電力無線通信網絡安全方案研究

陳廂

摘 要：該文以電力無線網絡信息安全為研究對象，探討了在電力系統自動化的背景下，如何在保證通信帶寬的前提下，提高網絡安全的解決方案，論文首先分析了電力系統無線通信對于信息安全的需求，進而分析了電力自動化系統的安全漏洞，在此基礎上，論文從三個方面探討了解決方案，相信對從事相關工作的同行能有所裨益。

關鍵詞：電力 無線網絡 漏洞 自動化 解決方案

中圖分類號：TN915 文獻標識碼：A 文章編號：1672-3791（2014）10（c）-0084-02

1 研究背景

近年來，全球的數據網絡正以令人驚奇的速度發展，為信息的交流和經濟的發展提供了高效的工具和便利的平臺。隨著電力建設的飛速發展，電力自動化數據網絡也迅速擴大，正在向全面覆蓋所有的電力企業邁進，電力系統數字化已是大勢所趨。電力調度自動化系統、配電自動化系統、電量計費系統、電力市場技術支持系統及交易系統、電力客戶服務中心系統、變電站自動化系統、發電廠監控系統、MIS 系統等，無一不是以高速的數據傳輸與交換為基本手段而建設的。電力自動化數據通信網絡利用因特網、無線網等的工具和平臺，在提高數據傳輸效率、減少開發維護工作量的同時，也帶來了新的問題，這就是內部機密信息在網絡上的泄密、以及被攻擊破壞等。

隨著計算機運算性能的提高，通信技術的不斷發展，電力通信協議也在不斷的改進，以適應通信數據類別、流量和實時性的要求。IEC60870規約系列規定了電力遠動、繼電保護數據、電能計費等多個方面的通信協議，甚至出現了104網絡通信規約，以適應網絡RTU在電力系統中的應用。各項信息安全技術也開始得到廣泛的應用，但是仍然是以以下觀點為基礎開展的，電力數據網絡的信息安全研究應該有所突破：

（1）電力通信網絡的兩個隔離。物理隔離作為國家的明文規定是建立在網絡條件不如人意，網絡威脅依然嚴重的情況下的，需要看到電力信息系統的開放性將是主流方向，基礎研究應該突破這個框架開展一些前瞻性的工作。（2）重點防護監控系統，對通信數據網絡的信息安全重視不足。雖然通信網絡的安全威脅相比而言較小，但是由于電力通信對實時性和可靠性的要求，使得通信數據網絡與電力監控系統的信息安全同等重要。（3）認為電力自動化通信沒有安全問題，或者認為還不值得深入研究，電力信息使得任何安全研究都不能不重視其實時性的要求，因此自動化通信的信息安全研究開展不多，還需要進行大量的研究。

2 電力系統無線通信對于信息安全的需求

電力自動化管理系統無線網絡中傳輸的數據非常混雜，從加密的技術角度來區分，可分為實時數據和非實時數據兩類。

2.1 實時數據的數據特點

無線網絡中傳輸的實時數據，其通信規約對時間的要求很嚴格，不允許較大的傳輸延遲；另一方面，實時數據的數據量相對較小，且數據流量比較穩定。主要包括：

（1）下行數據。包括遙控、遙調和保護裝置及其他自動裝置的整定值信息等。這類數據與設備狀態相關，直接影響到電網的安全運行。安全要求和實時要求都很高。（2）上行數據。包括遙信、重要遙測、事件順序記錄（SOE）信息等。這類數據是電網穩定運行的判據，也是調度決策的依據，實時性要求很高。管理數據。如負荷管理、停電計劃等管理信息系統（MIS）的重要管理數據。這類數據對保密性有一定要求。實時數據其數據流量穩定且時效性快，但是要求實時性高、可靠性高，其保密性和數據完整性的要求也高，因此對實時數據加密必須慎之又慎。

2.2 非實時數據的數據特點

無線網絡中傳輸的非實時數據，其數據量一般較大，但時效性不高，可以允許一定的傳輸延遲。它主要包括電力設備的維護日志、電力用戶的電能質量信息等。非實時數據實時性要求不高，但是對數據完整性和保密性有一定的要求，在數據加密中要注意選擇合適的算法。

3 電力自動化系統的安全漏洞及解決方案

電力自動化應用系統，不論是電力負荷管理系統、電能量管理系統或是其它的應用系統，它的網絡結構框圖都可以歸納成圖1所示。

3.1 中心站的安全隱患及解決方法

應用系統都有一個中心站，它包括前置機、服務器等硬件設備及配套的管理軟件，它負責接收各個子站上傳的數據并通過管理軟件對數據進行分析、歸納和管理；另一方面，它也維護各個子站正常運行，并以下發命令的方式對子站進行操作管理；而且中心站還是本應用系統與其它的電力自動化應用系統進行數據共享和管理的一個數據接口。一般來說，中心站和子站之間以及中心站和其它應用系統之間的數據傳輸都是通過有線傳輸（如光纖）進行的。

