电力行业信息系统等级保护的研究及实施
发布时间:2011-07-12   作者:《信息网络安全》

引言

 

电力是国民经济重要的基础设施之一,电力安全直接关系国计民生,一直是党和政府高度关注的重点。随着通信技术和网络技术的快速发展和电力工业信息化工作的推进,因特网已得到了广泛使用,E-mail、Web、和PC的也日益普及,但同时病毒和黑客也日益猖獗。因此,研究电力系统信息安全问题、制定和实施电力系统信息安全战略、建立全方位动态、纵深防御的电力系统安全保障体系,已成为当前电力系统信息化工作的重要内容。国家电网公司承担着为国家发展提供电力保障的基本使命,对电力系统的信息安全非常重视,已经把信息安全提升到电力生产安全的高度,并陆续下发了《关于网络与信息安全保障工作的指导意见》和《国家电网公司与信息安全管理暂行规定》。


信息安全等级保护是指对国家秘密信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护,对信息系统中使用的信息安全产品实行按等级响应、处置。信息系统的安全等级保护共分五级:第一级为自主保护级;第二级为指导保护级;第三级为监督保护级;第四级为强制保护级;第五集为专控保护级。安全保护能力从第一级到第五级逐级增强。信息安全等级保护是保障和促进国家信息化建设健康发展的一项基本制度,等级保护基本要求包括技术和管理要求,技术要求从物理安全、网络安全、主机安全、应用安全、数据安全这五个方面进行考虑,管理要求从安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理等进行考虑。


在我国信息安全等级保护中,国家重点党政机关办公系统、金融、能源、交通等国家基础设施属于重点保护对象。因此,国家电网公司十分重视电力系统的信息安全等级保护,并于2004年10月15日转发了公安部门发布的《关于信息安全等级保护工作的实施意见》的通知,要求下属单位认识信息安全保障体系。

 

1 电力行业信息安全等级保护的必要性及现状

 

电力工业的特点决定了电力信息安全不仅具有一般计算机信息网络信息安全的特征,而且还具有电力实时运行控制系统信息安全的特征。电力系统的信息安全是一项涉及电网调度自动化、继电保护及安全控制装置、长站自动化、配电网自动化、电力市场交易、生产管理、电力营销、办公自动化系统等有关生产、经营和管理方面的多领域、复杂的大型系统工程。其中,电网调度自动化、继电保护及安全控制装置、厂站自动化、配电网自动化、电力市场交易等系统属于监控系统,生产管理、电力营销、办公自动化等系统属于管理信息系统。监控系统主要负责电力系统的生产控制业务,它又分为实时生产系统和准实生产系统;管理信息系统主要负责电力系统的信息化管理。监控系统的安全等级高于管理信息系统,实时生产系统的安全等级最高。系统的安全等级不同,安全防护措施也不一样,实时生产系统是电力系统安全防护的重点和核心,首先,监控系统和管理信息系统之间应采用电力专用安全隔离装置进行物理隔离,然后,实时生产系统和准实生产系统之间用硬件防火墙进行逻辑隔离。若不分系统类型,都采用最高安全强度的产品进行防护,则有可能降低系统的进行性能并提高运行成本。因此,在电力系统中,实行信息安全等级防护是非常必要的和紧迫的。


2007年7月16日,公安部、国家保密局、国家密码管理局、国务院信息化工作办公室联合签发了《关于开展全国重要信息系统安全等级保护定级工作的通知》(工信部[2007]861号)。2007年7月至10月在全国范围内组织开展重要信息系统安全等级保护定级工作。2007年11月,国家电监会下发了《电力行业信息系统安全等级保护定级工作指导意见》。


为贯彻落实公安部、国家保密局、国际密码管理局、国务院信息化工作办公室《关于开展全国重要信息系统安全等级保护定级工作的通知》(工信安[2007]861号)和国家电力监管委员会《关于开展电力行业信息系统安全等级保护定级工作的通知》(电监信息[2007]34号)要求,国家电网公司率先启动了等级保护工作,2007年开展了信息系统安全等级保护制度研究与试点工作,完成了信息系统的定级备案工作;2008年涉奥单位完成了等级保护建设的主体工作,2009年全面开展了等级保护建设工作。

 

2 电力行业信息系统安全等级保护实施

 

