一、引言
在席卷全球的信息化浪潮中,我国的信息网络建设也获得了快速发展,从“政府上网办公—电子政务”到“企业上网采购—电子商务”,网络已经渗透到各行各业和人民的生活,网络正逐步改变着人们的生产和生活方式,推动着企业进步和机制、体制的不断改革。伴随着国内网络建设高潮而来的计算机和网络犯罪也不断出现,网络信息安全问题日益突显出来,信息网络的安全一旦遭受破坏,其影响或损失十分巨大。据美国FBI的调查,美国每年因为网络安全造成的经济损失超过170亿美元。信息安全已经成为一个关系到国家经济、政治、军事等多方面的重要问题。特别是去年美国“9.11”事件的发生,意味着信息安全问题面临着前所未有的挑战,世界各国对信息安全愈发重视。
电力工业作为国民经济的支柱产业,为国民经济和人民生活服务型行业,计算机及网络技术应用范围广、种类繁多且十分复杂。特别是计算机网络及电网自动化水平的高速发展,一旦信息安全出现问题,将危机电网的安全运行,所造成的损失和影响将是无法估量的。电力系统信息安全是电力系统安全运行和对社会可靠供电的保障,是一项涉及电网调度自动化、继电保护及安全装置、厂、站自动化、配电网自动化、电力负荷控制、电力市场交易、电力营销、信息网络系统等有关生产、经营和管理方面的多领域、复杂的大型系统工程。研究电力系统信息安全问题、制定电力系统信息遭受外部攻击时的防范与系统恢复措施等信息安全战略是当前电力信息化工作的重要内容。电力工业的特点决定了电力信息网络安全不仅具有一般计算机信息网络信息安全的特征,而且还具有电力实时运行控制系统信息安全的特征。因此,深入研究电力系统信息安全的特点,制定保证电力系统信息安全措施将面临着巨大挑战和考验。
二、电力信息网络系统的安全威胁
电力信息系统主要包括SCADA/EMS系统,MIS系统,DMIS系统。SCADA/EMS系统主要负责对所辖的变电站、电厂以及重要的输配电线路的电力运行以及生产情况进行实时监控、处理、分析,为科学合理的电网调度提供决策上的依据,它的功能包括:数据采集,能量分析,数据存储、转发,远程监控等;电力系统计算机管理信息业务网(MIS网)主要负责实现江苏省所有电力企业的网上信息化服务,它包括办公自动化、综合信息查询、计划统计管理、用电管理、财务管理、劳动人事管理、生产安全管理等各个子系统,同时还包括上下级系统的联网,与社会上其它企业或公用网络的数据交换等;电力调度管理信息系统(DMIS)主要负责对电网调度运行、运行方式、继电保护、电网通信、运行记录等进行半实时化综合管理,为调度中心及有关部门提供及时、准确的辅助决策信息。这些信息包括电网调度运行类信息、运行方式管理类信息、继电保护类信息、电网通信管理类信息、运行记录类信息等。
信息安全问题主要有技术层问题和管理层问题。具体而言,可能存在的安全威胁来自以下方面:
1.人们的安全意识亟待提高。目前人们的安全意识还不强,主要体现于密码的设置(密码位数太少、采用常见的信息做密码、不同系统上使用同一密码、密码存入计算机文件中、从不更改密码等)及系统和数据库的漏洞不清楚等。
2.企业缺乏统一的安全管理策略(如职责划分、类型限制、授权管理、用户管理、恢复策略和跟踪审计等)。由于各种原因,目前还没有一套统一、完善的能够指导整个电力系统计算机及信息网络系统安全运行的管理规范,以用于企业安全措施的部署。
3.操作系统的安全性。 目前流行的许多操作系统均存在网络安全漏洞,如UNIX/LINUX系统的CGI程序、root,guest这些默认帐号的泄漏等;Windows 2000/NT系统的IIS、输入法Bug等。
