電力輔助服務聚合平臺的網絡安全風險評估技術應用分析

王 堯，劉 珊，王少博

（國網山西省電力公司電力科學研究院，山西 太原 030001）

0 引言

為提升風電、光伏等新能源消納空間，降低全社會用能成本，山西能源監管制定并印發《山西獨立儲能和用戶可控負荷參與電力調峰市場交易實施細則（試行）》，指導引導獨立儲能和用戶可控負荷在電力現貨試運行期間開展電網削峰填谷。用戶可控負荷市場主體包括電力用戶和輔助服務聚合商。其中輔助服務聚合商指的是將可控負荷用戶聚合集中在一起，作為整體參與電力調峰交易并代理相關商務事宜的機構。輔助服務聚合商參加電力調峰市場交易需滿足準入條件，包括基本要求、與調度機構數據交互要求、功率調節要求等。輔助服務聚合商與調度機構進行數據交互，主要依托輔助服務聚合平臺（以下簡稱“聚合平臺”）。聚合平臺自身網絡安全性一旦無法保證，在與調度機構進行數據交互時，極有可能泄露敏感交易數據進而引發交易市場混亂等惡性結果。因此，對聚合平臺進行網絡安全風險評估勢在必行。

1 網絡安全風險評估技術

網絡安全風險評估是一種主動防御技術，在安全事件未發生時主動分析和評估信息系統潛在安全隱患，根據評估結果而采取恰當的風險控制措施，有效降低網絡安全風險。在風險評估技術實際應用過程中，按照技術的應用范圍和應用方式，可分為基線核查、自動化漏洞掃描、滲透測試等。

基線核查是通過檢查各安全配置參數是否符合安全基線的評估技術，包括操作系統、中間件、數據庫等的基線核查，是一種合規性安全檢測。安全基線指的是為滿足安全規范要求，信息系統安全配置必須達到的基礎標準。以操作系統為例，其核查項包括賬號配置、口令配置、授權配置、日志配置、IP通信配置等方面內容，這些配置情況可以直接反映操作系統自身安全的脆弱性。

自動化漏洞掃描是基于漏洞數據庫通過自動化掃描的手段對目標系統進行安全脆弱性檢測，并發現可利用漏洞的安全評估技術，集成端口掃描、后門程序檢測、口令爆破、組件檢測、應用掃描等模塊，實現對目標系統的一體化安全風險評估。

滲透測試是為了證明網絡防御按照預期計劃正常運行而提供的一種評估技術，一般采用手動操作。測試人員使用與攻擊者相同的工具、技術和流程，來查找和展示系統弱點對業務帶來的影響。滲透測試會模擬各種可能威脅聚合平臺業務的攻擊，檢查系統是否足夠穩定，能否抵抗來自經過聚合平臺認證和未經認證的攻擊。通過滲透測試往往能發現目標系統更為深層的應用層漏洞。

2 針對聚合平臺的適用性分析

2.1 基線核查

在信息系統實際開發運維過程中，開發運維人員往往以降低安全性為代價，提高開發運維工作的便利性，其主要修改項即為服務器基礎配置。因此，在聚合平臺正式上線投運前，開展基線核查并進行安全加固應作為基本措施，為聚合平臺提供基礎的安全保障。基線核查是合規性檢測，應確保聚合平臺服務器相關設置符合各級法律法規，尤以各類日志留存的配置作為核查重點，如服務器安全日志、Web容器日志等，保證聚合平臺發生故障或安全事件時，通過日志進行事件分析處置。

根據服務器部署情況，聚合平臺可劃分為使用云平臺和使用自有的獨立服務器兩種。在安全評估實際實施時，基線核查針對這兩種聚合平臺，可采用不同的評估方式。云平臺服務器初始鏡像一般已做基礎安全加固，配置的安全性有一定保障，同時云平臺的安全中心往往自帶基線檢查功能。針對此類聚合平臺進行基線核查時，可充分利用平臺基線檢查功能，根據實際情況修改檢查策略，采用自動化檢測方式批量完成配置檢查，提高基線核查效率。而獨立服務器一般采用操作系統、中間件、數據庫的初始化配置，安全性相對較差，實施評估時可加大人工核查比例，并提供檢測詳情說明和基線加固建議，協助完成問題整改。

2.2 自動化漏洞掃描

2.2.1 適用性分析

聚合平臺一般采用Web架構搭建，由中間件、數據庫、緩存組件、遠程管理等多種服務或組件構成，向下對可控負荷用戶提供服務，向上連接調控機構進行數據交互。依托漏洞數據庫，自動化漏洞掃描可將聚合平臺中可能存在的已知漏洞、弱口令、簡單應用層漏洞掃描出來，完成基礎漏洞層面的風險評估，構成風險評估的主體。

