葉子蜻

摘 要：本文從技術(shù)和管理兩個角度介紹了向家壩升船機網(wǎng)絡(luò)安全相關(guān)情況，以及向家壩升船機信息系統(tǒng)相關(guān)安全設(shè)備及管理制度等。

關(guān)鍵詞：升船機;網(wǎng)絡(luò)安全;技術(shù);管理

中圖分類號：U642? ? ? ? ? ? ?文獻標識碼：A? ? ? ? ? ? 文章編號：1006—7973（2020）09-0053-03

近年來，隨著全球網(wǎng)絡(luò)信息系統(tǒng)攻擊事件爆炸式增加，對信息系統(tǒng)進行網(wǎng)絡(luò)攻擊的手段不斷升級，全球網(wǎng)絡(luò)安全形勢日益嚴重。隨著電力監(jiān)控系統(tǒng)安全防護工作的推廣實施，電力系統(tǒng)的網(wǎng)絡(luò)安全事件卻極少發(fā)生，表明了電力系統(tǒng)安全防護體系作用極為有效，顯著提高了我國電力系統(tǒng)抵御網(wǎng)絡(luò)攻擊的能力，有效保障了電力系統(tǒng)的網(wǎng)絡(luò)安全。向家壩升船機作為向家壩電站全電站管理模式下的一個重要板塊，升船機信息系統(tǒng)的網(wǎng)絡(luò)安全建設(shè)完全參照了電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全建設(shè)標準執(zhí)行。根據(jù)《電力行業(yè)信息系統(tǒng)安全等級保護基本要求》，主要分為技術(shù)和管理兩大類要求，本文主要圍繞技術(shù)和管理兩個方面，對向家壩升船機網(wǎng)絡(luò)安全進行概述。

1 網(wǎng)絡(luò)安全概述

網(wǎng)絡(luò)安全為信息系統(tǒng)在網(wǎng)絡(luò)環(huán)境下的安全運行提供支持。確保了網(wǎng)絡(luò)設(shè)備的安全運行和網(wǎng)絡(luò)數(shù)據(jù)傳輸?shù)目捎眯浴⒈Ｃ苄院屯暾缘?，提供了有效的網(wǎng)絡(luò)服務(wù)。網(wǎng)絡(luò)是保障生產(chǎn)控制類業(yè)務(wù)穩(wěn)定運行的基礎(chǔ)設(shè)施，網(wǎng)絡(luò)安全事故會使得網(wǎng)絡(luò)傳輸?shù)臄?shù)據(jù)可用性、保密性和完整性遭受極大破壞，因為必須加以防護。網(wǎng)絡(luò)安全的重點工作之一是保障網(wǎng)絡(luò)邊界安全，結(jié)合《電力監(jiān)控系統(tǒng)安全防護規(guī)定》中網(wǎng)絡(luò)安全分區(qū)、橫向隔離和縱向認證等具體要求，嚴格落實安全策略;另一個重點工作是對網(wǎng)絡(luò)內(nèi)部各類安防設(shè)備、策略、機制、控制措施進行規(guī)范要求，從而抵御各種網(wǎng)絡(luò)攻擊行為。網(wǎng)絡(luò)安全主要關(guān)注的方面包括：網(wǎng)絡(luò)結(jié)構(gòu)、網(wǎng)絡(luò)邊界以及網(wǎng)絡(luò)設(shè)備自身安全等，具體的控制點包括：網(wǎng)絡(luò)結(jié)構(gòu)安全、入侵防范、惡意代碼防范、訪問控制、安全審計、邊界完整性檢查、網(wǎng)絡(luò)設(shè)備防護七個控制點。

2 網(wǎng)絡(luò)安全技術(shù)

