安全監(jiān)視閉環(huán)管控技術(shù)在電力監(jiān)控系統(tǒng)中的應(yīng)用

劉日堂++梁野++谷豐強(qiáng)++高明慧++馬力

【摘 要】電力監(jiān)控系統(tǒng)內(nèi)網(wǎng)安全監(jiān)視閉環(huán)管控技術(shù)集安全監(jiān)視、安全分析、安全運(yùn)維、安全執(zhí)行、安全審計(jì)等技術(shù)于一體，將各類信息安全事件的發(fā)現(xiàn)、分析、處理、控制形成管理閉環(huán)。整個“閉環(huán)管控”過程以“內(nèi)網(wǎng)安全監(jiān)視”為基礎(chǔ)，通過對安全事件采用過濾、合并、關(guān)聯(lián)等技術(shù)手段，獲得響應(yīng)事件的應(yīng)急處理建議，同時(shí)將多個相關(guān)事件的應(yīng)急處理合并生成一個流程工作單進(jìn)行解決，提高管理人員的工作效率，提升對安全事件的掌控力度。在上述閉環(huán)管控環(huán)節(jié)，通過采用多重身份鑒別、動態(tài)授權(quán)、強(qiáng)制訪問控制等技術(shù)，加強(qiáng)安全管理自身的安全性。通過安全狀態(tài)統(tǒng)計(jì)分析對全網(wǎng)監(jiān)控系統(tǒng)的安全運(yùn)行進(jìn)行全面的評估分析，為進(jìn)一步改進(jìn)監(jiān)視策略提供依據(jù)，以保障電力監(jiān)控系統(tǒng)的內(nèi)網(wǎng)運(yùn)行安全。

【關(guān)鍵詞】電力監(jiān)控系統(tǒng) 內(nèi)網(wǎng)安全監(jiān)視 閉環(huán)管控

1 引言

隨著電力監(jiān)控系統(tǒng)安全防護(hù)工作和信息系統(tǒng)安全等級保護(hù)工作的深入開展，各級電力公司部署了大量監(jiān)控系統(tǒng)安全防護(hù)設(shè)備（系統(tǒng)）。上述安全防護(hù)設(shè)備的運(yùn)行和管理一直處于松散狀態(tài)，產(chǎn)生海量的運(yùn)行數(shù)據(jù)及安全事件使管理人員疲于應(yīng)對，無法做到對電力監(jiān)控系統(tǒng)安全狀態(tài)的全面掌控，同時(shí)缺乏集中監(jiān)控和統(tǒng)計(jì)分析手段，難以及時(shí)發(fā)現(xiàn)安全隱患。為解決安全防護(hù)設(shè)備缺乏有效集中監(jiān)管的現(xiàn)狀，本文對電力監(jiān)控系統(tǒng)內(nèi)網(wǎng)安全監(jiān)視閉關(guān)管控技術(shù)進(jìn)行研究，實(shí)現(xiàn)了全省電力監(jiān)控系統(tǒng)安防設(shè)備（系統(tǒng)）實(shí)時(shí)在線監(jiān)控及量化管理。

本文根據(jù)閉環(huán)管理相關(guān)理論為基礎(chǔ)，結(jié)合電力監(jiān)控系統(tǒng)內(nèi)網(wǎng)安全事件的特點(diǎn)，在電力系統(tǒng)內(nèi)率先提出了“監(jiān)視→分析→管理→解決→總結(jié)”的安全事件閉環(huán)管控機(jī)制，有效地解決了內(nèi)網(wǎng)安全事件分析結(jié)果不直觀、處理過程無監(jiān)控、處理結(jié)果無歸檔等問題。該系統(tǒng)將安全事件按照七個基本程序進(jìn)行管理，即事件發(fā)現(xiàn)、事件分析、事件處理、事件變更、事件管控、事件關(guān)閉、事件總結(jié)。七個環(huán)節(jié)環(huán)環(huán)緊扣，缺一不可。

為實(shí)現(xiàn)對安全事件的科學(xué)分類和有效管理，湖北省電力調(diào)控中心針對安全告警事件開展了深入研究，同時(shí)也借鑒了一些先進(jìn)的理論和模型。

