便攜式網(wǎng)絡(luò)安全配置核查加固裝置在電力監(jiān)控系統(tǒng)中的應(yīng)用探討

國網(wǎng)安徽省電力有限公司電力科學(xué)研究院 李圓智 徐斌 國網(wǎng)安徽省電力有限公司 陳偉 楊文濤

1 引言

由于電力通信技術(shù)和計算機(jī)技術(shù)的高速發(fā)展，新型動力系統(tǒng)中的供電控制服務(wù)終端表現(xiàn)出點(diǎn)多、范圍廣、規(guī)模大的特征。服務(wù)信息的交換頻率和信息量急劇增加，監(jiān)控網(wǎng)絡(luò)成為智慧供電系統(tǒng)的重要部分，一旦出現(xiàn)網(wǎng)絡(luò)攻擊，將引發(fā)大規(guī)模斷電事故。便攜式網(wǎng)絡(luò)安全配置核查加固裝置通過旁路的方式接入網(wǎng)絡(luò)交換機(jī)，可適用于調(diào)度主站、變電站、電廠的生產(chǎn)控制大區(qū)的I 區(qū)、II 區(qū)和管理信息大區(qū)。可推廣至互聯(lián)網(wǎng)大區(qū)，對各類主機(jī)、服務(wù)器、工作站開展配置識別及安全加固工作。

2 電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全加固現(xiàn)狀簡述

電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全主要是依靠各種邊界保護(hù)系統(tǒng)進(jìn)行安全邊緣保護(hù)，而網(wǎng)絡(luò)系統(tǒng)在運(yùn)營過程中，盡管已經(jīng)配備了防火墻、入侵偵測裝置等各種網(wǎng)絡(luò)安全技術(shù)，但是對主廠所內(nèi)網(wǎng)絡(luò)上的各種網(wǎng)關(guān)、主機(jī)保護(hù)薄弱，還沒有完全徹底地解決潛藏于網(wǎng)絡(luò)系統(tǒng)內(nèi)的脆弱性問題[1]。例如在系統(tǒng)構(gòu)建管理時，會出現(xiàn)環(huán)境選擇錯誤、軟件選擇錯誤、參數(shù)選擇不滿足安全性要求等安全漏洞。在日常操作管理時，會出現(xiàn)安全性補(bǔ)丁不能進(jìn)行完善、木馬病毒侵入、服務(wù)的軟件被濫用、開通一些不合理的業(yè)務(wù)和接口、系統(tǒng)維護(hù)不滿足安全性要求等安全漏洞。如果用電監(jiān)控信息系統(tǒng)中的安全漏洞被非法使用，對電力系統(tǒng)的安全性乃至用電管理都將產(chǎn)生不良作用，導(dǎo)致用電調(diào)度網(wǎng)絡(luò)崩潰、信息篡改、數(shù)據(jù)泄露乃至大面積停電事故。為了盡量降低電力監(jiān)控系統(tǒng)的脆弱性，網(wǎng)絡(luò)安全加固工作必不可少。

為解決上述存在的安全隱患，需要從以下幾個方面對電力系統(tǒng)網(wǎng)絡(luò)安全加固工作進(jìn)行提升完善。

一是提升自動化安全加固速度與效率，針對存在的工作量大、效率低、手工檢查緩慢、手工加固困難等問題，提升自動化加固的速度與效率，通過自動加固設(shè)備解決電力監(jiān)控系統(tǒng)中存在的配置隱患，解決人工加固的弊端，提升主機(jī)及服務(wù)器網(wǎng)絡(luò)安全。

二是加大自動化加固系統(tǒng)的范圍，在支持Windows操作和Ubuntu操作系統(tǒng)的基礎(chǔ)上，研發(fā)其他操作系統(tǒng)的自動化加固模板，安全加固范圍不僅需要覆蓋凝思磐石、Ubuntu、Redhat、Centos4 等Linux 系統(tǒng)的配置要求，還應(yīng)支持?jǐn)?shù)據(jù)庫插件、網(wǎng)絡(luò)設(shè)備、安全設(shè)備等資產(chǎn)。

