電力系統信息安全漏洞運維管理的研究

婁一艇++嚴鈺君++葉明達++戚浩金

摘 要：漏洞管理流程的響應速度，能否搶在攻擊者利用之前完成修補，是一個重要的衡量標準。基于電力行業系統的特性，論文實現了電力系統信息安全漏洞的運維管理，通過安全漏洞原理分析、漏洞誤報分析、漏洞風險分析（是否能被利用）、切實有效的加固方法，形成安全漏洞閉環式管理。這種管理方式，改變了傳統的漏洞掃描、報告、修復、審核流程，通過引入漏洞情報和對資產的預先梳理和持續監控，把漏洞管理流程向外擴展了漏洞分析環節的漏洞修復建議、漏洞修復環節的修復方案，以及對整個管理過程的評估、對比和優化。

關鍵詞：漏洞；閉環式管理

Abstract： The speed of response of a vulnerability management process， whether it can be stolen before the attacker can use it， is an important measure. On the basis of the characteristics of electric power industry system， this paper implements the operations management of electric power system information security vulnerabilities， by principle analysisof security vulnerability、vulnerabilitymis-report analysis、vulnerability risk analysis （whether they can be used）、the effective reinforcement method to form a closed-loop type management of security holes. Change the traditional vulnerability scanning， report， repair， and audit process， by introducing vulnerabilities intelligence and advance for assets and continuous monitoring， expanding the vulnerability management process to vulnerability repair adviceof vulnerability analysis link and repair planof bug fix link， as well as to the evaluation、comparison and optimization of the whole process of management.

Key words： vulnerability； closed-loop type management

1 引言

隨著國家、上級監管部門對安全要求的日益嚴格和信息安全行業整體的技術發展，同時因業務需求發展壯大以及互聯網資產暴露面隨之不斷擴大，信息安全風險與日俱增，安全管理及運維工作風險與挑戰并存。

近十年來互聯網大發展，電力公司的應用越來越多、安全域不斷調整、設備數量種類不斷增加、業務邏輯越來越復雜。與此同時安全漏洞也多有發生，隨時威脅著系統、數據、業務的安全，安全漏洞的研究與管理勢在必行。眾所周知，信息安全領域涵蓋IT行業多個細分領域，對信息安全運維、管理工作者有著較高的技術、管理要求。因此本文主要探討安全漏洞的管理與如何提升安全管理效率，降低安全管理門檻。

2 安全漏洞的產生

安全漏洞的產生總的來說由于邏輯錯誤、安全策略等造成硬件（主板、CPU），軟件（Oracle、Java、PHP、OpenSSL等）、協議存在缺陷，非法訪問者或攻擊者可以在未經授權的情況下越權訪問系統[2]。例如邏輯錯誤導致的安全漏洞：業務系統中經常發現的萬能密碼，由于開發者在登錄查詢中SQL語句邏輯編寫不嚴謹，導致SQL注入漏洞，從而非法訪問者可通過任意密碼進行登錄系統。安全策略不嚴謹導致的安全漏洞：最容易安全加固但也是信息安全中危害最大之一的弱口令問題，就是由于密碼安全策略安全級別配置不夠導致。

3 安全漏洞的發現

在日常運維工作中，發現安全漏洞的主要途徑有兩種。

3.1 通過安全產品進行漏洞掃描

目前主流的漏洞掃描產品掃描范圍基本覆蓋主機設備，如網絡層（交換機、路由器、防火墻等），主機（Windows、Unix、Linux等），數據庫（Oracle、DB2、Mysql、SQL Server等），中間件（WebLogic、JBoss、Apache、IIS等）等。漏洞掃描原理大致分為兩類：第一類通過遠程識別目標主機中服務的軟件版本、類型，然后根據版本從漏洞庫中搜索出相對應的版本漏洞，稱之為版本掃描；第二類通過遠程識別目標主機中服務的軟件版本、類型，然后模擬黑客對服務漏洞的利用過程，稱之為原理掃描[1]。

3.2 人工滲透測試

通過模擬惡意黑客的攻擊方法，來評估計算機網絡系統安全的一種評估方法。這個過程包括對系統的任何弱點、技術缺陷或漏洞的主動分析，這個分析是從一個攻擊者可能存在的位置來進行的，并且從這個位置有條件主動利用安全漏洞。滲透測試對人員的技術水平和經驗要求很高，但是往往能發現系統架構層面和邏輯層面的漏洞，這些漏洞一般是工具無法直接掃描出來的，但是對系統的危害性又非常大。所以，滲透測試是漏洞發掘工作重要一項內容[1]。

總之，這兩種途徑對檢查信息系統漏洞都是至關重要的，工具掃描可以快速、大范圍地檢查漏洞，滲透測試可以重點、深入地發現漏洞，二者互為補充，成為目前發現漏洞的不可缺少環節。endprint

4 安全漏洞管理策略

安全漏洞管理離不開實際生產環境，根據等級保護、行業等相關要求，從電力公司實際安全性考慮，業務系統進行了分級分域管理，那么對于安全漏洞的管理也需要充分考慮安全漏洞歸屬資產的實際業務環境[3]。再者需要結合安全漏洞管理本身的性質，例如是否屬于軟件版本漏洞，還是屬于原理掃描發現的安全漏洞。

