王 堯，劉 珊，王少博

（國(guó)網(wǎng)山西省電力公司電力科學(xué)研究院，山西 太原 030001）

0 引言

為提升風(fēng)電、光伏等新能源消納空間，降低全社會(huì)用能成本，山西能源監(jiān)管制定并印發(fā)《山西獨(dú)立儲(chǔ)能和用戶可控負(fù)荷參與電力調(diào)峰市場(chǎng)交易實(shí)施細(xì)則（試行）》，指導(dǎo)引導(dǎo)獨(dú)立儲(chǔ)能和用戶可控負(fù)荷在電力現(xiàn)貨試運(yùn)行期間開(kāi)展電網(wǎng)削峰填谷。用戶可控負(fù)荷市場(chǎng)主體包括電力用戶和輔助服務(wù)聚合商。其中輔助服務(wù)聚合商指的是將可控負(fù)荷用戶聚合集中在一起，作為整體參與電力調(diào)峰交易并代理相關(guān)商務(wù)事宜的機(jī)構(gòu)。輔助服務(wù)聚合商參加電力調(diào)峰市場(chǎng)交易需滿足準(zhǔn)入條件，包括基本要求、與調(diào)度機(jī)構(gòu)數(shù)據(jù)交互要求、功率調(diào)節(jié)要求等。輔助服務(wù)聚合商與調(diào)度機(jī)構(gòu)進(jìn)行數(shù)據(jù)交互，主要依托輔助服務(wù)聚合平臺(tái)（以下簡(jiǎn)稱“聚合平臺(tái)”）。聚合平臺(tái)自身網(wǎng)絡(luò)安全性一旦無(wú)法保證，在與調(diào)度機(jī)構(gòu)進(jìn)行數(shù)據(jù)交互時(shí)，極有可能泄露敏感交易數(shù)據(jù)進(jìn)而引發(fā)交易市場(chǎng)混亂等惡性結(jié)果。因此，對(duì)聚合平臺(tái)進(jìn)行網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估勢(shì)在必行。

1 網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估技術(shù)

網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估是一種主動(dòng)防御技術(shù)，在安全事件未發(fā)生時(shí)主動(dòng)分析和評(píng)估信息系統(tǒng)潛在安全隱患，根據(jù)評(píng)估結(jié)果而采取恰當(dāng)?shù)娘L(fēng)險(xiǎn)控制措施，有效降低網(wǎng)絡(luò)安全風(fēng)險(xiǎn)。在風(fēng)險(xiǎn)評(píng)估技術(shù)實(shí)際應(yīng)用過(guò)程中，按照技術(shù)的應(yīng)用范圍和應(yīng)用方式，可分為基線核查、自動(dòng)化漏洞掃描、滲透測(cè)試等。

基線核查是通過(guò)檢查各安全配置參數(shù)是否符合安全基線的評(píng)估技術(shù)，包括操作系統(tǒng)、中間件、數(shù)據(jù)庫(kù)等的基線核查，是一種合規(guī)性安全檢測(cè)。安全基線指的是為滿足安全規(guī)范要求，信息系統(tǒng)安全配置必須達(dá)到的基礎(chǔ)標(biāo)準(zhǔn)。以操作系統(tǒng)為例，其核查項(xiàng)包括賬號(hào)配置、口令配置、授權(quán)配置、日志配置、IP通信配置等方面內(nèi)容，這些配置情況可以直接反映操作系統(tǒng)自身安全的脆弱性。

自動(dòng)化漏洞掃描是基于漏洞數(shù)據(jù)庫(kù)通過(guò)自動(dòng)化掃描的手段對(duì)目標(biāo)系統(tǒng)進(jìn)行安全脆弱性檢測(cè)，并發(fā)現(xiàn)可利用漏洞的安全評(píng)估技術(shù)，集成端口掃描、后門(mén)程序檢測(cè)、口令爆破、組件檢測(cè)、應(yīng)用掃描等模塊，實(shí)現(xiàn)對(duì)目標(biāo)系統(tǒng)的一體化安全風(fēng)險(xiǎn)評(píng)估。

