劉日堂++梁野++谷豐強++高明慧++馬力

【摘 要】電力監(jiān)控系統(tǒng)內網(wǎng)安全監(jiān)視閉環(huán)管控技術集安全監(jiān)視、安全分析、安全運維、安全執(zhí)行、安全審計等技術于一體，將各類信息安全事件的發(fā)現(xiàn)、分析、處理、控制形成管理閉環(huán)。整個“閉環(huán)管控”過程以“內網(wǎng)安全監(jiān)視”為基礎，通過對安全事件采用過濾、合并、關聯(lián)等技術手段，獲得響應事件的應急處理建議，同時將多個相關事件的應急處理合并生成一個流程工作單進行解決，提高管理人員的工作效率，提升對安全事件的掌控力度。在上述閉環(huán)管控環(huán)節(jié)，通過采用多重身份鑒別、動態(tài)授權、強制訪問控制等技術，加強安全管理自身的安全性。通過安全狀態(tài)統(tǒng)計分析對全網(wǎng)監(jiān)控系統(tǒng)的安全運行進行全面的評估分析，為進一步改進監(jiān)視策略提供依據(jù)，以保障電力監(jiān)控系統(tǒng)的內網(wǎng)運行安全。

【關鍵詞】電力監(jiān)控系統(tǒng) 內網(wǎng)安全監(jiān)視 閉環(huán)管控

1 引言

隨著電力監(jiān)控系統(tǒng)安全防護工作和信息系統(tǒng)安全等級保護工作的深入開展，各級電力公司部署了大量監(jiān)控系統(tǒng)安全防護設備（系統(tǒng)）。上述安全防護設備的運行和管理一直處于松散狀態(tài)，產生海量的運行數(shù)據(jù)及安全事件使管理人員疲于應對，無法做到對電力監(jiān)控系統(tǒng)安全狀態(tài)的全面掌控，同時缺乏集中監(jiān)控和統(tǒng)計分析手段，難以及時發(fā)現(xiàn)安全隱患。為解決安全防護設備缺乏有效集中監(jiān)管的現(xiàn)狀，本文對電力監(jiān)控系統(tǒng)內網(wǎng)安全監(jiān)視閉關管控技術進行研究，實現(xiàn)了全省電力監(jiān)控系統(tǒng)安防設備（系統(tǒng)）實時在線監(jiān)控及量化管理。

本文根據(jù)閉環(huán)管理相關理論為基礎，結合電力監(jiān)控系統(tǒng)內網(wǎng)安全事件的特點，在電力系統(tǒng)內率先提出了“監(jiān)視→分析→管理→解決→總結”的安全事件閉環(huán)管控機制，有效地解決了內網(wǎng)安全事件分析結果不直觀、處理過程無監(jiān)控、處理結果無歸檔等問題。該系統(tǒng)將安全事件按照七個基本程序進行管理，即事件發(fā)現(xiàn)、事件分析、事件處理、事件變更、事件管控、事件關閉、事件總結。七個環(huán)節(jié)環(huán)環(huán)緊扣，缺一不可。

為實現(xiàn)對安全事件的科學分類和有效管理，湖北省電力調控中心針對安全告警事件開展了深入研究，同時也借鑒了一些先進的理論和模型。

2 閉環(huán)管控系統(tǒng)

2.1 閉環(huán)管控相關理論及模型

2.1.1 PDCA循環(huán)

PDCA循環(huán)又名戴明環(huán)，是管理學中的一個通用模型[1]。最早由休哈特（Walter A. Shewhart）于1930年構想，后來被美國質量管理專家戴明（Edwards Deming）博士在1950年再度挖掘出來，并加以廣泛宣傳和運用于持續(xù)改善產品質量的過程中。它是全面質量管理所應遵循的科學程序，包括質量管理活動的全部過程，這個過程按照PDCA循環(huán)，不停頓地運轉。它不僅在質量管理體系中運用，也適用于一切循序漸進的管理工作，可以使管理工作能夠不斷創(chuàng)新發(fā)展，理順管理者的工作思路。在管理的過程中，注重檢查及反饋，以達到不斷改進策略，提升管理水平的目的[2]。PDCA循環(huán)，如圖1所示。

