供電企業(yè)物聯(lián)網(wǎng)和虛擬化技術(shù)應(yīng)用網(wǎng)絡(luò)安全研究

廣東電網(wǎng)有限責任公司茂名供電局 陳良成

引言

隨著信息化建設(shè)的不斷深入，供電企業(yè)已廣泛利用視頻監(jiān)控、油色譜在線監(jiān)測系統(tǒng)、電壓監(jiān)測系統(tǒng)等物聯(lián)網(wǎng)應(yīng)用，這些應(yīng)用為供電企業(yè)管理逐步向自動化、綜合化、集中化、智能化方向發(fā)展提供有力的技術(shù)保障。大大提升企業(yè)服務(wù)質(zhì)量及經(jīng)濟效益。虛擬化技術(shù)的應(yīng)用，幫助供電企業(yè)實現(xiàn)了IT資源使用及管理的集約化，有效節(jié)省了業(yè)務(wù)系統(tǒng)的資源投入成本和管理維護成本。但物聯(lián)網(wǎng)和虛擬化技術(shù)的廣泛應(yīng)用，也給供電企業(yè)的網(wǎng)絡(luò)安全防護及運維管理帶來新的風險及挑戰(zhàn)。

1.供電企業(yè)物聯(lián)網(wǎng)和虛擬化技術(shù)應(yīng)用架構(gòu)

物聯(lián)網(wǎng)（The Internet of Things)是指通過信息傳感設(shè)備，按約定的協(xié)議，將任何物品與網(wǎng)絡(luò)相連接，進行信息交換和通信，以實現(xiàn)智能化識別、定位、跟蹤、監(jiān)控和管理的一種網(wǎng)絡(luò)。物聯(lián)網(wǎng)應(yīng)用中有兩項關(guān)鍵技術(shù)，分別是傳感器技術(shù)和嵌入式技術(shù)。物聯(lián)網(wǎng)架構(gòu)可分為三層，分別是感知層、網(wǎng)絡(luò)層和應(yīng)用層。供電企業(yè)物聯(lián)網(wǎng)應(yīng)用感知層主要由智能終端組成。網(wǎng)絡(luò)層主要采用光纖專網(wǎng)作為遠程通信網(wǎng)絡(luò)技術(shù)，無線公網(wǎng)、無線專網(wǎng)等作為補充的通信方式，應(yīng)用服務(wù)層即物聯(lián)網(wǎng)系統(tǒng)的應(yīng)用或控制中心，實現(xiàn)對現(xiàn)場數(shù)據(jù)的集中存儲、分析和處理，并進行智能化的決策、控制和服務(wù)。

虛擬化是一種資源管理技術(shù)，計算機虛擬化架構(gòu)通常由宿主機、虛擬化層軟件和虛擬機三部分構(gòu)成。供電企業(yè)利用計算機虛擬化技術(shù)主要是服務(wù)器和桌面虛擬化，即在一臺物理主機內(nèi)安裝一個虛擬化軟件，從而實現(xiàn)服務(wù)器虛擬化層的部署，再在虛擬化層上安裝虛擬機，讓一臺服務(wù)器變成十幾臺甚至上百臺相互隔離的虛擬服務(wù)器或計算機終端。

2.供電企業(yè)物聯(lián)網(wǎng)和虛擬化技術(shù)應(yīng)用網(wǎng)絡(luò)安全風險

2.1 供電企業(yè)物聯(lián)網(wǎng)應(yīng)用主要風險

物聯(lián)網(wǎng)架構(gòu)簡單但組成復(fù)雜，包含各種應(yīng)用和各類設(shè)備，不僅面臨傳統(tǒng)管理信息系統(tǒng)和網(wǎng)絡(luò)模式的安全問題，還存在傳感器設(shè)備、智能終端等帶來的新的安全問題。

