電力監控系統網絡安全加固技術探討

◆郭豐

行業與應用安全

電力監控系統網絡安全加固技術探討

◆郭豐

（貴州電網有限責任公司信息中心 貴州 550002）

電力監控系統是控制與管理電能生產、傳輸與消費等環節的信息系統，作為關鍵信息基礎設施，其網絡安全意義重大。網絡安全加固是一種有效提升在運系統抵御網絡安全風險的技術手段，已被廣泛應用。本文將從電力監控系統網絡安全現狀、網絡安全加固技術出發，結合軟硬件國產化改造，探討針對電力監控系統的網絡安全加固實踐。

電力監控系統；關鍵信息基礎設施；網絡安全加固技術；國產化

1 電力監控系統網絡安全概述

1.1 電力監控系統定義

電能是一種重要的二次能源，隨著電力系統自動化水平不斷提高，以及數字電網的推進，如今電能生產、傳輸與消費等環節都依賴于電力監控系統。電力監控系統是電力工業的重要組成，是指用于監視、控制、管理電能生產及供應過程的、基于計算機與網絡技術的信息系統[1]，是電力技術、計算機技術、網絡技術有機結合的產物。它主要包括能量管理系統、配電自動化系統、電力數據網、通信網管系統、電廠及變電站監控系統等。

1.2 電力監控系統網絡安全風險

作為關鍵信息基礎設施，我國對電力監控系統所處的網絡結構有明確的規定，將網絡劃分為生產控制大區和管理信息大區，根據所承載業務的性質，進一步將生產控制大區細分為控制區、非控制區，即安全I、II區，管理信息大區則細分為生產管理區和信息內外網區，即安全III區、IV區和V區。生產控制大區和管理信息大區之間用電力專用隔離裝置進行物理隔離，兩個大區內的小區之間使用防火墻進行邏輯隔離，電力監控系統按要求部署在安全I、II、III區[2]。這樣的劃分保證系統處于一個閉合的網絡環境，使系統具備一定抵御外部網絡安全威脅的能力。但軟硬件自身的漏洞、不合理的策略配置、惡意代碼及計算機病毒的擺渡攻擊、安全管理的缺失都使電力監控系統安全防護存在木桶效應，面對的網絡安全風險不容樂觀。

2 網絡安全加固技術分析

2.1 網絡安全加固技術簡述

信息系統大量應用于企業的生產、管理、決策等領域，極大提升了企業的運營效率。信息系統主要由計算機軟硬件與網絡構成，由于軟硬件自身的漏洞、信息系統開發與部署中的不足，都使信息系統暴露在潛在的網絡安全風險之中，使企業面臨信息泄露、系統被惡意控制甚至有失效的可能。網絡安全加固兼顧效率與安全，是有效降低在運信息系統網絡安全風險的技術手段。

網絡安全加固通過分析信息系統的結構、軟硬件漏洞、網絡拓撲、參數策略配置等現狀，同時結合企業實際情況，提升信息系統抵御安全風險的能力。網絡安全加固的內容主要包括補丁安裝、軟件升級、策略修改、病毒查殺、增加網絡安全設備等，所涉及的軟硬件包括操作系統、數據庫、中間件、應用軟件、路由器、交換機、防火墻以及行業專用設備[3]。

2.2 電力監控系統網絡安全加固特點

電力監控系統本質仍是信息系統，其除了基本的軟硬件，還包含電力專用的安全防護設備與測控裝置。它是一系列控制與管理電能的專有信息系統的總稱，對穩定性與可靠性有極高的要求。各電力企業在運的電力監控系統中存在軟硬件設備老舊與兼容性差等情況，進行常規網絡安全加固時可能無法成功，甚至導致系統宕機的風險。所以針對電力監控系統的加固必須在通用加固技術上進行剪裁，實施前做好計劃與分析，實施中嚴格執行，加固完成做好評估與監測工作。電力監控系統加固要兼顧穩定可靠與網絡安全的平衡，具體實施途徑是從網絡及電力二次安防設備、主機軟件等方面進行。