中心站既是內部通信子站數據集中的一個節點，也是應用系統與外部進行數據收發的一個接口。只要攻擊者侵入了該節點，整個系統的數據就相當于暴露在了入侵者的面前。而且一旦中心站出現了故障，即使其它的通信子站均運行正常，整個系統也無法正常工作了。正由于它的重要性和脆弱性，因此對于中心站就更是要進行重點防護。防火墻就是一種有效的網絡安全保護措施，它可以按照用戶事先規定好的方案控制信息的流入和流出，監督和控制使用者的操作。防火墻大量的應用于企業中，它可以作為不同網絡或網絡安全域之間的信息的出入口，能根據企業的安全策略控制出入網絡的信息流，且本身具有較強的抗攻擊能力。它是提供信息安全服務，實現網絡和信息安全的基礎設施。在邏輯上，防火墻是一個分離器，一個限制器，也是一個分析器，它能有效地監控內部網和 Internet之間的任何活動，保證內部網絡的安全。

防火墻的目的是在內部、外部兩個網絡之間建立一個安全控制點，通過允許、拒絕或重新定向經過防火墻的數據流，實現對進、出內部網絡的服務和訪問的審計和控制。一般的防火墻都可以達到以下目的：一是可以限制他人進入內部網絡，過濾掉不安全服務和非法用戶；二是防止入侵者接近你的防御設施；三是限定用戶訪問特殊站點；四是為監視Internet安全提供方便。由于防火墻假設了網絡邊界和服務，因此更適合于相對獨立的網絡，例如Intranet 等種類相對集中的網絡。防火墻正在成為控制對網絡系統訪問的非常流行的方法。事實上，在Internet上的Web網站中，超過三分之一的Web網站都是由某種形式的防火墻加以保護，這是對黑客防范最嚴，安全性較強的一種方式，任何關鍵性的服務器，都建議放在防火墻之后?？梢姡阑饓μ幱诳尚啪W絡和不可信網絡邊界的位置，是可信網絡和不可信網絡數據交換的“門戶”，用來防止未經授權的通信進出被保護的內部網絡，通過邊界控制強化內部網絡的安全策略，其性能、可用性、可靠性、安全性等指標在很大程度上決定了網絡的傳輸效率和傳輸安全。防火墻是網絡安全策略的有機組成部分，它通過控制和監測網絡之間的信息交換和訪問行為來實現對網絡安全的有效管理，從總體上來看，防火墻的基本功能有兩個：一是隔離，使內部網絡不與外部網絡進行物理直接連接；二是訪問控制，是進出內部網絡的數據包按照安全策略有選擇地轉發。圍繞這兩個基本功能，大量與安全有關的網絡技術和安全技術被綜合進防火墻設備中，使防火墻地功能不斷擴展，性能不斷提高。概括地說，功能較完善的防火墻采用了以下安全技術：endprint

3.1.1 多級的過濾控制技術

一般采用了三級過濾措施，并輔以鑒別手段。在分組過濾一級，能過濾掉所有的源路由分組和假冒的IP源地址；在應用級網關一級，能利用FTP、SMTP等各種網關，控制和監測Internet提供的所有通用服務；在電路網關一級，實現內部主機與外部站點的透明連接，并對服務的通行實行嚴格控制。

3.1.2 網絡地址轉換技術（NAT）

利用NAT技術能透明地對所有內部地址作轉換，使外部網絡無法了解內部網絡的拓撲信息，同時允許內部網絡使用自己編的IP地址和專用網絡，防火墻能詳盡記錄每一個主機的通信，確保每個分組送往正確的地址。

3.1.3 用戶鑒別與加密

為了降低防火墻產品在Telnet、FTP等服務和遠程管理上的安全風險，鑒別功能必不可少，防火墻采用一次性使用的口令字系統來作為用戶的鑒別手段，并實現了對郵件的加密。

