網(wǎng)絡(luò)邊界健壯性可視化管控平臺(tái)在電力系統(tǒng)中研究與應(yīng)用

◆鐘掖 龍玉江 趙威揚(yáng)

網(wǎng)絡(luò)邊界健壯性可視化管控平臺(tái)在電力系統(tǒng)中研究與應(yīng)用

◆鐘掖 龍玉江 趙威揚(yáng)

（貴州電網(wǎng)有限責(zé)任公司信息中心 貴州 550002）

電力系統(tǒng)不同于其他的系統(tǒng)，電力系統(tǒng)需要與很多其他的系統(tǒng)進(jìn)行對(duì)接，比如：需要與第三方電費(fèi)的支付平臺(tái)進(jìn)行對(duì)接，不僅如此，還需要與很多其他的電力設(shè)備等進(jìn)行關(guān)聯(lián)。然而，電力系統(tǒng)的這種網(wǎng)絡(luò)邊界的健壯性在很大程度上決定了電力系統(tǒng)的安全性和穩(wěn)定性。本文主要就是來(lái)從網(wǎng)絡(luò)邊界的健壯性方面來(lái)進(jìn)行分析，研發(fā)可視化的管控平臺(tái)，實(shí)現(xiàn)電力系統(tǒng)中網(wǎng)絡(luò)邊界的可視化管理。本文從兩個(gè)方面展開(kāi)研究：第一，從網(wǎng)絡(luò)流量分析、告警分析和綜合展現(xiàn)三個(gè)角度來(lái)實(shí)現(xiàn)可視化管控平臺(tái)的設(shè)計(jì)；第二，結(jié)合內(nèi)網(wǎng)安全域?qū)崟r(shí)流量，實(shí)現(xiàn)對(duì)邊界防火墻安全策略的命中頻次分析和統(tǒng)計(jì)，為調(diào)整內(nèi)網(wǎng)安全防護(hù)列表提供數(shù)據(jù)支撐。從內(nèi)網(wǎng)安全管理角度出發(fā)，提出了無(wú)紙化網(wǎng)絡(luò)權(quán)限管理工單模式，有效提高內(nèi)網(wǎng)安全管理效益。

網(wǎng)絡(luò)邊界健壯性；內(nèi)網(wǎng)安全；電力系統(tǒng)

電力系統(tǒng)的安全影響著民生信息的安全，電力系統(tǒng)是我國(guó)的基礎(chǔ)設(shè)施之一，其安全性是影響國(guó)家經(jīng)濟(jì)社會(huì)發(fā)展的全局性、戰(zhàn)略性問(wèn)題之一，電網(wǎng)信息安全成為國(guó)家安全的重要組成部分。近年來(lái)，國(guó)際上發(fā)生了烏克蘭電網(wǎng)遭受網(wǎng)絡(luò)攻擊導(dǎo)致大面積停電、伊朗核電站遭受震網(wǎng)病毒攻擊、針對(duì)美國(guó)電網(wǎng)的“網(wǎng)絡(luò)風(fēng)暴”演習(xí)等信息安全事件，我國(guó)也先后發(fā)生了多起因網(wǎng)絡(luò)攻擊造成電網(wǎng)安全生產(chǎn)事故，帶來(lái)了嚴(yán)重經(jīng)濟(jì)損失和社會(huì)影響。因此，深入研究?jī)?nèi)網(wǎng)信息安全問(wèn)題、制定和實(shí)施信息安全戰(zhàn)略、建立全方位動(dòng)態(tài)、縱深防御的內(nèi)網(wǎng)安全保障體系，嚴(yán)守網(wǎng)絡(luò)安全紅線、底線和網(wǎng)絡(luò)安全責(zé)任，已成為當(dāng)前信息安全的重要內(nèi)容。本文從網(wǎng)絡(luò)邊界的健壯性角度出發(fā)，研發(fā)可視化管控平臺(tái)，并將其應(yīng)用到電力系統(tǒng)中。首先解決防火墻品牌策略的建模，可以通過(guò)收集各防火墻安全策略配置模型進(jìn)行建模。第二步，針對(duì)自動(dòng)獲取可以通過(guò)后臺(tái)SSH方式，執(zhí)行相關(guān)命令獲取配置文件，一鍵下發(fā)問(wèn)題同樣需要對(duì)各防火墻配置命令進(jìn)行建模，針對(duì)不同型號(hào)和品牌應(yīng)單獨(dú)測(cè)試，確保一鍵下發(fā)功能安全可控。

