周宏偉，付宇澤，郭 鵬

（1.國網(wǎng)吉林省電力有限公司電力科學(xué)研究院，長春 130021；2.梅河口世基電力科技有限公司，吉林 通化 135022）

0 引言

隨著計(jì)算機(jī)和網(wǎng)絡(luò)通信技術(shù)在電力監(jiān)控系統(tǒng)中的廣泛應(yīng)用，電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全問題日益凸顯［1］。利用漏洞開展網(wǎng)絡(luò)攻擊對(duì)電力監(jiān)控系統(tǒng)的安全性具有嚴(yán)重威脅，因此對(duì)主機(jī)漏洞進(jìn)行綜合加固，并對(duì)綜合加固后的危險(xiǎn)度進(jìn)行評(píng)估，對(duì)于提高網(wǎng)絡(luò)安全性具有重要的意義。

按照電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全防護(hù)的相關(guān)要求，運(yùn)行單位應(yīng)對(duì)本單位的電力監(jiān)控系統(tǒng)定期組織開展自評(píng)估。然而在GB／T 30279—2020《信息安全技術(shù)網(wǎng)絡(luò)安全漏洞分類劃分指南》［2］發(fā)布前，第三方通用漏掃工具的主機(jī)漏洞危險(xiǎn)度通常按照“等級(jí)劃分要素”劃分等級(jí)，這導(dǎo)致電力監(jiān)控系統(tǒng)主機(jī)漏洞進(jìn)行綜合加固后，其等級(jí)劃分要素未發(fā)生變化，其危險(xiǎn)度評(píng)分也并未改變。

為進(jìn)一步提高電力監(jiān)控系統(tǒng)主機(jī)漏洞綜合加固后危險(xiǎn)度自評(píng)估的準(zhǔn)確性，本文提出了基于環(huán)境因素量化賦值的電力監(jiān)控系統(tǒng)主機(jī)漏洞綜合加固后的自評(píng)估量化方法，充分考慮漏洞特征的環(huán)境因素三要素，編制了電力監(jiān)控系統(tǒng)主機(jī)漏洞綜合加固后環(huán)境因素量化賦值表。避免了通用漏掃工具在漏洞綜合加固后危險(xiǎn)度評(píng)分不變的不合理現(xiàn)象，實(shí)現(xiàn)了電力監(jiān)控系統(tǒng)主機(jī)漏洞綜合加固后的快速自評(píng)估。

1 網(wǎng)絡(luò)安全漏洞分級(jí)

文獻(xiàn)［2］是由全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)對(duì)GB／T 33561—2017《信息安全技術(shù)安全漏洞分類》和GB／T 30279—2013《信息安全技術(shù)安全漏洞等級(jí)劃分指南》的內(nèi)容進(jìn)行了合并修改，2020年11月19日發(fā)布并于2021年6月1日實(shí)施。修訂后的文獻(xiàn)［2］給出了網(wǎng)絡(luò)安全漏洞的分類方式、分級(jí)指標(biāo)及分級(jí)方法指南，適用于漏洞分類、漏洞危害等級(jí)評(píng)估等相關(guān)工作。網(wǎng)絡(luò)安全漏洞分級(jí)方法修訂為技術(shù)分級(jí)和綜合分級(jí)［3］，其中技術(shù)分級(jí)用于從技術(shù)角度劃分漏洞危害等級(jí)，考慮被利用性和影響度兩個(gè)指標(biāo)，反映特定產(chǎn)品或系統(tǒng)的漏洞危害程度；綜合分級(jí)用于特定場(chǎng)景下劃分漏洞危害等級(jí)，在技術(shù)分級(jí)基礎(chǔ)上考慮了環(huán)境因素指標(biāo)，反映在特定時(shí)期、特定環(huán)境下的危害程度。技術(shù)分級(jí)和綜合分級(jí)均可按超危、高危、中危和低危4個(gè)等級(jí)劃分。被利用性、影響度和環(huán)境因素3類指標(biāo)，主要用于闡述漏洞特征的屬性和賦值。其中，被利用性指標(biāo)包括訪問路徑、觸發(fā)要素、權(quán)限需求、交互條件，文獻(xiàn)［2］中詳細(xì)說明了每種指標(biāo)不同的賦值條件；影響度指標(biāo)包括保密性、完整性、可用性，每個(gè)指標(biāo)的賦值均分為嚴(yán)重、一般、無；環(huán)境因素指標(biāo)包括被利用成本、修復(fù)難度、可用影響范圍，被利用成本、修復(fù)難度指標(biāo)的賦值分為高、中、低，可用影響范圍指標(biāo)分為高、中、低、無。

