葉子蜻

摘 要：本文從技術(shù)和管理兩個角度介紹了向家壩升船機(jī)網(wǎng)絡(luò)安全相關(guān)情況，以及向家壩升船機(jī)信息系統(tǒng)相關(guān)安全設(shè)備及管理制度等。

關(guān)鍵詞：升船機(jī);網(wǎng)絡(luò)安全;技術(shù);管理

中圖分類號：U642? ? ? ? ? ? ?文獻(xiàn)標(biāo)識碼：A? ? ? ? ? ? 文章編號：1006—7973（2020）09-0053-03

近年來，隨著全球網(wǎng)絡(luò)信息系統(tǒng)攻擊事件爆炸式增加，對信息系統(tǒng)進(jìn)行網(wǎng)絡(luò)攻擊的手段不斷升級，全球網(wǎng)絡(luò)安全形勢日益嚴(yán)重。隨著電力監(jiān)控系統(tǒng)安全防護(hù)工作的推廣實(shí)施，電力系統(tǒng)的網(wǎng)絡(luò)安全事件卻極少發(fā)生，表明了電力系統(tǒng)安全防護(hù)體系作用極為有效，顯著提高了我國電力系統(tǒng)抵御網(wǎng)絡(luò)攻擊的能力，有效保障了電力系統(tǒng)的網(wǎng)絡(luò)安全。向家壩升船機(jī)作為向家壩電站全電站管理模式下的一個重要板塊，升船機(jī)信息系統(tǒng)的網(wǎng)絡(luò)安全建設(shè)完全參照了電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全建設(shè)標(biāo)準(zhǔn)執(zhí)行。根據(jù)《電力行業(yè)信息系統(tǒng)安全等級保護(hù)基本要求》，主要分為技術(shù)和管理兩大類要求，本文主要圍繞技術(shù)和管理兩個方面，對向家壩升船機(jī)網(wǎng)絡(luò)安全進(jìn)行概述。

1 網(wǎng)絡(luò)安全概述

網(wǎng)絡(luò)安全為信息系統(tǒng)在網(wǎng)絡(luò)環(huán)境下的安全運(yùn)行提供支持。確保了網(wǎng)絡(luò)設(shè)備的安全運(yùn)行和網(wǎng)絡(luò)數(shù)據(jù)傳輸?shù)目捎眯浴⒈Ｃ苄院屯暾缘?，提供了有效的網(wǎng)絡(luò)服務(wù)。網(wǎng)絡(luò)是保障生產(chǎn)控制類業(yè)務(wù)穩(wěn)定運(yùn)行的基礎(chǔ)設(shè)施，網(wǎng)絡(luò)安全事故會使得網(wǎng)絡(luò)傳輸?shù)臄?shù)據(jù)可用性、保密性和完整性遭受極大破壞，因為必須加以防護(hù)。網(wǎng)絡(luò)安全的重點(diǎn)工作之一是保障網(wǎng)絡(luò)邊界安全，結(jié)合《電力監(jiān)控系統(tǒng)安全防護(hù)規(guī)定》中網(wǎng)絡(luò)安全分區(qū)、橫向隔離和縱向認(rèn)證等具體要求，嚴(yán)格落實(shí)安全策略;另一個重點(diǎn)工作是對網(wǎng)絡(luò)內(nèi)部各類安防設(shè)備、策略、機(jī)制、控制措施進(jìn)行規(guī)范要求，從而抵御各種網(wǎng)絡(luò)攻擊行為。網(wǎng)絡(luò)安全主要關(guān)注的方面包括：網(wǎng)絡(luò)結(jié)構(gòu)、網(wǎng)絡(luò)邊界以及網(wǎng)絡(luò)設(shè)備自身安全等，具體的控制點(diǎn)包括：網(wǎng)絡(luò)結(jié)構(gòu)安全、入侵防范、惡意代碼防范、訪問控制、安全審計、邊界完整性檢查、網(wǎng)絡(luò)設(shè)備防護(hù)七個控制點(diǎn)。

2 網(wǎng)絡(luò)安全技術(shù)

