华北电网安全技术交流

华北电网调度中心安全技术交流专业，所以值得信赖！NSFocusInformationTechnologyCo.Ltd.绿盟科技咨询设计部彭新春2006年9月[e-mail]2ProfessionalSecuritySolutionProvider提纲•电力行业安全现状及风险分析•如何构建信息安全体系•安全防护产品简介及选型建议•安全风险评估介绍•绿盟科技公司简介3ProfessionalSecuritySolutionProvider计算机犯罪带来严重的经济损失4ProfessionalSecuritySolutionProvider攻击目标和方式的多样化5ProfessionalSecuritySolutionProvider每年发现的漏洞数量飞速上升•每年发现的漏洞数量飞速上升–2004年CVE全年收集漏洞信息1707条–绿盟科技到到2005年底跟踪的漏洞也超过了2072条年份漏洞数量199974220004042001832200210062003104920041707200522006ProfessionalSecuritySolutionProvider黑客的职业化之路•不再是小孩的游戏，而是与金钱挂钩•职业入侵者受网络商人或商业间谍雇佣•不在网上公开身份，不为人知，但确实存在。•攻击者采用的技术不断深入和多样7ProfessionalSecuritySolutionProvider我们面临新的安全威胁•攻击技术已经开始普及•漏洞挖掘流程专业化，工具自动化。•Zero-day的攻击•无线安全/手机安全问题开始出现8ProfessionalSecuritySolutionProvider高低19801985199019952000密码猜测可自动复制的代码密码破解利用已知的漏洞破坏审计系统后门回话劫持擦除痕迹臭探包欺骗GUI远程控制自动探测扫描拒绝服务为什么会不安全？•不可避免的因素–技术发展的局限，系统在设计之初不能认识到所有问题•TCP/IP协议在开发过程中并未主要考虑安全问题–人类的能力有限，失误和考虑不周在所难免•操作系统和应用程序在编码过程中难免引入Bug•没有避免的因素–系统实施过程中采用了默认配置而未针对实际情况进行定制和安全优化–新的漏洞补丁跟踪、使用不及时–拥有者的组织结构，管理和技术体系不够完善•技术发展和环境变化使网络安全处于动态之中10ProfessionalSecuritySolutionProvider电力企业在信息化过程中存在的现象•在我国电力企业中，信息部门未能受到应有的重视–信息部门在发电企业没有一个专门机构配置，没有规范的建制和岗位–信息化作为一项系统工程，需要专门机构来推进，需要企业各个部门相互配合•电力信息系统深入到电力生产和管理的全过程，涉及到电力生产各个层面–2002年国家电网公司规范了信息网络安全管理–从安全政策到安全技术措施等方面实施了电力安全计划的研究和试点•计划经济模式下形成的电力企业条块分割、信息闭塞、效率低下的管理体制已不能适应当前的要求–电力企业需要启动一轮企业管理革新，从企业战略出发，实行业务调整、流程梳理与优化，引入信息技术的支持11ProfessionalSecuritySolutionProvider电力企业在信息化过程中存在的问题•生产控制自动化的先进性与管理信息化的滞后性并存–信息化基础设施相对完善–电力营销管理系统得到广泛应用–信息化机构建设尚需进一步健全–信息安全管理是电力企业信息化重点•电力系统信息化缺乏系统性–电力企业在不同时期不同部门为了满足业务需要进行了一系列信息系统建设–各系统之间缺乏联系，信息不共享，业务不能协同开展，对企业管理决策的作用十分有限•缺乏统一的标准体系–尚未制定统一的信息化标准体系，电力企业内部信息系统的信息编码、技术标准、规范也不统一–影响了企业内部、上下级企业之间信息的共享与交互–造成企业内部“信息孤岛”无处不在、系统不能集成、资源不能共享的局面，严重制约企业信息化建设和应用12ProfessionalSecuritySolutionProvider电力行业信息化特点•电力行业是国民经济的基础产业，是保障生活生产秩序正常运行的基础行业!•与其他行业相比，发电企业具有分散控制、统一联合运行的特点•建立在Internet架构上的跨地区、全行业系统内部信息网开始逐步建立，网上应用着各种电力业务及办公系统•电力信息网络系统的网络安全问题愈来愈显得重要•目前主要采取了物理隔离、防火墙和防病毒软件13ProfessionalSecuritySolutionProvider电网安全关系国家发展命脉•2001年8月份，中国电力信息中心的服务器就曾受到了SirCam、CodeRed两种病毒的攻击，对信息系统的正常运行造成了很大影响•2003年，美加8.14停电事件–造成负荷损失6180万千瓦，停电范围9300多万平方公里，受影响居民5000万人以上，造成增加巨大的经济损失和社会影响•2004年，中国出现大面积的“电荒”，拉闸限电等影响人民生活、工业生产的现象屡见不鲜•带给我们的启示–加快信息化建设，实行统一调度，协调配合，提高防御事故的能力–加快建立和完善重大电网事故的应急处理机制14ProfessionalSecuritySolutionProvider电力企业信息系统安全分析•网络拓扑逻辑上为星型+树状结构–由主干网、区域网、省内网和地区网四级组成–各级网络有分支网络和主节点–各级信息中心为电力系统全行业提供信息服务•安全分析–物理层：硬件设备和通信链路的安全–网络层：相对的内/外网结构；面临拒绝服务、信息窃取、网络瘫痪等威胁–应用层：应用软件的缺陷、网络病毒的侵害–系统层：系统自身的重大漏洞–管理层：安全管理的不完善、安全组织的缺乏15ProfessionalSecuritySolutionProvider电力二次系统安全防护总体示意图实时VPNSPDnet非实时VPNIP认证加密装置安全区I(实时控制区)安全区II(非控制生产区)安全区III(生产管理区)安全区IV(管理信息区)外部公共因特网生产VPNSPTnet信息VPN防火墙防火墙防火墙IP认证加密装置IP认证加密装置IP认证加密装置防火墙防火墙安全区I(实时控制区)防火墙安全区II(非控制生产区)安全区III(生产管理区)防火墙防火墙防火墙防火墙安全区IV(管理信息区)专线线路加密设备专用安全隔离装置专用安全隔离装置（正向型）（反向型）专用安全隔离装置专用安全隔离装置（正向型）（反向型）16ProfessionalSecuritySolutionProvider电力企业具体风险分析优先级风险说明/举例0旁路控制（BypassingControls）入侵者对发电厂、变电站发送非法控制命令，导致电力系统事故，甚至系统瓦解。1完整性破坏（IntegrityViolation）非授权修改电力控制系统配置、程序、控制命令；非授权修改电力交易中的敏感数据。2违反授权（AuthorizationViolation）电力控制系统工作人员利用授权身份或设备，执行非授权的操作。3工作人员的随意行为（Indiscretion）电力控制系统工作人员无意识地泄漏口令等敏感信息，或不谨慎地配置访问控制规则等。4拦截/篡改（Intercept/Alter）拦截或篡改调度数据广域网传输中的控制命令、参数设置、交易报价等敏感数据。5非法使用（IllegitimateUse）非授权使用计算机或网络资源。6信息泄漏（InformationLeakage）口令、证书等敏感信息泄密。7欺骗（Spoof）Web服务欺骗攻击；IP欺骗攻击。8伪装(Masquerade)入侵者伪装合法身份，进入电力监控系统。9拒绝服务（Availability,e.g.DenialofService）向电力调度数据网络或通信网关发送大量雪崩数据，造成网络或监控系统瘫痪。10窃听（Eavesdropping,e.g.DataConfidentiality）黑客在调度数据网或专线通道上搭线窃听明文传输的敏感信息，为后续攻击做准备。17ProfessionalSecuritySolutionProvider电力行业网络安全分析主要考虑点1234•网络结构设计是否层次分明、分级管理、统一规划的•网络接入是否考虑防止多个接入点存在•内部各VLAN或区域之间边界划分是否合理，在网络节点互连互通是否根据实际需求进行严格访问控制•是否对关键业务系统和非关键业务系统进行逻辑隔离；•是否采用QoS的多种技术来优化网络系统•是否具备网络异常流量分析及发现机制•IP地址规划是否合理。•路由协议是否采用安全的配置•是否存在帐号、口令、文件属性等安全问题•是否具备有效的、统一漏洞发现、解决机制•是否具有服务器的冗余备份机制•应用系统是否具有访问验证机制•是否具有应用滥用等问题•终端系统是否存在系统漏洞，是否及时修补了。•是否具有终端统一管理策略和统一策略下发机制。•是否具有终端防病毒体系。•是否具有终端访问外网的限制措施•“三分技术，七分管理”安全管理机制是否应及时完善。•是否具有统一安全管理部门或组织。•是否具有安全巡检、安全事件处罚等措施。•是否具备统一安全管理策略和制度下发机制。•是否具备有效的应急响应流程和方法。网络主机终端管理18ProfessionalSecuritySolutionProvider提纲•电力行业安全现状及风险分析•如何构建信息安全体系•安全防护产品简介及选型建议•安全风险评估介绍•绿盟科技公司简介19ProfessionalSecuritySolutionProvider信息安全体系架构示例安全目标OTPAPTRAPDR机构建设人员管理制度管理资产管理物理管理技术管理风险管理安全评估安全防护入侵检测应急恢复组织体系管理体系技术体系信息系统安全体系架构InformationSystemSecurityFramework核心保障支撑•明确的安全组织体系•统一的安全管理策略•积极防御、综合防范20ProfessionalSecuritySolutionProvider如何合理有效的建立安全体系•从安全理论出发–安全标准-体系架构-安全策略-控制措施–适合集团或总公司进行这方面的工作•从安全实践出发–发现问题-控制措施-形成体系-持续改进–适合省、地市级电网公司针对特定网络/系统进行安全建设21ProfessionalSecuritySolutionProvider从实践出发的安全建设过程•分析安全风险–外部风险评估（委托评估）–内部风险评估（自评估）•明确安全需求–根据风险评估提炼需求–根据日常实践提出需求•部署安全产品–从风险管理角度进行设计–多种技术综合使用、全面防护•建设安全管理中心–对各类安全产品和技术的综合分析–进行持续性风险管理和改进22ProfessionalSecuritySolutionProvider全面风险评估与安全咨询方案设计风险评估12安全规划–资产评估–威胁评估–脆弱性评估–风险评估–安全域与边界整合–终端管理与控制–安全产品部署–安全加固一期建设计划安全域划分安全产品部署安全加固实施安全战略安全培训体系建设安全规划34–安全策略–安全制度–安全流程–安全考核办法–一期规划–二期规划–三期规划安全规划二期建设计划安全预警服务安全维护服务安全监控服务安全策略推行安全规划三期建设计划安全策略落实安全运营中心的搭建安全培训安全培训23ProfessionalSecuritySolutionProvider建设信息安全管理体系（ISMS）制度建设考核结合电网公司的安全管理现状，针对电力行业业务网络的相关组织、管理策略部分进行必要