能源行业信息安全存在的问题及解决方案

能源行业涉及面较广，包括煤炭、石油和电力工业三大部门，而电力又是占据能源行业的重要位置，电力产业在信息安全方面走在其他领域之前，但电力企业在网络信息安全方面仍然存在较多问题。电力企业网络信息安全与一般企业网络信息同样具备多方面的安全风险，主要表现在以下几方面：

1 来自互联网的风险

几乎所有电力企业网络都以各种方式与互联网连接，企业用户可以直接访问互联网的资源，这给企业职工带来很大方便；同样任何能上互联网的用户也可以访问企业网络的资源，这对宣传企业、扩大企业的影响和知名度很有好处。但是，在带来方便的同时，也带来安全风险。

2 来自企业内部的风险

对于电力企业网络来说，来自内部的风险是非常主要的安全风险。内部人员（特别是网络管理人员）对网络结构、应用系统都非常熟悉，不经意之间泄露的重要信息，都将可能成为导致系统受攻击的最致命的安全威胁。

3 病毒的侵害

计算机病毒对计算机网络的影响是灾难性的。电子邮件系统的广泛使用，使计算机病毒的扩散速度大大加快，网络成了病毒传播的最好途径，电力企业网络同样难以幸免。因此，计算机病毒成为企业网络最严重的安全风险之一。

4 管理人员素质风险

许多电力企业网络都存在重建设、重技术、轻管理的倾向。实践证明，安全管理制度不完善、人员素质不高是网络风险的重要来源之一。比如，网络管理员配备不当、企业员工安全意识不强、用户口令设置不合理等，都会给信息安全带来严重威胁。

5 系统的安全风险

系统的安全风险主要指操作系统、数据库系统和各种应用系统所存在的安全风险。目前不少企业网络使用的操作系统仍然是以Windows系列操作系统为主。不管使用哪一种操作系统都存在大量已知和未知的漏洞，这些漏洞可以导致入侵者获得管理员的权限，可以被用来实施拒绝服务攻击。

由被动防御向主动保护转变

国内多数企业的信息防护较注重边界防护，主要采用防火墙、网闸、入侵检测系统、入侵防护系统、恶意软件检测软件等标准安全工具，只达到国际标准所要求的SL 1级或SL 2级。

一方面，这些防护手段只能提供简单的、低资源、低动因的一般防护，对于由敌对国家或犯罪组织等主导的黑客攻击防护而言则远远不够。例如，跨站脚本 （XSS）、路过式（Drive-by）下载、水坑（watering holes）、封套/打包等攻击，可利用合法的网站或软件作隐蔽外衣，常常能旁路常规的防护手段，且难以检测其攻击行为。

另一方面，边界防护不能对内部威胁进行有效防护，因此还需采取对员工和承包商严格的访问控制、背景检查、监管、鉴别、审计、灵巧密码复位策略等综合防护措施。此外，国内很少关注撒旦 （Shodan）搜索引擎，而该引擎可找到几乎所有与互联网相连的设备。如果没有一定强度的防护措施，则与互联网相联的工控系统和设备则如皇帝新衣般暴露 于光天化日之下，极易受到攻击。

毫无疑问，当下的黑客攻击主要还是利用网络手段，但是攻击目标已经由网络层和应用层向核心数据层转变，诸如操作系统、数据库是他们更感兴趣的领域，原因很简单，无论个人还是企业，数据本身的价值更迷人，黑客也深知这一点。所以仅仅部署边界防护是不够的，如何保护核心数据成为当下能源行业信息安全亟待攻克的难题。

行业案例解读

国家电网某省电力调度中心——优炫操作系统安全增强系统的应用

项目背景

国家电网某省调度系统采用的是国家电网智能电网调度技术支持系统D-5000平台。D-5000系统采用先进的软件开发技术，具有标准、开放、可靠、安全和适应性强等特点，直接承载着实时监控与预警（新EMS）、调度计划（OPS）、安全校核（SCS）和调度管理（OMS）四大应用平台。通过D-5000平台实现了电网运行实时监控、在线稳定性分析、调度业务管理等功能。

自乌克兰电网事故后，国家电网高度重视电网信息安全事故，颁发了【2016年】102号文件《国调中心关于加强电力监控系统安全防护常态化管理的通知》，再次提出了调度系统安全加固。加上D-5000平台开放性好，集成度高，国网公司早年提出的信息安全“十六字方针”已经不能解决现有的安全问题，仅仅在网络边界部署防火墙、入侵检测、隔离装置等常规手段，无法确保D-5000系统核心数据和核心业务安全，调度系统加固已经迫在眉睫。

解决方案

为了保障D-5000系统的信息安全，省调控中心对系统进行等保测评，发现操作系统层没有安装主机安全产品，面对日益增长的黑客攻击，操作系统层成为整个网站系统中的脆弱环节，存在严重安全隐患。

为此在EMS系统、SCADA系统、OMS、AGC、AVC等重要业务系统的操作员站、Web服务器、数据库服务器部署了优炫软件RS-CDPS（即优炫操作系统安全增强系统产品），确保核心数据不被非法删改，核心业务不被非法终止。解决了用户最关心的非法外联，USB等困扰已久的心病。
   
系统环境：

• 操作系统：Windows 6台，麒麟Kylin3 Linux 20台，凝思Rocky4.2 15台。
• 系统应用：EMS系统、SCADA系统等。
• 数据库：King baseES V6.2。

方案优势及客户收益

电力二次系统安全防护解决方案保证数据在数据中心流程中的安全，从外部访问和内部访问、系统应用安全、主机安全的角度为客户打造了纵深的防御体系。在对系统运行和业务操作零影响的同时还保证了调控中心关键服务器本身的安全，对内部用户实行集中管控机制，形成了对数据中心应用的实时监管，数据中心运行状况可视化的全方位的安全体系。

监控系统安全管理平台：通过优炫操作系统安全增强系统提供的内网安全管理平台，实现对监控系统中操作员站、数据库服务器、远动工作站、厂内通讯服务器、集控通信服务器、工程师站等重要的生产服务器进行安全管理。实现了安全策略的统一分发。结合优炫软件的安全审计，漏洞扫描等工具，定期生成安全评估报告，大大降低了运维工作量。

非法外联：可记录非法外联的IP地址，外联白名单，非法外联告警等级，告警日志推送等。

USB接口管理：实现内部认证的U盘或其他USB接口设备能够使用，其他设备均阻止，并能够提供告警信息。

告警日志推送：所有服务器告警日志导出及推送功能，能够将触发规则的告警日志导出报表及通过syslog等传输方式将日志外发至内网监控平台，甚至是终端设备中。

强制访问控制：对服务器的资源，尤其是业务信息系统资源实现细粒度的强制访问控制。任何非授权行为都不能对系统关键资源实施窃取、破坏等行为。

结语

优炫软件积累了大量的市场经验，优炫操作系统安全增强系统是经过山西、陕西、青海等多地评测中心、调度中西以及电力企业检验过的安全类产品。由于优炫软件较早布局核心防护，且一直探究相关技术，所以RS-CDPS获得了诸多第三方权威机构的资质认证，包括公安部销售许可证、版权局软件著作权、国家保密局涉密产品检测证书、解放军认证中心军用产品认证证书、涉密信息系统产品报告及证书、电力科学研究院信息安全检测报告、软件产品证书、微软WHQL认证等，这也是市场对优炫软件产品、服务最好的认可。