1 可視化管控平臺(tái)需求分析

在電力系統(tǒng)中，需要采集的電力數(shù)據(jù)信息比較多，接入電力系統(tǒng)的硬件設(shè)備的類型和型號(hào)比較復(fù)雜，為了實(shí)現(xiàn)對(duì)這些設(shè)備的接入管理，在電力系統(tǒng)中部署了不同品牌的防火墻。通過(guò)可視化管控平臺(tái)，要實(shí)現(xiàn)對(duì)這些不同品牌的防火墻的接入管理，要從根本上解決設(shè)備種類所帶來(lái)的差異化的問(wèn)題，通過(guò)不同防火墻的接入接口，實(shí)現(xiàn)對(duì)相關(guān)參數(shù)信息的采集。不僅如此，需要將采集到的各品牌的防火墻的運(yùn)行數(shù)據(jù)信息之后，對(duì)數(shù)據(jù)進(jìn)行統(tǒng)一規(guī)范的管理，實(shí)現(xiàn)統(tǒng)一化的管理，并將其進(jìn)行可視化的展示，為電力系統(tǒng)的安全防護(hù)管理決策的制定提供重要的參考依據(jù)。通過(guò)可視化管控平臺(tái)，不僅要實(shí)現(xiàn)數(shù)據(jù)信息的可視化展示，還可以實(shí)現(xiàn)防火墻策略的遠(yuǎn)程下發(fā)等，實(shí)現(xiàn)真正意義上的網(wǎng)絡(luò)邊界自動(dòng)化的管理。通過(guò)分析可知，可視化管控平臺(tái)的需求總體來(lái)說(shuō)有以下四點(diǎn)：

（1）實(shí)現(xiàn)內(nèi)網(wǎng)安全域邊界策略健壯性可視化管理

對(duì)所有接入電力系統(tǒng)的網(wǎng)絡(luò)設(shè)備的運(yùn)行狀態(tài)以及與其他網(wǎng)絡(luò)設(shè)備的關(guān)系進(jìn)行梳理，得出電力系統(tǒng)的網(wǎng)絡(luò)部署架構(gòu)，對(duì)內(nèi)網(wǎng)內(nèi)的每一個(gè)安全域進(jìn)行狀態(tài)的實(shí)時(shí)監(jiān)控個(gè)，將人類不可進(jìn)入的網(wǎng)絡(luò)世界進(jìn)行可視化的展示，直觀的描述不同的設(shè)備之間的關(guān)聯(lián)關(guān)系，并實(shí)時(shí)的顯示狀態(tài)變化情況。對(duì)內(nèi)網(wǎng)安全域內(nèi)的所有的防火墻所采用的安全策略進(jìn)行信息采集，實(shí)現(xiàn)這些策略的可視化展示。在系統(tǒng)中可以將所有設(shè)備之間的關(guān)聯(lián)關(guān)系進(jìn)行設(shè)置，這樣在進(jìn)行設(shè)備查看的時(shí)候，就可以以關(guān)聯(lián)圖的形式直觀查看和管理。因?yàn)榭梢詫?shí)時(shí)的采集設(shè)備的運(yùn)行狀態(tài)等信息，所以，在可視化的管控平臺(tái)可以對(duì)設(shè)備的運(yùn)行狀態(tài)進(jìn)行實(shí)時(shí)監(jiān)控，以不同顏色標(biāo)識(shí)的形式顯示設(shè)備的狀態(tài)，一旦發(fā)生狀態(tài)異常的時(shí)候，可以動(dòng)態(tài)的提醒，可以短信形式提醒等，讓管理員能夠在第一時(shí)間獲取異常信息，并及時(shí)響應(yīng)。

