◆楊 軼 宋延成 遲宏哲

等級保護2.0時代下的電力系統(tǒng)身份安全研究

◆楊 軼1宋延成2遲宏哲2

（1.中電投東北新能源發(fā)展有限公司 遼寧 110181；2.國家電投東北電力有限公司 遼寧 110181）

在信息化建設過程中，網(wǎng)絡防護、數(shù)據(jù)保護、黑客入侵防范等建設往往被更多關(guān)注，而“身份與訪問控制”被選擇性忽略，從而形成信息安全短板。本文基于信息安全技術(shù)網(wǎng)絡安全等級保護基本要求，分析了網(wǎng)絡安全等級保護發(fā)展歷程、等保2.0的特點、面向電力系統(tǒng)網(wǎng)絡身份安全面臨的挑戰(zhàn)，提出了針對電力系統(tǒng)身份安全的等保措施，建立應用的攻防對抗機制，多層次多角度減少內(nèi)部誤操作，遏制外部攻擊。

網(wǎng)絡防護；等保2.0；身份安全；攻防對抗

隨著電網(wǎng)互聯(lián)的進一步發(fā)展，要求各地市供電公司和相關(guān)單位具有一個穩(wěn)定可靠的網(wǎng)絡平臺來保證電力企業(yè)的安全運行，但各地市供電公司以及相關(guān)單位的局域網(wǎng)和城域網(wǎng)安全防護手段單一，缺乏對安全威脅態(tài)勢的動態(tài)感知和提前預警。隨著電力部門對外開放的接口不斷增加，進行雙網(wǎng)隔離后仍舊無法抵御各種持續(xù)變化和升級的攻擊手段。相對部署邏輯強隔離的專網(wǎng)，電力系統(tǒng)的外網(wǎng)安全更是岌岌可危。而公司需要通過安全等級較低的外網(wǎng)進行比如財務報稅，員工收發(fā)郵件、移動終端接入等必要行為，這將存在很大的安全隱患及潛在脆弱性，成為整個電力系統(tǒng)網(wǎng)絡的信息安全洼地，被惡意攻擊所利用，成為安全防御體系的突破口，從而造成巨大的經(jīng)濟損失。

據(jù)Imperva調(diào)查發(fā)現(xiàn)：有73%的企業(yè)員工表示，他們可以很輕松訪問到內(nèi)部敏感數(shù)據(jù)，Gartner的報告顯示，全球網(wǎng)絡安全支出2019年將超1240億美元人，而Facebook安全事件造成用戶身份泄露，被罰款50億美元。身份安全驗證是保證信息不被泄露的基本保障，如何保證身份安全是面向電力系統(tǒng)網(wǎng)絡安全的首要前提。

2019年5月10日，《信息安全技術(shù)網(wǎng)絡安全等級保護基本要求》、《信息安全技術(shù)網(wǎng)絡安全等級保護測評要求》、《信息安全技術(shù)網(wǎng)絡安全等級保護安全設計技術(shù)要求》（以下稱等保2.0）正式發(fā)布，將于2019年12月1日正式實施。等保2.0的發(fā)布，是對除傳統(tǒng)信息系統(tǒng)之外的新型網(wǎng)絡系統(tǒng)安全防護能力提升的有效補充，是貫徹落實《中華人民共和國網(wǎng)絡安全法》、實現(xiàn)國家網(wǎng)絡安全戰(zhàn)略目標的基礎。等保2.0較之前的舊標準有突破性的進展，尤其在移動互聯(lián)、云計算、物聯(lián)網(wǎng)等新的業(yè)務環(huán)境均提供了安全建設標準和指導，也為電力系統(tǒng)網(wǎng)絡安全建設，特別是身份安全研究指明了方向。

1 網(wǎng)絡安全等級保護發(fā)展歷程

1994年，國務院147號令第一次提出“計算機信息系統(tǒng)實行安全等級保護”概念；

2007年，《信息安全等級保護管理辦法》發(fā)布信息安全等級保護制度正式實施，進入等保1.0時代；

2008年，GB/T 22239-2008 《信息安全技術(shù)信息系統(tǒng)安全等級保護基本要求》國家標準發(fā)布實施；

2017年《網(wǎng)絡安全法》第二十一條規(guī)定國家實行網(wǎng)絡安全等級保護制度，標志著等級保護制度的法律地位；

2019年5月13日，GB/T22239-2019《信息安全技術(shù)網(wǎng)絡安全等級保護基本要求》國家標準正式頒布，標志著“等保2.0”時代正式到來。

