电网企业移动终端安全接入研究与应用.pdf

2 0 1 4年 l 2月 第 4 2卷 第 6期 ( 总第 2 3 5期 ) De c 2 0 1 4 Vo 1 4 2 No 6 ( S e r No 2 3 5 ) 电网企业移动终端安全接入研究与应用 Re s e a r c h a nd Ap p l i c a t i o n o f M o bi l e Te r mi n a l Co n ne c t i n g i n t o Po we r Gr i d Ent e r pr i s e s 颜 佳 ， 李 春 ， 许劭庆 ， 王 栋。 ， 王 佳 ( 1 国网吉林省电力有限公 司信息通信公 司， 长春 1 3 0 0 2 1 ； 2 国家 电 网公 司信 息通 信分 公 司 ， 北 京 1 0 0 0 3 1 ) 摘要 ： 针对智 能电 网环境下移动应用 的特 点 ， 结合 电网企业移动应用 的安全防护需求 ， 设计 了以“ 安全分层 、 网络 专用” 为核心 的移 动终端安全接入 架构 ， 对电网企业 移动应用 、 移动终 端安全 风险进行 了分 析 ， 并 依据此架 构进行 了移动终端安全接入方案 的设 计 ， 实现移动 终端安全接入 ， 确保移动应用 的可用与可控 。 关键词 ： 智 能电网 ； 移动应用 ； 移动终端 ； 安全 中图分类号 ： TN9 1 5 5 ； T N9 2 9 5 文献标志码 ： B 文章编号 ： 1 0 0 9 5 3 0 6 ( 2 0 1 4 ) 0 6 0 0 1 7 - 0 3 智能 电网作为 电力工业发展的重要 战略方向， 将是“ 电力流 、 信息流、 业务流” 的高度融合 ， 包括大 量依据智能业务需求构建 的信息和通信 系统 ， 信息 和通 信 技 术 将 成 为智 能 电 网的 重 要 组成 部 分 口 ， 各 电网企业生 产、 营销、 物资 等主要 业务 系统 ， 基 于 GP R S C D MA 3 G等无线接入技术 ， 开展的移动作 业终端接人数量持续快速增长 ， 复杂的接入环境 、 多 样灵 活 的接 入方 式 、 数 量 庞大 的接 人终 端 ， 对 电网企 业信 息 安 全 的机 密 性 、 完 整性 和可 用 性 提 出 了更 高 的要求 。 如何采取有效技术 ， 保证各类分散的接人对 象安全接入电网企业信息网络 ， 已成为电网企业推 进智能 电网和 S G E R P信息化建设过 程 中亟待解 决 的 问题 。 1 电网企业 移动应用分析 a 在输变 电巡检等现场作业方 面， 移 动应用技 术代替了传统人工巡检、 手工纸质记录等工作方式 ， 消除传统方式人为因素多、 效率低、 管理成本高、 无 法监督巡检人员工作状态等缺陷 j 。 b 在 电力 营销 业 务 管理 方 面 ， 移 动 应 用 技术 大 大 提 高 了 系统运 营效 率 ， 解 决 传 统业 务 管 理 中存 在 的催费与交费后恢复送电不及时等问题 。 同时 ， 优化 了现场采集数据 的方式 ， 提高了电力营销数据采集 的准确 性 与效率 。 C 在应急作业方面 ， 解决了抢修过程 中信息交 互不及时、 各部 门沟通不顺畅、 信息零散不统一 、 历 史信息保存不完整等问题 ， 进一步提升了应急工作 效 率 。 d 在 电网企业物资管理方面 ， 通过采用条码等 自动识别和数据采集技术 ， 实现各环节物流、 信息流 的集成和高度统一 ， 并结合无线 网络技术的应用， 实 现准确实时的物资 出入库管理 ， 达到信息 的全面共 享 和高 效运 营 。 2 移动终端安全风险分析 随着 智 能 电 网 的快 速建 设 ， 电 网企业 在 其 业务 实现信息化和 自动化 的同时， 面临的安全 内涵也在 不断变化， 重要涉密数据和敏感信息 的窃取、 泄密、 破坏等行为威胁着电网企业的安全 3 。