略談電力行業互聯網應用安全防護的主要手段

（海南電網有限責任公司 海南 570203)

電力行業作為國家重要的關鍵信息基礎設施單位，各電力企業負責管理和營運多個基于互聯網的重要對外應用，并常常成為黑客的攻擊目標。通過近幾年的網絡安全建設，各電力企業都建立起不同網絡大區的網絡安全方式模式。從目前電力行業的實際情況來看，互聯網的系統應用已經成為行業數字化運營的重要支撐。為了可以使資源的共享程度不斷加深，與互聯網的聯系也就會越來越緊密。然而，電力企業的安全問題長時間以來就有很大層面上的暴露。無論是物理方面，還是網絡上面的攻擊，在進入新時期后，都對電力企業的安全、穩定運行造成了很大的隱患。基于此，筆者結合電力行業互聯網應用的安全現狀，提出一系列的防護手段提升互聯網應用防御。

1 電力行業互聯網應用安全現狀

1.1 安全意識薄弱

安全意識是首要解決的問題，正是由于在互聯網應用安全防護方面，許多企業以及領導者并沒有進行踏實的防護，無論是在構架還是在技術，都存在著一定的僥幸心理。因此沒有積極防御，當問題出現之后處于被動的狀態。這有些原因是出現在資金上面，而有些只是出現在認識上面。尤其是在構架系統上，普遍出現了安全投入和收益的不成比例。這也就會產生一些麻痹的思想，認為安全上的考慮不足以當真。

1.2 安全防護缺少有效的規章制度

許多人都認為在互聯網的應用安全防護上面，需要解決的是技術問題。其實不然，為了可以將安全進行全面、細致的防護，合理完善的規章制度也相當重要。在對制度的完善當中，無論是設計者、管理者，還是使用者，每個人的職權一定要進行明細，保證有較高的執行力、可操作性，這樣才可以建立出基礎的制度框架。

1.3 安全管理的人才匱乏

隨著信息的不斷增長，互聯網的應用更加需要專業人才來進行安全防護。然而在目前的電力行業當中，安全方面的專業人才實際上是遠遠跟不上企業的需求。因此，電力行業當中的企業應該對于員工進行定期的培養，以形成常態，對于十分重要的工作人員還需要進行針對性的安全教育。

1.4 網絡安全防護的措施不到位

對于互聯網的安全防護，在防火墻、路由器等設備上面的配置有相當大的缺失，在操作系統上面也存在著漏洞，而終端設備的防病毒客戶端軟件不更新，等等這些問題都容易產生疏忽，使得電力行業的互聯網很容易成為一些入侵者的攻擊目標。

1.5 缺乏有效的監測與檢測能力

互聯網在對公眾開放的同時，其本身的隱蔽問題就存在著矛盾。一方面是資源的開放與共享，而另一方面，信息內容的安全則會顧此失彼。在電力行業所使用的互聯網上面，由于各種系統存在的漏洞、設計者本身認識或能力不足產生的一些軟件漏洞等，這就導致在許多互聯網當中，缺乏一種高效管理的監控措施，來對網絡的安全性進行監視。

1.6 缺乏一種完整的安全防護手段

電力行業當中所使用的大部分互聯網安全防護，都只僅限于某一個設備，或者是某個系統、某個領域，通過它們之間的簡單組合來進行安全防護。然而，這種防護措施卻有著相當嚴重的缺陷。只需要找到其中一個漏洞，那么攻擊者就可以將其成為一條道路，使得整個網絡系統暴露出許多薄弱環節。因此需要建立一個立體全方位的完整的安全防范手段，才可以應對各種各樣的安全問題。

2 電力行業互聯網應用安全防護策略

2.1 重視安全規劃

如果從長遠來考慮的話，那么就需要對于互聯網的安全防護問題進行一個相當全面的認知，這樣就可以以大體的視角，來對互聯網中可能出現的安全問題進行處理。需要建立起一套系統、全面、可操作的互聯網應用安全防護體系，同時也建立起一套防護的建設準則。將體系和準則兩者結合起來，為電力行業的互聯網安全提供依據。而這兩者的建設，可以參照國內外的一些通用標準來進行實行。

2.2 在基礎設施和環境運行上面加強管理建設

在電力行業互聯網應用當中，對于計算機網絡和信息方面要進行合理的把控。尤其是在機房、配電間等有服務器和核心設施的地方，加強安全管理措施。在這些房間一定要構建起防盜、防火、防水等基礎設施，并且在一些通道內，也需要安裝有效的監控和報警設施，用來監察進出人員的情況。而在機房內的一些物理硬件設備，需要通過相關的設備來建立嚴密的運行記錄，保證實時查到每一個設備的運行情況。對于作業指導書，要進行規范，確保互聯網信息安全的可靠。

