1、電力系統(tǒng)網(wǎng)絡(luò)安全的研究劉桂芹（滄縣供電公司，河北 滄州061000） 摘要：隨著我國電力系統(tǒng)自動化、信息化程度的不斷提高，電力系統(tǒng)的信息網(wǎng)絡(luò)安全扮演看越 重要角色。文章首先對國家電網(wǎng)網(wǎng)絡(luò)構(gòu)架進行了分析，然后從電力系統(tǒng)信息網(wǎng)絡(luò)安全防御能力 的現(xiàn)狀出發(fā)，分析了網(wǎng)絡(luò)安全層次結(jié)構(gòu)的總體設(shè)計、防火墻體系構(gòu)建、安全訪問控制的構(gòu)建、 數(shù)據(jù)備份的實施及加強安全管理，從外部防御、用戶授權(quán)、信息加密、內(nèi)部審計等方面對電力 系統(tǒng)信息網(wǎng)絡(luò)安全進行了分析研究。關(guān)鍵字：網(wǎng)絡(luò)安全、入侵檢測系統(tǒng)（ids）、監(jiān)控信息系統(tǒng)（s1s）、管理信息系統(tǒng)（mis）0.引言隨著我國internet和電力信息化產(chǎn)業(yè)的飛速發(fā)展，計算機網(wǎng)絡(luò)在電

2、力企業(yè)的各個方面得到 了廣泛的應(yīng)用，電力企業(yè)信息網(wǎng)絡(luò)己經(jīng)成為電力系統(tǒng)的重要基礎(chǔ)設(shè)施，它的安全運行與否關(guān)系 到電力系統(tǒng)的安全、穩(wěn)定、有效運行。網(wǎng)絡(luò)技術(shù)的廣泛應(yīng)用，電力信息網(wǎng)絡(luò)的不斷延伸和擴大, 特別是電力企業(yè)網(wǎng)和internet的互聯(lián)都對電力信息網(wǎng)絡(luò)的安全提出了更高的要求。因此，深入 研究電力企業(yè)信息網(wǎng)絡(luò)安全的特點和存在的問題，對電力企業(yè)信息網(wǎng)絡(luò)的安金運行有一定的指 導(dǎo)意義。1.國家電網(wǎng)網(wǎng)絡(luò)架構(gòu)分析目前，內(nèi)部網(wǎng)絡(luò)與internet網(wǎng)的連接方式人多釆用星型的拓撲結(jié)構(gòu)。最終用戶耍和外界聯(lián) 系通訊必須通過網(wǎng)絡(luò)服務(wù)器，這樣對于外界網(wǎng)絡(luò)安全全部都依賴于網(wǎng)絡(luò)服務(wù)器。因而，針對于 網(wǎng)絡(luò)的安全必須以網(wǎng)絡(luò)服務(wù)器為

3、主。電力金業(yè)信息網(wǎng)拓撲結(jié)構(gòu)邏輯上是星型+樹狀結(jié)構(gòu)。它由主t網(wǎng)、區(qū)域網(wǎng)、省內(nèi)網(wǎng)、地區(qū) 網(wǎng)4級組成，各級網(wǎng)絡(luò)設(shè)有分級網(wǎng)絡(luò)屮心及主節(jié)點，同時乂以上級網(wǎng)絡(luò)屮心為屮心節(jié)點。每一級 網(wǎng)絡(luò)的網(wǎng)絡(luò)中心與該級網(wǎng)絡(luò)的主t節(jié)點呈星型連接，網(wǎng)絡(luò)內(nèi)節(jié)點間的信息交換原則上要通過其 屮心節(jié)點。下一級信息網(wǎng)是上一級信息網(wǎng)的接入網(wǎng)，因此區(qū)域網(wǎng)是第1級接入網(wǎng)，省內(nèi)網(wǎng)是第二 級接入網(wǎng)，地區(qū)網(wǎng)是笫三級接入網(wǎng)，縣級網(wǎng)是笫四級接入網(wǎng)。各級網(wǎng)絡(luò)的局域用八按地理區(qū)域 就近接入各級接入網(wǎng)絡(luò)，漫游川戶就近接入當?shù)鼐W(wǎng)絡(luò)，經(jīng)所管轄的區(qū)域網(wǎng)主節(jié)點進入主干網(wǎng)。 各級網(wǎng)絡(luò)中心負責其相應(yīng)職能范圍的網(wǎng)絡(luò)管理和控制，并捉供基木網(wǎng)絡(luò)功能和網(wǎng)絡(luò)增值服務(wù)。 負責管理

