王靜，高昆侖，張波

（1.國家電力投資集團(tuán)公司，北京 100033；2.國家電網(wǎng)全球能源互聯(lián)網(wǎng)研究院，北京 102209；3.南京理工大學(xué)計(jì)算機(jī)科學(xué)與工程學(xué)院，江蘇 南京 210094）

基于網(wǎng)絡(luò)隔離與安全數(shù)據(jù)交換的發(fā)電集團(tuán)雙網(wǎng)體系研究與設(shè)計(jì)

王靜1，高昆侖2，張波3

（1.國家電力投資集團(tuán)公司，北京 100033；2.國家電網(wǎng)全球能源互聯(lián)網(wǎng)研究院，北京 102209；3.南京理工大學(xué)計(jì)算機(jī)科學(xué)與工程學(xué)院，江蘇 南京 210094）

集團(tuán)型發(fā)電企業(yè)如何面向互聯(lián)網(wǎng)服務(wù)，同時(shí)確保電力生產(chǎn)管理和信息網(wǎng)絡(luò)的安全穩(wěn)定，是電力企業(yè)普遍關(guān)注的問題。通過網(wǎng)絡(luò)隔離和安全數(shù)據(jù)交換等技術(shù)設(shè)計(jì)了集團(tuán)型發(fā)電企業(yè)雙網(wǎng)體系結(jié)構(gòu)。在保障網(wǎng)絡(luò)安全隔離的基礎(chǔ)上，引入私有協(xié)議交互技術(shù)，滿足發(fā)電企業(yè)日益強(qiáng)勁的互聯(lián)網(wǎng)業(yè)務(wù)發(fā)展需求。提出了邏輯強(qiáng)隔離的總體技術(shù)路線以及信息內(nèi)外網(wǎng)構(gòu)建、應(yīng)用部署、典型應(yīng)用場景信息交換的設(shè)計(jì)方案；此外，為了實(shí)現(xiàn)隔離后的集中監(jiān)控和統(tǒng)一防護(hù)，提出了部署統(tǒng)一監(jiān)測、統(tǒng)一防病毒、統(tǒng)一終端管理、統(tǒng)一認(rèn)證系統(tǒng)的設(shè)計(jì)方案。

發(fā)電集團(tuán)；網(wǎng)絡(luò)信息安全；網(wǎng)絡(luò)隔離；安全數(shù)據(jù)交換

1 引言

隨著網(wǎng)絡(luò)、通信和計(jì)算機(jī)技術(shù)的飛速發(fā)展和廣泛應(yīng)用，近年來，國際互聯(lián)網(wǎng)安全態(tài)勢日趨嚴(yán)峻，互聯(lián)網(wǎng)攻擊手段越來越隱蔽、攻擊技術(shù)越來越高級，甚至成為商業(yè)不正當(dāng)競爭手段以及國家網(wǎng)絡(luò)武器，對國家、企業(yè)信息安全構(gòu)成了嚴(yán)重威脅。集團(tuán)型發(fā)電企業(yè)需要在發(fā)展信息化的同時(shí)，不斷加強(qiáng)信息安全保障工作。

為抵御互聯(lián)網(wǎng)威脅，保護(hù)敏感信息安全，集團(tuán)型發(fā)電企業(yè)實(shí)施網(wǎng)絡(luò)隔離、強(qiáng)化網(wǎng)絡(luò)安全防護(hù)措施，是非常有效的手段[1]。集團(tuán)型發(fā)電企業(yè)網(wǎng)絡(luò)安全隔離建設(shè)應(yīng)在現(xiàn)狀調(diào)研和需求分析的基礎(chǔ)上，研究并編制建設(shè)方案，開展總體構(gòu)建方案設(shè)計(jì)、內(nèi)外網(wǎng)應(yīng)用部署及信息交換場景設(shè)計(jì)以及配套安全防護(hù)設(shè)計(jì)，指導(dǎo)網(wǎng)絡(luò)安全隔離具體的實(shí)施工作。

2 現(xiàn)狀及需求分析

2.1 網(wǎng)絡(luò)和安全防護(hù)現(xiàn)狀

集團(tuán)整體網(wǎng)絡(luò)分為3個層次：集團(tuán)總部、二級單位、三級單位，廣域網(wǎng)系統(tǒng)采用樹型結(jié)構(gòu)實(shí)現(xiàn)互聯(lián)。集團(tuán)總部與二、三級單位均設(shè)有互聯(lián)網(wǎng)出口，用于員工訪問互聯(lián)網(wǎng)以及部署電子郵件、遠(yuǎn)程辦公等互聯(lián)網(wǎng)應(yīng)用。應(yīng)用系統(tǒng)一般采用大集中加屬地化的建設(shè)部署模式。集團(tuán)公司數(shù)據(jù)中心部署集團(tuán)的大集中應(yīng)用和集團(tuán)總部應(yīng)用系統(tǒng)，二、三級單位各自建有本單位應(yīng)用系統(tǒng)、宣傳網(wǎng)站等應(yīng)用系統(tǒng)，能夠通過互聯(lián)網(wǎng)進(jìn)行訪問。