4.1 漏洞管理的基本思路

4.1.1 確定資產安全等級

根據“安全風險模型”對網管中心業務系統相關資產進行安全定級。影響定級的因素主要包含資產重要性（承載的業務及數據重要性）；面臨安全風險大小（是否允許外網訪問，存在外部攻擊風險）兩個方面。

4.1.2 定漏洞整改優先級

根據資產重要性、漏洞風險值、漏洞易利用程度等方面對漏洞整改優先級進行確定。

4.1.3 分步治理長期運營

確立漏洞修復計劃，優先對安全等級高的業務系統資產中整改優先級高的漏洞進行整改加固；針對不同安全等級資產設定不同的安全漏洞復查周期。

根據以上的思路結合電力行業的特性，總結出三點漏洞管理的策略。

4.2 分級分域管理策略

分級分域管理主要針對不同安全域的資產劃分資產重要性，設置資產權重，目的就是為了對資產權重高的資產做重點管理[4]。例如電力公司劃分了DMZ區、辦公區、核心系統區。DMZ區的資產主要為了提供互聯網服務，那么這部分資產面臨的威脅主要來自于互聯網的攻擊，雖然DMZ區部署有各類安全設備但從保護業務安全性的角度考慮，一旦被非法攻擊直接影響業務生產，因此DMZ區的資產權重應該為最高。

核心系統區安全策略復雜，且嚴格控制其他安全域的訪問控制，因此核心系統區的資產權重相對較低。辦公區的多數為個人使用終端各類敏感數據較多，一旦被非法攻擊影響較大，因此辦公區的權重介于DMZ與核心系統區之間。假設權重分為1～5分，那么DMZ的權重分為5，辦公區的權重為4，核心系統區的權重為3。通俗來說，權重的劃分主要依據相關安全域資產一旦被非法攻擊之后的影響程度。如圖1所示。

4.3 根據安全漏洞性質管理策略

對于具體漏洞的管理可分為兩個維度綜合來管理，一是漏洞的可利用情況，二是漏洞類型（版本漏洞還是邏輯漏洞）。可用性驗證需要通過手工或者第三方工具來驗證漏洞是否真實可以利用。版本驗證可通過漏洞掃描報告中對目標資產的探測信息進行分析，分析是否利用端口探測發現的安全漏洞，還是通過軟件版本探測發現的安全漏洞。

驗證完漏洞的性質就需要對漏洞在安全加固中處于個什么樣的級別進行劃分。例如可利用的原理掃描漏洞，這類漏洞屬于風險級別較高的漏洞，在安全加固過程中需要優先進行加固。例如不可利用的版本掃描，這類漏洞風險級別較低，在安全加固過程中可酌情加固或者無需加固。

具體事例：弱口令漏洞屬于可利用原理掃描的安全漏洞，在加固過程匯總就需要優先加固。Oracle版本漏洞在系統中經常被發現，但是綜合考慮Oracle的域環境和在加固過程中帶來的加固風險，可能影響正常業務運行，因此類似Oracle的這類漏洞無需加固，可通過訪問控制策略進行訪問限制。

漏洞的性質管理需要在日常安全運維過程中，做大量的漏洞樣本測試，為了提升漏洞管理效率，還需要形成公司自身的安全加固經驗庫。一旦系統中再出相同的安全漏洞，便可在加固經驗庫中搜索結果、引用結果。同時對于安全漏洞的驗證、管理專業性要求較高，因此經驗的累計必不可少。如圖2所示。

4.3 漏洞生命周期管理策略

通過漏洞的具體環境及漏洞性質管理策略，基本上可以把90%以上的安全漏洞進行分類劃分，如何針對漏洞的生命周期管理，就需要在日常安全運維過程中對漏洞掃描報告、滲漏測試報告進行統一管理，統一分析。同時，形成單一資產、單一漏洞的歷史記錄，通過歷史記錄和直觀反應出漏洞大致出現日期，再可通過安全漏洞管理策略分析出漏洞形成的原因，這時可以引用歷史加固策略對單一漏洞進行有效的處理[4]。

5 結束語

安全漏洞的驗證、管理、加固是系統基礎安全防御的重要組成部分，但由于其專業性導致日常運維部門面對安全漏洞時束手復查。同時安全漏洞管理需要結合具體的業務生產環境，因此日常運維過程中需要付出大量的加固論證及可行性驗證。一句話來說，安全漏洞管理是以技術為依托，不斷地累計漏洞處理經驗的過程，最終形成完善的漏洞管理體系。

參考文獻

[1] 吳世忠，劉暉，郭濤，易錦，著.信息安全漏洞分析基礎[M].北京：科學出版社，2013.

[2] 王雨晨.系統漏洞原理與常見攻擊方法[D].華北計算技術研究所.

[3] http：//www.cnki.com.cn/Article/CJFDTotal-TXSJ201623003.htm.

[4] （美）Park Foreman著.吳世忠，郭濤，董國偉，張普含，譯.漏洞管理[M].北京：機械工業出版社，2013.endprint