4、運行主干網(wǎng)以及與國家和國際的聯(lián)網(wǎng)，它是電力行業(yè)信息網(wǎng)的總的連接樞紐。各級信 息中心為電力系統(tǒng)全行業(yè)提供信息服務(wù)。供電企業(yè)網(wǎng)絡(luò)一般屬于笫三、四級接入網(wǎng)，即地區(qū)網(wǎng)和縣級網(wǎng)（木文主要討論縣級網(wǎng)）。 縣級網(wǎng)與地區(qū)內(nèi)網(wǎng)絡(luò)通過光纖或者其他物理專線方式連接省內(nèi)網(wǎng)。地區(qū)網(wǎng)擁有所有縣級服務(wù)器 和下屬單位的互聯(lián)網(wǎng)出口，因此能組建數(shù)據(jù)綜合骨干網(wǎng)?？h級通過專線訪問地區(qū)級的服務(wù)器， 開展tl常的業(yè)務(wù)工作。2網(wǎng)絡(luò)安全所謂網(wǎng)絡(luò)安全是指在分布網(wǎng)絡(luò)壞境中，對信息載體（處理載體、存儲載體、傳輸載體）和信 息的處理、傳輸、存儲、訪問提供安全保護，以防止數(shù)據(jù)、信息內(nèi)容或能力拒絕服務(wù)或非授權(quán) 使用和篡改。網(wǎng)絡(luò)安全具有機密性、可用性和完

5、整性這三個基本屬性。網(wǎng)絡(luò)安全涉及的內(nèi)容既 有技術(shù)方面的問題，也有管理方面的問題，兩方面相互補充，缺一不可。技術(shù)方面主耍側(cè)重于 防范外部非法用戶的攻擊，管理方而則側(cè)重于內(nèi)部人為因素的管理。威脅網(wǎng)絡(luò)安全的因素主要 有黑客入侵、信息泄漏、拒絕服務(wù)攻擊和病毒等幾類。2. 1黑客入侵由于網(wǎng)絡(luò)邊界上的系統(tǒng)安全漏洞或管理方面的缺陷（如弱口令），容易導(dǎo)致黑客的成功入侵。 黑客可以通過入侵計算機或網(wǎng)絡(luò),使用被入侵的計算機或網(wǎng)絡(luò)的信息資源，來竊取、破壞或修改 數(shù)據(jù)，從而威脅電力企業(yè)信息網(wǎng)絡(luò)安全。2. 2信息泄漏相對于黑客入侵這種來口網(wǎng)絡(luò)外部的威脅而言，信息泄漏的主要原因則在于企業(yè)內(nèi)部管理 不善，如信息分級不合理、

