電力物聯(lián)網(wǎng)信息安全防護(hù)技術(shù)研究

鄧敏茜，丁 瑜

（1.中國(guó)移動(dòng)通信集團(tuán)廣西有限公司，廣西 南寧 530000；2.南寧職業(yè)技術(shù)學(xué)院，廣西 南寧 530000）

0 引 言

當(dāng)前，工業(yè)物聯(lián)網(wǎng)技術(shù)已經(jīng)被廣泛應(yīng)用于電力系統(tǒng)，在發(fā)電、輸電、變電以及配電等環(huán)節(jié)均可看到它的身影。通過大量查閱與泛在電力物聯(lián)網(wǎng)相關(guān)的資料發(fā)現(xiàn)，當(dāng)前我國(guó)已有將近5.3億個(gè)計(jì)量終端表，有超過300萬套類型各異的設(shè)備監(jiān)控終端，有50萬個(gè)視頻監(jiān)控?cái)z像頭終端。借助這些物聯(lián)網(wǎng)終端設(shè)備，無線公網(wǎng)式的數(shù)據(jù)傳輸被廣泛應(yīng)用于電網(wǎng)配電系統(tǒng)。

1 物聯(lián)網(wǎng)結(jié)構(gòu)層次及其安全問題

1.1 感知層

感知層包括大量的數(shù)據(jù)采集設(shè)備。為了能夠執(zhí)行應(yīng)用層下發(fā)的相關(guān)指令，必要的執(zhí)行設(shè)備也存在于這一層。總體而言，傳感器、執(zhí)行設(shè)備、定位設(shè)備、視頻以及音頻采集播放終端、條碼讀取或者射頻讀寫設(shè)備以及相關(guān)智能化設(shè)備等都在這一層。感知層的各種設(shè)備，可以根據(jù)是否具備可操作性的能力分為可讀式和讀寫式兩種。相對(duì)而言，單純的可讀設(shè)備在安全方面具有較高的水平，但并不排除也會(huì)遭受到外部攻擊，而讀寫式設(shè)備則面臨更多的安全風(fēng)險(xiǎn)。

1.2 網(wǎng)絡(luò)層

各類私有網(wǎng)絡(luò)、有線網(wǎng)絡(luò)、無線通信網(wǎng)以及互聯(lián)網(wǎng)共同構(gòu)成了物聯(lián)網(wǎng)的網(wǎng)絡(luò)層，能夠高效實(shí)現(xiàn)數(shù)據(jù)的接收和輸出。與其他行業(yè)相比，電網(wǎng)中使用的地面、井下工業(yè)環(huán)網(wǎng)以及無線通信網(wǎng)絡(luò)的傳輸技術(shù)并沒有太大不同，也是通過流量監(jiān)控、漏洞掃描、入侵檢測(cè)等手段解決運(yùn)行中出現(xiàn)的各類問題。對(duì)于網(wǎng)絡(luò)層而言，由于它的結(jié)構(gòu)復(fù)雜且各部分之間存在較大差別，使得該層級(jí)面臨較大的安全風(fēng)險(xiǎn)，即整個(gè)系統(tǒng)數(shù)據(jù)傳輸?shù)陌踩詫⒃诤艽蟪潭壬嫌善鋪頉Q定[1]。

1.3 應(yīng)用層

物聯(lián)網(wǎng)的應(yīng)用層包含安全生產(chǎn)調(diào)度集成平臺(tái)、三維地理信息平臺(tái)以及隱患管理組風(fēng)險(xiǎn)預(yù)控管理信息平臺(tái)在內(nèi)的眾多平臺(tái)，可以實(shí)現(xiàn)多種應(yīng)用，如云計(jì)算、數(shù)據(jù)存儲(chǔ)以及常規(guī)網(wǎng)絡(luò)應(yīng)用等，所以常被視為是一個(gè)全面的、成熟度較高的信息系統(tǒng)。當(dāng)前，探討該層安全性能時(shí)主要關(guān)注數(shù)據(jù)安全和云計(jì)算安全兩方面內(nèi)容。

2 電力物聯(lián)網(wǎng)信息安全防護(hù)技術(shù)

2.1 網(wǎng)絡(luò)安全漏洞掃描技術(shù)

