電力二次系統安全防護策略分析

2020-10-21 14:44:27張立芳王鋼魏東

機電信息 2020年11期

張立芳　王鋼　魏東

摘要：電力二次系統是電力系統的重要組成部分，對整個電力系統的運行有著很大的影響。為防范黑客攻擊和潛藏在網絡中的惡意代碼等對電力二次系統造成威脅，保障電力二次系統的安全防護效果尤為重要。現通過對我國電力二次系統安全防護的現狀進行分析，圍繞目前我國電力二次系統面臨的攻擊以及在安全防護中存在的問題，提出了加強安全防護的相關策略。

關鍵詞：電力二次系統;安全防護;攻擊

0 引言

電力供應對人們的生產生活有著巨大影響，電力企業作為關系國家能源安全和國民經濟命脈的重要骨干企業，為經濟、社會發展提供了安全保障，因此，保證電力二次系統網絡信息安全顯得極為重要。隨著互聯網的不斷發展，電力信息系統面臨著各種新的威脅，大量的惡意代碼、木馬程序、間諜軟件等分布在電力二次系統中，如果不能及時阻止這些病毒，將造成系統崩潰。有文獻指出，目前防御電力二次系統威脅的基本方法是使用防火墻、防病毒軟件、殺毒軟件、基于誤用檢測的入侵檢測系統（IDS）等。這些措施都是采用被動防御的方式，只能檢測已知的攻擊類型。針對未知威脅，有文獻提出采用主動防御技術或者采用主被動防御相結合的方式進行抵御，這樣能夠更好地保護電力信息網絡的安全。

1 我國電力二次系統安全防護現狀

1.1? ? 安全防護現狀

目前，我國電力系統仍然存在著各種防護問題，整個電力系統的安全防御面臨著威脅，不同區域的隔離工作無法實現安全防護，計算機病毒、蠕蟲等仍然可以通過各種方式進入生產控制區，導致整個系統崩潰。面對未知的攻擊，被動防御技術無法檢測出來，當前電力系統對于未知威脅仍然無法進行有效防護。為了保證電力二次系統的安全運行，需要對我國電力二次系統的安全防護策略進行分析，提出進一步的改進意見。

我國電力二次系統面臨的安全風險主要包括信息泄露、惡意軟件的入侵、計算機病毒、黑客攻擊、違法授權等。有文獻總結了產生這些安全風險的主要原因：（1）電力系統使用防火墻和入侵檢測技術等存在一定的缺陷和不足，容易導致漏報和誤報，不能滿足對電力二次系統的安全防護需求;（2）手動更新病毒庫缺乏實時性，使得被動防御技術無法抵御未知的攻擊;（3）安全防護目標體系、防護策略體系不健全，對于未知的攻擊類型無法做到有效防護;（4）管理信息大區與生產控制大區的數據進行雙向交互，沒有統一的規則，難以對系統及數據進行安全防護。

1.2? ? 面臨的攻擊

有文獻詳細列出了電力二次系統網絡中傳統的攻擊方式，傳統犯罪集團攻擊一般沒有明確的攻擊目標，只是利用這些攻擊方式對全網的計算機進行惡意攻擊，對于這些傳統的攻擊都有應對的策略。而對于電力系統的攻擊主要是一些新型攻擊，新型攻擊是在傳統攻擊的基礎上增加一些新的特點。比如新型的DDoS攻擊是通過TCP/IP協議漏洞消耗服務器鏈接資源，從而導致服務器無法正常反饋信息;對于0day漏洞的新型攻擊一般具有明確的攻擊目標，利用0day漏洞對電力系統發起的攻擊，其攻擊行為頻率高、時間長，但由于被動防御體系中沒有針對0day漏洞等新型攻擊的特征，所以仍然不容易檢測出此種攻擊。從防護技術來看，針對傳統攻擊的被動防御技術已不能檢測出新型攻擊，有文獻給出了應對此類新型攻擊采取的主動防御策略。

2 電力二次系統安全防護

2.1? ? VLAN技術的應用

有文獻詳細介紹了VLAN技術在電力二次系統中的應用，指出在生產控制大區一個生產控制系統對應于一個接口單元，該接口單元采用一個支持端口VLAN劃分的交換機，該交換機不能訪問每個接口單元，以避免各系統相互影響。數據庫服務器、交換機、接口單元部署在安全區Ⅱ中，而管理信息大區的安全區Ⅲ/Ⅳ部署了一個數據庫鏡像服務器來訪問MIS，實現數據庫服務器和數據庫鏡像服務器的實時同步傳輸。由于在兩個大區間進行訪問，在大區之間部署單向專用安全隔離設備以確保數據單方面傳輸，并使用雙隔離設備熱備份來提高網絡的高可用性和數據實時性。