2.1? 物理安全

根據(jù)《電力行業(yè)信息系統(tǒng)安全等級保護基本要求》，物理安全主要涉及的方面包括環(huán)境安全（防火、防水、防雷擊等）、設(shè)備和介質(zhì)的防盜竊防破壞等方面。具體包括物理位置的選擇、物理訪問控制、防盜竊和防破壞、防雷擊、防火、防水和防潮、防靜電、溫濕度控制、電力供應(yīng)和電磁防護十個控制點。對機房按照定級要求進行建設(shè)需滿足防火、防水和防潮、溫濕度控制、門禁等相關(guān)要求。對定級為三級系統(tǒng)的機房，如升船機監(jiān)控系統(tǒng)機房，加裝有靜電地板、精密空調(diào)、水浸傳感器、UPS不間斷電源、光電報警裝置，設(shè)置門禁刷卡準入及進出機房的臺賬記錄等;對定級為二級系統(tǒng)的機房，如升船機通航調(diào)度系統(tǒng)、通航安全系統(tǒng)、火災(zāi)報警系統(tǒng)等，給機房加裝靜電地板、精密空調(diào)、光電報警裝置，設(shè)置門禁刷卡準入及進出機房的臺賬記錄等。

2.2 防火墻

防火墻技術(shù)是一種計算機硬件和軟件的組合，在內(nèi)外網(wǎng)建立起安全網(wǎng)關(guān)，通過訪問控制，可以有效阻止非法的信息傳遞。同時對進出網(wǎng)絡(luò)邊界的數(shù)據(jù)進行保護，防止惡意入侵、惡意代碼的傳播等，保障內(nèi)部數(shù)據(jù)的網(wǎng)絡(luò)安全。升船機信息系統(tǒng)防火墻主要在不同分區(qū)與不同系統(tǒng)之間設(shè)置進行網(wǎng)絡(luò)隔離，如計算機監(jiān)控系統(tǒng)、圖像監(jiān)控系統(tǒng)與火災(zāi)報警系統(tǒng)之間，通航安全系統(tǒng)和通航調(diào)度系統(tǒng)之間分別設(shè)置防火墻。采用的應(yīng)用網(wǎng)關(guān)防火墻，它的邏輯位置在應(yīng)用層協(xié)議上，技術(shù)上采用應(yīng)用協(xié)議代理服務(wù)實施安全策略，對應(yīng)用層提供訪問控制。

2.3 內(nèi)外網(wǎng)隔離裝置

內(nèi)外網(wǎng)隔離裝置又名安全網(wǎng)閘，通過多種控制功能的固態(tài)開關(guān)隔離兩個獨立主機系統(tǒng)的信息安全設(shè)備。由于主機系統(tǒng)之間通過網(wǎng)閘進行隔離，不存在物理連接、邏輯連接及信息協(xié)議傳輸和信息交換，而只有以數(shù)據(jù)文件形式進行的無協(xié)議擺渡。因此，網(wǎng)閘從邏輯上有效隔離、阻斷了對內(nèi)部的網(wǎng)絡(luò)攻擊，使攻擊者無法直接攻擊內(nèi)網(wǎng)，保障了主機系統(tǒng)的安全（見圖1）。在升船機信息系統(tǒng)中，主要采用內(nèi)外網(wǎng)隔離裝置將升船機上層管理網(wǎng)與級間控制網(wǎng)進行隔離，確保信息系統(tǒng)安全。

2.4 運維審計系統(tǒng)

運維審計系統(tǒng)又名堡壘機，是一種針對系統(tǒng)用戶運維操作進行控制、審計的安全系統(tǒng)。它通過對用戶身份、賬號，以及資源的集中管理，建立“用戶—資源—賬號”對應(yīng)關(guān)系，實現(xiàn)用戶對資源的統(tǒng)一授權(quán)，同時，對授權(quán)人員的運維操作進行記錄、分析，幫助操作事前規(guī)劃、事中監(jiān)控、違規(guī)行為響應(yīng)、事后報告、事故回放，加強操作行為監(jiān)管，避免核心資產(chǎn)（服務(wù)器、安全設(shè)備、網(wǎng)絡(luò)設(shè)備等）損失，保障業(yè)務(wù)系統(tǒng)的正常運營。升船機運維審計系統(tǒng)布置在計算機監(jiān)控系統(tǒng)和通航安全系統(tǒng)上。用旁路網(wǎng)絡(luò)可達的方式部署在主干網(wǎng)交換機上（見圖2），保證運維審計系統(tǒng)與各個管理資產(chǎn)網(wǎng)絡(luò)連通，在運維審計系統(tǒng)添加相應(yīng)的資產(chǎn)配置資產(chǎn)的用戶名密碼，實現(xiàn)對相應(yīng)資產(chǎn)運維人員的運維過程監(jiān)管。