滲透測(cè)試是為了證明網(wǎng)絡(luò)防御按照預(yù)期計(jì)劃正常運(yùn)行而提供的一種評(píng)估技術(shù)，一般采用手動(dòng)操作。測(cè)試人員使用與攻擊者相同的工具、技術(shù)和流程，來(lái)查找和展示系統(tǒng)弱點(diǎn)對(duì)業(yè)務(wù)帶來(lái)的影響。滲透測(cè)試會(huì)模擬各種可能威脅聚合平臺(tái)業(yè)務(wù)的攻擊，檢查系統(tǒng)是否足夠穩(wěn)定，能否抵抗來(lái)自經(jīng)過(guò)聚合平臺(tái)認(rèn)證和未經(jīng)認(rèn)證的攻擊。通過(guò)滲透測(cè)試往往能發(fā)現(xiàn)目標(biāo)系統(tǒng)更為深層的應(yīng)用層漏洞。

2 針對(duì)聚合平臺(tái)的適用性分析

2.1 基線核查

在信息系統(tǒng)實(shí)際開(kāi)發(fā)運(yùn)維過(guò)程中，開(kāi)發(fā)運(yùn)維人員往往以降低安全性為代價(jià)，提高開(kāi)發(fā)運(yùn)維工作的便利性，其主要修改項(xiàng)即為服務(wù)器基礎(chǔ)配置。因此，在聚合平臺(tái)正式上線投運(yùn)前，開(kāi)展基線核查并進(jìn)行安全加固應(yīng)作為基本措施，為聚合平臺(tái)提供基礎(chǔ)的安全保障。基線核查是合規(guī)性檢測(cè)，應(yīng)確保聚合平臺(tái)服務(wù)器相關(guān)設(shè)置符合各級(jí)法律法規(guī)，尤以各類日志留存的配置作為核查重點(diǎn)，如服務(wù)器安全日志、Web容器日志等，保證聚合平臺(tái)發(fā)生故障或安全事件時(shí)，通過(guò)日志進(jìn)行事件分析處置。

根據(jù)服務(wù)器部署情況，聚合平臺(tái)可劃分為使用云平臺(tái)和使用自有的獨(dú)立服務(wù)器兩種。在安全評(píng)估實(shí)際實(shí)施時(shí)，基線核查針對(duì)這兩種聚合平臺(tái)，可采用不同的評(píng)估方式。云平臺(tái)服務(wù)器初始鏡像一般已做基礎(chǔ)安全加固，配置的安全性有一定保障，同時(shí)云平臺(tái)的安全中心往往自帶基線檢查功能。針對(duì)此類聚合平臺(tái)進(jìn)行基線核查時(shí)，可充分利用平臺(tái)基線檢查功能，根據(jù)實(shí)際情況修改檢查策略，采用自動(dòng)化檢測(cè)方式批量完成配置檢查，提高基線核查效率。而獨(dú)立服務(wù)器一般采用操作系統(tǒng)、中間件、數(shù)據(jù)庫(kù)的初始化配置，安全性相對(duì)較差，實(shí)施評(píng)估時(shí)可加大人工核查比例，并提供檢測(cè)詳情說(shuō)明和基線加固建議，協(xié)助完成問(wèn)題整改。

2.2 自動(dòng)化漏洞掃描

2.2.1 適用性分析

聚合平臺(tái)一般采用Web架構(gòu)搭建，由中間件、數(shù)據(jù)庫(kù)、緩存組件、遠(yuǎn)程管理等多種服務(wù)或組件構(gòu)成，向下對(duì)可控負(fù)荷用戶提供服務(wù)，向上連接調(diào)控機(jī)構(gòu)進(jìn)行數(shù)據(jù)交互。依托漏洞數(shù)據(jù)庫(kù)，自動(dòng)化漏洞掃描可將聚合平臺(tái)中可能存在的已知漏洞、弱口令、簡(jiǎn)單應(yīng)用層漏洞掃描出來(lái)，完成基礎(chǔ)漏洞層面的風(fēng)險(xiǎn)評(píng)估，構(gòu)成風(fēng)險(xiǎn)評(píng)估的主體。

