電力信息系統(tǒng)中間件等級保護測評技術(shù)研究

阮俊杰

?

電力信息系統(tǒng)中間件等級保護測評技術(shù)研究

阮俊杰

（廣東電網(wǎng)有限責(zé)任公司佛山供電局，廣東 佛山 528000）

隨著電力企業(yè)信息化的建設(shè)，越來越多的應(yīng)用系統(tǒng)被部署到電力信息系統(tǒng)當(dāng)中，信息系統(tǒng)在方便企業(yè)管理的同時帶來了信息安全需求。等級保護作為信息系統(tǒng)網(wǎng)絡(luò)安全保障的基本方法，為信息系統(tǒng)的上線、運維、退運等提供了有益依據(jù)，在保障企業(yè)網(wǎng)絡(luò)安全的工作中起了重要作用。中間件作為應(yīng)用系統(tǒng)的主要組成部分，其網(wǎng)絡(luò)安全是需要重點保障的內(nèi)容，本文首先介紹了電力信息系統(tǒng)的網(wǎng)絡(luò)安全背景及中間件等級保護測評要求，其次對電力信息系統(tǒng)常見中間件的測評技術(shù)進行了研究，并給出了具體的操作方法，最后對論文進行了總結(jié)。

中間件；等級保護；電力信息系統(tǒng)關(guān)鍵詞

0 引言

電力監(jiān)控系統(tǒng)以及電力管理信息系統(tǒng)是重要的國家關(guān)鍵基礎(chǔ)設(shè)施，涵蓋電力生產(chǎn)包括發(fā)電、輸電、變電、配電、用電以及企業(yè)管理的方方面面，是公司需要重點保障的業(yè)務(wù)系統(tǒng)。近年來，網(wǎng)絡(luò)安全形勢嚴峻，國外先后曝光多項國家級隱蔽網(wǎng)絡(luò)安全計劃，發(fā)生了多起惡意網(wǎng)絡(luò)安全攻擊事件[1,2]，具體包括：

2010年，震網(wǎng)病毒（Stuxnet）利用了Windows操作系統(tǒng)多個未公開的網(wǎng)絡(luò)安全漏洞入侵了伊朗布什爾核電站，造成核電站損壞，只要運維人員將被感染的U盤接入電腦USB接口，Stuxnet能自動在局域網(wǎng)中搜索并找到SCADA系統(tǒng)及PLC現(xiàn)場控制器，并取得核電站控制系統(tǒng)的控制權(quán)[1]。2015年，BlackEnergy惡意代碼入侵烏克蘭國家電網(wǎng)，病毒感染電力監(jiān)控系統(tǒng)，下達惡意指令，導(dǎo)致多個變電站電氣鏈路斷開，大面積停電事件發(fā)生[3,4]。2017年，蠕蟲惡意病毒（WannaCry勒索軟件）在全球范圍被爆發(fā)，大量高校、企事業(yè)單位以及工業(yè)控制系統(tǒng)被病毒感染[5-10]。

在現(xiàn)存的網(wǎng)絡(luò)安全保障體系當(dāng)中，等級保護作技術(shù)為信息系統(tǒng)網(wǎng)絡(luò)安全保障的基本方法，已經(jīng)廣泛應(yīng)用于信息系統(tǒng)全生命周期的網(wǎng)絡(luò)安全保障[11]。

隨著中間件的發(fā)展，其功能逐漸強大并與操作系統(tǒng)結(jié)合越來越緊密，一旦被別人攻擊利用，將嚴重威脅到操作系統(tǒng)以及上層應(yīng)用的網(wǎng)絡(luò)安全[12][13][14]。電力信息系統(tǒng)經(jīng)常使用的中間件包括IIS、Tomcat、WebLogic、Apache等，本文重點對中間件的網(wǎng)絡(luò)安全測評指標進行研究，并結(jié)合電力信息系統(tǒng)運行實際情況給出了其網(wǎng)絡(luò)安全測試方法，最后對論文進行了總結(jié)。

1 身份鑒別

根據(jù)《電力行業(yè)信息系統(tǒng)安全等級保護基本要求》，中間件的身份鑒別測評技術(shù)主要包括登錄控制模塊檢查、口令復(fù)雜度檢查、登錄失敗處理功能等方面內(nèi)容[15]。

1.1 登錄控制模塊

該模塊要求設(shè)置中間件管理賬戶，并設(shè)置賬戶模塊對管理賬戶進行身份鑒別。在實際的檢查過程當(dāng)中，需結(jié)合業(yè)務(wù)的實際查看中間件是否啟用了身份標識及鑒別功能。該測評項最簡單的檢查辦法是訪問中間件管理頁面，并查看頁面是否需要登錄授權(quán)才可以進一步管理中間件，如果系統(tǒng)刪除了中間件的登錄頁面，則該項默認不適用。

