电力系统信息安全风险诊断平台研究与建设.pdf

2 0 1 4年 1 2月 第 4 2 卷 第 6期( 总第 2 3 5期) 吉 林 电 力 J i l i n El e c t r i c P o we r De c 2 01 4 Vo 1 4 2 No 6( S e r No 2 3 5 ) 电力系统信息安全风险诊断平台研究与建设 Re s e a r c h a nd Co n s t r u c t i on o f Se c u r i t y Ri s k Di a g no s i n g Pl a t f o r m f o r El e c t r i c Powe r Sy s t e m I n f o r ma t i o n 李 洁 ， 许 鑫 ， 陈 宇， 李 大为 ( 国网吉林省电力有限公 司电力科 学研 究院， 长春 1 3 0 0 2 1 ) 摘要 ： 针对 电力 系统信 息安全管理传统 的风 险评估 方式容易造成宕 机 ， 存 在系统事故 的潜在威 胁 ， 耗 费较 多人力 资源无法 给出有权 威性的评估报告 的现状 ， 进行 了电力系统信息安 全风险诊断平 台研究 与开发 。新平 台采 用被 动 式 的漏 洞分析技术 ， 智能化 的安全辅助决 策技术 以及 十字链 表的规则 匹配技术 ， 提供 了一 种切实 可行 的信息 资产 安全风 险管控 方法 ， 提升 了信 息安 全风险评估工作智能化水平 。 关键词 ： 电力系统 ； 信息安全 ； 风险诊断平台 中图分类 号： T P 3 0 9 2 文献标志码 ： B 文章编 号： 1 0 0 9 5 3 0 6 ( 2 0 1 4 ) 0 6 0 0 1 5 - 0 2 近年来 ， 国家电网公司在全力推进信息化应用 工作 的同时 ， 不断加强 网络安全保障的投入与建设 ， 以工具检测和人工检查为手段评估信息系统 的安全 风险 。 目前 ， 电力系统信息安全管理依然以传统的评 估方式诊断系统资产存在的风险口 。 传统的风险评 估方式， 多采用主动探测方式模拟黑客人侵过程 ， 影 响了网络资产的可用性 ， 容易造成宕机等生产事故 ， 存在 因二次 系统故 障引发一次系统事故 的潜在威 胁 ； 同时 因为评 估过 程 缺少 日常 数据参 照 ， 多依 靠评 估人员的经验开展评估工作 ， 耗费较多人力资源 ， 又 无法给出权威性的评估报告。 为了改善上述 问题 ， 设 计并实施 了电力系统信息安全风险诊断平台进行静 默式风险评估 ， 减少 因风险评估过程造成一次系统 事故的概率 ， 使评估工作进一步常态化、 智能化 。 1 诊断平 台设计 1 1 设计 原 理 采 用 在 线 扫 描技 术 ， 实 时抓 取 和 分析 网络 通 讯 数据包 ， 并与操作系统指纹库 、 应用特征库、 漏洞信 息库、 异常特征库等进行 比对 ， 进而获取电力信息网 的 各资 产 的安全 风 险 。 通 过设备 自动将 I P地址 与发 送端和接收端设备绑定 ， 根据设定 的规则来采集数 据包中的信息并进行记 录， 通过采集 7 2 4 h数据 包中的信息， 判断网络资产对象是否存在风险。 1 2 诊 断平 台技 术分析 1 2 1 系统架构 诊断平 台由 WE B管理界面、 配置查 询控制器 、 分析监测引擎 、 结果数据库 4部分组成， 4部分的关 联 关 系见 图 1 。 WEB管 理界 面 l 配置查询控制器 l 参 数 配 置 接 口 l 结 果 查 询 接 口 l I 1 分 析 监 测 引 擎 卜-_ 结 果 数 据 库 图 1 系 统 架构 图 分析监测引擎是一个 守护进程， 其 由网络数据 分析线程和配置管理线程组成 ， 其 中网络数据分析 线程主要用于网络环境发现和网络事件告警 ， 配置 管理线程， 用于接收配置控制器的请求， 控制网络数 据 分析 线程 的启停 并 提供 网络 数据分 析线 程所 需 的 网络环境与合规访问控制参数。 配置 查询 控制 器是 一个 守护 进程 ， 其接 收 WE B 管理界面发送 的配置和查询请求 ， 对配置进行持久 化存储、 调用分析监测引擎提供的参数配置接 口、 调 收 稿 日期 ： 2 o 1 4 0 9 一 l 1 作者简介 ： 李 洁( 1 9 6 7 ) ， 女 ， 高级工程 师， 从 事信息安全管理 工作 。 