集團(tuán)總部與二、三級單位部署的安全防護(hù)措施主要有防火墻、入侵防御系統(tǒng)（intrusion prevention system，IPS）、入侵檢測系統(tǒng)（intrusion detection system，IDS）、上網(wǎng)行為管理、VPN；桌面終端統(tǒng)一部署了終端安全管理系統(tǒng)、防病毒系統(tǒng)；應(yīng)用系統(tǒng)統(tǒng)一部署有身份認(rèn)證系統(tǒng)。以集團(tuán)總部為例的網(wǎng)絡(luò)現(xiàn)狀如圖1所示。

2.2 網(wǎng)絡(luò)隔離建設(shè)需求

信息安全面臨的威脅大多數(shù)來自于互聯(lián)網(wǎng)，比如2016年10月美國主要域名服務(wù)商遭到大規(guī)模DDoS攻擊，而電力企業(yè)作為國家關(guān)鍵基礎(chǔ)設(shè)施更是成為網(wǎng)絡(luò)攻擊的目標(biāo)，例如2015年12月烏克蘭電網(wǎng)遭攻擊事件。根據(jù)國家、行業(yè)信息主管部門的工作要求，為有效抵御網(wǎng)絡(luò)攻擊、增強(qiáng)網(wǎng)絡(luò)安全綜合防范能力，集團(tuán)決定實(shí)施網(wǎng)絡(luò)隔離，即辦公網(wǎng)絡(luò)環(huán)境與互聯(lián)網(wǎng)實(shí)現(xiàn)隔離，將現(xiàn)有混合網(wǎng)絡(luò)改造為信息內(nèi)網(wǎng)與外網(wǎng)。日常辦公、生產(chǎn)監(jiān)控、經(jīng)營管理等系統(tǒng)及辦公計(jì)算機(jī)、打印機(jī)等納入信息內(nèi)網(wǎng)，對互聯(lián)網(wǎng)提供服務(wù)的系統(tǒng)納入信息外網(wǎng)，同時(shí)有互聯(lián)網(wǎng)訪問需求的終端等設(shè)備部署在信息外網(wǎng)。

由于電力企業(yè)部分信息系統(tǒng)的數(shù)據(jù)需要內(nèi)外網(wǎng)間進(jìn)行交換，如移動辦公、企業(yè)網(wǎng)站、業(yè)務(wù)數(shù)據(jù)交換等，因此，在實(shí)現(xiàn)信息內(nèi)網(wǎng)與外網(wǎng)隔離同時(shí)，應(yīng)滿足信息內(nèi)網(wǎng)與外網(wǎng)之間數(shù)據(jù)的可控安全交換。

2.3 安全防護(hù)需求

通過網(wǎng)絡(luò)隔離，要求集團(tuán)信息安全整體管控能力進(jìn)一步提高，能夠?qū)θ瘓F(tuán)內(nèi)網(wǎng)邊界安全狀況進(jìn)行集中管控；能夠?qū)瘓F(tuán)內(nèi)網(wǎng)安全事件、惡意代碼、異常流量等情況進(jìn)行統(tǒng)一監(jiān)測與防范；能夠統(tǒng)一管理內(nèi)網(wǎng)安全策略、統(tǒng)一運(yùn)維集團(tuán)化安全系統(tǒng)。

3 總體設(shè)計(jì)

3.1 技術(shù)路線

為實(shí)現(xiàn)集團(tuán)網(wǎng)絡(luò)安全隔離建設(shè)，在充分考慮安全性和確保企業(yè)信息系統(tǒng)業(yè)務(wù)功能的前提下，在現(xiàn)有網(wǎng)絡(luò)基礎(chǔ)上構(gòu)建信息內(nèi)網(wǎng)和外網(wǎng)，整體定位為不涉及國家秘密的企業(yè)辦公、管理與業(yè)務(wù)應(yīng)用網(wǎng)絡(luò)。隔離后，信息內(nèi)網(wǎng)與外網(wǎng)之間存在數(shù)據(jù)交換的需求。傳統(tǒng)的隔離卡、網(wǎng)關(guān)等技術(shù)很難兼顧安全隔離與數(shù)據(jù)交換等需求，缺乏網(wǎng)絡(luò)邊界對交換數(shù)據(jù)的嚴(yán)格審查，容易導(dǎo)致攻擊代碼流入和重要信息泄露。

隨著信息技術(shù)的進(jìn)步，網(wǎng)絡(luò)安全隔離技術(shù)已有較大發(fā)展，由傳統(tǒng)的單一網(wǎng)關(guān)發(fā)展為網(wǎng)關(guān)系統(tǒng)與數(shù)據(jù)安全交換平臺相結(jié)合的網(wǎng)絡(luò)隔離與信息交換平臺級系統(tǒng)，并結(jié)合了安全性、高處理能力、高可靠性等多種特性。通過對數(shù)據(jù)在應(yīng)用層的細(xì)粒度安全過濾，以私有協(xié)議方式在安全隔離網(wǎng)關(guān)內(nèi)擺渡，徹底切斷了不同安全級別網(wǎng)絡(luò)間的任何連接，實(shí)現(xiàn)了高安全的隔離和實(shí)時(shí)的信息交換[2]。