2.5 安全審計系統(tǒng)

安全審計系統(tǒng)又名日志審計系統(tǒng)，通過實時采集網(wǎng)絡(luò)中用戶資源（安全設(shè)備、主機、網(wǎng)絡(luò)設(shè)備等）、操作系統(tǒng)以及各種系統(tǒng)產(chǎn)生的日志信息，并將這些信息匯總到日志審計中心，進行集中備份、存儲、審計、告警、響應(yīng)，獲取全網(wǎng)安全運行態(tài)勢，實現(xiàn)設(shè)備的全生命周期日志管理（見圖3）。升船機日志審計系統(tǒng)布置在計算機監(jiān)控系統(tǒng)和通航安全系統(tǒng)上，采用B/S架構(gòu)，對各項資產(chǎn)進行syslog配置，獲取安全設(shè)備（如防火墻、入侵檢測系統(tǒng)、隔離裝置等）、調(diào)度數(shù)據(jù)網(wǎng)設(shè)備的安全事件信息，對網(wǎng)絡(luò)安全事件信息進行集中分析、過濾、處理、保存，為設(shè)備的日志審計提供保障。

2.6 入侵檢測系統(tǒng)

入侵檢測系統(tǒng)又名IDS系統(tǒng)，可以根據(jù)采集被監(jiān)測的系統(tǒng)中相關(guān)信息數(shù)據(jù)流，比對攻擊類型數(shù)據(jù)庫，找出入侵攻擊的存在。升船機入侵檢測系統(tǒng)主要布置在計算機監(jiān)控系統(tǒng)和通航安全系統(tǒng)上，實現(xiàn)對升船機計算機監(jiān)控系統(tǒng)和通航安全系統(tǒng)的入侵風(fēng)險檢測。以監(jiān)控系統(tǒng)為例：入侵檢測系統(tǒng)的探測引擎為一個獨立的監(jiān)聽端口，入侵檢測系統(tǒng)控制中心安裝在一臺安全服務(wù)器上。在核心交換機上對入侵檢測系統(tǒng)業(yè)務(wù)口端口做流量鏡像，將核心交換機上其他接口的流量鏡像到入侵檢測系統(tǒng)的端口，由于入侵檢測系統(tǒng)屬于旁路部署，不會造成網(wǎng)絡(luò)阻斷，所以入侵檢測系統(tǒng)在保證現(xiàn)有系統(tǒng)網(wǎng)絡(luò)安全的前提下不會對現(xiàn)有生產(chǎn)網(wǎng)絡(luò)產(chǎn)生影響（見圖4）。

2.7? 終端安全防護軟件

向家壩升船機信息系統(tǒng)安裝的終端安全防護軟件又名內(nèi)網(wǎng)安全風(fēng)險管理與審計系統(tǒng)，所有策略集中放在升船機安全服務(wù)器上，開放了配置用戶的界面，管理員從Web登錄到安全服務(wù)器，進行策略配置，報表查詢（見圖5）。其客戶端位于監(jiān)控系統(tǒng)兩臺操作員站上，執(zhí)行策略的檢查、從安全服務(wù)器上讀取規(guī)則、向安全服務(wù)器發(fā)送報表等，當用戶不滿足策略條件時，向用戶提示相關(guān)信息，實現(xiàn)對操作員站平臺管理、桌面管理、準入管理、桌面運維等功能。

2.8? 主機加固策略

根據(jù)中國長江電力股份有限公司《Windows主機加固規(guī)范操作手冊》，需對Windows操作系統(tǒng)做安全配置，符合GB/T22239-2008《信息安全技術(shù)信息系統(tǒng)安全等級保護基本要求》和GB/T 20272-2006《信息安全技術(shù)操作系統(tǒng)安全技術(shù)要求》這兩個規(guī)范性文件要求。其中包含：補丁管理、賬號密碼策略、認證授權(quán)、日志審計、網(wǎng)絡(luò)服務(wù)、可移動存儲訪問策略、IP協(xié)議安全、網(wǎng)絡(luò)病毒管理、端口服務(wù)管理等策略，對生產(chǎn)控制大區(qū)和管理信息大區(qū)的Windows主機進行主機加固，增強主機安全防護等級。