2 等保2.0的特點

網(wǎng)絡安全等級保護2.0新標準具有以下三個特點：

（1）在等保的基本要求方面、測評要求方面和安全設計技術(shù)要求方面框架統(tǒng)一，也就是說，安全管理中心具有三重防護結(jié)構(gòu)框架；

（2）等保2.0不但體現(xiàn)通用安全要求，同時也考慮新型應用安全擴展要求，將包括云計算、移動互聯(lián)、物聯(lián)網(wǎng)、工業(yè)控制系統(tǒng)等列入標準規(guī)范；

（3）將可信計算及驗證列入各級別和各環(huán)節(jié)主要功能要求。

作為等保2.0的性特點，可信計算的基本思想是，首先在計算機系統(tǒng)中構(gòu)建一個信任根，信任根的可信性由物理安全、技術(shù)安全和管理安全共同確保；再建立一條信任鏈，從信任根開始到軟硬件平臺、到操作系統(tǒng)、再到應用，一級度量認證一級、一級信任一級，把這種信任擴展到整個計算機系統(tǒng)，從而確保整個計算機系統(tǒng)的可信?？尚庞嬎銥樯矸莅踩峁┝吮ＷC和支撐。相比等保1.0，等保2.0增加了可信計算的相關(guān)要求。可信計算貫穿等保2.0從一級到四級整個標準，在安全通信網(wǎng)絡、安全區(qū)域邊界與安全計算環(huán)境中均有明確要求。

3 身份安全面臨的挑戰(zhàn)

（1）缺乏身份標準規(guī)范

主要表現(xiàn)為缺乏權(quán)威身份數(shù)據(jù)的確認，缺乏身份認證的統(tǒng)一標準，各系統(tǒng)創(chuàng)建賬號缺乏統(tǒng)一規(guī)范等。

（2）缺乏管控流程

主要舉措應包括人員的錄轉(zhuǎn)調(diào)離的管控，權(quán)限最小化管控流程，對外部人員的管理，對應用上線管控等。

（3）缺乏技術(shù)保障

主要表現(xiàn)為沒有完整的自助服務，依賴員工自覺遵守，需要記憶各種賬號密碼，缺乏統(tǒng)一的登錄入口等。

（4）身份混亂

主要表現(xiàn)為應用系統(tǒng)多，每個系統(tǒng)都建立不同的賬號，難以識別；內(nèi)外部用戶多，包含集成商、供應商等；關(guān)鍵資源特權(quán)賬號root，dba管控混亂等。

（5）賬號和權(quán)限混亂

主要表現(xiàn)為IT不知道員工需要哪些權(quán)限，無法對人員全生命周期進行合理管理，員工離職，容易造成漏刪賬號，形成安全隱患。

（6）標準形同虛設

主要表現(xiàn)為將過于復雜密碼寫在文檔或便簽上，輕松繞過標準（如堡壘機），出借賬號給其他人員，輕易被釣魚等。

4 面向電力系統(tǒng)的等保措施

（1）身份鑒別

應對登錄的用戶進行身份標識和鑒別，身份標識具有唯一性，身份鑒別信息具有復雜度要求并定期更換；應具有登錄失敗處理功能，應配置并啟用結(jié)束會話、限制非法登錄次數(shù)和當?shù)卿涍B接超時自動退出等相關(guān)措施；當進行遠程管理時，應采取必要措施防止鑒別信息在網(wǎng)絡傳輸過程中被竊聽，應采用口令、密碼技術(shù)、生物技術(shù)等兩種或兩種以上組合的鑒別技術(shù)對用戶進行身份鑒別，且其中一種鑒別技術(shù)至少應使用密碼技術(shù)來實現(xiàn)。

（2）可信驗證

可基于可信根對計算設備的系統(tǒng)引導程序、系統(tǒng)程序、重要配置參數(shù)和應用程序等進行可信驗證，并在應用程序的關(guān)鍵執(zhí)行環(huán)節(jié)進行動態(tài)可信驗證，在檢測到其可信性受到破壞后進行報警，并將驗證結(jié)果形成審計記錄送至安全管理中心。

（3）訪問控制

應對登錄的用戶分配賬戶和權(quán)限；應重命名或刪除默認賬戶，修改默認賬戶的默認口令；應及時刪除或停用多余的、過期的賬戶，避免共享賬戶的存在；應授予管理用戶所需的最小權(quán)限，實現(xiàn)管理用戶的權(quán)限分離；應由授權(quán)主體配置訪問控制策略，訪問控制策略規(guī)定主體對客體的訪問；訪問控制的粒度應達到主體為用戶級或進程級，客體為文件、數(shù)據(jù)庫表級；應對重要主體和客體設置安全標記，并控制主體對有安全標記信息資源的訪問。