針對集團(tuán)網(wǎng)絡(luò)安全隔離建設(shè)需要，選擇采用隔離網(wǎng)關(guān)和數(shù)據(jù)交換平臺技術(shù)作為集團(tuán)網(wǎng)絡(luò)隔離的首選技術(shù)措施，實(shí)現(xiàn)邏輯強(qiáng)隔離。此外，為了確保信息內(nèi)外網(wǎng)安全隔離效果，需要在全集團(tuán)范圍部署統(tǒng)一監(jiān)測、統(tǒng)一防病毒、統(tǒng)一終端管理和統(tǒng)一認(rèn)證系統(tǒng)四大類安全系統(tǒng)，實(shí)現(xiàn)對內(nèi)網(wǎng)安全事件、內(nèi)網(wǎng)邊界的集中監(jiān)控以及內(nèi)網(wǎng)終端的統(tǒng)一防護(hù)。借鑒電力監(jiān)控系統(tǒng)安全防護(hù)規(guī)定中“安全分區(qū)、網(wǎng)絡(luò)專用、橫向隔離、縱向認(rèn)證”策略[3]，以集團(tuán)總部為例的隔離后網(wǎng)絡(luò)拓?fù)淙鐖D2所示。

3.2 信息內(nèi)、外網(wǎng)總體構(gòu)建方案

圖1 網(wǎng)絡(luò)現(xiàn)狀拓?fù)?/p>

圖2 內(nèi)外網(wǎng)安全隔離網(wǎng)絡(luò)拓?fù)?/p>

（1）信息內(nèi)網(wǎng)與信息外網(wǎng)

將辦公用網(wǎng)絡(luò)、終端、應(yīng)用系統(tǒng)與互聯(lián)網(wǎng)隔離，形成信息內(nèi)網(wǎng)；通過集團(tuán)現(xiàn)有廣域網(wǎng)，實(shí)現(xiàn)集團(tuán)總部與二、三級單位的內(nèi)網(wǎng)互聯(lián)。同時(shí)，在有互聯(lián)網(wǎng)應(yīng)用需要的單位建設(shè)信息外網(wǎng)，配置外網(wǎng)終端，部署外網(wǎng)應(yīng)用。

（2）信息內(nèi)、外網(wǎng)間數(shù)據(jù)交換

當(dāng)移動辦公、電子郵件、分支機(jī)構(gòu)遠(yuǎn)程接入、對外應(yīng)用系統(tǒng)等互聯(lián)網(wǎng)應(yīng)用需要與信息內(nèi)網(wǎng)進(jìn)行數(shù)據(jù)交換時(shí)，應(yīng)在內(nèi)、外網(wǎng)邊界部署網(wǎng)絡(luò)隔離與數(shù)據(jù)交換平臺。內(nèi)、外網(wǎng)間數(shù)據(jù)通過網(wǎng)絡(luò)隔離與數(shù)據(jù)交換平臺進(jìn)行交換，它需要從動態(tài)的業(yè)務(wù)信息流中提取敏感的、涉及集團(tuán)安全的業(yè)務(wù)信息并進(jìn)行阻斷。針對非結(jié)構(gòu)化敏感數(shù)據(jù)安全交換需求，提出融合電力業(yè)務(wù)應(yīng)用特征的基于行為標(biāo)記和策略表達(dá)式組合的電力業(yè)務(wù)非結(jié)構(gòu)化數(shù)據(jù)智能交換過濾技術(shù)，此技術(shù)可應(yīng)用在網(wǎng)絡(luò)安全隔離裝置中。

在非結(jié)構(gòu)化數(shù)據(jù)智能過濾過程中，首先通過協(xié)議解析提取敏感數(shù)據(jù)，然后通過對數(shù)據(jù)的預(yù)處理來構(gòu)建待識別的敏感數(shù)據(jù)集，最后利用安全標(biāo)記來主動識別敏感數(shù)據(jù)，配合策略管理達(dá)到敏感數(shù)據(jù)內(nèi)容過濾的目的，其中基于行為標(biāo)記的敏感數(shù)據(jù)通過策略表達(dá)式進(jìn)行內(nèi)容過濾技術(shù)是核心。