4.防火墙的安全性。防火墙产品自身是否安全(防火墙的安全认证、防火墙用户权限体系管理、防火墙管理程序易操作性等。一般防火墙采用密码认证的方式,这种方法安全性较差,一旦密码本身就被泄漏,别人就可轻松控制防火墙,更可怕的是有些防火墙出厂时密码为空,如果配置防火墙人员没有修改密码,这样尤其危险;一般防火墙的设计没有考虑角色划分的概念,通常用一个角色来实现网络管理权、策略管理权、审计管理权、日志查看权等,以至于出现异常或故障时无法迅速准确地找到问题,这样的防火墙就毫无用户权限体系管理;易于管理是防火墙安全的重要组成部分,据统计,30%的入侵发生在有防火墙的情况下,这些入侵的主要原因并非是防火墙无用,而是由于一般的防火墙的管理及配置相当复杂,要想成功的维护防火墙,要求防火墙管理员对网络安全攻击的手段及其与系统配置的关系有相当深刻的了解,而且防火墙的安全策略无法进行集中管理,这些都产生了由于管理而造成的安全问题。),需要经过检验。
5.内部敏感信息到外部的分发。据统计70%以上的网络攻击行为是来自企业内部,控制内部敏感信息的分发是网络安全策略核心。尽管这样的攻击对你来说不太明显,但一个组织遭受的计算机泄密主要是出自一个不满现在或过去的雇员之手。
6.网络协议本身缺乏安全性。由于绝大多数网络运行的主要是TCP/IP、NetBEUI、IPX等多种网络协议,而这些网络协议并非专为安全通讯而设计。所以利用这些网络进行服务本身就可能存在多方面的安全威胁。
7.各种网络攻击。主要的攻击方式有:
(1)网络报文嗅探(sniffer):网络报文嗅探可以截获关键的系统信息,如用户的账户和密码,一旦攻击者获得正确的账户信息,攻击者就可以使用你的网络。最糟情况下,攻击者获得系统级的用户账户后就可以创建新的账户,作为后门随时进入你的网络获取资源。攻击者还可以修改系统的关键文件,如系统管理员账户的密码,文件服务器的服务和权限列表以及其他含有保密信息计算机的注册信息;
(2)IP欺骗:IP欺骗攻击指网络外部的攻击者假冒受信主机,要么是通过使用你网络IP地址范围内的IP,要么是通过使用你信任并可提供特殊资源位置访问的外部IP地址。虽然IP欺骗可以截获用户账号和密码的访问权,这些攻击也能够用于其他方面。例如,攻击者假扮内部网络的一个用户以使你的组织蒙受损失,他可以送email信息给你的商业伙伴而看起来信息是来源于你的组织。当攻击者有用户账户和密码这种攻击就更容易了,但他们也可以通过简单的欺骗攻击和传送协议知识结合来实现;
(3)拒绝服务和分布式拒绝服务(Dos&DDdos):攻击主要目的是使服务不能为正常的使用者提供服务。通常可以用耗尽网络、操作系统或应用程序有限的资源来实现;
(4)特洛依木马程序(Trojan):特洛依木马程序是这样一种程序,它提供了一些有用的,或仅仅是有意思的功能。但是通常要做一些用户不希望的事,诸如在你不了解的情况下拷贝文件或窃取你的密码, 或直接将重要资料转送出去,或破坏系统等等. 木马程序带来一种很高级别的危险,因为它们很难被发现,在许多情况下,特洛依程序是在二进制代码中发现的,它们大多数无法直接阅读,并且特洛依程序可以作用在许许多多系统上,它的散播和病毒的散播非常相似;
(5)密码攻击:通常指反复地试探、验证用户账号和密码,这种反复试探称之为蛮力攻击。与报文嗅探和IP欺骗攻击一样,蛮力密码攻击也能获得那些可用于修改关键网络文件和服务账户的访问权;
(6)邮件炸弹:指反复传给目标接收者相同的信息, 用这些垃圾邮件拥塞目标的个人邮箱;
(7)病毒(Virus):如 CIH、Worm、Red Code、Nimada、Win32/Klez等,它们传播迅猛,危害程度极大;
(8)来自许多公开化的新技术(HTML规范、HTTP协议、XML规范、SOAP协议等)的攻击,这些攻击通过网络传送有害的程序包括JAVA applet和Active X控件并通过用户的浏览器调用它们。
8.应用服务的安全。许多应用服务系统(如数据库服务器、电子邮件服务器、Web服务器等)在访问控制及安全通讯方面考虑较少,并且,如果系统设置错误,很容易造成损失。
三、保证电力信息网络安全的措施
1. 建立电力信息网的安全体系结构框架
