淺談電力企業(yè)信息系統(tǒng)的安全防護(hù)措施

摘 要：近年來，電網(wǎng)企業(yè)信息化建設(shè)持續(xù)發(fā)展，信息系統(tǒng)廣泛應(yīng)用于電網(wǎng)企業(yè)生產(chǎn)的各個(gè)方面，貫穿于日常業(yè)務(wù)的各個(gè)環(huán)節(jié)。因此，為保證電網(wǎng)運(yùn)行的安全、穩(wěn)定，企業(yè)對信息系統(tǒng)安全的需求也越來越迫切。文章對電網(wǎng)企業(yè)信息系統(tǒng)安全防護(hù)的思路和措施進(jìn)行了研究與探討，并結(jié)合電網(wǎng)企業(yè)信息系統(tǒng)現(xiàn)狀提出了安全防護(hù)措施。

關(guān)鍵詞：信息系統(tǒng)；安全防護(hù)；安全域；邊界安全

中圖分類號：TP393.08

隨著電網(wǎng)企業(yè)信息化建設(shè)的逐步推進(jìn)，大批信息系統(tǒng)相繼投入運(yùn)行，信息系統(tǒng)幾乎貫穿于電網(wǎng)企業(yè)的各項(xiàng)工作環(huán)節(jié)，信息化建設(shè)對于提高國家電網(wǎng)公司經(jīng)營生產(chǎn)管理水平、支撐集團(tuán)化運(yùn)作、集約化發(fā)展發(fā)揮了重要作用。但同時(shí)，若信息系統(tǒng)存在信息安全方面的問題，就會影響電力系統(tǒng)的安全、穩(wěn)定運(yùn)行，進(jìn)而影響電網(wǎng)的可靠供電。因此，信息系統(tǒng)安全成為電網(wǎng)企業(yè)信息化工作的重中之重。

1 電網(wǎng)企業(yè)信息安全防護(hù)總體思路

電網(wǎng)企業(yè)信息系統(tǒng)安全防護(hù)要貫徹國家有關(guān)信息安全防護(hù)政策，全面落實(shí)國家電網(wǎng)公司信息安全相關(guān)的各項(xiàng)政策和制度，平衡信息安全風(fēng)險(xiǎn)和防護(hù)成本之間的關(guān)系，優(yōu)化資源配置，在有限的成本下，使風(fēng)險(xiǎn)最小化，最大程度地保障信息系統(tǒng)的安全穩(wěn)定運(yùn)行，同時(shí)根據(jù)信息安全等級保護(hù)制度的相關(guān)要求，著重加強(qiáng)與公司重大利益相關(guān)的重要系統(tǒng)的安全防護(hù)。電網(wǎng)企業(yè)信息安全防護(hù)應(yīng)遵循“分區(qū)分域、安全接入、動態(tài)感知、精益管理、全面防護(hù)”的安全策略，完善防護(hù)機(jī)制，健全信息安全管理措施和安全技術(shù)手段，完善信息安全基礎(chǔ)支撐平臺，提升信息安全綜合治理水平，滿足公司智能電網(wǎng)建設(shè)和“三集五大”對信息安全的需求。

2 電網(wǎng)企業(yè)信息安全防護(hù)措施

2.1 安全域劃分

2.1.1 安全域的定義

安全域是由一組具有相同安全保障需求、并相互信任的系統(tǒng)組成的邏輯區(qū)域，同一安全域的系統(tǒng)共享相同的安全保障策略。安全域是一組具有安全防護(hù)共性的系統(tǒng)的邏輯集合，一個(gè)安全域可以包括一個(gè)或多個(gè)物理或邏輯網(wǎng)段。分域防護(hù)的目標(biāo)不僅是為了實(shí)現(xiàn)邊界防護(hù)，而且是一組在網(wǎng)絡(luò)、主機(jī)、應(yīng)用等多個(gè)層次上深層防護(hù)措施的體現(xiàn)。

2.1.2 安全域的劃分

安全域的劃分應(yīng)依據(jù)總體防護(hù)方案中定義的“二級系統(tǒng)統(tǒng)一成域，三級系統(tǒng)獨(dú)立成域”的方法進(jìn)行，結(jié)合某省電力公司的應(yīng)用系統(tǒng)使用情況，將整個(gè)信息系統(tǒng)共計(jì)分為8個(gè)安全域。

2.1.3 安全域的實(shí)現(xiàn)

安全域?qū)崿F(xiàn)方式以劃分邏輯區(qū)域?yàn)橹?，旨在?shí)現(xiàn)各安全區(qū)域的邏輯劃分，明確邊界以對各安全域分別防護(hù)，并且進(jìn)行域間邊界控制，安全域的實(shí)體展現(xiàn)為一個(gè)或多個(gè)物理網(wǎng)段或邏輯網(wǎng)段的集合。

