電力企業中的病毒防護

引言：電力企業信息網絡地域覆蓋面廣（跨越若干縣、市，方圓數百平方公里），信息處理、存儲一般為分布式與集中式相結合的方式。為了最大限度地防范病毒危害，在建立企業網防病毒體系時，必須針對電力企業內部網的網絡構造和應用環境的實際情況，從桌面客戶端、服務器、群件及網關上進行全方位、多層次的整體病毒防護。并實現整個網絡防病毒策略的集中統一管理和各個網段防病毒維護工作的分級管理。

電力行業作為國家的經濟命脈，在國民經濟中具有舉足輕重的作用，其網絡安全問題直接關系到國家命脈。近年來，隨著電力企業信息網絡的建設和應用的不斷發展，病毒的困擾和危害日益突出，如何構筑無毒環境、保障網絡安全成為急需解決的問題，如圖1。

由于電力企業的信息網絡系統具有網絡規模龐大，客戶機及服務器數量眾多，網絡維護人員相對較少的特點，因此需要一套全方位、多層次、集中管理、分級維護和經濟高效的病毒防護體系（如圖2）。

圖1 供電系統

圖2 多層次病毒防護體系示意圖

電力企業病毒防護系統應當考慮的幾個問題

電力企業信息網絡地域覆蓋面廣（跨越若干縣、市，方圓數百平方公里），為了最大限度地防范病毒危害，在建立企業網防病毒體系時，必須針對電力企業內部網的網絡構造和應用環境的實際情況，從桌面客戶端、服務器、群件及網關上進行全方位、多層次的整體病毒防護。并實現整個網絡防病毒策略的集中統一管理和各個網段防病毒維護工作的分級管理。

所使用的殺毒軟件必須適應企業管理的需要，必須能夠實現企業病毒防護策略的集中管理和分級式維護的需要。

必須對整個網絡實行全方位、多層次的病毒防護，對所有可能存在的病毒的侵入點進行防護，也就是說應該在網絡的每一個層次都要進行有效的病毒防護。

必須在主要服務器上實現防毒軟件的遠程安裝，以方便企業內部的工作人員更加方便直接的完成殺毒程序的安裝管理，減輕網絡管理人員的工作壓力。

由于現在電子郵件已成為企業應用最多的工具，因此殺毒軟件必須具備最先進的郵件監控功能。當遇到感染性很強的郵件病毒時，要能夠快速有效地將病毒清除，防止郵件病毒對企業造成更大的危害。

病毒定義碼以及掃描病毒引擎的更新必須快速方便。

防病毒系統必須提供詳細的日志，并能夠分析統計病毒攻擊事件的次數、原因以及來源。

多層次、分級式病毒防護體系的設計原理

針對電力企業信息網絡環境的實際情況，為了保障企業信息安全和保證網絡安全穩定運行，必須建立基于網絡的多層次的病毒防護系統。從網絡系統的各組成環節來看，多層防御的網絡防毒體系應該是利用先進的分布式技術，將整個防病毒體系分為五個相互關聯的子系統，分別是：系統中心、服務器端、客戶端、Internet網關和“移動式”管理員控制臺。各個子系統協同工作，共同完成對整個網絡的病毒防護工作，能夠最大限度地完成對病毒的全面防護和查殺，如圖3所示。

圖3 病毒防護體系集中管理、分級維護示意圖

系統中心

系統中心是整個防病毒體系的信息管理和病毒防護的自動控制核心，它實時地記錄防護體系內每臺計算機上的病毒監控、檢測和清除信息，同時根據管理員控制臺的設置，實現對整個防護系統的自動控制。通過系統中心可以實現整個信息網絡防病毒策略的強制實施，以及通過其與Internet的實時連接獲得防病毒工具的最新病毒定義代碼，確保以最快的響應速度完成整個信息網絡病毒防護系統自動升級。

服務器端

在各個網段設置病毒服務器，病毒服務器主要負責實時與系統中心通信，獲得最新的病毒定義更新代碼和最新的系統病毒防護策略。在系統中心授權后，通過服務器端可以根據本網段的實際情況定制本網段有效的病毒防護策略和定時完成在本網段的全線病毒查殺工作。系統中心通過服務器端獲得各個網段的病毒監控、檢測和清除信息。服務器端根據實際情況可以建立一級防病毒服務器、二級防病毒服務器等多個級別的服務器端，以便實現防病毒系統的分級管理和劃地區維護。

客戶端

客戶端是分別針對網絡應用服務器和網絡工作站（客戶機）設計的，承擔著對當前應用服務器和工作站上病毒的實時監控、檢測和清除，自動向其所屬的病毒服務器報告病毒監測情況，以及自動通過病毒服務器進行升級的任務?？蛻舳藳]有權利更改系統中心和所屬的病毒服務器端強制布置的病毒防護策略。

Internet網關

目前企業普遍采用的病毒防護是軟件防護，即在網絡接入郵件服務器、文件服務器或者工作站上進行防毒。這類軟件防護因為架構在操作系統之上，所以受到了服務器的系統資源、操作系統穩定和有否漏洞的影響。因此在基于軟件防毒的基礎上,在電力企業信息網的Internet接口和廣域網接口處應當配置網關級的硬件防毒墻，將網絡病毒擋在“門”外，解決了軟件防毒的“瓶頸”，以實現病毒防護的軟硬兼施。