其中P （Plan） 計劃，包括方針和目標的確定，以及活動規(guī)劃的制定；D （Do） 執(zhí)行，根據(jù)已知的信息，設計具體的方法、方案和計劃布局；再根據(jù)設計和布局，進行具體運作，實現(xiàn)計劃中的內容；C （Check） 檢查，總結執(zhí)行計劃的結果，分清哪些對了，哪些錯了，明確效果，找出問題；A （Action） 處理，對檢查的結果進行處理，對成功的經驗加以肯定，并予以標準化；對于失敗的教訓也要總結，引起重視。對于沒有解決的問題，應提交給下一個PDCA循環(huán)中去解決。

2.1.2 IDEAL模型

IDEALSM是SEI推出的過程改進模型。該模型將過程改進分為五個階段來完成，形成一個螺旋推進、循環(huán)往復的改進策略。而且該模型還強調每個改進周期內的閉環(huán)機制，即：改進問題有被識別、具體的改進措施有被納入計劃，且被執(zhí)行、被驗證和總結。IDEAL[3]模型結構，如圖2所示。

其中I代表Initiating（初始化），確定改進的目標并獲得改進的基礎結構；D代表Diagnosing（診斷），確定現(xiàn)狀與改進目標之間的差異；E代表Establishing（建設），計劃如何達成目標；A代表Acting（行動），根據(jù)計劃開展工作；L代表Learning（學習），從經驗中學習，以提高未來過程的效能。

上訴理論及模型廣泛應用于各行各業(yè)，得到了充分的驗證，以及普遍的認可。本文提出的電力監(jiān)控系統(tǒng)內網(wǎng)安全監(jiān)視閉環(huán)管控系統(tǒng)充分繼承了PDCA循環(huán)和IDEAL模型的精髓，實現(xiàn)了從事件發(fā)現(xiàn)、事件分析、事件定位、事件處理、事件控制、事件提升的閉環(huán)管理。

2.2 閉環(huán)管控系統(tǒng)架構

電力監(jiān)控系統(tǒng)內網(wǎng)安全監(jiān)視閉環(huán)管控系統(tǒng)是集安全監(jiān)視、安全分析、安全運維、安全執(zhí)行、安全審計于一體的管理中心[4，5]，其系統(tǒng)架構如圖3所示。

2.2.1 數(shù)據(jù)采集

數(shù)據(jù)采集是閉環(huán)管控的基礎，其實現(xiàn)了對電力專用安全防護設備（橫向物理隔離設備、縱向加密認證裝置）、防火墻、入侵監(jiān)測系統(tǒng)（IDS/IPS）、防病毒系統(tǒng)，以及電力調度系統(tǒng)內部關鍵應用的數(shù)據(jù)采集。

其中，事件獲取是采用Syslog方式獲取各種安全防護設備的事件內容；事件過濾是將大量無需關注、不重要的安全事件過濾掉；事件歸并和聚合是對重復事件進行歸并，所有重復事件只記錄其第一次發(fā)生時間、最后一次發(fā)生時間和發(fā)生的次數(shù)；事件轉發(fā)是將初步處理后得到的安全事件提交分析引擎。

2.2.2 通信管理

通信管理是整個系統(tǒng)架構中的重要組成部分，主要實現(xiàn)對原始信息的監(jiān)聽以及上下級協(xié)同告警信息的發(fā)布。

其中原始信息監(jiān)聽主要通過標準的514端口對各類安全防護裝置（系統(tǒng)）的syslog告警信息進行監(jiān)聽，為數(shù)據(jù)采集功能提供重要支撐；同時，閉環(huán)管理系統(tǒng)可以采用多級部署，利用信息加密隧道實現(xiàn)對于上下級事件的同步感知，使全網(wǎng)的安全防護及閉環(huán)管理工作形成有機的整體，避免安全防護工作出現(xiàn)短板導致安全事件的發(fā)生。