2.2? ? MPLS-VPN技術的應用

MPLS-VPN技術就是利用MPLS（多協議標簽交換）將網絡中的IP地址按照邏輯的不同劃分為企業專網，用于解決企業之間互聯或實現跨區域、高速、安全的業務數據通信。基于MPLS-VPN技術將電力調度數據網中的VPN劃分為實時控制子網和非實時控制子網，分別承載著安全Ⅰ區和安全Ⅱ區的業務數據。有文獻指出電廠中的每個業務系統都通過VPN隔離或采用不同的交換機訪問路由器，而不同安全區域中的企業隔離為不同的VPN，為控制區和非控制區中的企業電力系統分配相對獨立的邏輯通道，在局域網與電力調度數據網之間的安全區域Ⅰ中安裝垂直加密身份驗證設備，以確保縱向傳輸中的數據完整性、數據機密性和數據真實性。

2.3? ? 防病毒措施

計算機病毒入侵電力系統，對于傳統的手動更新病毒庫缺乏實時性。在電力系統的保護中，對于入侵計算機的病毒需要建立防病毒系統。未安裝病毒防范軟件或者沒有及時更新病毒庫，可能導致無法發現系統感染的病毒尤其是新型病毒，病毒一旦觸發后將破壞系統數據或文件。為解決上述問題，有文獻指出可以通過部署多層次病毒防御系統來防范入侵計算機的病毒，多層次病毒防御系統包括網絡病毒防御系統和終端病毒防御系統。網絡病毒防御系統可通過部署防病毒網關來主動抵御外來網絡的病毒威脅;終端病毒防御系統采用終端部署殺毒軟件將病毒檢測、數據保護結合起來，有效防范病毒入侵。在安全Ⅰ區、安全Ⅱ區、安全Ⅲ區縱向網絡邊界各部署一臺防病毒網關設備，采用旁路代理模式接入各自前置交換機。

3 電力二次系統安全防護中存在的問題

3.1? ? 網絡防護方法單一

現階段，我國的電力二次系統安全防護措施比較單一，主要是利用防火墻、網閘、安全認證進行安全防護，這幾種方式的共同點是需要事先設定與電力二次系統相匹配的參數，然后對信息和數據進行防控和篩選。以上安全防護措施的主要問題是安全程度非常低，容易被攻擊者攻破，不能完全確保電力二次系統的網絡安全性。

3.2? ? 邊界防護不規范

我國電力二次系統安全防護存在的另一個問題是邊界防護不規范，在各系統進行安全分區后，在安全防護方面，達不到分區使用的效果，不夠系統化、規范化，造成此種問題的原因主要有兩個：（1）電力系統運行時普遍存在數據的交換傳輸，而在傳統的防范措施中，在控制區與非控制區沒有設置物理隔離措施，可能會導致外部病毒對整個系統的攻擊;（2）非控制區的某些系統利用交換機與管理信息大區之間進行數據傳輸，在某種程度上，將會直接到達辦公內網，對內部往來系統造成威脅。

4 加強安全防護的相關策略

4.1? ? 被動防御技術

被動防御是通過面向已知特征的威脅，基于特征庫精確匹配來發現可疑行為，將目標程序與特征庫進行逐一比對，實現對異常行為進行監控和阻斷。

4.1.1? ? 防火墻技術

防火墻是由軟件和硬件共同組成的位于內外網之間的一套網絡安全防護系統，在電力二次系統安全防護中，大多在網絡邊界設置防火墻，起到服務器、網關的作用。防火墻主要是用來防止因特網的攻擊，同時對于病毒入侵、非法信息過濾和陌生身份非法入侵等都能有效處理。有文獻指出，就我國電力企業來看，目前應用最多的是包過濾模式防火墻，通過對協議類型、源/目的端口、端口號等進行數據信息審核。有文獻指出采用防火墻將生產控制大區中的安全區隔離開并不能保證生產控制大區網絡的安全，入侵者尋找可能存在的后門入口，此時防火墻不起作用。

4.1.2? ? 身份認證技術

電力二次系統中為了確保數據信息的安全訪問，以免數據信息泄露，需要結合有效的身份認證技術。重視數據信息的泄露，更多的是確保電力系統中數據信息的安全訪問，使用身份認證技術保護系統數據的安全訪問和對操作人員的身份認證，防止未獲得授予權限的黑客進入管理系統，竊取和泄露信息。

4.1.3? ? 入侵檢測技術

目前電力二次系統普遍沒有配置入侵檢測設備，不能對入侵行為提供警報。有文獻指出電力二次系統的電力監控系統在入侵防范方面存在的問題主要表現在沒有在管理信息大區部署入侵檢測設備，相關安全設備的缺失將導致系統管理員無法對管理信息系統存在的入侵或攻擊行為作出及時反應和處理。有學者在文獻中提出了解決上述問題的方法。

