電力企業信息網絡的安全分析及其防護技術研究

摘??要：本文通過對電力信息網絡安全深入分析，具體闡述了電力信息網絡的安全分區及相應的防護體系，并對電力信息網絡安全防護技術進行了研究。

關鍵詞：信息;網絡;安全;防護

一、引言

隨著社會的不斷發展，對信息網絡的安全越來越高。由于電力系統與外界業務接口的迅猛增加，為了保證電力業務順利展開，確保電力信息網絡安全十分必要，但是來自網絡內部及外部攻擊的安全問題層出不窮，并且外部攻擊在電力系統中屢見不鮮，多次發生的威脅事件嚴重干擾電力系統安全穩定的運行。鑒于此分析研究電力信息網絡相關安全問題則是當前企業信息化工作中的重中之重。

二、電力信息網絡安全分析

根據業務和安全特點可以將電力企業的信息網絡劃分為四個安全區。其中生產控制大區包括安全I區和II區，管理信息大區包括安全III區和IV區。對于劃分的這四個安全區不僅要求其對應不同的安全防護要求，而且其對應的安全等級及防護水平也不一樣。

1. 安全I區即實時控制區，它提供的服務是電力生產的關鍵環節。實時控制區中的系統一般在線運行，其主要功能是即時監控電力系統。實時控制區對電力系統的實時控制主要通過調度自動化系統、配電自動化實時系統、廣域相量測量系統、變電站自動化系統等來實現。實時控制區所對應的安全等級要求最高，它是電力系統至關重要的一部分，在電力系統中舉足輕重，是電力信息系統安全防護的關鍵所在。
2. 安全II區是非控制生產區，主要是由繼電保護系統、故障錄波信息管理系統、水調自動化系統、電能量計量系統、電力電量交易系統等組成。安全II區是電力生產的重要環節，雖然它不具有控制功能，但與安全I區中的系統密切

相關，故其安全等級僅次于安全I區。其在線運行使用的是調度數據網。

3、安全III區是生產管理區，它主要是由調度生產管理系統、雷電檢測系統和統計報表系統等組成。生產管理區中各類系統因為不需要提供實時控制功能，故不需要在線運行。生產管理區安全等級防護比生產控制區要求較低，但其與信息管理區的辦公自動化系統緊密相關，應注意保障信息交互安全。

4、安全IV區是信息管理區，它主要是由管理信息系統、客戶服務系統和辦公自動化系統等組成。安全IV區的主要功能是實現辦公自動化和電力信息管理，運用電力數據通信網絡，桌面終端是其相應的業務系統接口。

電力信息網絡由許多異構的復雜子系統構成，具有規模大，分布廣和層次化等特點。因此必須考慮各類業務系統之間的交互來確保電力系統安全。整體電力信息網絡的安全保障體系具體以“安全分區、網絡專用、橫向隔離、縱向認證”為原則。

三、電力信息網絡安全威脅

現實中對電力信息系統的安全產生威脅有很多種，因此電力企業的信息系統面臨的風險也是錯綜復雜的。面對如此復雜的環境就需要因地制宜依據其自身所具有的特點進行全方位整體防護。

1、物理安全

物理安全主要是保證信息系統的設備安全，其主要安全威脅是由于設備的本身特性及環境因素導致線路故障，從而引起的網絡癱瘓。設備安全是信息系統安全的必要條件，只有確保了物理設備的安全穩定，才能有正常運行的網絡信息系統。

2、網絡安全

網絡安全主要包括：內網與外網間信息隔離要切實有效、外網連接處防火墻設置必須設置合理、網絡安全設置隨需求改變而及時調節、對主干網絡設備的處理應滿足業務需求、保障主干通信線路安全及處理系統硬件需要有足夠空間、對網絡設備日常運行及業務交換要有相應的日志記錄、在網絡流量邊界可以對端口掃描等攻擊行為進行監控等。

