王 堯，劉 珊，王少博

（國網(wǎng)山西省電力公司電力科學(xué)研究院，山西 太原 030001）

0 引言

為提升風(fēng)電、光伏等新能源消納空間，降低全社會用能成本，山西能源監(jiān)管制定并印發(fā)《山西獨立儲能和用戶可控負(fù)荷參與電力調(diào)峰市場交易實施細(xì)則（試行）》，指導(dǎo)引導(dǎo)獨立儲能和用戶可控負(fù)荷在電力現(xiàn)貨試運行期間開展電網(wǎng)削峰填谷。用戶可控負(fù)荷市場主體包括電力用戶和輔助服務(wù)聚合商。其中輔助服務(wù)聚合商指的是將可控負(fù)荷用戶聚合集中在一起，作為整體參與電力調(diào)峰交易并代理相關(guān)商務(wù)事宜的機(jī)構(gòu)。輔助服務(wù)聚合商參加電力調(diào)峰市場交易需滿足準(zhǔn)入條件，包括基本要求、與調(diào)度機(jī)構(gòu)數(shù)據(jù)交互要求、功率調(diào)節(jié)要求等。輔助服務(wù)聚合商與調(diào)度機(jī)構(gòu)進(jìn)行數(shù)據(jù)交互，主要依托輔助服務(wù)聚合平臺（以下簡稱“聚合平臺”）。聚合平臺自身網(wǎng)絡(luò)安全性一旦無法保證，在與調(diào)度機(jī)構(gòu)進(jìn)行數(shù)據(jù)交互時，極有可能泄露敏感交易數(shù)據(jù)進(jìn)而引發(fā)交易市場混亂等惡性結(jié)果。因此，對聚合平臺進(jìn)行網(wǎng)絡(luò)安全風(fēng)險評估勢在必行。

1 網(wǎng)絡(luò)安全風(fēng)險評估技術(shù)

網(wǎng)絡(luò)安全風(fēng)險評估是一種主動防御技術(shù)，在安全事件未發(fā)生時主動分析和評估信息系統(tǒng)潛在安全隱患，根據(jù)評估結(jié)果而采取恰當(dāng)?shù)娘L(fēng)險控制措施，有效降低網(wǎng)絡(luò)安全風(fēng)險。在風(fēng)險評估技術(shù)實際應(yīng)用過程中，按照技術(shù)的應(yīng)用范圍和應(yīng)用方式，可分為基線核查、自動化漏洞掃描、滲透測試等。

基線核查是通過檢查各安全配置參數(shù)是否符合安全基線的評估技術(shù)，包括操作系統(tǒng)、中間件、數(shù)據(jù)庫等的基線核查，是一種合規(guī)性安全檢測。安全基線指的是為滿足安全規(guī)范要求，信息系統(tǒng)安全配置必須達(dá)到的基礎(chǔ)標(biāo)準(zhǔn)。以操作系統(tǒng)為例，其核查項包括賬號配置、口令配置、授權(quán)配置、日志配置、IP通信配置等方面內(nèi)容，這些配置情況可以直接反映操作系統(tǒng)自身安全的脆弱性。

自動化漏洞掃描是基于漏洞數(shù)據(jù)庫通過自動化掃描的手段對目標(biāo)系統(tǒng)進(jìn)行安全脆弱性檢測，并發(fā)現(xiàn)可利用漏洞的安全評估技術(shù)，集成端口掃描、后門程序檢測、口令爆破、組件檢測、應(yīng)用掃描等模塊，實現(xiàn)對目標(biāo)系統(tǒng)的一體化安全風(fēng)險評估。

滲透測試是為了證明網(wǎng)絡(luò)防御按照預(yù)期計劃正常運行而提供的一種評估技術(shù)，一般采用手動操作。測試人員使用與攻擊者相同的工具、技術(shù)和流程，來查找和展示系統(tǒng)弱點對業(yè)務(wù)帶來的影響。滲透測試會模擬各種可能威脅聚合平臺業(yè)務(wù)的攻擊，檢查系統(tǒng)是否足夠穩(wěn)定，能否抵抗來自經(jīng)過聚合平臺認(rèn)證和未經(jīng)認(rèn)證的攻擊。通過滲透測試往往能發(fā)現(xiàn)目標(biāo)系統(tǒng)更為深層的應(yīng)用層漏洞。