（2）實(shí)現(xiàn)內(nèi)網(wǎng)安全域邊界策略自動(dòng)化分析

獲取了內(nèi)網(wǎng)的網(wǎng)絡(luò)部署以及關(guān)系圖之后，就可以對(duì)不同的防火墻所采用的安全策略進(jìn)行自動(dòng)學(xué)習(xí)，進(jìn)而能夠?qū)Υ嬖诘囊恍撛诘膯?wèn)題進(jìn)行挖掘，分析網(wǎng)絡(luò)邊界的健壯性，一旦發(fā)現(xiàn)了問(wèn)題就可以可視化的顯示，進(jìn)而為網(wǎng)絡(luò)管理員的決策制定提供重要的參考依據(jù)。在電力系統(tǒng)中，常用的安全策略主要有：冗余策略、重復(fù)策略、寬松策略、沖突策略，在對(duì)其進(jìn)行自動(dòng)化學(xué)習(xí)的時(shí)候，可以采用歸類、聚類等算法，通過(guò)循環(huán)學(xué)習(xí)和更新網(wǎng)絡(luò)部署，逐步的提高網(wǎng)絡(luò)邊界的健壯性。

（3）實(shí)現(xiàn)防火墻策略的遠(yuǎn)程下發(fā)

因?yàn)殡娏ο到y(tǒng)中使用到的防火墻品牌和類型比較多，所以對(duì)該功能的實(shí)現(xiàn)造成了一定的阻力。本文目前主要就是選取幾個(gè)典型品牌的防火墻進(jìn)行測(cè)試和研究，探索不同品牌防火墻安全策略的自動(dòng)獲取方式，并探索遠(yuǎn)程控制操作的可行性，逐步的形式統(tǒng)一的管理方案，最終實(shí)現(xiàn)防火墻安全策略的遠(yuǎn)程控制，真正意義上實(shí)現(xiàn)網(wǎng)絡(luò)運(yùn)維的自動(dòng)化管理。

（4）提升內(nèi)網(wǎng)網(wǎng)絡(luò)權(quán)限集中管控工作

在電力系統(tǒng)中，服務(wù)的用戶類型比較多，比如：售電人員、信息采集人員、網(wǎng)絡(luò)運(yùn)維人員以及各銷售點(diǎn)的用戶等，每一個(gè)用戶的不當(dāng)操作都可能給網(wǎng)絡(luò)安全帶來(lái)一定的威脅。為此，網(wǎng)絡(luò)權(quán)限的靈活分配和集中管控是非常關(guān)鍵的。在該平臺(tái)中，要實(shí)現(xiàn)網(wǎng)絡(luò)權(quán)限的靈活配置和集中的管控功能。

2 可視化管控平臺(tái)總體設(shè)計(jì)

（1）系統(tǒng)的總體架構(gòu)

在對(duì)網(wǎng)絡(luò)邊界健壯性可視化管控平臺(tái)進(jìn)行研發(fā)之前，需要根據(jù)需求情況，來(lái)對(duì)系統(tǒng)的總體架構(gòu)進(jìn)行設(shè)計(jì)。在該平臺(tái)中，需要對(duì)各防火墻的運(yùn)行狀態(tài)等信息進(jìn)行采集，主要就是通過(guò)數(shù)據(jù)流鏡像、私有協(xié)議解析等方式進(jìn)行采集的，采集到的數(shù)據(jù)通過(guò)處理之后，存儲(chǔ)在專有數(shù)據(jù)庫(kù)中。數(shù)據(jù)采集完成之后，就需要對(duì)這些信息進(jìn)行分析，可以根據(jù)業(yè)務(wù)需要從不同的角度展開(kāi)分析，將分析結(jié)果也存儲(chǔ)到相應(yīng)的數(shù)據(jù)庫(kù)表中。分析完成之后，就需要采用可視化的方式來(lái)對(duì)分析結(jié)果進(jìn)行展示，針對(duì)不同的用戶，展示的信息和方式都是不相同的，需要根據(jù)實(shí)際業(yè)務(wù)需要進(jìn)行權(quán)限的控制。當(dāng)然，在對(duì)防火墻的相關(guān)信息進(jìn)行采集之前，需要將私有協(xié)議進(jìn)行輸入，獲取了協(xié)議的格式和解析方法之后，才能夠?qū)ζ溥M(jìn)行解析處理。其中，網(wǎng)絡(luò)邊界健壯性可視化管控平臺(tái)的總體架構(gòu)設(shè)計(jì)如圖1所示。