（4）安全審計

應啟用安全審計功能，審計覆蓋到每個用戶，對重要的用戶行為和重要安全事件進行審計；審計記錄應包括事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計相關(guān)的信息；應對審計記錄進行保護，定期備份，避免受到未預期的刪除、修改或覆蓋等；應對審計進程進行保護，防止未經(jīng)授權(quán)的中斷。

（5）數(shù)據(jù)保密性

采用密碼技術(shù)保證重要數(shù)據(jù)在傳輸過程中的保密性，包括但不限于鑒別數(shù)據(jù)、重要業(yè)務數(shù)據(jù)和重要個人信息等；采用密碼技術(shù)保證重要數(shù)據(jù)在存儲過程中的保密性，包括但不限于鑒別數(shù)據(jù)、重要業(yè)務數(shù)據(jù)和重要個人信息等。

（6）數(shù)據(jù)完整性

應采用校驗技術(shù)或密碼技術(shù)保證重要數(shù)據(jù)在傳輸過程中的完整性，包括但不限于鑒別數(shù)據(jù)、重要業(yè)務數(shù)據(jù)、重要審計數(shù)據(jù)、重要配置數(shù)據(jù)、重要視頻數(shù)據(jù)和重要個人信息等；應采用校驗技術(shù)或密碼技術(shù)保證重要數(shù)據(jù)在存儲過程中的完整性，包括但不限于鑒別數(shù)據(jù)、重要業(yè)務數(shù)據(jù)、重要審計數(shù)據(jù)、重要配置數(shù)據(jù)、重要視頻數(shù)據(jù)和重要個人信息等。

（7）個人信息保護

應僅采集和保存業(yè)務必需的用戶個人信息；應禁止未授權(quán)訪問和非法使用用戶個人信息。

5 結(jié)束語

等保2.0更加普適性，覆蓋行業(yè)范圍更廣，技術(shù)領(lǐng)域更加全面，保護業(yè)務與數(shù)據(jù)安全為核心，要求身份可信與業(yè)務邊界安全。等級保護2.0提供了企業(yè)網(wǎng)絡安全戰(zhàn)略規(guī)劃目標，配套網(wǎng)絡安全法，將對企業(yè)管理者提供方向上的指引。本文基于等保2.0規(guī)范，回顧了網(wǎng)絡安全等級保護發(fā)展歷程、等保2.0的特點、重點分析了面向電力系統(tǒng)網(wǎng)絡身份安全面臨的挑戰(zhàn)，開展了電力系統(tǒng)身份安全等保措施研究，以期為電力系統(tǒng)的網(wǎng)絡安全建設提供理論支撐和技術(shù)支持。

[1]CNCERT.2014年我國互聯(lián)網(wǎng)網(wǎng)絡安全態(tài)勢報告.2015，4.

[2] GB/T 22239.3，信息安全技術(shù)網(wǎng)絡安全等級保護基本要求[S].

[3]全國信息安全標準化技術(shù)委員會. GB/T 22239-2008信息系統(tǒng)安全等級保護基本要求[S].中國標準出版社，2008..

[4]沈昌祥．我國信息安全等級保護制度的創(chuàng)新與發(fā)展[J].網(wǎng)絡空間安全，2016，7（11/12）：5-6.

[5]胡建康，徐霞,等.基于決策樹的Webshell檢測方法[J].網(wǎng)絡新媒體技術(shù)，2012，12，第I卷第6期.

[6]傅鈺．網(wǎng)絡安全等級保護2.0下的安全體系建設[J].網(wǎng)絡安全技術(shù)與應用，2018，18（8）：16-19.

[7]陳廣勇，祝國邦，范春玲.《信息安全技術(shù)網(wǎng)絡安全等級保護測評要求》（GB/T 28448-2019）標準解讀[J].信息網(wǎng)絡安全，2019（07）：1-7.

[8]賈覲.信息安全等級保護制度在計算機網(wǎng)絡搭建中的應用[J].信息與電腦（理論版），2019（12）：203-204.

[9]宮平.信息安全等級保護測評中網(wǎng)絡安全現(xiàn)場測評方法研究[J].網(wǎng)絡安全技術(shù)與應用，2019（05）：17-18.

[10]魏興民，賀江敏.信息安全等級保護技術(shù)之強制訪問控制技術(shù)探討[J].電子世界，2019（08）：148-150.

[11]余入麗，馬先平，楊雅.通過信息安全等級保護提升信息系統(tǒng)管理水平[J].信息與電腦（理論版），2019（07）：196-197.