感知層面臨的主要風險：（1）智能終端或設(shè)備被物理操控，實施破壞、軟硬件更換等操作。（2）智能設(shè)備或終端被遠程植入控制程序，實現(xiàn)非法控制智能設(shè)備或終端并發(fā)動網(wǎng)絡(luò)攻擊。如2016年10月黑客控制了大量美國的網(wǎng)絡(luò)攝像頭和DVR 錄像機，然后操縱這些攝像頭攻擊了包括 Twitter、Paypal、Spotify 在內(nèi)多個知名網(wǎng)站，超過半數(shù)人無法上網(wǎng)，造成大規(guī)模斷網(wǎng)。（3）短距離無線通信被惡意利用，利用無線信道的開放特性，攻擊者通過監(jiān)聽、偽造、重放等技術(shù)手段，在無線網(wǎng)絡(luò)上非法接入設(shè)備、阻塞信道、破壞路由和發(fā)送虛假信息等。（4）篡改或偽造的業(yè)務(wù)指令使設(shè)備誤動。對于未采用消息源認證和消息完整性鑒別機制的物聯(lián)網(wǎng)系統(tǒng)，智能設(shè)備和終端將無法判定業(yè)務(wù)指令是否被偽造或已被惡意篡改，攻擊者可使用精心編制的指令非法控制現(xiàn)場的智能設(shè)備或終端，造成配置更改或設(shè)備誤動等。

網(wǎng)絡(luò)層風險：供電企業(yè)物聯(lián)網(wǎng)應(yīng)用采用了移動互聯(lián)網(wǎng)、有線網(wǎng)、Wi-Fi、WiMAX等多種網(wǎng)絡(luò)接入技術(shù)，出現(xiàn)了不同網(wǎng)絡(luò)間通信時安全認證、訪問控制等安全風險。同時主要數(shù)據(jù)傳輸主要依賴于傳統(tǒng)網(wǎng)絡(luò)技術(shù)，網(wǎng)絡(luò)層典型的攻擊風險有鄰居發(fā)現(xiàn)協(xié)議攻擊、蟲洞攻擊、黑洞攻擊等。

應(yīng)用服務(wù)層風險：物聯(lián)網(wǎng)應(yīng)用層主要是指建立在物聯(lián)網(wǎng)服務(wù)與支撐數(shù)據(jù)上的各種應(yīng)用平臺，如云計算、分布式系統(tǒng)、海量信息處理等，典型的安全風險包括操作系統(tǒng)、應(yīng)用平臺、應(yīng)用軟件漏洞被利用，主機遭受病毒攻擊、拒接服務(wù)流攻擊。

2.2 供電企業(yè)虛擬化技術(shù)應(yīng)用主要風險

（1）破壞了正常的網(wǎng)絡(luò)架構(gòu)。虛擬機連接到同一個虛擬交換機上，通過虛擬交換機就把所有的虛擬的服務(wù)器同外部網(wǎng)絡(luò)聯(lián)系了起來。一方面造成了傳統(tǒng)網(wǎng)絡(luò)邊界設(shè)置防火墻功能失去了防護作用，另一方面給所有的虛擬服務(wù)器增加了安全風險。當一個虛擬服務(wù)器遭受到攻擊或出現(xiàn)狀況時，其它的虛擬服務(wù)器也會受到影響。（2）虛擬機補丁更新帶來的安全風險。每個虛擬機就是一臺服務(wù)器，都需要安裝補丁，工作量太大。如果利用補丁服務(wù)器推送將占用大量網(wǎng)絡(luò)帶寬，影響虛擬化運行穩(wěn)定性，同時用于虛擬機的災(zāi)難恢復(fù)的鏡像沒有及時安裝新的補丁，從而會給災(zāi)難恢復(fù)的虛擬機帶來運行的安全風險。（3）如虛擬化平臺每臺虛擬機按傳統(tǒng)部署防病毒軟件，當多臺虛擬機同時開啟病毒查殺或病毒庫升級時，會因物理主機的相關(guān)資源消耗過大影響虛擬機服務(wù)或造成虛擬機宕機。（4）同一物理主機上不同虛擬機之間的互相攻擊和互相入侵的安全風險。

3.解決物聯(lián)網(wǎng)和虛擬化技術(shù)應(yīng)用網(wǎng)絡(luò)安全風險的相應(yīng)對策

3.1 物聯(lián)網(wǎng)應(yīng)用網(wǎng)絡(luò)安全風險對策

感知層安全防護 。非智能設(shè)備主要是采用防竊、防破壞、用電安全等措施；智能終端設(shè)備除防竊、防破壞、用電安全物理保護裝置外，還應(yīng)配備安全模塊保證原始數(shù)據(jù)不被篡改，修改終端配置默認密碼，密碼長度不小于8位，復(fù)雜性要求為大小寫字母+數(shù)字+特殊字符的組合，及時修復(fù)程序漏洞。