2 閉環(huán)管控系統(tǒng)

2.1 閉環(huán)管控相關(guān)理論及模型

2.1.1 PDCA循環(huán)

PDCA循環(huán)又名戴明環(huán)，是管理學(xué)中的一個通用模型[1]。最早由休哈特（Walter A. Shewhart）于1930年構(gòu)想，后來被美國質(zhì)量管理專家戴明（Edwards Deming）博士在1950年再度挖掘出來，并加以廣泛宣傳和運(yùn)用于持續(xù)改善產(chǎn)品質(zhì)量的過程中。它是全面質(zhì)量管理所應(yīng)遵循的科學(xué)程序，包括質(zhì)量管理活動的全部過程，這個過程按照PDCA循環(huán)，不停頓地運(yùn)轉(zhuǎn)。它不僅在質(zhì)量管理體系中運(yùn)用，也適用于一切循序漸進(jìn)的管理工作，可以使管理工作能夠不斷創(chuàng)新發(fā)展，理順管理者的工作思路。在管理的過程中，注重檢查及反饋，以達(dá)到不斷改進(jìn)策略，提升管理水平的目的[2]。PDCA循環(huán)，如圖1所示。

其中P （Plan） 計(jì)劃，包括方針和目標(biāo)的確定，以及活動規(guī)劃的制定；D （Do） 執(zhí)行，根據(jù)已知的信息，設(shè)計(jì)具體的方法、方案和計(jì)劃布局；再根據(jù)設(shè)計(jì)和布局，進(jìn)行具體運(yùn)作，實(shí)現(xiàn)計(jì)劃中的內(nèi)容；C （Check） 檢查，總結(jié)執(zhí)行計(jì)劃的結(jié)果，分清哪些對了，哪些錯了，明確效果，找出問題；A （Action） 處理，對檢查的結(jié)果進(jìn)行處理，對成功的經(jīng)驗(yàn)加以肯定，并予以標(biāo)準(zhǔn)化；對于失敗的教訓(xùn)也要總結(jié)，引起重視。對于沒有解決的問題，應(yīng)提交給下一個PDCA循環(huán)中去解決。

2.1.2 IDEAL模型

IDEALSM是SEI推出的過程改進(jìn)模型。該模型將過程改進(jìn)分為五個階段來完成，形成一個螺旋推進(jìn)、循環(huán)往復(fù)的改進(jìn)策略。而且該模型還強(qiáng)調(diào)每個改進(jìn)周期內(nèi)的閉環(huán)機(jī)制，即：改進(jìn)問題有被識別、具體的改進(jìn)措施有被納入計(jì)劃，且被執(zhí)行、被驗(yàn)證和總結(jié)。IDEAL[3]模型結(jié)構(gòu)，如圖2所示。

其中I代表Initiating（初始化），確定改進(jìn)的目標(biāo)并獲得改進(jìn)的基礎(chǔ)結(jié)構(gòu)；D代表Diagnosing（診斷），確定現(xiàn)狀與改進(jìn)目標(biāo)之間的差異；E代表Establishing（建設(shè)），計(jì)劃如何達(dá)成目標(biāo)；A代表Acting（行動），根據(jù)計(jì)劃開展工作；L代表Learning（學(xué)習(xí)），從經(jīng)驗(yàn)中學(xué)習(xí)，以提高未來過程的效能。

上訴理論及模型廣泛應(yīng)用于各行各業(yè)，得到了充分的驗(yàn)證，以及普遍的認(rèn)可。本文提出的電力監(jiān)控系統(tǒng)內(nèi)網(wǎng)安全監(jiān)視閉環(huán)管控系統(tǒng)充分繼承了PDCA循環(huán)和IDEAL模型的精髓，實(shí)現(xiàn)了從事件發(fā)現(xiàn)、事件分析、事件定位、事件處理、事件控制、事件提升的閉環(huán)管理。

2.2 閉環(huán)管控系統(tǒng)架構(gòu)

電力監(jiān)控系統(tǒng)內(nèi)網(wǎng)安全監(jiān)視閉環(huán)管控系統(tǒng)是集安全監(jiān)視、安全分析、安全運(yùn)維、安全執(zhí)行、安全審計(jì)于一體的管理中心[4，5]，其系統(tǒng)架構(gòu)如圖3所示。

