新疆電網公司網絡邊界安全分析

李坤源 王濤 高陽 顧楠

一、系統現狀

新疆電網公司營銷信息系統共計22套，統推12套，自建10套，接入國網I6000系統監控10套。營銷業務劃分為“市場管理”、“營銷基礎管理”、“優質服務”、“營銷計量管理”和“營銷信息化”5個業務領域，19個業務類、139個業務項及764個業務子項。其中營銷業務應用系統于2009年7月上線運行，使用用戶數2萬，用電用戶數787萬；用電信息采集系統于2010年1月投入運行，實現對30萬臺采集終端設備信息的自動采集。

營銷信息系統業務復雜、接口眾多，其中營銷業務應用系統、用電信息采集系統、計量生產調度平臺生成各類基礎業務數據，并傳送至營銷基礎數據平臺，實現營銷類業務數據的集成共享。各信息系統間通過接口調用、數據庫DBLink鏈接、數據庫同步軟件OGG、企業服務總線、ETL抽取等方式完成數據交互，數據流集成關系如圖1所示。

二、網絡邊界分析

目前新疆電網公司營銷系統共有5類網絡邊界，分別為大區邊界B1、管理信息大區信息內網縱向邊界B2、信息內網第三方邊界B3、互聯網邊界B4、信息內外網邊界B5。

其中，微信公眾平臺、掌上電力APP等系統通過互聯網邊界進入公司外網服務器、通過信息內外網邊界進入公司內網；一體化繳費系統、用電信息采集系統通過信息內網第三方邊界進入公司內網；關口電能量采集系統通過大區邊界進入安全Ⅱ區；地州單位通過管理信息大區信息內網縱向邊界訪問各營銷系統。

用電信息采集系統通過電表加密模塊將數據加密后使用APN無線專線發送至公司內網，中間使用防火墻做NAT轉換。一體化繳費（代收機構）通過專線進入公司DMZ區。關口電能量采集系統通過正反向隔離裝置進入安全Ⅱ區。微信公眾平臺、掌上電力app通過外網邊界防火墻及web應用防火墻進入公司外網，通過邏輯強隔離裝置進入公司內網。地州單位通過防火墻訪問控制進入營銷區域。

存在風險：

1、用電信息采集系統中部分采集終端未滿足終端入網綁定要求，未做訪問控制，存在越權訪問風險。

2、除內網縱向邊界外其余網絡邊界未部署入侵檢測及邊界流量監測等安全控制措施，無法對攻擊情況進行監測。

3、關口電能量采集系統通過大區邊界進入安全Ⅱ區，但邊界設備部署在信息機房，不符合“分區分域”要求。

4、終端接入網絡環境層面存在風險，網絡數據傳輸過程中數據容易遭到竊取、篡改，影響用戶的正常用電。終端存在偽造非法接入的風險，攻擊者可以利用偽造終端接入內網，對網絡進行嗅探與攻擊。

5、地市公司人員為方便記憶、快捷工作，使用弱口令、空口令密碼，影響設備安全。

6、代收機構末端網絡節點存在無法管控的風險，無法確定繳費節點網絡環境及安全情況

三、整改措施

按照“管業務必須管安全”，“誰主管誰負責，誰使用誰負責”的原則，加大營銷專業網絡與信息安全管控力度，強化安全監測，明確職責，認真抓好信息安全工作。按照《信息安全防護技術要求與措施》《國家電網公司信息系統安全管理辦法》《國家電網公司信息安全風險評估實施細則》《國家電網公司信息化“SG186”工程安全防護總體方案》《國家電網公司信息安全加固實施指南》等文件要求， 貫徹“安全第一、預防為主，管理和技術并重、綜合防范”的方針，做好信息系統安全加固。

1、梳理通過內外網邊界的營銷類信息系統，規范邏輯強隔離裝置接入，針對數據交互采用特定操作指令、限制特定業務、訪問特定數據庫的特定表單等安全加固策略，避免出現權限過大情況。

2、實施用電信息采集系統加固項目，營銷類信息系統各網絡邊界增加入侵監測等安全監測手段，結合前期已部署的訪問控制手段，確保各網絡邊界安全可控。

3、調整安全Ⅱ區與管理信息大區邊界防護設備，將邊界防護設備遷移至安全Ⅱ區側，確保安全設備物理安全達到防護要求。

4、2018年完成用電信息安全加固及功能完善項目實施，采用3A認證服務器等對接入終端進行認證，對web客戶端采用準入措施，部署防病毒軟件，防止數據被篡改、偽造、重放。

5、根據國網營銷部《營銷專業信息系統口令管理工作要求》，對營業廳自助交費終端、收費辦公終端、排隊終端、用電采集終端進行了賬號口令加固，所有賬號口令要求8位以上數字加字符組合；根據國網營銷部《國網營銷部關于做好營銷專業Windows操作系統安全加固的通知》對營業廳自助交費終端、收費辦公終端、排隊終端以及涉及Windows操作系統設備進行加固。根據新疆公司自助交費終端采購情況，2018年后，逐步替換windows系統終端為Linux系統終端。

6、社會化代收業務安全管理方面，2018年擬建設公司社會化代收統一管控平臺，對社會化代收安全接入進行統一安全管控，提升社會化代收業務安全。

【參考文獻】

[1]李慧娟， 曾強， 張孟楊，等. 新形勢下電力系統中網絡安全薄弱點分析[J]. 科技信息， 2017（5）.

[2]崗巧針. 國網新疆電力公司大數據智庫平臺安全技術解析[J]. 中國高新技術企業， 2016（26）：32-33.