2 針對聚合平臺的適用性分析

2.1 基線核查

在信息系統(tǒng)實際開發(fā)運維過程中，開發(fā)運維人員往往以降低安全性為代價，提高開發(fā)運維工作的便利性，其主要修改項即為服務(wù)器基礎(chǔ)配置。因此，在聚合平臺正式上線投運前，開展基線核查并進(jìn)行安全加固應(yīng)作為基本措施，為聚合平臺提供基礎(chǔ)的安全保障。基線核查是合規(guī)性檢測，應(yīng)確保聚合平臺服務(wù)器相關(guān)設(shè)置符合各級法律法規(guī)，尤以各類日志留存的配置作為核查重點，如服務(wù)器安全日志、Web容器日志等，保證聚合平臺發(fā)生故障或安全事件時，通過日志進(jìn)行事件分析處置。

根據(jù)服務(wù)器部署情況，聚合平臺可劃分為使用云平臺和使用自有的獨立服務(wù)器兩種。在安全評估實際實施時，基線核查針對這兩種聚合平臺，可采用不同的評估方式。云平臺服務(wù)器初始鏡像一般已做基礎(chǔ)安全加固，配置的安全性有一定保障，同時云平臺的安全中心往往自帶基線檢查功能。針對此類聚合平臺進(jìn)行基線核查時，可充分利用平臺基線檢查功能，根據(jù)實際情況修改檢查策略，采用自動化檢測方式批量完成配置檢查，提高基線核查效率。而獨立服務(wù)器一般采用操作系統(tǒng)、中間件、數(shù)據(jù)庫的初始化配置，安全性相對較差，實施評估時可加大人工核查比例，并提供檢測詳情說明和基線加固建議，協(xié)助完成問題整改。

2.2 自動化漏洞掃描

2.2.1 適用性分析

聚合平臺一般采用Web架構(gòu)搭建，由中間件、數(shù)據(jù)庫、緩存組件、遠(yuǎn)程管理等多種服務(wù)或組件構(gòu)成，向下對可控負(fù)荷用戶提供服務(wù)，向上連接調(diào)控機(jī)構(gòu)進(jìn)行數(shù)據(jù)交互。依托漏洞數(shù)據(jù)庫，自動化漏洞掃描可將聚合平臺中可能存在的已知漏洞、弱口令、簡單應(yīng)用層漏洞掃描出來，完成基礎(chǔ)漏洞層面的風(fēng)險評估，構(gòu)成風(fēng)險評估的主體。

2.2.2 技術(shù)參數(shù)分析

當(dāng)前主流的自動化漏洞掃描設(shè)備或工具可以分為兩類，一類是以國家信息安全漏洞庫、國家信息安全漏洞共享平臺等公開漏洞庫為主要漏洞庫，用于發(fā)現(xiàn)操作系統(tǒng)、組件、設(shè)備的已知漏洞，簡稱為主機(jī)漏掃；另一類是以Web應(yīng)用程序為掃描目標(biāo)，用于發(fā)現(xiàn)SQL注入、文件上傳、信息泄露等Web應(yīng)用層漏洞，簡稱為應(yīng)用漏掃。

主機(jī)漏掃可以省去各種既耗時又耗力的人工操作，測試人員不必逐個測試驗證聚合平臺是否存在某項已知漏洞。從安全評估的全面性和效率上出發(fā)，自動化漏洞掃描必須包含主機(jī)漏掃。需要注意的技術(shù)參數(shù)主要有掃描速率和漏洞數(shù)據(jù)庫版本兩項。掃描速率可以根據(jù)聚合平臺實際網(wǎng)絡(luò)吞吐量進(jìn)行調(diào)整，或者兼顧掃描效率和平臺平穩(wěn)運行以適中的速率進(jìn)行。保持漏洞數(shù)據(jù)庫版本為最新，同時輔以特定漏洞驗證腳本、應(yīng)用層框架漏洞驗證工具，彌補漏洞庫的安全評估缺失項。

應(yīng)用漏掃在配置和操作得當(dāng)?shù)那闆r下，可以輔助測試人員發(fā)現(xiàn)應(yīng)用層漏洞，可作為安全評估的可選項。之所以應(yīng)用漏掃非必要，是因為應(yīng)用漏掃一旦配置或操作不當(dāng)，可能會對聚合平臺造成一定影響，如服務(wù)器宕機(jī)、數(shù)據(jù)篡改等。為了消除應(yīng)用漏掃對聚合平臺的影響，安全評估就不能針對生產(chǎn)環(huán)境的聚合平臺開展，聚合商必須具備單獨的測試環(huán)境，這無疑增加了風(fēng)險評估的成本。