信息安全管理体系的三要素是:人、制度和技术;其中技术是基础,只有在技术有效时,制度和人才是关键,信息安全管理体系从用户的角度看更强调七分管理、三分技术。发达国家经过多年的研究,已形成完善的信息安全管理方法,即British Standard 7799信息安全管理体系指出的安全管理的内容:信息安全政策、信息安全组织、信息资产分类与管理、个人信息安全、物理和环境安全、通信和操作安全管理、存取控制、信息系统的开发和维护、持续运营管理等。BS 7799的信息管理过程是:确定信息安全管理方针和信息安全管理体系的范围;进行风险分析;根据风险分析,建立信息安全管理体系(制度和技术体系);建立业务持续计划并实施安全管理体系。从信息安全管理三要素看:计算机网络与信息安全=信息安全技术+信息安全管理体系(技术+人+制度)。在技术层面和管理层面的良好配合,是组织实现网络与信息安全系统的有效途径。其中,信息安全技术通过采用包括建设安全的主机系统和安全的网络系统,并配备适当的安全产品的方法来实现:在管理层面,则通过构架信息安全管理体系(落实制度和人员培训)来实现。
实现电力系统安全首先需要解决的问题就是在跟踪分析与比较国内外相关领域信息安全技术发展的前沿及应用情况,及时掌握国际电力工业信息安全技术应用发展动向,结合我国电力工业的特点和企业计算机及信息网络技术应用的实际情况,提出并建立电力系统信息安全体系的总体结构框架。网络安全不是一个单纯的技术问题,它不仅是从安全问题分析出发,提出的各层面的安全保障,而是一个包括技术、管理、组织的安全体系。
就技术体系而言,所包括的内容是十分丰富的,它可以从多个角度去考虑问题。目前在技术体系上有良好保障的技术有防火墙技术、防病毒技术、入侵检测与漏洞扫描技术、认证与加密技术等。电力信息安全应用技术主要包括:
(1)信息加密技术
加密技术是信息安全领域的一种基本实用且非常重要的技术。数据加密技术主要分为对称型加密、非对称型加密两类。对称型加密使用单个密钥对数据进行加密或解密,其特点是计算量小、加密效率高。但是此类算法在分布式系统上使用较为困难,主要是密钥管理困难。这类算法的代表是DES算法(Digital Encryption Standard)。
非对称型加密算法也称公用密钥算法,其特点是有二个密钥(即公用密钥和私有密钥),只有二者搭配使用才能完成加密和解密的全过程。由于不对称算法拥有二个密钥,它特别适用于分布式系统中的数据加密,在Internet中得到广泛应用。其中公用密钥在网上公布,为数据对数据加密使用,而用于解密的相应私有密钥则由数据的接收方妥善保管。在网络系统中得到应用的非对称加密算法有RSA算法和美国国家标准局提出的DSA算法(Digital Signature Algorithm)。非对称加密法在分布式系统中应用需注意的问题是如何管理和确认公用密钥的合法性。
(2)访问控制
通过对特定网段、服务建立的访问控制体系,将绝大多数攻击阻止在到达攻击目标之前,目前大多数防火墙都具有访问控制功能。
(3)数字签名和认证技术
认证技术主要解决网络通讯过程中通讯双方的身份认可,数字签名作为身份认证技术中的一种具体技术,同时数字签名还可用于通信过程中的不可抵赖要求的实现。主要的认证技术有:
a.User Name/Password认证
该种认证方式是最常用的一种认证方式,用于操作系统登录、telnet、rlogin等,但此种认证方式过程不加密,即password容易被监听和解密。
b.数字签名
数字签名作为验证发送者身份和消息完整性的根据。公共密钥系统(如RSA)基于私有/公共密钥对, CA使用私有密钥技术进行数字签名,利用CA提供的公共密钥,任何人均可验证签名的真实性。伪造数字签名从计算机能力上不可行的。并且,如果消息随数字签名一同发送,对消息的任何修改在验证数字签名时都将会被发现。
c.生理特征的认证
基于生理特征的认证是一项正处于研究开发阶段的技术,认证的依据种类繁多,常见的有指纹、视网膜或虹膜、手掌几何学等。
d.基于公开密钥体系(PKI)的认证