網(wǎng)絡(luò)安全漏洞的檢測(cè)和安全風(fēng)險(xiǎn)評(píng)估技術(shù)，可以準(zhǔn)確預(yù)知網(wǎng)絡(luò)主體用戶受到網(wǎng)絡(luò)攻擊的各種可能性，具體指證將要出現(xiàn)或發(fā)生的網(wǎng)絡(luò)攻擊行為和可能產(chǎn)生的安全風(fēng)險(xiǎn)后果，近年來受到了網(wǎng)絡(luò)安全技術(shù)業(yè)界的高度重視。這一安全技術(shù)的主要應(yīng)用任務(wù)可以幫助管理員識(shí)別、檢測(cè)、監(jiān)視系統(tǒng)資源，分析系統(tǒng)資源被黑客攻擊的各種可能因素和指數(shù)，了解如何支撐網(wǎng)絡(luò)監(jiān)視系統(tǒng)本身的安全脆弱性，評(píng)估所有系統(tǒng)可能存在的安全問題和風(fēng)險(xiǎn)。網(wǎng)絡(luò)安全漏洞的掃描技術(shù)、網(wǎng)絡(luò)防火墻、入侵系統(tǒng)和檢測(cè)網(wǎng)絡(luò)監(jiān)視系統(tǒng)互相配合，能夠有效保護(hù)和提高整個(gè)網(wǎng)絡(luò)的質(zhì)量和安全性。通過對(duì)整個(gè)網(wǎng)絡(luò)的安全漏洞掃描，網(wǎng)絡(luò)管理員能及時(shí)了解整個(gè)網(wǎng)絡(luò)的安全防護(hù)設(shè)置、系統(tǒng)運(yùn)行的情況以及應(yīng)用服務(wù)，及時(shí)發(fā)現(xiàn)網(wǎng)絡(luò)安全漏洞，并由此對(duì)整個(gè)網(wǎng)絡(luò)所面臨的安全風(fēng)險(xiǎn)以及風(fēng)險(xiǎn)等級(jí)進(jìn)行客觀評(píng)估[2]。因此，網(wǎng)絡(luò)管理員通常能根據(jù)網(wǎng)絡(luò)掃描的情況和結(jié)果及時(shí)發(fā)現(xiàn)網(wǎng)絡(luò)的安全漏洞和系統(tǒng)運(yùn)行過程中的各種錯(cuò)誤安全設(shè)置，在網(wǎng)絡(luò)受到黑客攻擊前對(duì)系統(tǒng)進(jìn)行防范。

2.2 VPN技術(shù)

要將虛擬專網(wǎng)架設(shè)于公共網(wǎng)絡(luò)之上，最常用的技術(shù)就是VPN。它根據(jù)應(yīng)用層級(jí)不同可被劃分為鏈路層VPN技術(shù)、網(wǎng)絡(luò)層VPN技術(shù)和應(yīng)用層VPN技術(shù)3類。

鏈路層VPN技術(shù)，包括PPTP或L2TP。鏈路層VPN沒有進(jìn)行專項(xiàng)加密，因此安全級(jí)別較低，即借助于PPTP或L2TP驗(yàn)證用戶身份。

網(wǎng)絡(luò)層VPN技術(shù)，包括MPLS和IPSec。網(wǎng)絡(luò)層VPN技術(shù)的安全級(jí)別高于鏈路層VPN，其中IPSec支持加密認(rèn)證，還能夠應(yīng)用于“網(wǎng)關(guān)-網(wǎng)關(guān)”“終端-網(wǎng)關(guān)”等場(chǎng)景，同時(shí)在系統(tǒng)安全改造方面基于自有的傳輸模式和隧道模式也有良好的表現(xiàn)[3-4]。在進(jìn)行安全改造時(shí)，基于SM2算法的公鑰密碼算法（《IPSecVPN技術(shù)規(guī)范》），電力物聯(lián)網(wǎng)終端以及主站側(cè)對(duì)用戶身份進(jìn)行認(rèn)證，隨后進(jìn)行相關(guān)的通信密鑰協(xié)商。上述過程中，通信密匙協(xié)商過程較為復(fù)雜，基于任務(wù)可被大致分為兩個(gè)階段。第一階段以主模式來進(jìn)行IKESA協(xié)商，由證書交換、工作密鑰協(xié)商以及身份認(rèn)證等6個(gè)交互操作共同構(gòu)成，是開展第二階段會(huì)話密匙協(xié)商的基礎(chǔ)。第二階段是基于快速模式的IPSecSA協(xié)商，主要圍繞會(huì)話密鑰展開，共由3個(gè)交互操作組成[5]。MPLS是基于網(wǎng)絡(luò)路由協(xié)議搭建的一個(gè)基于標(biāo)簽的快速高效數(shù)據(jù)交換傳輸技術(shù)，以電力調(diào)度數(shù)據(jù)網(wǎng)為例，基于MPSL虛擬了兩個(gè)分別應(yīng)用于實(shí)時(shí)和非實(shí)時(shí)VPN用以傳輸安全區(qū)的業(yè)務(wù)數(shù)據(jù)。

應(yīng)用層VPN技術(shù)，包括SSL/TLS。應(yīng)用層VPN技術(shù)中的SSL也具有加密認(rèn)證功能，但SSLVPN無法在“網(wǎng)關(guān)-網(wǎng)關(guān)”（即sitetosite）場(chǎng)景下應(yīng)用，因此當(dāng)前多用于對(duì)移動(dòng)辦公和遠(yuǎn)程接入進(jìn)行加密認(rèn)證時(shí)[6]。

2.3 安全審計(jì)技術(shù)

