◆楊 軼 宋延成 遲宏哲

等級保護(hù)2.0時(shí)代下的電力系統(tǒng)身份安全研究

◆楊 軼1宋延成2遲宏哲2

（1.中電投東北新能源發(fā)展有限公司 遼寧 110181；2.國家電投東北電力有限公司 遼寧 110181）

在信息化建設(shè)過程中，網(wǎng)絡(luò)防護(hù)、數(shù)據(jù)保護(hù)、黑客入侵防范等建設(shè)往往被更多關(guān)注，而“身份與訪問控制”被選擇性忽略，從而形成信息安全短板。本文基于信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)基本要求，分析了網(wǎng)絡(luò)安全等級保護(hù)發(fā)展歷程、等保2.0的特點(diǎn)、面向電力系統(tǒng)網(wǎng)絡(luò)身份安全面臨的挑戰(zhàn)，提出了針對電力系統(tǒng)身份安全的等保措施，建立應(yīng)用的攻防對抗機(jī)制，多層次多角度減少內(nèi)部誤操作，遏制外部攻擊。

網(wǎng)絡(luò)防護(hù)；等保2.0；身份安全；攻防對抗

隨著電網(wǎng)互聯(lián)的進(jìn)一步發(fā)展，要求各地市供電公司和相關(guān)單位具有一個(gè)穩(wěn)定可靠的網(wǎng)絡(luò)平臺來保證電力企業(yè)的安全運(yùn)行，但各地市供電公司以及相關(guān)單位的局域網(wǎng)和城域網(wǎng)安全防護(hù)手段單一，缺乏對安全威脅態(tài)勢的動(dòng)態(tài)感知和提前預(yù)警。隨著電力部門對外開放的接口不斷增加，進(jìn)行雙網(wǎng)隔離后仍舊無法抵御各種持續(xù)變化和升級的攻擊手段。相對部署邏輯強(qiáng)隔離的專網(wǎng)，電力系統(tǒng)的外網(wǎng)安全更是岌岌可危。而公司需要通過安全等級較低的外網(wǎng)進(jìn)行比如財(cái)務(wù)報(bào)稅，員工收發(fā)郵件、移動(dòng)終端接入等必要行為，這將存在很大的安全隱患及潛在脆弱性，成為整個(gè)電力系統(tǒng)網(wǎng)絡(luò)的信息安全洼地，被惡意攻擊所利用，成為安全防御體系的突破口，從而造成巨大的經(jīng)濟(jì)損失。

據(jù)Imperva調(diào)查發(fā)現(xiàn)：有73%的企業(yè)員工表示，他們可以很輕松訪問到內(nèi)部敏感數(shù)據(jù)，Gartner的報(bào)告顯示，全球網(wǎng)絡(luò)安全支出2019年將超1240億美元人，而Facebook安全事件造成用戶身份泄露，被罰款50億美元。身份安全驗(yàn)證是保證信息不被泄露的基本保障，如何保證身份安全是面向電力系統(tǒng)網(wǎng)絡(luò)安全的首要前提。

2019年5月10日，《信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)基本要求》、《信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)測評要求》、《信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)安全設(shè)計(jì)技術(shù)要求》（以下稱等保2.0）正式發(fā)布，將于2019年12月1日正式實(shí)施。等保2.0的發(fā)布，是對除傳統(tǒng)信息系統(tǒng)之外的新型網(wǎng)絡(luò)系統(tǒng)安全防護(hù)能力提升的有效補(bǔ)充，是貫徹落實(shí)《中華人民共和國網(wǎng)絡(luò)安全法》、實(shí)現(xiàn)國家網(wǎng)絡(luò)安全戰(zhàn)略目標(biāo)的基礎(chǔ)。等保2.0較之前的舊標(biāo)準(zhǔn)有突破性的進(jìn)展，尤其在移動(dòng)互聯(lián)、云計(jì)算、物聯(lián)網(wǎng)等新的業(yè)務(wù)環(huán)境均提供了安全建設(shè)標(biāo)準(zhǔn)和指導(dǎo)，也為電力系統(tǒng)網(wǎng)絡(luò)安全建設(shè)，特別是身份安全研究指明了方向。