3.1.4 審計和告警

對網絡事件進行審計，如果發現入侵行為將以發出郵件、聲響等多種方式報警。為了加強自動化應用系統的安全水平，需要在系統與其它網絡的接口之間設置一套防火墻設備。這樣既能防止外來的訪問者攻擊系統，竊取或者篡改系統數據；同時也能防止內部數據未經允許流向外部網絡。如圖1所示，在公網通信中，除了自動化系統與其它應用系統的接口外，子站采集自終端的數據要發送到中心站，也要通過 Internet網絡進行傳輸，這就給攻擊者提供了一個侵入的端口。因此要在這兩處均安裝防火墻設備，來保證系統的安全運行。在專網通信中，由于整個通信網絡是一個相對獨立的網絡，因此中心站了通信子站之間就不必加裝防火墻了。

3.2 無線終端的安全防護手段

無論是哪種無線網絡，都有若干數量的無線終端，它們是通信系統的最基本的組成結構，通過通信子站與中心站進行通信。因為無線終端的數據眾多，也使它們往往成為系統安全漏洞所在。對于應用系統而言，保護系統信息安全與保護系統業務正常是同等重要的。保護系統信息安全首先必須保證信息訪問的安全性，要讓不該看到信息的人不能看到，不該操作信息的人不能操作。這方面，一是要依靠身份認證技術來給信息的訪問加上一把鎖，二是要通過適當的訪問控制模型顯式地準許或限制訪問能力及范圍。這就引出了兩種信息安全技術：身份認證技術及訪問控制技術。通過這兩種技術手段，就能有效的解決以上的兩個安全問題。對于自動化應用系統來說，系統內的終端用戶只是采集電力用戶數據并上傳給服務器，并不存在越權訪問系統信息的問題。因此采用身份認證技術就足以解決無線終端的信息保護問題了。

身份認證是指被認證對象向系統出示自己身份證明的過程，通常是獲得系統服務所必須的第一道關卡。身份認證需要證實的是實體本身，而不是象消息認證那樣證實其合法性、完整性。身份認證的過程一般會涉及到兩方面的內容識別和驗證。識別，就是要對系統中的每個合法注冊的用戶具有識別能力，要保證識別的有效性，必須保證任意兩個不同的用戶都不能具有相同的標識符。驗證是指訪問者聲明自己的身份后，系統還必須對它聲稱的身份進行驗證。標識符可以是非秘密的，而驗證信息必須是秘密的。

身份認證系統有兩方認證和三方認證兩種形式兩方認證系統由被認證對象和認證方組成，被認證對象出示證件，提出操作要求，認證方檢驗被認證對象所提供證件的合法性和有效性三方認證系統除了被認證對象和認證方外，還有一個仲裁者，由雙方都信任的人充當仲裁和調節。建立一個身份認證系統的應滿足的是：1）可識別率最大化：認證方正確識別合法被認證對象身份的概率最大化；2）可欺騙率最小化：攻擊者偽裝被認證對象欺騙認證方的成功率最小化；3）不可傳遞性：認證方不可以用被認證對象提供的信息來偽裝被認證對象；4）計算有效性：實現身份認證所需的計算量要小；5）安全存儲：實現身份認證所需的參數能夠安全的存儲；6）第三方可信賴性：在三方認證的系統中，第三方必須是雙方都信任的人或組織或可信安全性身份認證系統所使用的算法的安全性是可證明和可信任的。

電力自動化系統內部使用身份認證技術，在每一個無線終端的實體上增加了一道安全防護，如圖2 所示。在進行數據傳輸之前，驗證對方是否是系統內的合法用戶?？梢苑乐谷肭终邆窝b成內部用戶，獲取系統數據。

3.3 保護系統信息安全的常用方案-算法加密

除了以上的信息安全技術之外，算法加密技術是一種被普遍應用的安全技術。它在發送方將要發送的數據根據一定的算法進行加密，變成不可識別的密文；而在接收方通過對應的解密算法再將密文轉化為明文。從而保證數據在傳輸過程中的保密性。

4 結論

該文研究了電力自動化無線通信系統中的信息安全問題。隨著電力自動化無線通信技術的快速發展，對網絡信息安全的要求也不斷提高。無線通信技術有著其自身的特點，要求的安全解決方案也與其他不同。需要既保證無線信道的帶寬，又要有效地提高系統的安全防護強度。

參考文獻

[1] 孫毅，唐良瑞，杜丹.配電自動化中的通信網解決方案[J].燕山大學學報，2004，5（28）：423-426.

[2] 宋磊，羅其亮，羅毅，等.電力系統實時數據通信加密方案[J].電力系統自動化，2004，28（14）：76-81.

[3] 朗兵，趙曉榮.基于GPRS的配電網遠程監控系統的實現方法[J].電氣應用.2007，1（26）：38-41.

[4] 賈晶，陳元，王麗娜.信息系統的安全與保密[M].清華大學出版社，1999.endprint