尽管现有的 安全防护措施对数据的安全传输和公司内部应用系 统的日常运行的安全防护起到了很大作用， 但是 ， 移 动终端 的大规模应用使传统网络安全边界越来越模 糊 ， 电 网企 业 网络 安 全 面 临前 所 未有 的挑 战 ， 因此 ， 在使用 新 技术提 高 企业 自动化 、 智 能化 的前 提下 ， 如 何保证企业核心信息( 数据) 的安全 ， 防止非法、 恶意 行为对企业重要信息的窃取、 破坏、 泄密 ， 减少或消 收 稿 日期 ： 2 0 1 5 0 9 1 5 作者简介 ： 颜 佳 ( 1 9 8 2 ) ， 男 ， 工程 师， 从事 电力企业信 息化技 术工作 。 1 7 2 0 1 4年 1 2月 第 4 2 卷 第 6 期 ( 总第 2 3 5期 ) De c 2 01 4 Vo 1 4 2 No6 ( Se r No 2 3 5) 除来 自外部 的安全威胁 ， 是 电网企业移动终端接入 防护亟需解决的问题。 电网企业移动终端接人的安全风险主要存在于 终端 、 传输通道和应用系统 3个层面 。其中， 终端风 险 主 要 包 括 终 端 的 物 理 完 整性 及 数 据 存 储 安 全 风 险、 系统漏洞及非法软件安装风险、 设备非安全管理 风险、 非法使用风险等 ； 传输 通道风险体现在通过 GP R S C D MA 3 G 等公 网或 wi F i wi Ma x WAP I Z i g B e e等无线专 网通道发生 的对信息的非法截获 和篡改 ， 非法终端接入风险等； 应用系统风险主要是 对信息 网络应用系统资源的非授权访问、 敏感数据 泄漏 以及 对 系统非 法攻 击等 。 3 移动终端安全接入架构设计 与实现 3 1 架 构设 计 针对 智 能 电网环境 下 电网企业 移 动应用 的特 点 和安全防护需求， 依据“ 安全分层、 网络专用” 的核心 思想对 移 动终 端安 全接 人 的架构进 行设 计 。 其 中 ， 安 全分层是指将移动终端的接入安全防护分为安全终 端层 、 安全接入与传输层和应用接 口层 ； 网络专用是 指将涉及到的网络分为移动专 网、 边界安全接入 网 和 内部业 务专 用 网 ， 各 网络 间实行 严格 的访 问控 制 。 使信息闭环安全传输 ， 防止信息泄露 、 杜绝非法访 问、 保护信息的完整性、 细粒度访 问控制等 ， 从而确 保移动终端远程接人全过程的安全 ， 电网企业移动 终端 安全 接入 架构 见 图 1 。 a 根 据 电 网企 业 移 动终 端 应 用情 况 ， 安 全 接 人 终 端层 主要 包 括 安 全 笔 记本 电脑 、 安 全 P D A 智 能 1 8 PKI PM I 信息 安全 基础 设施 手机和安全无线采集终端等。 针对于以上接人终端 ， 通过采用安全 S I M UI M 卡、 安全专控软件 、 安全检 查模块和安全通信模块的方式保证终端安全 ， 提高 认证的可靠性， 确保数据传输过程 的安全 ， 防止终端 被仿冒以及数据的泄露 。同时通过安装相应的管理 软件规范终端操作， 避免恶意软件攻击 ， 杜绝非法移 动 终端 接人 。 b 安全接人 与传 输层主要提供 各种移动终端 的安全 接 入 服务 ， 包 括 无线 通 道 的安 全 传 输及 无 线 传输通道与电网企业信息网络的安全数据交换。其 中， 无线传输通道采用无线专 网的方式确保数据在 传输过程 中的完整性与安全性， 电网企业信息 网络 与无线传输通道之间通过设置安全接入 区进行安全 隔离和 接人缓 冲 。 安全接入与传输层作为移动终端安全接人的核 心 环节 ， 实现 安 全 接人 、 身 份 认证 、 数 据 过 滤 和集 中 监管等功能 ， 通过高速消息总线进行平台内部各种 接入控制消息、 数据消息的高效传递 ， 并通过各种功 能组件对外统一提供接入、 认证 、 访控、 加密、 代理、 交换、 过滤、 监管等各种安全服务 ， 协 同完成对各种 终 端安 全 接入 的全 程控 制 ， 使 系 统各 功 能 组件 有 机 配合、 协同工作， 成为统一有机的整体 。 C 应用 接 口层主要 用 于实现 安全 接 入层 与生 产 管理、 营销管理、 物资管理等系统 的应用数据接 口， 对终端和主站应用系统间传输的数据进行安全数据 交换和过滤。