国家电网公司的等级保护是落实国家等级保护工作要求,提高网络与信息系统的信息安全保护能力和水平。等级保护工作内容包括系统定级备案、等级保护建设、等级保护评测。


具体步骤包括:(1)开展定级备案,典型二级系统包括门户系统、生产管理信息系统、办公自动化系统、人力资源管理系统、物资管理系统、项目管理系统、ERP系统、营销管理系统、广域网;典型三级系统包括财务管理系统、电力市场交易系统等。(2)通过等级保护测评,发现与国家技术、管理要求的不符合项。(3)依据总体方案、等级保护不符合项,编制本单位等级保护实施方案。(4)根据等级保护实施方案开展建设,具体包括:安全域划分、与实现,产品采购与部署,安全加固,应用改造,等级保护管理建设。(5)等级保护测评验证建设效果。


2.1 安全域划分


安全域是由一组具有相同安全保障要求、并相互信任的系统组成的逻辑区域,同一安全域的系统共享相同的安全保障策略。国家电网公司应用系统主要部署于信息内网,与互联网有交互的子系统或功能单元部署于信息外网,信息内网与信息外网以逻辑隔离设备进行安全隔离,对于信息内外网分别进行安全域划分。《信息安全等级保护管理办法》中对于三级系统安全保障要求及国家信息安全监管部门的监管执行要求强度高于二级系统,因此对于信息系统的安全域划分采取将等级保护要求较高的各三级系统划分独立的安全域进行安全防护,以实现三级系统间及与其他系统之间的独立安全防护,也便于国家电网公司及外部监管机构对于三级系统的安全监管,对于信息内网的应用系统安全域划分依据以下方法:二级系统统一成域,三级系统独立分域;依据该分域方法进行安全划分后信息内网将有以下安全域:电力市场交易系统域、财务管理系统域、营销管理系统域、ERP系统域、二级系统域、内网桌面终端域。


由于国家电网公司主要应用系统位于信息内网,信息外网主要是一些需要与互联网交互的子系统或应用模块,且系统数量较少,因此将应用系统统一部署于同一安全域内进行安全防护,该安全域中的应用系统在主机及应用层面按各系统所属的安全级别进行防护,网络及与信息外网边界按满足域中各系统所属最高级别就高进行安全建设,信息外网存在如下安全域:外网应用系统域、外网桌面终端域。

 

2.2 纵深防御


在安全域划分后,结合等级保护基本要求,电力系统建立了基于纵深防御模型的信息安全防护体系。

 

在纵深防御模型中,每一层都有特定的安全控制。安全控制包括路由器、防火墙、入侵检测、漏洞扫描、防病毒等。为安全保护而创建的每一层都相当于一个防止未授权访问的堑壕。防御层数越多,对数据资源进行未授权访问的难度就越大。


2.2.1 边界防御


边界防御使利用电力专用隔离装置、防火墙、入侵检测等安全设备来保护进入网络的入口点。电力专用隔离装置是基于网络、应用访问控制开发数据库专用安全防护产品,除具备网络强隔离、地址绑定、访问控制等功能外,还能够对SQL语句进行必要的解析与过滤,抵御SQL注入攻击。防火墙作为网络或网络安全域之间信息的唯一出入口,制定特定的安全策略以控制出入网络的信息流。另外,入侵检测系统能发现从内部发起的攻击,并向管理员发警报。入侵检测系统通常由控制台和代理两部分组成,通过代理商对网络进行自动、实时地攻击检测和响应。一旦发现入侵行为,立刻切断相关进程,或者发出指令,通知防火墙切断相应服务,同时通过控制台进行报警。部署网络入侵检测系统时,在网络中安装一套控制台程序,用于对各代理安装点进行管理和监控。在各个业务子系统的关键网段、Internet的接入点分别配置网络代理,在网络一级对来自内部和外部的攻击和滥用进行监控。


2.2.2网络防御


网络防御主要包括网络分段、建立VPN 、漏洞扫描等。(1)网络分段:网络分段是网络安全的基础措施,通过合理地划分网段,将大幅度降低安全系统部署费用和管理费用。(2)建立VPN:目前许多专业应用系统将自己的应用子网络构建在企业信息网之上,目的就是借助企业信息网来形成应用系统专网,满足专业应用系统传输过程中的私密性和完整性。(3)网络扫描,在网络分段的基础上,实施全方位的网络扫描,包括对Internet站点、防火墙和TCP服务进行漏洞扫描,网络扫描器安装在每个物理子网的一个单机上。网络扫描器提供全方位的网络和系统运行信息,从网络层保证业务系统的安全性。通过配置时间策略,网络扫描器可以定期进行扫描,每次扫描的结果可生成详细报告,以了解网络的安全状况。