安全審計(jì)技術(shù)是使用某種或幾種安全的檢測(cè)工具（通常被簡(jiǎn)稱為安全掃描器（scanner）），采取檢測(cè)和掃描系統(tǒng)安全漏洞的手段和方法檢查整個(gè)系統(tǒng)的信息安全漏洞，得到物聯(lián)網(wǎng)系統(tǒng)各個(gè)薄弱環(huán)節(jié)的安全漏洞檢查報(bào)告，并且提出采用相應(yīng)的審計(jì)技術(shù)增強(qiáng)其系統(tǒng)信息安全性的手段和措施[7]。物聯(lián)網(wǎng)信息安全的審計(jì)是揭示其信息安全潛在風(fēng)險(xiǎn)的最佳方法和手段，是改進(jìn)其信息安全技術(shù)和現(xiàn)狀的方法和有效途徑，是滿足其信息安全行業(yè)合規(guī)要求的有力手段和武器。物聯(lián)網(wǎng)信息安全的審計(jì)可以使得組織在了解和掌握其物聯(lián)網(wǎng)信息安全工作是否能夠滿足安全合規(guī)性審計(jì)要求的關(guān)鍵，也有助于物聯(lián)網(wǎng)組織全面深入了解和準(zhǔn)確掌握其物聯(lián)網(wǎng)信息安全審計(jì)工作的有效性、充分性和適宜性。

2.4 輕量級(jí)安全認(rèn)證技術(shù)

入侵保護(hù)包括入侵前和入侵后兩方面。入侵前的保護(hù)屬于網(wǎng)絡(luò)邊界保護(hù)，常用技術(shù)是網(wǎng)絡(luò)防火墻。入侵后的保護(hù)是入侵檢測(cè)（IDS），對(duì)信息系統(tǒng)來說是一種成熟的安全保護(hù)技術(shù)，但對(duì)資源受限的物聯(lián)網(wǎng)系統(tǒng)，入侵檢測(cè)幾乎沒有能力，因此主要技術(shù)是在入侵前的安全保護(hù)方面。對(duì)許多物聯(lián)網(wǎng)設(shè)備來說，使用防火墻技術(shù)也是不現(xiàn)實(shí)的，因此對(duì)邊界防護(hù)的主要技術(shù)手段是身份認(rèn)證。具體地，輕量級(jí)身份認(rèn)證是提升資源受限物聯(lián)網(wǎng)設(shè)備的關(guān)鍵技術(shù)[8]。需要注意，身份認(rèn)證的目的是建立共享會(huì)話密鑰進(jìn)行保密通信，可以有選擇地提供通信數(shù)據(jù)的機(jī)密性和完整性。但是，物聯(lián)網(wǎng)系統(tǒng)中的許多數(shù)據(jù)都是小數(shù)據(jù)，這種情況下可以將身份認(rèn)證與數(shù)據(jù)保護(hù)融合在一起，提供可認(rèn)證的數(shù)據(jù)保密輕量級(jí)協(xié)議。具體地說，應(yīng)該設(shè)計(jì)融身份認(rèn)證、數(shù)據(jù)機(jī)密性、數(shù)據(jù)完整性、數(shù)據(jù)新鮮性等安全保護(hù)于一體的輕量級(jí)數(shù)據(jù)傳輸協(xié)議[9]。

2.5 生物識(shí)別技術(shù)

生物身份識(shí)別技術(shù)是通過計(jì)算機(jī)與生物光學(xué)、聲學(xué)、生物傳感器和生物統(tǒng)計(jì)學(xué)原理等高科技手段密切結(jié)合，利用人體固有的一些生理特性（如指紋、臉象、虹膜等）和其行為中的心理特征（如筆跡、聲音、步態(tài)等）特征，有效地進(jìn)行個(gè)人身份的識(shí)別和鑒定[10]。由于人體的生物特征指紋識(shí)別具有多種不可復(fù)制的生物特性，這一指紋識(shí)別技術(shù)的安全系數(shù)較傳統(tǒng)意義上的生物身份驗(yàn)證指紋識(shí)別機(jī)制可以有很大的改善和提高。適用于人體的視網(wǎng)膜生物指紋識(shí)別特征主要包括指紋、聲音、面孔、視網(wǎng)膜、掌紋以及骨架等，其中視網(wǎng)膜指紋憑借其無可比擬的特征倍受學(xué)術(shù)界的關(guān)注，如唯一性、穩(wěn)定性、再生性等。除了視網(wǎng)膜指紋識(shí)別技術(shù)外，近年來對(duì)視網(wǎng)膜指紋識(shí)別的技術(shù)和先進(jìn)的簽名指紋識(shí)別技術(shù)的應(yīng)用和研究也都取得了驕人的進(jìn)展和成績(jī)。

3 結(jié) 論

基于政府的政策支持和整個(gè)行業(yè)技術(shù)的快速發(fā)展，我國(guó)的物聯(lián)網(wǎng)進(jìn)入快速成長(zhǎng)期，與互聯(lián)網(wǎng)以及接入終端設(shè)備之間的聯(lián)系變得越來越緊密，將來定會(huì)在各個(gè)領(lǐng)域大放異彩，尤其是電力行業(yè)，從而為人們帶來更多的便利。