首先，漏洞分級(jí)過程對(duì)指標(biāo)進(jìn)行量化賦值，即根據(jù)具體漏洞進(jìn)行人工賦值；然后，進(jìn)行指標(biāo)分級(jí)，參照賦值結(jié)果依據(jù)被利用性和影響度進(jìn)行技術(shù)分級(jí)，依據(jù)環(huán)境因素進(jìn)行環(huán)境因素分級(jí)，其中環(huán)境因素指標(biāo)分為1～9級(jí)；最后，根據(jù)文獻(xiàn)［2］漏洞綜合分級(jí)計(jì)算方法進(jìn)行綜合分級(jí)，按超危、高危、中危和低危分為4個(gè)等級(jí)。漏洞綜合分級(jí)見表1。

表1 漏洞綜合分級(jí)表

2 電力監(jiān)控系統(tǒng)主機(jī)漏洞綜合加固方法

電力監(jiān)控系統(tǒng)主機(jī)發(fā)現(xiàn)漏洞后應(yīng)及時(shí)加固，然而在實(shí)際操作中，經(jīng)常面臨操作系統(tǒng)即將更換、組件缺失、廠家售后支撐不足、檢修工期臨近、即將技術(shù)改造等情況，致使無法及時(shí)加固或只能部分加固主機(jī)本身。依據(jù)“安全分區(qū)、網(wǎng)絡(luò)專用、橫向隔離、縱向認(rèn)證”的電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全防護(hù)原則，考慮在電力監(jiān)控系統(tǒng)主機(jī)所在的安全分區(qū)內(nèi)，對(duì)主機(jī)漏洞進(jìn)洞進(jìn)行綜合加固，即在安全分區(qū)的框架環(huán)境下，在防火墻、電力專用縱向加密認(rèn)證裝置、電力專用橫向隔離裝置、電力專用網(wǎng)關(guān)等網(wǎng)絡(luò)安全裝置上部署具有針對(duì)性的主機(jī)漏洞防護(hù)策略，解決主機(jī)無法及時(shí)升級(jí)加固的現(xiàn)實(shí)問題，以提高其網(wǎng)絡(luò)安全性。

以漏洞CVE-1999-0526為例，說明本文如何進(jìn)行漏洞綜合加固。CVE-1999-0526漏洞可描述為X服務(wù)器的訪問控件被關(guān)閉，任意用戶可以連接到服務(wù)器上。如果允許從任意網(wǎng)際協(xié)議（internet protocol，IP）連接X服務(wù)器，那么攻擊者可能登錄X服務(wù)器并記錄使用同一X服務(wù)器的其他X客戶端的所有擊鍵操作，導(dǎo)致用戶的帳號(hào)、密碼等敏感信息泄露。若對(duì)其進(jìn)行漏洞綜合加固，在考慮不能關(guān)閉dgm服務(wù)的情況下，可采用防火墻加入禁止訪問電力監(jiān)控系統(tǒng)主機(jī)6000／傳輸控制協(xié)議（transmission control protrols，TCP）的策略；若需要X服務(wù)運(yùn)行，可考慮在電力專用橫向隔離裝置加入電力監(jiān)控系統(tǒng)主機(jī)6000／TCP訪問允許白名單策略，同時(shí)電力監(jiān)控系統(tǒng)主機(jī)對(duì)Client端進(jìn)行過濾設(shè)置，禁止對(duì)未設(shè)置IP提供訪問服務(wù)等綜合加固方法對(duì)電力監(jiān)控系統(tǒng)主機(jī)漏洞進(jìn)行加固。

3 電力監(jiān)控系統(tǒng)主機(jī)漏洞綜合加固后的環(huán)境因素量化方法

目前，電力監(jiān)控系統(tǒng)中常用的漏掃工具均遵循通用安全漏洞評(píng)估系統(tǒng)（common vulnerability scoring system，CVSS）進(jìn)行漏洞等級(jí)評(píng)分［4］，CVSS將每個(gè)漏洞量化為0～10的具體分值，威脅等級(jí)分為高、中、低檔。在確定系統(tǒng)漏洞后，依據(jù)通用漏洞披露（common vulnerabilities＆exposures，CVE）編號(hào)可以查詢?cè)撀┒锤饕卦u(píng)定情況及其對(duì)應(yīng)的分值。然而CVSS采用的技術(shù)分級(jí)并未考慮環(huán)境因素進(jìn)行綜合分級(jí)，也尚未按照文獻(xiàn)［2］規(guī)定的超危、高危、中危和低危4個(gè)等級(jí)劃分危險(xiǎn)度。當(dāng)電力監(jiān)控系統(tǒng)主機(jī)漏洞綜合加固后，其環(huán)境因素發(fā)生變化，如果仍采用通用漏掃工具進(jìn)行漏洞技術(shù)分級(jí)，其主機(jī)危險(xiǎn)度評(píng)分將不會(huì)發(fā)生變化［5］。