2.2.3 分析引擎

該系統(tǒng)實現(xiàn)了事件類型關聯(lián)、事件內容關聯(lián)、資產信息關聯(lián)，能夠通過特定算法從大量安全事件數(shù)據(jù)中挖掘當前的安全趨勢和規(guī)律[6，7]。關聯(lián)分析類型如下：

①基本關聯(lián)，根據(jù)事件的基本屬性信息關聯(lián)分析結果；

②攻擊關聯(lián)，根據(jù)安全設備發(fā)出的告警事件，結合目標資產的類型生成關聯(lián)分析結果；

③位置關聯(lián)，根據(jù)事件來源的位置或者目標資產的物理位置，生成關聯(lián)分析結果；

④角色關聯(lián)，根據(jù)事件相關用戶名結合事件基本屬性，生成關聯(lián)分析結果；

⑤因果關聯(lián)，根據(jù)事件類型結合事件行為結果，生成關聯(lián)分析結果。

2.2.4 閉環(huán)管控

該系統(tǒng)通過安全監(jiān)視發(fā)現(xiàn)問題，通過事件統(tǒng)計分析問題，通過策略執(zhí)行處理問題，通過權限管理和安全審計控制問題處理過程，通過知識管理總結問題，提升安全事件處理能力。

其中，安全監(jiān)視主要是指內網(wǎng)安全監(jiān)視平臺，主要實現(xiàn)對安全事件的采集、分析及告警；問題跟蹤是對安全事件進行管理，使安全事件管理的質量評定與工作績效相結合，提高維護人員的主動性；權限管理對事件處理的人員、權限、時限、內容及步驟進行嚴格控制，加強在操作過程中的安全防護，減少因非法操作和誤操作而帶來的系統(tǒng)性風險；執(zhí)行管控是對解決問題過程進行全程監(jiān)督和審計，形成事中、事后的審查機制，從而提高運維人員的自律性；知識管理是建立內網(wǎng)安全事件的專家知識庫，實現(xiàn)知識的統(tǒng)一搜集、整理、管理[8，9]。

2.3 閉環(huán)管控流程

電力監(jiān)控系統(tǒng)內網(wǎng)安全監(jiān)視閉環(huán)管控系統(tǒng)將安全事件的發(fā)現(xiàn)、分析、處理、控制、提升形成管理閉環(huán)，整個過程可分為7個階段，分別是“事件監(jiān)視與告警”、“事件分析與診斷”、“事件處理”、“變更管理”、“配置管控”、“恢復與確認”、“總結與改進”[10，11]。如圖4所示。

第1階段-事件監(jiān)視與報警。

值班人員通過內網(wǎng)安全監(jiān)視應用對電力監(jiān)控系統(tǒng)安全情況進行監(jiān)視，及時發(fā)現(xiàn)安全事件，并通知相關人員進行處理。值班人員采用二種方式（即內網(wǎng)安全監(jiān)視的事件告警和值班電話）集中發(fā)現(xiàn)和記錄內網(wǎng)安全事件，通過創(chuàng)建安全事件工單對事件進行集中流程化處理。

閉環(huán)管控系統(tǒng)會對收集上來的事件之間相關性采用過濾、合并、關聯(lián)的技術手段分析出有效的事件處理切入點，將多個相關事件合并生成一個流程工單處理解決，簡化值班人員處理安全事件流程，提高其工作效率。在生成事件工單后，值班人員將工單轉給相關系統(tǒng)管理員，由系統(tǒng)管理員對事件信息進行核實后進行進一步處理。