1.1.1 IIS中間件

標準的IIS中間件提供了5種身份鑒別方式[16]，如下表所示：

表1 IIS中間件身份鑒別方式

IIS中間件檢查其身份認證的方法為訪問“IIS管理器->網(wǎng)站屬性->目錄安全性->身份訪問及訪問控制”查看IIS的身份認證情況。“匿名訪問身份”代表IIS沒有啟用身份認證功能，“集成Windows身份認證”、“摘要式身份驗證、“基本身份認證”和“.net password 身份驗證”都代表了IIS啟用了身份認證功能。

1.1.2 Tomcat中間件

Tomcat中間件可通過訪問其后臺管理地址（一般為http://ip:8080/manager/html），查看是否提示輸入用戶名密碼來判斷身份認證功能的啟用狀態(tài)。

1.1.3 WebLogic中間件

WebLogic中間件可通過訪問其后臺管理地址，查看其是否提示輸入用戶名密碼來判斷身份認證功能的啟用狀態(tài)。

1.2 口令復(fù)雜度

IIS中間件的口令復(fù)雜度配置可以參考Windows操作系統(tǒng)的口令復(fù)雜度配置，檢查方法為查看“控制面板->管理工具->本地安全策略->帳戶策略->密碼策略->密碼必須符合復(fù)雜性要求”是否設(shè)置為已啟動。

Tomcat中間件的口令復(fù)雜度配置需查看tomcat后臺管理賬號的配置文件tomcat/conf/tomcat- user.xml，查看其用戶口令是否滿足復(fù)雜度要求，由于Tomcat默認將用戶名和密碼以明文的方式保存，所以其不滿足“應(yīng)用軟件不得明文存儲口令數(shù)據(jù)”要求。

WebLogic中間件的口令復(fù)雜度配置可以通過路徑“Home -> Summary of Servers -> Summary of Security Realms -> myrealm -> Users and Groups -> Providers -> Default Authenticator”查看密碼長度（Minimum Password Length）字段是否不小于8位。

1.3 登錄失敗處理功能

IIS中間件的登錄失敗處理功能基于Windows操作系統(tǒng)的安全機制實現(xiàn)，檢查方法為查看“控制面板->管理工具->本地安全策略->帳戶策略->賬戶鎖定策略”的配置。

WebLogic的登錄失敗處理功能可以在路徑“Home -> Summary of Environment -> Summary of Security Realms -> myrealm -> Users and Groups -> Providers -> Default Authenticator -> Users and Groups -> myrealm”查看其登錄失敗處理功能，其設(shè)置字段如下表所示：

表2 WebLogic登錄失敗處理功能

2 訪問控制及資源控制

2.1 訪問控制

訪問控制機制能夠授權(quán)不同的用戶、不同的角色不同的訪問控制權(quán)限，防止系統(tǒng)被越勸訪問[17]。在各種類型的中間件當(dāng)中，IIS中間件提供了較為完善的訪問控制策略，其查看方法為“開始->程序->管理工具->Internet信息服務(wù)（IIS管理器）網(wǎng)站->屬性->主目錄”檢查網(wǎng)站的訪問控制策略。

針對WebLogic、tomcat中間件，還需要檢查其管理端口是否為默認端口，一般情況下需要修改中間件的默認端口以提高中間件的安全性。

針對tomcat中間件，還需要檢查tomcat中間件重要配置文件的權(quán)限，一般情況下，需要設(shè)置server.xml、web、tomcat-users.xml文件的權(quán)限分別小于644、644以及660。

2.2 資源控制

中間件的資源控制主要表現(xiàn)在中間件服務(wù)器的超時鎖定時間配置，其目的在于防止惡意分子侵占過多主機CPU、內(nèi)存等資源，導(dǎo)致業(yè)務(wù)系統(tǒng)可用性遭到威脅。中間件服務(wù)器應(yīng)該根據(jù)業(yè)務(wù)系統(tǒng)的需要合理配置超時鎖定時間。

IIS中間件的超時鎖定配置路徑為“IIS管理器->Internet信息服務(wù)->服務(wù)->屬性->主目錄->配置->選項->會話超時”。

tomcat中間件的超時鎖定配置文件為tomcat/ conf/server.xml，其字段為connection Timeout。

WebLogic中間件的超時鎖定功能路徑為“Home -> Summary of Environment -> Summary of Security Realms -> myrealm -> Users and Groups -> Providers -> DefaultAuthenticator -> Users and Groups -> myrealm”，其設(shè)置字段為Lockout cache size。

3 安全審計

安全審計能為中間件以及應(yīng)用系統(tǒng)提供事后網(wǎng)絡(luò)攻擊調(diào)查取證分析的保障，能為應(yīng)用系統(tǒng)加固提供依據(jù)，是網(wǎng)絡(luò)安全需重點保護的內(nèi)容。