2.3 滲透測試

2.3.1 適用性分析

為了可控負(fù)荷用戶使用上的便利，聚合平臺一般是公網(wǎng)開放的，可控負(fù)荷用戶可通過公網(wǎng)訪問聚合平臺。對于外部攻擊者而言，主要攻擊點就是對外開放的Web服務(wù)。因此，針對聚合平臺開展安全評估時，應(yīng)將滲透測試作為安全評估的重要補充。因為滲透測試人員會在評估過程中利用最新攻擊技術(shù)，思考越過安全防護(hù)的方法，提供更為深入的評估，極大地彌補了自動化測試容易忽略的業(yè)務(wù)邏輯漏洞，如數(shù)據(jù)驗證、完整性檢查。同時，滲透測試可以輔助分析，幫助識別自動化漏洞掃描誤報的問題。

2.3.2 技術(shù)參數(shù)分析

根據(jù)授權(quán)范圍的大小，滲透測試可劃分為黑盒、灰盒、白盒三類滲透測試方式。黑盒是指評估方對聚合平臺的結(jié)構(gòu)一無所知，完全模擬外部攻擊者探尋任何可從外部發(fā)起攻擊的安全漏洞；灰盒是指評估方通過實地訪談、查詢資料等方式對聚合平臺具備初步了解，但不了解聚合平臺的內(nèi)部數(shù)據(jù)結(jié)構(gòu)、代碼和算法；白盒是指評估方可以獲取聚合平臺的所有設(shè)計實施文件，如源代碼、二進(jìn)制程序、設(shè)計文檔等，在此基礎(chǔ)上進(jìn)行安全評估。

針對聚合平臺開展?jié)B透測試時，首先應(yīng)綜合權(quán)衡評估雙方利益應(yīng)考慮灰盒模式。安全評估在已知平臺信息的前提下，評估工作會更高效，測評效果更顯著。顯然，從白盒、灰盒再到黑盒，安全評估的充分性是依次降低的，從評估方角度出發(fā)，白盒模式更有利于發(fā)現(xiàn)聚合平臺的安全隱患。而對于聚合商自身來說，聚合平臺的設(shè)計實施文件具備一定商業(yè)價值，不應(yīng)貿(mào)然外傳，否則可能會造成經(jīng)濟(jì)損失，同時也可能因為評估方的不當(dāng)行為帶來安全隱患。因此，適中的灰盒模式可兼顧評估雙方利益，聚合商僅提供聚合平臺設(shè)備與應(yīng)用賬號密碼，并在評估結(jié)束后立即修改口令和配置，而無需提供設(shè)計文檔和源代碼，這樣既有利于安全評估的開展，又在供應(yīng)鏈層面保障聚合平臺的安全性。其次，滲透測試的評估效果與測試人員自身經(jīng)驗和技術(shù)水平直接相關(guān)，在聚合平臺安全評估中可根據(jù)實際情況選用經(jīng)驗更為豐富的測試人員進(jìn)行測試，充分查找出聚合平臺Web應(yīng)用層潛在的安全隱患。滲透測試通常分為信息收集、漏洞掃描、漏洞利用、后滲透4個步驟，在對聚合平臺的安全評估中一般僅需前3步即可，后滲透可能會對聚合商其他信息系統(tǒng)甚至調(diào)控機(jī)構(gòu)造成影響。

3 結(jié)束語

針對電力輔助服務(wù)聚合平臺進(jìn)行網(wǎng)絡(luò)安全風(fēng)險評估時，應(yīng)將基線核查作為基礎(chǔ)措施，自動化漏洞掃描作為主要手段，滲透測試作為重要補充?；€核查可根據(jù)聚合平臺服務(wù)器實際部署情況，調(diào)整自動化核查和人工核查比例，提高基線核查效率和效果；自動化漏洞掃描應(yīng)包含主機(jī)漏掃，掃描速率適中，輔以特定漏洞驗證腳本、應(yīng)用層框架漏洞驗證工具；滲透測試選用灰盒模式，取消后滲透環(huán)節(jié)。