基于等級保護2.0探討電力系統的身份安全管理

田里 喻瀟 徐江珮 劉暢

在信息化建設過程中，安全風險是不容忽視的重要問題，黑客入侵防范、數據保護、網絡防護等越來越受到關注，但對于身份與訪問控制，往往被忽略，導致其成為信息安全短板。電力工業是我國公用事業，是國民經濟的基礎產業，電力企業的應用系統、信息網絡的穩定、安全，與人民生活水平、各行各業的發展直接相關。電力行業的信息化是一項復雜的大型系統工程，涉及電力負荷管理、配電網自動化、電網調度等等，現代智能電網具有很強的雙向交流互動性，用戶數量大，技術復雜，風險隱患更加突出。電力系統的身份安全管理是需要迫切解決的問題。本文以信息安全技術網絡安全等級保護的基本要求為基礎，基于等級保護2.0，探索電力系統的身份安全管理，防止外部攻擊，減少內部誤操作，保證電力系統的信息安全。

現代電力互聯網建設不斷發展，為保證電力企業的安全運行，需要供電公司和相關單位有可靠、穩定的網絡平臺。但相關單位的城域網、局域網缺乏提前預警、動態感知安全威脅態勢，安全防護手段單一。隨著電力部門不斷增加對外開放的接口，雙網隔離后，一些攻擊手段也持續變化和升級，仍無法有效解決這一問題。電力系統的外網安全，相對部署邏輯強隔離的專網，更加危險。外網安全等級較低，但企業需要據此開展一些業務，比如移動終端接入、員工收發郵件、財務報稅等等，潛在脆弱性、安全隱患很大。在整個電力系統網絡中，安全等級較低的外網是安全防御體系的突破口，容易被惡意攻擊利用，成為信息安全洼地，導致巨大的經濟損失。有調查顯示，能夠輕松訪問內部敏感數據的企業員工大約73%。全球網絡安全支出超過1240億美元人。保證信息不被泄露的基本保障，就是身份安全驗證。由于Facebook安全事件，泄露用戶身份，被罰款50億美元。對于電力系統網絡安全中，如何保證身份安全是關鍵問題。2019年，我國發布網絡安全等級保護基本要求、技術要求、測評要求等，為等級保護2.0。等級保護2.0有效補充提升新型網絡系統的安全防護能力，為實現國家網絡安全戰略提供基礎，是網絡安全法的貫徹落實。相比過去的標準，等級保護2.0有突破性的進展，對新的業務環境提供了指導，確定安全建設標準，比如物聯網、云計算等，也為電力系統身份安全研究提供參考，促進電力系統的網絡安全建設。

一、網絡安全等級保護的發展歷程

早在1994年，安全等級保護的概念首次被提出，在國務院147號令中，關于計算機信息系統的這一概念。在2007年，開啟等級保護1.0時代。我國正式實施《信息安全等級保護管理辦法》，對信息安全等級保護有規范的制度和指導。2008年，我國發布實施等級保護基本要求，針對信息安全技術信息系統，提出相應的規范。2017年，確立等級保護制度的法律地位，在《網絡安全法》中，進一步明確網絡安全等級保護制度。2019年，開啟等級保護2.0時代，我國正式頒布網絡安全等級保護的基本要求，針對信息安全技術進一步加強規范指導。

二、等級保護2.0的特點

對于網絡安全等級保護2.0，在新標準下有新的特點。等級保護2.0充分考慮新型應用的安全擴展要求，不僅僅考慮通用安全要求，并且在標準規范中，列入工業控制系統、物聯網、云計算、移動互聯等。對于等級保護，形成三重防護結構框架的安全管理中心，包括安全設計技術要求，測評要求，等級保護的基本要求等。在各環節、各級別的主要功能要求中，列入可信計算及驗證?？尚庞嬎闶堑燃壉Ｗo2.0的新特點，先構建一個信任根用于計算機系統中。管理安全、技術安全、物理安全，共同保證信任根的可信性。然后建立信任鏈，包括應用系統，操作系統，軟硬件平臺等。一級信任一級，一級度量認證一級。為保證整個計算機系統的可信，在整個計算機系統中，擴展這種信任。保證和支撐身份安全管理的是可信計算。等級保護2.0相比等級保護1.0，對可信計算的相關要求有相應的增加。從等級保護2.0的一級到四級整個標準，可信計算貫穿始終。安全計算環境、安全區域邊界、安全通信網絡，對可信計算都有明確的要求。根據《網絡安全法》，加強規范治理，工作責任到個人。從網絡安全等級保護1.0時代，到等級保護2.0時代，形成主動防御的態勢，改變過去被動防御的狀態。等級保護2.0時代，堅持主動免疫，自身防御。內外兼防，積極防護。分區隔離，整體防御。技管并重，縱深防御，充分利用等級保護制度。從管理方面、技術方面，等級保護2.0有新要求。過去的系統運維管理、系統建設管理、人員安全管理、安全管理機構、安全管理制度，是管理要求。等級保護2.0下，轉變為安全運維管理、安全建設管理、安全管理機構和人員、安全策略和管理制度。過去的技術要求，備份恢復、主機安全、網絡安全、物理安全、數據安全等，轉變為設備和計算安全、網絡和通信安全、應用和數據安全、物理和環境安全。調整各個級別內容結構，適應新應用、新業務、新技術，比如工業控制系統、物聯網、移動互聯、云計算等。提出工業控制系統安全擴展要求、移動互聯安全擴展要求、安全通用要求等等。過去安全控制點的A、S、G標注，在等級保護2.0中取消。同時提出安全要求的選擇，依據定級的S、A結果。增加附錄A描述，對安全要求、等級保護對象的關系進行說明。