2.2.1 數(shù)據(jù)采集

數(shù)據(jù)采集是閉環(huán)管控的基礎(chǔ)，其實(shí)現(xiàn)了對電力專用安全防護(hù)設(shè)備（橫向物理隔離設(shè)備、縱向加密認(rèn)證裝置）、防火墻、入侵監(jiān)測系統(tǒng)（IDS/IPS）、防病毒系統(tǒng)，以及電力調(diào)度系統(tǒng)內(nèi)部關(guān)鍵應(yīng)用的數(shù)據(jù)采集。

其中，事件獲取是采用Syslog方式獲取各種安全防護(hù)設(shè)備的事件內(nèi)容；事件過濾是將大量無需關(guān)注、不重要的安全事件過濾掉；事件歸并和聚合是對重復(fù)事件進(jìn)行歸并，所有重復(fù)事件只記錄其第一次發(fā)生時(shí)間、最后一次發(fā)生時(shí)間和發(fā)生的次數(shù)；事件轉(zhuǎn)發(fā)是將初步處理后得到的安全事件提交分析引擎。

2.2.2 通信管理

通信管理是整個系統(tǒng)架構(gòu)中的重要組成部分，主要實(shí)現(xiàn)對原始信息的監(jiān)聽以及上下級協(xié)同告警信息的發(fā)布。

其中原始信息監(jiān)聽主要通過標(biāo)準(zhǔn)的514端口對各類安全防護(hù)裝置（系統(tǒng)）的syslog告警信息進(jìn)行監(jiān)聽，為數(shù)據(jù)采集功能提供重要支撐；同時(shí)，閉環(huán)管理系統(tǒng)可以采用多級部署，利用信息加密隧道實(shí)現(xiàn)對于上下級事件的同步感知，使全網(wǎng)的安全防護(hù)及閉環(huán)管理工作形成有機(jī)的整體，避免安全防護(hù)工作出現(xiàn)短板導(dǎo)致安全事件的發(fā)生。

2.2.3 分析引擎

該系統(tǒng)實(shí)現(xiàn)了事件類型關(guān)聯(lián)、事件內(nèi)容關(guān)聯(lián)、資產(chǎn)信息關(guān)聯(lián)，能夠通過特定算法從大量安全事件數(shù)據(jù)中挖掘當(dāng)前的安全趨勢和規(guī)律[6，7]。關(guān)聯(lián)分析類型如下：

①基本關(guān)聯(lián)，根據(jù)事件的基本屬性信息關(guān)聯(lián)分析結(jié)果；

②攻擊關(guān)聯(lián)，根據(jù)安全設(shè)備發(fā)出的告警事件，結(jié)合目標(biāo)資產(chǎn)的類型生成關(guān)聯(lián)分析結(jié)果；

③位置關(guān)聯(lián)，根據(jù)事件來源的位置或者目標(biāo)資產(chǎn)的物理位置，生成關(guān)聯(lián)分析結(jié)果；

④角色關(guān)聯(lián)，根據(jù)事件相關(guān)用戶名結(jié)合事件基本屬性，生成關(guān)聯(lián)分析結(jié)果；

⑤因果關(guān)聯(lián)，根據(jù)事件類型結(jié)合事件行為結(jié)果，生成關(guān)聯(lián)分析結(jié)果。

2.2.4 閉環(huán)管控

該系統(tǒng)通過安全監(jiān)視發(fā)現(xiàn)問題，通過事件統(tǒng)計(jì)分析問題，通過策略執(zhí)行處理問題，通過權(quán)限管理和安全審計(jì)控制問題處理過程，通過知識管理總結(jié)問題，提升安全事件處理能力。