6、信息審查不嚴和不當授權(quán)等，都容易導(dǎo)致信息外泄。2. 3拒絕服務(wù)攻擊信息網(wǎng)絡(luò)上提供的ftp、web和dns等服務(wù)都冇可能遭受拒絕服務(wù)攻擊。拒絕服務(wù)的主要攻擊 方法是通過消耗用戶的資源，來增加cpu的負荷，當系統(tǒng)資源消耗超出cpl'的負荷能力時，此時網(wǎng) 絡(luò)的正常服務(wù)失效。2.4病毒通過計算機網(wǎng)絡(luò)，病毒的傳播速度和傳播范圍程度驚人，它可以在數(shù)小時z間使得全球成 千上萬的網(wǎng)絡(luò)計算機系統(tǒng)癱瘓，嚴重威脅網(wǎng)絡(luò)安全。病毒的危害性涉及面廣，它不僅可以修改 刪除文件，還可以竊取企業(yè)內(nèi)部文件和泄霜用戶個人隱私信息等。3. 網(wǎng)絡(luò)設(shè)計3.1網(wǎng)絡(luò)系統(tǒng)的總休設(shè)計綜合考慮辦公人員的實際需求，按照電力企業(yè)網(wǎng)絡(luò)的實際耍求

7、，實現(xiàn)internet連接、網(wǎng)絡(luò) 資源共亨、內(nèi)部辦公白動化。根據(jù)以上分析，網(wǎng)路小心設(shè)在辦公樓的頂層，對內(nèi)部網(wǎng)絡(luò)采用分 布式層級結(jié)構(gòu)，這樣對網(wǎng)絡(luò)的町擴展性和性能有很大的好處。企業(yè)內(nèi)部網(wǎng)絡(luò)包括縱向三層結(jié)構(gòu): 核心層、匯聚層和接入層。網(wǎng)絡(luò)主干部分稱為核心層，核心層的主要目的在于通過高速轉(zhuǎn)發(fā)通 信，可靠的骨干傳輸結(jié)構(gòu)，因此核心層應(yīng)該由高性能的交換機組成。核心層交換機擁有更高的 可靠性，并且能夠處理網(wǎng)絡(luò)小人量的數(shù)據(jù)流量，具備很強的擴展能力。核心層交換機為網(wǎng)絡(luò)提 供高速的主干鏈路及小心設(shè)備，是溝通服務(wù)器和訪問層設(shè)備的橋梁，更要能實時的高品質(zhì)的網(wǎng) 絡(luò)服務(wù)。匯聚層的交換機主要是用來分發(fā)網(wǎng)絡(luò)資源到接入層的用戶，

8、并將網(wǎng)絡(luò)屮非屮心數(shù)據(jù)的 流量減少到最低。匯聚層交換機主耍是將數(shù)據(jù)轉(zhuǎn)發(fā)至接入層的交換設(shè)備上。接入層目的是允許 終端用八連接到網(wǎng)絡(luò)，一般接入層的交換機處于網(wǎng)絡(luò)體系結(jié)構(gòu)的最下層，提供基于端口的數(shù)據(jù) 交換以及對vlan的支持。接入層交換機具有低成本和高端口密度特性。為了提供無縫的網(wǎng)絡(luò)交 換，匯聚層和接入層的交換機應(yīng)與核心層的交換機之間存在良好的兼容性。3. 2 vlan的劃分vlan分段通常被認為是控制網(wǎng)絡(luò)廣播風暴的一種基木手段，其實也是保證網(wǎng)絡(luò)安全的一項 重要措施。它可以將非法用戶與敏感的網(wǎng)絡(luò)資源相互隔離，從而防止可能的非法偵聽。在集中 式網(wǎng)絡(luò)環(huán)境卞，通常將敏感部門的所有主機系統(tǒng)集中到一個vlans

9、,在這個vi.an里不允許有其 它任何用戶節(jié)點，從而較好地保護這些主機中的資源；在分布式網(wǎng)絡(luò)壞境f，則可以按機構(gòu)或 部門的設(shè)置來劃分vlan,各部門內(nèi)部的所有服務(wù)器和用戶節(jié)點都在各自的vlan內(nèi)，互不侵擾， 從而有效地控制廣播、防止黑客。經(jīng)過分析，我們將金業(yè)局域網(wǎng)按應(yīng)用類型分為對應(yīng)的四個子 網(wǎng)：生產(chǎn)子網(wǎng)（lan1）、管理子網(wǎng)（lan2）、勞資子網(wǎng)（lan3）和財務(wù)子網(wǎng)（lan4） o各網(wǎng)絡(luò)系統(tǒng)的運行 采用的是以交換技術(shù)為主的方式。三網(wǎng)主干均應(yīng)采川的是千兆以太網(wǎng)技術(shù)，起點的高定位為金 業(yè)的信息應(yīng)用帶來了高速、穩(wěn)定、符合國際標準的網(wǎng)絡(luò)平臺。4. 防火墻體系構(gòu)建4. 1防火墻工作原理防火墻實際上是由