2.2.2 技術參數分析

當前主流的自動化漏洞掃描設備或工具可以分為兩類，一類是以國家信息安全漏洞庫、國家信息安全漏洞共享平臺等公開漏洞庫為主要漏洞庫，用于發現操作系統、組件、設備的已知漏洞，簡稱為主機漏掃；另一類是以Web應用程序為掃描目標，用于發現SQL注入、文件上傳、信息泄露等Web應用層漏洞，簡稱為應用漏掃。

主機漏掃可以省去各種既耗時又耗力的人工操作，測試人員不必逐個測試驗證聚合平臺是否存在某項已知漏洞。從安全評估的全面性和效率上出發，自動化漏洞掃描必須包含主機漏掃。需要注意的技術參數主要有掃描速率和漏洞數據庫版本兩項。掃描速率可以根據聚合平臺實際網絡吞吐量進行調整，或者兼顧掃描效率和平臺平穩運行以適中的速率進行。保持漏洞數據庫版本為最新，同時輔以特定漏洞驗證腳本、應用層框架漏洞驗證工具，彌補漏洞庫的安全評估缺失項。

應用漏掃在配置和操作得當的情況下，可以輔助測試人員發現應用層漏洞，可作為安全評估的可選項。之所以應用漏掃非必要，是因為應用漏掃一旦配置或操作不當，可能會對聚合平臺造成一定影響，如服務器宕機、數據篡改等。為了消除應用漏掃對聚合平臺的影響，安全評估就不能針對生產環境的聚合平臺開展，聚合商必須具備單獨的測試環境，這無疑增加了風險評估的成本。

2.3 滲透測試

2.3.1 適用性分析

為了可控負荷用戶使用上的便利，聚合平臺一般是公網開放的，可控負荷用戶可通過公網訪問聚合平臺。對于外部攻擊者而言，主要攻擊點就是對外開放的Web服務。因此，針對聚合平臺開展安全評估時，應將滲透測試作為安全評估的重要補充。因為滲透測試人員會在評估過程中利用最新攻擊技術，思考越過安全防護的方法，提供更為深入的評估，極大地彌補了自動化測試容易忽略的業務邏輯漏洞，如數據驗證、完整性檢查。同時，滲透測試可以輔助分析，幫助識別自動化漏洞掃描誤報的問題。

2.3.2 技術參數分析

根據授權范圍的大小，滲透測試可劃分為黑盒、灰盒、白盒三類滲透測試方式。黑盒是指評估方對聚合平臺的結構一無所知，完全模擬外部攻擊者探尋任何可從外部發起攻擊的安全漏洞；灰盒是指評估方通過實地訪談、查詢資料等方式對聚合平臺具備初步了解，但不了解聚合平臺的內部數據結構、代碼和算法；白盒是指評估方可以獲取聚合平臺的所有設計實施文件，如源代碼、二進制程序、設計文檔等，在此基礎上進行安全評估。

針對聚合平臺開展滲透測試時，首先應綜合權衡評估雙方利益應考慮灰盒模式。安全評估在已知平臺信息的前提下，評估工作會更高效，測評效果更顯著。顯然，從白盒、灰盒再到黑盒，安全評估的充分性是依次降低的，從評估方角度出發，白盒模式更有利于發現聚合平臺的安全隱患。而對于聚合商自身來說，聚合平臺的設計實施文件具備一定商業價值，不應貿然外傳，否則可能會造成經濟損失，同時也可能因為評估方的不當行為帶來安全隱患。因此，適中的灰盒模式可兼顧評估雙方利益，聚合商僅提供聚合平臺設備與應用賬號密碼，并在評估結束后立即修改口令和配置，而無需提供設計文檔和源代碼，這樣既有利于安全評估的開展，又在供應鏈層面保障聚合平臺的安全性。其次，滲透測試的評估效果與測試人員自身經驗和技術水平直接相關，在聚合平臺安全評估中可根據實際情況選用經驗更為豐富的測試人員進行測試，充分查找出聚合平臺Web應用層潛在的安全隱患。滲透測試通常分為信息收集、漏洞掃描、漏洞利用、后滲透4個步驟，在對聚合平臺的安全評估中一般僅需前3步即可，后滲透可能會對聚合商其他信息系統甚至調控機構造成影響。

3 結束語

針對電力輔助服務聚合平臺進行網絡安全風險評估時，應將基線核查作為基礎措施，自動化漏洞掃描作為主要手段，滲透測試作為重要補充。基線核查可根據聚合平臺服務器實際部署情況，調整自動化核查和人工核查比例，提高基線核查效率和效果；自動化漏洞掃描應包含主機漏掃，掃描速率適中，輔以特定漏洞驗證腳本、應用層框架漏洞驗證工具；滲透測試選用灰盒模式，取消后滲透環節。