该种方法安全程度很高,综合采用了摘要算法、非对称加密、对称加密、数字签名等技术,很好地将安全性和高效性结合起来。这种认证方法目前应用在电子邮件、应用服务器访问、客户认证、防火墙认证等领域。PKI包括:证书库、证书颁发机构 (Certificate Authority ,CA)、证书登记、证书吊销、密钥备份及恢复系统等。其中CA是PKI的核心,它负责发布、废除和修改 X.509数字证书信息,它装有用户的公共密钥、证书有效期以及认证功能(如对数据的加密或对数字签名的验证),CA 可以是远程的第三方机构,如 VeriSign,也可以是你创建的供你所在组织使用的 CA。在电子商务系统中,所有实体的证书都是CA分发并签名的。一个完整、安全的电子商务系统必须建立起一个完整、合理的CA 体系。
电力市场交易系统就其实质来说,是一个典型的电子商务系统,它必须保证交易数据安全。在电力市场技术支持系统中,作为市场成员交易各方的身份确认、物流控制、财务结算、实时数据交换系统中,均需要权威、安全的身份认证系统。在电力系统中,电子商务逐步扩展到电力营销系统、电力物质采购系统、电力燃料供应系统等多方面的应用。因此,建立全国和网、省公司的CA 机构,对企业员工上网用户统一身份认证和数字签名等安全认证,对系统中关键业务进行安全审计。
(4)VPN技术
虚拟专网(Virtual Private Network,VPN)是指采用隧道技术以及加密、身份认证等方法,在公共网络上构建专用的网络,数据通过安全?quot;加密隧道"在公共网络中传输。VPN可使用户或企业通过公共的互联网络,连接到远程服务器、分部办公室服务器和网络,或其它企业的网络,同时可以保护通信的安全。VPN具有安全性、服务质量保证(QoS)、可扩充性和灵活性、可管理性、使用价格低廉等特点。正是这些特点,在国外VPN已得到广泛应用。
通过使用VPN技术和防火墙能很好地保证远程访问的安全性。
(5) IPSec
IPSec是设计为IPv4和IPv6协议提供基于加密安全的,它使用AH和ESP协议来实现其安全,使用ISAKMP/Oakley及SKIP进行密钥交换、管理及加密通讯协商(Security Association)。IPSec安全服务包括访问控制、无连接数据完整性、数据源认证、抗重播、数据机密性和限制的通信流量机密性。因为这些服务是在IP层提供的,所以它们可以为IP及其上层协议(TCP,UDP等)提供保护。
(6)防病毒技术
病毒是一种进行自我复制、广泛传染,对计算机及其数据进行严重破坏的计算机程序。由于病毒具有隐蔽性与随机性的特点,使用户防不胜防。特别是随着信息网络规模不断扩大和高带宽Internet多点接入,绝大部分的信息经由互联网交换(上网下载、电子邮件等),那么更容易从互联网上染上病毒。根据国际权威机构对美国的调查表明,98%的企业遇到过计算机病毒问题,63%被病毒破坏数据和系统,病毒给企业带来的影响是时间和人力的浪费,重要数据文件损失造成触目惊心的经济损失。
电力系统计算机信息网络系统已经覆盖了企业各个生产、经营和管理岗位,上网用户在进行多种数据交换时,随时可能受到病毒的攻击,随着电力工业走向市场,与外界网上交流越来越多,通过电子邮件来联系业务,交换数据等都可能不知不觉中感染病毒,并在企业内部网络上不断扩散。因此必须在信息网络整个系统所有可能的入侵通道严加防范,采用多层架构的防毒机制,在省公司及各发、供电企业,分别建立计算机病毒管理中心,按其信息网络管辖范围,分级进行防范计算机病毒的统一管理。在计算机病毒预防、检测和病毒定义码的分发等环节,建立较完善的技术等级和管理制度。
(7)检查安全漏洞及攻击监控
通过对安全漏洞的周期检查,即使攻击可到达攻击目标,也可使绝大多数攻击无效;通过对特定网段、服务建立的攻击监控体系,可实时检测出绝大多数攻击,并采取相应的行动(如断开网络连接、记录攻击过程、跟踪攻击源等)。
(8)GAP技术
