廣東電網有限責任公司茂名供電局 陳良成

引言

隨著信息化建設的不斷深入，供電企業(yè)已廣泛利用視頻監(jiān)控、油色譜在線監(jiān)測系統(tǒng)、電壓監(jiān)測系統(tǒng)等物聯網應用，這些應用為供電企業(yè)管理逐步向自動化、綜合化、集中化、智能化方向發(fā)展提供有力的技術保障。大大提升企業(yè)服務質量及經濟效益。虛擬化技術的應用，幫助供電企業(yè)實現了IT資源使用及管理的集約化，有效節(jié)省了業(yè)務系統(tǒng)的資源投入成本和管理維護成本。但物聯網和虛擬化技術的廣泛應用，也給供電企業(yè)的網絡安全防護及運維管理帶來新的風險及挑戰(zhàn)。

1.供電企業(yè)物聯網和虛擬化技術應用架構

物聯網（The Internet of Things)是指通過信息傳感設備，按約定的協議，將任何物品與網絡相連接，進行信息交換和通信，以實現智能化識別、定位、跟蹤、監(jiān)控和管理的一種網絡。物聯網應用中有兩項關鍵技術，分別是傳感器技術和嵌入式技術。物聯網架構可分為三層，分別是感知層、網絡層和應用層。供電企業(yè)物聯網應用感知層主要由智能終端組成。網絡層主要采用光纖專網作為遠程通信網絡技術，無線公網、無線專網等作為補充的通信方式，應用服務層即物聯網系統(tǒng)的應用或控制中心，實現對現場數據的集中存儲、分析和處理，并進行智能化的決策、控制和服務。

虛擬化是一種資源管理技術，計算機虛擬化架構通常由宿主機、虛擬化層軟件和虛擬機三部分構成。供電企業(yè)利用計算機虛擬化技術主要是服務器和桌面虛擬化，即在一臺物理主機內安裝一個虛擬化軟件，從而實現服務器虛擬化層的部署，再在虛擬化層上安裝虛擬機，讓一臺服務器變成十幾臺甚至上百臺相互隔離的虛擬服務器或計算機終端。

2.供電企業(yè)物聯網和虛擬化技術應用網絡安全風險

2.1 供電企業(yè)物聯網應用主要風險

物聯網架構簡單但組成復雜，包含各種應用和各類設備，不僅面臨傳統(tǒng)管理信息系統(tǒng)和網絡模式的安全問題，還存在傳感器設備、智能終端等帶來的新的安全問題。

感知層面臨的主要風險：（1）智能終端或設備被物理操控，實施破壞、軟硬件更換等操作。（2）智能設備或終端被遠程植入控制程序，實現非法控制智能設備或終端并發(fā)動網絡攻擊。如2016年10月黑客控制了大量美國的網絡攝像頭和DVR 錄像機，然后操縱這些攝像頭攻擊了包括 Twitter、Paypal、Spotify 在內多個知名網站，超過半數人無法上網，造成大規(guī)模斷網。（3）短距離無線通信被惡意利用，利用無線信道的開放特性，攻擊者通過監(jiān)聽、偽造、重放等技術手段，在無線網絡上非法接入設備、阻塞信道、破壞路由和發(fā)送虛假信息等。（4）篡改或偽造的業(yè)務指令使設備誤動。對于未采用消息源認證和消息完整性鑒別機制的物聯網系統(tǒng)，智能設備和終端將無法判定業(yè)務指令是否被偽造或已被惡意篡改，攻擊者可使用精心編制的指令非法控制現場的智能設備或終端，造成配置更改或設備誤動等。

網絡層風險：供電企業(yè)物聯網應用采用了移動互聯網、有線網、Wi-Fi、WiMAX等多種網絡接入技術，出現了不同網絡間通信時安全認證、訪問控制等安全風險。同時主要數據傳輸主要依賴于傳統(tǒng)網絡技術，網絡層典型的攻擊風險有鄰居發(fā)現協議攻擊、蟲洞攻擊、黑洞攻擊等。

應用服務層風險：物聯網應用層主要是指建立在物聯網服務與支撐數據上的各種應用平臺，如云計算、分布式系統(tǒng)、海量信息處理等，典型的安全風險包括操作系統(tǒng)、應用平臺、應用軟件漏洞被利用，主機遭受病毒攻擊、拒接服務流攻擊。

