淺淡網絡襲擊下的電力企業管控要求

何新華，春增軍

（中科華核電技術研究院有限公司信息技術中心，廣東 深圳 518028）

0 引言

在網絡技術發達的今天，網絡襲擊成為一種沒有硝煙的戰爭。襲擊方只需電腦、可用網絡技術即可實施攻擊，成本極低。但被襲擊方在遭受損失后，要進行全面調查需付出很大的代價。

賈古瑪教授在與商界對話時，以星展銀行電腦系統癱瘓為例，說明網絡襲擊的嚴重性，發人深省。2009年7月韓國和美國眾多網站曾遭受長達數天的網絡襲擊而癱瘓。那次襲擊雖未造成嚴重經濟損失，卻導致政府政策信息流失和網上服務嚴重受阻。韓國國情院曾對韓美互聯網實施大規模攻擊的“網絡襲擊事件”發表公開講話。韓國媒體認為“網絡襲擊可毀滅一個國家的時代正在到來”。英國時政期刊《經濟學家》通過《各國開始談判網絡裁軍的時機到了》一文，呼吁世界各國正視網絡襲擊的危險性，通過加強國際合作避免網絡戰，保證網絡安全。據美國國防部官員稱，美國在所受網絡襲擊中失竊的數據數量相當于國會圖書館信息量的數倍。在一次網絡襲擊問題評估會上，吉姆·米勒（Jim Miller）表示，有100多個外國間諜機構正在試圖侵入美國計算機系統。《華盛頓郵報》報道，美國國務卿希拉里在就“互聯網自由”發表的演講中，強烈譴責危及美國經濟和國家安全利益的網絡襲擊事件。

電力設施是國家最重要的公共基礎設施，有效制定電力企業生產控制大區與管理信息大區的總體安全防護策略和管控要求，提高電力企業的信息安全保障能力和總體防護水平，防止網絡襲擊產生破壞具有十分重要的意義。

1 相關概念

1.1 網絡入侵

網絡入侵是指利用網絡非法進入計算機系統，即攻擊者通過非法手段、程序或相關工具取得使用系統資源的權限。

網絡入侵的目的大致可分為：取得使用系統的存儲能力、處理能力或訪問其存儲內容的權限，破壞這個系統，使其喪失服務能力，或作為進入其他系統的跳板等。

1.2 網絡攻擊

網絡攻擊是利用系統存在的漏洞、脆弱性或安全缺陷對系統和資源進行攻擊，對網絡系統的機密性、完整性、可用性、可控性和抗抵賴性產生危害的行為。

網絡攻擊可分為：信息泄漏攻擊、完整性破壞攻擊、拒絕服務攻擊、非法使用攻擊、被動攻擊、主動攻擊、無力臨近攻擊、內部人員攻擊和分發攻擊。

網絡攻擊的全過程是：攻擊者發起并應用一定的攻擊工具(包括攻擊策略與方法)，對目標網絡系統進行攻擊操作，達到一定的攻擊效果，實現攻擊者預設的攻擊目的。

1.3 網絡襲擊

網絡襲擊是一種大規模的網絡攻擊行為，其概念基本上等同于網絡攻擊。但二者在側重點上有所區別，網絡襲擊側重于突然性和規模化，而網絡攻擊沒有那么突然，不成規模。

從某種意義上來說，網絡襲擊是一種帶有政治色彩的網絡破壞行為，其目的主要是給被襲擊者造成嚴重的破壞性，造成不良社會后果。

2 網絡襲擊發展趨勢

隨著網絡技術的快速發展，信息安全事件愈演愈烈，各類網絡攻擊事件層出不窮，從技術精湛的網絡注入到隱蔽性更強釣魚式攻擊，從利用系統脆弱性和系統漏洞到使用各種木馬程序，其破環性也越來越大。

網絡襲擊作為一種規模化的網絡攻擊，其發展趨勢[1]大體有：①發現并挖掘系統安全漏洞的速度越來越快，覆蓋面越來越廣；②攻擊工具和攻擊手段越來越復雜和難以被檢測到；③自動化攻擊程度大幅提高，攻擊速度越來越快，破壞性和殺傷力在快速提高；④有越來越高的防火墻滲透率；⑤對網絡基礎設施形成越來越大的威脅；⑥規模化程度越來越高，目的性十分明確；⑦政治化色彩越來越濃。

3 網絡襲擊常用手段

網絡襲擊是一種規模化的網絡攻擊，其常用手段主要有：軟件漏洞、內部植入威脅、邏輯炸彈、特洛伊木馬、偽造硬件、盜版軟件、隧道攻擊、后門程序、連續掃描、字典式掃描、數字掃描、數據回收、僵尸網絡、電磁脈沖武器、細菌病毒、欺騙式攻擊、分布式拒絕服務、野兔病毒和社會工程學。