GAP是国外近年来出现的信息安全技术,该技术利用专用硬件使两个网络在不连通的情况下实现数据安全传输和资源共享。目前有三类GAP技术:Real-Time Switch指同一时刻内外网络没有物理上的数据连通,但又快速分时地处理并传递数据;One-Way Link指数据只能单向地从源网(source network)传输到目的网(destination network);Network switcher与Real-Time Switch相似,但不是实时的,通常指一台计算机上有两个虚拟机,数据写入一个虚拟机,通过switch传输数据到另一个虚拟机。主要的GAP产品有:Whale公司的e-GAP、Spearhead公司的AirGAP AG系列(其中AG300还有基于内容检测模块)、Voltaire公司的2-in-1 PC 等。GAP和防火墙的区别是:前者是物理断开两个逻辑上相连接的网络,而后者是逻辑断开两个物理上相连的网络。GAP不能取代防火墙,因为它们的功能不同,可以把GAP与放火墙及其它的安全产品结合起来使用。由于GAP采用独特的硬件设计、能够显著提高端用户的网络安全强度,现已被美国、以色列等国家的军政、航天、金融等要害部门广泛采用。国内与GAP相似的是物理隔离技术,主要产品有伟思公司的双硬盘隔离卡、单硬盘隔离卡。由于内部网和公共网“物理隔离”,所以内部信息网络不受来自互联网的黑客攻击。
(9)数据备份与灾难恢复技术
采用多种数据备份措施及先进灾难恢复技术,可在攻击造成损失时,尽快地恢复数据和系统服务。数据备份及灾难恢复是信息安全的重要组成部分。理想的备份系统应该是全方位、多层次的。数据备份方式按其备份地域可分为本地备份和异地备份两种;一是系统的业务数据由于系统或人为误操作造成损坏或丢失后,可及时在生产本地实现数据的恢复;其二是发生地域性灾难(地震、火灾、机器毁坏等)时,可及时在本地或异地实现数据及整个系统的灾难恢复。网络数据存储管理系统是指在分布式网络环境下,通过专业的数据存储管理软件,结合相应的硬件和存储设备,来对全网络的数据备份进行集中管理,从而实现自动化的备份、文件归档、数据分级存储及灾难恢复。
在电力企业中,结合电力信息系统的特点,选择合理的备份设备,在各发电厂和地区供电公司建立数据备份中心,根据其应用的特点,制定相应的备份策略:如省公司建立几个可抵抗自然灾害、火灾等毁灭性灾难的灾难备份中心,保证省公司系统任何子公司系统出现不可预见的毁灭性灾难时,可在短时间内恢复信息服务。
(10)纵深防御及隐藏内部信息
纵深防御战略包括周边防御、网络防御、主机防御、应用程序防御、数据和资源防御等。攻击者在突破第一道防线后,采用此技术可以延缓或阻断其到达攻击目标;隐藏内部信息的位置,使攻击者不能了解系统内的基本情况,也能一定程度保护内部信息的安全。
(11) 网络分段及VLAN技术
网络分段是保证安全的一项基本措施,其指导思想在于将非法用户与网络资源相互隔离,从而达到限制用户非法访问的目的。网络分段可分为物理分段和逻辑分段两种方式:物理分段通常是指将网络从物理层和数据链路层上分为若干网段,各网段相互之间无法进行直接通讯。目前,许多交换机都有一定的访问控制能力,可实现对网络的物理分段;逻辑分段则是指将整个系统在网络层上进行分段。如对于TCP/IP网络,可把网络分成若干IP子网,各子网间必须通过路由器、路由交换机、网关或防火墙等设备进行连接,利用这些中间设备(含软件、硬件)的安全机制来控制各子网间的访问。在实际应用过程中,通常采取物理分段与逻辑分段相结合的方法来实现对网络系统的安全性控制。
虚拟网技术主要基于近年发展的局域网交换技术,交换技术将传统的基于广播的局域网技术发展为面向连接的技术。以太网从本质上基于广播机制,但应用了交换机和VLAN技术后,实际上转变为点到点通讯,除非设置了监听口,信息交换不会存在监听和插入问题。
网络分段和VLAN是一种局域网安全解决方案。
(12) 建立安全监控中心
设立安全监控中心为信息系统提供安全体系管理、监控、维护及紧急情况服务。就保证电力系统信息安全总体目标而言,建立一个综合、统一的信息安全监控中心是十分必要的。该监控中心可设在各级信息网管中心,将各项信息安全应用技术有机进行整合,不论出现什么可能影响信息安全问题,均可尽快解决。对可能出现的异常或故障,按监视系统所提供信息,提出预防措施,消除可能发生问题的条件,防止发生系统异常或故障,这可以称为信息安全预防性控制。另外,可根据国内、外发生过的网络信息安全事例,结合信息系统当前运行状态和可能存在的问题,编制各种运行方式下,可能发生异常或故障的反事故措施。一旦出现威胁系统安全的异常或故障,采取措施尽快处理,减少异常或故障对系统造成的影响。使由于异常或故障对系统运行造成的损失,降到最低程度,这一措施可称为紧急性控制。