2.1? 物理安全

根據(jù)《電力行業(yè)信息系統(tǒng)安全等級保護(hù)基本要求》，物理安全主要涉及的方面包括環(huán)境安全（防火、防水、防雷擊等）、設(shè)備和介質(zhì)的防盜竊防破壞等方面。具體包括物理位置的選擇、物理訪問控制、防盜竊和防破壞、防雷擊、防火、防水和防潮、防靜電、溫濕度控制、電力供應(yīng)和電磁防護(hù)十個控制點(diǎn)。對機(jī)房按照定級要求進(jìn)行建設(shè)需滿足防火、防水和防潮、溫濕度控制、門禁等相關(guān)要求。對定級為三級系統(tǒng)的機(jī)房，如升船機(jī)監(jiān)控系統(tǒng)機(jī)房，加裝有靜電地板、精密空調(diào)、水浸傳感器、UPS不間斷電源、光電報警裝置，設(shè)置門禁刷卡準(zhǔn)入及進(jìn)出機(jī)房的臺賬記錄等;對定級為二級系統(tǒng)的機(jī)房，如升船機(jī)通航調(diào)度系統(tǒng)、通航安全系統(tǒng)、火災(zāi)報警系統(tǒng)等，給機(jī)房加裝靜電地板、精密空調(diào)、光電報警裝置，設(shè)置門禁刷卡準(zhǔn)入及進(jìn)出機(jī)房的臺賬記錄等。

2.2 防火墻

防火墻技術(shù)是一種計算機(jī)硬件和軟件的組合，在內(nèi)外網(wǎng)建立起安全網(wǎng)關(guān)，通過訪問控制，可以有效阻止非法的信息傳遞。同時對進(jìn)出網(wǎng)絡(luò)邊界的數(shù)據(jù)進(jìn)行保護(hù)，防止惡意入侵、惡意代碼的傳播等，保障內(nèi)部數(shù)據(jù)的網(wǎng)絡(luò)安全。升船機(jī)信息系統(tǒng)防火墻主要在不同分區(qū)與不同系統(tǒng)之間設(shè)置進(jìn)行網(wǎng)絡(luò)隔離，如計算機(jī)監(jiān)控系統(tǒng)、圖像監(jiān)控系統(tǒng)與火災(zāi)報警系統(tǒng)之間，通航安全系統(tǒng)和通航調(diào)度系統(tǒng)之間分別設(shè)置防火墻。采用的應(yīng)用網(wǎng)關(guān)防火墻，它的邏輯位置在應(yīng)用層協(xié)議上，技術(shù)上采用應(yīng)用協(xié)議代理服務(wù)實(shí)施安全策略，對應(yīng)用層提供訪問控制。

2.3 內(nèi)外網(wǎng)隔離裝置

內(nèi)外網(wǎng)隔離裝置又名安全網(wǎng)閘，通過多種控制功能的固態(tài)開關(guān)隔離兩個獨(dú)立主機(jī)系統(tǒng)的信息安全設(shè)備。由于主機(jī)系統(tǒng)之間通過網(wǎng)閘進(jìn)行隔離，不存在物理連接、邏輯連接及信息協(xié)議傳輸和信息交換，而只有以數(shù)據(jù)文件形式進(jìn)行的無協(xié)議擺渡。因此，網(wǎng)閘從邏輯上有效隔離、阻斷了對內(nèi)部的網(wǎng)絡(luò)攻擊，使攻擊者無法直接攻擊內(nèi)網(wǎng)，保障了主機(jī)系統(tǒng)的安全（見圖1）。在升船機(jī)信息系統(tǒng)中，主要采用內(nèi)外網(wǎng)隔離裝置將升船機(jī)上層管理網(wǎng)與級間控制網(wǎng)進(jìn)行隔離，確保信息系統(tǒng)安全。

2.4 運(yùn)維審計系統(tǒng)

運(yùn)維審計系統(tǒng)又名堡壘機(jī)，是一種針對系統(tǒng)用戶運(yùn)維操作進(jìn)行控制、審計的安全系統(tǒng)。它通過對用戶身份、賬號，以及資源的集中管理，建立“用戶—資源—賬號”對應(yīng)關(guān)系，實(shí)現(xiàn)用戶對資源的統(tǒng)一授權(quán)，同時，對授權(quán)人員的運(yùn)維操作進(jìn)行記錄、分析，幫助操作事前規(guī)劃、事中監(jiān)控、違規(guī)行為響應(yīng)、事后報告、事故回放，加強(qiáng)操作行為監(jiān)管，避免核心資產(chǎn)（服務(wù)器、安全設(shè)備、網(wǎng)絡(luò)設(shè)備等）損失，保障業(yè)務(wù)系統(tǒng)的正常運(yùn)營。升船機(jī)運(yùn)維審計系統(tǒng)布置在計算機(jī)監(jiān)控系統(tǒng)和通航安全系統(tǒng)上。用旁路網(wǎng)絡(luò)可達(dá)的方式部署在主干網(wǎng)交換機(jī)上（見圖2），保證運(yùn)維審計系統(tǒng)與各個管理資產(chǎn)網(wǎng)絡(luò)連通，在運(yùn)維審計系統(tǒng)添加相應(yīng)的資產(chǎn)配置資產(chǎn)的用戶名密碼，實(shí)現(xiàn)對相應(yīng)資產(chǎn)運(yùn)維人員的運(yùn)維過程監(jiān)管。