三是研發(fā)功能擴(kuò)展模塊，在等級保護(hù)配置模板的基礎(chǔ)上，加入國網(wǎng)配置基線模板，提升安全加固的效果。

四是提升設(shè)備升級功能，在原有在線升級的基礎(chǔ)上，加入離線升級方式，擴(kuò)展孵化產(chǎn)品的使用場景。

五是產(chǎn)品實(shí)施及可維護(hù)性提升，具備產(chǎn)品化后大規(guī)模使用、實(shí)施和用戶后期自主運(yùn)維能力。

3 電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全配置核查現(xiàn)狀簡述

在電力控制系統(tǒng)中，各種通信的IT系統(tǒng)采用通用的操作系統(tǒng)、數(shù)據(jù)庫，各種系統(tǒng)之間采用IP網(wǎng)絡(luò)進(jìn)行通信。為保證電力通信網(wǎng)、服務(wù)網(wǎng)絡(luò)和支撐網(wǎng)絡(luò)的質(zhì)量，需要從入網(wǎng)測試、工程驗(yàn)收和操作保養(yǎng)等環(huán)節(jié)做好安全配置核查工作。

網(wǎng)絡(luò)系統(tǒng)的定期安全漏洞修復(fù)檢查以及人員配置操作的安全設(shè)置審查已成為安全運(yùn)維業(yè)務(wù)人員的日常工作。每項(xiàng)檢測工作都需要人工記錄，稍有遺漏就必須重新補(bǔ)測。因而針對互聯(lián)網(wǎng)中各種類型復(fù)雜、數(shù)量龐大的設(shè)備與軟件，要求迅速、高效的檢測設(shè)備，集中收集與核查結(jié)果，并且及時作出風(fēng)險評估報告，滿足企業(yè)需要。

為解決上述存在的問題，需要從以下幾個方面對電力系統(tǒng)網(wǎng)絡(luò)安全配置核查工作進(jìn)行提升完善。

一是可操作性。根據(jù)具體情況，建立一套本組織在當(dāng)前時期的“理想化安全水平基準(zhǔn)點(diǎn)”，即“安全基線”。這個“安全基線”可以同時包含政策合規(guī)性的需求、自身的安全建設(shè)發(fā)展需求、特殊時期的安全保障需求等，貫穿風(fēng)險管理的要求和方法，通過技術(shù)與管理兩方面的手段，將體系化的指導(dǎo)思想進(jìn)行落地。

二是標(biāo)準(zhǔn)化。在“安全基線”的基礎(chǔ)上，構(gòu)建一套針對桌面系統(tǒng)的檢查項(xiàng)，這些檢查項(xiàng)由安全漏洞、安全配置等有關(guān)檢查內(nèi)容構(gòu)成，為標(biāo)準(zhǔn)化的技術(shù)安全操作提供了框架。

三是自動化。針對桌面系統(tǒng)的特性，采用標(biāo)準(zhǔn)化的檢查內(nèi)容和檢查方法，通過自動化工具執(zhí)行，為自動化的技術(shù)安全操作提供支持。

4 便攜式網(wǎng)絡(luò)安全配置核查加固裝置分析

中國網(wǎng)絡(luò)安全管理部門遇到的最關(guān)鍵和緊迫的課題是：全面落地安全標(biāo)準(zhǔn)，進(jìn)一步細(xì)化各層級防護(hù)規(guī)定。這就要求網(wǎng)安工程師必須及時提出自動化技術(shù)解決方案，協(xié)助運(yùn)維管理部門及時應(yīng)對，最終發(fā)現(xiàn)和處理所有與安全標(biāo)準(zhǔn)不相符的技術(shù)問題，以滿足安全規(guī)范的需要。

4.1 系統(tǒng)架構(gòu)

便攜式網(wǎng)絡(luò)安全設(shè)備核查的設(shè)備為模塊化結(jié)構(gòu)，包括基礎(chǔ)平臺層、系統(tǒng)服務(wù)層、系統(tǒng)核心層、系統(tǒng)接入層等，每個內(nèi)部都有不同的功能模塊，便攜式網(wǎng)絡(luò)安全設(shè)備結(jié)構(gòu)如圖1所示。

圖1 便攜式網(wǎng)絡(luò)安全設(shè)備結(jié)構(gòu)