圖3給出了基于行為標(biāo)記和策略表達(dá)式組合的電力業(yè)務(wù)非結(jié)構(gòu)化數(shù)據(jù)智能交換過濾技術(shù)方法參考體系結(jié)構(gòu)，它主要包括4個部分：私有協(xié)議格式、策略信息、標(biāo)記信息和匹配算法。私有協(xié)議格式為網(wǎng)絡(luò)通信使用的私有格式，通過自定義格式，保證網(wǎng)絡(luò)通信的安全性更高；策略信息包括策略規(guī)則和規(guī)則解析兩部分，策略規(guī)則為表達(dá)式文本串，存放于策略配置文件中，它是過濾的依據(jù)，規(guī)則解析是將規(guī)則文本解析為適合匹配的表達(dá)形式（數(shù)據(jù)結(jié)構(gòu)）。標(biāo)記信息為文檔的屬性描述，不同的文檔具有不同的標(biāo)記信息。匹配算法依據(jù)標(biāo)記信息，對策略規(guī)則進(jìn)行計(jì)算，以計(jì)算結(jié)果作為文檔過濾的依據(jù)。通過在內(nèi)網(wǎng)設(shè)計(jì)和配置策略規(guī)則及在外網(wǎng)為文檔添加屬性描述，通過私有文件格式方式在內(nèi)網(wǎng)與外網(wǎng)之間進(jìn)行通信，在內(nèi)網(wǎng)，依據(jù)文檔屬性與策略規(guī)則之間的關(guān)系來匹配策略結(jié)果，以此作為過濾憑證。策略規(guī)則設(shè)計(jì)為帶變量的數(shù)學(xué)表達(dá)式形式，計(jì)算非常簡便。此外，由于策略規(guī)則的靈活性，此過濾方法的擴(kuò)展性非常強(qiáng)大。

標(biāo)記信息：標(biāo)記信息由外網(wǎng)（發(fā)送數(shù)據(jù)一端）依據(jù)文檔數(shù)據(jù)的屬性、業(yè)務(wù)需求及雙方協(xié)定的條件信息對文檔做標(biāo)記（如文檔大小、類型、文件名等）。文檔標(biāo)記是靈活和可變動的，它為一個鍵值對的列表，其中，鍵為策略表達(dá)式上的變量，值為變量的值。

私有協(xié)議格式：當(dāng)文檔從外網(wǎng)傳輸?shù)絻?nèi)網(wǎng)時(shí)，先將文檔數(shù)據(jù)進(jìn)行私有協(xié)議格式化，傳輸?shù)骄W(wǎng)絡(luò)隔離裝置后，網(wǎng)絡(luò)隔離裝置在保持原有的安全性條件下，采用帶有策略和文檔內(nèi)容的私有文件格式的方式，對文檔、源、目的及傳輸通道等進(jìn)行安全檢查，并對文檔本身進(jìn)行一定程度的過濾。完整的私有文件格式如圖4所示。帶有陰影字段表示為變長字段，斜體表示項(xiàng)數(shù)為多個。

策略規(guī)則：策略規(guī)則為保存于策略配置文件中的一個文本串。策略規(guī)則由一個或多個自定義的表達(dá)式組成。表達(dá)式由變量、值和操作符構(gòu)成。變量的值在策略匹配過程中，從標(biāo)記信息中提取。由于策略規(guī)則使用表達(dá)式，所以策略規(guī)則的設(shè)計(jì)非常靈活。在實(shí)現(xiàn)時(shí)，具體的、合適的策略規(guī)則表達(dá)式由內(nèi)網(wǎng)管理員或業(yè)務(wù)員依據(jù)業(yè)務(wù)需求和非結(jié)構(gòu)化數(shù)據(jù)文檔屬性設(shè)計(jì)，以對非結(jié)構(gòu)化數(shù)據(jù)進(jìn)行過濾。

圖3 體系結(jié)構(gòu)

解析策略規(guī)則：在策略規(guī)則配置好后，為了更好地對策略規(guī)則進(jìn)行匹配計(jì)算，需將策略規(guī)則解析為適合于策略匹配的數(shù)據(jù)結(jié)構(gòu)，以方便策略匹配計(jì)算。解析策略規(guī)則時(shí)，需對文本串的策略規(guī)則進(jìn)行詞法分析和語法分析。如果策略規(guī)則正確，將生成策略數(shù)據(jù)結(jié)構(gòu)；否則，將會報(bào)錯處理。

匹配：在有了規(guī)則數(shù)據(jù)結(jié)構(gòu)和標(biāo)記信息后，匹配算法以規(guī)則數(shù)據(jù)結(jié)構(gòu)和標(biāo)記信息作為參數(shù)，通過遍歷并計(jì)算策略規(guī)則表達(dá)式來過濾文檔；在匹配計(jì)算中，表達(dá)式中的變量由標(biāo)記信息中對應(yīng)變量的值取代。相對于策略規(guī)則和標(biāo)記信息，匹配算法是獨(dú)立的，不受前面兩個部分的影響。

（3）三級單位和新能源廠站

三級單位實(shí)施內(nèi)、外網(wǎng)隔離，原則上信息內(nèi)網(wǎng)與信息外網(wǎng)應(yīng)采用物理隔離方式，內(nèi)、外網(wǎng)間不進(jìn)行數(shù)據(jù)交換。新能源廠站實(shí)施內(nèi)外網(wǎng)隔離，隔離方式根據(jù)廣域網(wǎng)連接情況可分為以專線方式接入上級單位的廠站和以IPSec VPN方式接入上級單位的廠站。集團(tuán)網(wǎng)絡(luò)安全隔離整體網(wǎng)絡(luò)架構(gòu)示意如圖5所示。

圖4 完整私有文件結(jié)構(gòu)

4 應(yīng)用部署與信息交換設(shè)計(jì)

4.1 內(nèi)、外網(wǎng)應(yīng)用部署設(shè)計(jì)

