罗涛　四川省电力公司

　　摘　要：电力网络信息系统是构建在一个典型的具有Internet、Intranet和 Extranet应用环境的复杂系统。由于Internet是一个开放性的、非可信的网络，因此解决依托 Internet的信息系统的安全将是一个非常复杂的系统工程，要求必须建立完整的、可管理的安全体系。这个安全体系涉及以设备为中心的信息安全，技术涵盖网络系统、计算机操作系统、数据库管理系统和应用软件系统；涉及计算机病毒的防范、入侵的监控；涉及以用户（包括内部员工和外部相关机构人员）为中心的安全管理，包括用户的身份管理、身份认证、授权、审计等；涉及信息传输的机密性、完整性、不可抵赖性等等。为了解决这一复杂的信息系统的安全，必须对其可能涉及的所有安全风险有一个清醒的认识。

　　关键词：网络信息系统；安全风险；应用；分析

　　根据网络信息系统结构，从系统和应用的角度出发，信息系统的安全因素可以划分到五个安全层中，即物理层、网络层、系统层、应用层、安全管理层。以下是根据这五个层次和电力网络信息系统的特点进行的分析。

1　物理层的安全风险分析

1．1　系统环境安全风险

　　因水灾、火灾、雷电等灾害性事故引发的网络中断、系统瘫痪、数据被毁等；

　　因接地不良、机房屏蔽性能差引起的静电干扰或外界的电磁干扰使系统不能正常工作；

　　机房电力设备和其它配套设备本身缺陷诱发信息系统故障；

　　机房安全设施自动化水平低，不能有效监控环境和信息系统工作；

　　其它环境安全风险。

1．2　物理设备的安全风险

　　由于信息系统中大量地使用了网络设备如交换机、路由器等，服务器如PC服务器、小型机，移动设备，使得这些设备的自身安全性也会直接关系信息系统和各种网络应用的正常运转。例如，路由设备存在路由信息泄漏，交换机和路由器设备配置风险等。

2　网络安全风险

2．1　网络体系结构的安全风险

　　电力的网络平台是一切应用系统建设的基础平台，网络体系结构是否按照安全体系结构和安全机制进行设计，直接关系到网络平台的安全保障能力。电力的网络是由多个局域网和广域网组成，同时包含Internet的Intranet和Extranet部分，网络体系结构比较复杂。内部行政办公网、业务网、Internet网之间是否进行隔离及如何进行隔离，网段划分是否合理，路由是否正确，网络的容量、带宽是否考虑客户上网的峰值，网络设备有无冗余设计等都与安全风险密切相关。

2．2　网络通信协议的安全风险

　　如果网络通信协议存在安全漏洞，网络黑客就能利用网络设备和协议的安全漏洞进行网络攻击和信息窃取。例如未经授权非法访问业务网络和调度业务系统；对其进行监听，窃取用户的口令密码和通信密码；对网络的安全漏洞进行探测扫描；对通信线路和网络设备实施拒绝服务攻击，造成线路拥塞和系统瘫痪等等。

2．3　网络操作系统的安全风险

　　网络操作系统，不论是IOS，windows，还是Unix，都存在安全漏洞；一些重要的网络设备，如路由器、交换机、网关，防火墙等，由于操作系统存在安全漏洞，导致网络设备的不安全；有些网络设备存在“后门”（back door）等等。

2．4　Internet自身的安全风险

　　因为Internet是全球性公共网络，具有无主性、开放性等特点。数据传输时间延迟和差错不可控，可引

　　起数据传输错误、停顿、中断，网上发布的行情信息可能滞后，与真实情况不完全一致，网上传输的口令密码、通信密码和业务数据有可能被某些个人、团体或机构通过某种渠道截取、篡改、重发；业务双方可能对事务处理结果进行抵赖等。

3　系统安全风险

3．1　操作系统安全风险

　　操作系统的安全性是系统安全管理的基础。 WEB服务器数据仓库服务器、外部数据交换服务器、门户服务器、以及各类业务和办公客户机等设备所使用的操作系统，不论是NT、Win95／98／2000，还是Unix都存在信息安全漏洞，由操作系统信息安全漏洞带来的安全风险是最普遍的安全风险。

3．2　数据库安全风险

　　所有的业务应用、决策支持、行政办公和外部信息系统的信息管理核心都是数据库，而涉及生产的数据都是最需要安全保护的信息资产，不仅需要统一的数据备份和恢复以及高可用性的保障机制，还需要对数据库的安全管理，包括访问控制，敏感数据的安全标签，日志审计等多方面提升安全管理级别，规避风险。虽然，目前电力的数据库管理系统可以达到很高的安全级别，但仍存在安全漏洞。建立在其上的各种应用系统软件在数据的安全管理设计上也不可避免地存在或多或少的安全缺陷，需要对数据库和应用的安全性能进行综合的检测和评估。