4.1.1 基礎(chǔ)平臺層功能

支撐體系包含專業(yè)軟硬件管理系統(tǒng)和基礎(chǔ)軟件網(wǎng)絡(luò)平臺。該軟件系統(tǒng)平臺涵蓋了控制系統(tǒng)、文檔管理系統(tǒng)、硬盤加密破解、應(yīng)用密碼破解、進(jìn)入出口密碼破解、IPv4/IPv6 網(wǎng)絡(luò)服務(wù)、內(nèi)部數(shù)據(jù)庫系統(tǒng)、Web業(yè)務(wù)、程序運(yùn)行平臺等模塊。

4.1.2 系統(tǒng)服務(wù)層功能

操作系統(tǒng)技術(shù)層包括了處理引擎和系統(tǒng)服務(wù)引擎。數(shù)字引擎是操作系統(tǒng)內(nèi)置的數(shù)據(jù)接口，實(shí)現(xiàn)了數(shù)據(jù)庫存取、數(shù)據(jù)緩存、信息同步等操作。數(shù)據(jù)處理引擎完全遮蔽了數(shù)據(jù)庫管理系統(tǒng)中使用的數(shù)據(jù)結(jié)構(gòu)，減少了數(shù)據(jù)庫系統(tǒng)的接口，完善了信息庫管理系統(tǒng)的使用，集中處理信息的邏輯，減少了對任何操作模板的維修數(shù)量。

4.1.3 系統(tǒng)核心層功能

應(yīng)用基礎(chǔ)層是軟件產(chǎn)品的基礎(chǔ)，包括服務(wù)器發(fā)現(xiàn)、應(yīng)用鑒別、業(yè)務(wù)鑒別、弱密碼檢查、安裝驗(yàn)證等功能，并有較多可以擴(kuò)充的模板與插件。

4.1.4 系統(tǒng)接入層功能

系統(tǒng)接口層包括了用戶通過網(wǎng)頁訪問Web 網(wǎng)頁、使用串口訪問控制臺、使用數(shù)據(jù)接口層實(shí)現(xiàn)數(shù)據(jù)交換等方面，當(dāng)中的數(shù)據(jù)接口層包括了第三方平臺管理數(shù)據(jù)端口、SNMP Trap。

4.2 功能說明

4.2.1 風(fēng)險統(tǒng)一分析

便攜式網(wǎng)絡(luò)安全配置核查加固裝置采用完整的高風(fēng)險系統(tǒng)配置與掃描方案，并采用安全風(fēng)險計算方法，對網(wǎng)絡(luò)中各個方面的安全脆弱度系統(tǒng)進(jìn)行大數(shù)據(jù)分析與風(fēng)險判斷，并進(jìn)行綜合安全狀況評估，以充分展現(xiàn)電力監(jiān)控系統(tǒng)的安全風(fēng)險。

4.2.2 融入并促進(jìn)安全管理流程

安全管理過程制度通常分為預(yù)警、檢測、分析管理、糾正、審核等多個環(huán)節(jié)，本裝置可以介入安全過程中的預(yù)警、檢測、分析管理、審核等環(huán)節(jié)，并利用事故報警系統(tǒng)指導(dǎo)安全管理者實(shí)施風(fēng)險修補(bǔ)。

4.3 場景說明

4.3.1 監(jiān)督檢查或小規(guī)模的安全運(yùn)維

小規(guī)模網(wǎng)絡(luò)下單獨(dú)部署便攜式網(wǎng)絡(luò)安全配置核查加固裝置，通過IP地址網(wǎng)絡(luò)接入的方式，可實(shí)現(xiàn)整體網(wǎng)絡(luò)的風(fēng)險識別與加固，完成全部網(wǎng)絡(luò)的安全檢查[2]。

4.3.2 多子網(wǎng)安全運(yùn)維

多種服務(wù)子網(wǎng)被劃分，各個子網(wǎng)均有不同辨識要求的網(wǎng)絡(luò)安全架構(gòu)。便攜式網(wǎng)絡(luò)安全配置核查加固設(shè)備可以適應(yīng)多種子網(wǎng)的服務(wù)要求。設(shè)備包括多種掃描接口，各種掃描接口都能夠通過配置連接各個子網(wǎng)，即無須防火墻，還可以降低系統(tǒng)投資成本。