3 電力監控系統網絡安全加固方法

3.1 網絡及電力二次安防設備加固

電力監控系統所處的網絡結構被強制劃分為生產控制和管理信息兩個大區，區域內由交換機、路由器、防火墻、入侵防御設備、防病毒管理中心、電力專用縱向加密認證裝置、電力專用橫向隔離裝置等構成，彼此之間相互協助，共同構建了電力監控系統基礎的網絡安全環境。

這一部分的加固工作涉及網絡的物理環境與邏輯環境兩個層面，包括策略修改、補丁安裝及軟件升級、硬件設備的增改、系統所處安全區再評估及遷移等。（1）策略修改、補丁安裝及軟件升級是常規的網絡安全加固方式，針對存量網絡及電力二次安防設備具有成本低、效率高的特點，具體內容包括：以最小權限開放IP地址及端口，置頂黑名單與封堵高危端口，部分業務通道開啟加密方式傳輸、安裝設備補丁、升級設備軟件及網絡安全設備特征庫等。（2）硬件設備的增改，網絡安全技術日新月異，適度的增加或改變網絡與安防設備，對抵御新的網絡安全風險有立竿見影的效果，具體內容有：網絡邊界增加入侵防御系統，在生產控制和管理信息大區部署網絡安全態勢感知裝置、移動介質管控平臺及防病毒管理中心，將生產控制II區縱向互聯防火墻更換為電力專用縱向加密認證裝置等。（3）系統所處安全區再評估及遷移，電力監控系統是不斷完善與發展的，其所面對的網絡安全威脅也是變化的。比如某個電力監控系統升級改造后，其監測與控制功能的增強，其所承載數據的性質改變，將導致其網絡安全形勢產生改變，這就需要對系統所處安全區進行再評估，給出系統是否遷移的建議，這種遷移主要表現為部分系統功能模塊從低安全區向高安全區部署，由于各自所屬安全區的改變，遷移后系統模塊的數據交互必須通過防火墻或電力專用橫向隔離裝置進行。

3.2 主機操作系統加固

操作系統位于硬件與應用軟件之間，是最為重要的系統軟件，當前電力監控系統使用的操作系統主要是Windows和Linux，多種版本并存，大量老舊主機的操作系統已經停止了技術支持，特殊的網絡環境讓系統無法及時更新安全補丁導致漏洞不能修復，殺毒軟件陳舊與缺失問題嚴重，不合理的配置也使得網絡安全風險極高。

針對操作系統存在的隱患，安全加固將從身份鑒別、安全審計、資源控制、訪問控制、入侵防御五個方面進行[4]。（1）身份鑒別是對賬戶與口令的加固，主要包括禁用默認賬號、刪除多余賬戶、強化口令復雜度和時效性、啟用登錄失敗處理功能等。（2）安全審計則是啟用操作系統的日志審計功能，對登錄、訪問、策略修改等系統事件進行記錄。（3）資源控制是對登錄終端的操作超時進行鎖定。（4）訪問控制是對系統服務、端口、共享功能、遠程訪問、系統注冊表等方面進行加固，具體內容為禁用Web、telnet、Email、FTP、rlogin等不必要的高危服務，關閉135、137、138、139、445、3389等高危端口，禁用匿名遠程連接與遠程訪問注冊表路徑和子路徑，關閉默認共享功能。（5）入侵防御是從系統補丁、最小化安裝、惡意代碼防護等方面進行加固，具體包括在兼容性測試正常的情況下安裝系統補丁，刪除操作系統非必須的應用軟件，實現系統最小化安裝。安裝防惡意代碼軟件，抵御木馬與病毒，對于無法安裝防惡意代碼軟件的主機，可使用殺毒U盤。