（1）部署在信息內(nèi)網(wǎng)的應(yīng)用

用于企業(yè)內(nèi)部辦公、管理，僅對企業(yè)內(nèi)部用戶提供服務(wù)，無需服務(wù)于社會公眾的信息系統(tǒng)。

（2）部署在信息外網(wǎng)的應(yīng)用

用于企業(yè)對社會、公眾發(fā)布企業(yè)信息、開展對外業(yè)務(wù)服務(wù)或進(jìn)行對外信息交互的信息系統(tǒng)。

（3）需要在內(nèi)、外網(wǎng)間進(jìn)行數(shù)據(jù)交互的應(yīng)用[4]

一種情況是：整體系統(tǒng)分對外服務(wù)和對內(nèi)服務(wù)兩部分，對外服務(wù)系統(tǒng)部署在信息外網(wǎng)，對內(nèi)服務(wù)系統(tǒng)部署在信息內(nèi)網(wǎng)；另一種情況是：整體系統(tǒng)部署在信息外網(wǎng)，并且系統(tǒng)與信息內(nèi)網(wǎng)的某類應(yīng)用系統(tǒng)間存在數(shù)據(jù)交互。

4.2 信息交換設(shè)計(jì)

（1）遵循原則

協(xié)議剝離原則：信息內(nèi)、外網(wǎng)間的數(shù)據(jù)交換過程應(yīng)通過網(wǎng)絡(luò)隔離與數(shù)據(jù)交換平臺，在剝離網(wǎng)絡(luò)傳輸協(xié)議后進(jìn)行數(shù)據(jù)擺渡，嚴(yán)禁采用協(xié)議透傳或網(wǎng)絡(luò)直連的方式。

不可直接訪問原則：不允許通過互聯(lián)網(wǎng)直接訪問信息內(nèi)網(wǎng)應(yīng)用，應(yīng)在信息外網(wǎng)部署內(nèi)網(wǎng)應(yīng)用代理系統(tǒng)，代理來自外網(wǎng)的訪問。

最小化原則：應(yīng)盡量減少信息內(nèi)、外網(wǎng)應(yīng)用之間的信息交換。

（2）應(yīng)用場景

互聯(lián)網(wǎng)應(yīng)用是實(shí)現(xiàn)企業(yè)高效經(jīng)營管理的必然需要，如果企業(yè)信息內(nèi)網(wǎng)與外網(wǎng)應(yīng)用系統(tǒng)間存在數(shù)據(jù)交互或企業(yè)需要遠(yuǎn)程辦公等需求，應(yīng)通過網(wǎng)絡(luò)隔離和數(shù)據(jù)交換平臺進(jìn)行數(shù)據(jù)交換，確保企業(yè)互聯(lián)網(wǎng)應(yīng)用在網(wǎng)絡(luò)隔離后可以正常使用。電力集團(tuán)存在移動辦公、分支機(jī)構(gòu)遠(yuǎn)程接入、電子郵件、視頻會議、對外應(yīng)用、補(bǔ)丁及病毒庫升級和廠側(cè)移動巡檢等多種典型應(yīng)用場景數(shù)據(jù)交換。

網(wǎng)絡(luò)隔離和數(shù)據(jù)交換平臺為三主機(jī)架構(gòu) （隔離網(wǎng)關(guān)+信息內(nèi)/外網(wǎng)主機(jī)），除文件擺渡、數(shù)據(jù)庫擺渡等傳統(tǒng)網(wǎng)關(guān)具備的基本功能外，還能夠?qū)崿F(xiàn)安全、高效的應(yīng)用集成和數(shù)據(jù)交換，從而保證隔離網(wǎng)絡(luò)環(huán)境下的互聯(lián)網(wǎng)應(yīng)用訪問。網(wǎng)絡(luò)隔離和數(shù)據(jù)交換平臺數(shù)據(jù)交換功能通過將公有協(xié)議轉(zhuǎn)換為私有協(xié)議后，采用專用芯片實(shí)現(xiàn)系統(tǒng)間的數(shù)據(jù)擺渡，確保信息內(nèi)網(wǎng)和外網(wǎng)之間的安全隔離，徹底阻斷TCP/ IP及其他網(wǎng)絡(luò)協(xié)議。采用三主機(jī)架構(gòu)方式能夠提供更強(qiáng)的數(shù)據(jù)流處理性能，確保數(shù)據(jù)交換效率，并且具備完善的安全體系結(jié)構(gòu)和安全功能，能夠?qū)换?shù)據(jù)進(jìn)行掃描、過濾、病毒查殺、行為審計(jì)等一系列安全處理，在保證安全的前提下，極大地方便了信息內(nèi)、外網(wǎng)間的數(shù)據(jù)交換。

以下對3種場景進(jìn)行介紹。

（1）分支機(jī)構(gòu)遠(yuǎn)程接入

對于不具備專線接入條件的分支機(jī)構(gòu) （如遠(yuǎn)程項(xiàng)目部、海外機(jī)構(gòu)、新能源發(fā)電站等），如需要訪問上級單位內(nèi)網(wǎng)應(yīng)用系統(tǒng)，只能通過互聯(lián)網(wǎng)來完成。