2.2 供電企業(yè)虛擬化技術應用主要風險

（1）破壞了正常的網絡架構。虛擬機連接到同一個虛擬交換機上，通過虛擬交換機就把所有的虛擬的服務器同外部網絡聯系了起來。一方面造成了傳統(tǒng)網絡邊界設置防火墻功能失去了防護作用，另一方面給所有的虛擬服務器增加了安全風險。當一個虛擬服務器遭受到攻擊或出現狀況時，其它的虛擬服務器也會受到影響。（2）虛擬機補丁更新帶來的安全風險。每個虛擬機就是一臺服務器，都需要安裝補丁，工作量太大。如果利用補丁服務器推送將占用大量網絡帶寬，影響虛擬化運行穩(wěn)定性，同時用于虛擬機的災難恢復的鏡像沒有及時安裝新的補丁，從而會給災難恢復的虛擬機帶來運行的安全風險。（3）如虛擬化平臺每臺虛擬機按傳統(tǒng)部署防病毒軟件，當多臺虛擬機同時開啟病毒查殺或病毒庫升級時，會因物理主機的相關資源消耗過大影響虛擬機服務或造成虛擬機宕機。（4）同一物理主機上不同虛擬機之間的互相攻擊和互相入侵的安全風險。

3.解決物聯網和虛擬化技術應用網絡安全風險的相應對策

3.1 物聯網應用網絡安全風險對策

感知層安全防護 。非智能設備主要是采用防竊、防破壞、用電安全等措施；智能終端設備除防竊、防破壞、用電安全物理保護裝置外，還應配備安全模塊保證原始數據不被篡改，修改終端配置默認密碼，密碼長度不小于8位，復雜性要求為大小寫字母+數字+特殊字符的組合，及時修復程序漏洞。

網絡層安全防護。感知設備利用短距離無線通信網絡傳輸數據，需要采用標準的802.11i或者WAPI安全機制，并采用隱藏接入點SSID、綁定IP/MAC地址等技術措施，防止DoS等攻擊；采用無線公網傳輸業(yè)務數據時，應采用VPN或APN服務，采用端到端的安全密碼算法，保障無線公網上傳輸數據的機密性、完整性；利用內部網絡傳輸數據時，進行網絡安全接入認證、邊界訪問控制、信息內容過濾等措施，實現邊界安全控制。

應用層安全防護：限制可登錄終端的網絡地址范圍，對登錄服務器的用戶進行身份鑒別并控制用戶對資源的訪問。對用戶登錄/登出、連接超時、配置變更、時間變更等重要事件進行審計。及時修復服務器操作系統(tǒng)、中間件平臺、數據庫平臺、應用程序漏洞。定期檢測計算機病毒，并進行隔離或清除。制定切合實際的數據備份策略，采用災難恢復技術及相適應的存儲介質進行備份。

3.2 虛擬化技術風險對策

虛擬化技術破壞了網絡架構導致傳統(tǒng)防火墻對虛擬機安全防護失效，必須構建虛擬化安全平臺，該平臺應具有防惡意軟件、IDS/IPS、防火墻、Web 應用程序防護和應用程序控制防護，數據完整性監(jiān)控等安全功能，平臺防火墻應能無需修改虛擬交換機配置即可實現虛擬機隔離，防止虛擬機之間的相互攻擊，通過實施有關 IP地址、Mac 地址、端口及其他內容的防火墻規(guī)則過濾通信流，支持檢測端口掃描等活動，還可限制非 IP 通信流，如 ARP 通信流，可以對虛擬機進行安全策略綁定，無論虛擬機漂移至虛擬化資源池中的任何宿主機均可提供全時的堅實防護。

部署自動化補丁管理工具，制定出詳細的更新補丁的計劃表，從而能夠有計劃、有步驟的對各個虛擬機進行補丁更新，避免出現遺漏。虛擬機管理員經常檢查關閉的虛擬機的補丁狀態(tài)，同時定期更新虛擬機模板，保證用來創(chuàng)建新虛擬機的鏡像模板內安裝的軟件版本是最新的。

（3）選擇專為虛擬環(huán)境所打造的防病毒系統(tǒng)，該系統(tǒng)只在每臺宿主物理服務器上安裝一次，即可實現病毒安全防護，能實現自動繼承的保護，虛擬鏡像可即裝即防，裸機也能立即保護。已經在虛擬化環(huán)境采用了傳統(tǒng)的防病毒病毒和惡意代碼軟件虛擬機，則應該細化虛擬機的病毒防護策略，對虛擬機實行分時升級和病毒掃描策略，避免所有虛擬機同時升級和掃描形成“病毒風暴”而導致系統(tǒng)服務異常，同時虛擬機管理員還應定期開啟關閉的虛擬機進行病毒庫升級和掃描。

結束語

綜上所述，物聯網和虛擬化的發(fā)展是大勢所趨，但在他們深入應用的同時帶來了相應的網絡安全問題，不解決好物聯網和虛擬化的安全問題就不能正常運作物聯網和虛擬化應用，還可能造成重大安全事件，因此解決物聯網的安全風險迫在眉睫。對物聯網和虛擬化應用網絡安全風險一定要做到管理和技術并重，要加強各種手段預防物聯網和虛擬化應用網絡安全風險。