应用服务通过应用接 口层进行安全策 略定制 、 授权给特定终端访问， 对应用进行访 问控制 授 权 、 并 进行 双 向安全数 据 交互 。 3 2移动 终端 安全接入 的实现 上 三 孚 二 一 至 一 L 竺 一 一 囡 圈 圈 圈 圉 囡 圉 囡 圉 囡 囡 L j 围 圈 围 圈圈 层 L 1 图 1 电网企业移动终端安全接入架 2 0 1 4年 l 2月 第 4 2卷 第 6期( 总第 2 3 5期) De c 2 0 1 4 Vo 1 4 2 No 6 ( S e r No 2 3 5 ) a 依据所设计的移动终端安全接入架构 ， 移动 终端安全接人方案重点考虑 3个问题 ： 一是解决各 类 移动终端 的安全 接入 与无线专 网通 道 ( GP R S C DMA 3 G) 传输数据 的保密性问题 ； 二是解决接入 对象 的身份认证与访问授权 问题 ； 三是实现对各类 接人对象 的统一监管与审计。从而实现生产 、 营销、 物资等系统中移动终端安全接入需求， 移动终端安 全接入方案见 图 2 。 p 数据交换 系统 安全接 身份认证 入网关 系统 图 2移 动 终 端 安全 接 入 示 意 图 移动终端 的安全接人 由安全接入 网关 、 数据交 换系统、 身份认证系统和集 中监管系统协同实现 ， 从 而实现移动终端的可信接人与安全传输 。安全接入 网关部署在无线专网的网络边界上， 用于各类无线 终端的安全接人。并在终端与网关之间建立加密隧 道 ， 对传输数据进行加密通讯 4 。 b 数据交换系统部署在安全接入 网关后 ， 实现 对所访问业务系统行为的安全审查 ， 并对交换数据 的内容检查过滤 ， 提供对整个数据交换行 为的完整 审计 ， 包括数据来源 、 交换发生时间、 数据交换 的目 标 、 数据交换的内容等方 面， 确保终端对业务的安全 访 问 。 C 身份认证系统对接入 的终端进行身份认证和 识别 ， 接人终端采用数字证书、 用户名 口令、 设备特 征 等技 术手 段进 行身 份认 证 。在接 入 网关 侧对 接入 终端的数字证书进行安全检查 ， 实现对各种接入对 象 ( 如人员 、 主机、 移动终端等) 的高强度身份认证 ， 保障传输信息的安全性、 完整性和不可抵赖性 。 d 集 中监管系统实现对各类接入终端、 网络通 道、 应用系统的全面的监测、 分析、 评估。 采用图形化 的展 现形 式 ， 直 观 的反应 当前平 台的运行 情 况 ， 实 现 对各类接人终端 的接人管理。 4 结束 语 结 合 电 网企 业在 智能 电网环境 下移 动终 端应用 的实际情况 ， 提出了以“ 安全分层、 网络专用” 为核心 的移动终端安全接入架构 ， 通过对终端接入层 、 安全 接入层和应用接 口层采取综合 、 协同的安全措施 ， 提 升移动 应用 的安 全 防护能 力 。 参考文献 1 徐震 ， 刘韧 ， 于爱 民， 等 智能 电网中的移 动应 用安全技 术 J 电力系统 自动化 ， 2 0 1 2 ， 3 6 ( 1 6 ) ： 8 2 8 7 2 谯 石 物 联网和移 动互联 网技术 在 电力巡检 工作 中的 应 用研究 变电站智能标准化巡检系统 J 软 件导 刊 ， 2 0 1 3 ， 1 2 ： 1 4 0 1 4 2 3 李 瑞峰 电力企业 中的移动分 析应用及其安 全机 制研 究 J 信息通信 ， 2 0 1 4 ， 0 1 ： 2 0 0 2 0 1 4 张晓 良 基于隧道技 术的移动 终端安全接 入系统研 究 与实现 D 华北 电力大学 ， 2 0 1 2 ( 上接 第 1 6页) 切 实 可行 的方 法 。 参 考文献 ： 1 温大 顺 信息安 全 风险评 估综 述 J 中国科技 信 息 ， 2 Ol 3， 14： 8 1 81 2 黄欢 ， 庄 毅 ， 许斌 基于免疫 网络 的信息安 全风 险评估 模 型口 计算机工程 ， 2 0 0 8 ， 2 3 ： 1 6 4 1 6 6 3 黄 松 ， 夏 洪亚 ， 谈 利群 基于模 糊综合 的信息 安全 风险 ( 编 辑韩桂春 ) 评估 口 计算机 技术 与发展 ， 2 0 1 0