3、主機系統安全

主機系統安全是保證系統權限不被內部或者外部人員通過一定手段獲取造成信息系統威脅。主機系統安全可以分為操作系統安全和數據庫系統安全。操作系統的安全威脅主要表現在安裝不必要的附加模塊，開放多余端口，不及時的安全配置及漏洞修補等而給入侵者制造機會。數據庫安全威脅來源主要是指對數據本身的非法訪問或是數據庫系統服務器自身存在的安全威脅等。

4、數據備份及恢復安全

數據備份及恢復安全是要保證重要數據在存儲和轉發過程中的完整性校驗或是加密算法對其處理時要對關鍵信息進行備份處理。并且應保證系統能夠實現完善有效的數據恢復功能。

5、應用安全

應用安全主要是指電力信息系統在應用時應對其安全合理控制保證信息的完整與不公開，確保信息轉發的確定性及資源的合理準確性，具有正確識別非法用戶身份等功能保障其應用的安全。

四、電力信息網絡安全防護設備

電力信息網絡結合自身特性建設其相應的安全體系，通過在不同分區間設置安全隔離裝置進行橫向隔離，并且在外部網絡與內部網絡之間設置了防火墻，入侵檢測等安全保障設備。

1、安全隔離裝置

電力信息網絡的專用安全隔離設備可以對不同安全分區邊界進行防護，為電力系統安全提供橫向保護。安全隔離裝置安全防護強度高，可以在保證單向數據傳遞的前提下，阻止Web、E-mail等通過隔離裝置跨區域進行。其具體設置如下。正向隔離裝置其內部設有地址過濾，對外沒有IP地址，可以取消TCP外所有網絡功能。它可以通過采用非網絡方式確保兩側網絡不同時聯通，以保證兩個安全區之間數據交換的安全性。反向隔離裝置不僅需要具備正向隔離裝置的基本功能，而且還應具備應用網絡管理功能，即它可以接收并轉發數據的應用功能。

2 防火墻

防火墻部署在不同分區之間，它不僅可以實現不同區域的邏輯隔離而且還具有訪問控制、報文過濾等功能。防火墻還可以部署在外部和內部網絡之間，其目的是為了禁止威脅侵入信息網絡中。通過防火墻可以對數據流進行檢測和控制，可以在很大程度上屏蔽來自網絡內部的信息，來保護網絡的安全。通常按照采用的技術可將防火墻分為3類即數據包過濾、狀態檢測和應用級防火墻。

數據包過濾是通過在網絡層選擇數據包，選擇數據包時根據在其內設置的過濾邏輯來選擇。包過濾性數據包通過檢測數據包的地址、端口號等來檢測能否讓此數據包通過。狀態檢測型的防火墻則主要是通過檢查數據包的內容，根據數據包內容決定如何處理該包。應用級防火墻的原理是通過檢測進出的數據包，透視應用層協議，按照既定的安全策略對其進行比較處理。

3 入侵檢測系統

防火墻可作為第一道防線提供靜態防御，在一定程度上防御黑客攻擊，但是隨著各種信息系統漏洞和應用系統漏洞的不斷出現，新的攻擊方式層出不窮，因此需要進一步完善安全保障體系。部署入侵檢測系統作為電力信息網絡系統內外部的另一道防線可以對防火墻起到很好的補充作用。它主要作用于整個網絡，可以監控和分析來自網絡內部和外部的威脅。根據其監控對象不同可將其分為三種類型即基于主機的入侵檢測系統和基于網絡的入侵檢測系統以及混合分布式系統。

基于主機的入侵檢測系統在單一的主機上工作，其檢測系統安全入侵的方式主要是通過主機審計工作日志發現來自系統內外的威脅。基于網絡的入侵監測系統其工作原理主要是首先通過在獲取的信息中提取有用的信息如網絡流量、協議分析等數據信息，然后將這些數據信息與已知入侵或網絡正常行為的特征信息相匹配來識別入侵事件。混合分布式入侵監測系統則是將不同入侵檢測系統結合到一起，可以更精確地識別各類網絡入侵事件。

五、小結

本文的相關研究為企業后續電力信息系統的安全評估和電力信息網絡的安全態勢評估做準備工作。