電力企業(yè)信息安全漏洞修補經(jīng)驗及補丁庫建設(shè)的研究

徐曉偉，陸生兵，張明樂

（國網(wǎng)浙江長興縣供電有限公司，浙江長興 313100）

1 引言

近些年，隨著電力企業(yè)針對“互聯(lián)網(wǎng)+”“大數(shù)據(jù)”“云平臺”等新技術(shù)的不斷推廣應(yīng)用，網(wǎng)絡(luò)信息技術(shù)迎來了一輪新革命，但隨之而來的就是網(wǎng)絡(luò)信息安全形勢的日趨嚴峻。網(wǎng)絡(luò)安全漏洞層出不窮、黑客技術(shù)花樣百出，給電力企業(yè)的網(wǎng)絡(luò)信息安全管理者和從業(yè)者帶來了不小的挑戰(zhàn)，因此對網(wǎng)絡(luò)信息安全進行科學(xué)有效的管理勢在必行。

而信息安全漏洞是造成網(wǎng)絡(luò)信息安全問題的重要原因之一，是實施網(wǎng)絡(luò)攻防的關(guān)鍵要素，要及時有效發(fā)現(xiàn)漏洞信息，并減少對社會、國家、企業(yè)信息安全的不利影響，因此對安全漏洞修補技術(shù)和補丁庫的研究成為了網(wǎng)絡(luò)信息安全領(lǐng)域的重點。信息安全漏洞的分類是漏洞研究的基礎(chǔ)，安全加固是漏洞管理的閉環(huán)，其重要性均不言而喻，因此如何迅速準確的找到信息安全漏洞的修補方法，有效提升安全加固效率，避免加固過程中次生風險是本文探討的主要問題。

2 漏洞成因分析及漏洞修補經(jīng)驗研究

2.1 安全漏洞的成因

安全漏洞的產(chǎn)生總的來說由于邏輯錯誤、安全策略等造成硬件、軟件、協(xié)議存在缺陷，非法訪問者或攻擊者可以在未經(jīng)授權(quán)的情況下越權(quán)訪問系統(tǒng)。具體在幾個方面體現(xiàn)出了其成因，惡意入侵攻擊：主要是為了實現(xiàn)對內(nèi)部網(wǎng)絡(luò)的入侵而編寫的程序，結(jié)合相應(yīng)的工具，在網(wǎng)絡(luò)中植入木馬，進而來實現(xiàn)對網(wǎng)絡(luò)的非法訪問。安全策略不嚴謹，如弱口令問題，就是由于密碼安全策略安全級別配置不夠?qū)е?。此外，修改檢測系統(tǒng)之后，會出現(xiàn)拒絕服務(wù)攻擊，在此進程中，將會泄露出系統(tǒng)權(quán)限，在修改權(quán)限時，會分配這部分資源，此時也會導(dǎo)致安全漏洞的出現(xiàn)。但無論是何種因素的影響，出現(xiàn)網(wǎng)絡(luò)信息系統(tǒng)安全漏洞，應(yīng)在對其出現(xiàn)原因有充分把握的基礎(chǔ)上，才可以開展修補、加固工作[1]。

2.2 安全漏洞的類別

根據(jù)業(yè)務(wù)、網(wǎng)絡(luò)部署等實際情況，可以將安全漏洞分為操作系統(tǒng)漏洞、業(yè)務(wù)邏輯漏洞和網(wǎng)絡(luò)安全漏洞。

在操作系統(tǒng)方面，如非法訪問、系統(tǒng)陷門、溢出漏洞、遠程命令執(zhí)行等都是較為常見的。

在業(yè)務(wù)邏輯漏洞方面，用戶盲目地輸入信息，如果不能嚴格地對參數(shù)進行驗證，對其合法性有所忽視、失誤，病毒等就必然會破壞數(shù)據(jù)庫，有可能為業(yè)務(wù)帶來極為嚴重的影響。