1 網(wǎng)絡(luò)安全等級保護(hù)發(fā)展歷程

1994年，國務(wù)院147號令第一次提出“計(jì)算機(jī)信息系統(tǒng)實(shí)行安全等級保護(hù)”概念；

2007年，《信息安全等級保護(hù)管理辦法》發(fā)布信息安全等級保護(hù)制度正式實(shí)施，進(jìn)入等保1.0時(shí)代；

2008年，GB/T 22239-2008 《信息安全技術(shù)信息系統(tǒng)安全等級保護(hù)基本要求》國家標(biāo)準(zhǔn)發(fā)布實(shí)施；

2017年《網(wǎng)絡(luò)安全法》第二十一條規(guī)定國家實(shí)行網(wǎng)絡(luò)安全等級保護(hù)制度，標(biāo)志著等級保護(hù)制度的法律地位；

2019年5月13日，GB/T22239-2019《信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)基本要求》國家標(biāo)準(zhǔn)正式頒布，標(biāo)志著“等保2.0”時(shí)代正式到來。

2 等保2.0的特點(diǎn)

網(wǎng)絡(luò)安全等級保護(hù)2.0新標(biāo)準(zhǔn)具有以下三個(gè)特點(diǎn)：

（1）在等保的基本要求方面、測評要求方面和安全設(shè)計(jì)技術(shù)要求方面框架統(tǒng)一，也就是說，安全管理中心具有三重防護(hù)結(jié)構(gòu)框架；

（2）等保2.0不但體現(xiàn)通用安全要求，同時(shí)也考慮新型應(yīng)用安全擴(kuò)展要求，將包括云計(jì)算、移動(dòng)互聯(lián)、物聯(lián)網(wǎng)、工業(yè)控制系統(tǒng)等列入標(biāo)準(zhǔn)規(guī)范；

（3）將可信計(jì)算及驗(yàn)證列入各級別和各環(huán)節(jié)主要功能要求。

作為等保2.0的性特點(diǎn)，可信計(jì)算的基本思想是，首先在計(jì)算機(jī)系統(tǒng)中構(gòu)建一個(gè)信任根，信任根的可信性由物理安全、技術(shù)安全和管理安全共同確保；再建立一條信任鏈，從信任根開始到軟硬件平臺、到操作系統(tǒng)、再到應(yīng)用，一級度量認(rèn)證一級、一級信任一級，把這種信任擴(kuò)展到整個(gè)計(jì)算機(jī)系統(tǒng)，從而確保整個(gè)計(jì)算機(jī)系統(tǒng)的可信?？尚庞?jì)算為身份安全提供了保證和支撐。相比等保1.0，等保2.0增加了可信計(jì)算的相關(guān)要求?？尚庞?jì)算貫穿等保2.0從一級到四級整個(gè)標(biāo)準(zhǔn)，在安全通信網(wǎng)絡(luò)、安全區(qū)域邊界與安全計(jì)算環(huán)境中均有明確要求。

3 身份安全面臨的挑戰(zhàn)

（1）缺乏身份標(biāo)準(zhǔn)規(guī)范

主要表現(xiàn)為缺乏權(quán)威身份數(shù)據(jù)的確認(rèn)，缺乏身份認(rèn)證的統(tǒng)一標(biāo)準(zhǔn)，各系統(tǒng)創(chuàng)建賬號缺乏統(tǒng)一規(guī)范等。

（2）缺乏管控流程

主要舉措應(yīng)包括人員的錄轉(zhuǎn)調(diào)離的管控，權(quán)限最小化管控流程，對外部人員的管理，對應(yīng)用上線管控等。

（3）缺乏技術(shù)保障

主要表現(xiàn)為沒有完整的自助服務(wù)，依賴員工自覺遵守，需要記憶各種賬號密碼，缺乏統(tǒng)一的登錄入口等。

（4）身份混亂

主要表現(xiàn)為應(yīng)用系統(tǒng)多，每個(gè)系統(tǒng)都建立不同的賬號，難以識別；內(nèi)外部用戶多，包含集成商、供應(yīng)商等；關(guān)鍵資源特權(quán)賬號root，dba管控混亂等。