1 5 2 0 1 4年 1 2月 第 4 2卷 第 6期( 总第 2 3 5 期) De c 2 01 4 Vo 1 4 2 No 6 ( S e r No 2 3 5 ) 用结果数据库 的查询接 口， 最后将配置结果和查询 结果 返 回给 WE B管 理界 面 。 WE B管理界面由前台和后台 2部分组成 ， 前台 采 用 J AVA S C RI P T语 言实 现 ， 后 台为 P HP语 言 实 现 ， 前后 之 间通过 J S ON 格 式进 行通信 ， 前 台负 责 接 收用户输入 ， 并将配置查询的请求发送给后 台服务 器 ， 后台服务器将前台传来的请求经过格式转化， 调 用 配 置查 询 控 制器 的配 置查 询 接 口， 并将 结 果 返 还 给后台服务器 ， 并最终返回给前 台界面。 1 2 2 分 析监测 技 术 分 析 监 测 是本 平 台 的核 心 ， 主 要 由数 据 采 集 单 元 、 碎片重组单元 、 连接跟踪单元、 协议识别单元、 指 纹识别单元 、 结果输出单元组成。其 中， 指纹识别单 元 是 被 动 式 漏 洞 发 现 和 静 默 式 风 险诊 断 的核 心 功 能 ， 通过分析各操作系统协议栈的细微差别 ， 从而猜 测 通 讯 两端 的 资产 的操 作 系统 类 型 ， 也包 括 应 用 系 统 的旗标识 别 ， 从而 猜测 通讯 两端 的应 用程序 类 型 。 1 2 3 智 能化 安全 决策 技术 安 全 策 略是 指 在 某 个安 全 区域 内 ( 安全 区域 是 指 属 于某 个 组 织 的一 系 列处 理 和 通信 资源 ) 用 于 安 全相关活动 的一套规则 。安全策略由信息安全规划 机构来描述 、 实施或实现 ， 可帮助信息安全规划机构 做智能化安全策略决策 。智能化安全策略决策技术 是一 种 深度 的关 联数 据 分 析技 术 ， 可 分 为 流量 数 据 收集 与维 护 、 异 常模 式分 析与 判定 、 安全 策 略调整 与 实施 3个过程 。诊断平台使用智能化安全策略决策 技术 ， 通过 3 个周而复始 的阶段来保证 已部署 的安 全策略符合安全区域 网络环境， 安全 防护能力不会 因 为 网络 环境 的变 化而 降低 。 1 2 4 通信内容深度分析 诊断平台使用全新设计优化的通信 内容深度分 析技术对数据流进行协议判定和会话状态控制。通 信内容深度分析技术具有协议分析能力强和高效 的 特点 ， 能很好地满足工控网络高实时性要求 。 本诊断 平台采用的通信内容分析技术独到之处就在于不是 从 规则 的角度 来 解 析协 议 包 ， 而 是根 据 安 全 策略 规 则 ， 构 建分 析 协 议 树 ( 见 图 2 ) 和规 则 的条 件 十 字 链 表。 分析引擎处理的对象不再是一条条规则 ， 而是协 议树和条件十字链表。分析引擎解决了在安全策略 处理中反复分析协议包 的问题 ， 提升了诊断平台的 处 理能 力 。 2 诊断平 台设备及 系统 特点 1 6 S M TP I P T e l ne t O 1卜O _( 伞策略协议 FrP l I 、 _J l I o pt 一 - l UDP -1 l l l 图 2安 全 策 略 协 议 树 信息安全风险诊断平台包括便携式诊断设备和 软件系统 。其 中， 便携式诊断设备的硬件质量轻 ， 方 便携带安装 ； 信息安全风险诊断软件系统为 B S架 构 ， 操作 简单 方便 。 电力系统信息安全风险诊断平 台采用新一代扫 描 技 术 ， 包 括 资 产 发 现 技 术 、 操 作 系 统 指 纹 识 别 技 术 、 应用识别技术、 协议异常识别技术 ， 通过将 I P地 址 与发 送 端 和接 收 端设 备 绑 定 ， 并 根据 提 前 预设 的 规则来采集数据包中的信息并进行记录 ， 通过数据 包 中的信息判断网络资产对象是否存在风险。 该平台具有以下 4个创新点 ： 诊断设备体积小 ， 质量轻 ， 轻便易于携带 ； 十字链表的规则匹配技术使 平 台满足 工 控 网络 实 时性 要 求 ； 智 能化 的安全 辅 助 决策技术保证 已部署的安全策略符合安全区域网络 环境 ， 提高诊断平台的准确性 ； 被动式的漏洞分析技 术 ， 判断网络资产对象是否存在风险 ， 不影响网络内 其他设备的正常运转 ， 可防止危及安全的事故发生。 3 结束语 通过对信息安全风险诊断技术 的研究 ， 采用新 一 代 的 扫描 技术 和 独 到 的通 信 内容 分 析 技术 ， 研 制 的便携式诊断设备轻便易携带 。