三、等級保護2.0下的電力系統身份安全管理系統設計

國家電網公司最新發展戰略目標提出建設具有中國特色國際領先的能源互聯網企業，“能源互聯網”是方向，代表電網發展的更高階段，能源是主體，互聯網是手段，公司建設能源互聯網企業的過程，就是推動電網向能源互聯互通、共享互濟的過程，也是用互聯網技術優化提升傳統電網的過程。我國對網絡安全等級保護制度提出新要求，建立監測發現網絡安全重大漏洞隱患機制，整改督辦重大漏洞隱患的機制。加強態勢感知信息預警工作。積極建設一體化的網絡安全綜合防控體系，加強打防管控。根據目前系統存在身份認證和安全問題，本文將在電力系統或某個具體的電力公司的全局范圍內，構建身份認證系統，系統的總體設計思路如圖2所示。

采用全局ID賬號與各目標應用系統的ID賬號映射的方式來解決異構系統間的用戶賬號映射。在基于虛擬身份的身份映射模式下，全局ID賬號與各目標應用系統的ID賬號通過映射建立一對一的關聯，一個全局ID賬號可以建立與多個應用系統賬號的映射。

為保證身份同步服務的靈活性，身份同步器中的各邏輯組件如下圖4所示。

在電力系統身份安全管理中，需要加強以下幾個方面：第一，加強訪問控制。

需要分離管理用戶的權限，授予管理用戶所需的最小權限。注意避免共享賬戶的存在，對于多余的、過期的賬戶，及時刪除或停用。對默認賬戶的默認口令進行修改，默認賬戶進行重命名或刪除。分配賬戶和權限，對登錄的用戶加強管理。對有安全標記的信息資源，控制主體的訪問，設置安全標記針對包括重要的主體和客體。文件、數據庫表級為客體，用戶級或進程級為主體，完善訪問控制的粒度。主體對客體的訪問，依據訪問控制策略規范，對主體配置訪問控制策略進行授權。

第二，重視可信驗證。可信驗證包括應用程序、重要配置參數、系統引導程序等，以可信根為基礎。進行動態可信驗證，主要針對在應用程序上，一些關鍵的執行環節。如果破壞可信性，隨時檢測立刻報警，形成審計記錄。向安全管理中心傳送驗證結果。

第三，加強身份鑒別。身份標識具有唯一性，要定期更換身份鑒別信息。對登錄的用戶進行鑒別，有對應的身份標識。身份鑒別信息需要滿足復雜度的要求[6]。進行遠程管理時，對用戶加強身份鑒別，采用兩種或兩種以上組合鑒別技術，比如生物技術、密碼技術、口令等。在信息網絡傳輸過程中，防止鑒別被竊聽問題。同時至少應使用一種密碼技術，進行鑒別。

第四，數據保密性。在存儲重要數據的過程中，重視保密性，應用密碼技術，鑒別重要個人信息，鑒別重要業務數據，鑒別數據等。

第五，安全審計。對每個用戶都要進行審計。充分啟用安全審計功能。審計重要安全事件、重要的用戶行為。防止未經授權的中斷，注意保護審計進程。為防止意外的覆蓋、修改、刪除等，需要定期備份，保護審計記錄。事件類型、事件的日期、事件是否成功、用戶等，均作為審計記錄，包含所有與審計相關的信息。

第六，數據完整性。在存儲過程中，要保證重要數據的完整性，比如重要個人信息、重要視頻數據、重要審計數據、重要業務數據、鑒別數據、重要配置數據等等，使用科學的校驗技術或密碼技術。

第七， 加強個人信息保護。對于未授權訪問要禁止，防止非法使用用戶個人信息。對必需的用戶個人信息進行采集和保存。

五、總結

總之，等級保護2.0覆蓋更廣的行業范圍，普適性更高。等級保護2.0要求業務邊界安全，以及身份可信，核心是保護業務與數據安全。等級保護2.0的技術領域更加全面。等級保護2.0與網絡安全法配套，為電力系統網絡安全戰略規劃目標提供指導。本文分析了在等級保護2.0下，電力系統網絡身份安全面臨的缺乏管控流程、缺乏身份標準、賬號和權限混亂、缺乏技術保障、標準形同虛設、身份混亂等問題，并提出加強個人信息保護，加強身份鑒別，加強訪問控制，安全審計，重視可信驗證等策略，促進電力系統的身份安全管理。