2.2.2 技術(shù)參數(shù)分析

當(dāng)前主流的自動(dòng)化漏洞掃描設(shè)備或工具可以分為兩類，一類是以國(guó)家信息安全漏洞庫(kù)、國(guó)家信息安全漏洞共享平臺(tái)等公開(kāi)漏洞庫(kù)為主要漏洞庫(kù)，用于發(fā)現(xiàn)操作系統(tǒng)、組件、設(shè)備的已知漏洞，簡(jiǎn)稱為主機(jī)漏掃；另一類是以Web應(yīng)用程序?yàn)閽呙枘繕?biāo)，用于發(fā)現(xiàn)SQL注入、文件上傳、信息泄露等Web應(yīng)用層漏洞，簡(jiǎn)稱為應(yīng)用漏掃。

主機(jī)漏掃可以省去各種既耗時(shí)又耗力的人工操作，測(cè)試人員不必逐個(gè)測(cè)試驗(yàn)證聚合平臺(tái)是否存在某項(xiàng)已知漏洞。從安全評(píng)估的全面性和效率上出發(fā)，自動(dòng)化漏洞掃描必須包含主機(jī)漏掃。需要注意的技術(shù)參數(shù)主要有掃描速率和漏洞數(shù)據(jù)庫(kù)版本兩項(xiàng)。掃描速率可以根據(jù)聚合平臺(tái)實(shí)際網(wǎng)絡(luò)吞吐量進(jìn)行調(diào)整，或者兼顧掃描效率和平臺(tái)平穩(wěn)運(yùn)行以適中的速率進(jìn)行。保持漏洞數(shù)據(jù)庫(kù)版本為最新，同時(shí)輔以特定漏洞驗(yàn)證腳本、應(yīng)用層框架漏洞驗(yàn)證工具，彌補(bǔ)漏洞庫(kù)的安全評(píng)估缺失項(xiàng)。

應(yīng)用漏掃在配置和操作得當(dāng)?shù)那闆r下，可以輔助測(cè)試人員發(fā)現(xiàn)應(yīng)用層漏洞，可作為安全評(píng)估的可選項(xiàng)。之所以應(yīng)用漏掃非必要，是因?yàn)閼?yīng)用漏掃一旦配置或操作不當(dāng)，可能會(huì)對(duì)聚合平臺(tái)造成一定影響，如服務(wù)器宕機(jī)、數(shù)據(jù)篡改等。為了消除應(yīng)用漏掃對(duì)聚合平臺(tái)的影響，安全評(píng)估就不能針對(duì)生產(chǎn)環(huán)境的聚合平臺(tái)開(kāi)展，聚合商必須具備單獨(dú)的測(cè)試環(huán)境，這無(wú)疑增加了風(fēng)險(xiǎn)評(píng)估的成本。

2.3 滲透測(cè)試

2.3.1 適用性分析

為了可控負(fù)荷用戶使用上的便利，聚合平臺(tái)一般是公網(wǎng)開(kāi)放的，可控負(fù)荷用戶可通過(guò)公網(wǎng)訪問(wèn)聚合平臺(tái)。對(duì)于外部攻擊者而言，主要攻擊點(diǎn)就是對(duì)外開(kāi)放的Web服務(wù)。因此，針對(duì)聚合平臺(tái)開(kāi)展安全評(píng)估時(shí)，應(yīng)將滲透測(cè)試作為安全評(píng)估的重要補(bǔ)充。因?yàn)闈B透測(cè)試人員會(huì)在評(píng)估過(guò)程中利用最新攻擊技術(shù)，思考越過(guò)安全防護(hù)的方法，提供更為深入的評(píng)估，極大地彌補(bǔ)了自動(dòng)化測(cè)試容易忽略的業(yè)務(wù)邏輯漏洞，如數(shù)據(jù)驗(yàn)證、完整性檢查。同時(shí)，滲透測(cè)試可以輔助分析，幫助識(shí)別自動(dòng)化漏洞掃描誤報(bào)的問(wèn)題。