3．3　Web系统安全风险

　　Web Server是对内对外宣传，提供各种应用的重要服务，也是B／S模式应用系统的重要组成部分。由于其重要性，理所当然的成为Hacker攻击的首选目标之一。

　　Web Server经常成为Internet用户访问电力系统企业内部资源的通道之一，如 Web Server通过中间件访问主机系统，通过数据库连接部件访问数据库，利用CGI访问本地文件系统或网络系统中其它资源。但Web服务器越来越复杂，其被发现的安全漏洞越来越多。

3．4　桌面应用系统的安全风险

　　为优化整个应用系统的性能，无论是采用C／S应用模式或是B／S应用模式，桌面应用系统都是其系统的重要组成部分，不仅是用户访问系统资源的入口，也是系统管理员和系统安全管理员管理系统资源的入口，桌面应用系统的管理和使用不当，会带来严重的安全风险。例如通过邮件传播病毒；当口令或通信密码丢失、泄漏，系统管理权限丢失、泄漏时，轻者假冒合法身份用户进行非法操作。重者，“黑客”对系统实施攻击，造成系统崩溃。

3．5　病毒危害风险

　　在电力信息系统中，办公自动化占了很重要的地位；而核心就是电子邮件传送，电子邮件现在已成为计算机病毒最主要的传播媒介，占病毒总传播的87％。80％的企业中，皆曾经历一次以上的计算机病毒灾难。尽管防病毒软件安装率已大幅度提升，但一些单位或个人却没有好的防毒概念，从不进行病毒代码升级，而新病毒层出不穷，因此威胁性愈来愈大。

　　另外，随着病毒感染方式的改变，许多单位的防毒工作，却仍然只着眼于个人单机或局域网络服务器（LANServer）的阶段，而现有各种网络病毒已越来越具有黑客攻击特点，尤其是面对目前愈来愈多的单位将内部网络连上Internet的情况，因此，当内部企业接入Internet或建构本单位的Intranet时，必须从整体安全来考虑，审慎规划公司网络防毒策略，兼顾网络上每一个节点，无论是单用户的计算机，还是网络服务器，均需要周全的防护，这样才能保证企业网络的整体安全。

3．6　黑客入侵风险

　　一方面风险来自于内部，入侵者利用Sniffer等嗅探程序通过网络探测、扫描网络及操作系统存在的安全漏洞，如网络IP地址、应用操作系统的类型、开放哪些TCP端口号、系统保存用户名和口令等安全信息的关键文件等，并采用相应的攻击程序对内网进行攻击。入侵者通过拒绝服务攻击，使得服务器超负荷工作以至拒绝服务甚至系统瘫痪。

　　另一方面风险来自外部，入侵者通过网络监听、用户渗透、系统渗透、拒绝服务、木马等综合手段获得合法用户的用户名、口令等信息，进而假冒内部合法身份进行非法登录，窃取内部网重要信息，或使系统终止服务。所以，必须要对外部和内部网络进行必要的隔离，避免信息外泄；同时还要对外网的服务请求加以过滤，只允许正常通信的数据包到达相应主机，其它的请求服务在到达主机之前就应该遭到拒绝。

4　应用安全风险

4．1　身份认证与授权控制的安全风险

　　仅依靠用户ID和口令的认证很不安全，容易被猜测或盗取，会带来很大的安全风险。为此，动态口令认证、CA第三方认证等被认为是先进的认证方式。但是，如果使用和管理不当，同样会带来安全风险。因此需要基于应用服务和外部信息系统建立基于统一策略的用户身份认证与授权控制机制，以区别不同的用户和信息访问者，并授予他们不同的信息访问和事务处理权限。

4．2　信息传输的完整性风险

　　在一些情况下，电力的业务人员和重点用户需要将信息直接在Internet上传输，由于Internet的固有特性决定了这些关键信息在传输过程中存在不完整、非实时的可能性，也存在被人篡改的可能性。这需要考虑建立基于Internet的SSL虚拟专用网（VPN）并结合信息的传输加密、电子签名等方式来降低此类安全风险。

4．3　信息传输的机密性和不可抵赖性风险

　　实时信息是应用系统的重要事务处理信息，必须保证实时信息传输的机密性和网上活动的不可抵赖性，能否做到这一点，关键在于采用什么样的加密方式、密码算法和密钥管理方式。可以考虑采用国内经过国家密码管理委员会和公安部批准的加密方式、密码算法和密钥管理技术来强化这一环节的安全保障。

5　管理层安全风险分析

　　安全的网络设备离不开人的管理，好的安全策略最终要靠人来实施，因此管理是整个网络安全中最为重要的一环，尤其是对于一个比较庞大和复杂的网络，更是如此。因此有必要认真地分析管理所带来的安全风险，并采取相应的安全措施。