第2階段-事件分析與診斷。

系統(tǒng)管理員在分析事件的過程中可以與相關的運維人員一起協(xié)同分析，并由系統(tǒng)管理員根據(jù)事件緊急度、優(yōu)先級、及影響范圍再次確定事件級別合理性。系統(tǒng)管理員可以使用內網(wǎng)安全監(jiān)視閉環(huán)管控提供的事件分析工具，通過過濾、合并、匯總、分析等規(guī)則，采用圖形化分析手段，直觀解析事件關系，幫助運維人員理清思路、找到解決方法。在事件原因和解決思路明確后，系統(tǒng)管理員將事件工單指派給相應的運維人員處理。（如圖4）

第3階段-事件處理。

在運維人員明確解決方案后，將開展事件的處理工作。據(jù)事件具體情況進一步由二線、三線運維人員介入處理。

運維人員處理過程中，可以借助知識庫管理系統(tǒng)直接提供類似關聯(lián)事件處理經驗以供參考。如果處理事件不涉及到資產配置的變更，則直接處理并將處理完的結果提交值班人員確認；如果處理事件涉及到資產配置的變更時，則要提出變更申請，執(zhí)行相關變更流程，完成變更后再提交處理結果由值班人員確認。

第4階段-變更管理。

在事件處理的過程中，如果涉及到資產配置的變更，則需要啟動變更管理流程。由運維人員提出變更方案，方案中包括涉及資產、變更內容、風險評估、應急預案、回退措施等子項，變更方案提交給系統(tǒng)管理員審批，經審批后指派相關運維人員進行處理，如果變更方案不通過則重新由運維人員提交新的變更方案。在系統(tǒng)管理員審核通過后，系統(tǒng)將自動關聯(lián)管控機策略，開啟相關資源的“操作通道”，授權相關運維人員完成配置變更操作。

第5階段-配置變更操作管控。

運維人員在獲得資產配置變更操作授權之后，將使用運維專用機對相關資產進行配置修改，同時系統(tǒng)管理員可以實時監(jiān)視運維人員操作行為，并對不合規(guī)操作強制阻斷。在強制阻斷后，運維人員需要重新考慮變更方案，重新開始新的變更流程。對于運維人員操作全過程采用內容錄像方式保存，提高操作全程記錄審計能力。

運維專用機對資源帳號密碼采用統(tǒng)一記錄與管理，運維人員無法獲取系統(tǒng)資源帳號及密碼，只有“系統(tǒng)管理員”根據(jù)具體事件工單涉及的相關設備進行“動態(tài)式”授權，后臺自動建立訪問控制策略后，運維人員才能操作和修改資源配置。這樣能夠有效的防止密碼外泄，加強相關人員操作訪問的權限、時限控制，減少因非法操作和誤操作而帶來的系統(tǒng)性風險。

第6階段-恢復與確認。

在運維人員事件處理完畢，系統(tǒng)恢復正常工作后，運維人員將事件工單提交給發(fā)現(xiàn)事件的值班人員，由值班人員對事件處理結果進行確認，采用檢查資源狀態(tài)、電話回訪等方式確認事件是否解決。同時，值班人員將進行事件處理的滿意度調查，由值班人員填寫事件處理滿意度調查結果和評價。

第7階段-總結與改進。

在事件恢復后，運維人員對處理內容、方法進行總結，系統(tǒng)自動將處理經驗生成事件處理報告并提交系統(tǒng)管理員，系統(tǒng)管理員對事件處理報告進行審核，對滿足經典經驗的知識進行標注，將經驗納入知識庫中。通過對搜集、整理的內網(wǎng)安全事件處理經驗進行專家評審，提高知識專業(yè)性，形成專家知識庫。