3 網(wǎng)絡(luò)安全管理

3.1 制度建設(shè)

為了“樹立正確的網(wǎng)絡(luò)安全觀、加快構(gòu)建關(guān)鍵信息基礎(chǔ)設(shè)施安全保障體系”，向家壩電廠升船機部借鑒了2013年以來國家、行業(yè)、公司及電網(wǎng)對水電站工控網(wǎng)絡(luò)安全的制度要求，結(jié)合現(xiàn)場生產(chǎn)實際情況，編制了《升船機部網(wǎng)絡(luò)安全管理制度匯編》。將網(wǎng)絡(luò)安全建設(shè)制度化、規(guī)范化。內(nèi)容涵蓋了《向家壩升船機機房日常維護工作規(guī)范》、《向家壩升船機便攜式計算機和移動介質(zhì)管理制度》、《升船機部計算機病毒防治管理辦法》、《向家壩升船機部計算機軟件管理制度》、《向家壩升船機部賬戶及密碼管理制度》、《向家壩升船機機房消防安全管理制度》和網(wǎng)絡(luò)安全保密要求、網(wǎng)絡(luò)安全考核等方面的規(guī)定，將升船機網(wǎng)絡(luò)安全管理制度化。梳理出針對網(wǎng)絡(luò)安全保障的定期工作，如：定期修改信息系統(tǒng)密碼 、定期進行病毒查殺、定期進行數(shù)據(jù)備份等，按照規(guī)定時間建立相應(yīng)的電子臺賬或紙質(zhì)記錄。

3.2 應(yīng)急預(yù)案

制定網(wǎng)絡(luò)安全事件應(yīng)急預(yù)案和應(yīng)急處置方案，對可能發(fā)生的網(wǎng)絡(luò)安全事故進行事故預(yù)想，并定期演練。升船機部編制了《向家壩電廠升船機監(jiān)控系統(tǒng)網(wǎng)絡(luò)安防事故現(xiàn)場處置方案》、《向家壩電廠升船機通航安全系統(tǒng)網(wǎng)絡(luò)安防事故現(xiàn)場處置方案》、《向家壩電廠升船機通航調(diào)度系統(tǒng)網(wǎng)絡(luò)安防事故現(xiàn)場處置方案》三個應(yīng)急處置方案和《升船機部防特權(quán)賬戶濫用的應(yīng)急處置流程》一個應(yīng)急預(yù)案。規(guī)定了升船機發(fā)生網(wǎng)絡(luò)安全事故時的報警、應(yīng)急措施啟動、現(xiàn)場處置、事故控制和人員救護等方面應(yīng)急處置措施以及注意事項。在現(xiàn)場處置方案中，根據(jù)網(wǎng)絡(luò)安全事故的發(fā)生原因、性質(zhì)和機理，將網(wǎng)絡(luò)安全事故主要分為攻擊類事件、故障類事件、災(zāi)害類事件三類進行事故預(yù)想。就可能出現(xiàn)的故障分為了網(wǎng)絡(luò)設(shè)備異常、硬件故障、軟件故障三類制定相應(yīng)的應(yīng)急措施、物資準備和組織職責(zé)。

4 結(jié)語

向家壩升船機信息系統(tǒng)網(wǎng)絡(luò)安全建設(shè)按照目前的網(wǎng)絡(luò)安全定級標準已經(jīng)建設(shè)完成，這只是目前網(wǎng)絡(luò)安全工作一個新的開始。后續(xù)繼續(xù)做好整個信息系統(tǒng)的網(wǎng)絡(luò)安全維護工作，嚴格按照制定出的管理制度實施是保障向家壩升船機信息系統(tǒng)網(wǎng)絡(luò)安全的重要手段。

參考文獻：

[1]國家能源局. 《電力行業(yè)信息系統(tǒng)安全等級保護基本要求》釋義[M]. 北京： 電子工業(yè)出版社，2014. 15-17.

[2]發(fā)改委[2014]14號， 《電力監(jiān)控系統(tǒng)安全防護規(guī)定》 [S].

[3]電監(jiān)信息[2012]62號， 《電力行業(yè)信息系統(tǒng)安全等級保護基本要求》[S].