2.2 信息系統(tǒng)邊界安全

邊界安全防護(hù)是檢測出入邊界的數(shù)據(jù)信息，并對其進(jìn)行有效控制的防護(hù)措施。根據(jù)邊界類型的不同，需采取不同的防護(hù)措施。

信息系統(tǒng)邊界主要分為信息外網(wǎng)邊界和信息內(nèi)網(wǎng)邊界兩大類，其中信息外網(wǎng)邊界主要包括縱向邊界和橫向域間邊界；信息內(nèi)網(wǎng)邊界主要包括縱向邊界、橫向域間邊界和第三方邊界。

2.2.1 信息外網(wǎng)域及邊界安全

根據(jù)電網(wǎng)企業(yè)安全域的劃分，外網(wǎng)包含外網(wǎng)桌面終端系統(tǒng)域、外網(wǎng)應(yīng)用系統(tǒng)域和二級系統(tǒng)域共3個(gè)區(qū)域，對其防護(hù)主要從邊界網(wǎng)絡(luò)訪問控制方面考慮。

（1）實(shí)施邊界網(wǎng)絡(luò)訪問控制：在外網(wǎng)邊界部署防火墻，對進(jìn)出內(nèi)部網(wǎng)絡(luò)的數(shù)據(jù)流制定訪問控制策略；在外網(wǎng)系統(tǒng)域的邊界處部署防火墻，對進(jìn)出內(nèi)部網(wǎng)絡(luò)的數(shù)據(jù)流制定訪問控制策略；（2）外網(wǎng)桌面終端病毒防護(hù)：通過部署殺毒軟件，實(shí)現(xiàn)對外網(wǎng)桌面終端的防病毒管理；（3）入侵防護(hù)系統(tǒng)：在互聯(lián)網(wǎng)出口處，部署入侵防護(hù)系統(tǒng)（Intrusion Prevention System，IPS），同時(shí)在IPS上開啟針對蠕蟲病毒、網(wǎng)絡(luò)病毒的入侵防護(hù)功能，主動發(fā)現(xiàn)主要的攻擊行為和惡意信息的傳輸；（4）外網(wǎng)網(wǎng)絡(luò)、數(shù)據(jù)庫審計(jì)：在網(wǎng)絡(luò)核心處部署網(wǎng)絡(luò)審計(jì)、數(shù)據(jù)庫審計(jì)系統(tǒng)，通過網(wǎng)絡(luò)審計(jì)系統(tǒng)可以對信息外網(wǎng)進(jìn)行監(jiān)控，分析主機(jī)負(fù)載，發(fā)現(xiàn)網(wǎng)絡(luò)瓶頸，并繪制出直觀的流量曲線圖、柱狀圖，有效發(fā)現(xiàn)網(wǎng)上出現(xiàn)的異常流量。

通過數(shù)據(jù)庫審計(jì)可以主動收集各類對數(shù)據(jù)庫的訪問，進(jìn)行記錄和分析的措施，彌補(bǔ)數(shù)據(jù)庫日志審計(jì)對實(shí)際活動記錄的不足，有效保護(hù)重要的數(shù)據(jù)庫系統(tǒng)，審計(jì)的結(jié)果有助于系統(tǒng)管理人員分析各類服務(wù)器被訪問的情況，并通過訪問還原技術(shù)，清楚地看到對數(shù)據(jù)庫系統(tǒng)進(jìn)行訪問的過程情況。