信息安全风险诊断 平 台可 以快 速 、 准确地 判 断信息 网络 的安 全状 况 ， 提 高 网络安全 性 ， 减 少 安全事 故 的发生 ， 且 不影 响网 络 传输性能 ， 使工作效率大幅度提高。 该 诊 断平 台推广 后可使 国网吉林 电力 的信 息安 全风险评估工作智能化、 常态化 ， 为定期的专项评估 工作 提供 有 效 的数 据 依 据 与指 导 ， 有 利 于节 省 人 力 资源， 提高检查效率与报告权威性 ， 规范化评估 工 作 ， 对信 息 资产 安 全风 险 的全 方 位管 控 提供 了一 种 ( 下转 第 1 9页) 2 0 1 4年 l 2月 第 4 2卷 第 6期( 总第 2 3 5期) De c 2 0 1 4 Vo 1 4 2 No 6 ( S e r No 2 3 5 ) a 依据所设计的移动终端安全接入架构 ， 移动 终端安全接人方案重点考虑 3个问题 ： 一是解决各 类 移动终端 的安全 接入 与无线专 网通 道 ( GP R S C DMA 3 G) 传输数据 的保密性问题 ； 二是解决接入 对象 的身份认证与访问授权 问题 ； 三是实现对各类 接人对象 的统一监管与审计。从而实现生产 、 营销、 物资等系统中移动终端安全接入需求， 移动终端安 全接入方案见 图 2 。 p 数据交换 系统 安全接 身份认证 入网关 系统 图 2移 动 终 端 安全 接 入 示 意 图 移动终端 的安全接人 由安全接入 网关 、 数据交 换系统、 身份认证系统和集 中监管系统协同实现 ， 从 而实现移动终端的可信接人与安全传输 。安全接入 网关部署在无线专网的网络边界上， 用于各类无线 终端的安全接人。并在终端与网关之间建立加密隧 道 ， 对传输数据进行加密通讯 4 。 b 数据交换系统部署在安全接入 网关后 ， 实现 对所访问业务系统行为的安全审查 ， 并对交换数据 的内容检查过滤 ， 提供对整个数据交换行 为的完整 审计 ， 包括数据来源 、 交换发生时间、 数据交换 的目 标 、 数据交换的内容等方 面， 确保终端对业务的安全 访 问 。 C 身份认证系统对接入 的终端进行身份认证和 识别 ， 接人终端采用数字证书、 用户名 口令、 设备特 征 等技 术手 段进 行身 份认 证 。在接 入 网关 侧对 接入 终端的数字证书进行安全检查 ， 实现对各种接入对 象 ( 如人员 、 主机、 移动终端等) 的高强度身份认证 ， 保障传输信息的安全性、 完整性和不可抵赖性 。 d 集 中监管系统实现对各类接入终端、 网络通 道、 应用系统的全面的监测、 分析、 评估。 采用图形化 的展 现形 式 ， 直 观 的反应 当前平 台的运行 情 况 ， 实 现 对各类接人终端 的接人管理。 4 结束 语 结 合 电 网企 业在 智能 电网环境 下移 动终 端应用 的实际情况 ， 提出了以“ 安全分层、 网络专用” 为核心 的移动终端安全接入架构 ， 通过对终端接入层 、 安全 接入层和应用接 口层采取综合 、 协同的安全措施 ， 提 升移动 应用 的安 全 防护能 力 。 参考文献 1 徐震 ， 刘韧 ， 于爱 民， 等 智能 电网中的移 动应 用安全技 术 J 电力系统 自动化 ， 2 0 1 2 ， 3 6 ( 1 6 ) ： 8 2 8 7 2 谯 石 物 联网和移 动互联 网技术 在 电力巡检 工作 中的 应 用研究 变电站智能标准化巡检系统 J 软 件导 刊 ， 2 0 1 3 ， 1 2 ： 1 4 0 1 4 2 3 李 瑞峰 电力企业 中的移动分 析应用及其安 全机 制研 究 J 信息通信 ， 2 0 1 4 ， 0 1 ： 2 0 0 2 0 1 4 张晓 良 基于隧道技 术的移动 终端安全接 入系统研 究 与实现 D 华北 电力大学 ， 2 0 1 2 ( 上接 第 1 6页) 切 实 可行 的方 法 。 参 考文献 ： 1 温大 顺 信息安 全 风险评 估综 述 J 中国科技 信 息 ， 2 Ol 3， 14： 8 1 81 2 黄欢 ， 庄 毅 ， 许斌 基于免疫 网络 的信息安 全风 险评估 模 型口 计算机工程 ， 2 0 0 8 ， 2 3 ： 1 6 4 1 6 6 3 黄 松 ， 夏 洪亚 ， 谈 利群 基于模 糊综合 的信息 安全 风险 ( 编 辑韩桂春 ) 评估 口