4 電力企業信息安全管控要求

4.1 制度及管理程序要求

優化企業相關制度文件，進一步完善企業網絡與信息安全相關管理程序，將對網絡襲擊的管控要求及應對策略融入

到企業文件體系當中。把針對網絡襲擊的管控要求首先從文件層面進行落實，再逐步達到從執行層面進行落實。

4.2 等級保護要求

根據公安部頒發的《信息安全技術信息系統安全等級保護基本要求》[2]，結合《信息安全技術信息系統安全等級保護定級指南》、《信息安全技術信息系統安全等級保護實施指南》、《信息安全技術信息系統安全等級保護測評準則》和《信息安全技術信息系統等級保護安全設計技術要求》等，采取分區、分域，重點防范和縱深防御相結合的原則，從總體上規劃出適合本企業的信息系統等級保護總體防護方案，再根據各信息系統的定級情況和業務重要程度，制定相應的專項安全防護方案并落實，從而使信息系統的安全防護水平達到相應等級保護要求，從整體上提升信息系統的安全防范水平。

4.3 信息安全管理體系要求

信息安全管理體系要求:

①依據ISO 27001標準和國標《信息技術-安全技術-信息安全管理體系-要求》[3]，全面建立 ISMS信息安全管理體系；

②提升企業對網絡襲擊危害的重視程度，從反恐的高度審視網絡襲擊可能產生的危害；

③明確網絡襲擊、網絡攻擊、恐怖襲擊間的關系與區別，強化網絡襲擊與企業保密工作間的異同；

④從戰略的高度提升企業網絡與信息安全工作的重要性，讓信息安全融合到企業文化中；

⑤開展全員信息安全培訓，將信息安全培訓工作納入企業員工入職培訓體系和電廠基本安全授權培訓體系中，全面培養員工的信息安全意識，盡可能地從根本上杜絕人因失誤導致信息安全事件的發生。

4.4 生產控制大區要求

生產控制大區要求:①執行《電力二次系統安全防護規定（電監會5號令）》；②利用網閘[4]在生產控制大區與管理信息大區之間實施邏輯強隔離；③采取“安全分區、網絡專用、橫向隔離、縱向認證”的原則；④加強生產控制大區（含DCS系統）的網絡邊界安全防護，制定有效的控制策略，提高內部安全防護能力；⑤禁止對生產控制大區通過遠程訪問進行維護。

4.5 重要系統管控要求

對企業的重要信息系統，在保證系統的業務正常訪問的前提下，可加強實施一些安全管理策略，如：①ERP該系統。該系統禁止對ERP系統進行遠程維護。必要時，可在保證安全的條件下，在有監管的同時可適當進行遠程維護操作。②OA系統。該系統因OA系統中有保存有大量的企業密秘文件，要加強對OA系統的安全控制和授權。同時，對公文實施加密傳輸與存儲。③外部門戶網站系統。該系統按照信息系統等級保護基本要求（三級）對外部門戶網站系統開展等級測評和整改建設工作。禁止使用外部 IP地址進行遠程管理、禁止信息明文傳輸、加強日志審計措施、建立網站掛馬監控機制等。

4.6 相關技術管控要求

相關技術管控要求:①實施網絡準入制度，開展網絡準入系統建設；②完善網絡防病毒、惡意軟件監測與查殺系統建設，加強檢測和阻止僵尸網絡和后門程序力度；③布署網絡蜜罐系統[5]、IDS/IPS系統，提升抵抗網類攻擊的能力；④布署流量統計與控制系統、上網行為管理系統、UTM系統；⑤加強服務器、數據庫和桌面終端的安全防護水平；⑥布署 Web安全網關，利用防火墻實施邏輯隔離；⑦加強應用層安全防護、網站防篡改能力建設；⑧加強系統備份、容災體系建設，制定業務連續性計劃；⑨加強應急體系建設，定期開展應急演練工作；⑩開展IT審計工作，完善IT審計體系建設工作；提升集團網絡與信息安全軟件研發能力，制定軟件開發安全管理規范；加強文檔安全建設，布署實施文檔加密系統，從根源上控制文檔泄密事件的發生；提升IT新技術、新產品應用研究能力，及時掌握信息安全領域新技術發展動向；加強與外部專業信息安全組織和機構的戰略合作。

5 結語

隨著網絡技術的快速發展和社會信息化程度的提高，網絡襲擊所產生的社會破壞力將愈發嚴重。從技術、管理、保障體系、等級保護等方面提出一系列的管控要求，從整體上提升電力企業的信息安全保障水平。然而，隨著 IT新技術的發展及應用，網絡襲擊的攻擊方式、攻擊手段必然會產生新的變化。對未來網絡襲擊可能產生的新變化，如何進一步提出合理的、有效的信息安全管控要求，保障電力企業安全，還有待于進一步的研究。

[1] 黑白網絡.網絡攻擊的發展趨勢分析[EB/OL].(2008-10-12)[2010-5-20].http://www.heibai.net/article/info/info.php?in foid=38687.

[2] GBT 22239-2008,信息安全技術信息系統安全等級保護基本要求[S].

[3] GBT-22080-2008，信息技術-安全技術-信息安全管理體系-要求[S].

[4] 張友能. 基于網閘技術的網絡安全研究[J].通信技術,2008,41(05):133-135.

[5] 傅德勝,錢華.基于蜜罐技術的網絡入侵研究[J].通信技術,2009,42(07):91-93.