2.5 安全審計系統(tǒng)

安全審計系統(tǒng)又名日志審計系統(tǒng)，通過實(shí)時采集網(wǎng)絡(luò)中用戶資源（安全設(shè)備、主機(jī)、網(wǎng)絡(luò)設(shè)備等）、操作系統(tǒng)以及各種系統(tǒng)產(chǎn)生的日志信息，并將這些信息匯總到日志審計中心，進(jìn)行集中備份、存儲、審計、告警、響應(yīng)，獲取全網(wǎng)安全運(yùn)行態(tài)勢，實(shí)現(xiàn)設(shè)備的全生命周期日志管理（見圖3）。升船機(jī)日志審計系統(tǒng)布置在計算機(jī)監(jiān)控系統(tǒng)和通航安全系統(tǒng)上，采用B/S架構(gòu)，對各項資產(chǎn)進(jìn)行syslog配置，獲取安全設(shè)備（如防火墻、入侵檢測系統(tǒng)、隔離裝置等）、調(diào)度數(shù)據(jù)網(wǎng)設(shè)備的安全事件信息，對網(wǎng)絡(luò)安全事件信息進(jìn)行集中分析、過濾、處理、保存，為設(shè)備的日志審計提供保障。

2.6 入侵檢測系統(tǒng)

入侵檢測系統(tǒng)又名IDS系統(tǒng)，可以根據(jù)采集被監(jiān)測的系統(tǒng)中相關(guān)信息數(shù)據(jù)流，比對攻擊類型數(shù)據(jù)庫，找出入侵攻擊的存在。升船機(jī)入侵檢測系統(tǒng)主要布置在計算機(jī)監(jiān)控系統(tǒng)和通航安全系統(tǒng)上，實(shí)現(xiàn)對升船機(jī)計算機(jī)監(jiān)控系統(tǒng)和通航安全系統(tǒng)的入侵風(fēng)險檢測。以監(jiān)控系統(tǒng)為例：入侵檢測系統(tǒng)的探測引擎為一個獨(dú)立的監(jiān)聽端口，入侵檢測系統(tǒng)控制中心安裝在一臺安全服務(wù)器上。在核心交換機(jī)上對入侵檢測系統(tǒng)業(yè)務(wù)口端口做流量鏡像，將核心交換機(jī)上其他接口的流量鏡像到入侵檢測系統(tǒng)的端口，由于入侵檢測系統(tǒng)屬于旁路部署，不會造成網(wǎng)絡(luò)阻斷，所以入侵檢測系統(tǒng)在保證現(xiàn)有系統(tǒng)網(wǎng)絡(luò)安全的前提下不會對現(xiàn)有生產(chǎn)網(wǎng)絡(luò)產(chǎn)生影響（見圖4）。

2.7? 終端安全防護(hù)軟件

向家壩升船機(jī)信息系統(tǒng)安裝的終端安全防護(hù)軟件又名內(nèi)網(wǎng)安全風(fēng)險管理與審計系統(tǒng)，所有策略集中放在升船機(jī)安全服務(wù)器上，開放了配置用戶的界面，管理員從Web登錄到安全服務(wù)器，進(jìn)行策略配置，報表查詢（見圖5）。其客戶端位于監(jiān)控系統(tǒng)兩臺操作員站上，執(zhí)行策略的檢查、從安全服務(wù)器上讀取規(guī)則、向安全服務(wù)器發(fā)送報表等，當(dāng)用戶不滿足策略條件時，向用戶提示相關(guān)信息，實(shí)現(xiàn)對操作員站平臺管理、桌面管理、準(zhǔn)入管理、桌面運(yùn)維等功能。

2.8? 主機(jī)加固策略

根據(jù)中國長江電力股份有限公司《Windows主機(jī)加固規(guī)范操作手冊》，需對Windows操作系統(tǒng)做安全配置，符合GB/T22239-2008《信息安全技術(shù)信息系統(tǒng)安全等級保護(hù)基本要求》和GB/T 20272-2006《信息安全技術(shù)操作系統(tǒng)安全技術(shù)要求》這兩個規(guī)范性文件要求。其中包含：補(bǔ)丁管理、賬號密碼策略、認(rèn)證授權(quán)、日志審計、網(wǎng)絡(luò)服務(wù)、可移動存儲訪問策略、IP協(xié)議安全、網(wǎng)絡(luò)病毒管理、端口服務(wù)管理等策略，對生產(chǎn)控制大區(qū)和管理信息大區(qū)的Windows主機(jī)進(jìn)行主機(jī)加固，增強(qiáng)主機(jī)安全防護(hù)等級。

