電力企業(yè)信息安全問題研究

龔文偉

【摘 要】近年來，國家電網(wǎng)公司提出了"堅(jiān)強(qiáng)智能電網(wǎng)"的發(fā)展戰(zhàn)略，對公司信息化水平有了更高的要求。建立健全信息安全保障體系是加快推進(jìn)信息化工作的前提。本文通過對電力企業(yè)信息安全風(fēng)險(xiǎn)的分析，就電力企業(yè)信息安全防護(hù)技術(shù)措施進(jìn)行了闡述。

【關(guān)鍵詞】電力企業(yè)；信息安全；研究

1.前言

隨著電力信息化建沒和應(yīng)用高潮的到來，信息技術(shù)在電力企業(yè)的生產(chǎn)運(yùn)行中發(fā)揮著重要作用，特別是隨著廠網(wǎng)分開、電力市場構(gòu)建，電力企業(yè)已建立起龐大復(fù)雜的調(diào)度數(shù)據(jù)網(wǎng)和綜合信息網(wǎng)，計(jì)算機(jī)網(wǎng)絡(luò)信息系統(tǒng)成為電力企業(yè)日益重要的技術(shù)支持系統(tǒng)。信息安全問題已日益突出，信息安全所面臨的危險(xiǎn)同時(shí)滲透到電力企業(yè)生產(chǎn)、經(jīng)營的各個(gè)方面。信息安全的內(nèi)涵也隨著計(jì)算機(jī)技術(shù)的發(fā)展而不斷變化，進(jìn)入二十一世紀(jì)以來，信息安全的重點(diǎn)放在了保護(hù)信息，確保信息在存儲、處理、傳輸過程中及信息系統(tǒng)不被破壞，確保對合法用戶的服務(wù)和限制非授權(quán)用戶的服務(wù)，以及必要的防御攻擊的措施。電力企業(yè)調(diào)度數(shù)據(jù)網(wǎng)和綜合信息網(wǎng)在物理上實(shí)現(xiàn)隔離，在一定程度上保證了調(diào)度數(shù)據(jù)網(wǎng)的安全運(yùn)行，避免受到來自綜合信息網(wǎng)的可能的攻擊；然而，財(cái)務(wù)、營銷、客戶管理等系統(tǒng)的網(wǎng)絡(luò)信息安全還相當(dāng)薄弱。網(wǎng)絡(luò)信息安全已成為影響電力安全生產(chǎn)的重大問題。

2.電力企業(yè)信息安全風(fēng)險(xiǎn)分析

2.1網(wǎng)絡(luò)安全問題日益突出：企業(yè)網(wǎng)絡(luò)的聯(lián)通為信息傳遞提供了方便的途徑。電力企業(yè)有許多應(yīng)用系統(tǒng)如：辦公自動(dòng)化系統(tǒng)、用電營銷系統(tǒng)、遠(yuǎn)程教育培訓(xùn)系統(tǒng)等，通過廣域網(wǎng)傳遞數(shù)據(jù)。電力企業(yè)開通了互聯(lián)網(wǎng)專線寬帶上網(wǎng)，企業(yè)內(nèi)部職工可以通過互聯(lián)網(wǎng)方便地收集獲取信息，發(fā)送電子郵件等。網(wǎng)絡(luò)聯(lián)通也帶來了網(wǎng)絡(luò)安全問題。企業(yè)內(nèi)部廣域網(wǎng)上的用戶數(shù)量多且難于進(jìn)行管理，互聯(lián)網(wǎng)更是連接到國際上的各個(gè)地方，什么樣的用戶都有。內(nèi)部網(wǎng)，互聯(lián)網(wǎng)上的一些用戶出于好奇的心理，或者蓄意破壞的動(dòng)機(jī)，對電力企業(yè)網(wǎng)絡(luò)上的連接的計(jì)算機(jī)系統(tǒng)和設(shè)備進(jìn)行入侵，攻擊等，影響網(wǎng)絡(luò)上信息的傳輸，破壞軟件系統(tǒng)和數(shù)據(jù)，盜取電力企業(yè)商業(yè)秘密和機(jī)密信息，非法使用網(wǎng)絡(luò)資源等。給電力企業(yè)造成巨大的損失。如何加強(qiáng)網(wǎng)絡(luò)的安全防護(hù)，保護(hù)電力企業(yè)內(nèi)部網(wǎng)上的信息系統(tǒng)和信息資源的安全，保證對信息網(wǎng)絡(luò)的合法使用，是目前一個(gè)熱門的安全課題，也是電力企業(yè)面臨的一個(gè)非常突出的安全問題。