“移動式”管理員控制臺

管理員控制臺是整個防病毒系統設置、管理和控制的操作平臺，它集中管理網絡上所有已安裝過防毒軟件的計算機，同時實現對系統中心和防病毒服務器的管理，它可以安裝到任何一臺安裝了防毒軟件的計算機上，實現“移動式”管理。管理員控制臺能夠直接顯示每一個服務器端/客戶端計算機的實時監控狀態 、病毒定義代碼更新版本、查殺毒狀態，這樣管理員對于任何安裝了防毒軟件的計算機防毒狀態都一目了然，隨時對各個的防病毒情況進行監控。管理員還能夠隨時啟動（關閉）單個（多個）服務器端（客戶端計算機）上的實時監控，確保整個網絡上的每臺計算機都處于最佳的防護狀態，同時也能保證全網隨時處于高效運行之中，充分的實現了對全網的客戶端和服務器的24小時不間斷的查殺毒準備。

圖4 病毒代碼分流分級更新示意圖

根據電力企業信息網絡覆蓋面積廣、局客戶端多，管理程序復雜的狀況，電力企業病毒防護系統還應當有一個合理、有效的分級維護管理模式。有利于電力企業的統一、高效的管理。它將病毒防護的管理權限分為多個級別，在企業內部設立超級管理員和普通管理員進行分級管理。超級管理員可以創建若干普通管理員，并可任意挑選出若干客戶端分派給普通管理員。而普通管理員同樣也可以對自己管理的客戶端進行進一步的分組，并對任意分組進行管理。在這種分級管理模式下，超級管理員和普通管理員的權限設計和職能分工是非常明確的。超級管理員具有添加刪除普通管理員賬號、分配計算機給普通管理員管理、對全網的計算機進行查殺毒等全面的管理職能；而普通管理員則對其網段的計算機進行分組、查殺毒等方面的管理。這種分級管理的模式使信息安全管理員的工作變得更加明確和輕松。分級管理模式充分考慮到了電力企業復雜的信息網絡設置，從根本上解決了電力企業網絡管理難度大，操作困難這一難題，實現了對網絡信息安全高效、簡易的管理要求。

電力企業多層次、分級式病毒防護體系的主要布置策略具體表現在:

病毒定義代碼的更新策略

如圖4所示，系統中心可以和防病毒一級服務器安裝在同一臺服務器上，并與Internet實時相連，每天以固定時間從互聯網上下載并更新最新的病毒定義代碼庫；二級服務器追隨一級服務器下載并更新病毒定義代碼庫；客戶端在每天的固定時間會從其所屬的防病毒服務器中下載并更新病毒定義代碼庫，以實現網絡防病毒系統的實時更新。病毒定義代碼超過30天不更新就會向所屬的服務器和管理員報警。

病毒服務器的實時防護策略

病毒服務器的實時防護策略是啟動實時病毒防護功能，實時監控網絡、軟驅和光驅有無病毒入侵，若發現病毒，第一操作清除病毒，第二操作隔離未清除的病毒，所有的操作都記錄到日志。

客戶端的實時防護策略

強制啟動實時病毒防護功能，實時監控網絡、軟驅和光驅有無病毒入侵，如果發現病毒，第一操作是清除病毒，第二操作是隔離未清除的病毒，所有的操作都記錄并傳送到所屬的防病毒服務器端?？蛻舳诵遁d防病毒軟件需要密碼?？蛻舳瞬荒芡Ｖ共《緦崟r防護功能和操作規則。

客戶端的安裝策略

客戶端可以通過網絡或光盤安裝病毒防護軟件，但必須接受所在子網的防病毒服務器的管理。

電力企業多層次、分級式病毒防護體系具有以下4個主要特點：

1.層次性

在用戶桌面、服務器、Internet網關安裝適當的防毒部件和硬件病毒防火墻，應當以網為本、多層次地最大限度地發揮病毒防護作用。

2.集中性

整個信息網絡的病毒防護策略是相互配合和統一制定管理的，支持遠程集中式配置和管理。

3.自動化

整個防病毒系統能自動更新病毒特征碼數據庫和其它相關信息。配置好后，無需人工干涉。

4.高效性

病毒定義更新的優點在于采用分流分級管理，更新速度快，占用網絡資源少，維護工作簡單明了，應用和運行效率高。

5.智能化

系統能夠通過詳細的日志按照預定的要求分析統計出當前網絡中的病毒源及其他病毒活動情況，使網絡管理員直接了解到網絡中的病毒活動狀況。針對一些突發問題做出快速響應。

結論

正如以上本文所論述，電力企業的信息網絡系統網絡規模龐大，客戶機及服務器數量眾多，電力企業防毒體系的建立不能單純地依靠幾種防毒產品的堆積，它的重點在于要針對企業現有的網絡環境，對網絡中所有可能存在的病毒侵入點進行詳細的分析，由一個或幾個系統管理中心集中對企業網絡進行病毒查殺，從而實現企業全網的多層次、智能化、高效性和統一性的安全管理與分級維護。

為確保網絡信息的安全，企業還必須制定完善的管理制度以配合多層次、分級式病毒防護系統的有效運行。如配備相應的維護人員負責整個網絡病毒防護系統的日常管理及維護；制定相應的網絡病毒防護的管理制度；強制實施統一的防病毒策略等。確保網絡病毒防護系統真正的為電力企業的發展保駕護航。