3.1 IIS審計功能

查看IIS中間件是否開啟日志審計的方法為檢查“開始->管理工具->Internet 信息服務(wù) (IIS) 管理器->網(wǎng)站 ->屬性->啟用日志記錄”是否勾選。

IIS中間件審計內(nèi)容配置路徑為“IIS管理器->Internet信息服務(wù)->應(yīng)用相關(guān)站點屬性->網(wǎng)站->屬性->高級”，其主要檢查項包括“時間”、“日期”、“擴展屬性”等。

保護IIS日志的方法可以通過如下方法查看：“控制面板->管理工具->本地安全策略->本地策略->審核策略->審核策略更改”中的“成功”和“失敗”是否勾選。選擇IIS的日志保存目錄，查看其是否限制everyone用戶對日志文件的寫權(quán)限。

3.2 Tomcat審計功能

Tomcat中間件審計功能配置文件為server.xml，需檢查其是否在標簽中增加訪問日志，如下所示

classname=”org.apache.catalina.valves. AccessLogValve”

Directory=”logs”

prefix=”localhost_access_log.”

Suffix=”.txt”

Pattern=”common”

resloveHosts=”false”

保護Tomcat審計日志的功能為：針對Windows操作系統(tǒng)，限制其他用戶對Tomcat日志文件的寫權(quán)限，去掉Everyone用戶對日志文件的寫權(quán)限；針對類linux系統(tǒng)，建議設(shè)置日志文件權(quán)限不高于640。

3.3 WebLogic審計功能

WebLogic在啟動及運行過程中會記錄各種LOG信息，其日志路徑為user_projectsdomains test_domainserversAdminServerlogs。其審計功能檢查方法為：進入weblogic的web控制臺，檢查Environment -> Servers ->logging 是否定義了weblogic日志記錄名稱及存儲位置，是否定義HTTP日志記錄名稱及存儲位置。

3.4 Apache日志審計功能

查看Apache的日志審計的方法為：查看Apache中間件httpd.conf配置文件，其是否設(shè)置日志記錄文件、記錄內(nèi)容、記錄格式等[18]，如下所示：

LogLevel notice

ErrorLog logs/error_log

LogFormat “%h %l %u %t ”%r” %>s %b ”%{Accept}i” ”%{Referer}i” ”%{User-Agent}i” “ combined

CustomLog logs/access_log combined

4 入侵防御

入侵防御是中間件相對綜合的安全指標，該測評項要求中間件對各類暴力攻擊行為進行記錄，對中間件進行補丁升級等。

4.1 IIS中間件

IIS中間件補丁情況檢查路徑為“控制面板->添加或刪除程序->顯示更新”。此外，為防止IIS遭到攻擊，還需禁用IIS不必要的腳本，如htr、.idc、.stm、.shtml.、printer.、htw、ida、idq等，其設(shè)置路徑為“控制面板->管理工具->IIS管理器->站點屬性->主目錄->配置->映射->應(yīng)用程序擴展”。

4.2 Tomcat中間件

Tomcat中間件的入侵防御主要表現(xiàn)在如下四個方面：

（1）設(shè)置tomcat中間件tomcat/server.xml配置文件，將中的shutdown字段設(shè)為復(fù)雜的字符串；

（2）取消tomcat中間件服務(wù)器的遍歷目錄功能，將 tomcat/conf/web.xml配置文件的將 false 的內(nèi)容改為true；

（3）設(shè)置tomcat服務(wù)器版本信息文件中的版本信息，防止信息泄露；

（4）可以將tomcat服務(wù)器的文件錯誤頁面重新定向至404錯誤配置頁面。

4.3 WebLogic中間件

WebLogic中間件補丁情況檢查路徑為“WebLogic控制臺->ConWLe-> View Server & Browser Info”；此外還需檢查“Environment -> Servers ->exam-plesServer ->configuration ->SSL ->Hostname Veri-fication”是否設(shè)置為BEA Hostname Verifier。

5 通信保密性測評

中間件的通信保密性可以通過SSL VPN、IPSec VPN或者其他通信加密技術(shù)實現(xiàn)。如果中間件采用SSL VPN技術(shù)，則需要分別以普通身份及基于SSL證書方式分別查看Web應(yīng)用的相應(yīng)狀態(tài)，以確認中間件的通信保密功能。

除了基于SSL證書方式登錄Web應(yīng)用的檢查方式之外，IIS中間件還可以通過“Internet信息服務(wù)->Web站點屬性->目錄安全性->編輯”查看SSL選項選擇狀態(tài)。

針對Weblogic中間件，還可以通過console管理頁面Environment -> services -> configuration -> general查看SSL Listen Port Enable是否勾選檢查其是否開啟SSL管理功能。

6 結(jié)論

中間件是電力信息系統(tǒng)網(wǎng)絡(luò)安全的重點組成部分，本文對電力信息系統(tǒng)常見中間件的測評技術(shù)進行了研究，針對不同的中間件，分別給出了詳細的具體測評指令以及測評標準，對中間件的網(wǎng)絡(luò)安全測評、加固等都具有顯著的參考意義。

[1] 蒲石, 陳周國, 祝世雄. 震網(wǎng)病毒分析與防范[J]. 信息網(wǎng)絡(luò)安全, 2012, (02): 40-43.