　　责权不明、管理混乱、安全管理制度不健全及缺乏可操作性等都可能引起管理安全的风险。责权不明，管理混乱，使得一些员工或管理员随便让一些非本地员工甚至外来人员进入机房重地，或者员工有意无意泄漏他们所知道的一些重要信息，而管理上却没有相应制度来约束。

　　当网络出现攻击行为或网络受到其它一些安全威胁时（如内部人员的违规操作等），无法进行实时的检测、监控、报告与预警。同时，当事故发生后，也无法提供黑客攻击行为的追踪线索及破案依据，即缺乏对网络的可控性与可审查性。这就要求人们必须对站点的访问活动进行多层次的记录，及时发现非法入侵行为。建立全新网络安全机制，必须深刻理解网络并能提供直接的解决方案，因此，最可行的做法是管理制度和管理解决方案的结合。

6　电力系统计算机网络面临的威胁

　　事实证明，由于电力系统一直以来网络结构和业务系统的相对封闭性，电力系统出现的网络安全问题也基本产生于内部。但是，随着近年来与外界接口的增加，特别是与银行等合作单位中间业务的接口、网上电力服务、三网融合、数据大集中应用、内部各系统间的互联互通等需求的发展，其安全问题不仅仅局限于内部事件了，来自外界的攻击已越来越多，已经成为电力不可忽视的威胁来源。

　　但是，电力网络信息系统服务所采用的策略一般是由省公司做统一对外服务出口，各基层单位没有对外的出口；从内部业务应用的角度来看，除大量现存的C／S结构以外，还将出现越来越多的内部B／S结构应用。

　　因此，对于电力系统整体来说，主要问题仍有一大部分是内部安全问题。其所面临的威胁大体可分为两种：一是对网络中信息的威胁；二是对网络中设备的威胁。对于电力系统来说，主要是保护电力业务系统的安全，其核心在于保护电力数据的安全，包括数据存储，数据传输和数据处理的安全。影响电力系统网络安全的因素很多，有些因素可能是有意的，也可能是无意的误操作；可能是人为的或是非人为的；也有可能是内部或外来攻击者对网络系统资源的非法使用等等。归结起来，针对电力网络信息系统安全的威胁主要有三个大方面。

6．1　无意识的人为失误

　　如安全配置不当造成的安全漏洞，用户安全意识不强，口令选择强度不够，用户将自己的帐号随意转借他人或与别人共享信息资源等都会对网络安全带来威胁。电力信息中心或各单位信息中心主机存在系统漏洞，系统管理员安全意识和知识较差，容易被攻击者利用后通过电力网络入侵系统主机，并有可能登录其它重要应用子系统服务器或中心数据库服务器，进而对整个电力系统造成很大的威胁。

6．2　人为的恶意攻击

　　这是计算机网络所面临的最大威胁，黑客的攻击和计算机犯罪就属于这一类。此类攻击又可以分为以下两种：一种是主动攻击，它以各种方式有选择地破坏信息的可用性和完整性；另一类是被动攻击，它是在不影响网络正常工作的情况下，进行截获、窃取、破译以获得重要机密信息。这两种攻击均可对计算机网络造成直接的极大的危害，并导致机密数据的泄漏和丢失。

6．3　网络和系统软件的漏洞和“后门”

　　随着各类网络和操作系统软件的不断更新和升级，由于边界处理不善和质量控制差等综合原因，网络和系统软件存在越来越多的缺陷和漏洞，这些漏洞和缺陷恰恰是黑客进行攻击的首选目标和有利条件，当前世界范围内出现黑客攻入企业网络内部的事件，大部分就是因为安全控制措施不完善所导致的。另外，一些软件公司的设计编程人员为了某些原因而设置软件“后门”，也有专业的黑客后门程序，一旦“后门”通过网络入侵而植入电力信息内网主机，犹如电力系统的信息库被打开了几个后门，将会对电力信息网的整体安全产生极大的破坏，对网络信息系统造成的后果将不堪设想。

7　电力信息网络系统对电力实时系统的安全威胁　

　　根据国家经贸委发布的《电网和电厂计算机监控系统及调度数据网络安全防护规定》，各发、供电企业和调度中心的电力监控系统不得与办公信息网络直接连接，必须加装经国家有关部门认证的安全隔离设施，电力调度数据网络应在专用通道上利用专用设备组网，必须保证物理层面上与公用信息网络安全隔离。 

　　由于各生产单位具有对电网的控制性，因此当黑客通过信息网络入侵实时网络系统后，所采用的任何操作，都将对控制的电力设备产生影响，极有可能对系统产生灾难性的后果，严重危害电力生产的安全运行，因此，必须进行安全隔离。这一点在电力生产中已有深刻的教训。