實(shí)現(xiàn)方式：通過應(yīng)用虛擬化（或桌面虛擬化）方式，對互聯(lián)網(wǎng)安全發(fā)布內(nèi)部應(yīng)用，虛擬化網(wǎng)關(guān)能夠截?cái)嗤饩W(wǎng)訪問長連接，避免外網(wǎng)用戶直接訪問信息內(nèi)網(wǎng)，并能夠重點(diǎn)確保信息內(nèi)網(wǎng)數(shù)據(jù)在信息外網(wǎng)不落地[5]。信息內(nèi)網(wǎng)建設(shè)虛擬化服務(wù)平臺，代理內(nèi)部應(yīng)用訪問；信息外網(wǎng)建設(shè)虛擬化用戶接入網(wǎng)關(guān)。分支機(jī)構(gòu)接入解決方案邏輯示意如圖6所示。

圖5 集團(tuán)網(wǎng)絡(luò)安全隔離整體網(wǎng)絡(luò)架構(gòu)示意

（2）對外業(yè)務(wù)應(yīng)用

需要內(nèi)、外網(wǎng)交互數(shù)據(jù)的應(yīng)用系統(tǒng)分別與網(wǎng)絡(luò)隔離與數(shù)據(jù)交換平臺進(jìn)行集成。集成方式有3類：通過網(wǎng)絡(luò)隔離與數(shù)據(jù)交換平臺數(shù)據(jù)庫進(jìn)行交換功能集成、文件交換集成和協(xié)議代理集成。業(yè)務(wù)系統(tǒng)內(nèi)、外網(wǎng)數(shù)據(jù)交互解決方案邏輯示意如圖7所示。

（3）廠側(cè)移動巡檢

電力企業(yè)存在通過移動設(shè)備進(jìn)行電力設(shè)備和系統(tǒng)巡檢的需求，但由于信息內(nèi)外網(wǎng)建設(shè)完成后，信息內(nèi)網(wǎng)不具備無線網(wǎng)絡(luò)環(huán)境，需要解決巡檢終端無線接入問題，并確保巡檢數(shù)據(jù)安全[6]。

實(shí)現(xiàn)方式：信息外網(wǎng)劃分巡檢終端無線接入?yún)^(qū)，并配置訪問控制策略，確保移動巡檢終端數(shù)據(jù)傳送范圍受控，防止向互聯(lián)網(wǎng)傳送。同時(shí)為移動巡檢設(shè)備分配獨(dú)立的無線網(wǎng)絡(luò)信道，并實(shí)施信道加密，限制非授權(quán)設(shè)備接入和確保數(shù)據(jù)傳輸安全。信息外網(wǎng)部署巡檢數(shù)據(jù)接入前置系統(tǒng)，收集無線巡檢移動終端的各類數(shù)據(jù)，通過數(shù)據(jù)安全交換平臺將巡檢數(shù)據(jù)發(fā)送至信息內(nèi)網(wǎng)的管理信息系統(tǒng)。廠側(cè)移動巡檢解決方案邏輯示意如圖8所示。

圖6 分支機(jī)構(gòu)接入解決方案邏輯示意

圖7 業(yè)務(wù)系統(tǒng)內(nèi)、外網(wǎng)數(shù)據(jù)交互解決方案邏輯示意

圖8 廠側(cè)移動巡檢解決方案邏輯示意

5 安全防護(hù)設(shè)計(jì)

5.1 信息內(nèi)網(wǎng)

（1）邊界防護(hù)

內(nèi)網(wǎng)統(tǒng)一建設(shè)內(nèi)網(wǎng)安全區(qū)域邊界防火墻，實(shí)現(xiàn)內(nèi)網(wǎng)的邊界防護(hù)。針對網(wǎng)絡(luò)內(nèi)部各區(qū)域間的訪問，采用防火墻及VLAN劃分進(jìn)行控制[7]。在核心交換機(jī)及業(yè)務(wù)服務(wù)區(qū)部署防火墻，設(shè)置訪問控制列表策略，以最小授權(quán)原則控制終端訪問范圍以及數(shù)據(jù)安全交換平臺接入范圍。通過終端管理系統(tǒng)、非法外聯(lián)與準(zhǔn)入控制系統(tǒng)，保證區(qū)域邊界的完整性。

（2）防病毒

終端防病毒系統(tǒng)由集團(tuán)統(tǒng)一規(guī)劃和管控。集團(tuán)公司數(shù)據(jù)中心集中部署網(wǎng)絡(luò)防病毒中心，各級單位部署二級中心系統(tǒng)，集中防病毒中心負(fù)責(zé)統(tǒng)一管理所有二級中心系統(tǒng)以及數(shù)據(jù)中心服務(wù)器、集團(tuán)總部終端的防病毒軟件升級、防毒策略配置等的集中管理等[8]。