其中，安全監(jiān)視主要是指內(nèi)網(wǎng)安全監(jiān)視平臺，主要實(shí)現(xiàn)對安全事件的采集、分析及告警；問題跟蹤是對安全事件進(jìn)行管理，使安全事件管理的質(zhì)量評定與工作績效相結(jié)合，提高維護(hù)人員的主動性；權(quán)限管理對事件處理的人員、權(quán)限、時(shí)限、內(nèi)容及步驟進(jìn)行嚴(yán)格控制，加強(qiáng)在操作過程中的安全防護(hù)，減少因非法操作和誤操作而帶來的系統(tǒng)性風(fēng)險(xiǎn)；執(zhí)行管控是對解決問題過程進(jìn)行全程監(jiān)督和審計(jì)，形成事中、事后的審查機(jī)制，從而提高運(yùn)維人員的自律性；知識管理是建立內(nèi)網(wǎng)安全事件的專家知識庫，實(shí)現(xiàn)知識的統(tǒng)一搜集、整理、管理[8，9]。

2.3 閉環(huán)管控流程

電力監(jiān)控系統(tǒng)內(nèi)網(wǎng)安全監(jiān)視閉環(huán)管控系統(tǒng)將安全事件的發(fā)現(xiàn)、分析、處理、控制、提升形成管理閉環(huán)，整個過程可分為7個階段，分別是“事件監(jiān)視與告警”、“事件分析與診斷”、“事件處理”、“變更管理”、“配置管控”、“恢復(fù)與確認(rèn)”、“總結(jié)與改進(jìn)”[10，11]。如圖4所示。

第1階段-事件監(jiān)視與報(bào)警。

值班人員通過內(nèi)網(wǎng)安全監(jiān)視應(yīng)用對電力監(jiān)控系統(tǒng)安全情況進(jìn)行監(jiān)視，及時(shí)發(fā)現(xiàn)安全事件，并通知相關(guān)人員進(jìn)行處理。值班人員采用二種方式（即內(nèi)網(wǎng)安全監(jiān)視的事件告警和值班電話）集中發(fā)現(xiàn)和記錄內(nèi)網(wǎng)安全事件，通過創(chuàng)建安全事件工單對事件進(jìn)行集中流程化處理。

閉環(huán)管控系統(tǒng)會對收集上來的事件之間相關(guān)性采用過濾、合并、關(guān)聯(lián)的技術(shù)手段分析出有效的事件處理切入點(diǎn)，將多個相關(guān)事件合并生成一個流程工單處理解決，簡化值班人員處理安全事件流程，提高其工作效率。在生成事件工單后，值班人員將工單轉(zhuǎn)給相關(guān)系統(tǒng)管理員，由系統(tǒng)管理員對事件信息進(jìn)行核實(shí)后進(jìn)行進(jìn)一步處理。

第2階段-事件分析與診斷。

系統(tǒng)管理員在分析事件的過程中可以與相關(guān)的運(yùn)維人員一起協(xié)同分析，并由系統(tǒng)管理員根據(jù)事件緊急度、優(yōu)先級、及影響范圍再次確定事件級別合理性。系統(tǒng)管理員可以使用內(nèi)網(wǎng)安全監(jiān)視閉環(huán)管控提供的事件分析工具，通過過濾、合并、匯總、分析等規(guī)則，采用圖形化分析手段，直觀解析事件關(guān)系，幫助運(yùn)維人員理清思路、找到解決方法。在事件原因和解決思路明確后，系統(tǒng)管理員將事件工單指派給相應(yīng)的運(yùn)維人員處理。（如圖4）

第3階段-事件處理。

在運(yùn)維人員明確解決方案后，將開展事件的處理工作。據(jù)事件具體情況進(jìn)一步由二線、三線運(yùn)維人員介入處理。

運(yùn)維人員處理過程中，可以借助知識庫管理系統(tǒng)直接提供類似關(guān)聯(lián)事件處理經(jīng)驗(yàn)以供參考。如果處理事件不涉及到資產(chǎn)配置的變更，則直接處理并將處理完的結(jié)果提交值班人員確認(rèn)；如果處理事件涉及到資產(chǎn)配置的變更時(shí)，則要提出變更申請，執(zhí)行相關(guān)變更流程，完成變更后再提交處理結(jié)果由值班人員確認(rèn)。