为了使计算机及信息网络系统和计算机应用的自动化控制系统工程技术人员熟练掌握各种异常或故障处理措施,至少在网、省公司应建立,离线与在线相结合的仿真培训中心,一方面可以使现有人员对各类设备与系统,如各种网络设备、服务器、操作系统、数据库、应用软件、管理系统、熟练进行各类操作,避免误操作事故的发生。另一方面将信息安全控制仿真培训中心作为监控中心的后台技术支持系统,对现有系统进行安全检测,提出反事故措施,对可能出现的各种异常与事故,进行仿真模拟试验与分析,形成若干技术研究报告和处理预案。同时,可根据系统条件配置检测、试验设备。计算机及信息网络系统的设备进行定期安全检测,提出评估报告。对新投入典型设备和系统进行的一些主要设备及应用进行试验与检测,掌握设备与应用系统的健康状态,为预防性控制提出依据。
就组织体系而言,是保障安全实施的重要基础,安全措施的顺利执行必须得到企业高层的支持。一个组织体系的建立应该是完整而可以高效运转的。组织体系包括决策组织(安全指导小组、安全专家小组、安全领导小组)、日常管理机构、执行维护单元等。
就管理体系而言,这是整个网络安全的关键,需要人们细致的工作为基础。实际上网络安全问题70%是由于管理问题造成的。管理体系包括管理标准(国际标准、国内标准、行业标准等)、安全法规与政策、日常管理制度等。这些安全管理制度在企业里起的作用主要有三点:明确员工的法律责任;对保密信息和无形资产加以保护,使之免于盗窃、误用、非授权公开或修改;防止浪费企业的计算机资源。写在纸面上的规章制度不过是把公司纲领传达给各个员工的手段。规章制度一定要正式发布,正式发布的规章制度才能做为法律证据。
2.建立多层次的安全防护系统
所谓“多层次防护”,就是应用和实施一个基于多层次安全系统的全面信息安全策略,在各个层次上部署相关的网络安全产品,增加攻击者侵入所花费的时间、成本和所需要的资源,从而卓有成效地降低被攻击的危险,达到安全防护的目标。多层次保护中包括的主要环节有防火墙、入侵检测系统、安全漏洞评估系统、防病毒系统。防火墙系统实现企业与外部网络连接的访问控制;入侵检测系统可以防备来自内部的攻击及外部通过防火墙的攻击,它是防火墙的补充;安全漏洞评估系统是一个漏洞和风险评估工具,一个出色的安全评估系统不仅能够检测和报告漏洞,而且还可以证明漏洞发生在什么地方以及发生的原因,定期对电力网络系统进行扫描,主动发现安全漏洞,及时修补;防病毒系统可以保护网络中的各类服务器、工作站等不受病毒的干扰和对其上文件的破坏,以保证系统的可用性。
多层防护策略是这样发挥作用的:配置合理的防火墙能够在入侵检测系统发现之前阻止最普通的攻击;即使防火墙配置不合理,入侵检测系统、安全漏洞评估和防病毒系统还会起作用;安全漏洞评估能够发现漏洞并帮助清除这些漏洞,如果一个系统没有安全漏洞,即使某一个攻击没有被发现,那么这样的攻击也不会成功;即使防火墙没能够阻止病毒,入侵检测系统也没有发现已知病毒,安全漏洞检测没有清除病毒传播途径,防病毒系统同样能够侦测并清除这些病毒。
3.实施VPN
VPN在保证安全的情况下,同时具有使用成本低廉(由于VPN是在Internet上临时建立的安全专用虚拟网络,用户就节省了租用专线的费用;在运行的资金支出上,除了购买VPN设备,企业所付出的仅仅是向企业所在地的ISP支付一定的上网费用,同时节省了长途电话费。)的特点,这是吸引用户的主要原因。据估算,如果企业放弃租用专线而采用VPN,其整个网络的成本可节约21%-45%,至于那些以电话拨号方式连网存取数据的公司,采用VPN则可以节约通讯成本50%-80%。许多大型企业及其分布在各地的办事处或分支机构成了VPN顺理成章的用户群,他们可以自建VPN,其最大优势在于网络的高控制性;对于那些最需要VPN业务的中小企业来说,可以采取外包VPN的策略。
