随着电网企业信息化程度的不断加深,以及“大云物移智链”等新技术的应用,新业务、新业态不断涌现,电网企业网络安全边界不断扩大,网络安全暴露面也越来越广。与此同时,国际网络安全环境持续紧张,企业内外部的网络安全威胁也在不断高涨,各种网络攻击手段日益丰富、技术日趋成熟,面临的总体网络安全形势十分严峻。伊朗核电站“震网”事件、乌克兰BlackEnergy病毒导致的大面积停电事件以及委内瑞拉电网停电事件[1],无不预示着通过网络空间入侵一国电力网络并由此控制电力系统、破坏电力基础设施已由设想变为现实。电网作为关系到国计民生和国家能源安全的重要基础设施,其网络安全防护体系建设至关重要。
1 网络安全风险分析
1.1 互联网暴露风险
电网企业分支机构、下属单位、变电站所、营业厅等遍布全国,电网关键信息基础设施覆盖电力发、输、变、配、用、调等各环节,对外开放的业务系统众多且防护水平不一,互联网暴露面过广。与此同时,网络安全攻防双方成本严重不对等,黑客的攻击手段、攻击目标、攻击时间都是不确定的,且只需一点突破就能造成一定程度的影响。而电网企业的网络安全防守面则过大,需要关注木桶短板效应,一旦某个薄弱环节的边缘系统有缺陷、有漏洞被黑客入侵,就有可能会以此为跳板,利用安全防护体系中的信任关系进行横向渗透,进而造成更大范围的破坏。
1.2 供应链风险
电网作为国家关键信息基础设施,其供应链安全涉及网络、安全及应用系统产品和服务从无到有再到废弃的全生命周期,不仅包括传统的生产、仓储、销售、交付等环节,还延伸到了产品设计、开发、集成等生命周期,以及交付后的部署、运维等[2]。
近年来供应链安全问题越来越突出,主要表现在:一是恶意篡改。在供应链的某一环节对产品、服务及其所包含的组件、部件、元器件、数据等进行恶意篡改、植入、替换、伪造,以嵌入包含恶意逻辑的软件或硬件;二是存在远程控制后门。产品或服务存在远程控制功能,但未告知用户远程控制的目的、范围和关闭方法,甚至采用隐蔽接口、未明示功能模块、加载禁用或绕过安全机制的组件等手段实现远程控制功能。斯诺登事件以来,不断有厂商产品被曝光存在后门,这些后门有的是无意遗留的,有的则是某些企业甚至国家组织有目的、有计划的行为[3],严重危及电力企业的供应链安全,存在严重的安全隐患。尤其是在近年来的攻防实战对抗演练中发现的的问题,部分网络安全设备因自身存在的问题,未能充分发挥其应有的作用,反而成为防护边界被突破的切入点。
1.3 企业内部风险
随着近年来电网企业对网络安全建设的投入不断加大,遵循安全分区、网络专用、横向隔离、纵向认证的原则,按照可管可控、精准防护、可视可信、智能防御的安全策略,电网企业网络安全建设已从“十二五”期间的主动防御体系发展至“十三五”期间的以大数据智能分析、感知预警、联动防御为主的智能防护体系,网络安全技防水平不断提升,通过传统网络攻击突破网络边界入侵电力系统的难度越来越高,但来自内部的威胁依然存在。电网企业管理层级多、链条长,基层单位信息安全意识薄弱,习惯性违章、越权访问等现象屡禁不绝。与此同时,恶意钓鱼、物理侵入等社会工程学攻击方式越来越成熟,欺骗性越来越强,很容易借此绕过网络安全防护体系直接进入内部网络,网络安全风险极高。
2 网络安全防护体系建设
为有效应对当前面临的网络安全风险,需强化网络安全基础,梳理网络安全风险点,优化现有技防和管理措施,建设精准可靠、立体全面的网络安全防护体系。
2.1 边界防护
电网企业分支机构众多,因此需明确各单位互联网边界,按照最小化原则开放业务端口,完善边界安全设备及策略,把好入口安全关。配置高强度的物理安全防护措施、恶意代码检测和主动防御、控制区与非控制区的逻辑隔离、边界入侵检测(IDS)、安全审计等其他常规安全保护措施。基于电力行业分区分域、纵深防御的防护策略,加强横向边界、纵向边界的安全防护和综合安全防护,逐层设防,形成立体的纵深防御技术体系。绘制全场景网络安全布防图,明确重点区域的防御策略和攻击动态,实现网络安全监测可视、可管、可控。同时强化总部与各单位间的协同处置,共享威胁情报,实现一处预警、处处响应,提升安全处置效率。