（3）入侵檢測及異常流量監(jiān)測

集團(tuán)總部、所有二級單位、有內(nèi)外網(wǎng)應(yīng)用交互的三級單位在信息內(nèi)網(wǎng)部署IDS，實(shí)現(xiàn)全集團(tuán)內(nèi)網(wǎng)統(tǒng)一入侵防護(hù)監(jiān)測[9]。在集團(tuán)各單位廣域網(wǎng)入口網(wǎng)絡(luò)邊界處，部署異常流量監(jiān)測系統(tǒng)，通過數(shù)據(jù)鏡像探測廣域網(wǎng)指定網(wǎng)絡(luò)通信設(shè)備中的流量，從而分析各種網(wǎng)絡(luò)現(xiàn)象，如總流量、IP流量、分組數(shù)、連接數(shù)、是否存在網(wǎng)絡(luò)安全異常情況等，這些參數(shù)以特定方式發(fā)送到集團(tuán)數(shù)據(jù)中心，進(jìn)行進(jìn)一步的分析和處理。

5.2 信息外網(wǎng)

全集團(tuán)信息外網(wǎng)的安全防護(hù)可采用一般性互聯(lián)網(wǎng)邊界防護(hù)措施，在此基礎(chǔ)上應(yīng)加強(qiáng)終端防病毒、上網(wǎng)行為管理、互聯(lián)網(wǎng)邊界入侵防御、Web應(yīng)用防護(hù)措施。

5.3 統(tǒng)一監(jiān)測、審計(jì)及預(yù)警平臺

平臺系統(tǒng)部署在內(nèi)網(wǎng)，覆蓋集團(tuán)總部和二級單位。系統(tǒng)收集全集團(tuán)IDS、違規(guī)外聯(lián)與準(zhǔn)入控制等安全系統(tǒng)的監(jiān)測日志，實(shí)現(xiàn)對全集團(tuán)的重要系統(tǒng)進(jìn)行安全事件監(jiān)測、安全事件預(yù)警，便于安全管理員及時(shí)掌握安全運(yùn)行情況、安全事件及風(fēng)險(xiǎn)預(yù)警[10]，從而使安全決策者能及時(shí)調(diào)整安全防護(hù)策略，恰當(dāng)?shù)剡M(jìn)行安全優(yōu)化，及時(shí)地部署安全措施，消除網(wǎng)絡(luò)和系統(tǒng)中的問題和安全隱患。未來利用該系統(tǒng)實(shí)現(xiàn)全集團(tuán)用戶安全行為的集中審計(jì)、分析，并進(jìn)一步運(yùn)用大數(shù)據(jù)技術(shù)實(shí)現(xiàn)安全預(yù)警。

5.4 內(nèi)、外網(wǎng)隔離前后實(shí)效對比

通過測試，從數(shù)據(jù)傳輸和安全審計(jì)方面對內(nèi)、外網(wǎng)隔離前后的防御效果進(jìn)行對比，具體見表1。

此外，通過一段時(shí)間對外網(wǎng)信息安全的監(jiān)測發(fā)現(xiàn)，網(wǎng)絡(luò)隔離后可成功攔截網(wǎng)絡(luò)攻擊和病毒木馬，有效抵御來自互聯(lián)網(wǎng)的網(wǎng)絡(luò)攻擊，極大地提高了集團(tuán)型發(fā)電企業(yè)內(nèi)網(wǎng)核心業(yè)務(wù)系統(tǒng)的安全防護(hù)水平，防御效果顯著。

6 結(jié)束語

集團(tuán)信息網(wǎng)絡(luò)系統(tǒng)的改造嚴(yán)格按照“整體設(shè)計(jì)、統(tǒng)一組織、并行實(shí)施、統(tǒng)一運(yùn)維”要求，應(yīng)充分利用已有設(shè)備和網(wǎng)絡(luò)，有效地實(shí)現(xiàn)內(nèi)、外網(wǎng)雙網(wǎng)分離。通過統(tǒng)一制定網(wǎng)絡(luò)隔離與數(shù)據(jù)交換建設(shè)規(guī)范、技術(shù)標(biāo)準(zhǔn)以及驗(yàn)收標(biāo)準(zhǔn)，在實(shí)施過程中加強(qiáng)組織協(xié)調(diào)，分批組織接入驗(yàn)收，實(shí)施統(tǒng)一安全策略，整合運(yùn)維服務(wù)資源，提升集團(tuán)型電力企業(yè)整體信息安全能力，為保障電力系統(tǒng)信息安全奠定了扎實(shí)的基礎(chǔ)。

表1 內(nèi)、外網(wǎng)隔離前后安全特征實(shí)效對比

參考文獻(xiàn)：

[1]李正忠.電力企業(yè)信息安全網(wǎng)絡(luò)建設(shè)原則與實(shí)踐[J].中國新通信,2015(19)：25-27. LI Z Z.Principles and practice of information security network construction in electric powerenterprise [J].China New Telecommunications,2015(19)：25-27.

[2] 李宇峰,王曉航.田灣河集控中心數(shù)據(jù)交換平臺的應(yīng)用[J].水電自動化與大壩監(jiān)測,2013,37(5)：25-28. LI Y F,WANG X H.The application of data exchange platform ofTian-Wan-He cascade dispatching center[J].Hydropower Automation and Dam Monitoring,2013,37(5)：25-28.