[2] 李磊. 數(shù)據(jù)通信網(wǎng)絡(luò)安全維護策略探討[J]. 軟件, 2018, 39(7): 191-193.

[3] 李保杰, 劉巖, 李洪杰, 等. 從烏克蘭停電事故看電力信息系統(tǒng)安全問題[J]. 中國電力, 2017, 50(05): 71-77.

[4] 張書林, 劉軍, 閆龍川, 等. 基于深度學(xué)習(xí)的電力骨干通信網(wǎng)故障診斷研究[J]. 軟件, 2018, 39(3): 194-198.

[5] 胡國強. 從勒索病毒看網(wǎng)絡(luò)信息安全的隱患與對策[J]. 網(wǎng)絡(luò)空間安全, 2018, (1): 5-7, 20.

[6] 龔琪, 曹金璇, 蘆天亮. 基于序列比對的勒索病毒同源性分析[J]. 計算機與現(xiàn)代化, 2018, (2): 1-5.

[7] 王春暉. 《網(wǎng)絡(luò)安全法》六大法律制度解析[J/OL]. 南京郵電大學(xué)學(xué)報(自然科學(xué)版), 2017, 37(01): 1-13.

[8] 卜曉波. 試論大數(shù)據(jù)云計算環(huán)境下的數(shù)據(jù)安全[J]. 軟件, 2018, 39(2): 197-199.

[9] 陳良. 王玉龍. 一種基于比特信的新型僵尸網(wǎng)絡(luò)[J]. 軟件. 2015. 36(1): 88-93.

[10] 陳星, 霍珊珊, 劉健. 物聯(lián)網(wǎng)信息系統(tǒng)安全測評服務(wù)模式的研究[J]. 軟件, 2016, 37(3): 09-15

[11] 趙志偉. 信息安全等級測評系統(tǒng)的設(shè)計與實現(xiàn)[D]. 山西大學(xué), 2015.

[12] 吳泉源. 網(wǎng)絡(luò)計算中間件[J/OL]. 軟件學(xué)報, 2013, 24(01): 67-76.

[13] 秦璟, 高文, 儲方杰. 中間件技術(shù)研究[J]. 計算機應(yīng)用研究, 2003, (08): 35-37.

[14] 梅宏, 申峻嶸. 軟件體系結(jié)構(gòu)研究進展[J]. 軟件學(xué)報, 2006, (06): 1257-1275.

[15] 余勇, 林為民. 基于等級保護的電力信息安全監(jiān)控系統(tǒng)的設(shè)計[J]. 計算機科學(xué), 2012, 39(S3): 440-442.

[16] 畢超杰. 移動互聯(lián)網(wǎng)中身份認證與信任傳遞機制的研究[D]. 山東大學(xué), 2014.

[17] 王亮, 張虹霞.網(wǎng)絡(luò)安全訪問控制系統(tǒng)設(shè)計分析[J]. 現(xiàn)代電子技術(shù), 2018, (10): 100-104.

[18] 龐靜. 信息安全技術(shù)在電子政務(wù)內(nèi)網(wǎng)中的應(yīng)用[D]. 吉林大學(xué), 2015.

The Research of The Middleware Security Evaluation in Power Information System

RUAN Jun-jie

(Foshan Power Supply Bureau, Guangdong Power Grid Limited Corporation, Foshan 528000, China)

With the development of information technology, more and more information systems are deployed to the power information system, which brought the information security needs with the convenience of enterprise management. As the basic method of network security protection, classified protection of information security provides a useful basis for the information system, and plays an important role in the network security safeguarding. As the main component of the application system, the middleware security is the content which needs to be ensured emphatically. This paper firstly introduced the network security background of the power information system and the evaluation requirements of the middleware classified protection, then studied the evaluation technology of the middleware in the power information system, and gave the concrete operation method. It’s shown that the network security can be significantly improved by the classified Protection technology.

Middleware; Classified protection of information security; Power information system computer

阮俊杰. 電力信息系統(tǒng)中間件等級保護測評技術(shù)研究[J]. 軟件，2018，39（11）：84-87

阮俊杰(1989-)，男，工程師，主要研究方向：電力信息系統(tǒng)，網(wǎng)絡(luò)安全，等級保護。

TP393.08

A

10.3969/j.issn.1003-6970.2018.11.020