2.2缺乏信息安全管理規(guī)范。電力企業(yè)信息化的發(fā)展雖然很快，但是起步較晚，各項(xiàng)管理規(guī)范和規(guī)章制度還不夠健全，已有的規(guī)章制度也多是寫在紙上，沒有嚴(yán)格落實(shí)執(zhí)行。對信息的管理，信息部門的設(shè)置，信息技術(shù)人員的配備，各電力企業(yè)參差不齊，沒有一個(gè)統(tǒng)一的、完善的管理規(guī)范。

2.3身份認(rèn)證及脆弱的密碼。電力企業(yè)的應(yīng)用系統(tǒng)基本上基于內(nèi)部的應(yīng)用需求而設(shè)計(jì)開發(fā)的，這些應(yīng)用系統(tǒng)的用戶身份認(rèn)證，基本上是采用基于口令的鑒別模式，而用戶密碼的設(shè)置往往是非常簡單的，比如用abc、1 2 3、姓名簡拼、生日、系統(tǒng)初始密碼、空密碼等等，而且從來不去更改，隨意告訴同事，甚至系統(tǒng)管理員的口令也是如此。有些應(yīng)用系統(tǒng)的口令還是以明文形式記錄在數(shù)據(jù)庫或文件中。應(yīng)用系統(tǒng)的這種設(shè)計(jì)以及在這樣的用戶環(huán)境中是沒有安全可言的。

2.4信息系統(tǒng)的訪問控制急需加強(qiáng)。企業(yè)中的信息系統(tǒng)一般為特定范圍的用戶使用，信息系統(tǒng)中包含的信息和數(shù)據(jù)，也只對一定范圍的用戶開放，沒有得到授權(quán)的用戶不能訪問。為此各個(gè)信息系統(tǒng)中都設(shè)計(jì)了用戶管理功能，在系統(tǒng)中建立甩戶，設(shè)置權(quán)限，管理和控制用戶對信息系統(tǒng)的訪問。這些措施在一定程度上能夠加強(qiáng)系統(tǒng)的安全性。但在實(shí)際應(yīng)用中仍然存在一些問題。一是部分應(yīng)用系統(tǒng)的用戶權(quán)限管理功能過于簡單，不能靈活實(shí)現(xiàn)更細(xì)的權(quán)限控制。二是各應(yīng)用系統(tǒng)沒有一個(gè)統(tǒng)一的用戶管理，使用起來非常不方便，更不用說賬號的有效管理和安全了。如何為各應(yīng)用系統(tǒng)提供統(tǒng)一的用戶管理和身份認(rèn)證服務(wù)，是我們開發(fā)建設(shè)應(yīng)用系統(tǒng)時(shí)必須考慮的一個(gè)共性的安全問題。

2.5沒有完善的數(shù)據(jù)備份措施：缺乏重要系統(tǒng)備份恢復(fù)應(yīng)用經(jīng)驗(yàn)。目前維護(hù)員對公文等重要數(shù)據(jù)基本上都能做到“每周一備”，做到每周刻錄數(shù)據(jù)備份光盤，而在實(shí)際工作中，備份數(shù)據(jù)的有效性只有也僅有通過實(shí)戰(zhàn)恢復(fù)演練才能檢驗(yàn)。但由于數(shù)據(jù)恢復(fù)演練需要搭建系統(tǒng)運(yùn)行環(huán)境，其操作復(fù)雜性遠(yuǎn)遠(yuǎn)大于數(shù)據(jù)備份過程。因此，很多維護(hù)員寧可“天天做備份、月月做拷貝”，也不愿嘗試做一次數(shù)據(jù)恢復(fù)演練。更有甚者，連一年一次數(shù)據(jù)恢復(fù)演練都無法實(shí)現(xiàn)。數(shù)據(jù)備份就像為汽車配備用車鑰匙一樣，鑰匙配好了，如果不去檢驗(yàn)用車鑰匙是否能正常使用，那么下次緊急要用的時(shí)候非常有可能新配的車鑰匙沒法啟動(dòng)車。