第4階段-變更管理。

在事件處理的過程中，如果涉及到資產(chǎn)配置的變更，則需要啟動變更管理流程。由運(yùn)維人員提出變更方案，方案中包括涉及資產(chǎn)、變更內(nèi)容、風(fēng)險(xiǎn)評估、應(yīng)急預(yù)案、回退措施等子項(xiàng)，變更方案提交給系統(tǒng)管理員審批，經(jīng)審批后指派相關(guān)運(yùn)維人員進(jìn)行處理，如果變更方案不通過則重新由運(yùn)維人員提交新的變更方案。在系統(tǒng)管理員審核通過后，系統(tǒng)將自動關(guān)聯(lián)管控機(jī)策略，開啟相關(guān)資源的“操作通道”，授權(quán)相關(guān)運(yùn)維人員完成配置變更操作。

第5階段-配置變更操作管控。

運(yùn)維人員在獲得資產(chǎn)配置變更操作授權(quán)之后，將使用運(yùn)維專用機(jī)對相關(guān)資產(chǎn)進(jìn)行配置修改，同時(shí)系統(tǒng)管理員可以實(shí)時(shí)監(jiān)視運(yùn)維人員操作行為，并對不合規(guī)操作強(qiáng)制阻斷。在強(qiáng)制阻斷后，運(yùn)維人員需要重新考慮變更方案，重新開始新的變更流程。對于運(yùn)維人員操作全過程采用內(nèi)容錄像方式保存，提高操作全程記錄審計(jì)能力。

運(yùn)維專用機(jī)對資源帳號密碼采用統(tǒng)一記錄與管理，運(yùn)維人員無法獲取系統(tǒng)資源帳號及密碼，只有“系統(tǒng)管理員”根據(jù)具體事件工單涉及的相關(guān)設(shè)備進(jìn)行“動態(tài)式”授權(quán)，后臺自動建立訪問控制策略后，運(yùn)維人員才能操作和修改資源配置。這樣能夠有效的防止密碼外泄，加強(qiáng)相關(guān)人員操作訪問的權(quán)限、時(shí)限控制，減少因非法操作和誤操作而帶來的系統(tǒng)性風(fēng)險(xiǎn)。

第6階段-恢復(fù)與確認(rèn)。

在運(yùn)維人員事件處理完畢，系統(tǒng)恢復(fù)正常工作后，運(yùn)維人員將事件工單提交給發(fā)現(xiàn)事件的值班人員，由值班人員對事件處理結(jié)果進(jìn)行確認(rèn)，采用檢查資源狀態(tài)、電話回訪等方式確認(rèn)事件是否解決。同時(shí)，值班人員將進(jìn)行事件處理的滿意度調(diào)查，由值班人員填寫事件處理滿意度調(diào)查結(jié)果和評價(jià)。

第7階段-總結(jié)與改進(jìn)。

在事件恢復(fù)后，運(yùn)維人員對處理內(nèi)容、方法進(jìn)行總結(jié)，系統(tǒng)自動將處理經(jīng)驗(yàn)生成事件處理報(bào)告并提交系統(tǒng)管理員，系統(tǒng)管理員對事件處理報(bào)告進(jìn)行審核，對滿足經(jīng)典經(jīng)驗(yàn)的知識進(jìn)行標(biāo)注，將經(jīng)驗(yàn)納入知識庫中。通過對搜集、整理的內(nèi)網(wǎng)安全事件處理經(jīng)驗(yàn)進(jìn)行專家評審，提高知識專業(yè)性，形成專家知識庫。

3 應(yīng)用效果

本文提出的閉環(huán)管理模式進(jìn)一步規(guī)范了事件管理的程序和標(biāo)準(zhǔn)，豐富和發(fā)展了適用于電力監(jiān)控系統(tǒng)內(nèi)網(wǎng)安全事件的管理方法，使安全管理工作邁上規(guī)范化、程序化的運(yùn)行軌道。湖北省電力調(diào)控中心通過內(nèi)網(wǎng)安全監(jiān)視閉環(huán)管控系統(tǒng)的建設(shè)，使系統(tǒng)管理員可以跟蹤事件處理流程，能夠及時(shí)了解事件處理進(jìn)度；另外，每周定期查看事件處理操作記錄，也可以審計(jì)處理操作的合規(guī)性。同時(shí)，通過建立健全良性的激勵約束機(jī)制，發(fā)揮系統(tǒng)管理人員在工作中的主觀能動性，促進(jìn)了執(zhí)行效果和執(zhí)行效率的同步提升。以內(nèi)網(wǎng)安全監(jiān)視的閉環(huán)管控為例，2015年安全事件數(shù)量與去年相比下降較為明顯，湖北電網(wǎng)每日安全事件數(shù)量基本控制在10個以內(nèi)。安全事件曲線，如圖5所示。