2.3.2 技術(shù)參數(shù)分析

根據(jù)授權(quán)范圍的大小，滲透測(cè)試可劃分為黑盒、灰盒、白盒三類滲透測(cè)試方式。黑盒是指評(píng)估方對(duì)聚合平臺(tái)的結(jié)構(gòu)一無(wú)所知，完全模擬外部攻擊者探尋任何可從外部發(fā)起攻擊的安全漏洞；灰盒是指評(píng)估方通過(guò)實(shí)地訪談、查詢資料等方式對(duì)聚合平臺(tái)具備初步了解，但不了解聚合平臺(tái)的內(nèi)部數(shù)據(jù)結(jié)構(gòu)、代碼和算法；白盒是指評(píng)估方可以獲取聚合平臺(tái)的所有設(shè)計(jì)實(shí)施文件，如源代碼、二進(jìn)制程序、設(shè)計(jì)文檔等，在此基礎(chǔ)上進(jìn)行安全評(píng)估。

針對(duì)聚合平臺(tái)開(kāi)展?jié)B透測(cè)試時(shí)，首先應(yīng)綜合權(quán)衡評(píng)估雙方利益應(yīng)考慮灰盒模式。安全評(píng)估在已知平臺(tái)信息的前提下，評(píng)估工作會(huì)更高效，測(cè)評(píng)效果更顯著。顯然，從白盒、灰盒再到黑盒，安全評(píng)估的充分性是依次降低的，從評(píng)估方角度出發(fā)，白盒模式更有利于發(fā)現(xiàn)聚合平臺(tái)的安全隱患。而對(duì)于聚合商自身來(lái)說(shuō)，聚合平臺(tái)的設(shè)計(jì)實(shí)施文件具備一定商業(yè)價(jià)值，不應(yīng)貿(mào)然外傳，否則可能會(huì)造成經(jīng)濟(jì)損失，同時(shí)也可能因?yàn)樵u(píng)估方的不當(dāng)行為帶來(lái)安全隱患。因此，適中的灰盒模式可兼顧評(píng)估雙方利益，聚合商僅提供聚合平臺(tái)設(shè)備與應(yīng)用賬號(hào)密碼，并在評(píng)估結(jié)束后立即修改口令和配置，而無(wú)需提供設(shè)計(jì)文檔和源代碼，這樣既有利于安全評(píng)估的開(kāi)展，又在供應(yīng)鏈層面保障聚合平臺(tái)的安全性。其次，滲透測(cè)試的評(píng)估效果與測(cè)試人員自身經(jīng)驗(yàn)和技術(shù)水平直接相關(guān)，在聚合平臺(tái)安全評(píng)估中可根據(jù)實(shí)際情況選用經(jīng)驗(yàn)更為豐富的測(cè)試人員進(jìn)行測(cè)試，充分查找出聚合平臺(tái)Web應(yīng)用層潛在的安全隱患。滲透測(cè)試通常分為信息收集、漏洞掃描、漏洞利用、后滲透4個(gè)步驟，在對(duì)聚合平臺(tái)的安全評(píng)估中一般僅需前3步即可，后滲透可能會(huì)對(duì)聚合商其他信息系統(tǒng)甚至調(diào)控機(jī)構(gòu)造成影響。

3 結(jié)束語(yǔ)

針對(duì)電力輔助服務(wù)聚合平臺(tái)進(jìn)行網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估時(shí)，應(yīng)將基線核查作為基礎(chǔ)措施，自動(dòng)化漏洞掃描作為主要手段，滲透測(cè)試作為重要補(bǔ)充。基線核查可根據(jù)聚合平臺(tái)服務(wù)器實(shí)際部署情況，調(diào)整自動(dòng)化核查和人工核查比例，提高基線核查效率和效果；自動(dòng)化漏洞掃描應(yīng)包含主機(jī)漏掃，掃描速率適中，輔以特定漏洞驗(yàn)證腳本、應(yīng)用層框架漏洞驗(yàn)證工具；滲透測(cè)試選用灰盒模式，取消后滲透環(huán)節(jié)。