10、應(yīng)用層網(wǎng)關(guān)、包過濾路由器和電路層網(wǎng)關(guān)等組成的一套系統(tǒng)，它邏輯上 處于內(nèi)部網(wǎng)和外部網(wǎng)之間，可以提供網(wǎng)絡(luò)通信，從而保證內(nèi)部網(wǎng)的正常安全運行。防火墻是放 置在電力金業(yè)內(nèi)網(wǎng)服務(wù)器前端的，防火墻的基本結(jié)構(gòu)如圖1所示。工作原理：當防火墻被安置完成以后，所有內(nèi)部通向外部和外部通向內(nèi)部的數(shù)據(jù)流都要通 過防火墻。它通過包過濾技術(shù)，利用應(yīng)用層代理或應(yīng)用層數(shù)據(jù)共亨的方式來實現(xiàn)不同網(wǎng)絡(luò)zi'可 的通信，通過堡壘主機（屏蔽主機防火墻）連接系統(tǒng)外部與內(nèi)部。此外，它還利用基于支持網(wǎng) 絡(luò)層和應(yīng)川層安全功能等技術(shù)來冇效的隔離了內(nèi)部和外部的網(wǎng)絡(luò)，從而建筑起了一道屏障來抵御非法的侵入，更好的保護了電力金業(yè)網(wǎng)絡(luò)系統(tǒng)的安全運行

11、。圖1防火墻基本結(jié)構(gòu)4.2訪問控制列表構(gòu)建防火墻體系結(jié)構(gòu)訪問控制列表是應(yīng)川在路由器接口的指令列表，這些指令列表川來告訴路由器哪些數(shù)據(jù)包 可以接收、哪些數(shù)據(jù)包需要拒絕。至于數(shù)據(jù)包是被接收還是被拒絕，可以山類似于源地址、目 的地址、端口號、協(xié)議等特定指示條件來決定。通過靈活地增加訪問控制列表，acl可以當作一 種網(wǎng)絡(luò)控制的有力工具，用來過濾流入和流岀路由器接口的數(shù)據(jù)包。從而達到網(wǎng)絡(luò)防火墻的作 用。4. 3硬件防火墻的應(yīng)用在金業(yè)應(yīng)用中，比較常見的是硬件防火墻，我以"watchguard"這款防火墻在電力企業(yè)中 網(wǎng)絡(luò)組建做個詳細的介紹。當然，在使用防火墻z前首先得安裝它，或者說是將

12、防火墻與整個 網(wǎng)絡(luò)配置好。笫一步，必須選定防火墻的工作模式，一般為兩個選項，一個為drop-in mode, 另一個為routed modeo前者主要川于不帶“非軍事區(qū)”或者無內(nèi)網(wǎng)的網(wǎng)絡(luò)環(huán)境，在這里我們選 擇“routed mode”模式。然后我們把外接網(wǎng)口，內(nèi)部接口、“非軍事區(qū)”的選項添好，進行完 網(wǎng)絡(luò)設(shè)置后，我們即可通過gui程序與便件防火墻直接連接，并對防火墻進行配置。局域網(wǎng)與 防火墻之間的配置。一個金業(yè)往往會分很多部門，例如，牛:產(chǎn)部、研發(fā)部、財務(wù)部等，而根據(jù)不 同部門對網(wǎng)絡(luò)及網(wǎng)絡(luò)安全的需求往往是不一樣的。4. 4入侵檢測系統(tǒng)入侵檢測系統(tǒng)（ids）是一種主動防御攻擊的新型網(wǎng)絡(luò)安全系統(tǒng)，