2.2.3 主机防御


主机防御主要包括病毒防治系统的部署,主机入侵检测系统的部署,进行系统漏洞扫描,以及安全配置、安全补丁、安全主机加固等。

 

(1)病毒防治系统部署:根据系统网络结构和具体要求,病毒防治系统主要有以下几种管理模式:局域网防病毒的管理方式,制定和采用统一的防病毒策略,这样既可以减轻管理员的工作负担,又可以确保在整个广域网中每一台计算机包括服务器和客户端具有相同的最强的防病毒能力;广域网防病毒的管理方式:根据不同的网络状况和具体需求可以采取三种管理方式:集中管理模式、分布式管理模式、分布式集中管理相结合的管理模式。①采用集中的管理方式:由省公司统一、集中管理各地市公司的防病毒软件和策略,这样可以确保整个广域网内实施统一的防病毒软件和策略,包括同时更新最新病毒定义码和扫描引擎,并根据实际情况及时调整防病毒策略和力度等。但是这种方式会增加省公司的工作负担,降低管理的效率,而且会增加广域网的流量。②采用分布式管理模式:由省公司制定统一的防病毒管理策略,但是在具体实施时,各地市公司自行管理自己的局域网,互不干涉,它可以减轻省公司的工作负担,提高管理效率,减少广域网流量,合理地利用和分配带宽。但如果各地市公司管理人员水平参差不齐,管理力度强弱不济,或统一的防病毒策略没有得到很好的贯彻执行,就会影响网络防病毒的能力,达不到防病毒的效果。③采用分布式集中管理模式:在省公司建立分级管理机制,采用分布式管理和集中管理相结合的管理模式,同时采用统一的防病毒策略和防病毒管理制度。这种管理方式在一般情况下各地市公司自行管理自己的局域网,但必要时,省公司可以参与各地市公司的管理,地市公司也可以参与省公司的管理,实现灵活的、高效率的、集中式管理。

 

(2)主机入侵检测系统部署:主机入侵检测系统通常也由控制台和代理两部分组成,通过主机代理对主机进行自动、实时地攻击检测和响应。部署主机入侵检测系统时,在网络中安装一套控制台程序,用于对各代理安装点进行管理和监控。在各个关键业务服务器内配置系统代理,在主机一级对业务系统进行监控,对异常的用户行为进行报警等处理,最大限度防止蛮力攻击、滥用及恶意篡改等安全事件的发生。

 

(3)系统漏洞扫描:由于现代操作系统代码庞大,从而不同程度上都存在一些安全漏洞。因此系统管理员必须不断跟踪有关操作系统漏洞的发布,及时下载补丁来进行防范,同时要经常对关键数据和文件进行备份和妥善保存。除此之外,系统管理员还需要一些功能全面、智能化的检测,以协助管理员高效地完成定期检测和修复漏洞的工作;系统漏洞扫描是基于主机的一种安全漏洞系统。系统扫描器通过对系统弱点的全面分析,协助企业进行安全风险管理。

 

2.2.4 应用防御


应用防御主要包括数据库、Web服务器、中间件和群件系统进行安全扫描和安全加固,尤其是对数据库系统进行扫描和管理,包括安全策略的制定。


除此之外,应用防御还应包括建立一套完整的应用开发安全规范,保证新开发的应用系统都遵循统一的安全框架,还可以建立基于PKI的应用开发规范。


2.2.5 数据资源


数据资源安全主要是保证数据在存储、使用、传输过程中的机密性和完整性,可以采用PKI平台来保证,以及数据的备份,保证系统和数据在出现意外时能及时恢复,将损失降到最低。

 

3 结束语

 

电力行业信息安全等级保护的实施,将提高电力业务核心系统的信息安全,保障电力系统的安全、稳定、优质运行,加速数字电力系统的实现进程,提高电力企业社会效益和经济效益,更好地为国民经济高速发展和满足人民生活需要服务。

文章来源:《信息网络安全》
  • 公司总部 | 分支机构 | 法律声明 | 投资者关系 | 400-624-3900 800-810-6038
  • © 启明星辰1996-2015 版权所有 京ICP备05032414号 京公网安备110108003435号