電能信息采集與管理系統的安全防范措施探討

【摘 要】本文簡單介紹電能信息采集與管理系統的架構，分析存在的安全隱患，探討需要采取的安全原則，結合電能信息采集系統的特點和計算機系統安全防范技術，給出適合電能信息采集系統的安全解決方案。

【關鍵詞】電能信息采集與管理系統；多層安全防護體系；CA認證

0.前言

隨著國家一系列重大會議的召開、重要賽事的舉行，各個部門都把系統安全放在了重要位置。電能信息采集與管理系統作為用戶側的電能信息采集與監控系統，涉及客戶的敏感數據并具有控制功能；數據統一存儲共享，對外提供數據服務，數據安全非常重要。全市的電力系統客戶需要在電力系統相對安全性較低的電力內部網絡通過客戶端廣泛訪問系統，不安全的因素很多，系統受攻擊的風險相對較大；特別是在系統整體采取分布式部署的情況下，全市的電力系統網絡客戶端均連接于公司中心系統，系統對外和很多系統有數據交互，系統之間相互連接、訪問，不安全的源也將大大增加。系統應本著安全、高效、經濟的原則，嚴格按照并且高于《電力二次系統安全防護規定》中對電力采集控制系統安全要求，安全分區、網絡專用、橫向隔離、縱向認證的原則，對數據以及應用采取合理的安全防護措施。

1.電能信息采集與管理系統的架構

電能信息采集與管理系統在物理上采用多層架構，如下圖所示：分為現場電能采集設備、通訊網絡、主站系統。現場電能采集設備層包括各種用戶側和通訊類型的采集終端；通訊網絡層包括專網無線、公網無線、光纖和電話線等；主站層包括數據庫服務器、前置采集服務器、應用服務器和各種網絡設備。從系統的整體架構可以看出，系統是計算機技術、通訊技術、網絡技術所組成的復雜軟件系統。

電能信息采集與管理系統在軟件上采用多層架構，由應用子系統、采集子系統、任務管理子系統等多個子系統組成，各子系統之間相互調用。

2.電能信息采集與管理系統的安全原則

電能信息采集與管理系統根據系統特點，具有如下安全原則：（1）重點防護原則，根據系統重要等級劃分，對重點區域重點防護；（2）保護最薄弱環節原則，系統最薄弱部分就是最易受攻擊影響的部分，需要首先對薄弱環節進行防護；（3）縱深防御原則，采取一系列防御，以便在一層防御不能抓住錯誤時，另一層防御將可能抓住它；（4）橫向隔離原則，采取硬件手段、對各部分物理隔離；（5）系統記錄日志原則，任何十分復雜的系統都會有故障方式，這是很難避免的，系統應具有日志記錄功能，方便追溯還原；（6）數據傳輸加密原則，各子系統之間相互調用，傳輸數據時使用加密算法，對數據進行加密；（7）注重安全管理原則，制定各種安全防護制度，并嚴格遵守。

3.電能信息采集與管理系統中的安全薄弱環節分析

通過電能信息采集與管理系統的架構介紹可以看出系統的整體組成，整個系統中存在很多不安全的因素。（1）數據庫系統，數據作為系統的基礎，安全級別要求最高，外圍很多系統需要訪問，很容易遭破壞；（2）應用系統，客戶通過瀏覽器訪問系統，提交和返回的數據都是以明文的方式傳輸，容易被攔截；（3）前置采集系統，前置采集系統作為采集數據的前端，直接與硬件交互，可以發控制命令；硬件設備通過公網與前置采集系統永久連接，由于公網通道是租用移動運營商的通信信道，尤其是GPRS信道，運營商對接入設備只有SIM卡號信息+APN的權限認證，因此任何人得到終端使用的SIM卡和APN就可以登陸到電力企業局域網，給企業安全帶來巨大隱患；（4）系統通過數據交換平臺與其它系統進行業務、數據交互，其它外部系統都要訪問此平臺。

4.電能信息采集與管理系統的具體安全防范措施

通過上幾節介紹可以看出電能信息采集與管理系統復雜、不安全的源也很多，系統需要采用多層面的安全防護體系和對關鍵安全薄弱環節重點防護相結合的措施。如下圖所示：

多層面的安全防護體系：（1）在系統層根據用戶級別制定用戶的權限、可以控制訪問的對象，設置軟件防火墻的防護和數據備份策略，對系統各種日志進行審計、管理等；（2）在應用層主要采取權限管理方式，用戶具有角色、對角色組進行權限設置；按用戶級別、用戶所屬區域、用戶訪問時段、登錄所采用的IP等策略；（3）在網絡層主要把網絡按安全級別分成若干個安全區域。電能信息采集與管理系統可以把數據庫系統、前置采集系統劃為一個區域，為機密級區域，不允許外部系統直接訪問，只能由應用服務子系統訪問。把應用服務子系統和數據交換平臺劃為一個區域，為秘密級區域，允許客戶和外部需要交互的系統訪問，區域通過硬件防火墻設置隔離區，進行安全防護；（4）在通訊層采取通訊協議加密、數據包過濾等措施，防止現場設備受非法控制進行參數更改和控制操作等。

關鍵安全薄弱環節重點防護：除了上述多層面的安全防護體系外，在關鍵點再單獨進行防范措施。（1）在數據庫層可以使用單獨網絡結構，只允許應用服務子系統訪問，其余系統和它不在一個網段，進行物理隔離；（2）系統使用者需要通過瀏覽器訪問應用系統，提交和返回的數據容易被攔截，在客戶端和應用系統之間通過CA系統實現基于證書的統一身份管理，證書是唯一的身份標識，這樣信息在瀏覽器和應用系統之間傳遞的過程中是經過加密的，即使信息被攔截，沒有證書是不能識別的；（3）針對公網接入的防護，遵循國網公司信息內、外網隔離原則，需要對公網接入的終端進行安全接入認證。對于安全要求低的地區可以直接用防火墻對IP和端口進行過濾，對于安全要求高的地區需要使用AAA認證防止非法用戶通過公網通道進入系統，AAA指的是Authentication（鑒別）、Authorization（授權）、Accounting（計費），使用AAA認證服務器配置RADIUS協議對通過公網接入的終端用戶進行身份認證，是內外網隔離的好方法；（4）對于數據交換平臺，需要和外部各業務系統進行業務和數據交互，外部系統需要通過各種方式訪問平臺，可以使用權限管理的方式，給各業務系統分配相應級別的權限，交互之前首先審核身份，對具有某個權限的業務系統才響應。

但是，任何強度的防護措施都不能完全保證系統的絕對安全，安全方面的日常管理和災難恢復措施同樣重要。需要采取可靠、可監測、可方便恢復的容災預案，并增強相應的管理功能，確保系統一旦發生故障，能夠迅速定位、并可方便恢復。

5.結束語

使用多層面的安全防護體系和對關鍵安全薄弱環節重點防護相結合的措施體現了防護的整體性、突出重點性和實用性。一方面可以建立統一、完整的信息安全保障體系，另一方面可以滿足國網公司要求的信息系統的安全穩定運行。 [科]

【參考文獻】

[1]電力二次系統安全防護規定.（電監會5號令）.

[2]中華人民共和國計算機信息系統安全保護條例.

[3]DL/T698.電能信息采集與管理系統.

[4]國家電網公司Q/GDW129-2005.電力負荷管理系統通用技術條件.