因而，電力監(jiān)控系統(tǒng)主機(jī)漏洞分級(jí)應(yīng)充分考慮環(huán)境因素［6］。根據(jù)現(xiàn)有電力監(jiān)控系統(tǒng)安全防護(hù)體系，按照文獻(xiàn)［2］的建議，將環(huán)境因素中的被利用成本、修復(fù)難度、影響范圍3個(gè)指標(biāo)在網(wǎng)絡(luò)安全防護(hù)框架環(huán)境下量化，制定電力監(jiān)控系統(tǒng)主機(jī)漏洞綜合加固后環(huán)境因素量化賦值，見表2?？紤]到行業(yè)內(nèi)電力監(jiān)控系統(tǒng)的安全防護(hù)體系大致相同，本文設(shè)計(jì)了按照部署的網(wǎng)絡(luò)安全裝置類別進(jìn)行快速分類，查找所對(duì)應(yīng)的量化減分分類參考得出減分值，加和全部減分值計(jì)算出環(huán)境因素總減分值，然后參照表1修改環(huán)境因素分級(jí)，即可得出網(wǎng)絡(luò)安全漏洞綜合分級(jí)，實(shí)現(xiàn)電力監(jiān)控系統(tǒng)主機(jī)漏洞綜合加固后的快速自評(píng)估。

表2 電力監(jiān)控系統(tǒng)主機(jī)漏洞綜合加固后環(huán)境因素量化賦值

以漏洞CVE-2014-0160為例，說明本文方法在實(shí)踐中如何使用。CVE-2014-0160是一個(gè)存在于心跳協(xié)議上的數(shù)據(jù)泄露漏洞，攻擊者利用該漏洞可以遠(yuǎn)程讀取服務(wù)器內(nèi)存中64 KB的數(shù)據(jù)，獲取內(nèi)存中的敏感信息。CVE-2014-0160漏洞綜合分級(jí)過程如下。

1）按照文獻(xiàn)［2］表F中建議的被利用性賦值為9，影響度分級(jí)為4，通用漏掃軟件將其技術(shù)分級(jí)為高危；按照文獻(xiàn)［2］表F對(duì)環(huán)境因素賦值時(shí)，該漏洞被利用成本賦值為低、修復(fù)難度賦值為低、影響范圍賦值為高，環(huán)境因素賦值分為7，按照表1，此時(shí)綜合分級(jí)為高危。

2）由于漏洞加固時(shí)安全I(xiàn)區(qū)主機(jī)本身無法直接升級(jí)到最新安全版本，因此對(duì)主機(jī)實(shí)施綜合加固防護(hù)策略，設(shè)置host限制客戶端IP，僅允許指定IP訪問，同時(shí)設(shè)置縱向加密裝置為白名單規(guī)則，橫向隔離裝置為白名單規(guī)則（正向單向策略）。在綜合加固防護(hù)策略實(shí)施之后，若不考慮環(huán)境因素變化，主機(jī)漏洞技術(shù)分級(jí)保持高危不變，環(huán)境因素賦值依然為7，綜合分級(jí)仍然保持為高危，即主機(jī)漏洞綜合加固后，危險(xiǎn)度評(píng)分不變；若按表2考慮環(huán)境因素，得到量化減分值分別為－2和－3，總減分值為－5，環(huán)境因素賦值在電力監(jiān)控系統(tǒng)安全防護(hù)框架環(huán)境下得分為2分，根據(jù)表1，可判定此時(shí)綜合分級(jí)為低危。

4 結(jié)論

利用本文提出的基于環(huán)境因素量化賦值的電力監(jiān)控系統(tǒng)主機(jī)漏洞綜合加固后的自評(píng)估量化方法，根據(jù)綜合加固策略對(duì)漏洞危險(xiǎn)度進(jìn)行分級(jí)，得出以下結(jié)論：

1）當(dāng)電力監(jiān)控系統(tǒng)主機(jī)無法及時(shí)加固時(shí)，可充分利用現(xiàn)有資源進(jìn)行漏洞綜合加固；

2）在綜合加固后進(jìn)行自評(píng)估時(shí)要充分考慮環(huán)境因素變化，進(jìn)行綜合分級(jí)，避免通用漏掃工具在漏洞綜合加固后危險(xiǎn)度評(píng)分不變的不合理現(xiàn)象；

3）電力監(jiān)控系統(tǒng)主機(jī)進(jìn)行漏洞綜合加固后，可根據(jù)本文提供的電力監(jiān)控系統(tǒng)環(huán)境因素量化賦值表快速計(jì)算出環(huán)境因素分級(jí)，可實(shí)現(xiàn)漏洞綜合加固后的快速自評(píng)估，提高了電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全水平。