2.3 安全區域的合理劃分

在電力行業當中，對于電網的調度自動化系統物理專網隔離，并且通過綜合信息網與國家一些專業機構進行數據的交換，而在物理方面則通過正向隔離設備，保證允許的數據單向流量至服務器等等形式。而在綜合信息網和互聯網之間，需要建立比較高效的防火墻，保證一些信息只能從內網才可以發布。在邊界的防火墻需要合理的規劃區域，用來放置訪問的服務器，確?；ヂ摼W方面的訪問只能通過這個服務器才可以進入。邊界防火墻的三層核心規劃成不同的邏輯子網，用來提供專用網絡。最后，對于不同部門的劃分也應該清晰，讓他們只能訪問本部門的工作站。

2.4 安全管理不斷加強，制度建設不斷完善

對于電力行業內部，要求一些企業建立、健全機房、設備、應用等等具體的管理措施。并且在管理、使用、運行等各項制度進行明確，對于考核制度也應該健全。保證以制度為根基的領導帶頭作用，運用在各項制度的強制、有效上面。對于一些管理業務和操作流程，需要保證實時變化、實時更新，以確保互聯網管理行為獲得有效的規范。

3 電力行業互聯網應用安全防護技術

3.1 網絡隔離技術

網絡隔離技術可以在不同網絡或者是內網網絡之間建立一道防線，防止外部或者是公用的網絡，未經允許的訪問而進入內網，是十分常見的防護技術。它可以保證將安全區域進行不同的劃分，并且設置不同的訪問限制，一般可以采用異構網絡區域，內部網絡區域等等。

3.2 自身免疫技術

不同于那些被動防止安全問題的措施，自身免疫技術可以進行積極主動的防御，其中漏洞掃描與加固是比較常見的自身免疫技術。良好的漏洞掃描技術，需要建立在完備的知識庫上面。通過掃描技術對于互聯網當中的許多網絡或主機進行掃描，發現其安全問題，并且開展有效的安全加固工作，大幅度的降低黑客攻擊。

3.3 入侵監測系統

入侵監測技術在互聯網應用正常訪問的行為鐘，對于違反安全策略行為和入侵行為進行系統的檢測，在收集網絡訪問、安全日志、信息數據等基礎上面，對一些行為進行安全檢測。并且，對不同的網絡區域和誤操作提供防護，使得互聯網在被入侵之前就可以得到及時的報警。

3.4 數字加密技術

數字加密技術可以為互聯網提供一種十分安全的防護，它可以在不同的網絡之間傳輸時，用加密的方式進行處理，保證數據的前后一致，是一種十分普遍的安全防護措施。

3.5 端點防護技術

端點防護技術實現的方式是在為互聯網應用提供服務的服務器上，安裝端點防護工具，該工具具有通信阻斷、漏洞發現、行為監測等能力，通過該技術的應用，可以將互聯網應用的服務防護手段下沉到最端點，實現最小化防御。最大限度的實現業務可用性和網絡安全防御的平衡。

3.6 自動化防御技術

自動化防御是指通過技術手段實現安全威脅的自動化處置，高度提煉以往網絡安全應急保障工作的寶貴經驗，形成安全防護規則。一旦監測到網絡攻擊，監視平臺與安全防護設備聯動，形成高效、動態防御。極大地縮短互聯網攻擊的防御時長，提升防御效率。

4 互聯網防護技術實踐的成效

近年來，筆者在所工作的電力企業中，對上述互聯網應用防護技術手段開展了一系列實踐工作，取得了客觀的應用成效。主要包括：

（1）提升了企業互聯網應用的整體安全防護能力，通過網絡隔離技術的研究與實施、端點安全防護能力建設、安全監測體系建設等一系列舉措，構建了全方位、全天候、全過程、全覆蓋的體系化整體保障能力，確保電力互聯網應用的整體安全。

（2）提升了電力互聯網應用的監測預警和應急響應能力，通過構建互聯網應用安全監測預警體系，實現多種關聯分析，提升了電力互聯網應用安全防御能力，實現直觀、實時的安全運行態勢展示，有效抵御了惡意網絡嗅探和攻擊行為。

（3）提升了電力互聯網應用聯合阻斷的安全防護能力，安全防護聯動阻斷系統形成了面向互聯網威脅的動態防御體系，打破設備孤島，構建聯合戰線。利用海量數據高速分析識別出高?；ヂ摼WIP，與防御設備形成動態防護策略，將高危IP聯動封堵，打破原因的靜態防御體系，創新性地實現了互聯網威脅的動態防御。

5 結束語

互聯網應用安全防護是一個相當復雜的系統工程，它涉及許多方面。因此，對于它的研究絕對不能只依據某一個方面。對于電力行業的互聯網應用安全防護，需要從技術、制度和法律三個層面，采取全方位的措施來進行防護。并且在安全管理上面也要提高重視，使得防護措施和管理意識共同進步，一起來為電力行業的互聯網安全提供堅實的保障。