安全：电力网络的灵魂

电力18讯：    当前的威胁

　　电力行业是国民经济的基础，国家对电力系统的运行有着极高的要求。

　　目前电力系统面临的主要威胁是：旁路控制――入侵者对发电厂、变电站发送非法控制命令；完整性破坏――非法修改电力控制系统配置或程序；授权违规――电力控制系统工作人员利用授权身份或设备，执行非授权的操作；拒绝服务――向电力调度数据网络或通信网关发送大量垃圾数据，造成正常服务无法响应。

　　为此，Juniper公司推出了更加实际化的电力网络多层防护解决方案：面对电力系统复杂多样的威胁，只有建立一个由多种安全技术集成化的相互协同工作的防护体系，才可以有效的降低企业防护网被攻破的风险。

　　Juniper多层防护解决方案就是以安全策略和安全管理为核心，以ASIC芯片结构为基础，有机的集成安全体系中全面的产品和技术，如访问控制、VPN、抗拒绝服务攻击、入侵防护、内容安全、认证/授权/审计等，建立安全、可靠、实时的防护体系。

    总体防护计划

　　对于电力系统总体防护的原则应该是“安全分区、网络专用、横向隔离、纵向认证”。对于任何发电企业、电网企业和供电企业内部的计算机网络系统，原则上都应该分为“生产控制区”和“管理信息区”两大区域，生产系统、控制系统、交易系统等业务系统属于生产控制区，OA办公系统、生产管理系统、客户服务系统等属于管理信息区，各级单位的生产控制区由电力调度网连接，管理信息区由电力信息网连接，在管理信息区的OA办公区域和客户服务系统等子区域存在与Internet的接口。两个大区之间进行严格的物理隔离，严格控制生产区与信息区之间的信息传输。

　　另外，电力企业还需要从边界安全、内网安全和远程接入安全三方面进行考虑。对于边界安全，电力单位的外部边界包括了通过OA办公区、信息发布区与Internet的接口，通过两个内部广域网与内部其他电力单位的接口，并且有的单位可能还有与其他外部合作机构，如银行、税务等单位网络的接口，在这些边界点都应当进行访问控制，可以根据网络的规模和容量部署相应的Netscreen安全网关。

　　从内网安全上讲，其核心思想就是对内部不同安全等级的系统进行安全区划分，在内部边界上实施控制机制，防止由于木桶原理造成的整个内网的防护强度降低。

　　电力企业需要根据单位内各系统的业务重要性以及对一次电力设备的影响程度，在两大区的基础上进一步对内部系统进行安全区划分隔离。对于生产控制区，需要将实时的和非实时的系统分开，比如EMS调度系统、配电自动化、变电自动化系统、负荷控制系统等，控制区是电力系统中最重要的资产，安全等级最高；把不具备控制功能，实时性要求不太高的生产业务系统、交易业务系统划分为生产区，安全等级其次。对于管理信息区，需要将与生产有关的系统和与生产无关的系统分开，也就是说划分成管理区和信息区两个区域。雷电监测系统、气象信息接入等都属于生产管理区，OA办公系统、客户服务系统等属于信息区。在两大区内部的分区之间，利用Netscreen设备集成的会话认证、访问控制、蠕虫过滤、应用层攻击检测等功能，防范从OA办公区到管理系统的病毒蠕虫的扩散和未经授权的访问。

　　在远程接入安全上，建议电力企业使用Juniper SSL VPN远程接入方式，不用装任何客户端软件，并且SSL 封装保证信息传输的机密性和完整性，身份认证时提供双因子动态口令或数字证书等高强度的认证支持，并且接入后的访问行为是受到控制的，最大程度地提高远程接入的安全性和方便性，而且节约成本。