電力通信網數據安全防護方案分析研究

甄創和

（廣東順暢科技有限公司，廣東 江門 529000）

0 引 言

隨著能源互聯網的發展，電力數據通信網要承載多樣化的業務，更加需要保證數據的安全性，抵御隱患威脅的任務更重。由于電力數據通信的規模較為龐大，很容易遭受攻擊，出現安全隱患，所以需要做好電力數據通信網絡安全防護工作，必要時可以使用一些先進的技術與管理方法，綜合運用多種防御手段，實現從“知防不知攻”到“知攻知防”的轉變。

1 電力通信網數據安全的現狀

（1）對于電力通信網運行中存在的安全問題，通過現代先進技術及管理方法的應用，可以有效規避安全問題，并且利用打補丁的方式，對安全問題進行處理，從而保證通信網的安全，且這樣的方式綜合效益高，成本低。（2）借助冗余保護技術來保證通信網的安全防護效果即預留信息承載裕量來應對突發極端情況。這種方式能降低運行中的安全風險，但初期的投資成本增大。（3）相關安全隱患問題不斷增加，主要是受到用戶激增的原因造成的。當下，電網企業在通信系統建設期間，未能對安全防護架構進行明確，所以強化安全防護的重視程度很重要。（4）電網運行期間設備不同發生的故障不同，通信網絡一旦出現故障，就會出現比較模糊的情況。所以在對故障問題進行處理時，打補丁的方式是十分有效的，且是被使用最多的方式，能有效提升安全防護能力[1]。

2 電力通信網的安全隱患分析

2.1 管理層

電力通信網的建立通常滯后于電力系統的發展，通信網安全管理體系易存在缺陷，如通信網的安全口令不能合理設置、沒有明確的用戶權限、安全管理缺少健全的制度及電力通信網運營管理沒有結合數據安全防護。

2.2 網絡層

電力通信網包含不同的操作系統，操作系統如果存在安全漏洞易受到非法入侵。黑客利用操作系統的漏洞會進入通信網，篡改、竊取信息，對操作系統惡意攻擊，通信網會中止服務，嚴重時發生網絡癱瘓。通信網依據口令來對用戶的身份加以認證和識別，而基于商業用途的網絡系統存在較多的安全漏洞，伴隨著安全風險。通信網的信息儲存于系統文件與數據庫中，但是數據存儲與運輸都采用明文，安全防護等級受到限制，信息處理、傳輸、儲存存在風險。通信網組網時，沒有系統設計安全防范，安全防護設施不健全，易受到外部的攻擊和入侵。

2.3 物理層

通信網物理層的安全問題體現在：通信機房缺少嚴格的管理，如自動報警系統不完善，缺少防火防盜措施；通信設備的安全防護能不足，通信設備會受到外部原因造成的破壞；微波信號存在人為因素或外部因素的干擾，電力通信網的安全運行受到影響。

3 電力通信網數據安全方案防護的總體架構

3.1 安全策略

制定安全策略需結合電力系統的實際。安全策略體現出安全管理思想，是通信網實施安全防護的依據。策略要明確被保護的主體，明確具體職責，提供應對問題的解決基準。策略要體現出普遍性，要為強化系統的安全創造基礎條件。安全策略還要明確哪些是需要保護的、防范的，這些內容是通信網保證風險得以控制的關鍵。安全策略通過安全服務方案得以實現，結合對各種數據的評估量化結果，設計適用于電力系統的安全解決方案；結合網絡建設的內容以及安全產品對系統的適應性，提出可行的安全防護方案[2]。

3.2 安全防護

安全防護要作用于路由器、交換機、工作站等設備的保護，以免通信網絡的硬件受到自然災害、人為因素的影響。安全防護要考慮到數據的妥善保管，防止非法偷竊和破壞活動，防止發生電磁泄漏。當前主要的措施是對傳導發射的防護和對輻射的防護。當前網絡隔離的主要手段是設立防火墻。防火墻結合網絡流的來源進行限制，禁止非法網絡流。在通信系統中，還要采用軟件安全防護，實現動態防御與靜態殺毒相結合。

3.3 安全檢測

安全檢測就是要實時監測網絡中與安全有關的事件，如資料竊取、非法入侵、泄密行為、違規使用等。系統需要對情況加以真實記錄，阻斷違規行為。安全檢測要具有防銷毀和篡改的特性，要跟蹤記錄有關安全的信息，分析和報告跟蹤中得來的信息。安全檢測要考慮選擇什么信息加以跟蹤檢測。安全檢測可以用于對內部的越權操作審計，阻止越權操作。

4 電力通信網安全方案的設計

4.1 網絡出口的安全解決方案

網絡出口是網絡安全防范的關鍵。針對電力通信網的出口，除了借助防火墻進行安全控制外，生產控制大區的二次系統安全防護要在技術上系統性地考慮上下級各種數據業務需求、網絡的縱向互聯、橫向互聯和數據通信的安全性問題，

在對網絡黑客和惡意代碼攻擊等安全問題進行防御時，一般會通過安全區、專用網絡等劃分，實現多層次的防線，保證對系統進行實時監控，實現業務的正常運行。

4.2 網絡邊界安全解決方案

網絡邊界要作用于災難發生時的抑制點，以控制影響的擴散。安全域要保證域邊界的安全防護。電力系統的邊界安全控制主要采用了防火墻和入侵防御。其中，防火墻是目前使用最廣泛的網絡安全技術，其核心思想是在網間環境中構造相對安全的子網。防火墻在網絡間設置了訪問控制，限制了被保護網絡與其他網絡的信息傳遞。防火墻作為隔離控制技術，可以結合通信網絡的安全策略控制信息流。