4.3.3 第三方系統(tǒng)集成

便攜式網(wǎng)絡(luò)安全配置核查加固裝置采用了開放性的操作界面，通過接口即可接收安全管理中心檢查結(jié)果信息和裝置核查信息，通過系統(tǒng)的執(zhí)行引擎向安全管理中心提交安全裝置核查結(jié)果信息。

5 試點(diǎn)應(yīng)用情況

2021年9 月和10月分別對某地市電力監(jiān)控主站和某地區(qū)110kV變電站開展電力監(jiān)控系統(tǒng)安全檢查工作，使用便攜式網(wǎng)絡(luò)安全配置核查加固裝置對服務(wù)器資產(chǎn)進(jìn)行安全檢查，通過便攜式網(wǎng)絡(luò)安全配置核查加固裝置為各個風(fēng)險主機(jī)生成風(fēng)險指數(shù)與報告。

5.1 配置核查整體風(fēng)險狀態(tài)展示

通過不合規(guī)配置名稱、不合規(guī)配置內(nèi)容、風(fēng)險值、不合規(guī)配置主機(jī)數(shù)量等多個維度展示試點(diǎn)主機(jī)的整體安全風(fēng)險。

5.2 某主站部分系統(tǒng)開展試點(diǎn)測試

對重點(diǎn)業(yè)務(wù)系統(tǒng)開展配置檢查，發(fā)現(xiàn)某系統(tǒng)存在不合規(guī)配置，主要包括未設(shè)置口令最小長度、未開啟系統(tǒng)日志審計功能、未禁用ROOT 用戶遠(yuǎn)程TELNET 登錄等問題。這些問題會嚴(yán)重影響系統(tǒng)安全，對全局網(wǎng)絡(luò)造成危害。建議對此系統(tǒng)進(jìn)行安全加固，修改不合規(guī)配置。

5.3 某主站開啟高危端口的問題

根據(jù)檢查報告，某主站開啟所有端口和服務(wù)信息，發(fā)現(xiàn)此主站開啟了21、445 等高危端口，如果此主站出現(xiàn)安全隱患，容易在網(wǎng)絡(luò)內(nèi)部大面積造成病毒的傳播，影響系統(tǒng)安全、電力監(jiān)控系統(tǒng)安全。

5.4 所有不合規(guī)配置均可以實(shí)現(xiàn)加固

某主站的所有不合規(guī)配置信息，通過檢查內(nèi)容、風(fēng)險值、結(jié)果是否合規(guī)三個維度進(jìn)行展示。并且每一項(xiàng)不合規(guī)配置均有詳細(xì)介紹和加固方法，系統(tǒng)自帶安全加固功能，在加固同時詳細(xì)說明安全加固的配置方法，方便運(yùn)維人員進(jìn)行判斷和記錄安全加固的痕跡。

6 結(jié)語

便攜式安全配置核查加固裝置符合安全管理體系規(guī)范，可以滿足管理業(yè)務(wù)系統(tǒng)、審核安全配置、報告安全風(fēng)險、審核安全風(fēng)險等應(yīng)用場景，還可以滿足各種組網(wǎng)條件。通過檢測系統(tǒng)中的弱口令，獲取對系統(tǒng)不必要開放的用戶、服務(wù)、接口，并生成系統(tǒng)完整的風(fēng)險報表。同時，便攜式安全配置核查加固裝置可以通過報告系統(tǒng)進(jìn)行整改，有效提高電網(wǎng)監(jiān)管系統(tǒng)安全保護(hù)水平，推動電網(wǎng)監(jiān)管系統(tǒng)內(nèi)部安全制度建設(shè)的有效實(shí)施，降低了系統(tǒng)投資成本。并且，便攜式安全配置核查加固裝置適用于調(diào)度主站、變電站、電廠的生產(chǎn)控制大區(qū)的I 區(qū)、II 區(qū)和管理信息大區(qū)，可以推廣至互聯(lián)網(wǎng)大區(qū)，對各類主機(jī)、服務(wù)器、工作站開展配置識別及安全加固工作。