3 應用效果

本文提出的閉環(huán)管理模式進一步規(guī)范了事件管理的程序和標準，豐富和發(fā)展了適用于電力監(jiān)控系統(tǒng)內網(wǎng)安全事件的管理方法，使安全管理工作邁上規(guī)范化、程序化的運行軌道。湖北省電力調控中心通過內網(wǎng)安全監(jiān)視閉環(huán)管控系統(tǒng)的建設，使系統(tǒng)管理員可以跟蹤事件處理流程，能夠及時了解事件處理進度；另外，每周定期查看事件處理操作記錄，也可以審計處理操作的合規(guī)性。同時，通過建立健全良性的激勵約束機制，發(fā)揮系統(tǒng)管理人員在工作中的主觀能動性，促進了執(zhí)行效果和執(zhí)行效率的同步提升。以內網(wǎng)安全監(jiān)視的閉環(huán)管控為例，2015年安全事件數(shù)量與去年相比下降較為明顯，湖北電網(wǎng)每日安全事件數(shù)量基本控制在10個以內。安全事件曲線，如圖5所示。

另外，系統(tǒng)管理員生成運維人員績效報告和事件全程審計報告?？冃蟾鎸\維人員績效進行統(tǒng)計，包括對事件請求量、事件解決量、事件解決率、事件平均解決時間、事件滿意度平均值、事件處理及時率等指標，通過統(tǒng)計分析對安全狀態(tài)、安全工作進行全面的評估分析，為進一步提高業(yè)務能力，進一步改進監(jiān)視策略提供依據(jù)。事件全程審計報告記錄事件整個處理過程，對從事件發(fā)生、到流程處理、到操作過程、到解決完畢進行全程監(jiān)督和審計，提高對問題在事中、事后的掌控力度。

4 結語

通過理論和實踐證明，電力監(jiān)控系統(tǒng)內網(wǎng)安全監(jiān)視閉環(huán)管控系統(tǒng)有助于電力監(jiān)控系統(tǒng)安全防護體系由邊界防護向縱深防御發(fā)展，解決了電網(wǎng)調度系統(tǒng)對關鍵安全設備、服務器的日志集中采集和統(tǒng)一管理問題，實現(xiàn)了對安全設備的實時告警與運行狀態(tài)監(jiān)測，為電網(wǎng)調度系統(tǒng)提供全面的安全基礎支撐，能夠及時掌握電力監(jiān)控系統(tǒng)存在的安全隱患，采取有效措施阻止惡意攻擊行為，保障電網(wǎng)的內網(wǎng)運行安全。

參考文獻：

[1]宋華明，韓玉啟.PDCA模式下的一體化管理體系.南京理工大學[J]，2002（2）：10-12.

[2]陳建亞.現(xiàn)代通信網(wǎng)監(jiān)控與管理[M].北京郵電大學出版社，2000.

[3]McFeeley Bob. IDEAL： A User's Guide for Software Process Improvement[M] Software Engineering Institute， CMU/SEI-96-HB-001， February 1996.

[4]胡炎，董名垂，韓英鐸.電力工業(yè)信息安全的思考[J].電力系統(tǒng)自動化，2002（7）：1-4.

[5]高雷，肖政，韋衛(wèi).安全關聯(lián)分析相關技術的研究.計算機應用，2002（7）：1526-1528.

[6]劉雪飛，馬恒太，張秉權.NIDS報警信息關聯(lián)分析進展研究.計算機科學，2004，3（12）：61-64.

[7]李亞琴.網(wǎng)絡安全事件關聯(lián)分析方法的研究與實現(xiàn)[D].華中科技大學，2006.

[8]王保義，張少敏.電力企業(yè)信息網(wǎng)絡系統(tǒng)的綜合安全策略[J].華北電力技術， 2003（4）：19-22.

[9]劉康平，李增智.網(wǎng)絡告警序列中的頻繁情景規(guī)則挖掘算法閉[J].小型微型計算機系統(tǒng)，2003，24（5）：891-894.

[10]李先彬.電力系統(tǒng)自動化（第5版）[M].中國電力出版社，2007.

[11]林海.生產流程管理細化量化與過程控制[M].廣東經濟出版社，2009.