3 網(wǎng)絡(luò)安全管理

3.1 制度建設(shè)

為了“樹立正確的網(wǎng)絡(luò)安全觀、加快構(gòu)建關(guān)鍵信息基礎(chǔ)設(shè)施安全保障體系”，向家壩電廠升船機(jī)部借鑒了2013年以來國家、行業(yè)、公司及電網(wǎng)對水電站工控網(wǎng)絡(luò)安全的制度要求，結(jié)合現(xiàn)場生產(chǎn)實(shí)際情況，編制了《升船機(jī)部網(wǎng)絡(luò)安全管理制度匯編》。將網(wǎng)絡(luò)安全建設(shè)制度化、規(guī)范化。內(nèi)容涵蓋了《向家壩升船機(jī)機(jī)房日常維護(hù)工作規(guī)范》、《向家壩升船機(jī)便攜式計算機(jī)和移動介質(zhì)管理制度》、《升船機(jī)部計算機(jī)病毒防治管理辦法》、《向家壩升船機(jī)部計算機(jī)軟件管理制度》、《向家壩升船機(jī)部賬戶及密碼管理制度》、《向家壩升船機(jī)機(jī)房消防安全管理制度》和網(wǎng)絡(luò)安全保密要求、網(wǎng)絡(luò)安全考核等方面的規(guī)定，將升船機(jī)網(wǎng)絡(luò)安全管理制度化。梳理出針對網(wǎng)絡(luò)安全保障的定期工作，如：定期修改信息系統(tǒng)密碼 、定期進(jìn)行病毒查殺、定期進(jìn)行數(shù)據(jù)備份等，按照規(guī)定時間建立相應(yīng)的電子臺賬或紙質(zhì)記錄。

3.2 應(yīng)急預(yù)案

制定網(wǎng)絡(luò)安全事件應(yīng)急預(yù)案和應(yīng)急處置方案，對可能發(fā)生的網(wǎng)絡(luò)安全事故進(jìn)行事故預(yù)想，并定期演練。升船機(jī)部編制了《向家壩電廠升船機(jī)監(jiān)控系統(tǒng)網(wǎng)絡(luò)安防事故現(xiàn)場處置方案》、《向家壩電廠升船機(jī)通航安全系統(tǒng)網(wǎng)絡(luò)安防事故現(xiàn)場處置方案》、《向家壩電廠升船機(jī)通航調(diào)度系統(tǒng)網(wǎng)絡(luò)安防事故現(xiàn)場處置方案》三個應(yīng)急處置方案和《升船機(jī)部防特權(quán)賬戶濫用的應(yīng)急處置流程》一個應(yīng)急預(yù)案。規(guī)定了升船機(jī)發(fā)生網(wǎng)絡(luò)安全事故時的報警、應(yīng)急措施啟動、現(xiàn)場處置、事故控制和人員救護(hù)等方面應(yīng)急處置措施以及注意事項。在現(xiàn)場處置方案中，根據(jù)網(wǎng)絡(luò)安全事故的發(fā)生原因、性質(zhì)和機(jī)理，將網(wǎng)絡(luò)安全事故主要分為攻擊類事件、故障類事件、災(zāi)害類事件三類進(jìn)行事故預(yù)想。就可能出現(xiàn)的故障分為了網(wǎng)絡(luò)設(shè)備異常、硬件故障、軟件故障三類制定相應(yīng)的應(yīng)急措施、物資準(zhǔn)備和組織職責(zé)。

4 結(jié)語

向家壩升船機(jī)信息系統(tǒng)網(wǎng)絡(luò)安全建設(shè)按照目前的網(wǎng)絡(luò)安全定級標(biāo)準(zhǔn)已經(jīng)建設(shè)完成，這只是目前網(wǎng)絡(luò)安全工作一個新的開始。后續(xù)繼續(xù)做好整個信息系統(tǒng)的網(wǎng)絡(luò)安全維護(hù)工作，嚴(yán)格按照制定出的管理制度實(shí)施是保障向家壩升船機(jī)信息系統(tǒng)網(wǎng)絡(luò)安全的重要手段。

參考文獻(xiàn)：

[1]國家能源局. 《電力行業(yè)信息系統(tǒng)安全等級保護(hù)基本要求》釋義[M]. 北京： 電子工業(yè)出版社，2014. 15-17.

[2]發(fā)改委[2014]14號， 《電力監(jiān)控系統(tǒng)安全防護(hù)規(guī)定》 [S].

[3]電監(jiān)信息[2012]62號， 《電力行業(yè)信息系統(tǒng)安全等級保護(hù)基本要求》[S].