13、由于它在功能上彌補了防 火墻的缺陷，完善了幣個安全防御體系，因此在電力企業(yè)的網(wǎng)絡(luò)安全屮有著重要的作用。入侵 檢測系統(tǒng)是放置在電力企業(yè)內(nèi)網(wǎng)服務(wù)器前端的，其分布式布置3所示。山圖可知，我們在進行安 裝入侵檢測系統(tǒng)（ids）的關(guān)鍵步驟是部署監(jiān)測器與控制臺。具體安裝如下：首先，可以在外部 路山器與外部網(wǎng)絡(luò)的連接處部署監(jiān)測器，以監(jiān)測界常的入侵企圖，在防火墻與m1s之間部署監(jiān)測 器，以監(jiān)視和分析管理信息系統(tǒng)與外部網(wǎng)絡(luò)的通信流。然后，分別在監(jiān)控信息系統(tǒng)（sis）和管 理信息系統(tǒng)（mis）屮部署一臺監(jiān)測器，監(jiān)視各子網(wǎng)的內(nèi)部情況，其中控制臺設(shè)置在管理信息系 統(tǒng)屮。最后，根據(jù)實際情況為個別需重點保護的服務(wù)器、工作

14、站安裝基于主機的入侵檢測軟件, 保護重要設(shè)備。mis圖2入侵檢測系統(tǒng)分布式布置4.5組策略網(wǎng)絡(luò)安全設(shè)置方案組策略是windows的一個強人的管理工具，它不但可以對丁作站進行配置，其強人的功能 述可以應(yīng)用到整個網(wǎng)絡(luò)中。在企業(yè)中是最常用的網(wǎng)絡(luò)安全管理“法寶” 2，即町讓機器變得 更安全，又可以使得用戶在操作時更肓觀、方便。為了方便管理員對企業(yè)內(nèi)部使用應(yīng)用程序的 安裝和維護，組策略為管理員提供一個叫“軟件安裝”的管理單元，是系統(tǒng)管理員在企業(yè)中的 整個生命周期屮管理軟件的主耍工具。在使用“軟件安裝” z前，需耍為安裝的程序準備一個 windows安裝程序包。這個程序包通常由軟件提供，如果沒有windo

15、ws安裝包，則需要管理員 制作一個。使用第三方的程序?qū)σ惭b的程序打包。然后使用轉(zhuǎn)換進一步口定義程序包。下一 步創(chuàng)建網(wǎng)絡(luò)共亨，也叫做軟件分發(fā)電，包括程序包、轉(zhuǎn)換及程序文件和組件。雖然程序包和程 序文件不一定放在一起，但如果他們在一起，則管理上會比較簡單。使用分布文件系統(tǒng)以幫助 管理這些軟件分發(fā)點，對管理員而言是百利無一害的。最后，管理員需要確認用戶能夠從軟件 分發(fā)點中讀取，并寫到安裝h錄中，尤其是要把程序?qū)懙骄W(wǎng)絡(luò)服務(wù)器。5. 安全訪問控制的構(gòu)建訪問控制的主要任務(wù)是保證網(wǎng)絡(luò)資源不被非法使用和訪問。訪問控制構(gòu)建冇以下兒個方面:1）安全級別。在中心機房的總服務(wù)端，我們要對服務(wù)器系統(tǒng)設(shè)定管理員的安全級