4.2? ? 主動防御技術

主動防御技術是能夠對未知攻擊和威脅進行檢測和防護的技術。這種技術可以彌補被動防御技術的不足。有文獻詳細介紹了近年來典型的主動防御技術。

4.2.1? ? 陷阱技術

有文獻將陷阱技術應用到維護電力信息網絡安全中，使用新技術來應對新型攻擊，從而保護電力信息網絡的安全。陷阱技術主要包括蜜罐技術和蜜網技術。

蜜罐技術是故意設計系統漏洞用來吸引黑客攻擊。系統能夠記錄黑客的攻擊策略和技術等有用信息，及時了解對系統發起的最新黑客攻擊和漏洞。除了利用蜜罐技術誘騙黑客前來攻擊外，該技術沒有提供任何其他有價值的信息，只要有嘗試和蜜罐連接的行為就可視為非法攻擊。蜜罐可以誘導黑客攻擊錯誤的地方，從而延緩攻擊真正的目標，拖延攻擊者的時間，使其獲取不到任何有用的信息。蜜網是在蜜罐技術上發展起來的一項新技術，也可稱之為陷阱網絡。蜜網的最大價值是發現和獲取各種網絡威脅信息。通過蜜網技術，我們可隨時了解入侵者的信息、攻擊技術、攻擊類型和攻擊目的并對這些信息進行研究，以防對電力系統再次發起類似攻擊。

4.2.2? ? 取證技術

取證技術主要用于系統被入侵后進行攻擊者的信息取證收集。動態取證技術是通過實時數據分析，在受到攻擊時切斷連接或者采取誘敵深入的方式進行取證。動態取證依靠入侵檢測系統與蜜罐技術的緊密結合，對數據進行實時分析和獲取，在保證安全的情況下獲取大量證據。通過在受保護的主機上安裝代理服務器，這樣當黑客入侵時，對于黑客對系統的操作和對文件的盜取和破壞等行為，系統和代理服務器會產生相應的日志文件加以記錄，并將恢復后的日志文件傳輸到取證機上進行備份保存。在檢測到非法入侵和惡意行為時，利用IDS收集證據，將計算機取證結合到入侵檢測等網絡系統結構中進行動態取證。

4.3? ? 主被動相結合

有文獻通過利用主動防御技術與被動防御技術相結合的方式，建立針對電力二次系統的動態安全防御系統，運用被動防御技術中的網絡防火墻和入侵檢測系統，建立起防御系統的前線，并結合主動防御技術中的陷阱技術形成網絡防護，對外界的非法訪問和惡意攻擊行為進行防范，通過陷阱技術中系統漏洞的制造，模擬出受攻擊的網絡環境，改變攻擊者對系統的攻擊方向。在動態安全防御系統的建立中，檢測和響應也占據著主要地位，通過陷阱技術設計陷阱，結合取證技術對電力二次系統中的漏洞和攻擊進行檢測，保留入侵的證據。在響應階段，利用取證技術對攻擊和漏洞檢測的網絡日志進行記錄保存，通過蜜網技術進行智能化分析，對新的病毒和攻擊手段生成新的數據庫，解決了面對未知攻擊和未知威脅被動防御技術無法解決的問題。

5 結語

本文從我國電力二次系統安全防護的現狀出發，總結了目前電力二次系統面臨的攻擊以及在電力二次系統安全防護中存在的問題，對安全防護的相關策略進行了分析，針對電力二次系統的攻擊，采用主被動防御技術，從而加強電力二次系統的安全防護效果，有效保障電力系統的正常運行和電力供給。

[參考文獻]

[1] 劉振亞.智能電網技術[M].北京：中國電力出版社，2010.

[2] 賈鐵軍，馮兆紅，肖惜明，等.電力二次系統主動安全防御模型及體系結構[J].上海電機學院學報，2014，17（4）：229-233.

[3] 王坤，褚東升，王繼志.網絡攻擊方式的分析及相應的防御策略的研究[J].信息技術與信息化，2006（6）：60-61.

[4] 馬志程，楊鵬，原一芳，等.針對智能電網的新型攻擊與動態防御分析[J].網絡安全技術與應用，2014（10）：128-129.

[5] 馬知宏，賈海清.電力二次系統安全防護策略研究[J].中小企業管理與科技（上旬刊），2016（19）：189-190.

[6] 孫克建.電力二次系統安全防護策略研究[J].電子制作，2015（6）：239.

[7] 王保義，楊麗.基于安全網關的電力二次系統安全防護[J].電力系統通信，2008，29（12）：28-32.

[8] 閔芳玲.電力系統二次安全防護策略研究[J].城市周刊，2019（2）：59.

[9] 鄔偉波.二次系統安全防護技術在電力配網調度自動化中的運用研究[J].機電信息，2019（35）：125.