门的内部信息子网，其包含企业的公共信息和私有信息，采用网络安全协议和防护策略，在内部信息子网的登录处设置了访问端口，对访问用户进行严格的控制[9]。当有紧急情况发生时，内部信息子网可以与企业网络和公共网络完全隔离，公共网络查看企业私有信息只能通过堡垒机技术查看。

企业内、外部资源访问内部信息子网需要进行严格的控制，内部访问资源可以使用较为薄弱的防护策略，对外部网络提供服务，对访问用户进行多种控制。外部访问控制是企业内的一种信息资源控制，企业外部用户访问企业内部资源时，可以对其进行身份认证[10]。如果远端用户想要访问企业信息，需要由企业外部资源控制验证其身份，检查访问权限，查看访问级别，才可允许访问。

2 安全防护基本流程

基于堡垒机技术的企业信息网络安全防护的关键是将堡垒机技术和网络安全防护策略进行结合，在身份认证、控制检查、访问内容、访问级别、管理权限、构建、测试环节[11]融入安全风险与防护方法。企业信息网络安全防护方法如图3 所示。

图3 企业信息网络安全防护方法

堡垒机技术下的企业信息网络安全防护方法被利用在防护流程中，安全风险发现阶段始于身份认证阶段，访问内容在远端用户访问企业内部信息子网时获得，并在测试阶段反映给控制系统[12]。根据以上给出的网络安全防护方法，基于堡垒机技术的企业信息网络安全防护的基本流程如图4 所示。

图4 企业信息网络安全防护基本流程

企业信息网络安全防护过程从企业信息分类开始，在企业信息分类过程中，建立企业信息模型并对其进行分析，信息分类阶段会产生信息分类列表、分类列表的网络安全级别、访问控制向量，为基于堡垒机技术的企业信息建模提供基础[13]。信息分类阶段可以是使用级、网络级、企业级或者信息级，该阶段会扩展信息访问功能，以此获得远端用户访问企业内部信息子网的效果矩阵，访问权限控制功能会建立企业级的防护措施，防护措施通过访问权限矩阵得出的结果返回到企业信息分类列表中，显示访问的信息内容，生成访问级别，并记录堡垒机与企业局域网、企业网络和公共网络之间出现的安全风险。远端用户访问企业网络而形成的控制矩阵会产生以下三种结果：

1）企业网络控制系统。利用控制矩阵对堡垒机技术下的信息访问效果进行评估，需要企业网络控制系统提供当前影响访问效果的因素，以此识别出企业网络控制系统的运行状态，从而确认系统是否需要触发更新[14]。采用企业网络的内部控制资源输出控制效果，通过网络安全授权控制器记录控制结果，该控制结果可以更清晰地显示非法入侵者攻击企业网络使用的攻击手段。

2）网络安全防护结构图。对控制矩阵进行定量分析，利用分析结果可形成企业信息网络安全防护结构图，并形成可视化的访问架构，企业信息分类列表的大小可间接反映控制矩阵的规模[15]。得到的企业信息安全态势模型如图5 所示。

图5 企业信息安全态势模型

3）企业信息访问记录。该记录可直观显示外界对企业内部网络攻击的情况，攻击的目的是访问企业信息，获取企业公共信息和私有信息，并粘贴和复制自身数据。企业信息访问记录与网络安全防护结构图中使用的数据集合相同，基于堡垒机技术的企业信息网络安全防护流程的最后阶段是产生或输出。网络安全防护结构图也是一种防御工具[16]，可以有效阻止来自企业内部网络和外部网络的攻击，与企业信息访问记录联合，成为企业信息网络安全防护控制的模范记录。

3 实验研究

为了验证该文建立的基于堡垒机技术的企业信息网络安全防护模型的防护效果，通过实验与其他网络安全防护模型进行对比。该文建立的网络安全防护模型从访问控制、访问权限、安全风险分析和预处理4 个方面进行分析，采用堡垒机技术下的网络安全防护方法，分析企业内部网络存在的安全隐患以及安全隐患的来源。

该文建立的网络安全防护模型能够很好地应对企业网络内部出现的安全隐患，远端用户访问企业内部信息子网的行为可由网络安全授权控制器控制，减少远端用户对企业内部网络造成的威胁，保证企业网络安全、稳定运行，对企业漏洞防护数据、企业信息保密数据、企业内部资源数据进行大数据分析，能够更快速地筛选出对企业网络安全造成威胁的数据，与其他网络安全防护模型相比[17-18]，筛选效率更高，准确性更好。与此同时，企业外部资源数据库采集海量的原始信息输入、输出潜在威胁参数，并优先对这些潜在的威胁参数进行可行化分析和处理。

面对企业网站遭受攻击量大、安全漏洞多、攻击强度大等问题，其他的网络安全模型只分析攻击类型和寻找网络安全隐患，不能有效解决攻击量和漏洞量大的问题。设攻击漏洞为25 个，为了有效减少漏洞量，降低外界攻击强度，综合分析时间维度访问量、攻击量、信息业务访问量、空间维度访问量，得出企业网络系统漏洞防护分析实验结果，如表2 所示。

表2 系统漏洞防护分析实验结果

由表2 可知，基于该文建立的网络安全防护模型，漏洞量非常小，远远小于其他企业网站的漏洞量，说明该文设计的网络安全防护模型防护等级高，有效阻止了外界的攻击和入侵，提高了企业内部网络安全防护能力，有效整合了各类企业信息系统，扩展了网络安全分析的维度，增强了对大量威胁事件的检测能力、取证能力和处理能力。产生这一结果的原因在于该文建立的基于堡垒机技术的企业信息网络安全防护模型具有较强的网络安全防护能力，其防护效果均优于其他网络安全防护模型，能够有效减少漏洞量，阻止外界攻击企业内部网络，具有更高的有效性和可行性。

4 结束语

该文针对企业安全漏洞多、网络安全防护能力差等问题，建立了基于堡垒机技术的企业信息网络安全防护模型，实验结果表明，该模型提升了防护效果和应对安全事件的主动性，具有较高的有效性和可行性。