16、別，并按照級別給予不 同的用八名和密碼。安全級別將影響系統(tǒng)訪問的權(quán)限，安全級別低的管理員可設(shè)置成只對服務(wù) 器日常維護的權(quán)限，這樣能有效的達到安全訪問控制的基木目的。2）權(quán)限設(shè)置。對于訪問的用戶設(shè)置權(quán)限，根據(jù)實際情況，可以設(shè)為系統(tǒng)管理員權(quán)限、創(chuàng)建權(quán)限、文件查 找權(quán)限、讀權(quán)限、寫權(quán)限、刪除權(quán)限、修改權(quán)限。通過權(quán)限的設(shè)置，可以有效的防止用戶對服 務(wù)器及其他設(shè)備的破壞，方便于管理，也使網(wǎng)絡(luò)及服務(wù)器的安全性更加堅固。3）網(wǎng)絡(luò)監(jiān)測。網(wǎng) 絡(luò)管理員在網(wǎng)絡(luò)屮心服務(wù)器上，存儲網(wǎng)絡(luò)川戶網(wǎng)絡(luò)使川的數(shù)據(jù)流信息，當網(wǎng)絡(luò)屮出現(xiàn)非法訪問 時，服務(wù)器會出現(xiàn)報警，及時提醒網(wǎng)絡(luò)管理員。網(wǎng)絡(luò)服務(wù)器能夠記錄網(wǎng)絡(luò)上非法嘗試連接的用 戶，

17、如果超出非法連接次數(shù)，立即對這用戶名進行鎖定。4）屬性安全控制。網(wǎng)絡(luò)管理員対網(wǎng)絡(luò)服務(wù)器中目錄、文件、網(wǎng)絡(luò)設(shè)備等指定訪問屬性，屬性就會控制用戶正 當使用的fi錄或文件，并限制川戶使用讀、寫、刪等功能。當網(wǎng)絡(luò)管理員把fi錄設(shè)置屬性時， 目錄下的字目錄及文件都有效。網(wǎng)絡(luò)的屬性可以保護服務(wù)器中重要的文件及信息，阻止非法用 戶對系統(tǒng)進行破壞。5）局域網(wǎng)客戶機應(yīng)設(shè)立自己的使用賬號及密碼，刪除系統(tǒng)中可訪問的usor類用戶，如需要共享或傳 送文件等，則建議建立一個限定權(quán)限用戶。6. 數(shù)據(jù)備份的實施及加強安全管理數(shù)據(jù)的備份我們采用nas （network attached storage,網(wǎng)絡(luò)附屬存儲），它所連

18、接的網(wǎng)絡(luò) 是局域網(wǎng)（lan）而非存儲網(wǎng)絡(luò)。nas是一種專卅的文件服務(wù)器設(shè)備，可以為工作組或公司屮的 每個用戶提供共厚磁盤空間，用戶權(quán)限設(shè)置思路很類似于普通windows系統(tǒng)，操作很簡單。與通 用服務(wù)器相比，nas較便宜，且安全，口常管理更方便。nas基于ip網(wǎng)絡(luò)，在數(shù)據(jù)傳輸時對帶寬 資源冇較大的占用，但隨著t兆以太網(wǎng)技術(shù)和一些新技術(shù)的發(fā)展，nas在網(wǎng)絡(luò)傳輸速度方面的不 足冇較大的改觀，而.h.nas設(shè)備一般采用標準的硬盤（sata, tde）,配合廠商的專利技術(shù)，存 儲系統(tǒng)擴容比較容易，零配件的更換成本很低。只需一個1p地址即可訪問nas,避免了客八端 大雖的設(shè)置工作，為將來更人的數(shù)據(jù)存儲提供了一個簡易的增容方案。適合于數(shù)據(jù)量每年都冇 增長的大中空企業(yè)使用，企業(yè)不必一次性購買大容量的存儲系統(tǒng)，而是可以根據(jù)自己的需求逐 步擴充存儲系統(tǒng)。nas存儲系統(tǒng)內(nèi)置了服務(wù)器功能，它能夠兼容不同的計算機操作系統(tǒng)，同時基 于ip的特性使得nas系統(tǒng)可以無縫地融合到現(xiàn)有網(wǎng)絡(luò)屮，安裝n