东软NetEye：某电力公司信息网安全系统

某电力公司信息网安全系统东软NetEye实现电力网的信息安全按其业务性质一般可分为四种：一种为电网运行实时控制系统，包括电网自动发电控制系统及支持其运行的调度自动化系统，火电厂分布控制系统（DCS、BMS、DEH、CCS）、水电厂计算机监控系统、变电所及集控站综合自动化系统、电网继电保护及安全自动装置、电力市场技术支持系统；第二种为电力营销系统，电量计费系统、负荷管理系统；第三种为支持企业经营、管理、运营的管理信息系统。第四种为不直接参与电力企业过程控制、生产管理的各类经营、开发、采购、销售等多种经营公司。支持上述各类业务系统正常运营的信息基础设施主要指计算机及信息网络系统、电力通信网络系统。

针对以上特点，东软股份自行开发了具有自主版权的一系列网络安全产品。NetEye防火墙3.1是NetEye防火墙系列中的最新版本，达到了运营级的水准。它同时还集成了VPN功能，有效地保证了数据在网络中的安全传输。NetEye IDS 2.0是东软最新开发的具有自主版权的网络入侵监测系统。它利用独创的数据包截取技术对网络进行不间断的监控，扩大网络防御的纵深，采用先进的基于网络数据流实时智能分析技术判断来自网络内部和外部的入侵企图，进行报警，响应和防范，是防火墙之后的第二道安全闸门。

环境介绍

某省电力公司是国家电力公司直属子公司，电力信息网基本覆盖了所有省电力生产、施工、建设、设计、经营等几十家单位，信息网的深度已触及到用电营业所和变电所。在信息网上承载了财务、物资、用电、生产、劳人、安全监察、计划统计、电网实时信息等子系统和领导综合信息查询、办公自动化、WWW、mail系统等应用。省公司本部局域网，不但承担了与各基层单位的互联，而且还承担了与国家电力公司，省政府经济信息中心的互联。所有应用系统的安全可靠运行首先必须建立在安全可靠的网络系统基础之上。网络安全主要表现在以下几个方面：单位内部网络的安全性，与外部的联结的安全性，内部各单位网络之间的安全性。

方案实现

防火墙是针对网络关键点来设置的，其总的作用是确保网络内部资源的安全。

通过过滤的规则设置可以方便地控制网络内部资源对外的开放程度，特别是针对国家电力公司、当地政府以及Internet仅仅开放某个IP的特殊端口，有效地限制黑客的侵入。

通过过滤、IP地址与MAC地址的绑定、客户端认证等规则的应用，可以确定不同的内部用户享受不同的访问外部资源的级别，对于内部用户盗用IP的情况采用IP地址与MAC地址绑定，客户端认证等方式来实现。通过这种方式可以有效地限制内部用户主动将信息通过网络向外界传递。

双机热备：为了提高系统的可靠性，利用NetEye支持双机热备的功能，在不能停机的关键接点我们相应作了双机热备，有效地提高了系统的可靠性。

支持多种工作模式：由于企业内部Intranet的特性，内外网勿需做NAT或者人为地分成内外两个不同的网段，只需要作“桥接”即可。而对于Internet出口，则需NAT功能，并支持内外不同的网段，此时需要“路由”的功能，并支持DMZ。在此信息网中防火墙的应用是以上两种工作模式并存，NetEye就能很好地胜任，而早期个别基层单位购买了其它防火墙与电力Intranet连接时只能支持“路由”模式，而不能支持“桥接”模式，不管系统的效率还是实施的方便性都存在一定的“麻烦”。NetEye真正实现了对网络第二、三、四层数据包的支持，特别是对TRUNK技术的支持。

友好的用户界面：只需作简单的培训，用户即可进行规则配置、系统管理。

网络安全是一个系统的、全局的管理问题，网络上的任何一个漏洞，都会导致全网的安全问题，应该用系统工程的观点、方法，分析网络的安全及具体措施。安全措施主要包括：行政法律手段、各种管理制度以及专业措施。一个较好的安全措施往往是多种方法适当综合的应用结果。一个计算机网络，包括个人、设备、软件、数据等。这些环节在网络中的地位和影响作用，也只有从系统综合整体的角度去看待、分析，才能取得有效、可行的措施。即计算机网络安全应遵循整体安全性原则，根据规定的安全策略制定出合理的网络安全体系结构。这样才能真正做到整个系统的安全。