另外，系統(tǒng)管理員生成運(yùn)維人員績效報(bào)告和事件全程審計(jì)報(bào)告。績效報(bào)告對運(yùn)維人員績效進(jìn)行統(tǒng)計(jì)，包括對事件請求量、事件解決量、事件解決率、事件平均解決時(shí)間、事件滿意度平均值、事件處理及時(shí)率等指標(biāo)，通過統(tǒng)計(jì)分析對安全狀態(tài)、安全工作進(jìn)行全面的評估分析，為進(jìn)一步提高業(yè)務(wù)能力，進(jìn)一步改進(jìn)監(jiān)視策略提供依據(jù)。事件全程審計(jì)報(bào)告記錄事件整個處理過程，對從事件發(fā)生、到流程處理、到操作過程、到解決完畢進(jìn)行全程監(jiān)督和審計(jì)，提高對問題在事中、事后的掌控力度。

4 結(jié)語

通過理論和實(shí)踐證明，電力監(jiān)控系統(tǒng)內(nèi)網(wǎng)安全監(jiān)視閉環(huán)管控系統(tǒng)有助于電力監(jiān)控系統(tǒng)安全防護(hù)體系由邊界防護(hù)向縱深防御發(fā)展，解決了電網(wǎng)調(diào)度系統(tǒng)對關(guān)鍵安全設(shè)備、服務(wù)器的日志集中采集和統(tǒng)一管理問題，實(shí)現(xiàn)了對安全設(shè)備的實(shí)時(shí)告警與運(yùn)行狀態(tài)監(jiān)測，為電網(wǎng)調(diào)度系統(tǒng)提供全面的安全基礎(chǔ)支撐，能夠及時(shí)掌握電力監(jiān)控系統(tǒng)存在的安全隱患，采取有效措施阻止惡意攻擊行為，保障電網(wǎng)的內(nèi)網(wǎng)運(yùn)行安全。

參考文獻(xiàn)：

[1]宋華明，韓玉啟.PDCA模式下的一體化管理體系.南京理工大學(xué)[J]，2002（2）：10-12.

[2]陳建亞.現(xiàn)代通信網(wǎng)監(jiān)控與管理[M].北京郵電大學(xué)出版社，2000.

[3]McFeeley Bob. IDEAL： A User's Guide for Software Process Improvement[M] Software Engineering Institute， CMU/SEI-96-HB-001， February 1996.

[4]胡炎，董名垂，韓英鐸.電力工業(yè)信息安全的思考[J].電力系統(tǒng)自動化，2002（7）：1-4.

[5]高雷，肖政，韋衛(wèi).安全關(guān)聯(lián)分析相關(guān)技術(shù)的研究.計(jì)算機(jī)應(yīng)用，2002（7）：1526-1528.

[6]劉雪飛，馬恒太，張秉權(quán).NIDS報(bào)警信息關(guān)聯(lián)分析進(jìn)展研究.計(jì)算機(jī)科學(xué)，2004，3（12）：61-64.

[7]李亞琴.網(wǎng)絡(luò)安全事件關(guān)聯(lián)分析方法的研究與實(shí)現(xiàn)[D].華中科技大學(xué)，2006.

[8]王保義，張少敏.電力企業(yè)信息網(wǎng)絡(luò)系統(tǒng)的綜合安全策略[J].華北電力技術(shù)， 2003（4）：19-22.

[9]劉康平，李增智.網(wǎng)絡(luò)告警序列中的頻繁情景規(guī)則挖掘算法閉[J].小型微型計(jì)算機(jī)系統(tǒng)，2003，24（5）：891-894.

[10]李先彬.電力系統(tǒng)自動化（第5版）[M].中國電力出版社，2007.

[11]林海.生產(chǎn)流程管理細(xì)化量化與過程控制[M].廣東經(jīng)濟(jì)出版社，2009.