圖1 可視化管控平臺(tái)總體架構(gòu)圖

（2）業(yè)務(wù)架構(gòu)

在對(duì)可視化管控平臺(tái)進(jìn)行研發(fā)的時(shí)候，需要確保該平臺(tái)符合電力行業(yè)總體的原則，該平臺(tái)將作為第一道防線在電力系統(tǒng)中部署應(yīng)用，所以在對(duì)該平臺(tái)進(jìn)行研發(fā)的時(shí)候，要確保平臺(tái)的穩(wěn)定性、安全性、可靠性和擴(kuò)展性。通過(guò)該平臺(tái)，可以為電力系統(tǒng)的網(wǎng)絡(luò)安全管理提供重要的輔助作用，能夠?yàn)榘踩录谋O(jiān)控和追蹤管理提供強(qiáng)有力的證據(jù)。隨著電力服務(wù)的不斷升級(jí)和創(chuàng)新，電力系統(tǒng)中的業(yè)務(wù)功能需要進(jìn)行升級(jí)和改造，所以系統(tǒng)要具有一定的擴(kuò)展性和維護(hù)性，不能因?yàn)橐恍┕δ艿母淖兙腿P否定重新研發(fā)系統(tǒng)。可以將系統(tǒng)進(jìn)行模塊化處理，模塊內(nèi)部進(jìn)行封裝，提高模塊內(nèi)聚性，而通過(guò)接口實(shí)現(xiàn)不同模塊間的交互，確保系統(tǒng)的完整性。這樣，當(dāng)系統(tǒng)需要進(jìn)行升級(jí)和功能改進(jìn)的時(shí)候，只需要對(duì)相關(guān)的模塊進(jìn)行升級(jí)改造即可，而其他的模塊無(wú)須改動(dòng)。

（3）系統(tǒng)部署方案

在電力系統(tǒng)中，防火墻等邊界設(shè)備屬于第一道防線，如果要想對(duì)這些設(shè)備的信息進(jìn)行采集，就需要對(duì)內(nèi)外網(wǎng)邊界的部署日志文件中獲取到基本的數(shù)據(jù)信息，然而這些設(shè)備一般都是通過(guò)私有協(xié)議進(jìn)行通信交互的，所以就需要將通訊協(xié)議輸入到系統(tǒng)中，通過(guò)解析協(xié)議，獲取到這些交互信息，進(jìn)而保存到數(shù)據(jù)庫(kù)中。通過(guò)對(duì)這些交互信息進(jìn)行分析，可以建立相應(yīng)的規(guī)則模型，對(duì)網(wǎng)絡(luò)的健壯性和安全性進(jìn)行分析，并根據(jù)分析結(jié)果發(fā)出告警和問(wèn)題節(jié)點(diǎn)的追溯。通過(guò)這種方式，可以很快對(duì)具有安全隱患的節(jié)點(diǎn)進(jìn)行鎖定，管理人員可以通過(guò)遠(yuǎn)程控制的方式將命令下發(fā)給這些網(wǎng)絡(luò)邊界的設(shè)備。

3 可視化管控平臺(tái)關(guān)鍵技術(shù)

在對(duì)該平臺(tái)進(jìn)行研發(fā)的時(shí)候，會(huì)涉及以下三個(gè)關(guān)鍵技術(shù)。

（1）網(wǎng)絡(luò)邊界策略健壯性圖形化技術(shù)研究

防火墻是每一個(gè)網(wǎng)絡(luò)部署中都會(huì)使用到的安全測(cè)試，在網(wǎng)絡(luò)中屬于第一道防線，通過(guò)防火墻可以將業(yè)務(wù)區(qū)域進(jìn)行安全級(jí)別的劃分。在電力系統(tǒng)中，為了滿足用電用戶的需要，需要不斷加入網(wǎng)絡(luò)設(shè)備以滿足日益增長(zhǎng)的服務(wù)需要，這就需要該平臺(tái)具有一定的擴(kuò)展性。在防火墻的安全策略中，包含有上千條的訪問(wèn)控制策略，但是就管理人員而言，是需要不斷進(jìn)行調(diào)整的，這些調(diào)整的過(guò)程可能產(chǎn)生很多的垃圾策略、冗余策略或者是一些沖突的策略，嚴(yán)重的影響安全策略的匹配效率。在該平臺(tái)中，通過(guò)可視化的方式，可以將這些復(fù)雜的關(guān)系進(jìn)行展示，這樣就可以在確保網(wǎng)絡(luò)環(huán)境安全的基礎(chǔ)上，對(duì)一些冗余策略進(jìn)行刪除，提高匹配的效率。