2.2 主机防护
传统网络安全防护过于关注边界防御,相对忽视了主机层面的防护,而近年来的攻防实践表明,网络边界被突破已成为必然事件,因此必须要考虑边界被突破后的主机防护策略,对包括数据、进程、服务等系统资源在内的主机环境进行全方位的立体防护。主机防护内容主要包括端口及服务最小化开放、系统补丁更新、基线策略配置,并辅以杀毒、入侵检测系统(IDS)以及其它内核级的安全防护工具。比如基于“白名单”机制的主机防护系统,只允许“白名单”内的进程、服务运行,未经允许的软件、工具和进程都不能运行,从而确保系统免疫漏洞攻击、恶意代码执行、数据窃取等类型攻击,提供内核级安全保障,在边界被突破后最大程度确保主机安全。
2.3 全局态势感知
网络安全风险态势感知是主动安全防御体系的“大脑”,结合企业IT资产,可通过威胁情报、机器学习、用户画像等技术对海量的日志信息进行深度分析,同时关联企业IT资产漏洞、所面临的威胁,自动化、可视化地实现全网的安全风险态势感知、事件响应以及资源协同联动。建设全局网络安全态势感知体系可有效降低企业内部安全运维人员的时间成本,有效提升对APT攻击的发现和处置能力,以及网络安全风险事前、事中的应对能力以及事后的分析及追踪溯源能力。
2.4 构建网络安全红蓝对抗机制
构建红蓝对抗机制,回归到人和人的对抗。在网络安全领域,红蓝对抗中一方扮演黑客、另一方扮演防守者进行网络安全实战演练。红蓝对抗与传统渗透测试相比有着明显的不同,甚至较量的不仅仅是技法,还包括战术、心态与体力的考验。在攻防演练中,红军模拟真实的攻击来评估企业当前防护体系的安全水平,蓝军对发现的问题进行优化整改。通过周期性的红蓝对抗,可持续性提高企业在攻击防护、威胁检测、应急响应等方面的能力。通过持续的对抗、复盘、总结,不断优化网络安全防御体系的各个环节,从而提升整体的网络安全防护水平。
网络安全的本质是对抗,即攻防双方的动态平衡,在网络安全实战化、常态化、体系化的背景下,“红蓝对抗”机制可帮助企业实现以攻促防、以攻促改、以实战促建设的目标,实现网络安全“红军”和“蓝军”相互促进、循环提升的效果,在培养兼具攻防技能的高素质网络安全人才的同时,从攻防双方的角度审视企业网络安全防护体系存在的不足,从而不断提升企业的整体安全防护能力。
2.5 网络安全管理提升
做好信息系统全生命周期网络安全管控。为有效提升企业网络安全水平,网络安全建设要“关口前移”,安全要素要渗透到系统规划、建设、运维全生命周期,明确各环节的网络安全风险及防护措施和责任,通过整体系统安全框架落实网络安全能力。
建立网络安全督察通报体系。建立健全网络安全督查通报机制,确保对安全威胁、安全漏洞、安全事件进行闭环管理,加强电力企业内部网络安全信息共享和统一应急处置[4],从而有效支撑网络安全监测、通报预警、应急处置和事件调查等工作。
加强全员网络安全宣传。网络安全工作通常侧重于技防,而选择性忽略或未足够重视人防。实际上人防与技防处于同等重要的位置,即使企业构建了比较完善的网络安全防线,但往往一个来自内部人员的疏忽就可能将企业置于网络安全威胁之中,因此需重视全员网络安全意识培养,开展网络安全意识培训、安全竞赛等多种形式的宣传,辅以考核等手段,引导全员强化网络安全理念,提高全员安全防范能力,推动网络安全意识入脑入心,构筑网络安全的坚固城墙。
3 结语
电网作为关系到国计民生和国家能源安全的重要基础设施,网络安全至关重要。随着信息技术的快速发展及国内外网络安全形势日益严峻,电网企业网络安全受到了来自各个方面的威胁。本文从多个角度分析了电网企业当前面临的主要风险,并针对性地提出了应对策略,探讨电网企业网络安全防护体系建设思路,以提升电网企业的网络安全防护水平。