在網(wǎng)絡(luò)安全方面，如訪問權(quán)限控制不嚴、網(wǎng)絡(luò)設(shè)備漏洞、設(shè)備弱口令等都是較為常見的。

2.3 加固經(jīng)驗及補丁庫分析

在日常的網(wǎng)絡(luò)信息系統(tǒng)安全運維過程中，安全漏洞量級及安全加固情況已成為安全管理的重要指標。但安全漏洞是一個“動態(tài)”的事務(wù)，隨著互聯(lián)網(wǎng)技術(shù)的發(fā)展、黑客技術(shù)的提升、業(yè)務(wù)系統(tǒng)的價值等因素安全漏洞依舊層出不窮，同樣安全漏洞加固由于其專業(yè)性、業(yè)務(wù)影響等重要因素不斷困擾運維人員的修補和加固工作。因此，安全加固經(jīng)驗及補丁庫研究需要從安全漏洞影響程度、可利用性、業(yè)務(wù)影響程度等多個方面開展，最終達到方便運維人員加固，實現(xiàn)快速修補和加固的目的。

3 安全漏洞的挖掘過程及基本防范措施

3.1 漏洞的挖掘過程

在日常運維工作中，安全漏洞的挖掘主要有兩種途徑。

一是通過安全產(chǎn)品進行漏洞掃描。

目前，主流的漏洞掃描產(chǎn)品掃描范圍基本覆蓋主機設(shè)備，如網(wǎng)絡(luò)層（交換機、路由器、防火墻等），主機（Windows、Unix、Linux等），數(shù)據(jù)庫（Oracle、DB2、Mysql、SQL Server等），中間件（WebLogic、JBoss、Apache、IIS等）等。漏洞掃描原理大致分為兩類：第一類通過遠程識別目標主機中服務(wù)的軟件版本、類型，然后根據(jù)版本從漏洞庫中搜索出相對應(yīng)的版本漏洞，稱之為版本掃描；第二類通過遠程識別目標主機中服務(wù)的軟件版本、類型，然后模擬黑客對服務(wù)漏洞的利用過程，稱之為原理掃描，如圖1所示。

圖1 漏洞掃描原理分類

二是人工滲透測試。

通過使用漏洞掃描和遠程滲透等類型的工具，人工挖掘網(wǎng)絡(luò)信息系統(tǒng)中存在的各類安全漏洞，采用黑盒測試的方式通過模擬黑盒攻擊的行為驗證漏洞真實存在情況，評估Web應(yīng)用是否存在可以被攻擊者利用的漏洞，重點關(guān)注SQL注入、跨站腳本、遠程緩沖區(qū)溢出攻擊、文件上傳、本地提升權(quán)限和網(wǎng)站掛馬等漏洞。通過此種方式，能夠深層次地發(fā)現(xiàn)系統(tǒng)中存在的薄弱環(huán)節(jié)及系統(tǒng)漏洞[2]。

3.2 訪問控制

訪問控制具體采用的技術(shù)是防火墻技術(shù)。其中包括了服務(wù)代理、過濾等多種技術(shù)，在對上述技術(shù)進行有效的運用之后，能夠防范網(wǎng)絡(luò)攻擊。這是在網(wǎng)絡(luò)安全技術(shù)當中，極為常見和普遍且應(yīng)用廣泛的技術(shù)。作為一項重要的措施，實現(xiàn)了對資源安全性的保障，同時避免了非法訪問和使用等現(xiàn)象的發(fā)生。在進行訪問控制時，其控制的主要對象為非法用戶，讓網(wǎng)絡(luò)資源不對其公開，也避免了對資源的非法使用以及修改。

3.3 定期安全評估

定期主機安全檢查。要保證網(wǎng)絡(luò)安全，進行網(wǎng)絡(luò)安全建設(shè)，首先要全面了解系統(tǒng)，評估系統(tǒng)安全性，認識到自己的風險所在，從而可以迅速、準確地解決內(nèi)網(wǎng)安全問題。

針對電力企業(yè)網(wǎng)絡(luò)信息系統(tǒng)的實際情況，安全評估主要分為網(wǎng)絡(luò)安全評估，主機、數(shù)據(jù)庫和中間件安全評估，應(yīng)用安全評估三個方面。其中，網(wǎng)絡(luò)安全評估內(nèi)容主要包括邊界完整性、訪問控制、網(wǎng)絡(luò)的高可用性和冗余性、用戶認證和信道加密和防病毒等方面。主機、數(shù)據(jù)庫和中間件安全評估內(nèi)容主要包括系統(tǒng)補丁、開放服務(wù)、弱口令、病毒木馬、安全配置策略、針對發(fā)現(xiàn)的高危漏洞補丁、高風險服務(wù)、弱口令、防病毒軟件病毒庫未及時更新等問題進行評估。應(yīng)用評估主要是通過滲透測試等方式，發(fā)現(xiàn)系統(tǒng)存在的漏洞和缺陷，同時在日常工作中, 加強應(yīng)用系統(tǒng)上線前的安全評估工作。