（5）賬號和權(quán)限混亂

主要表現(xiàn)為IT不知道員工需要哪些權(quán)限，無法對人員全生命周期進(jìn)行合理管理，員工離職，容易造成漏刪賬號，形成安全隱患。

（6）標(biāo)準(zhǔn)形同虛設(shè)

主要表現(xiàn)為將過于復(fù)雜密碼寫在文檔或便簽上，輕松繞過標(biāo)準(zhǔn)（如堡壘機(jī)），出借賬號給其他人員，輕易被釣魚等。

4 面向電力系統(tǒng)的等保措施

（1）身份鑒別

應(yīng)對登錄的用戶進(jìn)行身份標(biāo)識和鑒別，身份標(biāo)識具有唯一性，身份鑒別信息具有復(fù)雜度要求并定期更換；應(yīng)具有登錄失敗處理功能，應(yīng)配置并啟用結(jié)束會話、限制非法登錄次數(shù)和當(dāng)?shù)卿涍B接超時(shí)自動(dòng)退出等相關(guān)措施；當(dāng)進(jìn)行遠(yuǎn)程管理時(shí)，應(yīng)采取必要措施防止鑒別信息在網(wǎng)絡(luò)傳輸過程中被竊聽，應(yīng)采用口令、密碼技術(shù)、生物技術(shù)等兩種或兩種以上組合的鑒別技術(shù)對用戶進(jìn)行身份鑒別，且其中一種鑒別技術(shù)至少應(yīng)使用密碼技術(shù)來實(shí)現(xiàn)。

（2）可信驗(yàn)證

可基于可信根對計(jì)算設(shè)備的系統(tǒng)引導(dǎo)程序、系統(tǒng)程序、重要配置參數(shù)和應(yīng)用程序等進(jìn)行可信驗(yàn)證，并在應(yīng)用程序的關(guān)鍵執(zhí)行環(huán)節(jié)進(jìn)行動(dòng)態(tài)可信驗(yàn)證，在檢測到其可信性受到破壞后進(jìn)行報(bào)警，并將驗(yàn)證結(jié)果形成審計(jì)記錄送至安全管理中心。

（3）訪問控制

應(yīng)對登錄的用戶分配賬戶和權(quán)限；應(yīng)重命名或刪除默認(rèn)賬戶，修改默認(rèn)賬戶的默認(rèn)口令；應(yīng)及時(shí)刪除或停用多余的、過期的賬戶，避免共享賬戶的存在；應(yīng)授予管理用戶所需的最小權(quán)限，實(shí)現(xiàn)管理用戶的權(quán)限分離；應(yīng)由授權(quán)主體配置訪問控制策略，訪問控制策略規(guī)定主體對客體的訪問；訪問控制的粒度應(yīng)達(dá)到主體為用戶級或進(jìn)程級，客體為文件、數(shù)據(jù)庫表級；應(yīng)對重要主體和客體設(shè)置安全標(biāo)記，并控制主體對有安全標(biāo)記信息資源的訪問。

（4）安全審計(jì)

應(yīng)啟用安全審計(jì)功能，審計(jì)覆蓋到每個(gè)用戶，對重要的用戶行為和重要安全事件進(jìn)行審計(jì)；審計(jì)記錄應(yīng)包括事件的日期和時(shí)間、用戶、事件類型、事件是否成功及其他與審計(jì)相關(guān)的信息；應(yīng)對審計(jì)記錄進(jìn)行保護(hù)，定期備份，避免受到未預(yù)期的刪除、修改或覆蓋等；應(yīng)對審計(jì)進(jìn)程進(jìn)行保護(hù)，防止未經(jīng)授權(quán)的中斷。

（5）數(shù)據(jù)保密性

采用密碼技術(shù)保證重要數(shù)據(jù)在傳輸過程中的保密性，包括但不限于鑒別數(shù)據(jù)、重要業(yè)務(wù)數(shù)據(jù)和重要個(gè)人信息等；采用密碼技術(shù)保證重要數(shù)據(jù)在存儲過程中的保密性，包括但不限于鑒別數(shù)據(jù)、重要業(yè)務(wù)數(shù)據(jù)和重要個(gè)人信息等。