3.3 數據庫及中間件加固

數據庫與中間件作為兩大支撐軟件，是信息系統的基礎。中間件運行在操作系統與應用軟件之間，它以底層操作系統的基礎服務為支點，實現資源與服務的共享，為上層應用提供數據管理、消息傳遞、應用服務等支撐功能，常見的中間件軟件有WebLogic、IIS、Tomcat等。數據庫管理系統也是一種重要的系統軟件，它通過管理與操縱數據庫，為用戶提供數據的定義、存儲、維護等服務，常見數據庫主要以關系數據庫為主，主要有Oracle、SQL Sever、MySQL等。電力監控系統運行于中間件之上，與數據庫進行實時交互，沒有此二者的安全，就沒有系統的網絡安全。針對數據庫與中間件的加固，主要是從賬號、口令、服務、權限、系統補丁等方面著手，具體內容為修改或禁用默認賬號、刪除或禁用不必要的用戶、設置密碼策略符合復雜度要求、登錄失敗處理設置、禁用多余服務以提升系統安全性與效率、賬號授權采用最小化權限原則、保持系統補丁及時更新。

4 電力監控系統國產化改造

在進行電力監控系統加固時，軟硬件的國產化改造也是一條必經之路。當前計算機軟硬件技術仍然被少數國外企業主導，他們的產品，如芯片、操作系統、數據庫、中間件、密碼技術被廣泛運用于各行各業。但近年來，關于這些企業產品的重大網絡安全缺陷時有發生。電力監控系統作為關鍵信息基礎設施，國產化改造迫在眉睫。

國產化改造要綜合考慮替代產品的性能、穩定性、兼容性以及廠商的技術支持水平。目前，國產化改造主要集中于操作系統、數據庫、密碼技術三方面。（1）操作系統國產改造主要是將存量的Windows操作系統更換為經過安全加固的國產Linux，Linux為開源系統，內核由非營利組織Linux基金會管理與維護，其開發工作為全球參與，不存在惡意軟件后門的困擾，國內Linux廠商在原系統上進行二次開發，強化了系統的網絡安全。各電力監控系統提供商也有針對Linux系統的成熟軟件版本，軟件生態已十分完善。（2）數據庫國產改造，在智能電網建設的大背景下，數據已成為電力監控系統的靈魂。國內數據庫廠商經過多年發展，已推出了一系列穩定可靠的安全四級數據庫產品，在電力行業也有成功應用案例，可作為電力監控系統中Oracle、SQL Server等數據庫的替代選擇。（3）國產密碼技術改造，密碼技術是網絡安全的重要組成，其通過加/解密、數字簽名、單向散列等技術保障信息交互中數據的完整性、保密性[5]，電力監控系統涉及大量工控數據的交互，對密碼技術的使用由來已久。密碼算法是密碼技術的核心，為保障密碼的安全可控，我國制定了一系列商用密碼標準（SM1-9算法），用于減少對AES、RSA、MD-5、SHA等國外密碼標準的依賴。國密改造就是將電力調度數字證書系統、縱向加密認證裝置等進行升級或更換，以支持國密算法。

5 結束語

電力監控系統網絡安全加固是一個動態的、循序漸進的過程，涉及關鍵信息基礎設施，需要兼顧穩定與安全的平衡，需穩步推進。當前針對電力領域的網絡安全威脅與日俱增，攻擊手段層出不窮，電網數字化轉型正在迅速推進，智能電網正逐步成型，系統的網絡安全加固工作刻不容緩，需要將技術與管理相結合，根據電力監控系統的特點，選擇適合的加固技術，重視軟硬件的國產化，不斷進行實踐與探索，做好計劃、分析、實施、評估工作，實現對網絡安全加固全過程的動態管控。

[1]陳正.電力監控系統網絡安全防護體系建設[J].電工技術，2019（03）.

[2]饒巨為. 電力監控系統二次安全防護探討[J]. 通信電源技術，2019，36（6）.

[3]李俊. 網絡安全加固工作的分析與探討[J]. 網絡安全技術與應用，2020（4）.

[4]孫佳煒，朱紅勤，潘小輝，等. 基于主機操作系統的檢測與加固實現[J]. 機電信息，2018（36）.

[5]張喜銘，李金，邱榮福，等. 國密體系在智能變電站的研究與應用[J]. 南方電網技術，2020，14（1）.