3.4 計算機防病毒

如果計算機網(wǎng)絡(luò)中有病毒，則會迅速發(fā)現(xiàn)系統(tǒng)中的漏洞，并借此實現(xiàn)對網(wǎng)絡(luò)的攻擊，在進入系統(tǒng)內(nèi)部后，對系統(tǒng)將造成不同程度的干擾與破壞。因此，計算機網(wǎng)絡(luò)安全漏洞的防范要注重對病毒的防范。目前，對病毒防范的措施主要為多層防衛(wèi)。在計算機上安裝防病毒軟件，在查殺軟件的作用下.對入侵病毒實現(xiàn)了防御。同時，軟件能夠?qū)τ嬎銠C網(wǎng)絡(luò)環(huán)境進行定期的分析.從而實現(xiàn)了安全漏洞的修復(fù)。對病毒升級庫進行定期更新，由于病毒具有多樣性與動態(tài)性，因此要對病毒庫進行升級，此時病毒庫的作用才能夠得到最大限度地發(fā)揮。最后切斷病毒入侵途徑，在軟件應(yīng)用過程中，要選擇沒有病毒風險的軟件，防止惡意插件的入侵。

3.5 數(shù)據(jù)備份

數(shù)據(jù)備份就是將硬盤上的有用的文件、數(shù)據(jù)都拷貝到異地，如移動硬盤、優(yōu)盤等介質(zhì)。這樣即使連續(xù)連接在網(wǎng)絡(luò)上的計算機被攻擊破壞，因為已經(jīng)有備份，所以不用擔心，再將需要的文件和數(shù)據(jù)拷貝回去就可以了。做好數(shù)據(jù)的備份是解決數(shù)據(jù)安全問題的最直接與最有效措施之一，數(shù)據(jù)備份方法有全盤備份，增量備份和差分備份。

4 安全漏洞修補策略及經(jīng)驗庫累積

4.1 修補策略

安全漏洞形成存在多種因素，涉及各種信息資產(chǎn)，因此在建設(shè)安全漏洞加固經(jīng)驗庫需考慮多種因素，包括業(yè)務(wù)系統(tǒng)影響、操作系統(tǒng)版本、軟件版本、漏洞影響程度、信息資產(chǎn)價值等。通過綜合評估的策略，建設(shè)并優(yōu)化安全加固經(jīng)驗庫。在安全加固策略方面主要分為兩個方面：一方面是基于資產(chǎn)權(quán)重的風險計算；另一方面是基于安全漏洞實際加固經(jīng)驗的累積。

4.1.1 基于資產(chǎn)權(quán)重的風險管理策略

（1）基于業(yè)務(wù)系統(tǒng)影響，權(quán)重值高，如圖2所示。在企業(yè)安全生產(chǎn)的情況下，安全運維就是保障網(wǎng)絡(luò)信息系統(tǒng)安全穩(wěn)定運行，保障公司利益，確?？蛻粜畔踩?。在安全加固過程中首先要考慮的就是是否影響網(wǎng)絡(luò)信息系統(tǒng)的正常運行，一般情況下對生產(chǎn)系統(tǒng)進行補丁升級需要經(jīng)過測試環(huán)境、準生產(chǎn)環(huán)境等多重測試，還需要一套完善的應(yīng)急處置方案做支撐，一切順利通過方可加固生產(chǎn)系統(tǒng)[4]。

（2）基于安全域，權(quán)重值中高，如圖3所示?？梢詫⒐镜陌踩騽澐譃榛ヂ?lián)網(wǎng)區(qū)、中立區(qū)、核心區(qū)三個區(qū)域。由于在安全域邊界有不同的防護設(shè)備及網(wǎng)絡(luò)設(shè)備，因此在不同的區(qū)域被攻擊的風險是不一樣，互聯(lián)網(wǎng)區(qū)的資產(chǎn)一般可以直接被互聯(lián)網(wǎng)用戶訪問，被攻擊的風險最高，需要完成優(yōu)先加固，而隨著安全域越深入被攻擊的風險相對越小，安全加固的級別也逐級降低。