網(wǎng)絡(luò)層安全防護。感知設(shè)備利用短距離無線通信網(wǎng)絡(luò)傳輸數(shù)據(jù)，需要采用標準的802.11i或者WAPI安全機制，并采用隱藏接入點SSID、綁定IP/MAC地址等技術(shù)措施，防止DoS等攻擊；采用無線公網(wǎng)傳輸業(yè)務(wù)數(shù)據(jù)時，應(yīng)采用VPN或APN服務(wù)，采用端到端的安全密碼算法，保障無線公網(wǎng)上傳輸數(shù)據(jù)的機密性、完整性；利用內(nèi)部網(wǎng)絡(luò)傳輸數(shù)據(jù)時，進行網(wǎng)絡(luò)安全接入認證、邊界訪問控制、信息內(nèi)容過濾等措施，實現(xiàn)邊界安全控制。

應(yīng)用層安全防護：限制可登錄終端的網(wǎng)絡(luò)地址范圍，對登錄服務(wù)器的用戶進行身份鑒別并控制用戶對資源的訪問。對用戶登錄/登出、連接超時、配置變更、時間變更等重要事件進行審計。及時修復(fù)服務(wù)器操作系統(tǒng)、中間件平臺、數(shù)據(jù)庫平臺、應(yīng)用程序漏洞。定期檢測計算機病毒，并進行隔離或清除。制定切合實際的數(shù)據(jù)備份策略，采用災(zāi)難恢復(fù)技術(shù)及相適應(yīng)的存儲介質(zhì)進行備份。

3.2 虛擬化技術(shù)風險對策

虛擬化技術(shù)破壞了網(wǎng)絡(luò)架構(gòu)導致傳統(tǒng)防火墻對虛擬機安全防護失效，必須構(gòu)建虛擬化安全平臺，該平臺應(yīng)具有防惡意軟件、IDS/IPS、防火墻、Web 應(yīng)用程序防護和應(yīng)用程序控制防護，數(shù)據(jù)完整性監(jiān)控等安全功能，平臺防火墻應(yīng)能無需修改虛擬交換機配置即可實現(xiàn)虛擬機隔離，防止虛擬機之間的相互攻擊，通過實施有關(guān) IP地址、Mac 地址、端口及其他內(nèi)容的防火墻規(guī)則過濾通信流，支持檢測端口掃描等活動，還可限制非 IP 通信流，如 ARP 通信流，可以對虛擬機進行安全策略綁定，無論虛擬機漂移至虛擬化資源池中的任何宿主機均可提供全時的堅實防護。

部署自動化補丁管理工具，制定出詳細的更新補丁的計劃表，從而能夠有計劃、有步驟的對各個虛擬機進行補丁更新，避免出現(xiàn)遺漏。虛擬機管理員經(jīng)常檢查關(guān)閉的虛擬機的補丁狀態(tài)，同時定期更新虛擬機模板，保證用來創(chuàng)建新虛擬機的鏡像模板內(nèi)安裝的軟件版本是最新的。

（3）選擇專為虛擬環(huán)境所打造的防病毒系統(tǒng)，該系統(tǒng)只在每臺宿主物理服務(wù)器上安裝一次，即可實現(xiàn)病毒安全防護，能實現(xiàn)自動繼承的保護，虛擬鏡像可即裝即防，裸機也能立即保護。已經(jīng)在虛擬化環(huán)境采用了傳統(tǒng)的防病毒病毒和惡意代碼軟件虛擬機，則應(yīng)該細化虛擬機的病毒防護策略，對虛擬機實行分時升級和病毒掃描策略，避免所有虛擬機同時升級和掃描形成“病毒風暴”而導致系統(tǒng)服務(wù)異常，同時虛擬機管理員還應(yīng)定期開啟關(guān)閉的虛擬機進行病毒庫升級和掃描。

結(jié)束語

綜上所述，物聯(lián)網(wǎng)和虛擬化的發(fā)展是大勢所趨，但在他們深入應(yīng)用的同時帶來了相應(yīng)的網(wǎng)絡(luò)安全問題，不解決好物聯(lián)網(wǎng)和虛擬化的安全問題就不能正常運作物聯(lián)網(wǎng)和虛擬化應(yīng)用，還可能造成重大安全事件，因此解決物聯(lián)網(wǎng)的安全風險迫在眉睫。對物聯(lián)網(wǎng)和虛擬化應(yīng)用網(wǎng)絡(luò)安全風險一定要做到管理和技術(shù)并重，要加強各種手段預(yù)防物聯(lián)網(wǎng)和虛擬化應(yīng)用網(wǎng)絡(luò)安全風險。