[3]胡炎,辛耀中,韓英鐸．二次系統(tǒng)安全體系結(jié)構(gòu)化設(shè)計(jì)方案[J].電力系統(tǒng)自動化,2003,27(21)：63-68. HU Y,XIN Y Z,HAN Y D.A method for the structured security architecture design of secondary systems[J].Automation of Electric Power Systems,2003,27(21)：63-68.

[4]張庶.供電企業(yè)雙網(wǎng)隔離工程在南陽供電公司的實(shí)施[J].電力信息化,2010,8(6)：39-42. ZHANG S.The implementation of the power supply enterprise network isolation project in Nanyang power supply company[J]. Electric Power Information Technology,2010,8(6)：39-42.

[5]溫兆聰,王永盛,白焰輝.應(yīng)用虛擬化技術(shù)在電力行業(yè)應(yīng)用研究[J].信息技術(shù)與信息化,2015(9)：222-223. WEN Z C,WANG Y S,BAI Y H.Research on application of virtualization technology in electric power industry [J]. Information Technology and Informatization,2015(9)：222-223.

[6]劉錚,王靜.移動辦公在發(fā)電企業(yè)中的研究和應(yīng)用 [J].電信科學(xué),2013,29(11)：115-121. LIU Z,WANG J.Research and application of mobile OA technology in power generation enterprise[J].Telecommunications Science,2013,29(11)：115-121.

[7]季君,杜鈞,師寧,等.基于安全隔離的邊界防護(hù)體系的設(shè)計(jì)與實(shí)現(xiàn)[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用,2014,8(1)：16-18. JI J,DUN J,SHI N,et al.Design and implementation of border protection system based on secure isolation[J].Network Security Technology&Application,2014,8(1)：16-18.

[8]王福新,羅朝宇,李宗濤.內(nèi)蒙古電力網(wǎng)絡(luò)防病毒系統(tǒng)設(shè)計(jì)及應(yīng)用[J].內(nèi)蒙古電力技術(shù),2013,31(5)：72-79. WANG F X,LUO Z Y,LI Z T.Design and application of antivirus system in inner Mongolia power network[J].Inner Mongolia Electric Power,2013,31(5)：72-79.

[9] 陳新和.探討入侵檢測技術(shù)在電力信息網(wǎng)絡(luò)安全中的應(yīng)用[J].通訊世界,2014,1(1)：67-68. CHEN X H.Application of intrusion detection technology in power information network security[J].Telecom World,2014,1(1)：67-68.

[10]李洪濤.基于大數(shù)據(jù)的信息安全預(yù)警工作[J].城市建設(shè)理論研究,2015,5(36)：35-36. LI H T.Early warning of information security based on big data[J]. Urban Construction Theory Research,2015,5(36)：35-36.

Research and design in dual network scheme of power corporation based on network isolation and secure data exchange

WANG Jing1,GAO Kunlun2,ZHANG Bo3
1.State Power Investment Corporation,Beijing 100033,China 2.State Grid Global Energy Interconnection Research Institute,Beijing 102209,China 3.School of Computer Science and Engineering,Nanjing University of Science and Technology,Nanjing 210094,China

It is a common concern for power enterprises of how to ensure the safety and stability of power production management and information network for group-oriented power generation enterprises.The dual-network architecture of group-type power generation enterprise was designed based on network isolation and the safe data exchange technology.Based on the protection of network security isolation,the private protocol interaction technology was introduced to meet the growing business development needs of power enterprises.The overall technical route of logical strong isolation was proposed,the design scheme of construction of information internal and external network,the application and deployment,and information exchange in typical application scenarios was put forward.In addition,in order to realize the centralized monitoring and unified protection after isolation,the design scheme of deploying unified monitoring,unified anti-virus,unified terminal management and unified authentication system was put forward.

electric group enterprise,network and information security,network isolation,secure data exchange

TP393.08

A

10.11959/j.issn.1000-0801.2017043

王靜（1973-），女，國家電力投資集團(tuán)公司高級工程師，主要研究方向?yàn)榇笮桶l(fā)電集團(tuán)信息化管理與建設(shè)，包括總體規(guī)劃、網(wǎng)絡(luò)與信息安全、應(yīng)用系統(tǒng)建設(shè)和部署等。

高昆侖（1972-），男，博士，國家電網(wǎng)全球能源互聯(lián)網(wǎng)研究院教授級高級工程師，主要研究方向?yàn)殡娏ο到y(tǒng)自動化、網(wǎng)絡(luò)與信息安全、人工智能與大數(shù)據(jù)等。

張波（1985-），男，南京理工大學(xué)計(jì)算機(jī)科學(xué)與工程學(xué)院博士生，主要研究方向?yàn)榫W(wǎng)絡(luò)與信息安全、人工智能與大數(shù)據(jù)等。

2016-12-30；

2017-02-09

國家高技術(shù)研究發(fā)展計(jì)劃（“863”計(jì)劃）基金資助項(xiàng)目（No.2012AA050804）

Foundation Item：The National High Technology Research and Development Program(863 Program)(No.2012AA050804)