在电力企业中,对关键业务信息跨部门、跨地区的传输,应当采用VPN产品进行加密,保证传输过程中的信息安全。在实施VPN是要注意以下问题:①由于VPN可以由多种协议来实现,也可以多种协议并存,在选择VPN的协议实施时就应考虑与现有网络上使用的协议相匹配;②VPN安全保障的关键是认证策略的设计和规范,每个拟建VPN的电力行业各部门应认真制定出某种安全认证策略,合理选用VPN技术采用的密钥技术,选择适当的加密方法和密钥长度,以达到安全性和网络负载之间的平衡选择。此外,对于安全认证体系进行严格的管理,对于哪些部门的互联是可授权的,哪些部门是非授权的都应有完整的设定;③由于不同生产厂商的VPN产品在设计中选择了不同的算法,融入了特殊的性能,因此在不同厂家的网络设备之间建立VPN就有可能出现衔接的性能不良或根本无法实施。
4.采用物理隔离措施
我国《计算机信息系统国际互联网管理规定》第六条规定:涉及国家秘密的计算机系统不得直接或间接地与国际互联网或其它公共信息网络相联接,必须实行物理隔离。
SCADA/EMS系统、DMIS系统、MIS系统之间放置物理隔离设备,由于使用了物理隔离设备。信息网络(DMIS,MIS)通过隔离设备可以获取实时系统(SCADA/EMS)的数据,而不可能直接/间接地修改实时系统的数据,经隔离设备互连的实时网络和信息网络之间在网络物理层是隔离的,因此,可以从根本上防止非法用户的侵入。
四、关于电力系统网络安全的建议
1.加强安全教育,以提高人们的安全意识。对于系统密码的设置、正确使用和保存,须做到五要和五不要。五要:要8位以上的密码;要数字、字母大小写、键盘外围的按键相结合的密码;要用不规则密码(对于有规律的密码,如a1b2c3d4e5f6,尽管是12位的,但也是非常好破解的);要熟练输入密码,保证密码输入的速度要快;要定期改变密码,最少半年一次。五不要:不要用单词、生日、纪念日、名字等常见信息作为密码;不要将密码写下来;不要将密码存入计算机的文件中;不要在不同系统上使用同一密码;不要让别人知道,在输入密码时最好保证没有任何人和监视系统的窥视。对于系统漏洞,要及时发现,并安装系统最新的补丁程序。
2.电力信息网正在高速发展,计算机在电力系统实时运行控制系统等方面的应用也不断扩大,应尽快建立电力系统信息安全体系结构框架,制定统一的安全规范。防止目前各单位局域网、广域网都在增加信息安全投入,但不够规范、系统、标准,从而造成某些浪费。各单位信息系统投入资金,购置设备、扩大应用是十分可喜的,但同时必须重视安全管理工作,应成立专门的安全组织(包括配备安全专责工程师,聘请安全专家等),建立、完善并实施安全管理机制、规章制度和标准。
3.强化日常管理。由于绝大多数安全威胁都来源于企业内部,因此必须强化日常管理。从计算机的日常使用(如严格管理网络共享,可以设置访问权限来实现)到信息保存(如秘书为领导打印的密件须加密)、流转(如企业的投标书限制扩散)、到归档资料的处理(如系统开发文档须确定借阅限制)、甚至包括应用系统用户的权限变更(如人员调离单位后必须立即注销其帐户)等方面来加强管理。
4.应当加强对各种新的信息安全技术进行跟踪研究,并结合电力系统的特点和需求,研制出具有行业特色的安全产品。尽早实施对现有各类信息安全的整合与集成,使现有投资继续发挥作用。
5.深入研究分析电力系统各类网络系统的特点, 优化信息网络系统和计算机应用系统的网络结构,是保证计算机网络系统信息安全的基础。按系统性质、地位和作用,确定其信息安全等级,实施点、线、面相结合的控制策略。要特别重视电力系统计算机应用的各类实时运行控制系统的安全工作,制定电力系统信息遭受外部攻击时防范与系统恢复措施,防止由于信息安全问题造成电力系统重大事故或造成大面积停电等灾难性事故。
6.要妥善处理好安全与运行质量性能的关系。计算机及信息网络系统及计算机应用实时控制系统主要作用是使企业高效运作,优化运行,可根据实际需要,确定合理的安全措施,要防止强调信息安全就草木皆兵,或为了保证信息安全大幅度降低系统运行的质量和性能。(作者:余勇)
标签:电力系统,网络安全