4.3 接入管理

接入管理技術圍繞著用戶身份認證和外設合規檢查及網絡狀態監控展開。整個運行機制包括“檢測-決策-執行”三個環節。

檢測包括準入前檢測和準入后檢測。對外設網的網絡權限進行限制，一般需要在準入前完成，認證用戶身份，對外設是否合格進行檢查，檢查的內容有用戶/外設綁定與IP/MAC綁定等的安全狀態。在準入后，需要對外設安全狀態及用戶的合規操作進行周期性的檢測，確保在網絡訪問期間，外設不會受到影響。

針對檢測結果和管理者設置的安全規則，系統會對這些內容進行分析，然后提供決策，這些內容有允許/組織訪問網絡等。

準入控制器通過準入決策的分析，可以執行相關的工作，執行的工作有允許與阻斷等。“檢測-決策-執行”是一個周期性的循環，能對外設安全狀態進行捕獲，及時發現是否存在安全轉態改變的問題，這樣就能確保網絡準入的有效控制。

4.4 網絡準入控制系統

（1）在對訪問網絡進行請求時，受控實體是外設設備，一般為筆記本與臺式電腦等。外設安全狀態信息的采集是由客戶端軟件負責的，同時也對安全策略進行檢查，與第三方安全產品實行聯動，對產品安全進行有效的監管。外設數據包在沒有客戶端的情況下，是由準入控制器負責獲取的，對外設的運行狀態進行檢查，然后對安全狀態進行評估。

（2）準入控制器。網絡準入控制系統中準入控制器是策略執行單元，也是網絡準入控制系統的關鍵部位。外設設備的網絡訪問請求被準入控制器接收后，服務器可以接收到相關的信息進行檢查，并且在進行準入控制決策時，需要準入服務器的幫助，對外設實施準入控制，這時就可以對外設訪問網絡進行有效的控制。

（3）準入服務器。網絡準入控制系統中準入服務器是策略管理單元。管理員需要將網絡準入策略預先設置在準入服務器上；基于網絡準入策略與準入控制器傳遞的用戶，準入服務器可以對安全狀態信息進行評估，然后對準入控制進行合理決策。

4.5 流量風險控制

流量控制技術原理是通過對業務流量進行實時監測，精準識別其中的異常攻擊流量，在不影響正常業務的前提下，清洗掉異常流量，實現服務器的流量限流，減輕攻擊流量對服務器造成的損害，保證服務正常可用。整個過程可以分為流量檢測和流量清洗兩個部分。

流量檢測是檢測單位時間內通過網絡設備或傳輸介質的信息量（報文數、數據包數或字節數）。應用不同的方法對網絡中不同位置的不同空間粒度及粒度下的網絡流量進行采集，然后在數理統計、隨機過程等數學工具的應用下，對網絡流量的相關屬性進行定義，然后可以對網絡流量進行有效分析，可以得到網絡流量的具體構成、分布等特征，稱為流量檢測。

流量清洗，即網絡層惡意流量清洗（AnTI Malicious Network Traffic），是指針對通過網絡層訪問業務的所有網絡流量，進行惡意流量排除，保障業務系統的流量當中排除了攻擊及惡意流量。從業務場景來說，流量清洗應涵蓋DDoS攻擊防護、CC攻擊防護、Web攻擊防護、批量機器行為防御、業務安全/風控及網絡限流等防護能力。

4.6 電力通信網需求分析

基于信息化與網絡化快速發展背景，促使計算機得到進一步普及。通信技術已經成為民眾生活重要組成部分，為通信市場拓展提供良好技術支撐。然而在市場需求持續增加過程中，對流量輸出與企業信息等帶來更多調整，所以需要對電力發展方向以及需求等進行充分分析。

（1）財務管理系統應用。借助前沿計算機軟件，能夠促使電力信息體系更加系統化與自動化，客戶辦理電子業務不需要人力即可完成，計算機借助系統和軟件進行有機結合，可以使通信體系環節更加簡化，有效促進工作效率。

（2）計量系統應用。該系統可以有效監控電力通信中所有環節，并處理系統工作中收費與流量等信息，還能夠整理、反饋處理結果，管理人員可以進一步分析反饋結果，及時發現通信需求的問題。該系統促使傳統計量手段得到充分優化，有效提高計量速率，并保證計量結果準確性。

（3）即時通信體系應用。該系統能夠按照用戶信息有效控制用戶權限，對于不同用戶等級，其享有的授權也會存在一定差異。有效提高訪問數據庫流程的保密程度，促使用戶在數據安全方面的要求得到充分滿足。同時，該系統可以記錄重要數據信息，避免由于數據丟失使用戶受到一定損失[3]。

5 結 論

電力通信網的發展推動了電網企業的發展，對于管理層、網絡層以及物理層等方面數據安全問題。數據安全防護方案的選擇要結合電力通信存在的安全隱患，結合網絡安全的發展趨勢，積極通過網絡出口的安全解決方案、網絡邊界安全解決方案、接入管理、流量風險控制以及電力通信需求分析等手段，最大限度保證電力通信網的數據安全，促進電力行業穩定、健康發展。