2.2.2 信息內(nèi)網(wǎng)域及邊界安全

信息內(nèi)網(wǎng)邊界安全防護(hù)主要從邊界網(wǎng)絡(luò)訪問控制、入侵檢測、終端安全防護(hù)、鏈路冗余等方面考慮。

（1）邊界網(wǎng)絡(luò)訪問控制：建立各應(yīng)用系統(tǒng)匯聚層，不同應(yīng)用系統(tǒng)之間采用VLAN技術(shù)邏輯隔離，禁止直接互訪，并在匯聚交換機(jī)與核心交換機(jī)之間部署防火墻，檢測經(jīng)過的所有數(shù)據(jù)，對進(jìn)出內(nèi)部網(wǎng)絡(luò)的數(shù)據(jù)流制定訪問控制策略。在信息內(nèi)網(wǎng)縱向向上邊界處部署防火墻，對進(jìn)出內(nèi)部網(wǎng)絡(luò)的數(shù)據(jù)流制定訪問控制策略。在信息內(nèi)網(wǎng)第三方邊界處部署防火墻，對進(jìn)出第三方邊界的數(shù)據(jù)流制定訪問控制策略。在信通網(wǎng)絡(luò)接入邊界部署防火墻，對進(jìn)出信通網(wǎng)絡(luò)的數(shù)據(jù)流制定訪問控制策略；（2）實(shí)施入侵檢測：采用入侵檢測系統(tǒng)（Intrusion DetectionSystems，IDS）對于流經(jīng)內(nèi)網(wǎng)邊界和重要信息系統(tǒng)的信息流進(jìn)行入侵檢測，通過入侵檢測系統(tǒng)發(fā)現(xiàn)主要的攻擊行為和各種惡意信息的傳輸。因此，在安全域的建設(shè)中，在核心交換機(jī)上旁路和三級系統(tǒng)匯聚層部署入侵檢測系統(tǒng)，同時(shí)對主、備核心交換機(jī)進(jìn)行檢測；（3）外網(wǎng)網(wǎng)絡(luò)、數(shù)據(jù)庫審計(jì)：部署網(wǎng)絡(luò)審計(jì)、數(shù)據(jù)庫審計(jì)系統(tǒng)，通過網(wǎng)絡(luò)審計(jì)系統(tǒng)可以對信息外網(wǎng)進(jìn)行監(jiān)控，分析主機(jī)負(fù)載，發(fā)現(xiàn)網(wǎng)絡(luò)瓶頸，并繪制出直觀的流量曲線圖、柱狀圖，有效發(fā)現(xiàn)網(wǎng)上出現(xiàn)的異常流量。通過數(shù)據(jù)庫審計(jì)可以主動收集各類對數(shù)據(jù)庫的訪問，進(jìn)行記錄和分析的措施，彌補(bǔ)數(shù)據(jù)庫日志審計(jì)對實(shí)際活動記錄的不足，有效保護(hù)重要的數(shù)據(jù)庫系統(tǒng)，審計(jì)的結(jié)果有助于系統(tǒng)管理人員分析各類服務(wù)器被訪問的情況，并通過訪問還原技術(shù)，清楚地看到對數(shù)據(jù)庫系統(tǒng)進(jìn)行訪問的過程情況。

2.3 主機(jī)系統(tǒng)安全

（1）主機(jī)安全加固：采取調(diào)整主機(jī)的系統(tǒng)、網(wǎng)絡(luò)、服務(wù)等配置的措施來提升主機(jī)的安全性，主要加固措施包括補(bǔ)丁加載、賬戶及口令的設(shè)置、登錄控制、關(guān)閉無用的服務(wù)、文件和目錄權(quán)限控制等；（2）進(jìn)行補(bǔ)丁管理：各種操作系統(tǒng)均存在安全漏洞，應(yīng)定時(shí)安裝、加載操作系統(tǒng)補(bǔ)丁，避免安全漏洞造成的主機(jī)風(fēng)險(xiǎn)。但針對不同的應(yīng)用系統(tǒng)，安裝操作系統(tǒng)補(bǔ)丁可能會對其造成不同程度的影響，因此，應(yīng)在測試環(huán)境中先行測試安裝操作系統(tǒng)補(bǔ)丁是否會對應(yīng)用系統(tǒng)造成不良影響，確保安全無誤后，方可應(yīng)用于正式環(huán)境中；（3）加強(qiáng)防病毒管理：實(shí)時(shí)監(jiān)控防病毒軟件的運(yùn)行情況，對未安裝防病毒軟件或未及時(shí)升級更新病毒庫的主機(jī)，確認(rèn)其位置和未安裝或未及時(shí)更新的原因，及時(shí)解決問題，并采取措施確保不再發(fā)生。

3 結(jié)束語

信息安全防護(hù)是國家電網(wǎng)公司“十二五”期間信息化保障體系的重要組成部分，也是未來信息發(fā)展的趨勢。本文對信息系統(tǒng)電網(wǎng)企業(yè)信息系統(tǒng)安全防護(hù)思路及措施開展了研究與探討，提出了安全域劃分、信息系統(tǒng)邊界安全、主機(jī)系統(tǒng)安全的防護(hù)方案和實(shí)現(xiàn)方法，能夠有效提高電網(wǎng)企業(yè)信息系統(tǒng)的可靠性和安全性，具備較好的可行性和應(yīng)用價(jià)值。

參考文獻(xiàn)：

[1]王謙.電力企業(yè)信息系統(tǒng)安全等級保護(hù)的研究[J].硅谷，2011（23）.

[2]郭濤.信息安全技術(shù)應(yīng)用[J].硅谷，2011（16）.

作者單位：國網(wǎng)江西省電力公司贛東北供電分公司，江西樂平 333300