3.電力企業(yè)信息安全防護(hù)技術(shù)措施

3.1網(wǎng)絡(luò)防火墻：防火墻是網(wǎng)絡(luò)安全的屏障，網(wǎng)絡(luò)防火墻技術(shù)是一種用來加強(qiáng)網(wǎng)絡(luò)之間訪問控制，防止外部網(wǎng)絡(luò)用戶以非法手段進(jìn)入內(nèi)部網(wǎng)絡(luò)，訪問內(nèi)部網(wǎng)絡(luò)資源， 保護(hù)內(nèi)部網(wǎng)絡(luò)操作環(huán)境的特殊網(wǎng)絡(luò)互聯(lián)設(shè)備。它對兩個(gè)或多個(gè)網(wǎng)絡(luò)之間傳輸?shù)臄?shù)據(jù)包如鏈接方式按照一定的安全策略來實(shí)施檢查， 以決定網(wǎng)絡(luò)之間的通信是否被允許，并監(jiān)視網(wǎng)絡(luò)運(yùn)行狀態(tài)。這也是近年來維護(hù)網(wǎng)絡(luò)安全最重要的手段。防火墻系統(tǒng)的安全防御能力很強(qiáng)，能抵抗各種外部網(wǎng)絡(luò)的進(jìn)攻和滲透。

3.2入侵檢測系統(tǒng)：入侵檢測技術(shù)是一種主動(dòng)的安全防護(hù)技術(shù)，也是網(wǎng)絡(luò)安全研究的一個(gè)熱點(diǎn)。它是通過從計(jì)算機(jī)網(wǎng)絡(luò)或計(jì)算機(jī)系統(tǒng)中的若干關(guān)鍵點(diǎn)收集信息并對其進(jìn)行分析，從中發(fā)現(xiàn)網(wǎng)絡(luò)或系統(tǒng)中是否有違反安全策略的行為和遭到襲擊的跡象。進(jìn)行入侵檢測的軟、硬件的組合就是入侵檢測系統(tǒng)（Instrusion Detection System，簡稱IDS）。它通過被認(rèn)為是網(wǎng)絡(luò)安全的第二道安全閘門，作為防火墻的合理補(bǔ)充，這也極大提高了信息安全基礎(chǔ)結(jié)構(gòu)的完整性。目前入侵檢測系統(tǒng)主要分兩種：基于網(wǎng)絡(luò)的入侵檢測系統(tǒng)和基于主機(jī)的入侵檢測系統(tǒng)，相比較而言，前者更具易部署、占用資源少、隱蔽性好、檢測速度快等優(yōu)點(diǎn)。

3.3網(wǎng)絡(luò)隱患掃描系統(tǒng)：網(wǎng)絡(luò)隱患掃描系統(tǒng)能夠掃描網(wǎng)絡(luò)范圍內(nèi)的所有支持TCP/IP協(xié)議的設(shè)備，掃描的對象包括掃描多種操縱系統(tǒng)，掃描網(wǎng)絡(luò)設(shè)備包括：服務(wù)器、工作站、防火墻、路由器、路由交換機(jī)等。在進(jìn)行掃描時(shí)，可以從網(wǎng)絡(luò)中不同的位置對網(wǎng)絡(luò)設(shè)備進(jìn)行掃描。掃描結(jié)束后生成具體的安全評估報(bào)告，采用報(bào)表和圖形的形式對掃描結(jié)果進(jìn)行分析，可以方便直觀地對用戶進(jìn)行安全性能評估和檢查。

3.4病毒防護(hù)技術(shù)。為免受病毒造成的損失，要采用多層防病毒體系，即在每臺PC機(jī)上安裝防病毒軟件客戶端，在服務(wù)器上安裝基于服務(wù)器的防病毒軟件，在網(wǎng)關(guān)上安裝基于網(wǎng)關(guān)的防病毒軟件。必須在信息系統(tǒng)的各個(gè)環(huán)節(jié)采用全網(wǎng)全面的防病毒策略，在計(jì)算機(jī)病毒預(yù)防、檢測和病毒庫的升級分發(fā)等環(huán)節(jié)統(tǒng)一管理，建立較完善的管理制度，才能有效的防止和控制病毒的侵害。