圖2 業(yè)務(wù)影響權(quán)重圖

圖3 安全域權(quán)重圖

4.1.2 基于安全漏洞實際加固經(jīng)驗的累積

（1）基于誤報漏洞的積累。在利用漏掃工具開展日常掃描過程中，由于漏洞掃描機制問題，經(jīng)常會出現(xiàn)漏洞誤報的情況，運維人員驗證漏洞是否誤報的工作本身就比較耗時且技術(shù)門檻較高，加固過程中需要將這部分漏洞進行單獨處理，為避免重復(fù)的驗證工作，把這部分漏洞做積累、分類和統(tǒng)計，在今后的日常運維工作中若出現(xiàn)類似問題，能夠進行合理的處理，提高漏洞處理工作效率。

（2）基于白名單漏洞的積累。在某些情況下相同的安全漏洞，在相同的操作系統(tǒng)中，但版本不同的情況下，安全漏洞的影響是不一樣的（操作系統(tǒng)官方會解釋）。針對此類安全漏洞的加固就需要運維人員梳理漏洞的影響程度，此梳理的過程工作量較大且效率較低，因此需要自動化的工具來支撐人工梳理的工作。

（3）基于實際加固經(jīng)驗的積累。運維人員在安全加固過程中，首先需要根據(jù)漏洞情況尋找漏洞補丁或者解決方案，其次在測試環(huán)境進行補丁測試，最后將測試過程移植到生產(chǎn)環(huán)境。在這個環(huán)節(jié)中，需要驗證補丁的可行性、業(yè)務(wù)的影響，專業(yè)性較強，再者如果工程師換崗或離職，如果有加固經(jīng)驗系統(tǒng)來支撐更容易得到傳承[3]。

4.2 經(jīng)驗庫和補丁庫的建設(shè)

安全漏洞經(jīng)驗庫最基礎(chǔ)的途徑就是常年累月經(jīng)過實際運維人員經(jīng)過加固之后的經(jīng)驗累積。加固經(jīng)驗庫具備三個特性：一是符合實際業(yè)務(wù)情況；二是具備二次利用性；三是可維護性，加固經(jīng)驗庫最重要的功能必須有補丁庫的管理，補丁庫與實際安全漏洞一對一對應(yīng)管理。

綜上所述，經(jīng)驗庫的建設(shè)應(yīng)包含三個方面。

（1）基礎(chǔ)資產(chǎn)表：包含信息資產(chǎn)的IP、操作系統(tǒng)及版本、部署位置、業(yè)務(wù)系統(tǒng)、安全域、責任人等關(guān)聯(lián)信息。

（2）補丁庫：應(yīng)包含漏洞名稱、CVE編號、CNNVD編號、操作系統(tǒng)及版本、補丁下載地址或物理地址等。

（3）經(jīng)驗庫：應(yīng)包含漏洞名稱、CVE編號、CNNVD編號、加固方法、注意事項、適用操作系統(tǒng)及版本、適用安全域、安全加固級別等內(nèi)容。

針對以上幾點要求，開發(fā)了漏洞自動匹配工具并建設(shè)了漏洞補丁庫，系統(tǒng)能夠?qū)崿F(xiàn)自動分析HTML格式的漏洞掃描報告，將HTML 數(shù)據(jù)還原成數(shù)據(jù)庫原始數(shù)據(jù)，并存儲于后臺，在補丁庫中實現(xiàn)漏洞和補丁的自動匹配，同時根據(jù)漏洞的不同等級和影響程度，為運維人員提供漏洞的修補方案，大大提高了運維人員的工作效率和漏洞修補準確率，如圖4所示。

圖4 漏洞經(jīng)驗庫

5 結(jié)束語

漏洞加固經(jīng)驗庫是漏洞管理中最基礎(chǔ)也是最重要的部分，漏洞加固效率直接影響安全事件應(yīng)急響應(yīng)效率、系統(tǒng)安全性等重要安全指標。安全漏洞加固經(jīng)驗庫的建設(shè)也可以明顯提升日常安全運維效率，避免安全運維人員不必要的重復(fù)工作，經(jīng)驗庫的建設(shè)還可以減少由于人員流動帶來的影響。因此，安全漏洞加固經(jīng)驗庫的長期建設(shè)和維護可以有助于企業(yè)形成完善的安全漏洞管理體系，有效提升企業(yè)網(wǎng)絡(luò)信息安全運行水平。