（2）網(wǎng)絡(luò)邊界策略健壯性自動(dòng)化分析方法研究。

電力系統(tǒng)的網(wǎng)絡(luò)環(huán)境是持續(xù)穩(wěn)定運(yùn)行的，經(jīng)過(guò)長(zhǎng)時(shí)間的運(yùn)行之后，將產(chǎn)生很多的業(yè)務(wù)數(shù)據(jù)信息，這也就對(duì)防火墻的安全策略產(chǎn)生很大的影響，然而目前還采用人工管理模式進(jìn)行管理，不能對(duì)安全策略進(jìn)行有效的優(yōu)化升級(jí)，致使效率低下，網(wǎng)絡(luò)邊界健壯性非常的低。

雖然電力系統(tǒng)中使用到的防火墻的品牌和類型是不相同的，但是這些防火墻的通訊協(xié)議大同小異，可以對(duì)一些共同的特征進(jìn)行提取，進(jìn)而建議相應(yīng)的規(guī)則，實(shí)現(xiàn)對(duì)防火墻安全策略的自動(dòng)收集。收集了這些信息之后，就可以對(duì)安全策略的頻次、隱患問(wèn)題節(jié)點(diǎn)等進(jìn)行統(tǒng)計(jì)和分析，可以對(duì)網(wǎng)絡(luò)設(shè)備之間的關(guān)聯(lián)關(guān)系進(jìn)行可視化的展示，這樣人工在進(jìn)行運(yùn)維管理的時(shí)候就有了依據(jù)可循。不僅如此，還可以通過(guò)協(xié)議或者是接口實(shí)現(xiàn)操作命令的遠(yuǎn)程下發(fā)。

（3）網(wǎng)絡(luò)邊界策略健壯性可視化管控平臺(tái)研究。

電力系統(tǒng)的運(yùn)維管理必須嚴(yán)格按照國(guó)家電網(wǎng)的流程要求來(lái)進(jìn)行處理，所以在很多的業(yè)務(wù)處理過(guò)程中，需要各級(jí)領(lǐng)導(dǎo)的審批處理，傳統(tǒng)的管理模式下，效率低下，有時(shí)候?yàn)榱说却骋粋€(gè)領(lǐng)導(dǎo)的簽字審批可能花費(fèi)好幾天的時(shí)間。而該平臺(tái)研發(fā)完成之后，可以將工作流自定義到系統(tǒng)中，這樣在工作流節(jié)點(diǎn)中所涉及的相關(guān)的業(yè)務(wù)就會(huì)通過(guò)平臺(tái)自動(dòng)的下發(fā)到審批人員，審批人員只需要通過(guò)系統(tǒng)就可以完成業(yè)務(wù)的審批處理，可以大大提高業(yè)務(wù)處理效率，并且還可以很好的實(shí)現(xiàn)無(wú)紙化的辦公，不僅實(shí)現(xiàn)了自動(dòng)化辦公，而且還節(jié)約了資源，節(jié)省了辦公成本。當(dāng)國(guó)家電網(wǎng)需要改進(jìn)業(yè)務(wù)處理流程的時(shí)候，管理人員只需要在該平臺(tái)中將工作流進(jìn)行優(yōu)化改進(jìn)處理即可，相應(yīng)的節(jié)點(diǎn)人員就會(huì)自動(dòng)的發(fā)生變化，系統(tǒng)會(huì)按照改進(jìn)后的工作流進(jìn)行業(yè)務(wù)的周轉(zhuǎn)處理。通過(guò)這種可視化的方案，可以將整個(gè)電力系統(tǒng)中的所有的網(wǎng)絡(luò)邊界設(shè)備以架構(gòu)圖的形式顯示，能夠?qū)崟r(shí)的顯示每一個(gè)設(shè)備的運(yùn)行狀態(tài)，當(dāng)某一個(gè)設(shè)備發(fā)生安全問(wèn)題的時(shí)候，可能會(huì)給哪些設(shè)備帶來(lái)安全隱患，都能夠通過(guò)直觀的關(guān)聯(lián)圖進(jìn)行顯示，這樣就方便了管理人員快速定位問(wèn)題，并采取科學(xué)合理的措施進(jìn)行解決。