（6）數(shù)據(jù)完整性

應(yīng)采用校驗(yàn)技術(shù)或密碼技術(shù)保證重要數(shù)據(jù)在傳輸過程中的完整性，包括但不限于鑒別數(shù)據(jù)、重要業(yè)務(wù)數(shù)據(jù)、重要審計(jì)數(shù)據(jù)、重要配置數(shù)據(jù)、重要視頻數(shù)據(jù)和重要個(gè)人信息等；應(yīng)采用校驗(yàn)技術(shù)或密碼技術(shù)保證重要數(shù)據(jù)在存儲過程中的完整性，包括但不限于鑒別數(shù)據(jù)、重要業(yè)務(wù)數(shù)據(jù)、重要審計(jì)數(shù)據(jù)、重要配置數(shù)據(jù)、重要視頻數(shù)據(jù)和重要個(gè)人信息等。

（7）個(gè)人信息保護(hù)

應(yīng)僅采集和保存業(yè)務(wù)必需的用戶個(gè)人信息；應(yīng)禁止未授權(quán)訪問和非法使用用戶個(gè)人信息。

5 結(jié)束語

等保2.0更加普適性，覆蓋行業(yè)范圍更廣，技術(shù)領(lǐng)域更加全面，保護(hù)業(yè)務(wù)與數(shù)據(jù)安全為核心，要求身份可信與業(yè)務(wù)邊界安全。等級保護(hù)2.0提供了企業(yè)網(wǎng)絡(luò)安全戰(zhàn)略規(guī)劃目標(biāo)，配套網(wǎng)絡(luò)安全法，將對企業(yè)管理者提供方向上的指引。本文基于等保2.0規(guī)范，回顧了網(wǎng)絡(luò)安全等級保護(hù)發(fā)展歷程、等保2.0的特點(diǎn)、重點(diǎn)分析了面向電力系統(tǒng)網(wǎng)絡(luò)身份安全面臨的挑戰(zhàn)，開展了電力系統(tǒng)身份安全等保措施研究，以期為電力系統(tǒng)的網(wǎng)絡(luò)安全建設(shè)提供理論支撐和技術(shù)支持。

[1]CNCERT.2014年我國互聯(lián)網(wǎng)網(wǎng)絡(luò)安全態(tài)勢報(bào)告.2015，4.

[2] GB/T 22239.3，信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)基本要求[S].

[3]全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會. GB/T 22239-2008信息系統(tǒng)安全等級保護(hù)基本要求[S].中國標(biāo)準(zhǔn)出版社，2008..

[4]沈昌祥．我國信息安全等級保護(hù)制度的創(chuàng)新與發(fā)展[J].網(wǎng)絡(luò)空間安全，2016，7（11/12）：5-6.

[5]胡建康，徐霞,等.基于決策樹的Webshell檢測方法[J].網(wǎng)絡(luò)新媒體技術(shù)，2012，12，第I卷第6期.

[6]傅鈺．網(wǎng)絡(luò)安全等級保護(hù)2.0下的安全體系建設(shè)[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2018，18（8）：16-19.

[7]陳廣勇，祝國邦，范春玲.《信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)測評要求》（GB/T 28448-2019）標(biāo)準(zhǔn)解讀[J].信息網(wǎng)絡(luò)安全，2019（07）：1-7.

[8]賈覲.信息安全等級保護(hù)制度在計(jì)算機(jī)網(wǎng)絡(luò)搭建中的應(yīng)用[J].信息與電腦（理論版），2019（12）：203-204.

[9]宮平.信息安全等級保護(hù)測評中網(wǎng)絡(luò)安全現(xiàn)場測評方法研究[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2019（05）：17-18.

[10]魏興民，賀江敏.信息安全等級保護(hù)技術(shù)之強(qiáng)制訪問控制技術(shù)探討[J].電子世界，2019（08）：148-150.

[11]余入麗，馬先平，楊雅.通過信息安全等級保護(hù)提升信息系統(tǒng)管理水平[J].信息與電腦（理論版），2019（07）：196-197.