3.5文件加密技術(shù)。加密的目的是把明文變成密文。使未被授權(quán)的人看不懂它，從而保護(hù)網(wǎng)絡(luò)中數(shù)據(jù)傳輸?shù)陌踩?。網(wǎng)絡(luò)加密常用的方法有鏈路加密、端點(diǎn)加密和節(jié)點(diǎn)加密3種。鏈路加密的目的是保護(hù)網(wǎng)絡(luò)節(jié)點(diǎn)之間的鏈路信息安全：端點(diǎn)加密的目的是對源端用戶到目的端用戶的數(shù)據(jù)提供保護(hù)：節(jié)點(diǎn)加密的目的是對源節(jié)點(diǎn)到目的節(jié)點(diǎn)之間的傳輸鏈路提供保護(hù)。

3.6數(shù)據(jù)備份：對于電力企業(yè)來說，數(shù)據(jù)是最珍貴的，這些常年累月積累的數(shù)據(jù)是電力企業(yè)龐大的、最有價(jià)值的無形資產(chǎn)，對這些數(shù)據(jù)的備份是必需的。而電力企業(yè)的數(shù)據(jù)往往比較分散，用的數(shù)據(jù)庫有ORACLE、SYBASE、SQLServer、LOTUS DOMINO等等。對這些分散的、結(jié)構(gòu)多樣的數(shù)據(jù)進(jìn)行備份管理時(shí)，最好的辦法就是用一套備份系統(tǒng)，將所有需要備份的數(shù)據(jù)，按照備份策略進(jìn)行統(tǒng)籌備份。同時(shí)在異地安裝一套存儲設(shè)備進(jìn)行異地備份，不具備異地備份條件的，則必須將備份介質(zhì)異地存放一份，所有的備份介質(zhì)必須有專人保管。

3.7加強(qiáng)日志管理與安全審計(jì)。一般的防火墻與入侵檢測系統(tǒng)都具備審計(jì)功能，要充分利用它們的審計(jì)功能，作好網(wǎng)絡(luò)的日志管理和安全審計(jì)工作。對審計(jì)數(shù)據(jù)要嚴(yán)格管理，不允許任何人修改、刪除審計(jì)記錄。

3.8網(wǎng)絡(luò)安全防護(hù)系統(tǒng)。信息資源訪問的安全是信息安全的一個(gè)重要內(nèi)容，在信息系統(tǒng)建設(shè)的設(shè)計(jì)階段，就必須仔細(xì)分析，設(shè)計(jì)出合理的，靈活的用戶管理和權(quán)限控制機(jī)制，明確信息資源的訪問范圍，制定信息資源訪問策略。對于已經(jīng)投入使用的信息系統(tǒng)，可以通過采用增加安全訪問網(wǎng)父的方法，來增強(qiáng)原有系統(tǒng)的用戶管理和對信息資源訪問的控制，以及實(shí)現(xiàn)單點(diǎn)登陸訪問任意系統(tǒng)等功能。這種方式基本上不需要改動(dòng)原來的系統(tǒng)，實(shí)施的技術(shù)難度相對小一些。對于新建系統(tǒng)，則最好采用統(tǒng)一身份認(rèn)證平臺技術(shù)，來實(shí)現(xiàn)不同系統(tǒng)通過同一個(gè)用戶管理平臺實(shí)現(xiàn)用戶管理和訪問控制。

4.結(jié)束語

信息安全是一個(gè)相對的概念，我們只能使系統(tǒng)越來越安全，而做不到絕對的安全。為了保護(hù)計(jì)算機(jī)系統(tǒng)里各種信息，我們必須時(shí)刻保持高度的警惕，做到對自己的系統(tǒng)安全情況始終有一個(gè)清醒的認(rèn)識。 統(tǒng)籌規(guī)劃，分步實(shí)施，要建立完整的信息安全防護(hù)體系，必須分清需求的輕重緩急，根據(jù)信息化建設(shè)的發(fā)展，結(jié)合信息系統(tǒng)建設(shè)和應(yīng)用的步伐，統(tǒng)一規(guī)劃，分步建設(shè)，逐步投資，使信息系統(tǒng)受到最大程度的保護(hù)，從而保障單位及個(gè)人信息的安全。

參考文獻(xiàn)：

[1]唐琳，李云峰，電力信息系統(tǒng)的安全性初探[J]，信息安全與通信保密，2006（10）.

[2]李勁，遵循等級化保護(hù)的電力調(diào)度數(shù)據(jù)網(wǎng)安全防護(hù)[J]，廣西電力，2008（04）.

[3]汪江，談網(wǎng)絡(luò)安全技術(shù)與電力企業(yè)網(wǎng)絡(luò)安全解決方案研究[J]，價(jià)值工程，2012（30）.