4 應(yīng)用實(shí)施和效果分析

該平臺(tái)研發(fā)完成之后，需要在試點(diǎn)單位進(jìn)行投入使用，使用的過(guò)程中要注意新舊系統(tǒng)的對(duì)接，確保業(yè)務(wù)數(shù)據(jù)信息不丟失。通過(guò)該系統(tǒng)的部署應(yīng)用之后可以發(fā)現(xiàn)，不僅能夠?qū)Ω髌放频姆阑饓?shù)據(jù)信息進(jìn)行采集，能夠?qū)@些異構(gòu)的數(shù)據(jù)進(jìn)行規(guī)范標(biāo)準(zhǔn)化處理，將其存儲(chǔ)到專用數(shù)據(jù)庫(kù)中，并能夠通過(guò)多種可視化的方式對(duì)這些數(shù)據(jù)進(jìn)行展示，可以為網(wǎng)絡(luò)管理人員提供強(qiáng)有力的依據(jù)，這對(duì)于電力系統(tǒng)的安全防護(hù)和管理而言具有非常重要的意義。該系統(tǒng)不僅提高了網(wǎng)絡(luò)邊界的健壯性，提高了電力系統(tǒng)的安全，而且能夠降低網(wǎng)絡(luò)運(yùn)維成本，實(shí)現(xiàn)無(wú)紙化辦公，對(duì)國(guó)家的經(jīng)濟(jì)發(fā)展而言也具有非常重要的意義。

5 結(jié)語(yǔ)

通過(guò)研發(fā)網(wǎng)絡(luò)邊界健壯性可視化管控平臺(tái)，建設(shè)公司信息網(wǎng)絡(luò)第一道防線攻擊行為監(jiān)測(cè)能力，實(shí)現(xiàn)網(wǎng)絡(luò)邊界的在線監(jiān)控，專有應(yīng)用協(xié)議分析過(guò)濾及安全事件上報(bào)，起到對(duì)信息內(nèi)外網(wǎng)邊界安全事件的監(jiān)控、采集和一定的分析作用，能有效地提高第一道防線的安全性和可控性。通過(guò)對(duì)全網(wǎng)信息安全邊界設(shè)備的統(tǒng)一管理，杜絕了對(duì)網(wǎng)絡(luò)邊界物理信息、版本信息、運(yùn)行狀態(tài)缺乏管理和監(jiān)控的問(wèn)題，使網(wǎng)絡(luò)邊界在有效的監(jiān)控下運(yùn)行，便于各種安全事件和運(yùn)行指標(biāo)的統(tǒng)一報(bào)送和集中采集，為數(shù)據(jù)庫(kù)交互審計(jì)、安全事件監(jiān)視和安全態(tài)勢(shì)評(píng)估提供良好的基礎(chǔ)。

[1]張光益，鐘掖，等.大型企業(yè)資源池網(wǎng)絡(luò)設(shè)備邊界防護(hù)關(guān)鍵技術(shù)及設(shè)計(jì)方法淺談[J].電子世界，2020，23（01）：63-64.

[2]耿新，茹東武.泛在電力物聯(lián)網(wǎng)下電力系統(tǒng)數(shù)據(jù)安全防護(hù)體系建設(shè)[J].電工技術(shù)，2020，24（01）：147-149.

[3]楊民.電力系統(tǒng)信息通信的網(wǎng)絡(luò)安全及防護(hù)[J].科技創(chuàng)新與應(yīng)用，2019，78（36）：137-138.

[4]王桂彬.電力系統(tǒng)信息通信網(wǎng)絡(luò)安全及防護(hù)安全探究[J].信息通信，2019，12（12）：168-169.

貴州電網(wǎng)有限責(zé)任公司2019年網(wǎng)絡(luò)邊界健壯性可視化管控平臺(tái)研究與應(yīng)用項(xiàng)目